Mål C‑655/23

IP

mot

Quirin Privatbank AG

(begäran om förhandsavgörande från Bundesgerichtshof)

Domstolens dom (fjärde avdelningen) av den 4 september 2025

”Begäran om förhandsavgörande – Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning (EU) 2016/679 – Den registrerades rättigheter – Artikel 17 – Rätt att få sina personuppgifter raderade – Artikel 18 – Rätt att få behandlingen av sina personuppgifter begränsad – Artikel 79 – Rätt till en effektiv domstolsprövning – Olaglig behandling av personuppgifter – Möjlighet att vända sig till domstol för att få ett föreläggande utverkat gentemot den personuppgiftsansvarige varigenom denne förbjuds att i framtiden på nytt behandla personuppgifter på ett olagligt sätt – Grundval – Villkor – Artikel 82.1 – Rätt till ersättning – Begreppet immateriell skada – Bedömning av storleken på den skadeersättning som ska lämnas – Fråga huruvida den personuppgiftsansvariges grad av vållande är en omständighet som kan beaktas vid denna bedömning – Fråga huruvida det eventuellt är av betydelse att den registrerade har fått ett förbudsföreläggande utverkat gentemot den personuppgiftsansvarige”

1. Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rättsmedel – Skyldighet för medlemsstaterna att tillhandahålla ett rättsmedel i form av en möjlighet för en registrerad att vända sig till domstol för att få ett föreläggande utverkat gentemot den personuppgiftsansvarige varigenom denne förbjuds att på nytt behandla den registrerades personuppgifter på ett otillåtet sätt – Föreligger inte – Nationell lagstiftning som gör det möjligt att använda ett sådant rättsmedel i den nationella rättsordningen – Tillåtet

   (Europeiska unionens stadga om de grundläggande rättigheterna, artikel 8.1 och 8.2; Europaparlamentets och rådets förordning 2016/679, skälen 1, 10 och 11 samt artiklarna 1, 4.1, 5, 6, 17, 18 och 77–79)

   (se punkterna 38–52 samt punkt 1 i domslutet)

2. Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rätt till ersättning och ansvar – Rätt till ersättning för liden skada – Immateriell skada – Begrepp – Negativa känslor som en registrerad upplever till följd av att den personuppgiftsansvarige på ett otillåtet sätt har vidarebefordrat hans eller hennes personuppgifter till en tredje part – Omfattas – Villkor – Krav på att den registrerade kan visa att han eller hon upplever sådana känslor, med därtill hörande negativa konsekvenser, på grund av den aktuella överträdelsen av förordningen

   (Europaparlamentets och rådets förordning 2016/679, skälen 1, 10, 75, 85 och 146 samt artiklarna 1 och 82.1)

   (se punkterna 55, 56 och 58–64 samt punkt 2 i domslutet)

3. Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rätt till ersättning och skadeståndsansvar – Rätt till ersättning för liden skada – Fastställande av ersättningens storlek och form – Nationell lagstiftning enligt vilken skadevållarens grad av vållande får beaktas vid bedömningen av storleken på ersättningen för immateriell skada – Otillåten

   (Europaparlamentets och rådets förordning nr 2016/679, skäl 146 och artiklarna 82 och 83)

   (se punkterna 66, 67 och 69–73 samt punkt 3 i domslutet)

4. Skydd för fysiska personer med avseende på behandling av personuppgifter – Förordning 2016/679 – Rätt till ersättning och skadeståndsansvar – Rätt till ersättning för liden skada – Fastställande av ersättningens storlek och form – Storleken på den ekonomiska ersättning som ska lämnas för immateriell skada kan sättas ned helt eller delvis med hänsyn till att den registrerade fått ett föreläggande utverkat gentemot den personuppgiftsansvarige varigenom denne förbjuds att på nytt begå en överträdelse av förordningen – Otillåtet

   (Europaparlamentets och rådets förordning 2016/679, artikel 82)

   (se punkterna 77–79, 81–83 och punkt 4 i domslutet)

Resumé

Med anledning av en begäran om förhandsavgörande från Bundesgerichtshof (Federala högsta domstolen, Tyskland) preciserar domstolen omfattningen av de registrerades rättigheter enligt olika bestämmelser i dataskyddsförordningen ( 1 ) vid otillåten behandling av deras personuppgifter.

