Mastercard-Datenpanne: Betroffene haben gute Chancen auf Schadenersatz

Inhalt:
In dem Blogbeitrag geht es um die Aussichten von Betroffenen von Datenpannen, Schadenersatz zu erhalten. Die Autorin ist eine Anwältin, die Betroffene in in Schadenersatzprozessen wegen der Datenpanne 2019 bei Mastercard Priceless Specials Loyalitätsprogramm vertritt, u.a. vor dem Oberlandesgericht in Frankfurt am Main und beruft sich dabei auf mehrere neue Grundsatz-Urteile des Europäischen Gerichtshofs (EUGH) zur Haftung von Behörden und Unternehmen bei Datenleaks (Veröffentlichung großer Datenbanken mit sensiblen Kundendaten) aufgrund von Sicherheitslücken, die in den letzten Monaten gefällt wurden. Ein beim Bundesgerichtshof noch in 2023 anhängiges Verfahren haben die dortigen Parteien im Wege eines geheimen Vergleichs erledigt, weil Mastercard eine Entscheidung des Bundesgerichtshofs mit Verurteilung zu hohen Schadenersatzbeträgen der dortigen Kläger fürchtete - siehe dazu Juve und Beitrag statt vieler in der FAZ dazu.

EUGH weitet das Schadenersatzrisiko für Unternehmen und ihre Serviceprovider bei Datenpannen aus

In einem Urteil vom 14. Dezember 2023 hat der EUGH (C-340/21) entschieden, dass Betroffene von Datenpannen auch dann Anspruch auf Schadenersatz haben, wenn sie nicht konkret nachweisen können, dass sie durch die Datenpanne tatsächlich geschädigt wurden, denn die bloße begründete Angst der Opfer vor möglichem Identitätsbetrug aufgrund der systematischen Verwertung der geleakten Kundendaten und finanzielle Nachteile bei negativen falschen Meldungen an Auskunftsdienste und Kreditgeber, Spam- und gefährliche Phishing-Anrufe und ähnlichem kann laut EUGH ein Schaden sein. Vielmehr genügt es, wenn die Datenpanne die Möglichkeit des Identitätsdiebstahls oder anderer negativer Folgen erhöht hat, weil mit der Veröffentlichung großer Kunden- und Mitarbeiterdatenbanken ein Kontrollverlust und damit massiver Verlust der informationellen Selbstbestimmung der betroffenen Menschen einhergeht. Phishing bezeichnet den Diebstahl persönlicher Daten mit Hilfe gefälschter Webseiten, E-Mails oder Kurznachrichten und nimmt aufgrund der Daten aus Datenlecks als Gefahr laufend zu. Erbeutete Daten werden oft an andere Betrüger weiterverkauft, die dann etwa Bankverbindungen oder Kreditkartennummern für Käufe auf Rechnung der Opfer missbrauchen.

Rechtsschutz bei DSGVO-Schadenersatz nun für Betroffene bei Datenpannen gestärkt

Dieses Urteil ist ein wichtiger Schritt für den Rechtsschutz von Betroffenen von Datenpannen. Denn es macht es für sie einfacher, Schadenersatz zu erhalten.

Wie geht es weiter mit den Mastercard Priceless Specials Klagen?

Im Fall der Mastercard-Datenpanne mit Finanz- und Kreditkartendaten von 90.000 Betroffenen im August 2019, von denen die Autorin Kläger selbst vertritt, hat das Oberlandesgericht Frankfurt das Verfahren noch nicht entschieden. Die Kläger haben neben Mastercard Europe auch zwei Serviceprovider mit Sitz in Österreich und Großbritannien als Gesamtschuldner vor dem Oberlandesgericht mit verklagt. Der Senat hat die höchstrichterlichen Urteile abgewartet und daher ist es wahrscheinlich, dass das Gericht das EUGH-Urteil nun in 2024 in diesem Verfahren berücksichtigen wird. Zudem muss hier auch der Senat entscheiden, ob die Auftragsverarbeiter, die Mastercard nicht identifizierbar öffentlich genannt hat, in der Berufung als Gesamtschuldner mit haften und verklagt werden dürfen. Bislang sind die Gerichte bei den Klageabweisungen anderer Kläger, die die Anwälte von Mastercard anführen, davon ausgegangen, dass die Betroffenen die Datenschutzverstöße nachweisen und meinten, der emotionale Stress Betroffener oder die bloße Sorge vor Datenmißbrauch sei kein Schaden. Auch die nicht mehr einlösbaren Coins, die beim Kläger fast 1000 Euro allein als entgangenen Gewinn ausmachen, hat Mastercard bisher nicht erstattet. Diese Urteile werden die Gerichte nach diesen klaren Entscheidungen so nicht mehr aufrechterhalten können, wenn rechtzeitig Rechtsmittel eingelegt wurden und auch der Bundesgerichtshof zu berücksichtigen haben.

