Landgericht Köln (LG Köln) anser att en registrerad inte haft rätt till ersättning enligt artikel 82 dataskyddsförordningen (GDPR).
Av beslutet framgår att den registrerade var en Facebook-användare. Enligt de sekretessinställningar som valts vid tidpunkten för de faktiska omständigheterna kunde den registrerades telefonnummer användas av en tredje person för att hitta den registrerades profil på Facebook, även om telefonnumret i sig inte var offentligt. Följaktligen kunde information som rör den registrerade kopplas till dennes telefonnummer av vem som helst som har tillgång till detta nummer.
År 2019 kombinerade okända tredje parter automatiskt telefonnummer och matchade dem med Facebook-profiler tack vare den ovan nämnda funktionen. På så sätt kunde telefonnummer tilldelas identifierade användare. Detta resulterade i ett dataintrång som berörde 533 miljoner människor i 106 olika länder.
De registrerade lämnade in ett klagomål till LG Köln då denne, efter dataintrånget, blivit utsatt för nätfiske genom mejl och samtal. Mot bakgrund av förlusten av kontroll över sina personuppgifter krävde den registrerade skadestånd på 1 000 euro enligt artikel 82 GDPR.
LG Köln avslog den registrerades yrkande. LG Köln hänvisade till EU-domstolens dom i mål C-300/21 och betonade att enbart en överträdelse av GDPR inte i sig kan ge upphov till skadestånd. Samtidigt medgav LG Köln att inget minimitröskelvärde som krav för rätten till ersättning var tillåtet enligt EU-rätten.
LG Köln ansåg också att enbart irritation eller känslomässigt obehag inte kan användas som grund för att styrka förekomsten av en skada. I det aktuella fallet kunde den registrerade inte bevisa mer än en sådan ren irritation. I synnerhet kunde ytterligare lidande som härrörde från påstått nätfiske inte kopplas till dataintrånget.
Mot denna bakgrund drog LG Köln slutsatsen att målet föll inom kategorin för enbart överträdelse av GDPR som inte kunde kompenseras som sådan, eftersom europeisk lag inte accepterar idén om ”straffskadeersättning”.