BB-Kommentar

Zum datenschutzrechtlichen immateriellen Schadenersatz bei Datendiebstahl

Problem

Die Nutzung von Trading-Apps erfreut sich zunehmender Beliebtheit, birgt aber ein ernst zu nehmendes Missbrauchsrisiko für die personenbezogenen Daten der Anleger. Dies bestätigen auch die jüngsten Entwicklungen, die zeigen, dass solche Apps zunehmend Ziel von Hackerangriffen und Datendiebstahl werden. Für den von einem Datendiebstahl betroffenen Anleger besteht die latente Gefahr, dass seine Daten missbräuchlich weiterverwendet werden. Aus Sicht der App-Anbieter drohen in solchen Fällen Schadensersatzklagen einer Vielzahl von betroffenen Anlegern und darüber hinaus Bußgelder der Datenschutzaufsichtsbehörden.

Zusammenfassung

Ein solcher Datendiebstahl liegt den Klagen zweier Nutzer einer Trading-App gegen deren Betreiber vor dem AG München zugrunde, die Gegenstand des hier zuvor abgedruckten Vorlageverfahrens sind. Zur Eröffnung des Trading-Accounts werden Name, Geburtsdatum, Anschrift, E-Mail-Adresse sowie eine digitale Kopie des Personalausweises in der App hinterlegt und ein erforderlicher Betrag von mehreren tausend Euro eingezahlt. Im Jahr 2020 wurde die App Ziel eines Hackerangriffs, bei dem die personenbezogenen Daten der Kläger und zehntausender weiterer betroffener Anleger abgegriffen wurden. Durch den Datendiebstahl verloren die Kläger die Kontrolle über ihre Daten, diese wurden aber nach Angaben des App-Anbieters bisher nicht missbräuchlich weiterverwendet. Die Klagen sind auf Ersatz des durch den Datendiebstahl entstandenen immateriellen Schadens gerichtet und beruhen auf dem immateriellen Schadensersatzanspruch aus Art. 82 DSGVO.

Das mit den Klagen befasste AG München hat dem EuGH mehrere Fragen zu Art. 82 DSGVO vorgelegt: Diese betreffen die Funktion des immateriellen Schadensersatzanspruchs, nämlich ob diesem neben der Ausgleichs- und ggf. Genugtuungsfunktion auch eine Sanktionsfunktion zukomme, ferner Fragen im Zusammenhang mit der Bemessung der Schadenshöhe sowie eine Frage zum Haftungstatbestand dergestalt, ob bereits die latente Gefahr eines Identitätsdiebstahls durch Datendiebstahl ausreiche, um einen immateriellen Schadensersatzanspruch zu begründen (Rn. 14).