Nexvyra

EuGH C-182/22 und C-189/22 (Scalable Capital, VO 2016/679) – Datendiebstahl, Identitätsdiebstahl und Höhe des DSGVO-Schadensersatzes In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-10-22 · letzte Prüfung: 2026-10-22 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Mit Urteil vom **20.06.2024** in den verbundenen Rechtssachen **C-182/22 und C-189/22 (JU und SO gegen Scalable Capital GmbH)** hat der **Gerichtshof der Europäischen Union (Dritte Kammer)** fünf Fragen des **Amtsgerichts München** zum immateriellen Schadensersatz nach einem **Hackerangriff auf eine Trading-App** beantwortet. Kernaussagen: Der Anspruch aus **Art. 82 Abs. 1 DSGVO** hat **ausschließlich Ausgleichsfunktion** – keine Straf-, Abschreckungs- oder Genugtuungsfunktion. **Schwere und Vorsatz** des Verstoßes müssen bei der Bemessung **nicht** berücksichtigt werden. Ein Schaden durch eine Datenschutzverletzung ist **seiner Natur nach nicht weniger schwerwiegend als eine Körperverletzung**. Ist der Schaden nicht schwer, darf das Gericht einen **geringen, auch symbolisch wirkenden Betrag** zusprechen – sofern er den Schaden vollständig ausgleicht. Und: **„Identitätsdiebstahl"** im Sinne der Erwägungsgründe 75 und 85 liegt nur vor, wenn ein Dritter die Identität **tatsächlich missbräuchlich verwendet** hat; der bloße **Datendiebstahl ist noch kein Identitätsdiebstahl**. Schadensersatz für den Datendiebstahl selbst setzt aber **nicht** voraus, dass ein späterer Identitätsbetrug nachgewiesen wird.

Kernfakten

PunktWert
AktenzeichenC-182/22 und C-189/22 (verbunden) – „Scalable Capital"
Entscheidungsdatum20.06.2024
ECLIECLI:EU:C:2024:531
SpruchkörperGerichtshof der Europäischen Union, Dritte Kammer (K. Jürimäe, N. Piçarra, N. Jääskinen – Berichterstatter)
VerfahrensartVorabentscheidungsersuchen (Art. 267 AEUV)
Vorlegendes GerichtAmtsgericht München, Vorlagebeschlüsse vom 03.03.2022
VerfahrensspracheDeutsch
SchlussanträgeGeneralanwalt A. M. Collins, 26.10.2023
Ausgelegte NormenArt. 82 Abs. 1 DSGVO (VO (EU) 2016/679), Erwägungsgründe 75, 85, 146
Sachverhalt2020: Unbekannte Dritte erbeuten Namen, Geburtsdaten, Anschriften, E-Mail-Adressen, digitale Personalausweiskopien und Depotdaten von Nutzern einer Trading-App
Missbrauch festgestellt?Nein – nach Angaben von Scalable Capital bislang keine betrügerische Verwendung
BetroffeneLaut vorlegendem Gericht mehrere zehntausend Personen
Tenor 1 – FunktionArt. 82 Abs. 1 DSGVO erfüllt ausschließlich Ausgleichsfunktion; Geldersatz muss den Schaden in vollem Umfang ausgleichen
Tenor 2 – Schwere/VorsatzSchwere und etwaiger Vorsatz des Verstoßes müssen nicht berücksichtigt werden
Tenor 3 – Vergleich KörperverletzungDatenschutzschaden ist nicht per se weniger schwerwiegend als Körperverletzung
Tenor 4 – Geringer BetragBei nicht schwerem Schaden ist geringer, symbolisch wirkender Ersatz zulässig, wenn er den Schaden vollständig ausgleicht
Tenor 5 – IdentitätsdiebstahlSetzt tatsächliche missbräuchliche Verwendung der Identität durch Dritte voraus; Datendiebstahl allein genügt nicht
Tenor 5 – EinschränkungErsatz für Datendiebstahl darf nicht davon abhängig gemacht werden, dass ein späterer Identitätsdiebstahl nachgewiesen wird
AnspruchsvoraussetzungenKumulativ: (1) Verstoß gegen DSGVO, (2) Schaden, (3) Kausalität – Nachweislast bei der betroffenen Person
ErheblichkeitsschwelleKeine (Verweis auf C-456/22 Gemeinde Ummendorf)
Haftung VerantwortlicherVerschulden wird vermutet; Entlastung nur, wenn er nachweist, in keinerlei Hinsicht verantwortlich zu sein (Art. 82 Abs. 3 DSGVO)
Bemessung im EinzelnenNach nationalem Recht (Äquivalenz- und Effektivitätsgrundsatz) – in Deutschland § 287 ZPO
Abschreckung/SanktionÜber Geldbußen nach Art. 83 DSGVO (bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes) und Sanktionen nach Art. 84 – nicht über Art. 82
BindungswirkungVorabentscheidung bindet alle nationalen Gerichte bei vergleichbaren Fragen, wirkt ex tunc

Geltungsbereich

Das Urteil legt die Datenschutz-Grundverordnung (VO (EU) 2016/679) aus. Als EU-Verordnung gilt die DSGVO unmittelbar in allen Mitgliedstaaten; ein nationales Umsetzungsgesetz ist nicht erforderlich. Die Auslegung ist für alle Gerichte in der EU maßgeblich, die über Schadensersatzklagen nach Art. 82 DSGVO entscheiden.

