Für Organisationen und Unternehmen ist es von entscheidender Bedeutung, angemessene Sicherheitsmaßnahmen zu implementieren, um die Vertraulichkeit, Integrität und Verfügbarkeit der personenbezogenen Daten zu gewährleisten. Die aktuelle Bedrohungslage für Unternehmen durch Cyberangriffe ist ernst. Das Bundeskriminalamt wies in seiner Statistik für das Jahr 2022 knapp 140.000 Fälle von Cybercrime aus. IT-Experten sind sich einig: Die Frage ist nicht ob, sondern wann Unternehmen, Behörden und andere Einrichtungen von Hackern angegriffen werden.
Was aber, wenn ein Unternehmen trotz angemessener Sicherheitsmaßnahmen gehackt wird und die Daten im Internet veröffentlicht werden? Hat das Unternehmen seine Pflichten verletzt? So geschehen bei der bulgarischen Behörde für Einnahmen. Die Steuer- und Sozialversicherungsdaten von Millionen von Menschen wurden nach dem erfolgreichen Angriff im Internet veröffentlicht. Da die Bürger befürchteten, Opfer von Identitäts- und Computerbetrug mit unabsehbaren finanziellen Folgen zu werden, machten sie Schadenersatzansprüche geltend.
Aufgrund der Klagen der Bürger wandte sich das Oberste Verwaltungsgericht Bulgariens mit Fragen zur Haftung und zu Sicherheitsstandards an den Europäischen Gerichtshof (EuGH). Der EuGH entschied, dass im Fall einer unbefugten Offenlegung von Daten bzw. einem unbefugten Zugang zu Daten die Tatsache, dass ein solcher Vorfall stattgefunden hat, allein nicht ausreicht, um festzustellen, dass die Datenschutzmaßnahmen ungeeignet waren.
Die Angemessenheit technischer und organisatorischer Maßnahmen ist laut EuGH im Einzelfall zu beurteilen. Die Datenschutz-Grundverordnung (DSGVO) legt kein bestimmtes Sicherheitsniveau fest, sondern ermöglicht einen risikoorientierten Ansatz zum Schutz der zu verarbeitenden Daten. Allerdings muss der Verantwortliche infolge seiner Rechenschaftspflicht nachweisen können, dass seine getroffenen technischen und organisatorischen Maßnahmen geeignet sind. Auch Artikel 24 und 32 DSGVO sprechen von einem „dem Risiko angemessenen Schutzniveau“, das heißt die DSGVO zielt auf ein Risikomanagement ab und verlangt nicht die vollständige Beseitigung des Risikos einer Verletzung des Schutzes personenbezogener Daten. Kurzum: Datenverstoß heißt nicht automatisch, dass die Maßnahmen ungeeignet waren.
Der EuGH entschied außerdem, dass die Maßnahmen zwar immer dem „Stand der Technik“ entsprechen müssten, könnten aber zu einem bestimmten Zeitpunkt angemessen sein und dennoch von Cyberkriminellen überwunden werden. Daher könne man einem Verantwortlichen nicht die Pflicht auferlegen, jede mögliche Datenverletzung zu verhindern. Art. 32 Abs. 1 DSGVO berücksichtige bei dieser Beurteilung der zu treffenden Maßnahmen auch die Implementierungskosten, was zeigt, dass nicht jede denkbare Maßnahme ergriffen werden muss. Vielmehr hat der Verantwortliche eine Abwägung zwischen dem technisch und wirtschaftlich Möglichen einerseits und dem Interesse an einem höchstmöglichen Schutz andererseits vorzunehmen.
Des Weiteren entschied der EuGH, dass der Verantwortliche im Rahmen eines Schadenersatzanspruchs nach Art. 82 DSGVO die Beweislast für die Angemessenheit der von ihm getroffenen technischen und organisatorischen Maßnahmen trägt. Er muss die Grundsätze der Integrität und Vertraulichkeit aus Art. 5 DSGVO beachten, das heißt, die Daten sind so zu verarbeiten, dass durch technische und organisatorische Maßnahmen ein angemessenes Sicherheitsniveau gewährleistet ist. Dies soll vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung der Daten schützen.
Auf die Frage, ob ein Cyberangriff auch zu einer Haftungsbefreiung führen könne, lehnte der EuGH eine pauschale Haftungsbefreiung ab. Art. 82 Abs. 3 DSGVO sieht vor, dass ein Verantwortlicher von der Haftung auf Schadensersatz befreit ist, wenn er sich exkulpieren kann. Dazu muss der Verantwortliche konkret nachweisen, dass er für den Umstand, durch den der Schaden eingetreten ist, in keinerlei Hinsicht verantwortlich ist.
Die Entscheidung des EuGH stellt klar, dass allein die Tatsache, dass es zu einem Datenleck gekommen ist, nicht automatisch bedeutet, dass die vom Verantwortlichen ergriffenen technischen und organisatorischen Maßnahmen zur Datensicherheit ungeeignet waren. Dies ist im Hinblick auf die bei der Umsetzung der Maßnahmen zu berücksichtigenden Implementierungskosten einleuchtend und konsequent. In Zeiten zunehmender hochprofessioneller Angriffe auf IT-Infrastrukturen ist es wirtschaftlich und faktisch unmöglich, jeden Angriff von vornherein zu verhindern. Die Beweislast für die Angemessenheit technischer und organisatorischer Maßnahmen liegt beim Verantwortlichen, der sich nicht allein mit dem Argument von der Haftung befreien kann, dass die Verletzung durch Cyberangriffe Dritter verursacht wurde.
Als Konsequenz ist festzuhalten, dass Unternehmen sich noch stärker um eine robuste und dem Stand der Technik entsprechende IT-Sicherheitsstruktur und um ein angemessenes Datenschutzniveau bemühen sollten, um Schadenfragen gar nicht erst aufkommen zu lassen und – im Falle einer Datenpanne – die Argumentation und Beweisführung zu erleichtern. Einen weiteren Pluspunkt erhält der Verantwortliche, wenn er nachweisen kann, dass er vorab geprüft hat, ob die geplanten Verarbeitungstätigkeiten ein „hohes Risiko für die Rechte und Freiheiten natürlicher Personen“ beinhalten und das Ergebnis einschließlich definierter Schutzmaßnahmen nachweisen kann.
