Das Landgericht Lübeck hat am 4. Oktober 2024 ein wegweisendes Urteil (Az. 15 O 216/23) im Bereich Datenschutz gesprochen. Gegenstand des Verfahrens war ein immaterieller Schadensersatz nach einem Datenleck bei einer Musik-Streaming-Plattform. Das Urteil verdeutlicht die hohen Anforderungen, die die Datenschutz-Grundverordnung (DSGVO) an Unternehmen stellt, insbesondere in Bezug auf die Verarbeitung personenbezogener Daten durch Dritte.
Der Fall: Datenleck und Konsequenzen
Ein Datenleck bei einem Dienstleister der Plattform führte dazu, dass Kundendaten, darunter Namen, E-Mail-Adressen und weitere sensible Informationen, im Darknet veröffentlicht wurden. Die Klägerin forderte Schadensersatz, da das Leck zu Ängsten und Sorgen vor Identitätsdiebstahl und Phishing-Angriffen führte.
Das Gericht entschied zugunsten der Klägerin und sprach ihr einen Schadensersatz in Höhe von 350 Euro zu. Es stellte fest, dass das Unternehmen seiner Verantwortung für die Einhaltung der DSGVO nicht gerecht wurde.
Wesentliche Aspekte des Urteils
- Verantwortung des Unternehmens: Das Gericht stellte klar, dass Unternehmen auch dann haften, wenn der Verstoß bei einem beauftragten Unterauftragnehmer geschieht. Die fehlende vertragliche Absicherung nach Art. 28 DSGVO wurde als Verstoß gewertet.
- Immaterieller Schaden: Das Urteil hob hervor, dass emotionale Belastungen wie Sorgen über potenziellen Missbrauch personenbezogener Daten einen Schaden im Sinne von Art. 82 DSGVO darstellen.
- Sekundäre Darlegungslast: Unternehmen können sich nicht mit Nichtwissen entlasten, wenn technische Möglichkeiten bestehen, die behaupteten Datenschutzverletzungen zu überprüfen.
- Veröffentlichung im Darknet: Die Verbreitung der Daten im Darknet stellte eine schwerwiegende Verletzung des Persönlichkeitsrechts dar.
Bedeutung für Verbraucher und Unternehmen
Für Verbraucher stärkt das Urteil die Rechte auf Schadensersatz bei Datenschutzverstößen. Für Unternehmen ist es ein Weckruf, Auftragsverarbeitungsverträge und Sicherheitsvorkehrungen ernst zu nehmen. Insbesondere die Dokumentation und Überwachung der Datenverarbeitung durch Dritte muss den gesetzlichen Vorgaben entsprechen.
Fazit
Das Urteil des LG Lübeck unterstreicht die Bedeutung eines konsequenten Datenschutzmanagements. Es zeigt, dass die DSGVO nicht nur für große Unternehmen, sondern auch für deren Partner und Dienstleister gilt. Verbraucher haben das Recht, Schäden geltend zu machen, die durch unzureichenden Datenschutz entstehen.