Das Landgericht Köln hat den Online-Broker Scalable Capital zur Zahlung eines immateriellen Schadensersatzes in Höhe von 1200 Euro verurteilt. Grund war die Nicht-Löschung von  Zugangsdaten eines früheren Geschäftspartners zu seiner Datenbank über mehrere Jahre hinweg, obwohl der Zugang später bei einer Datenpanne von einem Dritten verwendet wurde.

GEGENSTAND DER KLAGE

Wie bereits Eingangs erwähnt, handelt es sich beim Verantwortlichen der Verarbeitung um Scalable Capital, einen großen Online-Börsenmakler. Bei der Betroffenen Person handelt es sich um einen aktiven Kunden des Online-Brokers. Der für Broker informierte die betroffene Person über eine Datenschutzverletzung, welche am 19. Oktober 2020 stattgefunden hatte. Ein Dritter hatte auf Teile der personenbezogenen Daten der betroffenen Person zugegriffen. Darunter befanden sich möglicherweise persönliche Daten, Steuerdaten, Kontaktdaten und ihre IBAN.

Die Verletzung erfolgte unter Verwendung der Anmeldeinformationen von CodeShip Inc. einem „Software-as-a-Service“-Unternehmen, das der Broker in der Vergangenheit für den Service beauftragt hatte. Der Vertrag wurde bereits im Jahr 2015 gekündigt. Nach der Kündigung hatte Scalable Capital die Zugangsdaten von CodeShip Inc. jedoch weder gelöscht noch geändert. Die Angreifer erlangten die Anmeldedaten durch einen Cyberangriff auf CodeShip Inc. Die – immer noch gültigen – Zugangsdaten von CodeShip wurden zwischen April und Oktober 2020 dreimal verwendet, um Zugang zur Datenbank des Brokers zu erhalten. Einige der erlangten Daten wurden angeblich für Identitätsdiebstahl oder andere betrügerische Handlungen verwendet.

Nach der Verletzung zahlte der Broker der betroffenen Person ein einjähriges Abonnement für den Identitätsschutzdienst „meine SCHUFA Plus“.

1200€ SCHADENSERSATZZAHLUNG

Das Gericht verurteilte den Online-Broker zu einer Zahlung von 1200 € als immateriellen Schadenersatz an die betroffene Person. Das Gericht stellte dazu fest, dass ein Verstoß gegen Artikel 32 Absatz 1 und Artikel 5 Absatz 1 Buchstabe f DSGVO vorliegt, da keine technischen und organisatorischen Maßnahmen zur Gewährleistung eines angemessenen Sicherheitsniveaus, insbesondere im Hinblick auf „Integrität und Vertraulichkeit“, ergriffen wurden. Der für die Verarbeitung Verantwortliche trug zu der Datenschutzverletzung und dem potenziellen Identitätsdiebstahl bei, indem er die Zugangsdaten von CodeShip mehrere Jahre lang nicht deaktiviert oder geändert hatte.

Obwohl das Gericht nicht nachprüfen bzw. feststellen konnte, dass die Identität der betroffenen Person von einem Dritten verwendet wurde, befand das Gericht, dass allein das Risiko eines immateriellen Schaden im Sinne von Artikel 82 Absatz 1 der Datenschutzgrundverordnung liegt und einen Schadensersatz begründet.

Bei der Bemessung des Schadensersatzes gemäß Artikel 82 Absatz 2 DSGVO berücksichtigte das Gericht als mildernde Umstände, dass die Daten bis zum Zeitpunkt der Entscheidung nicht durch Dritte verwendet wurden und dass Scalable Capital für den Identitätsschutzdienst bezahlt hat.

Dies ist bereits das zweite Urteil gegen den Online-Broker. Bereits im Dezember 2021 urteilte das Landgericht München in einem ähnlichen Fall und sprach dem Kläger 2500€ Schadensersatz zu: https://rewis.io/urteile/urteil/bqf-09-12-2021-31-o-1660620/