Mensaje erróneo de Xing: el BGH concede una indemnización por daños y perjuicios en virtud de la GDPR

Un tribunal alemán ha dictaminado que un candidato a un puesto de trabajo que recibió un mensaje confidencial de solicitud a través de la red social Xing debido a un error tiene derecho a una compensación en virtud del Reglamento General de Protección de Datos (GDPR) de la Unión Europea. El Tribunal Federal de Justicia (BGH) lo confirmó en su decisión de septiembre de 2025, rechazando la demanda de una orden judicial contra el uso indebido de datos. El caso se remonta a octubre de 2018, cuando un empleado de Quirin-Bank envió por error un mensaje privado que contenía información confidencial a un tercero a través de la plataforma Xing. El incidente ocurrió durante un proceso de reclutamiento realizado a través de Xing.

El empleado tenía la intención de enviar un mensaje exclusivamente al candidato, pero lo reenvió accidentalmente a otra persona no involucrada en el proceso de contratación. El contenido del mensaje estaba lejos de ser trivial. Incluía el apellido, el género del candidato e indicaba que se estaba llevando a cabo un proceso de contratación. Además, describía cómo el banco evaluaba el perfil del candidato y mencionaba un salario potencial de 80.000 euros más una compensación variable. El destinatario no intencionado no era un extraño, ya que había trabajado previamente con el candidato dentro de la misma empresa holding. Transmitió el mensaje al candidato y le preguntó directamente si estaba buscando un nuevo puesto.

En la corte, el banco privado inicialmente argumentó que no se habían transferido datos personales en el sentido del RGPD porque el apellido por sí solo no permitía una identificación clara. Sin embargo, el BGH rechazó este argumento. La sexta cámara civil afirmó que el mensaje contenía características de identificación típicas, suficientes para la definición de datos personales bajo el RGPD. Enfatizó que el reglamento no requiere una identificación única, simplemente que la persona pueda ser identificada. Esto es cierto incluso si el destinatario ya poseía conocimientos adicionales sobre el individuo. El fallo del BGH se basa en la orientación proporcionada por el Tribunal de Justicia de la Unión Europea (TJUE) en septiembre de 2025.

A petición del BGH, el TJUE aclaró que el RGPD no exige un daño material específico o un umbral de importancia para las reclamaciones de indemnización. Las preocupaciones, la angustia o los temores justificados de abuso tras una violación de datos son suficientes para justificar daños. Esto allanó el camino para el reconocimiento de desventajas no materiales, que el BGH ahora aplica prácticamente en su decisión. La sentencia del BGH tiene un impacto significativo en la interpretación del daño no material en virtud del artículo 82 del RGPD. Tribunales anteriores habían desestimado el reclamo del demandante, argumentando que el demandante había descrito una violación de la protección de datos pero no un daño concreto.

El BGH corrigió esta postura, afirmando que el concepto de daño bajo la ley de la UE debe interpretarse ampliamente. Según el fallo, una mera violación no conduce automáticamente a un derecho a la compensación. Debe establecerse una prueba independiente de infracción legal, daño y causalidad. Sin embargo, el daño en este caso se hizo evidente cuando el tercero leyó el mensaje y se puso en contacto con el demandante. Esto constituyó un uso abusivo de los datos, lo que hizo que la pérdida de control sobre la información fuera consecuente en lugar de inofensiva. Además, el tribunal confirmó que las preocupaciones justificadas sobre el uso indebido futuro pueden constituir un daño no material.

Dado que el destinatario operaba en la misma industria, el temor del demandante a compartir datos o a sufrir una desventaja competitiva parecía razonable.La investigación del tercero transformó un riesgo abstracto en un efecto concretamente verificable.Esto refuerza el enfoque de BGH: una reclamación requiere que el daño esté claramente vinculado a la violación de datos y que exista una relación causal directa entre la violación y el daño sufrido.