ARREST VAN HET HOF (Derde kamer)
28 april 2022 (*)
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 80 – Vertegenwoordiging van de betrokkenen door een vereniging zonder winstoogmerk – Representatieve vordering die door een consumentenbelangenvereniging wordt ingesteld zonder dat daartoe een opdracht is gegeven en ongeacht of er concrete rechten van een betrokkene zijn geschonden – Vordering gebaseerd op het verbod van oneerlijke handelspraktijken, de schending van een consumentenbeschermingswet of het verbod op de toepassing van ongeldige algemene voorwaarden”
In zaak C‑319/20,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland) bij beslissing van 28 mei 2020, ingekomen bij het Hof op 15 juli 2020, in de procedure
Meta Platforms Ireland Limited, voorheen Facebook Ireland Limited,
tegen
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.,
wijst
HET HOF (Derde kamer),
samengesteld als volgt: A. Prechal, president van de Tweede kamer, waarnemend voor de president van de Derde kamer, J. Passer, F. Biltgen, L. S. Rossi (rapporteur) en N. Wahl, rechters,
advocaat-generaal: J. Richard de la Tour,
griffier: M. Krausenböck, administrateur,
gezien de stukken en na de terechtzitting op 23 september 2021,
gelet op de opmerkingen van:
– Meta Platforms Ireland Limited, vertegenwoordigd door H.‑G. Kamann, M. Braun, H. Frey en V. Wettner, Rechtsanwälte,
– Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V., vertegenwoordigd door P. Wassermann, Rechtsanwalt,
– de Duitse regering, vertegenwoording door D. Klebs en J. Möller als gemachtigden,
– de Oostenrijkse regering, vertegenwoordigd door A. Posch, G. Kunnert en J. Schmoll als gemachtigden,
– de Portugese regering, vertegenwoordigd door L. Inez Fernandes, C. Vieira Guerra, P. Barros da Costa en L. Medeiros als gemachtigden,
– de Europese Commissie, aanvankelijk vertegenwoordigd door F. Erlbacher, H. Kranenborg en D. Nardi, vervolgens door F. Erlbacher en H. Kranenborg als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 2 december 2021,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 80, leden 1 en 2, en van artikel 84, lid 1, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2 en PB 2021, L 74, blz. 35; hierna: „AVG”).
2 Dit verzoek is ingediend in het kader van een geschil tussen de in Ierland gevestigde onderneming Meta Platforms Ireland Limited, voorheen Facebook Ireland Limited, en het Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (Duitse federale vereniging van consumentenbeschermingsorganisaties; hierna: „Bundesverband”) over de schending door Meta Platforms Ireland van de Duitse wetgeving inzake de bescherming van persoonsgegevens, hetgeen tegelijkertijd een oneerlijke handelspraktijk, een schending van een consumentenbeschermingswet en een schending van het verbod op de toepassing van ongeldige algemene voorwaarden vormt.
Toepasselijke bepalingen
Unierecht
AVG
3 In de overwegingen 9, 10, 13 en 142 AVG staat te lezen:
„(9) De doelstellingen en beginselen van richtlijn 95/46/EG [van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31)] blijven overeind, maar de richtlijn heeft niet kunnen voorkomen dat gegevens in de Unie op gefragmenteerde wijze worden beschermd, dat er rechtsonzekerheid heerst of dat in brede lagen van de bevolking het beeld bestaat dat met name online-activiteiten aanzienlijke risico’s voor de bescherming van natuurlijke personen inhouden. De lidstaten bieden op het vlak van verwerking van persoonsgegevens uiteenlopende niveaus van bescherming van de rechten en vrijheden van natuurlijke personen, met name de bescherming van persoonsgegevens, wat het vrije verkeer van persoonsgegevens binnen de Unie in de weg kan staan. Die verschillen kunnen dan ook een belemmering vormen voor de uitoefening van economische activiteiten op Unieniveau, de mededinging verstoren en de overheid beletten de taak die zij uit hoofde van het Unierecht heeft, te vervullen. Die verschillende beschermingsniveaus zijn toe te schrijven aan de verschillen in de uitvoering en toepassing van richtlijn [95/46].
(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake [de] bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. [...]
[...]
(13) Teneinde natuurlijke personen in de gehele Unie een consistent niveau van bescherming te bieden en te voorkomen dat verschillen het vrije verkeer van persoonsgegevens op de interne markt hinderen, is een verordening nodig om marktdeelnemers, met inbegrip van kleine, middelgrote en micro-ondernemingen, rechtszekerheid en transparantie te bieden, te voorzien in dezelfde wettelijk afdwingbare rechten voor natuurlijke personen in alle lidstaten en in verplichtingen en verantwoordelijkheden voor de verwerkingsverantwoordelijken en de verwerkers, te zorgen voor consistent toezicht op de verwerking van persoonsgegevens en voor vergelijkbare sancties in alle lidstaten, alsook voor doeltreffende samenwerking tussen de toezichthoudende autoriteiten van verschillende lidstaten. [...]
