Haftung für Schäden aus Datenmissbrauch infolge mangelhafter IT-Infrastruktur

Im Informationszeitalter ist die Speicherung und Verarbeitung von Daten im Geschäftsverkehrallgegenwärtig. Darunter sind auch viele heikle Informationen, die vor dem unberechtigten ZugriffDritter geschützt werden müssen. Trotzdem kommt es immer wieder zu Fällen, in denen sich einUnberechtigter Zugang zu den Daten verschaffen kann und diese in weiterer Folge missbräuchlichverwendet. Ziel der vorliegenden Arbeit ist zu klären, unter welchen Umständen derDatenverarbeiter für Schäden aus einem derartigen Datenmissbrauch haftet, wenn dieser über dasAusnutzen von Schwachstellen in seiner IT-Infrastruktur resultiert. Dabei soll auch der Fall, dassder Datenverarbeiter zur Verarbeitung der Daten einen Dritten heranzieht, betrachtet werden. DieArbeit soll Aufschluss darüber geben, welche gesetzlichen und vertraglichen Anforderungen sich andie IT-Infrastruktur ergeben. Von zentraler Bedeutung für personenbezogene Daten sind dabei dieVorschriften des DSG 2000, insbesondere der Datensicherheitsmaßnahmen nach § 14 DSG 2000.Ebenso soll der richtige Umgang des Datenverarbeiters mit einem ihm bekannt gewordenenDatenmissbrauch und sich eine gegebenenfalls daraus ergebende Informationspflicht an denpotenziell Geschädigten dargestellt werden. Schließlich werden die Voraussetzungen für dieGeltendmachung eines Schadenersatzanspruches für immaterielle und materielle Schäden erläutert.Das umfasst auch die Haftung des Datenverarbeiters für seine Gehilfen sowie dessen Möglichkeitender Befreiung aus der Haftung. Zudem wird die Frage, wann den Geschädigten ein Mitverschuldenam Schaden trifft, untersucht.The purpose of this diploma thesis is to analyse the liability for damages through data abuse causedby an insufficient IT infrastructure. The goal is to figure out under which requirements andcircumstances a victim can get compensatory damages. In the first part the thesis describes somebasic elements of the austrian data protection law (DSG 2000) and the requirements for anadmissible usage of personal data. It also takes a look on duties out of a contract for cases whereonly non-personal data is processed, and therefore austrian data protection law is not applicable.Furthermore the thesis analyses the criteria of the law for an secure and sufficient IT infrastructure.Another main question is if there is a data breach notification duty in the case of a data abuse. Thelast part regards at the requirements to get compensation for damages caused through data abuse.Therefore the circumstances for the possibility to get material or immaterial damages arescrutinised. At the end of the thesis the current legal situation is summarised and an outlook offuture developments is given.von Boris Martin KlimpfingerAbweichender Titel laut Übersetzung der Verfasserin/des VerfassersGraz, Univ., Dipl.-Arb., 2013(VLID)23372