Praktisch betroffen sind:

Der Fall

Die Scalable Capital GmbH betreibt eine Trading-App. Die Kläger JU und SO hatten dort Konten eröffnet und dafür Namen, Geburtsdatum, Postanschrift, E-Mail-Adresse und eine digitale Kopie ihres Personalausweises hinterlegt; zur Kontoeröffnung hatten sie jeweils einige tausend Euro eingezahlt. 2020 erbeuteten unbekannte Dritte diese personenbezogenen Daten sowie Angaben zu den Depots. Nach Angaben des Unternehmens wurden die Daten bis zur Vorlage nicht betrügerisch verwendet.

Die Kläger verlangten vor dem Amtsgericht München Ersatz ihres immateriellen Schadens. Das AG wies auf stark uneinheitliche Bemessungen deutscher Gerichte hin – je nachdem, ob eine Abschreckungswirkung eingepreist wurde – und hielt angesichts zehntausender Betroffener eine einheitliche Methode für nötig. Es legte dem Gerichtshof fünf gleichlautende Fragen vor: zur Straf- und Genugtuungsfunktion, zur Rolle von Vorsatz und grober Fahrlässigkeit, zum Vergleich mit Körperverletzungen, zur Zulässigkeit symbolischer Beträge und zum Begriff „Identitätsdiebstahl". Einen Antrag von Scalable Capital auf Anonymisierung des Verfahrens lehnte der Präsident des Gerichtshofs am 01.06.2022 ab.

Was der Gerichtshof entschieden hat

1. Nur Ausgleich, keine Strafe (Tenor 1). Art. 82 DSGVO unterscheidet sich von Art. 83 und 84 DSGVO, die Geldbußen und Sanktionen mit Strafzweck regeln. Der Gerichtshof bestätigt seine Linie aus Österreichische Post (C-300/21, 04.05.2023) und juris (C-741/21, 11.04.2024): Der Schadensersatz hat ausschließlich Ausgleichsfunktion; er muss den tatsächlich erlittenen Schaden in vollem Umfang ausgleichen, darf aber nicht darüber hinausgehen, um zu bestrafen oder abzuschrecken. Die Frage nach einer Genugtuungsfunktion musste deshalb nicht mehr beantwortet werden.

2. Schwere und Vorsatz spielen bei der Höhe keine Rolle (Tenor 2). Die Haftung des Verantwortlichen setzt zwar ein Verschulden voraus, das aber vermutet wird. Wie schwer dieses Verschulden wiegt oder ob vorsätzlich gehandelt wurde, ist für die Bemessung des immateriellen Schadensersatzes nicht maßgeblich (anknüpfend an Krankenversicherung Nordrhein, C-667/21 und MediaMarktSaturn, C-687/21).

3. Datenschutzschaden ist kein Schaden zweiter Klasse (Tenor 3). Das AG München hatte erwogen, Datenverluste geringer zu gewichten als körperliche Verletzungen. Der Gerichtshof verneint eine solche strukturelle Rangfolge: Die Erwägungsgründe 75 und 85 zählen physische, materielle und immaterielle Schäden ohne Hierarchie auf; eine pauschale Abwertung würde den Grundsatz des vollständigen und wirksamen Schadensersatzes (Erwägungsgrund 146) gefährden.

4. Kleine Beträge sind zulässig (Tenor 4). Der bloße Verstoß begründet keinen Anspruch; die betroffene Person muss Verstoß, Schaden und Kausalität nachweisen. Eine Erheblichkeitsschwelle gibt es nicht (Gemeinde Ummendorf, C-456/22). Ist ein Schaden nachgewiesen, aber nicht schwer, darf das nationale Gericht einen geringen Betrag zusprechen, der auch als symbolisch wahrgenommen werden kann – solange er den Schaden vollständig ausgleicht.

5. Datendiebstahl ist nicht gleich Identitätsdiebstahl (Tenor 5). Die DSGVO definiert „Identitätsdiebstahl" nicht. Die Begriffe „Identitätsdiebstahl" und „Identitätsbetrug" in den Erwägungsgründen 75 und 85 sind austauschbar und setzen die Absicht voraus, sich die Identität anzueignen. Weil die Erwägungsgründe den Kontrollverlust über Daten getrennt vom Identitätsdiebstahl aufführen, ist der Zugriff auf Daten allein noch kein Identitätsdiebstahl. Ein Identitätsdiebstahl liegt erst vor, wenn ein Dritter die Identität tatsächlich missbräuchlich verwendet hat. Zugleich gilt: Schadensersatz für den Datendiebstahl selbst darf nicht auf Fälle beschränkt werden, in denen ein anschließender Identitätsbetrug nachgewiesen ist – es genügen die drei allgemeinen Voraussetzungen.

Einordnung in die weitere Rechtsprechung

Zusammengenommen gilt seit 2024: Kontrollverlust nach einem Datendiebstahl kann Schaden sein – auch ohne Missbrauch –, die Höhe richtet sich aber allein nach dem tatsächlich erlittenen Nachteil und kann niedrig ausfallen. Erst ein tatsächlicher Identitätsmissbrauch (z. B. Verträge oder Konten unter falschem Namen) begründet den deutlich schwereren Schadensposten „Identitätsdiebstahl".

Was das für Verantwortliche bedeutet

Was das für betroffene Personen bedeutet

Häufige Fehler

Änderungsverlauf

Siehe auch

Stand

Quellen

Letzte Änderung:
2026-10-22
Letzte Prüfung:
2026-10-22
In Kraft seit:
2024-06-20
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.