Zwischen den Beteiligten ist die Gewährung von Schadensersatz aufgrund eines geltend gemachten Datenschutzverstoßes nach einem Hackerangriff am 31.05.2023 streitig. Daneben begehrt die Klägerin die Feststellung der Schadenersatzpflicht für mögliche künftige Schäden dem Grunde nach, die Unterlassung der unbefugten Weitergabe persönlicher Daten und die Freistellung von vorgerichtlichen Rechtsanwaltskosten.

Die 2018 geborene Klägerin ist bei der Beklagten zu 1) gesetzlich krankenversichert und Teilnehmerin an deren Bonusprogramm, das über eine App betrieben wird. Hierbei werden für jeweils 100 gesammelte Punkte 10,00 € an den Versicherten ausbezahlt. Punkte können durch die regelmäßige Teilnahme an Vorsorgeuntersuchungen sowie Sport- und Freizeitprogrammen gesammelt werden. Für die informationstechnische Abwicklung ihres Bonusprogramms bedient sich die Beklagte zu 1) eines Auftragsverarbeiters, der Beklagten zu 2). Die Beklagte zu 2) nutzt für die Erbringung der geschuldeten Dienstleistungen das Programm M-IT des USamerikanischen Unternehmens P-Corp. (nachfolgend: „P.“). Hierbei handelt es sich um eine Software zum Austausch von Daten. Die Beklagte zu 1) hat mit der Beklagten zu 2) eine Vereinbarung über die Auftragsverarbeitung geschlossen. Die dazugehörigen allgemeinen Rahmenbedingungen „Informationssicherheit“ regeln die technischen und organisatorischen Maßnahmen, die von der Beklagten zu 2) als Auftragsverarbeiterin einzuhalten sind. Diese enthalten unter anderem Vorgaben zur Infrastruktursicherheit und zum Schutz vor Schadsoftware. So wird von der Beklagten zu 2) z.B. verlangt, dass Schadsoftware-Erkennungs- und Reparatur-Software installiert sein muss, die dem Stand der Technik entsprechen und den Abfluss von Daten des Auftraggebers zuverlässig verhindern muss.

Am 31.05.2023 wurde die Beklagte zu 2) neben einer Vielzahl weltweit betroffener Unternehmen und Behörden Opfer eines Hackerangriffs der Hackergruppe C., in dessen Zuge es zu einem Datenleck gekommen ist, von dem u.a. auch die Klägerin betroffen gewesen ist. Über das Hochladen einer sog. „Web-Shell“ auf den betroffenen Server der Beklagten zu 2), gelang es den Hackern, sich Zugriff auf deren System zu verschaffen und Kundendaten – so auch die der Klägerin – abzugreifen. Bei den vom Hackerangriff betroffenen Daten handelt es sich um Vorname, Name, Krankenversicherungsnummer, Prämienbetrag (der Erlös aus der erfolgreichen Teilnahme am Bonusprogramm) und Bankverbindung (IBAN). Bei der Bankverbindung handelt es sich vorliegend nicht um die der Klägerin, sondern ihrer Mutter. Gesundheitsdaten der Klägerin waren zudem nicht betroffen. Auch sind von den Servern der Beklagten zu 1) keine Daten abgeflossen. Die Taten der Gruppe C. richteten sich – soweit bekannt – nicht gegen die jeweiligen Betroffenen, sondern gegen die von dem Angriff betroffenen Unternehmen, um diese zu erpressen. Den Hackern war es gelungen, über eine unbekannte Sicherheitslücke im Programm MOVEit an diese Daten zu gelangen. Es handelte sich um einen sog. „zeroday-exploit“, also um eine Sicherheitslücke, die dem Softwarehersteller und den Beklagten zuvor unbekannt war. Noch am 31.05.2023 gab die Firma P. eine Sicherheitswarnung heraus. Eine entsprechende Warnung unter Hinweis auf die zuvor erfolgte Warnung von P.erfolgte seitens des Bundesamtes für Sicherheit in der Informationstechnik (BSI) am 02.06.2023 (Warnung der Sicherheitsstufe 4). Einen Tag nach Bekanntwerden der Schwachstelle am 31.05.2023 stellte P. das Sicherheitspatch zur Beseitigung der Bedrohung zur Verfügung, welches seitens der Beklagten zu 2) umgehend installiert wurden. Die Beklagte zu 1) selbst wurde über die Vorgänge nach deren Vortrag am 16.06.2023 informiert und gab am nächsten Tag eine entsprechende Pressemitteilung heraus. In der Folge informierte sie auch die Eltern der Klägerin als gesetzliche Vertreter.

