Berliner Verkehrsbetriebe (BVG) - Datenleck

Die Missbrauchsgefahr eines Datenlecks hängt von den geleakten Daten ab. Bei der Veröffentlichung der E-Mail-Adresse ist mit erhöhtem Spampotential, Trojaner-Mails, Social Engineering und Phishing-Attacken zu rechnen. Auch ein Missbrauch von geleakten Passwörtern ist denkbar. Die Gefahren sind umso höher, je mehr Daten dem Absender zur Verfügung stehen. Es besteht in Folge eines Datenschutzvorfalls das konkrete Risiko von finanziellen Schäden, beispielsweise durch den Missbrauch von Kreditkartendaten oder einem Identitätsdiebstahl. Sofern Standortdaten betroffen sind, könnten zudem Bewegungsprofile der Betroffenen erstellt werden. Es steigt schließlich das Risiko Opfer von Erpressungen oder Drohungen zu werden, insbesondere soweit sensible Daten betroffen sind, wie die politische Gesinnung, Gewerkschaftszugehörigkeit, sexuelle Orientierung oder Gesundheitsdaten.

Mit der Unterstützung von Protectra, die die Ansprüche der Betroffenen in individuellen Verfahren wie auch gebündelt geltend macht und Ihnen das Prozessrisiko abnimmt.

Besonders erfreulich für Betroffene: Nach Art. 82 Abs. 4 DSGVO haften der Verantwortliche und in die Verarbeitung gegebenenfalls einbezogene Auftragsverarbeiter als Gesamtschuldner für Verstöße. Nach Art. 82 Abs. 3 DSGVO ergibt sich zudem eine erhebliche Erleichterung für die Anspruchsdurchsetzung, da der Verantwortliche einen ordnungsgemäßen Umgang mit personenbezogenen Daten beweisen muss.

Neben dem Auskunfts- und Unterlassungsanspruch steht Betroffenen ein Schadensersatzanspruch nach Art. 82 DSGVO zu. Danach sind materielle Schäden (denkbar zum Beispiel Aufwand für einen Tausch der Mailadresse) wie auch immaterielle Schäden zu ersetzen. Hierunter sind pauschale Abgeltungen für spürbare Nachteile durch objektiv nachvollziehbare, mit gewissem Gewicht einhergehende Beeinträchtigungen von persönlichkeitsbezogenen Belangen zu fassen.

Kurz zusammengefasst setzt ein Schadensersatzanspruch nach Art. 82 DSGVO einen Verstoß gegen die DSGVO (z. B. unzureichende Datensicherheit beim Anbieter), einen materiellen oder immateriellen Schaden, wie etwa finanzielle Verluste, Kontrollverlust über persönliche Daten oder Stress durch Spam sowie einen ursächlichen Zusammenhang zwischen Verstoß und Schaden voraus.

Auch für immaterielle Schäden sehen sowohl Art. 82 Abs. 1 DSGVO als auch § 83 Abs. 2 BDSG eine Entschädigung vor. Seit Dezember 2023 hat der Europäische Gerichtshof (EuGH) mit einer Serie von Entscheidungen (C-340/21, C-456/22, C-667/21, C-300/21, C-182/22, C-189/22, C-200/23) die Voraussetzungen zugunsten Betroffener, deren personenbezogene Daten ungewollt veröffentlicht wurden, näher definiert unter denen ein Schadensersatzanspruch zusteht. Der BGH hat im November 2024 schließlich in seiner Leitentscheidung zum Scraping Vorfall bei Facebook entschieden, dass allein der Kontrollverlust über personenbezogene Daten einen Schaden im Sinne von Art. 82 DSGVO darstellen kann und zusätzlich keine Befürchtungen oder Ängste nachgewiesen werden müssten.

Die Höhe eines DSGVO-Schadensersatzes lässt sich nicht pauschal beziffern, da hängt vom jeweiligen Einzelfall abhängt: Welche Daten waren betroffen? Wie schwer wog der Verstoß? Welche Folgen hatte er konkret? Und wie konsequent wurde das Recht durchgesetzt?
Inzwischen gibt es zahlreiche Entscheidungen bis hin zum Bundesgerichtshof, die Leitlinien zur Höhe des Schadensersatzes liefern und zeigen, was Betroffene heute tatsächlich erwarten können. Wir haben die wichtigsten Informationen für Sie kompakt in einem Beitrag zusammengefasst.

Sobald es Neuigkeiten gibt, informieren wir Sie über den Stand Ihres Verfahrens. Darüber hinaus bitten wir Sie von Anfragen abzusehen. Es ist gerade in einem relativ neuen Rechtsgebiet ohne ständige Rechtsprechung nichts Ungewöhnliches, dass der Abschluss einer Instanz viel Zeit (auch bis über ein Jahr) in Anspruch nimmt.

Protectra, unsere Gegner oder die Rechtsschutzversicherung

Das Verfahren kann je nach Komplexität und Instanz einige Monate bis hin zu mehreren Jahren dauern. Es ist wichtig zu beachten, dass die Dauer des Verfahrens von vielen Faktoren abhängt, einschließlich der Rechtslage, der Kooperation des Verantwortlichen und der Gerichtsbelastung.

Wir informieren Sie regelmäßig über den Stand Ihres Verfahrens. Aufgrund der hohen Fallzahlen bitten wir Sie vor Anfragen zunächst unsere FAQ sowie unsere Updates zu lesen.

Um eine Forderung geltend machen zu können, müssen Sie von einem Datenschutzvorfall betroffen sein und Ihre Ansprüche an Protectra abtreten oder uns zur rechtlichen Vertretung bevollmächtigen. Wir lassen dann prüfen, ob ein Anspruch auf Schadensersatz nach Art. 82 DSGVO besteht.

Wir lassen jeden Fall sorgfältig prüfen und entscheiden auf Grundlage der Rechtslage, der Schwere des Datenschutzverstoßes und der Chancen auf Erfolg, ob wir den Fall übernehmen.

Wir bemühen uns, den Zeitaufwand für Sie so gering wie möglich zu halten. In der Regel müssen Sie nur bei der Erstkontaktaufnahme und während des Verfahrens aktiv werden, wenn wir noch Informationen zur Fallbearbeitung benötigen.