Schaden kann auch nur die Angst vor Datenmißbrauch sein, so nun klare Aussage des EUGH

Es bleibt aber dabei, dass Betroffene einen persönlichen immateriellen oder materiellen Schaden nachweisen müssen, jedoch ist der Begriff des Schadens laut EUGH sehr weit ausgedehnt worden und kann auch vor dem Eintritt von Kreditkartenbetrug und ähnlichen finanziellen Nachteilen in dem Stress infolge des Datenleaks für die betroffenen Kunden bestehen.

Signalwirkung auch für andere Datenpannen, bei denen nun die Unternehmen ihre Unschuld nachweisen müssen

Sollte das Gericht der Auffassung sein, dass die Mastercard-Datenpanne den Betroffenen einen Anspruch auf Schadenersatz gibt, wäre dies ein weiteres positives Signal für die Betroffenen von Datenpannen mit Auswirkungen auch für weitere Datenleaks wie etwa in 2022 bei der Bonify App – zugehörig zur SCHUFA Holding Gruppe aus Wiesbaden – oder bei Nutzern des Kontowechselservices einiger Banken wegen einer Sicherheitslücke bei dem Finanzdienstleister Move-IT, der Datenpanne bei Motel One und vielen anderen. Bisher haben die von Datenpannen betroffenen Unternehmen oft die Veröffentlichung der Daten nach Erpressungsversuchen der kriminellen Hacker oft einfach mit der Schulter gezuckt, da es nicht ihr Problem sei und sie die Nachlässigkeiten in der IT-Sicherheit und beim Datenschutz verschleiern konnten und sich selbst als Opfer dargestellt haben. Ich empfehle den Unternehmen dazu einen interessanten Vortrag von Linus Neumann (IT-Security-Spezialist/IT-Forensiker bei zahlreichen Ransomattacken auf Unternehmen) und Kai Biermann (Journalist) auf dem Hamburger Chaos Computer Club Kongress vom Dezember 2023 Hirne hacken: Hackback Edition - media.ccc.de. Allerdings im Hinblick auf 2024 wird es wohl künftig nicht mehr möglich sein, die Verantwortung und Schäden der Betroffenen nach Datenleaks einfach abzustreiten. Indem laut EUGH nicht die Kläger nachweisen müssen, dass die Unternehmen für die Sicherheitslücken bei ihren Serviceprovidern mit haften müssen, sondern die Unternehmen nur von der Haftung befreit sind, wenn sie nachweisen, dass sie trotz angemessener Datenschutzmaßnahmen gehackt („von einem Cyberangriff betroffen“) sind, wird sich die restriktive Haltung der deutschen Zivilgerichte künftig zugunsten der Betroffenen ändern und dies wird zu mehr Druck auf die Unternehmen beim Datenschutz führen.

Künftig stärkere Schadenersatzhaftung von Unternehmen nach Datenpannen, wenn Sicherheitslücken verschuldet sind

Ich gehe davon aus, dass sich der Rechtsschutz für Betroffene von Datenpannen in Zukunft insgesamt verbessern wird. Denn die neuen EUGH-Urteile werden dazu führen, dass Unternehmen künftig stärker für Datenpannen haften müssen. Allerdings haben einige Oberlandesgerichte wie Stuttgart, Hamm und Köln in den Parallelverfahren des Datenleaks bei Facebook – Datascreeping gezeigt, dass immer wieder die Anforderungen an die Annahme des Schadens verneint wird und Schadenersatzklagen unter Verweis darauf auch abgewiesen werden. Diese Sicht wird aber wohl kaum mit den klaren Aussagen des EUGH (C-300/21) zum Schaden, der keine Erheblichkeit nach der DSGVO voraussetzt und auch schon bei begründeter Angst Betroffener vor Datenmißbrauch begründet sein.

Ansprüche nicht verjährt

Die Ansprüche sind im Fall von Mastercard auch noch nicht verjährt, weil entgegen der Pflicht, die Serviceprovider klar identifizierbar bei einem Auskunftsverlangen nach Art. 15 DSGVO zu benennen, verheimlicht hat. Ohne Kenntnis der den Anspruch begründenden Umständen, wozu auch die Identität aller Gesamtschuldner gehört, beginnt nach dem Bürgerlichen Gesetzbuch (§ 199 BGB) die Verjährungsfrist nicht zu laufen. Nach Artikel 82 Abs. 3 DSGVO als Gesamtschuldner auf Schadenersatz in Anspruch genommen werden können.

Fazit:

Die Aussichten von Betroffenen von Datenpannen, Schadenersatz zu erhalten, haben sich durch die jüngsten Urteile des EUGH deutlich verbessert. Unternehmen müssen künftig stärker für Datenpannen haften. Der Schadenersatz kann je nach Einzelfall mehrere 1.000 Euro betragen zzgl. des Werts der entgangenen Coins. Allein die Verletzung der Auskunftspflichten kann also noch teuer für das Unternehmen werden.