Datenleck-Betroffene streiten mit BVG über Schadenersatz

Felix W. ist BVG-Kunde. Er hatte das 29-Euro-Ticket abonniert, als es noch angeboten wurde. Seine persönlichen Daten und die von 180.000 anderen Kunden hatten bisher unbekannte Angreifer im April 2025 bei einem Dienstleister der BVG erbeutet. Felix W. ist Datenschutz sehr wichtig, wie er sagt, daher will er auch nicht mit vollem Namen genannt werden. Er arbeitet selbst als Dienstleister für die IT-Verwaltung des Bundes und ist daher umso verärgerter über die Datenschutzverstöße der BVG, für die das Berliner Landesunternehmen Anfang Mai von der Datenschutzbeauftragten Meike Kamp verwarnt wurde. "Ich bin grundtief enttäuscht von der BVG", sagt Felix W. "Die BVG soll ja mit meinen Daten, sagen wir, sorgsam umgehen – und diese Pflicht hat sie verletzt." Die Datenschutzbeauftragte kritisierte, die BVG habe einerseits ihren Dienstleister nicht ausreichend kontrolliert und andererseits zu spät über den Vorfall informiert. Von dem Hackerangriff waren Namen, Postanschriften, Email-Adressen, Kundennummern und Vertragsnummern des Berlin-Abos betroffen. Felix W. hat deswegen, kurz nachdem ihn die BVG im Mai 2025 wie alle Kunden über das Datenleck per Post informiert hatte, eine Anwältin eingeschaltet. Er fordert Schadenersatz von der BVG. Karina Filusch, Fachanwältin für IT-Recht, vertritt sechs Betroffene des Datenschutz-Vorfalls. Sie verweist darauf, dass ihre Mandantinnen und Mandanten beispielsweise Opfer von Identitätsdiebstahl werden könnten. Sie reicht nun Klagen gegen die BVG ein. Denn nach den vergangenen Monaten der außergerichtlichen Auseinandersetzung sind die Fronten zwischen Anwältin und BVG verhärtet. "Leider hat sich die BVG nicht als sehr kooperativ erwiesen. Sie hat geltende Rechtsgrundsätze einfach über den Haufen geworfen", sagt Filusch. Aus ihrer Sicht hat die BVG außergerichtlich entgegen der bisherigen Rechtsprechung von Bundesgerichtshof und Europäischem Gerichtshof bei ähnlichen Datenschutzfällen argumentiert. "Die BVG hat das Argument vorgebracht, dass meine Mandantinnen und Mandanten darlegen müssten, wo ihr Schaden genau ist, und sie müssten auch darlegen, dass dieses Datenleck für den Schaden kausal ist." Das weist die Anwältin aber zurück: "Da sagt die Rechtsprechung ganz klar, dass meine Mandanten das nur plausibel erläutern müssen. Die müssen also keine umfangreiche Beweisführung vorlegen." Die BVG widerspricht dem klar. "Die Darstellung, die BVG vertrete eine der höchstrichterlichen Rechtsprechung widersprechende Rechtsauffassung, ist unzutreffend", schreibt sie auf Anfrage. "Nach der Rechtsprechung des EuGH setzt ein Anspruch aus Art. 82 DSGVO neben einem Datenschutzverstoß einen konkret dargelegten Schaden und einen Kausalzusammenhang zwischen Verstoß und Schaden voraus. Ob diese Voraussetzungen erfüllt sind, ist jeweils anhand der Umstände des konkreten Einzelfalls zu prüfen. Ein pauschaler Verweis auf eine bloß plausible Darlegung greift daher zu kurz." Auch die bislang ergangenen Gerichtsentscheidungen zu dem Datenschutzvorfall würden die Kritik der Anwältin nicht stützen, sagt die BVG. Das Unternehmen verweist auf zwei Urteile: In einem Verfahren sei die Klage gegen die BVG abgewiesen worden, in einem anderen sprach das Gericht lediglich 25 Euro Schadenersatz zu. Allerdings