{
    "slug": "eugh-c-182-22-scalable-capital-datendiebstahl-identitaetsdiebstahl",
    "titre": "EuGH C-182/22 und C-189/22 (Scalable Capital, VO 2016/679) – Datendiebstahl, Identitätsdiebstahl und Höhe des DSGVO-Schadensersatzes",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Mit Urteil vom 20.06.2024 in den verbundenen Rechtssachen C-182/22 und C-189/22 (JU und SO gegen Scalable Capital GmbH) hat der Gerichtshof der Europäischen…",
    "resume_court": "Mit Urteil vom **20.06.2024** in den verbundenen Rechtssachen **C-182/22 und C-189/22 (JU und SO gegen Scalable Capital GmbH)** hat der **Gerichtshof der Europäischen Union (Dritte Kammer)** fünf Fragen des **Amtsgerichts München** zum immateriellen Schadensersatz nach einem **Hackerangriff auf eine Trading-App** beantwortet. Kernaussagen: Der Anspruch aus **Art. 82 Abs. 1 DSGVO** hat **ausschließlich Ausgleichsfunktion** – keine Straf-, Abschreckungs- oder Genugtuungsfunktion. **Schwere und Vorsatz** des Verstoßes müssen bei der Bemessung **nicht** berücksichtigt werden. Ein Schaden durch eine Datenschutzverletzung ist **seiner Natur nach nicht weniger schwerwiegend als eine Körperverletzung**. Ist der Schaden nicht schwer, darf das Gericht einen **geringen, auch symbolisch wirkenden Betrag** zusprechen – sofern er den Schaden vollständig ausgleicht. Und: **„Identitätsdiebstahl\u0022** im Sinne der Erwägungsgründe 75 und 85 liegt nur vor, wenn ein Dritter die Identität **tatsächlich missbräuchlich verwendet** hat; der bloße **Datendiebstahl ist noch kein Identitätsdiebstahl**. Schadensersatz für den Datendiebstahl selbst setzt aber **nicht** voraus, dass ein späterer Identitätsbetrug nachgewiesen wird.",
    "faits": [
        {
            "point": "Aktenzeichen",
            "valeur": "C-182/22 und C-189/22 (verbunden) – „Scalable Capital\u0022",
            "autorite": "A"
        },
        {
            "point": "Entscheidungsdatum",
            "valeur": "20.06.2024",
            "autorite": "A"
        },
        {
            "point": "ECLI",
            "valeur": "ECLI:EU:C:2024:531",
            "autorite": "A"
        },
        {
            "point": "Spruchkörper",
            "valeur": "Gerichtshof der Europäischen Union, Dritte Kammer (K. Jürimäe, N. Piçarra, N. Jääskinen – Berichterstatter)",
            "autorite": "A"
        },
        {
            "point": "Verfahrensart",
            "valeur": "Vorabentscheidungsersuchen (Art. 267 AEUV)",
            "autorite": "A"
        },
        {
            "point": "Vorlegendes Gericht",
            "valeur": "Amtsgericht München, Vorlagebeschlüsse vom 03.03.2022",
            "autorite": "A"
        },
        {
            "point": "Verfahrenssprache",
            "valeur": "Deutsch",
            "autorite": "A"
        },
        {
            "point": "Schlussanträge",
            "valeur": "Generalanwalt A. M. Collins, 26.10.2023",
            "autorite": "A"
        },
        {
            "point": "Ausgelegte Normen",
            "valeur": "Art. 82 Abs. 1 DSGVO (VO (EU) 2016/679), Erwägungsgründe 75, 85, 146",
            "autorite": "A"
        },
        {
            "point": "Sachverhalt",
            "valeur": "2020: Unbekannte Dritte erbeuten Namen, Geburtsdaten, Anschriften, E-Mail-Adressen, digitale Personalausweiskopien und Depotdaten von Nutzern einer Trading-App",
            "autorite": "A"
        },
        {
            "point": "Missbrauch festgestellt?",
            "valeur": "Nein – nach Angaben von Scalable Capital bislang keine betrügerische Verwendung",
            "autorite": "A"
        },
        {
            "point": "Betroffene",
            "valeur": "Laut vorlegendem Gericht mehrere zehntausend Personen",
