Schon die Angst vor Datenmissbrauch kann einen Schaden darstellen (EuGH Urteil vom 14.12.2023 – C-340/21)

Cyberkriminalität: Er­beu­ten Kri­mi­nel­le per­sön­li­che Daten kann nach dem aktuell vorliegenden EuGH Urteil al­lein die Angst vor einem Miss­brauch die­ser In­for­ma­tio­nen einen im­ma­te­ri­el­len Scha­den dar­stel­len. Aus einem un­be­fug­ten Zu­griff könne nicht au­to­ma­tisch auf un­zu­rei­chen­den Schutz ge­schlos­sen wer­den, aber die Be­weis­last liege beim Ver­ant­wort­li­chen.

Ein immaterieller Schaden kann dem EuGH zufolge auch durch die Befürchtung, die Daten könnten missbräuchlich verwendet werden, entstehen. Der Gerichtshof betont allerdings auch unter Verweis auf seine Entscheidung in Sachen Österreichische Post (Urteil vom 04.05.2023 – C-300/21), dass betroffene Personen das Vorliegen eines immateriellen Schadens iSv Art. 82 DS-GVO nachweisen muss.

Unternehmen sollten diese Rechtsprechnung ernst nehmen, denn werden Schutzmaßnahmen getroffen, die ungeeignet oder unzureichend waren und kommt es aufgrunddessen zu einem erfolgreichen unbefugten Zugang, besteht ein Kostenrisiko. Ohne konkrete Maßnahmen zum Beispiel durch die Einführung eines Informationssicherheitsmanagmentsystems (ISMS) wird ein solcher Nachweis schwierig zu erbringen sein.

Bemängeln kann man an dem Urteil, dass keine inhaltlichen Maßstäben zum Vorliegen eines immateriellen Schadens genannt werden.