Mit anwaltlichem Schreiben vom 27.03.2024 forderte die Klägerin die Beklagte zu 1) zur Unterlassung, zur Zahlung von Schmerzensgeld in Höhe von mindestens 3.000,00 € sowie zur Verpflichtung auf, der Klägerin alle zukünftigen Schäden zu ersetzen, die ihr durch den unbefugten Zugriff Dritter auf die personenbezogenen Daten noch entstehen könnten.

Nachdem die Beklagte zu 1) mit Schreiben vom 03.04.2024 die Begehren der Klägerin abgelehnt hatte, hat diese – zunächst nur gegen die Beklagte zu 1) – Klage zum Sozialgericht Nürnberg erhoben. Mit Schriftsatz vom 12.12.2024 hat sie die Klage auf die Beklagte zu 2) erweitert. Sie sei Opfer eines Datenlecks bei der Beklagten zu 1) geworden, weil diese unzureichende technische Maßnahmen ergriffen habe, um personenbezogene Daten angemessen zu schützen. Die personenbezogenen Daten der Klägerin hätten daher von Unbefugten erlangt werden können. Die IT-Forensiker von K. hätten Hinweise dafür gefunden, dass den Hackern die Schwachstelle bereits seit dem Jahr 2021 bekannt gewesen sei. Seitdem hätten sie höchstwahrscheinlich experimentiert, wie sie die Lücke am besten missbrauchen können. Die MOVEit-Software falle seit Jahren immer wieder durch derartige (SQL-Injection) Schwachstellen auf, dahingehend habe sich auch der IT-Sicherheitsexperte T. auf X geäußert. Er spreche insbesondere davon, dass der Einsatz derartiger Software als „fahrlässig“ zu bewerten sei. Die Beklagte zu 1) hätte insbesondere folgende Schutzmaßnahmen treffen müssen: die Pseudonymisierung und/oder Verschlüsselung der personenbezogenen Daten sowie ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen. Wenn die Beklagte diese Schutzmaßnahmen ordnungsgemäß durchgeführt hätte, wäre es nicht zu dem Datenleck gekommen und Unbefugte hätten nicht Zugriff auf die Daten der Klägerin erhalten. Selbst wenn das Datenleck „nur“ bei der Beklagten zu 2) eingetreten wäre, so läge auch in diesem Fall eine Haftung der Beklagten zu 1) vor. Denn diese müsse als datenschutzrechtliche Verantwortliche sicherstellen, dass all ihre Vertragspartner, die im Rahmen einer Auftragsverarbeitung personenbezogene Daten von Barmer-Kunden verarbeiten, ebenfalls datenschutzkonform arbeiten. Dazu hätte die Beklagte den Auftragsverarbeiter entsprechend anleiten und überwachen müssen. Beide Beklagte seien gemeinsame Verantwortliche nach Art. 26 der Datenschutzgrundverordnung (DSGVO). Die Verwendung der MOVEit Software sei zum Zeitpunkt als das Datenleck von der Hackergruppe ausgenutzt wurde grob fahrlässig. Durch eine modernere, wenn auch teurere Software wäre das Datenleck vermieden worden. Die Beklagte zu 1) sei nach Art. 32 DSGVO verpflichtet, angemessene und geeignete technische und organisatorische Maßnahmen (TOM) zu treffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Beklagte zu 1) habe es pflichtwidrig versäumt, in technischer und organisatorischer Hinsicht geeignete Maßnahmen zu ergreifen und zu implementieren, um eine Offenlegung von personenbezogenen Daten zu verhindern. Die Beklagte habe daher (auch) die Vorgaben des Art. 32 DSGVO verletzt. Durch den anhaltenden Kontrollverlust über persönliche und sensible Daten stehe der Klägerin ein immaterieller Schadensersatzanspruch aus Art. 82 Abs. 1 DSGVO zu. Der tatsächliche Schaden läge in dem andauernden Zustand bestehender und belastender Ungewissheit über die unbefugte Veröffentlichung der personenbezogenen Daten. Die Klägerin habe Sorge, dass ihre Bank- und/oder Depotdaten gehackt werden. Es müsse davon ausgegangen werden, dass die Daten der Klägerin bereits im sog. „Darknet“ zum Verkauf angeboten würden. Ferner müsse damit gerechnet werden, dass die Daten der Klägerin von Kriminellen dazu verwendet wurden oder werden, um unbefugt Zugang zu Bankkonten, Online-Diensten etc. zu erhalten, um die Klägerin finanziell zu schädigen. Die Verknüpfung und nachgelagerte Veröffentlichung von personenbezogenen Daten wie jedenfalls dem Vor- und Nachnamen sowie ggf. noch weiterer Daten öffne dem Missbrauch Tür und Tor. Der Verlust der Sozialversicherungsnummer (Anmerkung: diese wurde nicht abgegriffen, siehe oben) erhöhe zudem die Gefahr eines Identitätsdiebstahls erheblich. Zudem sei aber auch bereits der Umstand, dass die Daten der Klägerin einer unbekannten Anzahl von unberechtigten Personen zur Verfügung stehe, für sie beängstigend, da noch nicht bekannt sei, auf welche Weise diese zweckentfremdet zum Einsatz kommen können. Zudem habe die Beklagte ausgehend von einem Gegenstandswert von 10.000,00 € die vorgerichtlichen Rechtsanwaltskosten der Klägerin zu tragen.