            "autorite": "A"
        },
        {
            "point": "Tenor 1 – Funktion",
            "valeur": "Art. 82 Abs. 1 DSGVO erfüllt ausschließlich Ausgleichsfunktion; Geldersatz muss den Schaden in vollem Umfang ausgleichen",
            "autorite": "A"
        },
        {
            "point": "Tenor 2 – Schwere/Vorsatz",
            "valeur": "Schwere und etwaiger Vorsatz des Verstoßes müssen nicht berücksichtigt werden",
            "autorite": "A"
        },
        {
            "point": "Tenor 3 – Vergleich Körperverletzung",
            "valeur": "Datenschutzschaden ist nicht per se weniger schwerwiegend als Körperverletzung",
            "autorite": "A"
        },
        {
            "point": "Tenor 4 – Geringer Betrag",
            "valeur": "Bei nicht schwerem Schaden ist geringer, symbolisch wirkender Ersatz zulässig, wenn er den Schaden vollständig ausgleicht",
            "autorite": "A"
        },
        {
            "point": "Tenor 5 – Identitätsdiebstahl",
            "valeur": "Setzt tatsächliche missbräuchliche Verwendung der Identität durch Dritte voraus; Datendiebstahl allein genügt nicht",
            "autorite": "A"
        },
        {
            "point": "Tenor 5 – Einschränkung",
            "valeur": "Ersatz für Datendiebstahl darf nicht davon abhängig gemacht werden, dass ein späterer Identitätsdiebstahl nachgewiesen wird",
            "autorite": "A"
        },
        {
            "point": "Anspruchsvoraussetzungen",
            "valeur": "Kumulativ: (1) Verstoß gegen DSGVO, (2) Schaden, (3) Kausalität – Nachweislast bei der betroffenen Person",
            "autorite": "A"
        },
        {
            "point": "Erheblichkeitsschwelle",
            "valeur": "Keine (Verweis auf C-456/22 Gemeinde Ummendorf)",
            "autorite": "A"
        },
        {
            "point": "Haftung Verantwortlicher",
            "valeur": "Verschulden wird vermutet; Entlastung nur, wenn er nachweist, in keinerlei Hinsicht verantwortlich zu sein (Art. 82 Abs. 3 DSGVO)",
            "autorite": "A"
        },
        {
            "point": "Bemessung im Einzelnen",
            "valeur": "Nach nationalem Recht (Äquivalenz- und Effektivitätsgrundsatz) – in Deutschland § 287 ZPO",
            "autorite": "A"
        },
        {
            "point": "Abschreckung/Sanktion",
            "valeur": "Über Geldbußen nach Art. 83 DSGVO (bis 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes) und Sanktionen nach Art. 84 – nicht über Art. 82",
            "autorite": "A"
        },
        {
            "point": "Bindungswirkung",
            "valeur": "Vorabentscheidung bindet alle nationalen Gerichte bei vergleichbaren Fragen, wirkt ex tunc",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "EUR-Lex – Urteil des Gerichtshofs (Dritte Kammer) vom 20.06.2024, verbundene Rechtssachen C-182/22 und C-189/22 (Scalable Capital), CELEX 62022CJ0182, ECLI:EU:C:2024:531",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62022CJ0182",
            "autorite": "A"
        },
        {
            "titre": "InfoCuria – Verfahrensdokumentation zur Rechtssache C-182/22",
            "url": "https://curia.europa.eu/juris/liste.jsf?num=C-182%2F22",
            "autorite": "A"
        },
        {
            "titre": "dejure.org – Permalink EuGH, 20.06.2024 – C-182/22",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=EuGH\u0026Datum=20.06.2024\u0026Aktenzeichen=C-182%2F22",
            "autorite": "A"
        },
        {
            "titre": "dejure.org – Permalink BGH, 18.11.2024 – VI ZR 10/24 (Scraping, Kontrollverlust als Schaden)",
