Kein Schadensersatz nach Datenleck bei Musik-Streaming

Das Landgericht Nürnberg-Fürth hat mit Urteil vom 15. Mai 2024 entschieden, dass Nutzer einer Musik-Streaming-Plattform nach einem Hackerangriff und dem damit verbundenen Datenleck keinen Anspruch auf Schadensersatz gegen den Anbieter haben. Ein betroffener Nutzer hatte Schmerzengeld von mindestens 1.000 EUR sowie weitere Ansprüche geltend gemacht. Er begründete seine Klage insbesondere mit Kontrollverlust über seine personenbezogenen Daten und empfundenem Missbrauchsrisiko, sowie einer Zunahme an Spamnachrichten in seinem E-Mail-Postfach.

Das Gericht stellte im Verfahren jedoch klar, dass lediglich die unbefugte Offenlegung von Daten nicht automatisch einen Verstoß gegen die DSGVO seitens des Betreibers belegt. Entscheidend ist, dass der Schaden unmittelbar aus einem nachgewiesenen Verstoß gegen datenschutzrechtliche Pflichten des Unternehmens resultieren muss. Im konkreten Fall sahen die Richter keinen Nachweis, dass der Datenabgriff tatsächlich auf mangelnde Schutzmaßnahmen zurückzuführen war.

Auch in Bezug auf vermehrte Spam-Nachrichten konnte der Kläger nicht belegen, dass diese im Zusammenhang mit dem Datenleck bei der Streaming-Plattform stehen. Es bestünde durchaus die Möglichkeit, dass persönliche Daten an anderer Stelle erlangt wurden.

Nachdem auch die Berufung vor dem Oberlandesgericht Nürnberg keine Aussicht auf Erfolg hatte, machte der Kläger von seinem Rücktrittsrecht Gebrauch – das Urteil ist damit rechtskräftig. Bislang wurden laut Landgericht mehr als 50 Prozent der bislang 102 ähnlichen Verfahren abgewiesen; ein Teil der Klagen befindet sich allerdings noch in der Berufungsinstanz.

Rechtlicher Hintergrund: Ansprüche nach der DSGVO

Nach Artikel 82 DSGVO kann grundsätzlich jeder, der durch einen Verstoß gegen die Verordnung einen Schaden erleidet, Schadensersatz fordern. Allerdings ist entscheidend, dass nachgewiesen wird, dass die Verantwortlichen tatsächlich gegen Datenschutzvorgaben verstoßen haben und der entstandene Schaden unmittelbar daraus resultiert. Unternehmen haften hierbei nur, wenn eine nicht rechtmäßige Datenverarbeitung nachgewiesen wird oder Schutzmaßnahmen eindeutig nicht ausreichend waren. Die reine Tatsache eines Datenlecks bedeutet also noch keinen automatischen Schadensersatzanspruch.

---