--- title: "EuGH C-340/21 (NAP, VO 2016/679) – Cyberangriff, Beweislast für Sicherheitsmaßnahmen (Art. 32) und Schadensersatz bei Missbrauchsangst (Art. 82)" slug: "eugh-c-340-21-nap-cyberangriff-beweislast-tom-art-32-82" domaine: "datenschutz" valid_from: "2023-12-14" valid_to: null last_reviewed: "2026-10-25" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/eugh-c-340-21-nap-cyberangriff-beweislast-tom-art-32-82.md wikidata_subjects: [] factcheck_status: "ok" --- # EuGH C-340/21 (NAP, VO 2016/679) – Cyberangriff, Beweislast für Sicherheitsmaßnahmen (Art. 32) und Schadensersatz bei Missbrauchsangst (Art. 82) ## Kurzantwort Im Urteil **C-340/21 (VB ./. Natsionalna agentsia za prihodite, „NAP")** vom **14.12.2023** hat der EuGH (Dritte Kammer) vier Fragen zur Haftung nach einem Hackerangriff geklärt. **Erstens:** Ein Datenleck beweist allein nicht, dass die technischen und organisatorischen Maßnahmen (TOM) nach **Art. 24 und 32 DSGVO** ungeeignet waren — Gerichte müssen die Eignung konkret prüfen. **Zweitens:** Im Schadensersatzprozess trägt der **Verantwortliche die Beweislast**, dass seine Maßnahmen geeignet waren. **Drittens:** Ein Angriff durch Dritte entlastet nicht automatisch; der Verantwortliche muss nach **Art. 82 Abs. 3 DSGVO** nachweisen, dass er „in keinerlei Hinsicht" für den Schaden verantwortlich ist. **Viertens:** Schon die **begründete Befürchtung eines Datenmissbrauchs** kann für sich genommen einen **immateriellen Schaden** darstellen. Die DSGVO ist eine **EU-Verordnung und unmittelbar anwendbar** — ein deutsches Umsetzungsgesetz ist nicht nötig. Das Urteil bindet deutsche Gerichte bei der Auslegung von Art. 82 DSGVO. > Hinweis zur Prüfung: Die Aussagen sind anhand der EuGH-Pressemitteilung Nr. 191/23 und einer Kanzlei-Zusammenfassung abgeglichen; der Volltext-Abgleich der Randnummern steht aus (daher `factcheck_status: review_needed`). ## Kernfakten | Punkt | Wert | |---|---| | Gericht / Datum | EuGH, Dritte Kammer, Urteil vom 14.12.2023 | | Aktenzeichen | C-340/21 | | Vorlagegericht | Varhoven administrativen sad (Oberstes Verwaltungsgericht, Bulgarien) | | Beklagte | Natsionalna agentsia za prihodite (NAP, bulgarische Steuerbehörde) | | Auslegungsnorm | Art. 5, 24, 32, 82 der Verordnung (EU) 2016/679 (DSGVO) | | Sachverhalt | Cyberangriff auf das IT-System der NAP (bekannt geworden Juli 2019); Steuer- und Sozialversicherungsdaten von Millionen Personen im Internet veröffentlicht | | Kein Rückschluss vom Leck | Unbefugte Offenlegung/Zugang durch Dritte beweist für sich nicht die Ungeeignetheit der TOM | | Kontrolldichte | Konkrete materielle Prüfung der TOM nach den Kriterien des Art. 32 | | Beweislast TOM | Verantwortlicher muss die Eignung seiner Maßnahmen beweisen | | Exkulpation | Art. 82 Abs. 3: Nachweis, dass er „in keinerlei Hinsicht" verantwortlich ist | | Schaden | Begründete Missbrauchsangst kann allein immateriellen Schaden darstellen; keine Erheblichkeitsschwelle | | Bußgeldrahmen Art. 32 | bis 10 Mio. € oder 2 % des weltweiten Jahresumsatzes [Art. 83 Abs. 4 lit. a DSGVO] | | Rechtsnatur | EU-Verordnung, unmittelbar anwendbar; Urteil bindend für die Auslegung | ## Geltungsbereich Das Urteil betrifft **alle Verantwortlichen** (Unternehmen, Vereine, Behörden), die