Letztes Update: 17. November 2023
Diese Seite dient zur Information unserer Kunden zum Thema Scalable Capital Datenschutzvorfall im Oktober 2020.
Bitte haben Sie dafür Verständnis, dass wir aus Prozess-taktischen Gründen nicht alle Informationen mit Ihnen teilen können. Dennoch versuchen wir Ihnen den Fortschritt aufzuzeigen.
Update vom 13. November 2020:
Gerne möchten wir, zusammen mit der Kanzlei Raimer Ihnen, die sich erfolgreich auf EuGD.org registriert haben, auf diesem Wege ein erstes Update zum Verfahrensstand geben. Dieses Update, sowie zukünftige Updates finden Sie unter https://eugd.org/scalable-capital-update/
Um Sie nicht mit unzähligen E-Mails zu belästigen, werden wir in Zukunft nur wesentliche Updates per E-Mail kommunizieren, alle Updates finden Sie jeweils auf der Webseite.
Status-Quo:
Für uns, wie auch für die meisten Betroffenen, gibt es nach wie vor noch etliche Unklarheiten, was passiert ist und was das Datenleck für die Betroffenen bedeutet.
Wir haben in den letzten Wochen Informationen aus verschiedensten Quellen geprüft, dennoch bleiben die verfügbaren Informationen zum Teil widersprüchlich, zum Teil auch vage. Gleichwohl gilt als recht gesichert:
Die Kanzlei Raimer hat letzte Woche eine erste Schadenersatz-Forderung für einen Betroffenen bei Scalable Capital geltend gemacht. Da es innerhalb der gesetzten Frist keine Zahlung gab, wird aktuell eine entsprechende Musterklage vorbereitet.
Nächste Schritte:
Uns haben auch einige Anfragen in Bezug auf die Zeitachse und die nächsten Schritte im Einzelfall bekommen.
Wir gehen aktuell nicht davon aus, dass wir vor Ende 2021 eine breite Einigung für die Betroffenen erreichen werden. Entsprechend müssen wir Sie hier um Geduld bitten, was jedoch schlicht und einfach an der Neuheit der gesetzlichen Grundlage liegt.
Updates zu Einzelfällen folgen mit Ausnahme der Musterfälle ebenfalls nicht vor Frühjahr 2021, sofern es sich hier ähnlich verhält wie in anderen Fällen.
Update vom 16. Dezember 2020:
Zunächst einmal möchten wir uns für die vielen Rückmeldungen bedanken, vor allem in Bezug auf einen Missbrauch der Daten, sowie Details zu Rechtsschutzversicherungen (siehe Update vom 13. November).
– Wir haben in den letzten Wochen über verschiedene Kanäle Rückmeldungen von Scalable Capital bekommen und diese waren stets professionell, freundlich und bemüht.
– Leider gab es bisher jedoch kein Einlenken in Bezug auf Schadenersatzforderungen, weshalb von der Kanzlei Raimer für einen Betroffenen eine Klage beim Landgericht München eingereicht wurde.
– Weitere Muster-Klagen werden nach Freigabe durch die Betroffenen im Laufe der nächsten Wochen eingereicht werden. Sollten Sie ebenfalls daran Interesse haben und eine Rechtsschutzversicherung haben, können Sie sich hier gerne anschliessen. Es gelten natürlich entsprechend geringere Provisions-Werte für EuGD.
– Wir sind weiterhin auf der Suche nach Geschädigten, deren Daten aktiv missbraucht wurden. Ein derartiger Missbrauch kann beispielsweise der Erhalt einer E-Mail mit der Pass-/Ausweis-Kopie sein.
Aufgrund der anstehenden Feiertage und der Covid-19-Beschränkungen werden wir voraussichtlich erst im Februar 2021 ein nächstes Update geben können.
Wir wünschen Ihnen und Ihrer Familie besinnliche Feiertage, einen guten Start ins Neue Jahr und vor allem Gesundheit!