IP deltog, via en onlineportal för rekrytering, i ett rekryteringsförfarande vid det tyska bolaget Quirin Privatbank. Under förfarandet råkade en person som var anställd vid Quirin Privatbank skicka ett meddelande via portalens meddelandetjänst till en utomstående person som inte deltog i rekryteringsförfarandet, trots att detta meddelande enbart var avsett för IP. Av meddelandet framgick att Quirin Privatbank ansåg att IP:s löneanspråk var för höga och att bolaget istället erbjöd honom en annan ersättning. Den utomstående person till vilken det aktuella meddelandet skickats var bekant med IP på grund av att de tidigare hade arbetat tillsammans och vidarebefordrade därför meddelandet till honom och frågade honom om han var på jakt efter ett jobb.

IP väckte talan vid Landgericht Darmstadt (Regionala domstolen i Darmstadt, Tyskland) (nedan kallad Landgericht) och yrkade att domstolen skulle förelägga Quirin Privatbank att i framtiden avstå från behandling av personuppgifter rörande honom med anknytning till hans deltagande i nämnda rekryteringsförfarande som innebar att hans personuppgifter på nytt lämnades ut på ett otillåtet sätt. Han yrkade även att den skulle förplikta bolaget att betala skadestånd till honom för den immateriella skada han lidit. Landgericht biföll IP:s yrkanden.

Quirin Privatbank överklagade domen till Oberlandesgericht Frankfurt (Regionala överdomstolen i Frankfurt, Tyskland) (nedan kallad Oberlandesgericht), som delvis ändrade den överklagade domen på sätt att skadeståndsyrkandet ogillades. Den fann nämligen att IP inte hade visat att han lidit konkret skada. Även om han kan ha känt sig förödmjukad på grund av det inträffade kunde detta, enligt nämnda domstol, inte anses utgöra immateriell skada

Både IP och Quirin Privatbank överklagade Oberlandesgerichts dom till Bundesgerichtshof (Federala högsta domstolen, Tyskland), som är hänskjutande domstol i förevarande mål.

Den hänskjutande domstolen hyste tvivel om tolkningen av flera bestämmelser i dataskyddsförordningen och beslutade därför att hänskjuta ett antal frågor till EU-domstolen. Frågorna rör omfattningen av de rättsmedel anges i förordningen och av den däri fastslagna rätten till skadeersättning samt vilka kriterier som kan beaktas vid bedömningen av storleken på den ersättning som ska lämnas för immateriell skada.

EU-domstolens bedömning

EU-domstolen inleder sin bedömning med att pröva frågan huruvida dataskyddsförordningen föreskriver en rätt för en registrerad vars personuppgifter varit föremål för en olaglig behandling, men som inte begärt att hans eller hennes uppgifter ska raderas, att vända sig till domstol för att i förebyggande syfte få ett föreläggande utverkat gentemot den personuppgiftsansvarige varigenom denne förbjuds att i framtiden på nytt behandla den registrerades personuppgifter på ett olagligt sätt och, om så inte är fallet, huruvida förordningens bestämmelser hindrar medlemsstaterna från att i sina respektive rättsordningar tillhandahålla ett rättsmedel av detta slag.

I det avseendet konstaterar domstolen att dataskyddsförordningen inte innehåller några bestämmelser av vilka det uttryckligen eller underförstått framgår att en registrerad har en rätt att vända sig till domstol för att i förebyggande syfte få ett föreläggande utverkat gentemot den personuppgiftsansvarige varigenom denne förbjuds att i framtiden begå en överträdelse av bestämmelserna i förordningen, särskilt i form av att på nytt behandla den registrerades personuppgifter på ett olagligt sätt.

Domstolen konstaterar vidare att ingen av förordningens bestämmelser om rättsmedel ( 2 ) ålägger medlemsstaterna att införa ett rättsmedel av nyss beskrivet slag, det vill säga en möjlighet att vända sig till domstol i förebyggande syfte. I synnerhet gäller att artikel 79.1 i dataskyddsförordningen, av vilken framgår att en registrerad ska ha rätt till ett effektivt rättsmedel inför en domstol mot den personuppgiftsansvarige, inte medför någon skyldighet för medlemsstaterna att tillhandahålla ett särskilt rättsmedel som gör det möjligt för en registrerad att vända sig till domstol för att i förebyggande syfte få ett förbudsföreläggande utverkat gentemot den personuppgiftsansvarige.

Här måste dock hänsyn tas till hur dataskyddsförordningens rättsmedelsbestämmelser är formulerade, och särskilt till att det i dessa slås fast att alla registrerade ska ha rätt till en effektiv domstolsprövning om de anser att deras rättigheter enligt förordningen har åsidosatts till följd av att deras personuppgifter har behandlats i strid med förordningen och att denna rätt ”[inte] påverkar” andra möjligheter för de registrerade att få till stånd en administrativ eller utomrättslig prövning. Mot denna bakgrund finner EU-domstolen att medlemsstaterna inte är förhindrade att tillhandahålla ett rättsmedel som innebär att en registrerad har möjlighet att vända sig till domstol för att i förebyggande syfte få ett föreläggande utverkat gentemot den personuppgiftsansvarige varigenom denne förbjuds att begå ytterligare överträdelser av den registrerades rättigheter enligt förordningen.

