Messaggio Xing fuorviante: BGH risarcisce il richiedente del risarcimento per i danni derivanti dal GDPR

Un tribunale tedesco ha stabilito che un candidato a lavoro che ha ricevuto un messaggio di candidatura riservato tramite il social network Xing a causa di un errore ha diritto a un risarcimento ai sensi del Regolamento generale sulla protezione dei dati dell'Unione europea (GDPR). La Corte federale di giustizia (BGH) lo ha confermato nella sua decisione del settembre 2025, respingendo la richiesta di ingiunzione contro ulteriori abusi di dati, tuttavia. Il caso risale all'ottobre 2018, quando un dipendente di Quirin-Bank ha erroneamente inviato un messaggio privato contenente informazioni sensibili a una terza parte attraverso la piattaforma Xing. L'incidente si è verificato durante un processo di reclutamento condotto su Xing.

L'impiegato intendeva inviare un messaggio esclusivamente al candidato, ma lo ha accidentalmente inoltrato a un'altra persona non coinvolta nel processo di assunzione. Il contenuto del messaggio era tutt'altro che banale. Includeva il cognome, il sesso e l'indicazione che era in corso un processo di assunzione. Inoltre, delineava come la banca valutava il profilo del candidato e menzionava un potenziale stipendio di 80.000 euro più una compensazione variabile. Il destinatario non intenzionale non era uno sconosciuto, aveva già lavorato con il candidato all'interno della stessa holding. Ha trasmesso il messaggio al candidato e gli ha chiesto direttamente se fosse attualmente alla ricerca di una nuova posizione.

In tribunale, la banca privata ha inizialmente sostenuto che non erano stati trasferiti dati personali nel senso del GDPR perché il cognome da solo non permetteva un'identificazione chiara. Tuttavia, la BGH ha respinto questa argomentazione. La sesta camera civile ha affermato che il messaggio conteneva caratteristiche identificative tipiche, sufficienti per la definizione di dati personali ai sensi del GDPR. Ha sottolineato che il regolamento non richiede un'identificazione unica, semplicemente che la persona possa essere identificata. Ciò vale anche se il destinatario possedeva già ulteriori conoscenze sull'individuo. La sentenza della BGH si basa sulle linee guida fornite dalla Corte di giustizia europea (CEJ) nel settembre 2025.

Su richiesta del BGH, la Corte di giustizia europea ha chiarito che il GDPR non richiede un danno materiale specifico o una soglia di rilevanza per le richieste di risarcimento. Preoccupazioni, angoscia o timori giustificati di abuso a seguito di una violazione dei dati sono sufficienti per giustificare un risarcimento. Ciò ha aperto la strada al riconoscimento di svantaggi non materiali, che il BGH ora applica praticamente nella sua decisione. La sentenza del BGH ha un impatto significativo sull'interpretazione del danno non materiale ai sensi dell'articolo 82 del GDPR. Tribunali precedenti avevano respinto le richieste del querelante, sostenendo che il denunciante aveva descritto una violazione della protezione dei dati ma non un danno concreto.

Il BGH ha corretto questa posizione, affermando che il concetto di danno ai sensi del diritto dell'UE deve essere interpretato in modo ampio. Secondo la sentenza, una semplice violazione non porta automaticamente a un diritto al risarcimento. Deve essere stabilita una prova indipendente di violazione legale, danno e causalità. Tuttavia, il danno in questo caso è diventato evidente quando la terza parte ha letto il messaggio e ha contattato il denunciante. Ciò ha costituito un uso abusivo dei dati, rendendo la perdita di controllo sulle informazioni conseguenziale piuttosto che innocua. Inoltre, il tribunale ha confermato che le preoccupazioni giustificate circa l'uso improprio futuro possono costituire un danno immateriale.

Dato che il destinatario operava nello stesso settore, la paura del denunciante di condividere i dati o di essere svantaggiato dalla concorrenza sembrava ragionevole.L'indagine del terzo ha trasformato un rischio astratto in un effetto concretamente verificabile.Questo rafforza l'approccio del BGH: un reclamo richiede che il danno sia chiaramente collegato alla violazione dei dati e che vi sia una relazione causale diretta tra la violazione e il danno subito.