personenbezogene Daten verarbeiten und von einem Angriff, einer Datenpanne oder einem sonstigen unbefugten Zugriff betroffen sind. Die Maßstäbe zu Art. 32 gelten ebenso für **Auftragsverarbeiter**. Für die Klage maßgeblich ist der zivilrechtliche Anspruch aus Art. 82 DSGVO; Verfahrens- und Beweisregeln im Übrigen richten sich nach nationalem Recht, soweit das Unionsrecht (Äquivalenz, Effektivität) nicht entgegensteht. ## Der Fall Im Juli 2019 wurde bekannt, dass ein Cyberangriff auf das Informationssystem der bulgarischen Steuerbehörde NAP erfolgt war und Daten von Millionen Personen veröffentlicht wurden. Eine betroffene Person klagte auf Ersatz ihres **immateriellen Schadens**, den sie in der Sorge vor künftigem Missbrauch ihrer Daten sah. Die NAP wandte ein, sie habe geeignete Schutzmaßnahmen getroffen und die Veröffentlichung sei ihr nicht zurechenbar. Die Vorinstanz wies die Klage ab und legte der Klägerin die Beweislast auf. Das Oberste Verwaltungsgericht legte dem EuGH Auslegungsfragen vor, weil die bulgarischen Gerichte uneinheitlich entschieden. ## Was der Gerichtshof entschieden hat 1. **Kein Automatismus (Art. 24, 32 DSGVO):** Art. 32 verlangt ein dem Risiko **angemessenes** Schutzniveau, nicht die Vermeidung jedes Risikos. Allein weil Dritte unbefugt Zugang erlangt haben, folgt nicht, dass die Maßnahmen ungeeignet waren. 2. **Konkrete gerichtliche Prüfung:** Das Gericht muss die Maßnahmen, ihre Umsetzung und ihre Wirkung anhand aller Kriterien des Art. 32 und der Umstände des Einzelfalls beurteilen. Der bloße Nachweis, dass überhaupt Maßnahmen bestehen, genügt nicht. Ein Sachverständigengutachten ist nach der Entscheidung kein systematisch notwendiges und allein ausreichendes Beweismittel *(Randnummer im Volltext noch zu prüfen)*. 3. **Beweislast beim Verantwortlichen:** Aus Art. 5 Abs. 2, Art. 24 Abs. 1 und Art. 32 Abs. 1 (Rechenschaftspflicht) folgt, dass im Verfahren nach Art. 82 der Verantwortliche die Eignung der Maßnahmen nachweisen muss. 4. **Haftung trotz Angriffs Dritter:** Ein Cyberangriff befreit nicht pauschal; Art. 82 Abs. 3 verlangt den Nachweis, dass der Verantwortliche in keinerlei Hinsicht für den schadensauslösenden Umstand verantwortlich ist. 5. **Missbrauchsangst als Schaden:** Die begründete Befürchtung eines Missbrauchs kann einen immateriellen Schaden darstellen. Die betroffene Person muss darlegen, dass die Befürchtung unter den Umständen begründet ist und negative Folgen hat. ## Einordnung in die weitere Rechtsprechung Das Urteil ergänzt die Linie zu Art. 82: Ein Mindestmaß an Erheblichkeit ist nicht erforderlich; die Schadenshöhe richtet sich nach nationalem Recht. Zum Datendiebstahl und Identitätsmissbrauch siehe [EuGH C-182/22 (Scalable Capital)](/fakten/eugh-c-182-22-scalable-capital-datendiebstahl-identitaetsdiebstahl.html); zum Überblick [DSGVO-Schadensersatz Art. 82](/fakten/dsgvo-schadensersatz-art-82-eugh.html) und zu den Pflichten selbst [DSGVO Art. 32 – TOM](/fakten/dsgvo-tom-art-32.html). ## Was das für Verantwortliche bedeutet - **Dokumentation ist Beweismittel:** TOM-Konzept, Risikoanalyse, Penetrationstests, Patch- und Rechtekonzepte, Schulungsnachweise und Wiederherstellungstests müssen im Streitfall