EU-domstolen påpekar i detta avseende att flera bestämmelser i dataskyddsförordningen uttryckligen ger medlemsstaterna möjlighet att införa ytterligare nationella bestämmelser, som är strängare eller avviker, vilket ger dem ett utrymme för skönsmässig bedömning av hur sådana bestämmelser ska genomföras (”öppningsklausuler”). Dataskyddsförordningens rättsmedelsbestämmelser innehåller visserligen inte specifikt någon sådan öppningsklausul, men EU-domstolen påpekar att unionslagstiftarens avsikt inte har varit att genomföra en uttömmande harmonisering av de rättsmedel som står till buds vid överträdelser av bestämmelserna i dataskyddsförordningen. I synnerhet har avsikten inte varit att utesluta att de registrerade ges en möjlighet att vända sig till domstol i förebyggande syfte.

Den nu angivna tolkningen vinner enligt EU-domstolen stöd av de mål som eftersträvas med dataskyddsförordningen. Det kan nämligen inte anses strida mot förordningens syften att tillhandahålla ett rättsmedel i form av en möjlighet för den registrerade att vända sig till domstol för att få ett föreläggande utverkat gentemot den personuppgiftsansvarige, som syftar till att denne i framtiden inte ska överträda de materiella bestämmelserna i dataskyddsförordningen.

Av det ovan anförda drar domstolen den slutsatsen att dataskyddsförordningen inte utgör hinder för att en registrerad har rätt att med stöd av bestämmelser i nationell rätt i en medlemsstat vända sig till nationell domstol för att få ett föreläggande utverkat gentemot den personuppgiftsansvarige, som syftar till att förhindra att denne i framtiden eventuellt begår en överträdelse av de materiella bestämmelserna i dataskyddsförordningen och särskilt att denne på nytt kan komma att behandla den registrerades personuppgifter på ett olagligt sätt.

EU-domstolen övergår därefter till att klargöra innebörden av begreppet immateriell skada, som enligt dataskyddsförordningen ( 3 ) ger de registrerade rätt att erhålla ersättning från den personuppgiftsansvarige för den skada som de lidit.

EU-domstolen erinrar här inledningsvis om att artikel 82.1 i dataskyddsförordningen (rätt till ersättning) utgör hinder för en nationell regel eller praxis som innebär att en förutsättning för ersättning för ”immateriell skada” i bestämmelsens mening är att den skada som den registrerade har lidit är av en viss allvarlighetsgrad. Denna bestämmelse kräver inte att den immateriella skada som den registrerade påstår sig ha lidit måste uppnå en viss ”miniminivå” för att skadan ska kunna ersättas. ( 4 )

EU-domstolen påpekar vidare att omständigheter av det slag som åberopats i det nationella målet, som avser ”skadat anseende” till följd av en personuppgiftsincident eller ”förlust av kontrollen” över de egna personuppgifterna, uttryckligen anges bland de i dataskyddsförordningen ( 5 ) uppräknade exemplen på typer av skada som kan uppkomma.

EU-domstolen erinrar även om att den redan har slagit fast att den fruktan som en registrerad känner för att hans eller hennes personuppgifter kan komma att missbrukas av tredje part till följd av en överträdelse av dataskyddsförordningen i sig kan anses utgöra en ”immateriell skada”, under förutsättning att denna fruktan, med dess negativa konsekvenser, är vederbörligen styrkt, vilket är en fråga som det ankommer på handläggande nationell domstol i det enskilda målet att pröva. ( 6 )

EU-domstolen medger att negativa känslor av det slag som den hänskjutande domstolen nämnt, i synnerhet fruktan eller missnöje, visserligen också kan anses vara en del av de allmänna levnadsrisker som uppkommer i det dagliga livet. Detta hindrar dock inte att sådana känslor kan utgöra en ”immateriell skada” i dataskyddsförordningens mening, under förutsättning att den registrerade kan visa att han eller hon upplever sådana känslor, med därtill hörande negativa konsekvenser, just på grund av den aktuella överträdelsen av förordningen, som kan bestå i att den registrerades personuppgifter på ett otillåtet sätt har vidarebefordrats till en tredje part, vilket därmed medfört en risk för missbruk av dessa uppgifter. Det ankommer på handläggande nationell domstol i det enskilda målet att pröva frågan huruvida nämnda beviskrav är uppfyllt.

