Nexvyra

EuGH C-340/21 (NAP, VO 2016/679) – Cyberangriff, Beweislast für Sicherheitsmaßnahmen (Art. 32) und Schadensersatz bei Missbrauchsangst (Art. 82) In Kraft

Inhaltlich verantwortlich: Andreas Warkentin (warepoint-media GbR) · letzte Änderung: 2026-10-25 · letzte Prüfung: 2026-10-25 · Quellen-Autorität A Fehler melden ✉
Kurzantwort Im Urteil **C-340/21 (VB ./. Natsionalna agentsia za prihodite, „NAP")** vom **14.12.2023** hat der EuGH (Dritte Kammer) vier Fragen zur Haftung nach einem Hackerangriff geklärt. **Erstens:** Ein Datenleck beweist allein nicht, dass die technischen und organisatorischen Maßnahmen (TOM) nach **Art. 24 und 32 DSGVO** ungeeignet waren — Gerichte müssen die Eignung konkret prüfen. **Zweitens:** Im Schadensersatzprozess trägt der **Verantwortliche die Beweislast**, dass seine Maßnahmen geeignet waren. **Drittens:** Ein Angriff durch Dritte entlastet nicht automatisch; der Verantwortliche muss nach **Art. 82 Abs. 3 DSGVO** nachweisen, dass er „in keinerlei Hinsicht" für den Schaden verantwortlich ist. **Viertens:** Schon die **begründete Befürchtung eines Datenmissbrauchs** kann für sich genommen einen **immateriellen Schaden** darstellen. Die DSGVO ist eine **EU-Verordnung und unmittelbar anwendbar** — ein deutsches Umsetzungsgesetz ist nicht nötig. Das Urteil bindet deutsche Gerichte bei der Auslegung von Art. 82 DSGVO. > Hinweis zur Prüfung: Die Aussagen sind anhand der EuGH-Pressemitteilung Nr. 191/23 und einer Kanzlei-Zusammenfassung abgeglichen; der Volltext-Abgleich der Randnummern steht aus (daher `factcheck_status: review_needed`).

Kernfakten

PunktWert
Gericht / DatumEuGH, Dritte Kammer, Urteil vom 14.12.2023
AktenzeichenC-340/21
VorlagegerichtVarhoven administrativen sad (Oberstes Verwaltungsgericht, Bulgarien)
BeklagteNatsionalna agentsia za prihodite (NAP, bulgarische Steuerbehörde)
AuslegungsnormArt. 5, 24, 32, 82 der Verordnung (EU) 2016/679 (DSGVO)
SachverhaltCyberangriff auf das IT-System der NAP (bekannt geworden Juli 2019); Steuer- und Sozialversicherungsdaten von Millionen Personen im Internet veröffentlicht
Kein Rückschluss vom LeckUnbefugte Offenlegung/Zugang durch Dritte beweist für sich nicht die Ungeeignetheit der TOM
KontrolldichteKonkrete materielle Prüfung der TOM nach den Kriterien des Art. 32
Beweislast TOMVerantwortlicher muss die Eignung seiner Maßnahmen beweisen
ExkulpationArt. 82 Abs. 3: Nachweis, dass er „in keinerlei Hinsicht" verantwortlich ist
SchadenBegründete Missbrauchsangst kann allein immateriellen Schaden darstellen; keine Erheblichkeitsschwelle
Bußgeldrahmen Art. 32bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes [Art. 83 Abs. 4 lit. a DSGVO]
RechtsnaturEU-Verordnung, unmittelbar anwendbar; Urteil bindend für die Auslegung

Geltungsbereich

Das Urteil betrifft alle Verantwortlichen (Unternehmen, Vereine, Behörden), die personenbezogene Daten verarbeiten und von einem Angriff, einer Datenpanne oder einem sonstigen unbefugten Zugriff betroffen sind. Die Maßstäbe zu Art. 32 gelten ebenso für Auftragsverarbeiter. Für die Klage maßgeblich ist der zivilrechtliche Anspruch aus Art. 82 DSGVO; Verfahrens- und Beweisregeln im Übrigen richten sich nach nationalem Recht, soweit das Unionsrecht (Äquivalenz, Effektivität) nicht entgegensteht.

