{"id":71004,"date":"2023-04-29T15:38:06","date_gmt":"2023-04-29T13:38:06","guid":{"rendered":"https:\/\/www.steuerschroeder.de\/blog\/?p=71004"},"modified":"2023-04-29T15:38:06","modified_gmt":"2023-04-29T13:38:06","slug":"eugh-zur-haftung-bei-einem-unbefugten-zugang-zu-personenbezogenen-daten-durch-dritte","status":"publish","type":"post","link":"https:\/\/www.steuerschroeder.de\/blog\/eugh-zur-haftung-bei-einem-unbefugten-zugang-zu-personenbezogenen-daten-durch-dritte\/","title":{"rendered":"EuGH zur Haftung bei einem unbefugten Zugang zu personenbezogenen Daten durch Dritte"},"content":{"rendered":"\n

Bei einem unbefugten Zugang zu personenbezogenen Daten durch Dritte haftet der Verantwortliche f\u00fcr mutma\u00dfliches Verschulden und es kommt eventuell ein Ersatz des immateriellen Schadens in Betracht.<\/strong><\/p>\n\n\n\n

F\u00fcr eine Haftungsbefreiung muss der Verantwortliche nachweisen, dass er f\u00fcr den Umstand, durch den der Schaden eingetreten ist, in keinerlei Hinsicht verantwortlich ist. Die Bef\u00fcrchtung eines k\u00fcnftigen Missbrauchs personenbezogener Daten kann nur dann einen immateriellen Schaden darstellen, wenn es sich um einen realen und sicheren emotionalen Schaden und nicht nur um ein \u00c4rgernis oder eine Unannehmlichkeit handelt.<\/em><\/p>\n\n\n\n

Am 15. Juli 2019 verbreiteten die bulgarischen Medien die Nachricht, dass ein unbefugter Zugang zum Informationssystem der bulgarischen Nationalen Agentur f\u00fcr Einnahmen (NAP) erfolgt sei und dass verschiedene Steuer- und Sozialversicherungsdaten von Millionen von Menschen im Internet ver\u00f6ffentlicht worden seien.<\/p>\n\n\n\n

Mehrere Personen, darunter V.B., verklagten die NAP auf Ersatz des immateriellen Schadens, der sich in Sorgen und Bef\u00fcrchtungen des k\u00fcnftigen Missbrauchs ihrer personenbezogenen Daten \u00e4u\u00dfere. Nach Ansicht von V.B. hatte die NAP gegen nationale Vorschriften und ihre Verpflichtung versto\u00dfen, geeignete Ma\u00dfnahmen zu ergreifen, um als Verantwortliche bei der Verarbeitung personenbezogener Daten angemessene Sicherheitsstandards zu gew\u00e4hrleisten. Das erstinstanzliche Gericht wies die Klage mit der Begr\u00fcndung ab, dass die Ver\u00f6ffentlichung der Daten nicht der NAP zuzurechnen sei, dass die Beweislast f\u00fcr die Geeignetheit der Ma\u00dfnahmen bei V.B. liege und dass kein immaterieller Schaden geltend gemacht werden k\u00f6nne.<\/p>\n\n\n\n

Das mit der Kassationsbeschwerde befasste Oberste Verwaltungsgericht hat dem Gerichtshof einige Fragen zur Auslegung der Datenschutz-Grundverordnung1<\/sup> zur Vorabentscheidung vorgelegt, um zu kl\u00e4ren, unter welchen Bedingungen eine Person, deren personenbezogene Daten, die sich im Besitz einer \u00f6ffentlichen Agentur befinden, nach einem Hackerangriff im Internet ver\u00f6ffentlicht wurden, Ersatz des immateriellen Schadens verlangen kann.<\/p>\n\n\n\n

