Voorlopige editie
CONCLUSIE VAN ADVOCAAT-GENERAAL
J. RICHARD DE LA TOUR
van 25 januari 2024 (1)
Zaak C‑757/22
Meta Platforms Ireland Limited
tegen
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
[verzoek van het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland) om een prejudiciële beslissing]
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 12, lid 1, eerste volzin – Transparante informatie – Artikel 13, lid 1, onder c) en e) – Informatieverplichting van de verwerkingsverantwoordelijke – Artikel 80, lid 2 – Vertegenwoordiging van de betrokkenen door een consumentenbelangenvereniging – Representatieve vordering die wordt ingesteld zonder dat daartoe een opdracht is gegeven en ongeacht of er concrete rechten van een betrokkene zijn geschonden – Vordering op basis van schending van de informatieverplichting van de verwerkingsverantwoordelijke – Begrip ,schending van de rechten van een betrokkene ten gevolge van de verwerking’”
I. Achtergrond van de zaak, feiten van het hoofdgeding en nieuwe prejudiciële vraag
1. In de onderhavige zaak verzoekt het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland) opnieuw om een prejudiciële beslissing betreffende de uitlegging van artikel 80, lid 2, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)(2).
2. Volgens die bepaling kunnen de lidstaten bepalen dat een orgaan, organisatie of vereniging over het recht beschikt om onafhankelijk van de opdracht van een betrokkene in die lidstaat een klacht in te dienen bij de toezichthoudende autoriteit overeenkomstig artikel 77 van deze verordening, en de in de artikelen 78 en 79 ervan bedoelde rechten uit te oefenen, indien die entiteit van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking van persoonsgegevens.
3. Het verzoek om een prejudiciële beslissing is ingediend in het kader van een geschil tussen de in Ierland gevestigde onderneming Meta Platforms Ireland Limited, voorheen Facebook Ireland Limited, en het Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (Duitse federale vereniging van consumentenbeschermingsorganisaties; hierna: „Bundesverband”) over de schending door Meta Platforms Ireland van de Duitse wetgeving inzake de bescherming van persoonsgegevens, hetgeen tegelijkertijd een oneerlijke handelspraktijk, een schending van een consumentenbeschermingswet en een schending van het verbod op de toepassing van ongeldige algemene voorwaarden vormt.
4. Het betreft hetzelfde geschil als dat aan de oorsprong van de zaak die heeft geleid tot het arrest van 28 april 2022, Meta Platforms Ireland(3), waarvan de feiten als volgt kunnen worden samengevat.(4)
5. Meta Platforms Ireland, die het dienstenaanbod van het sociale onlinenetwerk Facebook in de Europese Unie beheert, is verantwoordelijk voor de verwerking van persoonsgegevens van de gebruikers van dit sociale netwerk in de Unie. Facebook Germany GmbH, gevestigd in Duitsland, promoot de verkoop van advertentieruimte onder het adres www.facebook.de. Op het internetplatform Facebook bevindt zich met name onder het adres www.facebook.de een applicatiecentrum genaamd „App-Zentrum”, waar Meta Platforms Ireland haar gebruikers gratis spellen van derden aanbiedt. Bij het aanklikken van bepaalde spellen in het App-Zentrum krijgt de gebruiker de melding dat het gebruik van de applicatie in kwestie het betrokken spelbedrijf de mogelijkheid biedt een aantal persoonsgegevens te ontvangen en haar het recht verleent om namens de gebruikers bepaalde gegevens te posten, waaronder hun score. Door de applicatie te gebruiken gaat de gebruiker aldus akkoord met de algemene voorwaarden en met het gegevensbeschermingsbeleid ervan. Bij één bepaald spel wordt bovendien aangegeven dat de applicatie statusberichten, foto’s en dergelijke meer mag posten in naam van de gebruiker.
6. Volgens het Bundesverband, een instantie die procesbevoegd is op grond van § 4 van het Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (wet betreffende verbodsacties bij inbreuken op het consumentenrecht of bij andere inbreuken) van 26 november 2001(5), zijn de door de betrokken spellen in het App-Zentrum verstrekte meldingen oneerlijk, met name wegens niet-naleving van de wettelijke vereisten die volgens de bepalingen inzake gegevensbescherming gelden voor het verkrijgen van rechtsgeldige toestemming van de gebruiker. Bovendien is het Bundesverband van mening dat de melding dat het de applicatie is toegestaan om bepaalde persoonlijke informatie namens de gebruiker te publiceren, een algemene voorwaarde is die de gebruiker ten onrechte benadeelt.
