LG Köln: 1.200 EUR Schadensersatz nach Art. 82 DSGVO wegen unberechtigten Zugriffs auf Nutzerdaten eines Online-Finanzdienstleisters
1.200 EUR Schadensersatz nach Art. 82 DSGVO wegen unberechtigten Zugriffs auf Nutzerdaten eines Online-Finanzdienstleisters – So das LG Köln in seinem Urteil vom 18. Mai 2022 (Az.: 28 O 328/21). Beklagt war ein Anbieter von Wertpapierdienstleistungen.
1.200 EUR Schadensersatz nach Art. 82 DSGVO wegen unberechtigten Zugriffs auf Nutzerdaten eines Online-Finanzdienstleisters – Ansicht des Gerichts
Insbesondere problematisch war nach Ansicht des Gerichts und damit auch bei der Bemessung der Höhe des Anspruchs ein fehlender Austausch von Zugangsdaten bei Vertragsbeendigung mit einem Dienstleister. Das Gericht führt unter anderem in den Entscheidungsgründen aus:
„…Die Beklagte hat dadurch, dass sie die der Fa. XXXX zur Verfügung gestellten Zugangsdaten nach Ende der Vertragsbeziehung nicht änderte, gegen ihre Verpflichtung aus Art. 32 DSGVO sowie aus Art. 5 DSGVO verstoßen. Nach Art. 32 DSGVO haben der Verantwortliche und der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Gemäß Art. 5 Abs. 1 lit. f) DSGVO müssen personenbezogene Daten in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).
Die Kammer nimmt einen Verstoß gegen diese Vorgaben aufgrund des zwischen den Parteien unstreitigen Umstandes an, dass die der Fa. XXXX zur Verfügung gestellten Zugangsdaten nach Beendigung der vertraglichen Beziehung zu der Vertragspartnerin über mehrere Jahre nicht verändert wurden. Damit schuf die Beklagte das Risiko, dass die Daten der Betroffenen nicht nur im Falle von ihr selbst zu verantwortender Unzulänglichkeiten, sondern auch durch von Seiten von Mitarbeitern der XXXX vorsätzlich oder fahrlässig ermöglichte Zugriffe einem Missbrauch ausgesetzt waren. Die Beklagte kann sich angesichts der Sensibilität der gespeicherten Kundendaten insbesondere nicht darauf berufen, sie habe davon ausgehen können, dass die Daten seitens XXXX dauerhaft und vollständig gelöscht werden würden (so auch in einem Parallelfall LG München I, Urt. v. 9.12.2021, 31 O 16606/20, juris, Rn. 36). Jedenfalls wäre eine Überprüfung der Löschung angezeigt gewesen, die die Beklagte aber ebenfalls nicht vorträgt…“