Update vom 06. August 2021
Seit dem letzten Update sind einige Monate vergangen, in denen wir jedoch nicht untätig waren. Ein erstes Musterverfahren beim Landgericht München läuft und hat wertvolle Erkenntnisse gebracht.
Scalable Capital hat nach unserem Verständnis widersprüchliche Angaben gemacht, wie es zu dem Datenleck kam. Dabei reichen die Ansätze bisher von einem (ehemaligen) Mitarbeiter, über den Abgriff von Zugangsdaten bis hin zu einer Sicherheitslücke bei einem Drittanbieter. Die genaue Ursache des Datenlecks wird jedoch, vermutlich auch prozesstaktischen Gründen, nicht kommuniziert. Für uns hinterlässt dies einen faden Beigeschmack, da der Gegenseite wohl nicht an der Aufklärung des Sachverhalts und Transparenz gegenüber den Kunden gelegen ist. Dies können wir in einem Markt, in dem Vertrauen eine derartig hohe Bedeutung hat, nicht nachvollziehen.
Bezüglich etwaiger Versäumnisse oder Datenschutz-Verstöße, die zu dem Datenleck geführt haben, hüllt sich Scalable Capital Großteils in Schweigen. Scalable Capital versucht die Korrektheit ihres Handelns durch eigene Mitarbeiter als Zeugen, sowie ein ISO Zertifikat nachzuweisen. Dass das bisher vorgelegte Zertifikat jedoch für eine andere Gesellschaft ausgestellt wurde und auch das erst rund 3 Monate nach (!) dem Datenleck, verwundert dabei doppelt.
Wir arbeiten weiter an einer Sachaufklärung und dem Zuspruch von Schadenersatz für die Betroffenen. Aus unserer Sicht sind sensible Daten in die Hände krimineller Dritter gelangt und die Umstände, die dazu geführt haben, sind nach wie vor unbekannt. Andere Unternehmen versuchen in derartigen Fällen durch Transparenz Vertrauen aufzubauen, während in diesem Fall versucht wird, durch Intransparenz glimpflich davon zu kommen.
Da uns diesbezüglich auch einige Fragen erreicht haben:
Neben der Durchsetzung von Schadenersatz-Forderungen gibt es natürlich auch noch den Weg der Beschwerde bei der zuständigen Datenschutzaufsicht. Im Fall Scalable Capital wäre dies wohl das BayLDA. Dieser Weg steht Ihnen natürlich frei, ist jedoch nicht nötig. Für den Musterkläger wurde bereits ein Beschwerde eingereicht, individuelle Beschwerden unterstreichen aber wohl die Schwere des Vorfalls.
Wir rechnen mit einem ersten Urteil im September oder Oktober 2021 und werden Details dazu entsprechend hier kommunizieren.
Sollten sich zwischenzeitlich Neuigkeiten ergeben, werden wir Sie natürlich auf dem Laufenden halten.
Update vom 21. Dezember 2021
In der Musterklage vor dem Landgericht München, die wir vor rund einem Jahr eingereicht haben, gibt es ein positives Urteil! Scalable Capital wurde dabei unter anderem dazu verurteilt dem Kläger einen immateriellen Schadenersatz in Höhe von 2.500 EUR zu zahlen und zukünftige materielle Schäden aus dem Datenleck zu ersetzen.
Materielle Schäden sind dabei in der Regel finanzielle Nachteile, die beispielsweise durch den Austausch eines Reisepasses entstehen. Immaterielle Schäden, sind Schäden, die sich schwerer quantifizieren lassen, da sie zum Beispiel aus Gefühlen wie Angst oder schwer greifbaren Folgen wie Identitätsdiebstahl oder Kontrollverlust bestehen.
Es ist somit, nach unserem Wissen, das erste Urteil in Deutschland in dem einem Datenleck-Opfer ein (spürbarer) Schadenersatz zugesprochen wurde.