7. In deze context heeft het Bundesverband bij het Landgericht Berlin (rechter in eerste aanleg Berlijn, Duitsland) een verbodsactie ingesteld tegen Meta Platforms Ireland op grond van § 3a van het Gesetz gegen den unlauteren Wettbewerb (wet inzake oneerlijke mededinging) van 3 juli 2004(6), § 2, lid 2, eerste volzin, punt 11, van de wet betreffende verbodsacties, en het Bürgerliche Gesetzbuch (Duits burgerlijk wetboek). Deze actie is ingesteld los van enige specifieke inbreuk op de rechten inzake gegevensbescherming van een individuele betrokkene en zonder dat een dergelijke persoon daartoe opdracht heeft gegeven.
8. Het Landgericht Berlin heeft de door het Bundesverband tegen Meta Platforms Ireland ingestelde vordering toegewezen. Het door Meta Platforms Ireland tegen deze toewijzing bij het Kammergericht Berlin (hoogste rechterlijke instantie van de deelstaat Berlijn, Duitsland) ingestelde hoger beroep is verworpen. Vervolgens heeft Meta Platforms Ireland bij de verwijzende rechter een beroep in Revision tegen de beslissing van de appelrechter ingesteld.
9. In het kader van dat beroep heeft de verwijzende rechter geoordeeld dat de vordering van het Bundesverband gegrond was, aangezien Meta Platforms Ireland § 3a van de wet inzake oneerlijke mededinging en § 2, lid 2, eerste volzin, punt 11, van de wet betreffende verbodsacties had geschonden en gebruik had gemaakt van een algemene voorwaarde die ongeldig is in de zin van § 1 van laatstgenoemde wet.
10. Die rechter vroeg zich echter af of de vordering van het Bundesverband ontvankelijk was. Hij vroeg zich met name af of de procesbevoegdheid van het Bundesverband kon voortvloeien uit artikel 80, lid 2, AVG. Hij heeft het Hof derhalve een prejudiciële vraag gesteld over de uitlegging van deze bepaling.
11. In zijn antwoord op die vraag heeft het Hof in het arrest Meta Platforms Ireland geoordeeld dat artikel 80, lid 2, AVG aldus moet worden uitgelegd dat het niet in de weg staat aan een nationale regeling die een vereniging die consumentenbelangen behartigt toestaat – ook wanneer zij geen opdracht daartoe heeft gekregen en los van de vraag of er sprake is van enige schending van concrete rechten van de betrokkenen – in rechte op te treden tegen de vermeende dader van een inbreuk op de bescherming van persoonsgegevens en deze vereniging zich daarbij beroept op het verbod op oneerlijke handelspraktijken, een inbreuk op een consumentenbeschermingswet of het verbod op de toepassing van ongeldige algemene voorwaarden, wanneer de desbetreffende gegevensverwerking afbreuk kan doen aan de rechten die geïdentificeerde of identificeerbare personen aan die verordening ontlenen.(7)
12. Het Hof heeft aldus de materiële werkingssfeer verduidelijkt van de representatieve vordering tegen de vermeende dader van een inbreuk op de bescherming van persoonsgegevens, waarin artikel 80, lid 2, AVG voorziet.
