{
    "slug": "eugh-c-340-21-nap-cyberangriff-beweislast-tom-art-32-82",
    "titre": "EuGH C-340/21 (NAP, VO 2016/679) – Cyberangriff, Beweislast für Sicherheitsmaßnahmen (Art. 32) und Schadensersatz bei Missbrauchsangst (Art. 82)",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Im Urteil C-340/21 (VB ./. Natsionalna agentsia za prihodite, „NAP\u0022) vom 14.12.2023 hat der EuGH (Dritte Kammer) vier Fragen zur Haftung nach einem…",
    "resume_court": "Im Urteil **C-340/21 (VB ./. Natsionalna agentsia za prihodite, „NAP\u0022)** vom **14.12.2023** hat der EuGH (Dritte Kammer) vier Fragen zur Haftung nach einem Hackerangriff geklärt. **Erstens:** Ein Datenleck beweist allein nicht, dass die technischen und organisatorischen Maßnahmen (TOM) nach **Art. 24 und 32 DSGVO** ungeeignet waren — Gerichte müssen die Eignung konkret prüfen. **Zweitens:** Im Schadensersatzprozess trägt der **Verantwortliche die Beweislast**, dass seine Maßnahmen geeignet waren. **Drittens:** Ein Angriff durch Dritte entlastet nicht automatisch; der Verantwortliche muss nach **Art. 82 Abs. 3 DSGVO** nachweisen, dass er „in keinerlei Hinsicht\u0022 für den Schaden verantwortlich ist. **Viertens:** Schon die **begründete Befürchtung eines Datenmissbrauchs** kann für sich genommen einen **immateriellen Schaden** darstellen.\n\nDie DSGVO ist eine **EU-Verordnung und unmittelbar anwendbar** — ein deutsches Umsetzungsgesetz ist nicht nötig. Das Urteil bindet deutsche Gerichte bei der Auslegung von Art. 82 DSGVO.\n\n\u003E Hinweis zur Prüfung: Die Aussagen sind anhand der EuGH-Pressemitteilung Nr. 191/23 und einer Kanzlei-Zusammenfassung abgeglichen; der Volltext-Abgleich der Randnummern steht aus (daher `factcheck_status: review_needed`).",
    "faits": [
        {
            "point": "Gericht / Datum",
            "valeur": "EuGH, Dritte Kammer, Urteil vom 14.12.2023",
            "autorite": "A"
        },
        {
            "point": "Aktenzeichen",
            "valeur": "C-340/21",
            "autorite": "A"
        },
        {
            "point": "Vorlagegericht",
            "valeur": "Varhoven administrativen sad (Oberstes Verwaltungsgericht, Bulgarien)",
            "autorite": "A"
        },
        {
            "point": "Beklagte",
            "valeur": "Natsionalna agentsia za prihodite (NAP, bulgarische Steuerbehörde)",
            "autorite": "A"
        },
        {
            "point": "Auslegungsnorm",
            "valeur": "Art. 5, 24, 32, 82 der Verordnung (EU) 2016/679 (DSGVO)",
            "autorite": "A"
        },
        {
            "point": "Sachverhalt",
            "valeur": "Cyberangriff auf das IT-System der NAP (bekannt geworden Juli 2019); Steuer- und Sozialversicherungsdaten von Millionen Personen im Internet veröffentlicht",
            "autorite": "A"
        },
        {
            "point": "Kein Rückschluss vom Leck",
            "valeur": "Unbefugte Offenlegung/Zugang durch Dritte beweist für sich nicht die Ungeeignetheit der TOM",
            "autorite": "A"
        },
        {
            "point": "Kontrolldichte",
            "valeur": "Konkrete materielle Prüfung der TOM nach den Kriterien des Art. 32",
            "autorite": "A"
        },
        {
            "point": "Beweislast TOM",
            "valeur": "Verantwortlicher muss die Eignung seiner Maßnahmen beweisen",
            "autorite": "A"
        },
        {
            "point": "Exkulpation",
            "valeur": "Art. 82 Abs. 3: Nachweis, dass er „in keinerlei Hinsicht\u0022 verantwortlich ist",