Der Fall

Im Juli 2019 wurde bekannt, dass ein Cyberangriff auf das Informationssystem der bulgarischen Steuerbehörde NAP erfolgt war und Daten von Millionen Personen veröffentlicht wurden. Eine betroffene Person klagte auf Ersatz ihres immateriellen Schadens, den sie in der Sorge vor künftigem Missbrauch ihrer Daten sah. Die NAP wandte ein, sie habe geeignete Schutzmaßnahmen getroffen und die Veröffentlichung sei ihr nicht zurechenbar. Die Vorinstanz wies die Klage ab und legte der Klägerin die Beweislast auf. Das Oberste Verwaltungsgericht legte dem EuGH Auslegungsfragen vor, weil die bulgarischen Gerichte uneinheitlich entschieden.

Was der Gerichtshof entschieden hat

  1. Kein Automatismus (Art. 24, 32 DSGVO): Art. 32 verlangt ein dem Risiko angemessenes Schutzniveau, nicht die Vermeidung jedes Risikos. Allein weil Dritte unbefugt Zugang erlangt haben, folgt nicht, dass die Maßnahmen ungeeignet waren.
  2. Konkrete gerichtliche Prüfung: Das Gericht muss die Maßnahmen, ihre Umsetzung und ihre Wirkung anhand aller Kriterien des Art. 32 und der Umstände des Einzelfalls beurteilen. Der bloße Nachweis, dass überhaupt Maßnahmen bestehen, genügt nicht. Ein Sachverständigengutachten ist nach der Entscheidung kein systematisch notwendiges und allein ausreichendes Beweismittel *(Randnummer im Volltext noch zu prüfen)*.
  3. Beweislast beim Verantwortlichen: Aus Art. 5 Abs. 2, Art. 24 Abs. 1 und Art. 32 Abs. 1 (Rechenschaftspflicht) folgt, dass im Verfahren nach Art. 82 der Verantwortliche die Eignung der Maßnahmen nachweisen muss.
  4. Haftung trotz Angriffs Dritter: Ein Cyberangriff befreit nicht pauschal; Art. 82 Abs. 3 verlangt den Nachweis, dass der Verantwortliche in keinerlei Hinsicht für den schadensauslösenden Umstand verantwortlich ist.
  5. Missbrauchsangst als Schaden: Die begründete Befürchtung eines Missbrauchs kann einen immateriellen Schaden darstellen. Die betroffene Person muss darlegen, dass die Befürchtung unter den Umständen begründet ist und negative Folgen hat.

Einordnung in die weitere Rechtsprechung

Das Urteil ergänzt die Linie zu Art. 82: Ein Mindestmaß an Erheblichkeit ist nicht erforderlich; die Schadenshöhe richtet sich nach nationalem Recht. Zum Datendiebstahl und Identitätsmissbrauch siehe [EuGH C-182/22 (Scalable Capital)](/fakten/eugh-c-182-22-scalable-capital-datendiebstahl-identitaetsdiebstahl.html); zum Überblick [DSGVO-Schadensersatz Art. 82](/fakten/dsgvo-schadensersatz-art-82-eugh.html) und zu den Pflichten selbst [DSGVO Art. 32 – TOM](/fakten/dsgvo-tom-art-32.html).

Was das für Verantwortliche bedeutet

Was das für betroffene Personen bedeutet

Betroffene müssen weiterhin darlegen, dass sie einen Schaden haben (z. B. begründete Missbrauchsangst, konkrete Folgen) und dass er auf dem Verstoß beruht. Ob die Maßnahmen des Verantwortlichen geeignet waren, muss dieser dagegen beweisen. Eine bloß hypothetische, unbegründete Sorge reicht nicht.

Häufige Fehler

Änderungsverlauf

Siehe auch

Stand

Quellen

Letzte Änderung:
2026-10-25
Letzte Prüfung:
2026-10-25
In Kraft seit:
2023-12-14
Status:
In Kraft
Quellen-Autorität:
A
Lizenz:
CC BY 4.0
Fehler gefunden? Bitte melden an info@nexvyra.fr.