13. Het Hof heeft meer in het bijzonder geoordeeld dat van een entiteit die voldoet aan de in artikel 80, lid 1, AVG genoemde voorwaarden niet kan worden vereist dat zij voor het instellen van een dergelijke representatieve vordering de persoon die specifiek wordt geraakt door een verwerking van gegevens die beweerdelijk in strijd is met de bepalingen van die verordening, vooraf individueel identificeert.(8) De aanwijzing van een categorie of groep van personen die door een dergelijke verwerking worden getroffen, kan derhalve eveneens volstaan om een representatieve vordering in te stellen.(9)
14. Het Hof heeft ook geoordeeld dat het instellen van een representatieve vordering krachtens artikel 80, lid 2, AVG evenmin afhankelijk is van een concrete schending van de rechten die een persoon aan de regels inzake gegevensbescherming ontleent.(10) Volgens het Hof is voor het instellen van een representatieve vordering immers enkel vereist dat de in die bepaling bedoelde entiteit „van mening is” dat de in deze verordening vastgestelde rechten van een betrokkene zijn geschonden als gevolg van de verwerking van diens persoonsgegevens, en dus stelt dat er sprake is van met de bepalingen van voornoemde verordening strijdige gegevensverwerking.(11) Hieruit volgt dat het voor de erkenning van procesbevoegdheid aan een dergelijke entiteit op grond van artikel 80, lid 2, AVG volstaat dat zij aanvoert dat de betrokken gegevensverwerking afbreuk kan doen aan de rechten die geïdentificeerde of identificeerbare natuurlijke personen aan die verordening ontlenen, zonder dat zij het bewijs hoeft te leveren dat de betrokkene in een bepaalde situatie reële schade heeft geleden doordat diens rechten zijn geschonden.(12)
15. Hoewel de verwijzende rechter hiermee reeds enkele aanwijzingen van het Hof heeft gekregen om te kunnen bepalen of de door het Bundesverband ingestelde verbodsactie ontvankelijk kan worden geacht in het licht van de voorwaarden van artikel 80, lid 2, AVG, bestaat er volgens hem nog twijfel over de uitlegging die aan deze bepaling moet worden gegeven. De verwijzende rechter onderstreept dat de procesbevoegdheid van het Bundesverband afhangt van de vraag of het met zijn vordering aanvoert dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden „ten gevolge van de verwerking” in de zin van deze bepaling.
16. Volgens de verwijzende rechter is het niet duidelijk of in de omstandigheden van het onderhavige geval is voldaan aan dit vereiste inzake de materiële werkingssfeer van artikel 80, lid 2, AVG.
17. Deze rechter geeft immers aan dat het Bundesverband ter ondersteuning van zijn vordering aanvoert dat de verplichting van artikel 12, lid 1, eerste volzin, AVG, juncto artikel 13, lid 1, onder c) en e), AVG om informatie te verstrekken over het doel van de gegevensverwerking en de ontvanger van de persoonsgegevens is geschonden. Volgens de verwijzende rechter moet worden nagegaan of het Bundesverband derhalve kan worden geacht zich te beroepen op de schending van rechten „ten gevolge van de verwerking” in de zin van artikel 80, lid 2, AVG.
18. De verwijzende rechter is meer in het bijzonder van mening dat er ten eerste onzekerheid blijft bestaan over de vraag of de schending van de uit artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), AVG voortvloeiende informatieverplichting onder het begrip „verwerking” in de zin van artikel 4, punt 2, AVG valt en over de vraag of dat begrip ook situaties vóór het begin van de gegevensverzameling behelst.(13)
19. Ten tweede is het volgens deze rechter niet duidelijk of de schending van de informatieverplichting in een geval als dat in het hoofdgeding ontstaat „ten gevolge van” een verwerking van persoonsgegevens in de zin van artikel 80, lid 2, AVG. Deze rechter wijst er in dit verband op dat de bewoordingen „ten gevolge van” zouden kunnen impliceren dat een representatieve vordering slechts ontvankelijk is indien de entiteit die deze vordering instelt zich beroept op een schending van de rechten van een betrokkene uit hoofde van de AVG die voortvloeit uit een gegevensbewerking in de zin van artikel 4, punt 2, AVG en derhalve volgt op een dergelijke bewerking.(14)
20. Tegen deze achtergrond heeft het Bundesgerichtshof de behandeling van de zaak opnieuw geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vraag:
„Is er sprake van schending van [de rechten van een betrokkene] ,ten gevolge van de verwerking’ in de zin van artikel 80, lid 2, AVG wanneer een vereniging die consumentenbelangen behartigt, ter ondersteuning van haar vordering aanvoert dat de rechten van een betrokkene zijn geschonden omdat niet is voldaan aan de uit artikel 12, lid 1, eerste volzin, AVG juncto artikel 13, lid 1, onder c) en e), AVG voortvloeiende verplichtingen om informatie te verstrekken over het doel van de gegevensverwerking en de ontvanger van de persoonsgegevens?”
21. Meta Platforms Ireland, het Bundesverband, de Duitse en de Portugese regering en de Europese Commissie hebben schriftelijke opmerkingen ingediend.