In den Schlussantr\u00e4gen vom 27.04.2023 weist Generalanwalt Giovanni Pitruzzella zun\u00e4chst darauf hin, dass der Verantwortliche geeignete technische und organisatorische Ma\u00dfnahmen umsetzen m\u00fcsse, um sicherzustellen, dass die Verarbeitung personenbezogener Daten gem\u00e4\u00df der Verordnung erfolge. Die Geeignetheit dieser Ma\u00dfnahmen werde unter Ber\u00fccksichtigung der Art, des Umfangs, der Umst\u00e4nde und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken f\u00fcr die Rechte und Freiheiten nat\u00fcrlicher Personen auf der Grundlage einer Einzelfallpr\u00fcfung bestimmt.<\/p>\n\n\n\n

Der Generalanwalt f\u00fchrt erstens aus, dass das Vorliegen einer \u201eVerletzung des Schutzes personenbezogener Daten\u201c an sich nicht ausreiche, um anzunehmen, dass die vom Verantwortlichen ergriffenen technischen und organisatorischen Ma\u00dfnahmen nicht \u201egeeignet\u201c gewesen seien, um den Schutz der Daten zu gew\u00e4hrleisten. Bei der Auswahl der Ma\u00dfnahmen m\u00fcsse der Verantwortliche eine Reihe von Faktoren ber\u00fccksichtigen, darunter den \u201eStand der Technik\u201c, der eine Begrenzung des technologischen Niveaus der Ma\u00dfnahmen auf das, was zum Zeitpunkt des Ergreifens der Ma\u00dfnahmen vern\u00fcnftigerweise m\u00f6glich sei, zulasse, wobei auch die Implementierungskosten zu ber\u00fccksichtigen seien. Die Entscheidung des Verantwortlichen unterliege einer m\u00f6glichen gerichtlichen Pr\u00fcfung der Vereinbarkeit mit der Verordnung. Die Beurteilung der Geeignetheit der Ma\u00dfnahmen m\u00fcsse auf einer Abw\u00e4gung zwischen den Interessen der betroffenen Person und den wirtschaftlichen Interessen und technischen M\u00f6glichkeiten des Verantwortlichen unter Wahrung des allgemeinen Verh\u00e4ltnism\u00e4\u00dfigkeitsgrundsatzes beruhen.<\/p>\n\n\n\n

Zweitens m\u00fcsse das nationale Gericht bei der Pr\u00fcfung der Frage, ob die Ma\u00dfnahmen geeignet gewesen seien, eine \u00dcberpr\u00fcfung vornehmen, die sich auf eine konkrete Analyse sowohl des Inhalts der Ma\u00dfnahmen als auch der Art und Weise ihrer Durchf\u00fchrung und ihrer praktischen Auswirkungen erstrecke. Bei der gerichtlichen \u00dcberpr\u00fcfung m\u00fcssten daher alle Faktoren ber\u00fccksichtigt werden, die in der Verordnung enthalten seien. Unter diesen Faktoren k\u00f6nne die Einf\u00fchrung von Verhaltensregeln oder Zertifizierungssystemen ein n\u00fctzliches Element der Bewertung zum Zweck der Erf\u00fcllung der Beweispflicht sein, wobei der Verantwortliche nachweisen m\u00fcsse, dass er die in den Verhaltensregeln vorgesehenen Ma\u00dfnahmen tats\u00e4chlich ergriffen habe, w\u00e4hrend die Zertifizierung als solche den Beweis f\u00fcr die \u00dcbereinstimmung der durchgef\u00fchrten Verarbeitungen mit der Verordnung darstelle. Da diese Ma\u00dfnahmen erforderlichenfalls \u00fcberpr\u00fcft und aktualisiert werden m\u00fcssten, habe das Gericht auch diesen Umstand zu w\u00fcrdigen.<\/p>\n\n\n\n

