Wer zahlt die Schäden für Microsofts Absturz?

Vor 2 Wochen hatten wir nach dem weltweiten Zusammenbruch des unter Microsoft Windows laufenden Crowdstrike Netzes (Milliarden Schäden durch Microsoft Update) von großen Schäden berichtet. Ob es im Endergebnis für den Verursacher wirklich auf Milliarden hinausläuft hängt von der Klagebereitschaft der Betroffenen ab.

In einem Interview von netzpolitik.org mit dem ehemaligen Landesdatenschutzbeauftragten von Baden-Württemberg, Stefan Brink, nennt dieser die Paragrafen der DSGVO auf die sich die Betroffenen stützen können. Microsoft schätzt 8,5 Millionen betroffene Computer, zählt aber nur diejenigen mit  von Kunden übermittelten Absturzberichten. Alle Kunden, die eine solche Meldung nicht abgegeben haben, sollen nach Microsofts Ansicht auf ihrem Schaden sitzen bleiben.

Stefan Brink sieht die Rechtslage so:

• Die Crowdstrike Holdings, Inc. hat gegen die DSGVO der Europäischen Union verstoßen.
• Crowdstrike bietet als Dienstleister beziehungsweise Sub-Unternehmen Auftragsdatenverarbeitung gemäß Artikel 28 DSGVO an.
• Nach Artikel 32 Abs. 1 DSGVO muss ein Datenverarbeiter insbesondere, „die Fähigkeit, die […] Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherstellen“.
• Als Auftragsverarbeiter ersten Ranges treffen Microsoft ebenfalls die vollen datenschutzrechtlichen Pflichten.
• Schäden sind insbesondere der Verlust, aber auch die vorübergehend fehlende Verfügbarkeit ihrer Daten. Die Ansprüche der Betroffenen – etwa auf Beförderungsleistung - sind gemäß Artikel 82 DSGVO durch den Datenverarbeiter zu tragen.
• Die Betroffenen wenden sich dazu zuerst an ihren Vertragspartner, z.B. die Fluggesellschaft, die dann den Schaden durch den Datenverarbeiter ersetzt bekommen muss.
• Nach Artikel 33 und 34 der DSGVO muss ein Unternehmen im Falle einer „Datenpanne“ binnen 72 Stunden eine Meldung an die Datenschutz-Aufsichtsbehörde abgeben und die Betroffenen (alle!) informieren.
• Alle Betroffene haben durch den Vorfall das "Risiko der Nicht-Verfügbarkeit" ihrer Daten erlitten. Dies wäre mindestens ein Verstoß gegen die Bestimmungen der Datensicherheit (Art. 32 DSGVO).
• Dafür können zusätzlich zum Schadenersatz Bußgelder gemäß Artikel 83 Abs. 4 DSGVO gegen den Auftragsverarbeiter von bis zu 10 Millionen Euro beziehungsweise zwei Prozent des gesamten weltweit erzielten Jahresumsatzes verhängt werden.

Es kann also spannend werden und es wird sich zeigen was die DSGVO in einem wirklichen Schadensfall taugt. Außerdem kann man hinterher vergleichen, welche Unterschiede die Existenz der DSGVO in der EU im Vergleich zu den Schadensregulierungen in anderen Ländern macht.

Mehr dazu bei https://netzpolitik.org/2024/es-gilt-die-datenschutzgrundverordnung-was-crowdstrike-und-microsoft-in-europa-droht/

Kommentar

Für eine weitere vertrauliche Kommunikation empfehlen wir, unter dem Kommentartext einen Verweis auf einen sicheren Messenger, wie Session, Bitmessage, o.ä. anzugeben.

Geben Sie bitte noch die im linken Bild dargestellte Zeichenfolge in das rechte Feld ein, um die Verwendung dieses Formulars durch Spam-Robots zu verhindern.

CC Lizenz   Mitglied im European Civil Liberties Network   Bundesfreiwilligendienst   Wir speichern nicht   World Beyond War   Tor nutzen   HTTPS nutzen   Kein Java   Transparenz in der Zivilgesellschaft