22. Op 23 november 2023 heeft een terechtzitting plaatsgevonden waarop Meta Platforms Ireland, de Duitse regering en de Commissie aanwezig waren.
II. Analyse
23. Zoals ik eerder heb aangegeven, vraagt de verwijzende rechter zich af of de door het Bundesverband ingestelde representatieve vordering in de omstandigheden van de onderhavige zaak voldoet aan de voorwaarde van artikel 80, lid 2, AVG dat de entiteit die een dergelijke vordering instelt, van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden „ten gevolge van de verwerking” van persoonsgegevens.
24. Voor een goed begrip van de context waarin deze rechter het Hof om nadere verduidelijking van de materiële werkingssfeer van deze bepaling verzoekt, zij eraan herinnerd dat het Bundesverband ter staving van zijn vordering de schending inroept van een op Meta Platforms Ireland rustende verplichting om informatie te verstrekken over het doel en de reikwijdte van een door een gebruiker gegeven toestemming voor de verwerking van zijn persoonsgegevens. Het geding betreft meer specifiek het aanbieden van spellen in het App-Zentrum op het internetplatform van Meta Platforms Ireland en de vermelding dat het de applicatie is toegestaan om bepaalde persoonlijke informatie namens de gebruiker te publiceren. Het Bundesverband heeft deze vordering ingesteld los van enige schending van de concrete rechten van een betrokkene en zonder dat het daartoe opdracht heeft gekregen van een betrokkene, hetgeen in overeenstemming is met bovengenoemde bepaling, zoals het Hof heeft aanvaard in zijn arrest in de zaak Meta Platforms Ireland.(15)
25. De meningsverschillen over de vraag of het Bundesverband procesbevoegd is op grond van artikel 80, lid 2, AVG zijn thans vooral toegespitst op de vaststelling van de verwijzende rechter dat de door deze entiteit ingestelde representatieve vordering geen betrekking heeft op de vraag of Meta Platforms Ireland de gegevensbeschermingsrechten van een gebruiker schendt op het moment dat deze de knop „Nu spelen” of „Spel spelen” aanklikt in het App-Zentrum en daarmee mogelijk een verwerking van zijn persoonsgegevens op gang brengt. Bovendien staat vast dat bij de door het Bundesverband ingestelde vordering evenmin aan de orde is of de na het aanklikken van een dergelijke knop op gang gebrachte geautomatiseerde verwerking van de persoonsgegevens van een gebruiker schending oplevert van diens gegevensbeschermingsrechten.
26. Het geding draait met andere woorden om de vraag of het voor de procesbevoegdheid van een dergelijke entiteit op grond van artikel 80, lid 2, AVG volstaat dat zij schending van een informatieverplichting inroept, zonder als zodanig kritiek te uiten op de gegevensverwerking die het gevolg is van de bewerking waarbij op de knop „Nu spelen” of „Spel spelen” wordt gedrukt, terwijl deze bepaling vereist dat de rechten van een betrokkene zijn geschonden „ten gevolge van de verwerking”.
27. De twijfel van de verwijzende rechter spitst zich daarom toe op twee elementen, te weten de strekking van het begrip „verwerking” en de betekenis van de zinsnede „ten gevolge van de verwerking” in voornoemde bepaling.
28. Zo vraagt deze rechter zich af of de uit artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), AVG voortvloeiende verplichting om de informatie over de verwerkingsdoeleinden en de ontvanger van de persoonsgegevens in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal aan de betrokkene te verstrekken, onder het begrip „verwerking” in de zin van artikel 4, punt 2, van die verordening valt.
29. In artikel 4, punt 2, van deze verordening is „verwerking” omschreven als „een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens”.
30. Uit de bewoordingen van deze bepaling, met name de uitdrukking „een bewerking”, blijkt dat de Uniewetgever aan het begrip „verwerking” een ruime strekking heeft willen geven. Deze uitlegging vindt steun in het feit dat de in die bepaling genoemde handelingen niet exhaustief zijn, wat tot uitdrukking komt in het woord „zoals”.(16) Volgens het Hof is dit in overeenstemming met de doelstelling om de doeltreffendheid te waarborgen van het in overweging 1 AVG vermelde grondrecht op bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens, dat aan de basis van de toepassing van deze verordening ligt.(17)
31. Ter ondersteuning van het standpunt dat de uit artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), AVG voortvloeiende informatieverplichting onder het begrip „verwerking” in de zin van artikel 4, punt 2, van deze verordening kan vallen, refereert de verwijzende rechter aan de uitspraak van het Hof in het arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden)(18).