Die Kanzleien Raimer und Spirit Legal haben dabei gemeinsam hervorragende Arbeit geleistet, wofür wir uns besonders bedanken wollen.
Wie geht es weiter?
Scalable Capital hat nun einen Monat Zeit gegen das Urteil Berufung einzulegen. Wir wären nicht überrascht, wenn sie dies machen, sehen jedoch auch eine gute Chance, dass das Oberlandesgericht München als nächste Instanz, das Urteil bestätigt. Ob wir Berufung gegen Teile des Urteils einlegen ist aktuell noch nicht final entschieden.
Was bedeutet das für Sie?
Aktuell droht in diesem Fall noch keine Verjährung, so dass keine akuten Schritte notwendig sind. Wir gehen davon aus spätestens im März Klarheit zu haben ob und gegen welche Teile des Urteils Berufung eingelegt wird. Parallel dazu ist für Ende März eine Verhandlung am Landgericht Köln angesetzt. Wir erwarten auch hier, dass dem Kläger Schadenersatz zugesprochen wird.
Im Anschluss werden wir entscheiden, wie Ihre Ansprüche am Besten durchgesetzt werden können.
Sollten Sie sich jetzt noch registrieren?
Ja! In anderen Verfahren mit vielen Betroffenen werden häufig im Anschluss an erste gerichtliche Einschätzungen oder Niederlagen vertrauliche Gespräche für Vergleichsverhandlungen gestartet. Etwaige „Nachzügler“ hatten häufig nicht mehr die Chance am Vergleich teilzunehmen. Aktuell gibt es jedoch keine derartigen Gespräche und es ist reine Spekulation ob Scalable Capital den Weg über die Gerichte oder einen außergerichtlichen Vergleich bevorzugt. Eine Registrierung wegen des Scalable Capital Datenlecks macht daher auf jeden Fall noch Sinn!
Alternativ haben Sie jederzeit die Möglichkeit unter eigenem Kostenrisikio einen eigenen Anwalt zu beauftragen, was durch das Muster-Urteil sicherlich leichter geworden ist. Ob es für diesen wirtschaftlich abbildbar ist für unter 1.000 Euro (Gebührensatz nach RVG) gegen über 100 Seiten Schriftsätze (wie im Musterverfahren) qualitativ hochwertig zu argumentieren, lassen wir dahingestellt.
Wir wünschen Ihnen und Ihrer Familie noch eine besinnliche Adventszeit, schöne Weihnachten und einen guten Start in ein gesundes und glückliches 2022!
Update vom 19. Mai 2022
Eine weitere Muster-Klage wurde mittlerweile vom Landgericht Köln entschieden. Dem Kläger wurden in diesem Fall 1.200 EUR Schadenersatz zugesprochen. Auch in diesem Fall sah es das Gericht als erwiesen an, dass Scalable Capital gegen die DSGVO verstoßen hat und dem Betroffenen immaterieller Schadenersatz zusteht. Das Urteil ist noch nicht rechtskräftig.
Wir freuen uns natürlich sehr, dass auch das zweite Urteil positiv ausgefallen ist, auch wenn die Höhe des Schadenersatzes nur bedingt überzeugt.
Bezüglich des Urteils aus dem Dezember 2021 vom Landgericht München mit einem Schadenersatz in Höhe von 2.500 EUR wurde von Scalable Capital Berufung eingelegt. Für Ende Juni ist vor dem Oberlandesgericht München die Berufungsverhandlung angesetzt. Das dortige Urteil, das wir im Sommer diesen Jahres erwarten wird sicherlich richtungsweisend für das weitere Vorgehen. Entsprechend werden wir voraussichtlich im Spätsommer mit Details zu den nächsten Schritten auf Sie zukommen.