            "url": "https://dejure.org/dienste/vernetzung/rechtsprechung?Gericht=BGH\u0026Datum=18.11.2024\u0026Aktenzeichen=VI+ZR+10%2F24",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Verordnung (EU) 2016/679 (DSGVO), Volltext (Art. 5, 32, 33, 34, 82, 83, 84; Erwägungsgründe 75, 85, 146)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Urteil vom 04.05.2023, C-300/21 (Österreichische Post), CELEX 62021CJ0300",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0300",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Urteil vom 11.04.2024, C-741/21 (juris), CELEX 62021CJ0741",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0741",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Urteil vom 25.01.2024, C-687/21 (MediaMarktSaturn), CELEX 62021CJ0687",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0687",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Urteil vom 14.12.2023, C-340/21 (Natsionalna agentsia za prihodite), CELEX 62021CJ0340",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0340",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Urteil vom 04.10.2024, C-200/23 (Agentsia po vpisvaniyata), CELEX 62023CJ0200",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CJ0200",
            "autorite": "A"
        },
        {
            "titre": "gesetze-im-internet.de – § 287 ZPO (Schadensermittlung)",
            "url": "https://www.gesetze-im-internet.de/zpo/__287.html",
            "autorite": "A"
        },
        {
            "titre": "gesetze-im-internet.de – § 8 GwG (Aufzeichnungs- und Aufbewahrungspflicht)",
            "url": "https://www.gesetze-im-internet.de/gwg_2017/__8.html",
            "autorite": "A"
        },
        {
            "titre": "EU-Kommission – Schadensersatz und Rechtsbehelfe nach der DSGVO",
            "url": "https://commission.europa.eu/law/law-topic/data-protection/reform/rights-citizens/redress_de",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt EuGH C-182/22 und C-189/22 (Scalable Capital, VO 2016/679) – Datendiebstahl, Identitätsdiebstahl und Höhe des DSGVO-Schadensersatzes?",
            "reponse": "Mit Urteil vom 20.06.2024 in den verbundenen Rechtssachen C-182/22 und C-189/22 (JU und SO gegen Scalable Capital GmbH) hat der Gerichtshof der Europäischen Union (Dritte Kammer) fünf Fragen des Amtsgerichts München zum immateriellen Schadensersatz nach einem Hackerangriff auf eine Trading-App beantwortet. Kernaussagen: Der Anspruch aus Art. 82 Abs."
        },
        {
            "question": "Für wen gilt EuGH C-182/22 und C-189/22 (Scalable Capital, VO 2016/679)?",
            "reponse": "Das Urteil legt die Datenschutz-Grundverordnung (VO (EU) 2016/679) aus. Als EU-Verordnung gilt die DSGVO unmittelbar in allen Mitgliedstaaten; ein nationales Umsetzungsgesetz ist nicht erforderlich. Die Auslegung ist für alle Gerichte in der EU maßgeblich, die über Schadensersatzklagen nach Art. 82 DSGVO entscheiden."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei EuGH C-182/22 und C-189/22 (Scalable Capital, VO 2016/679)?",
            "reponse": "„Datendiebstahl ist automatisch Identitätsdiebstahl.\u0022 Falsch – der Gerichtshof trennt beides. Identitätsdiebstahl setzt die tatsächliche missbräuchliche Verwendung der Identität durch einen Dritten voraus. „Ohne Identitätsbetrug gibt es keinen Schadensersatz.\u0022 Ebenfalls falsch – der Ersatz für den Datendiebstahl darf nicht vom Nachweis eines späteren Identitätsbetrugs abhängig gemacht werden."
        }
    ],
    "wikidata": [],
    "valid_from": "2024-06-20",
    "valid_to": null,
    "derniere_revision": "2026-10-22",
    "derniere_verification": "2026-10-22",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/eugh-c-182-22-scalable-capital-datendiebstahl-identitaetsdiebstahl"
}