32. In de zaak die tot dat arrest heeft geleid, verlangde de Valsts ieņēmumu dienests (belastingautoriteit, Letland) van de betrokken marktdeelnemer dat hij haar diensten opnieuw toegang verleende tot de chassisnummers van de voertuigen waarvoor op zijn internetportaal advertenties waren geplaatst en tot de telefoonnummers van de verkopers, en dat hij informatie verstrekte over de op dat portaal geplaatste advertenties.
33. In die context heeft het Hof geoordeeld dat een dergelijk verzoek, waarmee de belastingautoriteit van een lidstaat een marktdeelnemer vraagt om haar persoonsgegevens te verstrekken en ter beschikking te stellen, waartoe hij krachtens de nationale regeling van die lidstaat gehouden is, een proces van „verzameling” van die gegevens op gang brengt in de zin van artikel 4, punt 2, AVG.(19) De verwijzende rechter leidt daaruit af dat het begrip „verwerking” in de zin van deze bepaling bewerkingen behelst die slechts een verzameling van persoonsgegevens „op gang brengen” en die dus voorafgaan aan een bewerking die de Uniewetgever uitdrukkelijk als een voorbeeld van verwerking heeft beschouwd, waarbij hij de vergelijking maakt met de situatie in het hoofdgeding.
34. Ik ben echter van oordeel dat deze situatie duidelijk verschilt van die welke tot het arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden) heeft geleid(20). In casu gaat het er niet om aan een verwerkingsproces een bewerking te koppelen die dat proces op gang kan brengen, maar wel het verband vast te stellen tussen een informatieverplichting, zoals die welke voortvloeit uit artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), AVG, en een specifieke verwerking.
35. Dienaangaande ben ik van mening dat de strekking van het begrip „verwerking” in de zin van artikel 4, punt 2, AVG niet kan worden uitgebreid tot een dergelijke informatieverplichting. Deze verplichting behelst immers geen enkele directe of indirecte handeling met betrekking tot persoonsgegevens. De verplichting vormt veeleer een voorwaarde voor de rechtmatigheid van de gegevensverwerking.
36. Er zij op gewezen dat artikel 12 AVG algemene verplichtingen van de verwerkingsverantwoordelijke bevat met betrekking tot de transparantie van informatie en communicatie alsook de nadere regels voor de uitoefening van de rechten van de betrokkene.
37. Zo is in artikel 12, lid 1, eerste volzin, meer in het bijzonder bepaald dat „[d]e verwerkingsverantwoordelijke [...] passende maatregelen [neemt] opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is”.
38. Artikel 13 AVG, met als opschrift „Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”, bepaalt in lid 1, onder c) en e):
„Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:
[...]
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
[...]
e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;
[...]”
39. Er zij aan herinnerd dat artikel 6, lid 1, eerste alinea, AVG een uitputtende en limitatieve lijst bevat van de gevallen waarin de verwerking van persoonsgegevens als rechtmatig kan worden beschouwd. Om als rechtmatig te kunnen worden aangemerkt, moet een verwerking vallen onder een van de in deze bepaling bedoelde gevallen.(21)
40. Volgens artikel 6, lid 1, eerste alinea, onder a), van deze verordening is de verwerking van persoonsgegevens alleen rechtmatig indien en voor zover de betrokkene daarvoor toestemming heeft gegeven voor een of meer specifieke doeleinden.(22)
41. Bij gebreke van een dergelijke toestemming of wanneer die toestemming niet vrij, specifiek, geïnformeerd en ondubbelzinnig is gegeven in de zin van artikel 4, punt 11, AVG, en wanneer de verwerking niet voldoet aan een van de in artikel 6, lid 1, eerste alinea, onder b) tot en met f), van deze verordening genoemde voorwaarden, dan is deze verwerking onrechtmatig.(23)
42. Het uit artikel 4, punt 11, AVG voortvloeiende vereiste dat de toestemming „geïnformeerd” moet zijn gegeven, houdt overeenkomstig artikel 13 van deze verordening, gelezen in het licht van overweging 42 ervan, in dat de verwerkingsverantwoordelijke de betrokkene informatie verstrekt over alle omstandigheden waarin de verwerking van persoonsgegevens plaatsvindt, in een begrijpelijke en gemakkelijk toegankelijke vorm en geformuleerd in duidelijke en eenvoudige taal, waarbij die betrokkene met name in kennis moet worden gesteld van het soort gegevens dat zal worden verwerkt, de identiteit van de verwerkingsverantwoordelijke, hoe lang en op welke wijze deze verwerking zal plaatsvinden alsmede de specifieke doeleinden ervan. Dergelijke informatie houdt in dat de betrokkene in staat is om gemakkelijk de gevolgen te bepalen van eventueel door hem te verlenen toestemming, en dat gewaarborgd is dat hij deze toestemming met kennis van zaken verleent.(24)
43. Ik wijs erop dat, zoals de verwijzende rechter aangeeft(25), het Bundesverband opkomt tegen de onder de knop „Nu spelen” weergegeven vermeldingen in het App-Zentrum omdat deze oneerlijk zouden zijn, met name wegens schending van de wettelijke vereisten die voor het verkrijgen van rechtsgeldige toestemming van de gebruiker gelden krachtens de bepalingen betreffende de bescherming van persoonsgegevens.