Update vom 16. August 2022
2.500 Euro Schadenersatz sind nach Verhandlung beim OLG München rechtskräftig!
Scalable Capital hat die Berufung gegen das Urteil des Landgericht München vom Dezember 2021 nach der mündlichen Verhandlung beim OLG München „aus strategischen Gründen“ zurückgenommen. Damit ist das Urteil aus dem Dezember 2021 rechtskräftig.
In einem Verfahren vor dem Landgericht Stuttgart, das nicht von EuGD begleitet wurde, wurden wie im Mai in Köln ebenfalls 1.200 Euro Schadenersatz zugesprochen. Wir gehen davon aus, dass sich ein Schadenersatz im 4-stelligen Bereich auch in anderen Verfahren durchsetzen wird.
Wir prüfen aktuell zusammen mit den involvierten Kanzleien welche Schritte als nächstes unternommen werden um den anderen Betroffenen bestmöglich helfen zu können.
Update vom 19. Dezember 2022
Wieder sind einige Monate vergangen und wir sind weiterhin aktiv um die Verfahren gegen Scalable Capital voranzubringen.
Nachdem das Urteil des LG München I vom Dezember 2021 im Sommer rechtskräftig wurde, haben wir zusammen mit der Kanzlei Spirit Legal die nächsten strategischen Schritte erarbeitet.
In diesem Zuge haben wir uns dazu entschlossen weitere Klagen vorzubereiten und einzureichen. Dies ist mittlerweile geschehen und es wurden Klagen an mehreren Gerichten eingereicht. Wir hoffen, dass die Gerichte Verhandlungen im Laufe des Frühjahrs 2023 terminieren um entsprechend zeitnahe Entscheidungen zu bekommen.
Gegen das Urteil mit 1.200 EUR des Landgericht Köln ist Scalable Capital in Berufung gegangen und es wurde aufgrund der zu geringen Höhe des Schadenersatzes eine Anschlussberufung durch den Kläger eingelegt.
Die Verhandlung dieses Verfahrens ist aktuell für Mitte Februar beim Oberlandesgericht Köln terminiert. Natürlich werden wir Sie über den weiteren Verlauf auf dieser Seite informieren.
In der Zwischenzeit wünschen wir Ihnen und Ihrer Familie schöne Weihnachten und nur das Beste für 2023!
Update vom 01. März 2023
Die Verhandlung beim OLG Köln am 9. Februar konnte wie geplant stattfinden. In der mündlichen Verhandlung hat sich das Gericht sehr klar positioniert und der Berufung durch Scalable Capital keine Aussicht auf Erfolg eingeräumt. Wie üblich handelte es sich dabei um eine vorläufige Einschätzung, da sich das Gericht erst nach der mündlichen Verhandlung ein finales Bild macht, welches dann die Grundlage für das Urteil liefert.
Bezeichnend war jedoch, dass die Vorsitzende Richterin rund 15 Minuten den Sachverhalt und die rechtliche Einordnung aus Sicht der Kammer sehr detailliert und hervorragend herausgearbeitet dargestellt hat.
Das Gericht hat den Anwälten von Scalable Capital die Möglichkeit gegeben sich zu äußern und im Laufe der Verhandlung nachgefragt ob in diesem Verfahren ebenfalls eine Berufungsrücknahme, wie in München, geplant sei. Dies wollten die Anwälte mit Scalable Capital im Nachgang klären, was letztlich auch erfolgt ist und zu einer weiteren Rücknahme führte. Damit ist das Urteil des Landgericht Köln über 1.200 EUR Schadenersatz nun rechtskräftig.
Wie geht es nun weiter?
Wir haben aktuell noch mehrere laufende Verfahren in München und Frankfurt und bereiten ein weiteres Muster-Verfahren vor. Ziel ist es, eine eindeutige Rechtsprechung in diesem Fall zu schaffen.
Parallel dazu bereiten wir Maßnahmen vor, die eine Verjährung zum Jahresende verhindern sollen. Wir gehen davon aus, dass wir konkrete Maßnahmen im Sommer kommunizieren können.
