Erstes rechtskräftiges Schadenersatz-Urteil wegen Datenlecks – Scalable muss zahlen

Zuletzt aktualisiert am 13. August 2026

Das münchener Fintech-Unternehmen Scalable musste im Oktober 2020 ein Datenleck melden. Im Dezember 2021 gestand das Landgericht München einem Kläger einen Schadensersatz wegen immateriellen Schadens zu. Die eingelegte Berufung nahm Scalable nun zurück. Was bedeutet das in Zukunft für datenschutzrechtliche Schadensersatzklagen?

Datenleck bei Scalable

Scalable Capital ist ein Vermögensverwalter mit Sitz in München. Vor kurzem hat das Unternehmen die Marke von zehn Milliarden Euro an Kundengeldern überschritten. Das Fintech-Unternehmen legte damit ein rasantes Wachstum hin.

Im Oktober 2020 meldete das erfolgreiche Unternehmen allerdings einen Datenschutzvorfall: Unbefugte hatten sich Zugang zu personenbezogenen Daten von 33.000 aktuellen und früheren Kunden verschafft. Es ging dabei um Daten wie Steuer- und Depotinformationen, sowie Adressen. Dies war durch eine Sicherheitslücke in der Cloud-Umgebung möglich geworden. Offenbar ist es aber noch nicht zum Missbrauch dieser Daten gekommen.

Urteil des Landgerichts München

Vor dem Landgericht München erstritt sich im Dezember 2021 ein Kläger einen Schadensersatz nach der DSGVO wegen immateriellen Schadens. Er war früherer Kunde von Scalable und vom Datenleck betroffen. Zu den entwendeten Daten gehörten: Vor- und Nachname, Anrede, Anschrift, E-Mail-Adresse, Handynummer, Geburtsdatum, -ort und -land, Staatsangehörigkeit, Familienstand, steuerliche Ansässigkeit und Steuer-ID, IBAN, Ausweiskopie, Portraitfoto, welches im Post-Ident-Verfahren angefertigt wurde.

Aufgrund strafrechtlicher Ermittlungen im Vorgang zum zivilrechtlichen Verfahren kam heraus, dass die Täter mit den gestohlenen Daten versucht hatten, Kredite zu erlangen und die Daten im Darknet angeboten haben.

Das Landgericht München urteilte zugunsten des Klägers und sprach ihm einen Schadensersatz in Höhe von 2.500 € zu. Der Schadensersatz wurde auf Art. 82 DSGVO gestützt. Scalable habe gegen Art. 32 DSGVO (Sicherheit der Verarbeitung) verstoßen. Dabei spiele es keine Rolle, ob dem Verantwortlichen etwaige Sicherheitsmängel von Drittunternehmen, deren Dienste in Anspruch genommen wurden, zugerechnet werden können. Vielmehr liege der Vorwurf darin, dass Scalable als Verantwortlicher selbst keine ausreichenden organisatorischen Maßnahmen vorgenommen habe, um den streitgegenständlichen Datenverlust zu verhindern.

Bedeutung des Urteils

Nachdem Scalable die Berufung zum Oberlandesgericht München wie nun bekannt wurde schon im Juli dieses Jahres zurückgenommen hatte, handelt es sich bei dem Urteil um das erste rechtskräftige Schadensersatz-Urteil wegen eines Datenlecks. Auch wenn es keine Bindungswirkung für andere Gerichte hat, setzt es doch ein deutliches Signal.

Die Zurückhaltung deutscher Gerichte bei dem Zugeständnis eines Schadensersatzes wegen immateriellen Schadens könnte damit deutlich zurückgehen.

Entwicklung der Rechtsprechung zu DSGVO-Schadensersatz

Das Urteil gegen Scalable Capital steht in einer Reihe zunehmender Schadensersatzklagen auf Basis der DSGVO. Seit Inkrafttreten der Verordnung im Mai 2018 haben sich deutsche Gerichte anfangs zurückhaltend gezeigt, immaterielle Schäden im Datenschutzrecht anzuerkennen. Diese Zurückhaltung hat sich seit dem Scalable-Urteil deutlich verändert.

Art. 82 DSGVO gewährt jeder Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist, einen Anspruch auf Schadensersatz gegen den Verantwortlichen oder den Auftragsverarbeiter. Der Anspruch besteht verschuldensunabhängig. Der Verantwortliche muss beweisen, dass er für den Umstand, durch den der Schaden eingetreten ist, in keiner Weise verantwortlich ist.

Höhe der Schadensersatzansprüche in der Praxis

Die Höhe der zugesprochenen Schadensersatzbeträge variiert in der deutschen Rechtsprechung erheblich. Während das Landgericht München im Scalable-Fall 2.500 Euro zusprach, haben andere Gerichte Beträge zwischen 100 und 5.000 Euro für immaterielle Schäden nach Datenschutzverletzungen zugesprochen. In besonders schwerwiegenden Fällen können die Beträge auch deutlich höher ausfallen.

