Zabluda Xing poruke: BGH odobrava podnositelju zahtjeva za naknadu štete

Njemački sud je presudio da kandidat za posao koji je primio povjerljivu poruku o prijavi putem društvene mreže Xing zbog greške ima pravo na naknadu prema Općoj uredbi o zaštiti podataka Europske unije (GDPR). Savezni sud pravde (BGH) to je potvrdio u svojoj odluci od rujna 2025. godine, odbacujući zahtjev za zabranu daljnjeg zlouporabe podataka. Slučaj datira iz listopada 2018. godine, kada je zaposlenik Quirin-Bank pogrešno poslao privatnu poruku koja sadrži osjetljive informacije trećoj strani putem platforme Xing. Incident se dogodio tijekom procesa zapošljavanja provedenog preko Xing.

Radnik je namjeravao poslati poruku isključivo kandidatu, ali ju je slučajno proslijedio drugoj osobi koja nije bila uključena u proces zapošljavanja. Sadržaj poruke bio je daleko od trivijalnog. Uključivao je prezime kandidata, spol i ukazivao na to da je proces zapošljavanja u tijeku. Osim toga, opisao je kako je banka procijenila profil kandidata i spomenula potencijalnu plaću od 80.000 eura plus varijabilnu naknadu. Ne namjerni primatelj nije bio stranac, prethodno je radio s kandidatom unutar istog holdinga. Prenio je poruku kandidatu i izravno pitao je da li trenutno traži novu poziciju.

Na sudu je privatna banka prvobitno tvrdila da nisu preneseni osobni podaci u smislu GDPR-a jer samo prezime nije omogućilo jasnu identifikaciju. Međutim, BGH je odbacio ovaj argument. Šesto civilno vijeće potvrdilo je da poruka sadrži tipične identifikacijske značajke, dovoljne za definiciju osobnih podataka prema GDPR-u. Naglasio je da uredba ne zahtijeva jedinstvenu identifikaciju, već samo da se osoba može identificirati. To vrijedi čak i ako je primatelj već posjedovao dodatna znanja o pojedincu.

Na zahtjev BGH-a, ESD je pojasnio da GDPR ne zahtijeva specifičnu materijalnu štetu ili prag značaja za zahtjeve za naknadu štete. Zabrinutost, tjeskoba ili opravdani strahovi od zlouporabe nakon povrede podataka dovoljni su za opravdavanje štete. To je otvorilo put za priznavanje nematerijalnih nedostataka, koje BGH sada praktično primjenjuje u svojoj odluci.

BGH je ispravio ovaj stav, navodeći da se pojam štete u skladu s pravom EU-a mora tumačiti široko. Prema presudi, samo kršenje ne dovodi automatski do prava na naknadu štete. Nezavisni dokaz o pravnoj povredi, šteti i uzročnoj povezanosti mora se utvrditi. Međutim, šteta u ovom slučaju postala je očita kada je treća strana pročitala poruku i kontaktirala podnositelja pritužbe. To je predstavljalo zloupotrebu podataka, čime je gubitak kontrole nad informacijama posljedičan, a ne bezopasan. Nadalje, sud je potvrdio da opravdana zabrinutost zbog budućeg zloupotrebe može predstavljati nematerijalnu štetu.

S obzirom na to da je primatelj djelovao u istoj industriji, strah podnositelja pritužbe od razmjene podataka ili nepovoljnog položaja u tržišnom natjecanju bio je opravdan.