GA: ingen GDPR-erstatning for fremprovokerede Google Fonts-massekrav

Genereladvokat Maciej Szpunar foreslogEuropa den 5. november 2026 at lade konstruerede GDPR-massesøgsmål falde: i sit forslag til afgørelse i sag C-654/25 [Undelam]Europa, efter forelæggelse fra Bundesgerichtshof, konkluderer han, at en dynamisk IP-adresse sendt til Google i USA fra et websted med Google Fonts som standard er personoplysning for Google direkte, hvor Google kan identificere den besøgende, og for operatøren indirekte, hvor denne vidste, eller burde have vidst, at dette var tilfældetEuropa; og at ingen immateriel skade kan anerkendes, hvor den registrerede bevidst har fremprovokeret et brud på forordningen, automatiseret og gentaget, for at opnå erstatning herfor.

Tvisten er en forretningsmodel: den besøgende byggede en crawler-software, der skanner et stort antal websteder for den dynamiske Google Fonts-konfiguration og derefter besøger dem automatisk, så hans egen dynamiske IP overføres til Google i USA. Hans advokat sendte derefter et formelt krav om tilsagn, ophør med bruddet og betaling af 170 euroEuropa, en rutine gentaget over for tusindvis af operatører, over 100.000 gange ifølge den forelæggende ret. Operatøren betalte og sagsøgte derefter for tilbagebetaling. Retten i første instans dømte 70 euro tilbagebetalt; appeldomstolen dømte solidarisk den besøgende og hans advokat til tilbagebetaling af de fulde 170 euro for forsætlig usædelig skadeforvoldelse, uden at tage stilling til spørgsmålet om GDPR-bruddet, med den begrundelse at der ikke findes nogen immateriel skade, hvor transmissionen bevidst er fremprovokeret for pengenes skyld. Bundesgerichtshof gjorde tilbagebetalingen afhængig af, om den besøgende overhovedet havde et erstatningskrav efter artikel 82.

Vedrørende det første spørgsmål tilslutter generaladvokaten sig den relative tilgang i Domstolens praksis siden Breyer: om en dynamisk IP er personoplysning efter artikel 4, stk. 1, afhænger af den enhed, der råder over den, bedømt konkretEuropa. Afgørende er modtagerens perspektiv, eftersom kun IP-adressen, ikke nogen identitet, overføres; en analogi med overførsel af pseudonymiserede oplysninger til tredjepart er tilladt. Tærsklen er relativt lav: ikke påvist, sikker identificering, men en risiko, der ikke er ubetydelig. Googles vældige indsamlede data, fra identifikatorer og browsingadfærd til IP og position, kombineret med den overførte IP til personalisering, kan begrunde en sådan risiko, for den forelæggende ret at efterprøve. Men dataansvar påhviler kun operatøren, hvor denne vidste eller burde have vidst, at modtageren kunne identificere den besøgendeEuropa; ellers hæftede denne for et brud på rent ydre omstændigheder, som denne måske ikke engang kender.

Vedrørende det andet spørgsmål betinger artikel 82, stk. 1, erstatning af tre kumulative betingelser, brud på forordningen, lidt skade og årsagsforbindelse, idet skade aldrig formodes. Domstolen regner blotte »kontrolltab« over oplysninger, og begrundet frygt for fremtidigt misbrug under sagens omstændigheder, som erstatningsberettiget immateriel skade. Hverken det ene eller det andet passer her: den besøgende mistede ingen kontrol, hans oplysninger blev brugt præcis som han havde planlagt, og gentagen massiv provokation med specialbygget software viser ingen begrundet frygt for misbrug, højst risikovillighedEuropa.

Subsidiært, hvis Domstolen måtte finde immateriel skade, ville generaladvokaten afvise kravet som misbrugEuropa: GDPR's formål blev ikke opnået trods formel overholdelse, og den besøgende sigtede først og fremmest efter pengeEuropa, idet denne kunstigt skabte betingelserne gennem massive automatiserede besøg og tusindvis af krav på 170 euro. Det økonomiske motiv behøver kun at være hovedsageligt, ikke det eneste, ligesom ved copyright-troldevirksomheden i M.I.C.M.; en eventuel bevidstgørende bieffekt for operatører helbreder ikke misbruget.

Retlig grundlag: artikel 4, stk. 1, og artikel 82, stk. 1, i forordning (EU) 2016/679.