[datensicherheit.de, 10.04.2025] Nach Medienberichten vom 8. April 2025 soll nun ein Datenleck auch die Europcar Mobility Group erschüttern: Cyber-Kriminelle haben demnach persönliche Daten von bis zu 200.000 Europcar-Kunden gestohlen. Die Angreifer hätten sich Zugriff auf interne Systeme verschafft und forderten nun Lösegeld – andernfalls drohten sie mit der vollständigen Veröffentlichung der gestohlenen Informationen. Erste sensible Kundendaten seien bereits im Internet veröffentlicht worden.

Auch personenbezogene Kundendaten betroffen

„Für betroffene Verbraucher ergeben sich daraus klare rechtliche Ansprüche – vor allem auf Schadensersatz nach der DSGVO.“ Die Verbraucherkanzlei Dr. Stoll & Sauer bietet nach eigenen Angaben Betroffenen eine kostenlose Ersteinschätzung im „Europcar-Online-Check“ an.

Laut einem Bericht u.a. von „NETZWELT“ und „heise online“ verschafften sich Hacker Zugriff auf „GitLab“-Repositories der Europcar Mobility Group, in denen sich Quellcodes, Backups, Konfigurationsdateien und auch personenbezogene Kundendaten befanden. Der Angriff fand offenbar bereits im März 2025 statt.

Vollständige Datensätze von mehr als 100 Personen bereits publiziert

Die gestohlenen Datensätze umfassten u. a.:

• Vor- und Nachnamen von Kunden
• E-Mail-Adressen
• Telefonnummern
• Reiseinformationen und Vertragsdetails
• Quellcodes der Europcar-Web- und Mobilanwendungen
• technische Details zur „Cloud“-Infrastruktur
• Backup-Datenbanken

Brisant sei: „Die Angreifer fordern nach Medienberichten Geld. Sollte Europcar kein Lösegeld zahlen, drohen die Hacker damit, die kompletten Daten öffentlich zugänglich zu machen.“ Um ihren Forderungen Nachdruck zu verleihen, hätten sie bereits einen Teil der Daten online gestellt – darunter vollständige Datensätze von mehr als 100 Personen.

Weitere Informationen zum Thema:

NETZWELT, Gerrit Gerbig, 08.04.2025
AKTUELLE BETRUGSWARNUNGEN / Datenleck bei Europcar: Hacker legt 200.000 Nutzerdaten offen

heise online, Andreas Knobloch, 07.04.2025,
Europcar: Kundendaten und Quellcodes gestohlen / Ein Cyberkrimineller hat offenbar Daten von bis zu 200.000 Europcar-Kunden abgegriffen und versucht, das Unternehmen zu erpressen

golem.de, Marc Stöckel, 07.04.2025
Datenleck: Kundendaten und Quellcode von Europcar abgeflossen / Ein Hacker hat wohl erfolgreich Gitlab-Repos von Europcar kompromittiert und dadurch Kundendaten und andere vertrauliche Informationen erbeutet

Dr. Stoll & Sauer
Kostenlose Ersteinschätzung direkt online abrufen

datensicherheit.de, 08.04.2025
Verbraucher sollten aktiv werden: Nach Datenleck bei Samsung Anspruch auf Schadensersatz prüfen / Verbraucherkanzlei Dr. Stoll & Sauer bietet vom Datenleck betroffenen Samsung-Kunden kostenlose Ersteinschätzung an

[datensicherheit.de, 08.04.2025] Samsung Deutschland soll laut Medienberichten Ziel eines massiven Cyber-Angriffs geworden sein: Demnach wurden rund 270.000 sensible Kundendatensätze entwendet und im Darknet zum Verkauf angeboten. Samsung habe potenziell betroffene Kunden über dieses Datenleck informiert. Indes: „Betroffene Verbraucher sind möglicherweise einem erheblichen Risiko ausgesetzt – doch es gibt gute Nachrichten: Datenschutzverletzungen wie bei Samsung können Schadensersatzansprüche begründen, wie der Bundesgerichtshof (BGH) jüngst eine Entscheidung bestätigt hat.“ Die Verbraucherkanzlei Dr. Stoll & Sauer bietet nun betroffenen Samsung-Kunden eine kostenlose Ersteinschätzung im „Samsung-Online-Check“ an. Dort sollen die rechtlichen Möglichkeiten aufgezeigt werden.