Update vom 17. November 2023
Seit unserem letzten Update sind einige Monate vergangen, in denen wir erfolgreich für die Durchsetzung Ihrer Rechte gekämpft haben.
Was ist in der Zwischenzeit geschehen?
Wir konnten zwei weitere Prozesse für die Geschädigten gewinnen, in denen das Landgericht München 1.500 Euro und das Amtsgericht Frankfurt 500 Euro Schadenersatz zugesprochen haben. In allen von der EuGD unterstützten Fällen wurde somit Schadenersatz gewährt.
Dies betrachten wir als bedeutenden Erfolg, insbesondere da es in ähnlich gelagerten Fällen nicht von uns unterstützter Betroffener zu keiner Schadenersatzzahlung kam.
Unser Engagement geht weiter: Weitere Prozesse sind beim Landgericht München anhängig, ebenso wie Berufungsverfahren beim Landgericht Frankfurt und dem Oberlandesgericht München. Hier erwarten wir Urteile im Frühjahr bzw. Sommer 2024.
Bei einem Verfahren vor dem Gericht der Europäischen Union (EuG), welches von Spirit Legal begleitet wird, gab es Mitte Oktober eine mündliche Verhandlung. Ein zentrales Thema dabei war auch die Berechnung und Höhe von Schadenersatz bei Datenschutzverletzungen. Wir erwarten hier Anfang 2024 ein Urteil, das anderen Gerichten Anhaltspunkte für die Berechnung der Höhe des Schadenersatzes geben kann.
Ende Oktober hat sich der Generalanwalt des Europäischen Gerichtshof zu der Frage des Schadens im Fall dieses Datenlecks geäußert. Der Generalanwalt kommt dabei zu folgendem Ergebnis:
„Der Diebstahl sensibler personenbezogener Daten einer betroffenen Person durch einen unbekannten Straftäter kann zu einem Anspruch auf immateriellen Schadensersatz führen, wenn der Nachweis eines Verstoßes gegen die Datenschutz-Grundverordnung, eines konkreten erlittenen Schadens und eines Kausalzusammenhangs zwischen dem Schaden und diesem Verstoß erbracht wird. Für die Gewährung eines solchen Schadensersatzes ist es nicht erforderlich, dass der Straftäter die Identität der betroffenen Person angenommen hat, und der Besitz von Daten, die die betroffene Person identifizierbar machen, stellt für sich genommen keinen Identitätsdiebstahl dar.“
Weiter führt der Generalanwalt aus:
„Aus den vorstehenden Erwägungen folgt, dass der Diebstahl personenbezogener Daten zwar keinen Identitätsdiebstahl oder -betrug darstellt, jedoch zur Entstehung eines immateriellen Schadens und zu einem Schadensersatzanspruch nach Art. 82 Abs. 1 der DSGVO führen kann.
Der Nachweis eines immateriellen Schadens kann einfacher zu erbringen sein, wenn festgestellt wird, dass die betroffene Person infolge des Diebstahls ihrer personenbezogenen Daten Opfer eines Identitätsdiebstahls oder -betrugs geworden ist. Ein Anspruch auf Ersatz des immateriellen Schadens nach Art. 82 Abs. 1 der DSGVO wegen des Diebstahls personenbezogener Daten hängt jedoch nicht vom Vorliegen eines Identitätsdiebstahls oder -betrugs ab.“
Das Urteil in diesem Verfahren, welches auf die Empfehlung des Generalanwalts folgt, erwarten wir Anfang 2024. Basierend auf den Ausführungen des Generalanwalts sind wir zuversichtlich, dass der EuGH diesen Ausführungen folgt, womit ab Anfang 2024 regelmäßig nur noch die konkrete Höhe des Schadenersatzes offen ist.
Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) hat den Fall nach wie vor nicht abgeschlossen, jedoch sind wir mit der Behörde im Austausch. Wir vermuten einen Abschluss im Laufe der nächsten Monate. Womöglich werden dabei auch ein oder mehrere Datenschutzverstöße festgestellt, die zum Datenleck geführt haben.
Natürlich haben wir auch den direkten Kontakt zu den Anwälten von Scalable Capital, der Kanzlei Freshfields, aufgenommen, um die Möglichkeit eines außergerichtlichen Vergleichs zu erörtern. Bisher gab es keine konkreten Angebote, allerdings wurde angedeutet, dass ein potenzieller Vergleichsbetrag maximal im untersten dreistelligen Bereich liegen würde. Angesichts der rechtskräftigen Urteile, die zwischen 1.200 und 2.500 Euro festlegen, erscheint uns ein solcher Betrag als inadäquat und eher als Versuch, die Betroffenen unter Wert abzuspeisen.
Wir legen Wert auf Transparenz, daher möchten wir Sie über ein wichtiges Detail bezüglich der möglichen Verjährung der Ansprüche informieren:
Es besteht die Möglichkeit, dass manche Schadensersatzansprüche gegen Scalable Capital aus dem Datenleck von Ende 2020 bis Ende des Jahres 2023 verjähren könnten.
Um dies zu vermeiden, wären verjährungshemmende Maßnahmen erforderlich. EuGD wird solche Maßnahmen nicht für Sie ergreifen.
Ihre Handlungsoptionen werden weiter unten aufgeführt.
Unsere unverbindliche Einschätzung, die Ihren Einzelfall nicht betrifft: Für eine Verjährung müsste man im Jahr 2020, dem Zeitpunkt des Datenlecks, gewusst haben, dass das Datenleck auf einen Verstoß gegen die DSGVO durch Scalable zurückzuführen ist. Denn ohne einen solchen Verstoß bestünde kein Anspruch auf Schadenersatz, und man hätte diesen folglich auch nicht geltend machen können. Es erscheint uns zwar möglich, aber unwahrscheinlich, dass Gerichte bereits das Datenleck selbst oder die E-Mail an die Betroffenen vom Oktober 2020, in der Scalable noch jede Verantwortung abstritt, als hinreichenden Indikator für einen Verstoß werten und die Ansprüche somit bereits zum 31.12.2023 als verjährt betrachten könnten.
Mehrere von uns konsultierte Rechtsexperten bewerten das Risiko einer Verjährung als eher gering. Es wäre nicht im Sinne des Gesetzes und der Ziele der DSGVO, wenn Betroffene ohne fundierte Kenntnis eines Verstoßes Klage erheben müssten, insbesondere wenn der Verstoß selbst nach Jahren weder von einer Aufsichtsbehörde festgestellt noch rechtskräftig entschieden, noch von Scalable Capital eingeräumt wurde. Trotzdem möchten wir Sie auf das potenzielle Risiko einer Verjährung hinweisen.
Wie geht es weiter?
Angesichts des oben diskutierten Verjährungsrisikos stehen Ihnen drei Handlungsoptionen zur Verfügung:
Wir planen zudem, mehrere Cybersecurity-Experten hinzuzuziehen, die nach den gestohlenen Datensätzen suchen, deren Verbreitung dokumentieren und die Inhalte analysieren werden. Nur so lässt sich Klarheit über die möglichen Konsequenzen schaffen, über die Scalable Sie bisher völlig im Dunkeln gelassen hat.
Wir sind zuversichtlich und bleiben fest entschlossen, dass Scalable Capital die Verantwortung für den unsachgemäßen Umgang mit Ihren Daten und die daraus folgenden Konsequenzen tragen wird. Es ist unser stetiges Bestreben, Ihre Interessen zu vertreten und für Ihr Recht auf angemessenen Schadenersatz einzutreten. Wir freuen uns darauf, Sie auf diesem Weg weiterhin zu unterstützen und positive Ergebnisse zu erzielen.