Wichtig für die Höhe des Schadensersatzes sind verschiedene Faktoren: die Art und Sensibilität der betroffenen Daten, die Dauer der Datenschutzverletzung, die Anzahl der betroffenen Personen, ob die Daten tatsächlich missbraucht wurden und welche Auswirkungen die Verletzung auf den Betroffenen hatte.

Beweislast und aktuelle EuGH-Rechtsprechung

Der EuGH hat in seinem Urteil vom Mai 2023 (Rechtssache C-300/21) klargestellt, dass der Betroffene einen tatsächlichen Schaden nachweisen muss. Ein bloßer Verstoß gegen die DSGVO reicht nicht aus. Allerdings hat der EuGH auch betont, dass es keine Erheblichkeitsschwelle gibt und auch geringe Schäden ersatzfähig sind.

Für den Nachweis des immateriellen Schadens genügt es in der Regel, wenn der Betroffene darlegt, dass er durch die Datenschutzverletzung in einen Zustand der Sorge, des Ärgers oder des Kontrollverlusts über seine Daten geraten ist. Die Gerichte haben hier zunehmend niedrige Anforderungen an den Nachweis gestellt.

Präventive Maßnahmen für Unternehmen

Angesichts der steigenden Zahl erfolgreicher Schadensersatzklagen sollten Unternehmen präventive Maßnahmen ergreifen. Dazu gehören die regelmäßige Überprüfung und Aktualisierung der technisch-organisatorischen Maßnahmen, die Durchführung regelmäßiger Sicherheitsaudits, die Implementierung eines Incident-Response-Plans für Datenpannen sowie die Schulung aller Mitarbeiter im Umgang mit personenbezogenen Daten.

Besonders wichtig ist die sorgfältige Auswahl und Überwachung von Auftragsverarbeitern. Im Scalable-Fall war die Sicherheitslücke in der Cloud-Umgebung aufgetreten. Das Landgericht München stellte klar, dass der Verantwortliche sich nicht durch die Einschaltung von Drittunternehmen von seiner Haftung befreien kann.

Cloud-Sicherheit und Verantwortung des Datenverarbeiters

Der Fall Scalable wirft wichtige Fragen zur Sicherheit von Cloud-Umgebungen auf. Immer mehr Unternehmen speichern personenbezogene Daten in der Cloud, ohne sich ausreichend Gedanken über die Sicherheitsarchitektur zu machen. Nach Art. 28 DSGVO muss der Verantwortliche sicherstellen, dass der Auftragsverarbeiter hinreichende Garantien dafür bietet, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden.

In der Praxis bedeutet dies, dass Unternehmen vor der Nutzung eines Cloud-Dienstes eine sorgfältige Prüfung des Anbieters durchführen müssen. Dazu gehören die Überprüfung der Sicherheitszertifizierungen wie ISO 27001, die Analyse der Serverstandorte und der geltenden Datenschutzgesetze, die Prüfung der Verschlüsselungsverfahren und Zugangskontrollmechanismen sowie die Bewertung der Notfall- und Wiederherstellungsverfahren des Anbieters.

Cyber-Versicherung als Absicherung

Angesichts der steigenden Risiken durch Datenlecks und Cyberangriffe gewinnen Cyber-Versicherungen zunehmend an Bedeutung. Eine solche Versicherung kann die finanziellen Folgen eines Datenschutzvorfalls abmildern, indem sie die Kosten für forensische Untersuchungen, die Benachrichtigung betroffener Personen, Rechtsberatung und gegebenenfalls Schadensersatzzahlungen übernimmt.

Allerdings ersetzt eine Cyber-Versicherung kein angemessenes Datenschutzmanagement. Die Versicherungen prüfen vor Vertragsabschluss, ob das Unternehmen grundsätzliche Sicherheitsmaßnahmen implementiert hat, und behalten sich vor, die Leistung zu verweigern, wenn grobe Fahrlässigkeit vorliegt. Ein vollständiges Datenschutz- und Sicherheitskonzept bleibt daher wichtig.

Dokumentation und Nachweispflichten

Im Falle eines Datenlecks ist eine lückenlose Dokumentation wichtig, um die Haftung zu begrenzen. Unternehmen müssen nachweisen können, dass sie angemessene Sicherheitsmaßnahmen implementiert hatten und auf den Vorfall zeitnah und angemessen reagiert haben. Die Dokumentation sollte alle ergriffenen technisch-organisatorischen Maßnahmen, durchgeführte Sicherheitsaudits und deren Ergebnisse, Schulungsnachweise der Mitarbeiter sowie den zeitlichen Ablauf der Reaktion auf den Vorfall umfassen.