Angreifer kopierten 270.000 Datensätze aus „Customer Support Tickets“

Laut einem Bericht auf „heise online“ haben sich unbekannte Hacker Zugriff auf ein internes Supportsystem der Samsung Electronics GmbH, also „Samsung Deutschland“, verschafft. Die Angreifer kopierten mutmaßlich 270.000 Datensätze aus sogenannten „Customer Support Tickets“, die sensible persönliche Informationen enthalten:

• Vor- und Nachname
• Adresse
• E-Mail-Adresse
• Gerätetypen
• Support-Anfragen
• teilweise Telefonnummern

Diese Daten sollen aus dem Zeitraum 2012 bis 2018 stammen. „Besonders brisant: Die Datensätze sind nicht nur entwendet worden – sie werden aktiv im Darknet zum Verkauf angeboten. Das birgt erhebliche Risiken für Verbraucher, etwa durch Identitätsdiebstahl oder betrügerische Kontaktaufnahme.“

Samsung-Kunden per E-Mail über Datenleck informiert

Samsung habe Kunden über dieses Datenleck informiert: „Am 29. März 2025 kam es bei einer Geschäftsanwendung eines Systempartners in Deutschland zu einem unautorisierten Zugriff auf personenbezogene Daten von Samsung-Kunden, die den Kundendienst im Zusammenhang mit Einkäufen im Samsung Online-Shop oder anderen Service-Anfragen im Zeitraum von November 2021 bis März 2025 kontaktiert haben“, heißt es in einer der Kanzlei vorliegenden E-Mai.

Folgende Daten könnten betroffen sein: Name, E-Mail-Adresse und Postadresse. Samsung versichert indes, dass es keinen unautorisierten Zugriff auf Passwörter oder Finanzdaten gegeben habe.

Die auf Verbraucherrechte spezialisierte Kanzlei empfiehlt Betroffenen nun, umgehend ihre Ansprüche prüfen zu lassen: „Über einen kostenfreien ,Samsung-Online-Check’ können sie eine Ersteinschätzung erhalten und sich über mögliche rechtliche Schritte informieren.“ Dr. Stoll & Sauer habe bereits erfolgreich Schadensersatzansprüche wegen Datenschutzverletzungen – etwa im Zusammenhang mit dem „facebook“-Datenleck von 3.000 Euro – vor deutschen Gerichten durchgesetzt. Aktuell führten Anwälte der Kanzlei eine „facebook“-Sammelklage gegen den US-Konzern Meta wegen des dortigen Datenlecks.

Datenschutzverletzungen: BGH erleichtert Durchsetzung von Schadensersatzansprüchen

Der Bundesgerichtshof (BGH) habe sich zuletzt verbraucherfreundlich zu Datenschutzverletzungen positioniert:

• BGH stärkt Verbraucherrechte
  Der BGH habe am 18. November 2024 klargestellt, dass der reine Kontrollverlust über personenbezogene Daten bereits einen Schaden nach der DSGVO darstelle. Dies erleichtere die Durchsetzung von Schadensersatzansprüchen erheblich (Az.: VI ZR 10/24).
• Auskunftsanspruch
  Nutzer könnten von Samsung verlangen, Informationen über den Umfang des Datenlecks zu erhalten.
• Schadensersatz
  Nach Art. 82 DSGVO hätten Betroffene Anspruch auf Entschädigung für die Verletzung ihrer Datenschutzrechte.
• Keine zusätzlichen Nachweise erforderlich
  Nach der BGH-Rechtsprechung seien weitere Nachweise über Ängste oder Befürchtungen nicht zwingend erforderlich, auch wenn solche Nachweise den Schadensersatz erhöhen könnten.
• Präzedenzfall „facebook“-Datenleck
  Das „facebook“-Datenleck zeige exemplarisch, wie Kontrollverluste über personenbezogene Daten Schadensersatzansprüche nach der DSGVO auslösen könnten – eine Entwicklung, die nun auch für Samsung-Kunden relevant sei.
• Unterlassungsanspruch
  Betroffene könnten die weitere Verarbeitung ihrer Daten durch Samsung untersagen.

Was betroffene Verbraucher jetzt unternehmen sollten

„Wer glaubt, vom Datenleck bei Samsung betroffen zu sein, sollte jetzt nicht abwarten, sondern aktiv werden. Unsere Empfehlung:“

• Aufmerksam bleiben!
  Noch sei unklar, welche Samsung-Kunden betroffen sind. Wer zwischen 2012 und 2018 mit dem Kundenservice Kontakt hatte, sollte besonders wachsam sein.
• Mögliche Beweise sichern!
  E-Mails von Samsung, alte Support-Tickets oder Kontoauszüge mit Geräteinformationen könnten helfen, die Betroffenheit zu dokumentieren.
• Rechtlich beraten lassen!
  Die Kanzlei Dr. Stoll & Sauer bietet nach eigenen Angaben „eine kostenlose Ersteinschätzung“ an: „Unsere Anwälte prüfen, ob und in welcher Höhe Schadensersatz geltend gemacht werden kann. Über einen kostenfreien ,Samsung-Online-Check’ können Samsung-Kunden eine Ersteinschätzung erhalten und sich über mögliche rechtliche Schritte informieren.“

Datenlecks wie bei Samsung seien keine Bagatellen: Sie stellten massive Eingriffe in die Privatsphäre dar – mit möglicherweise langfristigen Folgen! Der BGH habe aber mit seinem Urteil klargestellt: „Verbraucher können auf Entschädigung pochen, auch wenn der Schaden nicht körperlich oder materiell ist.“

Weitere Informationen zum Thema:

heise online, Dirk Knop, 01.04.2025
Datenklau: 270.000 Datensätze von Samsung Deutschland im Darknet / Kriminelle konnten aus der Support-Datenbank von Samsung Deutschland 270.000 Datensätze abgreifen. Die stehen nun im Darknet zum Verkauf.

