Nach einem Urteil des LG München im Dezember 2021 (Aktenzeichen: 31 O 16606/20) hat nun auch das LG Köln mit Urteil vom 18.05.2022 (Aktenzeichen 28 O 328/21) einem Kunden von Scalable Capital Schadensersatzansprüche nach Art. 82 DSGVO wegen des Datenschutzvorfalls 2020 zugesprochen. Der zugesprochene Schadensersatz beläuft sich vor dem LG München auf 2.500 € und vor dem LG Köln auf 1.200 €. Beide Urteil sind noch nicht rechtskräftig.
Hintergrund der Verfahren ist ein Datenschutzvorfall, den der Online-Broker und Robo-Adviser Scalable seinen Kunden im Oktober 2020 mitteilte. Informationen zu dem Datenleck teilt Scalable Capital auf einer Sonderseite zu „häufig gestellten Fragen zum Datenschutzvorfall“ mit. Betroffen von dem Leck sind über 30.000 Scalable-Kunden, deren personenbezogene Daten von Dritten entwendet wurden. Bei den Datensätzen handelte es sich um personenbezogene Daten bezogen auf Personalien, Kontaktdaten, Ausweisdaten, steuerliche Daten sowie Angaben aus dem Wertpapierdepot. Wie beide Landgerichte festgestellt haben, wurde der Zugriff den Unbekannten in Folge eines Cyber-Angriffs auf den von Scalable eingesetzten IT-Dienstleister ermöglicht. Der Dienstleister war bis 2015 für Scalable Capital tätig, nach Beendigung der Vertragsbeziehung wurden allerdings die ihm gegenüber offengelegten Zugangsdaten zu dem Kundenbereich von Scalable weder geändert noch gelöscht.
Die beiden Landgerichte bejahten in Folge dessen eine Verletzung der von Scalable ergriffenen technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten. Die Urteile setzen ein klares Zeichen zugunsten der Betroffenen von Datenlecks und den daraus resultierenden Schadensersatzansprüchen.
