Narobe sporočilo Xing: BGH odškodnini za škodo zaradi GDPR

Nemško sodišče je odločilo, da je kandidat za delo, ki je zaradi napake prejel zaupno prijavno sporočilo prek socialnega omrežja Xing, upravičen do odškodnine v skladu s Splošno uredbo o varstvu podatkov Evropske unije (GDPR).

Delodajalec je nameraval poslati sporočilo izključno kandidatki, vendar ga je po naključju posredoval drugi osebi, ki ni bila vključena v postopek zaposlovanja. Vsebina sporočila ni bila nepomembna. V njem so bili navedeni priimek in spol kandidatke ter navedeno, da je bil v teku postopek zaposlovanja. Poleg tega je v sporočilu opisano, kako je banka ocenila profil kandidatke in navedla morebitno plačo v višini 80.000 evrov plus spremenljivo nadomestilo. Nezavestni prejemnik ni bil neznanec, prej je delal s kandidatko v istem holdingu. Sporočilo je posredoval kandidatki in jo neposredno vprašal, ali trenutno išče novo delovno mesto.

Na sodišču je zasebna banka sprva trdila, da niso bili preneseni nobeni osebni podatki v smislu GDPR, ker sam priimek ni omogočal jasne identifikacije. Vendar je BGH to trditev zavrnil. Šesti civilni senat je potrdil, da sporočilo vsebuje tipične identifikacijske značilnosti, ki so zadostne za opredelitev osebnih podatkov v skladu z GDPR. Poudaril je, da uredba ne zahteva edinstvene identifikacije, temveč le, da se lahko oseba identificira. To velja tudi, če je prejemnik že imel dodatne informacije o posamezniku. Odločitev BGH temelji na smernicah, ki jih je septembra 2025 zagotovilo Evropsko sodišče.

Na zahtevo BGH je Sodišče pojasnilo, da GDPR ne zahteva posebne materialne škode ali praga pomembnosti za odškodninske zahtevke. Zaskrbljenost, stiska ali utemeljeni strahovi pred zlorabo po kršitvi podatkov zadostujejo za odškodnino. To je odprlo pot za priznavanje nehmotnih pomanjkljivosti, ki jih BGH zdaj praktično uporablja v svoji odločitvi. Sodba BGH pomembno vpliva na razlago nehmotne škode v skladu s členom 82 GDPR.

BGH je to stališče popravilo in navedlo, da je treba pojem škode po pravu EU razlagati široko. Po sodbi zgolj kršitev ne vodi samodejno v pravico do odškodnine. Treba je ugotoviti neodvisen dokaz o pravni kršitvi, škodi in vzročnosti. Vendar pa je škoda v tem primeru postala očitna, ko je tretja stranka prebrala sporočilo in stopila v stik s pritožnikom. To je pomenilo zlorabo podatkov, zaradi česar je izguba nadzora nad informacijami posledična, ne pa neškodljiva. Poleg tega je sodišče potrdilo, da upravičene pomisleke glede prihodnje zlorabe lahko pomenijo nepremičninsko škodo.

Glede na to, da je prejemnik deloval v isti panogi, se je pritožnikov strah pred izmenjavo podatkov ali konkurenčno slabostjo zdel utemeljen.Poizvedba tretje osebe je abstraktno tveganje spremenila v konkreten preverljiv učinek.To krepi pristop BGH: zahtevek zahteva, da je škoda jasno povezana z kršitvijo podatkov in da obstaja neposredna vzročna zveza med kršitvijo in trpljeno škodo.