Dr. Stoll & Sauer, 08.04.2025
270.000 Kundendaten von Samsung im Darknet / Datenleck bei Samsung: Verbraucher sollten Anspruch auf Schadensersatz überprüfen

datensicherheit.de, 08.04.2025
Vincenz Klemm kommentiert Cybercrime-Fälle bei Oracle und Samsung Electronics / Nach solchen schädlichen Cyber-Vorfällen rückt auch das Thema Organisationsverschulden in den Vordergrund

[datensicherheit.de, 20.02.2021] Laut einer aktuellen Meldung der Kanzlei LATHAM & WATKINS LLP hat das Bundesverfassungsgericht (BVerfG) in einem kürzlich bekanntgewordenen Beschluss klargestellt, dass der Europäische Gerichtshof (EuGH) die Frage nach einer sogenannten Erheblichkeitsschwelle für DSGVO-Schadensersatzansprüche abschließend zu klären hat (Beschluss vom 14. Januar 2021, 1 BvR 2853/19).

Amtsgericht Goslar zu Unrecht davon abgesehen, dem EuGH Frage der Erheblichkeitsschwelle zur Vorabentscheidung vorzulegen

Mit diesem Beschluss habe das BVerfG ein Urteil des Amtsgerichts Goslar vom 27. September 2019 aufgehoben. In diesem Urteil sei es um den unrechtmäßigen Versand einer Werbe-E-Mail gegangen:
„Das Amtsgericht hatte dem Kläger Schadensersatz verwehrt, da die von ihm erlittene Beeinträchtigung die Erheblichkeitsschwelle nicht überschritten habe. Der Kläger erhob Verfassungsbeschwerde.“
Dieser habe argumentiert, „das Amtsgericht habe zu Unrecht davon abgesehen, dem EuGH die Frage der Erheblichkeitsschwelle für DSGVo-Schadensersatzansprüche zur Vorabentscheidung vorzulegen“.

Geringfügige Beeinträchtigung zum Anlass genommen, fehlende Anrufung des EuGH zu rügen

„Es ist bemerkenswert, dass die Verfassungsrichter eine derart geringfügige Beeinträchtigung zum Anlass nehmen, eine fehlende Anrufung des EuGH zu rügen“, sagt Latham-Partner und Datenschutzexperte Tim Wybitul. Damit könne der EuGH wohl demnächst die sehr umstrittene Frage nach der Erheblichkeitsschwelle bei Schäden wegen Datenschutzverletzungen klären.
Diese Entscheidung hat laut Wybitul „erhebliche Folgen für die Praxis“. Der EuGH werde auch die Frage beantworten müssen, ob der europäische Gesetzgeber mit Art. 82 DSGVo tatsächlich in das deutsche Deliktsrecht eingreifen wollte. Dort sei nämlich seit jeher festgeschrieben, dass ein immaterieller Schaden eine gewisse Erheblichkeitsschwelle überschreiten müsse, wenn er Schadensersatz in Geld begründen soll.
Wybitul erläutert: „Die Entscheidung des BVerfG ändert nichts an der Darlegungs- und Beweislast bei Datenschutz-Schadensersatzklagen. Das betrifft etwa den Nachweis eines Verstoßes gegen die DSGVo und die Kausalität zwischen Datenschutzverletzung und behauptetem Schaden.“ In Verfahren nach Art. 82 DSGVo blieben beklagten Unternehmen damit weiterhin Möglichkeiten für eine effektive Verteidigung.

Weitere Informationen zum Thema:

LATHAM & WATKINS LLP
Latham DSGVO-Schadensersatztabelle

datensicherheit.de, 20.01.2021
DSGVO: Schadensersatztabelle gibt Überblick über aktuelle Urteile und Schadenssummen / Latham DSGVO-Schadensersatztabelle online verfügbar

[datensicherheit.de, 16.10.2019
Datenschutzbehörden stellen neuen Bußgeldkatalog offiziell vor / Neue Risiken für Unternehmen und Vorstände

datensicherheit.de, 15.08.2019
Datenschutz: Latham & Watkins rät Unternehmen zu guter Vorbereitung / Viele Unternehmen haben bislang angenommen, deutsche Behörden würden mit hohen Bußgeldern beim Datenschutz nicht Ernst machen