            "autorite": "A"
        },
        {
            "point": "Schaden",
            "valeur": "Begründete Missbrauchsangst kann allein immateriellen Schaden darstellen; keine Erheblichkeitsschwelle",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen Art. 32",
            "valeur": "bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes [Art. 83 Abs. 4 lit. a DSGVO]",
            "autorite": "A"
        },
        {
            "point": "Rechtsnatur",
            "valeur": "EU-Verordnung, unmittelbar anwendbar; Urteil bindend für die Auslegung",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "EuGH, Urteil vom 14.12.2023, C-340/21 – Rechtsprechungsdatenbank",
            "url": "https://curia.europa.eu/juris/documents.jsf?num=C-340/21",
            "autorite": "A"
        },
        {
            "titre": "EuGH, Pressemitteilung Nr. 191/23 zu C-340/21",
            "url": "https://curia.europa.eu/jcms/jcms/p1_4220393/de",
            "autorite": "A"
        },
        {
            "titre": "Urteil C-340/21 auf EUR-Lex (CELEX 62021CJ0340)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0340",
            "autorite": "A"
        },
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO), EUR-Lex",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "Heuking – Zusammenfassung des Urteils (Sekundärquelle)",
            "url": "https://www.heuking.de/de/news-events/newsletter-fachbeitraege/artikel/eugh-urteilt-zur-haftung-und-schadensersatz-bei-cyberangriffen.html",
            "autorite": "A"
        },
        {
            "titre": "Nationale Umsetzung: nicht erforderlich (unmittelbar anwendbare EU-Verordnung); ergänzend BDSG",
            "url": "https://www.gesetze-im-internet.de/bdsg_2018/",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt EuGH C-340/21 (NAP, VO 2016/679) – Cyberangriff, Beweislast für Sicherheitsmaßnahmen (Art. 32) und Schadensersatz bei Missbrauchsangst (Art. 82)?",
            "reponse": "Im Urteil C-340/21 (VB ./. Natsionalna agentsia za prihodite, „NAP\u0022) vom 14.12.2023 hat der EuGH (Dritte Kammer) vier Fragen zur Haftung nach einem Hackerangriff geklärt. Erstens: Ein Datenleck beweist allein nicht, dass die technischen und organisatorischen Maßnahmen (TOM) nach Art. 24 und 32 DSGVO ungeeignet waren — Gerichte müssen die Eignung konkret prüfen."
        },
        {
            "question": "Für wen gilt EuGH C-340/21 (NAP, VO 2016/679)?",
            "reponse": "Das Urteil betrifft alle Verantwortlichen (Unternehmen, Vereine, Behörden), die personenbezogene Daten verarbeiten und von einem Angriff, einer Datenpanne oder einem sonstigen unbefugten Zugriff betroffen sind. Die Maßstäbe zu Art. 32 gelten ebenso für Auftragsverarbeiter. Für die Klage maßgeblich ist der zivilrechtliche Anspruch aus Art."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei EuGH C-340/21 (NAP, VO 2016/679)?",
            "reponse": "„Gehackt heißt: Verantwortlicher haftet automatisch.\u0022 Falsch — die Eignung der TOM wird konkret geprüft; ein Leck allein beweist keinen Verstoß. „Gehackt heißt: wir sind entlastet, weil ein Dritter schuld ist.\u0022 Falsch — Art. 82 Abs. 3 verlangt den Nachweis, in keinerlei Hinsicht verantwortlich zu sein."
        }
    ],
    "wikidata": [
        "Q1172506",
        "Q60520997"
    ],
    "valid_from": "2023-12-14",
    "valid_to": null,
    "derniere_revision": "2026-10-25",
    "derniere_verification": "2026-10-25",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/eugh-c-340-21-nap-cyberangriff-beweislast-tom-art-32-82"
}