TL;DR für den DSB
Das finanzielle Risiko Ihrer Mandanten ist nicht nur das Bußgeld der Behörde. Es ist die Summe vieler kleiner Zivilklagen aus ein und derselben Verletzung, multipliziert mit der Zahl der betroffenen Personen. Über diese Verfahren entscheidet fast immer eine einzige Frage: ob sich nachweisen lässt, dass die Sicherheitsmaßnahmen angemessen waren, bevor etwas passiert ist.
Was Artikel 82 wirklich sagt
Artikel 82 Absatz 1 gibt jeder Person, der wegen eines Verstoßes gegen die Verordnung ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadenersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. Eine kurze Vorschrift, die die nationalen Gerichte jahrelang gegensätzlich gelesen haben: die einen verlangten einen schweren, belegten Nachteil, die anderen hielten den Verstoß als solchen für ausreichend. Zwischen 2023 und 2024 hat der Gerichtshof nahezu alle diese Divergenzen beendet.
Drei Elemente - und die Schwelle, die es nicht gibt
Im Urteil Osterreichische Post (Rechtssache C-300/21, 4. Mai 2023) hat der Gerichtshof entschieden, dass der Ersatzanspruch drei kumulative Voraussetzungen erfordert: einen Verstoß gegen die Verordnung, einen konkreten Schaden und einen Kausalzusammenhang zwischen beiden. Der bloße Verstoß begründet den Anspruch nicht. Bis hierhin eine gute Nachricht für Verantwortliche. Der zweite Teil desselben Urteils nimmt vieles davon wieder zurück.
Keine Erheblichkeitsschwelle
Der Gerichtshof hat ausgeschlossen, den Ersatz davon abhängig zu machen, dass der Nachteil einen bestimmten Grad an Schwere erreicht. Ein geringer Schaden bleibt ein ersatzfähiger Schaden. Das Argument 'es ist wenig passiert, nichts Schlimmes' ist damit keine Verteidigung: es verschiebt die Diskussion auf die Höhe, nicht auf das Ob.
Befürchtung kann Schaden sein. Aber nicht immer
In der Rechtssache C-340/21 (14. Dezember 2023), die auf einen Cyberangriff auf die bulgarische Steuerbehörde zurückging, hat der Gerichtshof festgestellt, dass die Befürchtung eines möglichen Missbrauchs der Daten durch Dritte infolge einer Verletzung für sich genommen einen immateriellen Schaden darstellen kann. Der Missbrauch muss noch nicht eingetreten sein. Kurz darauf hat er in MediaMarktSaturn (Rechtssache C-687/21, 25. Januar 2024) die Grenze gezogen: eine rein hypothetische Befürchtung ohne konkrete nachteilige Folge genügt nicht. Die Trennlinie verläuft zwischen der auf einen tatsächlichen Kontrollverlust gestützten Befürchtung und der allgemeinen Sorge.
Wer was beweisen muss
Das ist der Teil, der der täglichen Arbeit des DSB am nächsten kommt. In derselben Rechtssache C-340/21 hat der Gerichtshof klargestellt, dass bei Streit über die Angemessenheit der technischen und organisatorischen Maßnahmen nach Artikel 32 die Beweislast beim Verantwortlichen liegt. Nicht die betroffene Person muss zeigen, dass die Maßnahmen unzureichend waren: der Verantwortliche muss zeigen, dass sie angemessen waren. Und die Entlastung nach Artikel 82 Absatz 3 greift nur, wenn der Verantwortliche nachweist, dass er in keinerlei Hinsicht verantwortlich ist - eine hohe Hürde, die der Gerichtshof in juris (Rechtssache C-741/21, 11. April 2024) nicht schon deshalb als genommen ansah, weil der Fehler einem Beschäftigten unterlaufen war.
Ausgleichen, nicht bestrafen
In der Rechtssache C-590/22 (20. Juni 2024) hat der Gerichtshof bekräftigt, dass Artikel 82 eine ausschließlich ausgleichende Funktion hat: er ersetzt den erlittenen Nachteil, er bestraft den Verantwortlichen nicht und schreckt den Markt nicht ab. Daraus folgen zwei gegenläufige Konsequenzen. Erstens können keine Straf- oder Sanktionsbeträge verlangt werden. Zweitens, weniger angenehm: ein bereits verhängtes Bußgeld mindert den Ersatzanspruch des Einzelnen nicht. Es sind zwei getrennte Wege, und sie addieren sich.
Was Sie am Montagmorgen damit tun
Diese Rechtsprechung in konkrete Arbeit zu übersetzen, ist weniger dramatisch, als es klingt - aber es geschieht davor und nicht danach. Fünf Punkte, keiner davon ein Projekt.
- Prüfen Sie, ob für jeden Mandanten eine datierte Dokumentation der Maßnahmen nach Artikel 32 und der Gründe für ihre Angemessenheit vorliegt: sie verschiebt die Beweislast zu Ihren Gunsten und muss vor dem Vorfall existieren.
- Halten Sie im Verzeichnis der Verletzungen stets die Risikobewertung für die betroffenen Personen fest, auch wenn Sie sich gegen eine Meldung entscheiden: sie ist der Nachweis, dass eine Bewertung stattgefunden hat.
- Betrifft eine Verletzung viele Personen, denken Sie daran, dass sich die zivilrechtliche Exposition mit ihrer Zahl multipliziert: ein bescheidener Betrag pro Person wird zum größten Kostenposten des Vorfalls.
- Die zügige Benachrichtigung der Betroffenen ist nicht nur eine Pflicht aus Artikel 34: sie senkt die Befürchtung, und genau die Befürchtung behandelt der Gerichtshof als ersatzfähigen Schaden.
- Halten Sie schriftlich fest, wenn Sie dem Verantwortlichen von einer Entscheidung abraten: entscheidet er anders, ist dieses Dokument die Linie zwischen seiner und Ihrer Verantwortung.
Die Frage an den Mandanten
Nicht 'sind wir konform?', sondern: 'wenn uns morgen eine betroffene Person verklagt, was geben wir dem Anwalt in die Hand, um die Angemessenheit der Maßnahmen zu belegen?'. Lautet die Antwort: eine Liste installierter Werkzeuge statt eines datierten Dokuments, das die Entscheidungen erklärt, dann liegt dort die Arbeit.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