EU-domstolen konstaterar att den nu angivna tolkningen är förenlig med ordalydelsen i artikel 82.1 i dataskyddsförordningen, jämförd med skälen 85 och 146 i förordningen, av vilka det framgår att det i nämnda bestämmelse använda begreppet immateriell skada ska ges en vid tolkning.

EU-domstolen fortsätter sin bedömning av tolkningsfrågorna genom att slå fast att artikel 82.1 i dataskyddsförordningen (rätt till ersättning) ska tolkas på så sätt att den utgör hinder för att den personuppgiftsansvariges grad av vållande beaktas vid bedömningen av storleken på den ersättning för immateriell skada som ska lämnas enligt bestämmelsen.

Den erinrar i detta avseende om att den tidigare slagit fast att rätten till ersättning har en rent kompensatorisk funktion och att de nationella domstolarna därför är skyldiga att säkerställa att registrerade får ”full och effektiv” ersättning för den skada de lidit, utan att det för en sådan full ersättning är nödvändigt att utkräva straffskadestånd. ( 7 )

Närmare bestämt gäller att den omständigheten att rätten till ersättning enligt dataskyddsförordningen har en rent kompensatorisk funktion utgör hinder för att det vid bedömningen av storleken på den ersättning som ska lämnas med stöd av den bestämmelsen tas hänsyn till den personuppgiftsansvariges grad av vållande och till den eventuella avsiktliga karaktären av den överträdelse av förordningen som denne gjort sig skyldig till. Vid tillämpning av artikel 82.1 i förordningen kan den personuppgiftsansvariges hållning och motiv följaktligen inte kan beaktas i syfte att, i förekommande fall, bevilja den registrerade en ersättning som är lägre än den faktiska skada som denne har lidit, vare sig vad gäller ersättningens storlek eller form.

EU-domstolen avslutar sin bedömning av tolkningsfrågorna genom att slå fast att artikel 82.1 i dataskyddsförordningen utgör hinder för att det förhållandet att den registrerade med stöd av tillämplig nationell rätt har fått ett föreläggande utverkat gentemot den personuppgiftsansvarige, som syftar till att denne i framtiden inte på nytt ska begå en överträdelse av förordningen, är en omständighet som kan beaktas i begränsande riktning vid bedömningen av storleken på den ekonomiska ersättning som ska lämnas för immateriell skada enligt artikel 82 i förordningen eller – än mindre – att denna omständighet anses utgöra en alternativ ersättningsform till ekonomisk ersättning.

EU-domstolen erinrar här om att den i tidigare praxis har medgett att vissa omständigheter, inom effektivitetsprincipens gränser, kan påverka bedömningen av storleken på den ersättning som ska lämnas enligt artikel 82 i dataskyddsförordningen, särskilt i begränsande riktning. Samtidigt gäller dock att en form av skadeersättning som kan komma i fråga enligt nationell rätt endast kan anses vara förenlig med dataskyddsförordningen under förutsättning att den är ägnad att säkerställa att den skada som den registrerade har lidit ersätts fullt ut och på ett effektivt sätt. I synnerhet gäller att ersättning enligt artikel 82 i förordningen inte kan lämnas, vare sig helt eller delvis, i form av ett förbudsföreläggande, eftersom rätten till skadeersättning har en rent kompenserande funktion, medan ett förbudsföreläggande riktat mot skadevållaren har ett rent förebyggande syfte.

( 1 ) Artiklarna 17, 18, 79, 82 och 82 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1) (nedan kallad dataskyddsförordningen).

( 2 ) Kapitel VIII (”Rättsmedel, ansvar och sanktioner”) i dataskyddsförordningen, som bland annat innehåller artiklarna 77–79.

( 3 ) Artikel 82.1 i förordningen.

( 4 ) Se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter) (C‑300/21, EU:C:2023:370, punkt 51), och dom av den 4 oktober 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, punkterna 147 och 149).

( 5 ) Se skälen 75 och 85 i dataskyddsförordningen.

( 6 ) Se, för ett liknande resonemang, dom av den 20 juni 2024, PS (Felaktig adress) (C‑590/22, EU:C:2024:536, punkterna 32, 35 och 36), och dom av den 4 oktober 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, punkterna 143, 144 och 155 och där angiven rättspraxis).

( 7 ) Se, för ett liknande resonemang, dom av den 4 maj 2023, Österreichische Post (Ideell skada på grund av behandling av personuppgifter) (C‑300/21, EU:C:2023:370, punkterna 57 och 58), och dom av den 4 oktober 2024, Patērētāju tiesību aizsardzības centrs (C‑507/23, EU:C:2024:854, punkt 34).