Die Klägerin beantragt,

Die Beklagten beantragen,

die Klage abzuweisen.

Die Beklagte zu 1) trägt vor, dass nicht bekannt sei, dass personenbezogene Daten der Klägerin irgendwo veröffentlicht worden wären. Es fehle vorliegend bereits an einer der Beklagten zurechenbaren Rechtsverletzung. Sie sei deswegen von der Haftung befreit (Art. 82 Abs. 3 DSGVO). Eine Missachtung der Verpflichtungen aus der DSGVO durch die Beklagte zu 1) sei nicht gegeben. Sie habe für die Durchführung bestimmter Verarbeitungen personenbezogener Daten im Rahmen des Betriebs ihres Bonusprogramms die Beklagte zu 1) herangezogen. Mit dieser sei eine ordnungsgemäße Vereinbarung über die Auftragsverarbeitung nach Art. 28 DSGVO abgeschlossen worden, mit der sich diese insbesondere auch zu bestimmten TOMs verpflichtete, um den Anforderungen nach Art. 32 DSGVO gerecht zu werden. Es handele sich in Art. 32 Abs. 1 DSGVO lediglich um Beispiele für Maßnahmen, die „gegebenenfalls“ ergriffen würden. Sie seien – wenn überhaupt – nur insoweit und nur in dem Umfang umzusetzen, in dem sie zur Erreichung eines angemessenen Schutzniveaus geeignet und erforderlich seien. Insbesondere treffe Art. 32 Abs. 1 DSGVO selbst keine Entscheidung darüber, wann die Maßnahmen geboten seien. Die DSGVO verlange keinen absoluten Schutz (der auch nicht möglich wäre), sondern lediglich die technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 Abs. 1 DSGVO). Dass ein Hackerangriff erfolgreich gewesen sei, belege in keiner Weise das Fehlen eines angemessenen Schutzniveaus. Der anderes behauptende Vortrag der Klägerin verkenne den rechtlichen Rahmen. Im Übrigen sei bereits am 02.06.2023 das System mit einem von dem Hersteller bereitgestellten Sicherheitspatch um 10.17 Uhr gesichert worden, so dass weitere Angriffe und insbesondere der Abfluss weiterer Daten hätten unterbunden werden können. Gesundheitsdaten der Klägerin seien zudem nicht betroffen gewesen. Dass die Beklagte zu 2) wie weltweit mehrere tausend andere Unternehmen auch Opfer eines Hackerangriffs einer Gruppe augenscheinlich russischer Krimineller geworden sei, sei für die beiden Beklagten nicht vorhersehbar gewesen. Des Weiteren lasse der Vortrag der Klägerin keinen Schaden erkennen, der ersatzfähig sein könnte. Vorliegend sei es auch ausgeschlossen, auf die Befürchtung der missbräuchlichen Verwendung der Daten als immateriellen Schaden abzustellen. Denn dafür wäre es erforderlich, dass eine missbräuchliche Verwendung unter den gegebenen Umständen und im Hinblick auf die betroffene Person tatsächlich befürchtet werden kann. Dazu fehle zum einen jeder Vortrag. Zum anderen sei es auch gänzlich unwahrscheinlich. Denn seit dem Hackerangriff auf die Auftragsverarbeiterin der Beklagten zu 1) im Mai 2023 seien nach Kenntnis der Beklagten keinerlei Betroffenendaten missbräuchlich verwendet worden. Das Ziel des Angriffs sei auch erkennbar in keiner Weise die missbräuchliche Verwendung der Betroffenendaten, sondern die Erpressung der Beklagten zu 1) als Verantwortliche und der Beklagten zu 2) als Auftragsverarbeiter. Die Beklagte zu 1) sei zudem keine „gemeinsam Verantwortliche“ mit der Beklagten zu 2) nach Art. 26 DSGVO. Es läge vielmehr ein Auftragsverarbeitungsverhältnis nach Art. 28 DSGVO vor.