44. Aan de vordering van het Bundesverband ligt met andere woorden ten grondslag dat een betrokkene, door de gebrekkige voorstelling van het App-Zentrum waarop deze entiteit zich beroept, de knop „Nu spelen” zou kunnen aanklikken zonder de nodige informatie te hebben ontvangen om gemakkelijk te kunnen bepalen wat de gevolgen zijn van de eventueel door hem te verlenen toestemming voor de verwerking van zijn persoonsgegevens na het aanklikken van die knop en zonder dat is gewaarborgd dat deze toestemming met kennis van zaken is gegeven.
45. In deze omstandigheden ben ik van mening dat het Bundesverband in het kader van zijn vordering overeenkomstig artikel 80, lid 2, AVG aanvoert dat „de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking”.
46. Ten eerste maakt zowel artikel 12 als artikel 13 AVG deel uit van hoofdstuk III („Rechten van de betrokkene”) van deze verordening. Gelet op de informatieverplichting die krachtens deze artikelen op de verwerkingsverantwoordelijke rust, maken de rechten die voor de betrokkenen daaruit voortvloeien deel uit van de rechten die de in artikel 80, lid 2, van deze verordening bedoelde representatieve vordering beoogt te beschermen.
47. Ten tweede kan de beweerdelijke schending van het recht van de betrokkenen om voldoende te worden geïnformeerd over alle omstandigheden rond de verwerking van persoonsgegevens, met name het doel van de verwerking en de ontvanger van die gegevens, in de weg staan aan de uiting van een „geïnformeerde” toestemming in de zin van artikel 4, punt 11, AVG, waardoor die verwerking onrechtmatig kan zijn.
48. Voor het instellen van een representatieve vordering krachtens artikel 80, lid 2, van deze verordening volstaat het derhalve dat een entiteit de schending inroept van de op de verwerkingsverantwoordelijke rustende informatieverplichting en daarbij de betrokken verwerking vermeldt, die zich in casu voordoet wanneer iemand de knop „Nu spelen” aanklikt. Het moet gaan om een gegevensverwerking die afbreuk kan doen aan de rechten die geïdentificeerde of identificeerbare personen aan voornoemde verordening ontlenen(26), wat betekent dat deze verwerking moet bestaan en dus niet louter hypothetisch mag zijn.
49. Bovendien doet het er mijns inziens niet toe dat deze entiteit de schending inroept van een verplichting die voorafgaat aan de verwerking van persoonsgegevens. Dat is het geval voor de informatieverplichting, die uiterlijk moet worden nagekomen bij het verzamelen van de gegevens, zoals bepaald in artikel 13, lid 1, AVG.
50. De zinsnede „ten gevolge van de verwerking” in artikel 80, lid 2, van deze verordening betekent aldus geenszins dat het recht waarvan de in dat artikel bedoelde vordering beoogt de schending te laten vaststellen, noodzakelijkerwijs betrekking moet hebben op een fase die volgt op een bewerking die een „verwerking” in de zin van artikel 4, punt 2, van deze verordening vormt. Deze zinsnede mag met andere woorden niet worden gelezen alsof een bepaalde chronologische volgorde vereist is die impliceert dat de schending van de in de AVG opgenomen rechten van een betrokkene moet plaatsvinden in een fase die op een dergelijke verwerking volgt.