hat die BVG selbst offenbar mindestens einem Betroffenen eine höhere Summe an Schadenersatz bei einem außergerichtlichen Vergleich angeboten. Die Person, die anonym bleiben will, hat dem rbb die Vergleichsvereinbarung vorgelegt, die die BVG ihr geschickt habe. Darin bietet die BVG 100 Euro Schadenersatz an, aber nur gegen zugesichertes Stillschweigen und 5.001 Euro Strafe bei einem Verstoß dagegen. Die BVG äußert sich nicht zu dieser Vergleichsvereinbarung: "Bitte haben Sie Verständnis dafür, dass wir uns grundsätzlich nicht zu Vergleichsgesprächen mit einzelnen Betroffenen äußern. Deshalb können wir Fragen zu konkreten Angeboten, deren Inhalt oder zum Stand einzelner Verfahren nicht beantworten." Auch zur Zahl der bisherigen rechtlichen Verfahren äußert sich die BVG nicht. Verschwiegenheitsklauseln sind bei Vergleichen durchaus üblich. Dennoch sieht der CDU-Abgeordnete Christopher Förster, Sprecher für Digitalisierung und Datenschutz seiner Fraktion im Abgeordnetenhaus, sie in diesem Fall kritisch. "Wenn ich jetzt solche Unterlagen sehe, in denen Verschwiegenheitserklärungen mit unterschrieben werden sollen, hat das auch so ein Geschmäckle. Da könnte man den Eindruck gewinnen: Da möchte jemand etwas vertuschen, beziehungsweise hat kein Interesse daran, dass da noch mehr Beschwerden, noch mehr Klagen kommen." Grundsätzlich kritisiert Förster den BVG-Datenschutzvorfall als "skandalös" und "unwürdig". Die rechtliche Argumentation des Landesunternehmens findet er ebenfalls nicht in Ordnung: "Mit so einer Vorgehensweise habe ich echt ein Problem. Wenn das die Argumentation der BVG ist: 'Weise mir nach – und wenn Du es mir nicht nachweisen kannst, hast Du Pech gehabt' – dann zeugt das nicht wirklich von Reue oder davon, dass man aus dem Vorfall gelernt hat." Das sieht auch Carsten Schatz (parteilos) so, Sprecher für Digitalisierung der Linksfraktion im Abgeordnetenhaus. Er geht allerdings noch einen Schritt weiter und fordert, die BVG sollte allen Betroffenen des Datenlecks von sich aus eine finanzielle Wiedergutmachung anbieten. "Letztlich ist es für mich auch ein Gerechtigkeitsaspekt: Sonst bekommen Entschädigung nur die Leute, die klagen und die dafür Zeit und Kraft haben." Er verweist in diesem Zusammenhang auch auf die Anhörung der BVG im Datenschutzausschuss Anfang Mai. "Der BVG-Vertreter hat im Ausschuss damals gesagt: 'Wir haben verstanden.' Zu diesem 'Wir haben verstanden' gehört für mich jetzt eben auch, eine unbürokratische Entschädigung an die Betroffenen zu bieten." Doch wenn die BVG tatsächlich proaktiv Entschädigung an Felix W. und die 180.000 anderen Kunden zahlen würde, dürfte das schnell Millionensummen kosten. Das wäre eine starke Belastung für den Landeshaushalt. "Schadenersatzansprüche im Zusammenhang mit diesem Datenschutzvorfall sind nicht durch eine Versicherung der BVG abgedeckt", schreibt das Unternehmen dem rbb. Felix W. bereitet sich nun mit seiner Anwältin auf den Gerichtsprozess vor. Dabei betont er: "Es geht nicht um Geld – es geht darum, dass die Daten von allen Berlinerinnen und Berlinern sicher sein sollen. Ich erhoffe mir, dass Grundversorger in Zukunft besser auf ihre Daten aufpassen. Das ist der ganze Grund für dieses Verfahren." Auf eine Gerichtsentscheidung in seinem Fall hoffen er und seine Anwältin binnen etwa eines Jahres.