Die Beklagte zu 2) trägt vor, dass sie niemals Zugriff auf den Quellcode der MOVEitAnwendung gehabt habe. Dieser werde vom Hersteller aus Sicherheitsgründen streng vertraulich verwahrt. Sämtliche Fehlerkorrekturen müssten daher vom Hersteller bereitgestellt werden. Die kritische Schwachstelle der MOVEit-Anwendung bilde dabei keine Ausnahme. Ihre Korrektur sei nur dem Hersteller möglich gewesen. Mobilnummer und die E-Mail-Adresse der Klägerin seien gerade nicht erbeutet worden. Mit Blick auf die Kontoverbindung könne man Schäden durch Wechsel des Kontos leicht verhindern. Die MOVEit-Anwendung sei zum Zeitpunkt des Datenschutzvorfalls unter Berücksichtigung des Stands der Technik eine sichere Anwendung gewesen und habe als unüberwindbar gegolten. Die Beklagte zu 2) habe davon ausgehen dürfen, dass die Software dem Stand der Technik entsprach. Der Hersteller der Software, die Firma P., betreue die MOVEit-Anwendung aktiv und stelle regelmäßig Updates mit Fehlerkorrekturen zur Verfügung. Dies sei auch zum Zeitpunkt des Cyberangriffs der Fall gewesen. Wie der Umgang mit dem Cyberangriff zeige, sei die von P. geleistete Betreuung auch höchst professionell erfolgt. Bereits einen Tag nach dem Bekanntwerden der am 31.05.2023 ausgenutzten Schwachstelle habe P. das Sicherheitspatch zur Beseitigung der Bedrohung zur Verfügung gestellt. Auf die zahlreichen Zertifizierungen bei P. werde verwiesen. Man selbst habe auch umfassende TOMs ergriffen, die die Beklagte zu 2) im Schriftsatz vom 19.02.2025 aufzählt. Auf diesen wird Bezug genommen. Die Beklagte zu 2) trägt ferner vor, dass sie vor dem Datenleck im Jahr 2023 jedenfalls keinerlei Kenntnis von irgendwelchen kritischen Schwachstellen der eingesetzten Software gehabt habe. Bestünde eine datenschutzrechtliche Haftung der Beklagten für den Einsatz einer Software eines sorgfältig ausgewählten Softwareherstellers, allein weil sich eine Schwachstelle der Software zeigte, deren Ausnutzung durch ordnungsgemäß getroffene flankierende Sicherheitsmaßnahmen naturgemäß nicht verhindert werden kann, würde die datenschutzrechtliche Haftung zu einer reinen Gefährdungshaftung für den Einsatz von Software ausufern. Als solche sei die datenschutzrechtliche Haftung nach Artikel 82 DSGVO nicht konzipiert, da dies jegliche Exkulpation für jeden Softwarenutzer ausschließen würde. Der Klägerin stehe es frei, P. als Hersteller in Haftung zu nehmen.

Die Beklagte zu 1) hat mit Schriftsatz vom 17.01.2025 einen an einen anderen Versicherten gerichteten Bescheid der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit zum streitgegenständlichen Hackerangriff vorgelegt. Im Bescheid ist ausgeführt: „Art. 32 DSGVO verpflichtet lediglich zur Einführung eines Risikomanagementsystems, gibt aber nicht vor, dass Verantwortliche das Risiko von Datenschutzverletzungen schlechthin beseitigen müssen (…). Selbst der Umstand, dass Dritte unbefugt Zugang zu personenbezogenen Daten erhalten können, bedeutet für sich genommen nicht, dass ergriffene technischorganisatorische Maßnahmen, nicht „geeignet“ waren. (…). Ein Datenschutzverstoß seitens der BARMER liegt somit nicht vor.“

Im Rahmen der mündlichen Verhandlung hat die Kammer den Vater der Klägerin informatorisch befragt. Dieser hat ausgeführt, dass es sich bei dem betroffenen Konto um das Konto der Mutter der Klägerin handele. Das Konto bestehe nach wie vor, wobei mittlerweile ein zweites Girokonto angelegt wurde. Die meisten Buchungen liefen zudem mittlerweile über sein eigenes Konto. Nach seinen Ausführungen gäbe keine Hinweise darauf, dass das Konto der Mutter der Klägerin gehackt wurde. Er wisse zudem nicht, ob die Daten im Darknet auftauchen oder dort angeboten würden. Die Klägerin selbst habe „von dem ganzen Vorgang um das Datenleck keine Kenntnis“.

Hinsichtlich der weiteren Einzelheiten des Sach- und Streitstandes wird auf die Gerichtsakte nebst den wechselseitigen Schriftsätzen Bezug genommen.