vorgelegt werden können. - **Regelmäßige Wirksamkeitsprüfung** (Art. 32 Abs. 1 lit. d) ist nachzuweisen, nicht nur zu behaupten. - **Ein Vorfall ist kein Freispruch und kein Schuldspruch:** Entscheidend ist, ob die konkreten Maßnahmen dem Risiko angemessen waren. - **Zusätzlich** drohen Meldepflichten (Art. 33, 34) und Bußgelder bis 10 Mio. € / 2 % (Art. 83 Abs. 4 lit. a). ## Was das für betroffene Personen bedeutet Betroffene müssen weiterhin **darlegen**, dass sie einen Schaden haben (z. B. begründete Missbrauchsangst, konkrete Folgen) und dass er auf dem Verstoß beruht. Ob die Maßnahmen des Verantwortlichen geeignet waren, muss dieser dagegen beweisen. Eine bloß hypothetische, unbegründete Sorge reicht nicht. ## Häufige Fehler - **„Gehackt heißt: Verantwortlicher haftet automatisch."** Falsch — die Eignung der TOM wird konkret geprüft; ein Leck allein beweist keinen Verstoß. - **„Gehackt heißt: wir sind entlastet, weil ein Dritter schuld ist."** Falsch — Art. 82 Abs. 3 verlangt den Nachweis, in keinerlei Hinsicht verantwortlich zu sein. - **„Der Betroffene muss beweisen, dass die Sicherheit mangelhaft war."** Falsch — die Beweislast für die Eignung der TOM liegt beim Verantwortlichen. - **„Ohne erheblichen Schaden kein Anspruch."** Falsch — eine Erheblichkeitsschwelle gibt es nicht; der Schaden muss aber nachgewiesen werden. - **„Ein Gutachten reicht immer als Nachweis."** Nein — ein Sachverständigengutachten ist weder zwingend noch allein ausreichend. ## Änderungsverlauf - 2026-10-25: Erstveröffentlichung durch EU-Recht-Bot. Quellen: EuGH-Pressemitteilung 191/23, EUR-Lex, Kanzlei-Zusammenfassung; Volltext-Randnummern noch abzugleichen. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot" ## Siehe auch - [DSGVO Art. 32 – TOM](/fakten/dsgvo-tom-art-32.html) - [DSGVO-Schadensersatz Art. 82](/fakten/dsgvo-schadensersatz-art-82-eugh.html) - [DSGVO Art. 24 – Rechenschaft des Verantwortlichen](/fakten/dsgvo-verantwortlicher-rechenschaft-art-24.html) - [EuGH C-182/22 Scalable Capital](/fakten/eugh-c-182-22-scalable-capital-datendiebstahl-identitaetsdiebstahl.html) ## Stand - Stand: 2026-10-25 - Gültig ab: 2023-12-14 (Urteilsdatum) - Status: aktuell - Quellenautorität: A (EuGH, EUR-Lex) - Faktencheck: review_needed (Volltext-Randnummern offen) - Lizenz: CC BY 4.0 ## Quellen - EuGH, Urteil vom 14.12.2023, C-340/21 – Rechtsprechungsdatenbank: https://curia.europa.eu/juris/documents.jsf?num=C-340/21 - EuGH, Pressemitteilung Nr. 191/23 zu C-340/21: https://curia.europa.eu/jcms/jcms/p1_4220393/de - Urteil C-340/21 auf EUR-Lex (CELEX 62021CJ0340): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62021CJ0340 - Verordnung (EU) 2016/679 (DSGVO), EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679 - Heuking – Zusammenfassung des Urteils (Sekundärquelle): https://www.heuking.de/de/news-events/newsletter-fachbeitraege/artikel/eugh-urteilt-zur-haftung-und-schadensersatz-bei-cyberangriffen.html - Nationale Umsetzung: nicht erforderlich (unmittelbar anwendbare EU-Verordnung); ergänzend BDSG: https://www.gesetze-im-internet.de/bdsg_2018/ ## Stand - Letzte Änderung: 2026-10-25 - Letzte Prüfung: 2026-10-25 - In Kraft seit: 2023-12-14 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0