EuGH zur Angemessenheit technischer und organisatorischer Maßnahmen
In einer Behörde des bulgarischen Finanzministeriums war ein unbefugter Zugang zu IT-Systemen infolge eines Cyberangriffs erfolgt und dabei personenbezogene Daten im Internet veröffentlich worden.
Mit Urteil vom 14. 12.23 (C-340/21) hatte der EuGH darüber zu entscheiden, ob bereits durch die Befürchtung des Missbrauchs personenbezogener Daten ein zu ersetzender immaterieller Schaden entsteht. In diesem Zusammenhang ging es auch um die Frage, ob bei einem Cyberangriff durch Dritte den Verantwortlichen generell keine Schuld treffe oder ob davon ausgegangen werden könne, dass die getroffenen technischen Maßnahmen nicht geeignet gewesen seien, die Daten angemessen zu schützen und wen in diesem Fall die Beweislast trifft.
Die Klägerin ist der Meinung, dass sie Anspruch auf Schadenersatz gem. Art.82 DS-GVO habe. Dieser Anspruch entstehe aus der Befürchtung, dass wegen des Cyberangriffs ihre personenbezogenen Daten ohne ihre Einwilligung veröffentlicht und missbräuchlich verwendet werden könnten oder dass sie selbst erpresst, angegriffen oder entführt werden könne. Da der Angriff nicht verhindert werden konnte, habe die beklagte Behörde die Daten offensichtlich nicht mit geeigneten Maßnahmen geschützt. Die Beklagte behauptet hingegen, sie habe im Vorfeld alle Maßnahmen getroffen um die Daten zu schützen und sich auch im Nachhinein bemüht, die Auswirkungen der Verletzung zu begrenzen. Zudem sein sie nicht für einen Schaden verantwortlich, der ihr selber durch Dritte zugefügt worden sei.
Der EuGH ist der Auffassung, dass die unbefugte Offenlegung durch Dritte im Sinne von Art. 4 Nr. 10 DS-GVO allein nicht ausreicht, um anzunehmen, dass die technischen und organisatorischen Maßnahmen nicht “geeignet“ gewesen seien. Aus Art. 24 und 32 DS-GVO ergebe sich die Pflicht Maßnahmen nach bestimmten Kriterien zu treffen: Diese sind Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken. Dabei seien der Stand der Technik, Implementierungskosten und Art, Umfang und Zwecke der Verarbeitung einzubeziehen. Es handele sich in diesem Rahmen um ein „Risikomanagement“, mit dem das Risiko der Verletzung personenbezogener Daten nicht beseitigt wird. Wenn der Verantwortliche nachweisen könne, dass die Maßnahmen geeignet waren, könne sich der Verantwortliche von der Haftung für einen durch Dritte verursachten Schaden befreien.
Zudem stellte der EuGH fest, dass ein ersatzfähiger immaterieller Schaden bereits aus der Befürchtung von missbräuchlicher Verwendung personenbezogener Daten entstehen kann. Als Schaden gilt bereits der bloße Verlust der Kontrolle über die eigenen Daten.