DSGVO-Schadensersatz: Latham & Watkins-Mandantin siegreich vor EuGH

In einem wegweisenden Urteil hat der Europäische Gerichtshof (EuGH) seine bisherigen Anforderungen an Schadenersatzansprüche im Datenschutzrecht verschärft. Latham & Watkins LLP konnte so mit ihrer Mandantin MediaMarktSaturn einen signifikanten Erfolg erzielen. Der EuGH hat damit seine Entscheidung vom 14. Dezember 2023 konkretisiert, in der er noch eine relativ niedrige Schwelle für Schadensersatzansprüche nach Art. 82 der Datenschutz-Grundverordnung (DSGVO) gesetzt hatte (Rechtssache C-340/21).

In dem früheren Urteil hatte der EuGH festgestellt, dass bereits die bloße Befürchtung, dass personenbezogene Daten nach einem Cyberangriff oder einer anderen Datenpanne offengelegt wurden, für einen Schadenersatzanspruch ausreichen könnte. Diese Interpretation hätte weitreichende Folgen für Unternehmen und ihre Haftung insbesondere im Falle von Cyber-Angriffen und sonstigen Datenschutzverletzungen gehabt.

Die Entscheidung stellt nun klar, dass für einen Schadenersatzanspruch nicht nur der Nachweis eines Verstoßes gegen die DSGVO erforderlich ist. Der EuGH führt zur Beweislast aus, dass „die Person, die aufgrund dieser Bestimmung Schadensersatz verlangt, nicht nur den Verstoß gegen Bestimmungen der Verordnung 2016/679 nachweisen muss, sondern auch, dass ihr dadurch ein materieller oder immaterieller Schaden entstanden ist.“ Darüber hinaus betont der Gerichtshof, dass die bloße Befürchtung einer Offenlegung von Daten ohne Kenntnisnahme durch Dritte nicht ausreicht, um Schadenersatzforderungen zu begründen.

„Diese Klarstellung des EuGH setzt neue Maßstäbe und schafft Klarheit in Bezug auf die Beweislast bei Schadenersatzklagen im Bereich des Datenschutzrechts“, so Tim Wybitul, Datenschutzpartner bei Latham & Watkins in Frankfurt, „Die Entscheidung des EuGH bietet Unternehmen nun etwas mehr Rechtssicherheit. Sie verhindert, dass unbegründete Schadenersatzansprüche zu einer unverhältnismäßigen Belastung führen. Massenklagen gegen Unternehmen, die von Cyber-Angriffen betroffen sind, werden dadurch trotz der grundsätzlich klägerfreundlichen Tendenz des EuGH schwieriger.“

Latham hat mit folgendem Team beraten:

Tim Wybitul (Partner, Datenschutz, Frankfurt), Dr. Isabelle Brams (Associate, Datenschutz, Frankfurt), Constanze Köttgen (Associate, Litigation, Hamburg)

Vertreter MediaMarktSaturn:

Dr. Kai Schumacher (Global Data Privacy Officer), Bernhard Hackl (Syndikusrechtsanwalt)