Scalable Capital, een Duitse vennootschap, beheert een trading app waarop verzoekers een rekening hadden geopend. In hun accounts hadden zij persoonsgegevens opgeslagen, namelijk hun naam, geboortedatum, postadres, e-mailadres en een digitale kopie van hun identiteitskaart. Scalable wordt geconfronteerd met een datalek waarbij persoonsgegevens van gebruikers zijn gestolen door onbekende derden. De gebruikers stellen immateriële schade te hebben geleden door de diefstal van hun gegevens en vorderen vergoeding van deze schade bij de Duitse rechtbank.

Arrest HvJ EU
Het Hof oordeelt dat het recht op schadevergoeding onder de Algemene Verordening Gegevensbescherming zuiver compensatoir is en niet punitief of afschrikkend bedoeld is. Er moet volledige vergoeding van de geleden schade plaatsvinden, ongeacht de ernst of opzettelijkheid van de inbreuk op de AVG door de verwerkingsverantwoordelijke. Bij de bepaling van de vergoeding voor immateriële schade moet worden uitgegaan van het principe dat deze schade niet minder zwaar weegt dan letselschade. Identiteitsdiefstal in de zin van de AVG doet zich voor wanneer een derde daadwerkelijk de identiteit van een persoon wiens gegevens zijn gestolen heeft aangenomen. Het recht op vergoeding voor immateriële schade door diefstal van persoonsgegevens kan echter niet beperkt worden tot gevallen waarin wordt aangetoond dat een dergelijke diefstal van gegevens vervolgens tot identiteitsdiefstal of fraude heeft geleid.

HvJ EU 20 juni 2024, ECLI:EU:C:2024:531