Kein
Schadensersatz nach
Datenleck.
Kein
Schadensersatz nach
Datenleck.
von
Reicht ein Eintrag bei HaveIBeenPwned als Beweis für einen Datenschutzschaden? Wann haftet ein Unternehmen tatsächlich für einen erfolgreichen Hackerangriff? Welche Rolle spielt die Beweislast bei Schadensersatzklagen nach Datenlecks?
Worum geht’s?
Ein Nutzer der Softwareplattform, die eine kostenlose Testversion und ein kostenpflichtiges Angebot umfasst, verlangte von dem Anbieter Schadensersatz, nachdem dessen Systeme im Jahr 2020 Ziel eines Cyberangriffs geworden waren. Unbekannte Dritte hatten sich Zugriff auf einen Teil der gespeicherten Nutzerdaten verschafft und diese im Darknet veröffentlicht. Die Daten wurden später auf der Rechercheplattform HaveIBeenPwned hochgeladen, auf der Betroffene prüfen können, ob ihre Daten von einem Datenleck betroffen sind.
Der Nutzer gab an, bei der Registrierung persönliche Daten angegeben zu haben, und verlangte immateriellen Schadensersatz von mindestens 3.000 Euro für den Kontrollverlust über seine Daten sowie weitere 2.000 Euro wegen einer aus seiner Sicht unzureichenden Auskunft des Unternehmens. Zusätzlich beantragte er die Feststellung einer Ersatzpflicht für künftige Schäden, eine Unterlassungsverpflichtung, eine weitergehende Auskunft sowie die Freistellung von Anwaltskosten. Das Unternehmen trat dem entgegen und verwies auf angemessene technische Schutzmaßnahmen. Zudem führte es aus, dass der Angriff mutmaßlich auf kompromittierte Zugangsdaten eines einzelnen Beschäftigten zurückzuführen sei und somit auf menschlichem Versagen beruhe, das sich der Kontrolle des Unternehmens entzogen habe.
Entscheidung des Landgerichts Traunstein
Das LG Traunstein hat die Klage mit Urteil vom 17.07.2026 – Az. 9 O 1560/24 abgewiesen.
Zum einen konnte der Nutzer seine tatsächliche Betroffenheit nicht beweisen. Er hatte behauptet, vollständige Personalien angegeben zu haben, was das Unternehmen bestritt und durch eine Negativauskunft untermauerte. Ein bloßer Treffer bei HaveIBeenPwned genüge nach Auffassung des Gerichts nicht als Vollbeweis für eine konkrete Betroffenheit, da sich Funktionsweise und Datengrundlage der Plattform einer verlässlichen gerichtlichen Prüfung entzögen. Auch beim behaupteten immateriellen Schaden blieb der Nutzer beweisfällig. Zwar könne nach aktueller höchstrichterlicher Rechtsprechung bereits ein kurzzeitiger Kontrollverlust einen ersatzfähigen Schaden begründen, doch setze dies eine konkrete persönliche Beeinträchtigung voraus. Die Schilderungen des Nutzers erschöpften sich nach den Feststellungen des Gerichts in standardisierten Textbausteinen, wie sie in einer Vielzahl gleichgelagerter Verfahren wortgleich verwendet würden. Bemerkenswert ist zudem, dass der Nutzer seine eigenen Daten längst selbst in einer frei verfügbaren Pressemappe veröffentlicht hatte.
Die Kontrolle über seine personenbezogenen Daten hat der Kläger damit lange vor dem streitgegenständlichen Vorfall selbst aufgegeben.
Zum anderen verneinte das Gericht auch inhaltlich jeden Verstoß gegen die Datenschutz-Grundverordnung. Ein erfolgreicher Hackerangriff belege für sich genommen noch keine unzureichenden Sicherheitsvorkehrungen. Das Unternehmen habe die getroffenen technischen und organisatorischen Maßnahmen substantiiert dargelegt, während der Vortrag des Nutzers hierzu unsubstantiiert geblieben sei. Auch die Auskunftspflicht sah das Gericht durch ein vorheriges Schreiben des Unternehmens als erfüllt an, und die Meldung an die zuständige irische Aufsichtsbehörde sei fristgerecht erfolgt.
Fazit
Das Urteil reiht sich in eine wachsende Zahl von Entscheidungen ein, die Klagen nach Datenlecks zurückhaltend gegenüberstehen, besonders wenn die Klageschrift auf mehrfach verwendeten Textbausteinen beruht. Zwar haben der Europäische Gerichtshof und der Bundesgerichtshof die materiellen Hürden für einen immateriellen Schaden zuletzt gesenkt, aber die volle Darlegungs- und Beweislast bleibt unverändert bei der klagenden Partei. In der Praxis läuft die Absenkung der materiellen Anforderungen damit häufig leer, wenn Betroffene ihre individuelle Betroffenheit nicht konkret belegen können.
Offen bleibt, wie mit der strukturellen Beweisnot vieler Betroffener nach großen Datenlecks umzugehen ist und ob die Beweisanforderungen der Realität von Massendatenlecks noch gerecht werden.
Wir beraten
Sie gerne zum
Datenschutzrecht!
