06.08.2026 · Fachbeitrag · Datenmissbrauch

Kein Schadenersatz nach Hackerangriff bei alten und unveröffentlichten Daten

Ein bloßer Kontrollverlust infolge eines Hackerangriffs begründet keinen Anspruch aus Art. 82 Abs. 1 DSGVO, wenn der Betroffene keine objektiv begründete Befürchtung eines Datenmissbrauchs darlegt. Ein rein hypothetisches Missbrauchsrisiko genügt nicht. Eine begründete Missbrauchsbefürchtung scheidet regelmäßig aus, wenn die kopierten Daten veraltet sind, im Internet und Darknet nicht abrufbar waren und eine Aufbereitung der unstrukturierten Datenmenge nur mit erheblichem Aufwand möglich wäre.

Sachverhalt

Der ArbN war vom 1.2.06 bis zum 30.11.20 bei der Rechtsvorgängerin des ArbG beschäftigt. Im Sommer 2022 wurde der Konzern Opfer eines Hackerangriffs, bei dem 40 Terabyte Daten kopiert wurden, darunter Mitarbeiterdaten. Auslöser war ein Trojaner, den ein Mitarbeiter einer ausländischen Konzerngesellschaft über ein privat installiertes Softwareupdate eingeschleust hatte. Nachdem der ArbG ein Lösegeld verweigerte, bot die Tätergruppe die Daten im November 2022 im Darknet für 50 Millionen Dollar an. Zu einem Verkauf oder einer Veröffentlichung kam es nicht; auffindbar war allein eine Liste der Dateinamen, nicht die Dateien selbst.

Der ArbG meldete den Vorfall nach Art. 33 DSGVO. Die Aufsichtsbehörde schloss ihr Prüfverfahren ohne Maßnahmen ab. Sie stellte fest, dass keine Hinweise auf systemische Fehler bestünden. Eine Abhilfe nach Art. 58 Abs. 2 DSGVO sei nicht erforderlich. Im November 2023 informierte der ArbG den ArbN. Dieser verlangte mindestens 500 EUR immateriellen Schadenersatz sowie die Feststellung der Ersatzpflicht für künftige materielle Schäden.