51. Van belang is veeleer dat er een verband bestaat tussen de eerbiediging van de rechten in kwestie en de betrokken verwerking. Dat is het geval wanneer de schending van deze rechten tot gevolg heeft dat de verwerking onrechtmatig is. De onrechtmatigheid van de verwerking vloeit voort uit de schending van de informatieverplichting. Beide zijn onlosmakelijk met elkaar verbonden.
52. Daaruit volgt dat het voor het instellen van een representatieve vordering krachtens artikel 80, lid 2, AVG gestelde vereiste dat de entiteit van mening is dat de in die verordening opgenomen rechten van een betrokkene zijn geschonden „ten gevolge van de verwerking”, mijns inziens niet verlangt dat deze entiteit zich beroept op een schending van een dergelijk recht die voortvloeit uit een gegevensbewerking in de zin van artikel 4, punt 2, AVG en die dus volgt op een dergelijke bewerking. Het volstaat dat zij stelt dat er een verband bestaat tussen een verwerking van persoonsgegevens en de schending van door de AVG beschermde rechten.
53. In casu doet het er dus niet toe dat het Bundesverband zich beroept op schending van een informatieverplichting ongeacht of een betrokkene de knop „Speel nu” in het App-Zentrum aanklikt, aangezien deze verplichting van invloed kan zijn op de voorwaarden voor de rechtmatigheid van de uit het aanklikken van die knop voortvloeiende verwerking en dus ontegensprekelijk verband houdt met die verwerking.
54. Deze uitlegging strookt niet alleen met de preventieve functie van de representatieve vordering van artikel 80, lid 2, AVG(27), maar ook – voor zover zij bijdraagt tot de versterking van de rechten van de betrokkenen(28)– met de in overweging 10 van die verordening geformuleerde doelstelling die erin bestaat in de Unie een hoog niveau van bescherming van de fundamentele vrijheden en grondrechten van natuurlijke personen op het vlak van verwerking van persoonsgegevens te waarborgen(29).
55. Ik voeg daaraan toe dat het mijns inziens incoherent zou zijn om de materiële werkingssfeer van artikel 80, lid 2, van deze verordening restrictief uit te leggen, terwijl in artikel 79, lid 1, AVG in soortgelijke bewoordingen is voorzien in het recht van elke betrokkene op een doeltreffende voorziening in rechte en er geen enkele reden is om de uit de informatieverplichting van artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), AVG voortvloeiende rechten uit te sluiten van de materiële werkingssfeer van een dergelijke voorziening in rechte.
56. Derhalve moet artikel 80, lid 2, AVG mijns inziens aldus worden uitgelegd dat de voorwaarde dat een gemachtigde entiteit, om een representatieve vordering krachtens deze bepaling te kunnen instellen, moet aanvoeren dat zij van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking, veronderstelt dat die entiteit aanvoert dat er sprake is van een verwerking van persoonsgegevens en van een verband tussen de schending van die rechten en de verwerking. Aan deze voorwaarde is voldaan wanneer deze vordering in samenhang met een verwerking van persoonsgegevens is gebaseerd op schending door de verwerkingsverantwoordelijke van de informatieverplichting als bedoeld in artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), van voornoemde verordening, voor zover de schending die verwerking onrechtmatig kan maken.
III. Conclusie
57. Gelet op een en ander geef ik het Hof in overweging om de prejudiciële vraag van het Bundesgerichtshof te beantwoorden als volgt:
„Artikel 80, lid 2, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
de voorwaarde dat een gemachtigde entiteit, om een representatieve vordering krachtens deze bepaling te kunnen instellen, moet aanvoeren dat zij van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking, veronderstelt dat die entiteit aanvoert dat er sprake is van een verwerking van persoonsgegevens en van een verband tussen de schending van die rechten en de verwerking. Aan deze voorwaarde is voldaan wanneer deze vordering in samenhang met een verwerking van persoonsgegevens is gebaseerd op schending door de verwerkingsverantwoordelijke van de informatieverplichting als bedoeld in artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), van voornoemde verordening, voor zover de schending die verwerking onrechtmatig kan maken.”