Drittens obliege dem Verantwortlichen der Nachweis, dass die Ma\u00dfnahmen geeignet seien. Gem\u00e4\u00df dem Grundsatz der Verfahrensautonomie sei es Sache der innerstaatlichen Rechtsordnung jedes Mitgliedstaats, die zul\u00e4ssigen Beweismittel und deren Beweiskraft, einschlie\u00dflich der Ermittlungsma\u00dfnahmen, zu bestimmen.<\/p>\n\n\n\n

Viertens stelle der Umstand, dass der Versto\u00df gegen die Verordnung von einem Dritten begangen worden sei, f\u00fcr sich genommen keinen Grund dar, den Verantwortlichen von der Haftung zu befreien. F\u00fcr eine Haftungsbefreiung m\u00fcsse der Verantwortliche mit hohem Beweisniveau nachweisen, dass er f\u00fcr den Umstand, durch den der Schaden eingetreten sei, in keinerlei Hinsicht verantwortlich sei. Bei der Haftung f\u00fcr die unrechtm\u00e4\u00dfige Verarbeitung personenbezogener Daten handele es sich n\u00e4mlich um eine versch\u00e4rfte Haftung f\u00fcr mutma\u00dfliches Verschulden. Der Verantwortliche habe daher die M\u00f6glichkeit, einen Entlastungsbeweis vorzulegen.<\/p>\n\n\n\n

Schlie\u00dflich ist der Generalanwalt der Ansicht, dass der Schaden, der in der Bef\u00fcrchtung eines m\u00f6glichen k\u00fcnftigen Missbrauchs der personenbezogenen Daten bestehe und dessen Vorhandensein die betroffene Person nachgewiesen habe, einen immateriellen Schaden darstellen k\u00f6nne, der einen Schadensersatzanspruch begr\u00fcnde. Dies gelte aber nur, wenn es sich um einen realen und sicheren emotionalen Schaden und nicht nur um ein \u00c4rgernis oder eine Unannehmlichkeit handele.<\/p>\n\n\n\n

Fu\u00dfnote<\/h2>\n\n\n\n

1<\/sup> Verordnung (EU) 2016\/679 des Europ\u00e4ischen Parlaments und des Rates vom 27. April 2016 zum Schutz nat\u00fcrlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95\/46\/EG (ABl. 2016, L 119, S. 1).<\/p>\n\n\n\n

Quelle: EuGH, Pressemitteilung vom 27.04.2023 zum Schlussantrag C-340\/21 vom 27.04.2023<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"

Bei einem unbefugten Zugang zu personenbezogenen Daten durch Dritte haftet der Verantwortliche f\u00fcr mutma\u00dfliches Verschulden und es kommt eventuell ein Ersatz des immateriellen Schadens in Betracht. F\u00fcr eine Haftungsbefreiung muss der Verantwortliche nachweisen, dass er f\u00fcr den Umstand, durch den der Schaden eingetreten ist, in keinerlei Hinsicht verantwortlich ist. Die Bef\u00fcrchtung eines k\u00fcnftigen Missbrauchs personenbezogener … EuGH zur Haftung bei einem unbefugten Zugang zu personenbezogenen Daten durch Dritte<\/span> weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1730],"tags":[],"class_list":["post-71004","post","type-post","status-publish","format-standard","hentry","category-steuern-recht"],"_links":{"self":[{"href":"https:\/\/www.steuerschroeder.de\/blog\/wp-json\/wp\/v2\/posts\/71004","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.steuerschroeder.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.steuerschroeder.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.steuerschroeder.de\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.steuerschroeder.de\/blog\/wp-json\/wp\/v2\/comments?post=71004"}],"version-history":[{"count":0,"href":"https:\/\/www.steuerschroeder.de\/blog\/wp-json\/wp\/v2\/posts\/71004\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.steuerschroeder.de\/blog\/wp-json\/wp\/v2\/media?parent=71004"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.steuerschroeder.de\/blog\/wp-json\/wp\/v2\/categories?post=71004"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.steuerschroeder.de\/blog\/wp-json\/wp\/v2\/tags?post=71004"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}