Sammelklagen als wachsende Bedrohung

Eine besondere Gefahr für Unternehmen stellen Sammelklagen und Massenverfahren dar. Bei größeren Datenlecks können Hunderte oder Tausende von Betroffenen Schadensersatzansprüche geltend machen. Auch Legal-Tech-Unternehmen haben das Potenzial von DSGVO-Schadensersatzklagen erkannt und bieten Betroffenen an, ihre Ansprüche gegen eine Provision durchzusetzen.

Für Unternehmen bedeutet dies, dass ein einzelnes Datenleck nicht nur zu einem Bußgeld führen kann, sondern auch zu einer Vielzahl zivilrechtlicher Schadensersatzforderungen. Die kumulierten Kosten können schnell existenzbedrohende Ausmaße annehmen.

Der Fall Scalable hat außerdem die Bedeutung einer vollständigen Cyber-Sicherheitsstrategie unterstrichen, die über die reinen DSGVO-Anforderungen hinausgeht. Unternehmen sollten regelmäßig ihre Sicherheitsarchitektur überprüfen, Mitarbeiter schulen und Notfallpläne für den Ernstfall bereithalten. Nur durch ein vollständiges Konzept aus technischen, organisatorischen und rechtlichen Maßnahmen lässt sich das Risiko von Datenlecks und den daraus resultierenden Schadensersatzforderungen wirksam minimieren.

Versicherungsrechtliche Dimension von Datenlecks

Der Scalable-Fall hat auch die Bedeutung von Cyber-Versicherungen in den Vordergrund gerückt. Immer mehr Unternehmen schließen spezielle Policen ab, die die finanziellen Folgen von Datenpannen — einschließlich Schadensersatzforderungen, Bußgeldern und Kosten für forensische Untersuchungen — abdecken sollen. Allerdings setzen die meisten Versicherer voraus, dass das Unternehmen angemessene Sicherheitsmaßnahmen implementiert hat. Ein nachweislich funktionierendes Datenschutzmanagementsystem mit regelmäßigen Audits, dokumentierten Prozessen und geschultem Personal ist häufig Voraussetzung für den Versicherungsschutz. Unternehmen, die diese Grundlagen vernachlässigen, riskieren nicht nur Bußgelder und Schadensersatzklagen, sondern auch die Verweigerung der Versicherungsleistung im Ernstfall.

Lehren für Unternehmen: Datenschutz-Folgenabschätzung und Risikomanagement

Der Fall Scalable verdeutlicht, wie wichtig eine systematische Datenschutz-Folgenabschätzung (DSFA) gemäß Art. 35 DSGVO ist. Unternehmen, die große Mengen personenbezogener Daten verarbeiten, müssen die Risiken ihrer Verarbeitungsprozesse regelmäßig bewerten und dokumentieren. Eine DSFA identifiziert potenzielle Schwachstellen, bevor sie von Angreifern ausgenutzt werden können, und ist bei der Verarbeitung sensibler Finanzdaten nahezu immer verpflichtend.

Besonders relevant ist in diesem Zusammenhang die Implementierung eines technisch-organisatorischen Maßnahmenkonzepts (TOM), das dem aktuellen Stand der Technik entspricht. Dazu gehören Verschlüsselung gespeicherter und übertragener Daten, Zwei-Faktor-Authentifizierung, regelmäßige Penetrationstests sowie ein strukturiertes Patch-Management. Unternehmen, die diese Maßnahmen nachweislich umsetzen, können im Falle eines Datenlecks nicht nur ihr Haftungsrisiko reduzieren, sondern auch gegenüber der Aufsichtsbehörde dokumentieren, dass sie ihren Sorgfaltspflichten nachgekommen sind.

Ein weiterer zentraler Aspekt ist die Meldepflicht nach Art. 33 und 34 DSGVO. Bei einer Datenpanne müssen Unternehmen die zuständige Aufsichtsbehörde innerhalb von 72 Stunden informieren. Liegt ein hohes Risiko für die Rechte und Freiheiten der betroffenen Personen vor, müssen auch die Betroffenen selbst unverzüglich benachrichtigt werden. Im Fall Scalable zeigte sich, dass eine transparente und schnelle Kommunikation zwar kurzfristig zu negativer Presse führen kann, langfristig aber das Vertrauen der Kunden stärkt und die rechtlichen Konsequenzen mildert.

Unternehmen sollten zudem regelmäßige Datenschutz-Schulungen für alle Mitarbeiter durchführen, die mit personenbezogenen Daten arbeiten. Social Engineering und Phishing-Angriffe zielen häufig auf die menschliche Komponente ab. Nur wenn Mitarbeiter für diese Gefahren sensibilisiert sind und wissen, wie sie im Ernstfall reagieren müssen, kann ein vollständiger Schutz gewährleistet werden.

Unser Team an Experten bietet Beratung und Dienstleistungen rund um das Thema Datenschutz an. Kontaktieren Sie uns gerne!

Datenschutz für Ihr Unternehmen

• DSGVO-Beratung
• Verarbeitungsverzeichnis
• TOM Datenschutz
• Datenschutz-Schulung

Erstberatung anfragen