Datenbesitz und Identitätsannahme unterscheiden
Wer fremde Namen, Anschriften oder Ausweisdaten erhält, verfügt möglicherweise über Mittel für einen späteren Missbrauch. Daraus folgt jedoch nicht automatisch, dass die fremde Identität bereits angenommen wurde. Die begriffliche Trennung ist für eine sachliche Darstellung wichtig. Ein Datenleck beschreibt zunächst einen unbefugten Informationszugriff oder eine Offenlegung. Identitätsdiebstahl betrifft zusätzlich das tatsächliche Auftreten unter der fremden Identität. Eine genaue Chronologie verhindert, dass eine reale Gefährdung entweder verharmlost oder mit einem noch unbelegten Folgevorgang verwechselt wird.
Die Entscheidung Scalable Capital
Am 20. Juni 2024 entschied der EuGH in den verbundenen Rechtssachen C-182/22 und C-189/22 über Schäden nach dem Diebstahl von Trading-App-Daten. Die dazu veröffentlichten Gründe unterscheiden ausdrücklich den Verlust der Datenkontrolle von Identitätsdiebstahl oder Identitätsbetrug. Für Letzteren muss ein Dritter die Identität tatsächlich angenommen haben. Zugleich darf der Ersatz immaterieller Schäden nicht auf solche Folgemissbrauchsfälle begrenzt werden. Diese zweite Aussage ist wesentlich: Eine präzise Begriffsdefinition bedeutet keine generelle Haftungsfreiheit, solange der Datenmissbrauch noch nicht in einer konkreten fremden Identitätsnutzung nachgewiesen wurde.
Ein Beispiel für den zusätzlichen Missbrauchsschritt
Nach einem Datenabgriff wird eine Person unter ihrem Namen für eine fremde Bestellung oder ein neues Konto geführt, das sie selbst nicht eröffnet hat. Dann ist zu untersuchen, ob tatsächlich ein Dritter unter ihrer Identität aufgetreten ist und welche Folgen daraus entstanden. Eine lediglich veröffentlichte Ausweiskopie belegt dagegen noch nicht jeden solchen Vorgang. Auch ähnliche Namen können zu falschen Zuordnungen führen. Die behauptete Identitätsannahme muss deshalb anhand konkreter Nachrichten, Vertragsunterlagen oder anderer nachvollziehbarer Umstände geprüft werden, statt allein aus dem ursprünglichen Datenverlust abgeleitet zu werden.
Schadensersatz ist auch ohne Identitätsannahme denkbar
Nach dem EuGH können durch einen Datendiebstahl andere materielle oder immaterielle Schäden entstehen. Voraussetzung bleiben ein DSGVO-Verstoß, ein tatsächlicher Schaden und der erforderliche Ursachenzusammenhang. Der fehlende Nachweis eines Identitätsbetrugs erledigt daher nicht automatisch jede Forderung. Umgekehrt genügt die abstrakte Behauptung, irgendwann könne etwas geschehen, nicht ohne weitere Prüfung für jeden beliebigen Zahlungsbetrag. Entscheidend ist, welcher konkrete Nachteil tatsächlich eingetreten ist. Die verwendete Bezeichnung darf die notwendigen Tatsachen nicht ersetzen; sie dient der rechtlichen Einordnung eines belegten Vorgangs.
Die Höhe am Schaden ausrichten
Die Entscheidung erläutert die ausschließliche Ausgleichsfunktion des Artikels 82 DSGVO. Ein Betrag soll den konkret erlittenen Schaden vollständig ausgleichen, keine zusätzliche private Strafe darstellen. Auch geringfügige Schäden können unter den einschlägigen Voraussetzungen auszugleichen sein; eine symbolisch wirkende Summe ist nicht allein wegen ihrer geringen Höhe ausgeschlossen. Daraus folgt aber kein allgemeiner Festbetrag für jede gestohlene Ausweiskopie. Art und Ausmaß des Schadens müssen konkret beurteilt werden. Behördliche Sanktionen und zivilrechtlicher Ersatz erfüllen unterschiedliche Funktionen und dürfen nicht einfach miteinander verrechnet werden.
Datenschutzhaftung und Fremdforderungen getrennt prüfen
Wenn ein unbekannter Dritter eine Bestellung unter fremdem Namen auslöst, stellt sich neben der Datenschutzhaftung die Frage, ob gegen die betroffene Person überhaupt ein wirksamer Zahlungsanspruch entstanden ist. Diese Prüfung folgt nicht allein aus Artikel 82. Auch strafrechtliche Fragen sind gesondert einzuordnen. Eine pauschale Anerkennung fremder Forderungen ist deshalb nicht schon wegen eines bekannten Datenlecks sachgerecht. Umgekehrt entscheidet die bloße Zurückweisung einer Rechnung nicht endgültig über einen möglichen Datenschutzschaden. Die unterschiedlichen Rechtsverhältnisse sollten mit ihren jeweiligen Beteiligten und Tatsachen getrennt erfasst werden.
Den konkreten Vorgang nachvollziehbar belegen
Zu sichern sind Vorfallmitteilungen, die betroffenen Daten und alle konkreten Hinweise auf eine Identitätsnutzung. Bei einer unbekannten Bestellung helfen Datum, Anbieter, verwendete Kontaktdaten und der tatsächliche Inhalt der Forderung. Persönliche Unterlagen sollten nur im erforderlichen Umfang weitergegeben werden. Für eine Ersatzprüfung sind tatsächliche Schäden und vermutete Risiken auseinanderzuhalten. Die EuGH-Definition verhindert ungenaue Gleichsetzungen, schließt aber andere nachgewiesene Folgen eines Datenschutzverstoßes nicht aus. Eine sorgfältige Darstellung benennt daher sowohl den ursprünglichen Datenabgriff als auch einen gegebenenfalls belegten späteren Missbrauchsschritt.