Ein Datenleck, ein außergerichtlicher Vergleich und 5.000,00 Euro Schadensersatz.
Der Fall „Lookiero“ zeigt, dass Datenschutzverstöße bares Geld kosten können – auch dann, wenn es gar nicht zu einem Gerichtsurteil kommt.
Was ist beim Lookiero-Datenleck passiert?
Im Sommer 2024 tauchten im Internet Daten von rund fünf Millionen Kunden des Online-Modeanbieters Lookiero auf. Betroffen waren nicht nur Namen und Adressen, sondern auch Zugangsdaten.
Ein Betroffener machte mit anwaltlicher Unterstützung Schadensersatz geltend. Das Ergebnis: 5.000,00 Euro außergerichtlich gezahlt. Kein Urteil, kein langwieriger Prozess – aber echte Kosten für das Unternehmen.
Juristische Einordnung: Artikel 82 DSGVO
Artikel 82 DSGVO regelt den Anspruch auf Schadensersatz. Drei Punkte müssen zusammenkommen:
- Ein Verstoß gegen die DSGVO liegt vor.
- Ein Schaden (materiell oder immateriell) ist entstanden.
- Ein Kausalzusammenhang besteht zwischen Verstoß und Schaden.
Besonders wichtig: Ein immaterieller Schaden kann schon die bloße begründete Angst vor Datenmissbrauch sein. Der Europäische Gerichtshof (EuGH) hat im Mai 2023 klargestellt: Schon der Verlust der Kontrolle über Daten kann genügen (EuGH, C-300/21).
Nicht jede hypothetische Sorge reicht allerdings. Der Betroffene muss darlegen können, dass die Befürchtung auf einem konkreten Vorfall basiert.
Warum ist das für KMU relevant?
Viele Unternehmen wiegen sich in Sicherheit: „Wir sind zu klein, das betrifft nur Konzerne.“ Doch gerade kleine und mittlere Unternehmen sind beliebte Angriffsziele, weil ihre Sicherheitsstandards oft niedriger sind.
Hinzu kommt: Auch wenn kein Gerichtsurteil gefällt wird, kann ein außergerichtlicher Vergleich teuer werden – wie Lookiero zeigt.
Handlungsmöglichkeiten für Unternehmen
So können Sie sich schützen:
- Technische Maßnahmen: Starke Passwörter, Mehr-Faktor-Authentifizierung, Verschlüsselung, eingeschränkte Zugriffsrechte.
- Dokumentation: Eine DSGVO-konforme Risikoanalyse und Nachweise zu getroffenen Maßnahmen sind Pflicht. Nur so können Sie sich im Streitfall entlasten.
- Krisenplan: Klare Abläufe für den Ernstfall – von der IT bis zur Kommunikation mit Betroffenen.
- Schulungen: Mitarbeiter regelmäßig auf typische Risiken (Phishing, unsichere Passwörter, falscher Umgang mit Daten) hinweisen.
FAQ: Häufig gestellte Fragen zum Fall Lookiero
Reicht schon Angst vor Datenmissbrauch für Schadensersatz? Ja, wenn die Angst auf einem konkreten Vorfall beruht (z. B. ein Datenleck).
Müssen Unternehmen für jeden Vorfall zahlen? Nein. Wenn sie nachweisen können, dass sie den Verstoß nicht zu verantworten haben (Art. 82 Abs. 3 DSGVO), können sie sich entlasten.
Was lernen KMU daraus? Prävention und Dokumentation sind entscheidend. Wer vorbereitet ist, spart Geld und schützt seine Reputation.
Fazit
Der Fall Lookiero zeigt: Datenschutz hat einen Preis. Wer Maßnahmen nur aufschiebt, riskiert Zahlungen – auch ohne Urteil. Prävention ist die günstigste Versicherung.