[...]
(142) Wanneer een betrokkene van oordeel is dat inbreuk is gemaakt op zijn rechten uit hoofde van deze verordening, moet hij het recht hebben organen, organisaties of verenigingen zonder winstoogmerk, die overeenkomstig het recht van een lidstaat zijn opgericht, die statutaire doelstellingen hebben die in het publieke belang zijn en die actief zijn op het gebied van de bescherming van persoonsgegevens, te machtigen om namens hem een klacht in te dienen bij een toezichthoudende autoriteit, om namens betrokkenen het recht op een voorziening in rechte uit te oefenen, of om namens betrokkenen het recht op de ontvangst van een vergoeding uit te oefenen indien dit in het lidstatelijke recht is voorzien. De lidstaten kunnen bepalen dat deze organen, organisaties of verenigingen over het recht beschikken om, ongeacht een eventuele machtiging door een betrokkene, in die lidstaat een klacht in te dienen en over het recht op een doeltreffende voorziening in rechte, indien zij redenen hebben om aan te nemen dat de rechten van een betrokkene zijn geschonden als gevolg van een verwerking van persoonsgegevens die inbreuk maakt op deze verordening. Voor deze organen, organisaties of verenigingen kan worden bepaald dat zij niet het recht hebben om namens een betrokkene een vergoeding te eisen buiten de machtiging door de betrokkene om.”
4 Artikel 1 van deze verordening, met als opschrift „Onderwerp en doelstellingen”, bepaalt in lid 1:
„Bij deze verordening worden regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van persoonsgegevens.”
5 Artikel 4, punt 1, AVG luidt als volgt:
„Voor de toepassing van deze verordening wordt verstaan onder:
1) ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;”
6 Hoofdstuk III AVG, dat de artikelen 12 tot en met 23 omvat, heeft als opschrift „Rechten van de betrokkene”.
7 Artikel 12 van deze verordening, met als opschrift „Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene”, bepaalt in lid 1:
„De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.”
8 Artikel 13 AVG, met als opschrift „Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”, bepaalt in lid 1, onder c) en e):
„Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:
[...]
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
[...]
e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens;”
9 Hoofdstuk VIII van deze verordening, dat de artikelen 77 tot en met 84 omvat, heeft als opschrift „Beroep, aansprakelijkheid en sancties”.
10 Artikel 77 AVG, met als opschrift „Recht om een klacht in te dienen bij een toezichthoudende autoriteit”, bepaalt in lid 1:
„Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening.”
11 Artikel 78 AVG, met als opschrift „Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit”, bepaalt in lid 1:
„Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, heeft iedere natuurlijke persoon of rechtspersoon het recht om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.”
12 Artikel 79 AVG, met als opschrift „Recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker”, bepaalt in lid 1:
„Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 een klacht in te dienen bij een toezichthoudende autoriteit, heeft elke betrokkene het recht een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan deze verordening voldoet.”
13 Artikel 80 AVG, met als opschrift „Vertegenwoordiging van betrokkenen”, luidt als volgt:
„1. De betrokkene heeft het recht een orgaan, organisatie of vereniging zonder winstoogmerk dat of die op geldige wijze volgens het recht van een lidstaat is opgericht, waarvan de statutaire doelstellingen het algemeen belang dienen en dat of die actief is op het gebied van de bescherming van de rechten en vrijheden van de betrokkene in verband met de bescherming van diens persoonsgegevens, opdracht te geven de klacht namens hem in te dienen, namens hem de in artikelen 77, 78 en 79 bedoelde rechten uit te oefenen en namens hem het in artikel 82 bedoelde recht op schadevergoeding uit te oefenen, indien het lidstatelijke recht daarin voorziet.
2. De lidstaten kunnen bepalen dat een orgaan, organisatie of vereniging als bedoeld in lid 1 van dit artikel, over het recht beschikt om onafhankelijk van de opdracht van een betrokkene in die lidstaat een klacht in te dienen bij de overeenkomstig artikel 77 bevoegde toezichthoudende autoriteit en de in de artikelen 78 en 79 bedoelde rechten uit te oefenen, indien het, onderscheidenlijk zij, van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking.”
14 Artikel 82 van deze verordening, met als opschrift „Recht op schadevergoeding en aansprakelijkheid”, bepaalt in lid 1:
„Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.”
15 Artikel 84 AVG, met als opschrift „Sancties”, bepaalt in lid 1:
„De lidstaten stellen de regels inzake andere sancties vast die van toepassing zijn op inbreuken op deze verordening, in het bijzonder op inbreuken die niet aan administratieve geldboeten onderworpen zijn overeenkomstig artikel 83, en treffen alle nodige maatregelen om ervoor te zorgen dat zij worden toegepast. Die sancties zijn doeltreffend, evenredig en afschrikkend.”
Richtlijn 2005/29
16 Richtlijn 2005/29/EG van het Europees Parlement en de Raad van 11 mei 2005 betreffende oneerlijke handelspraktijken van ondernemingen jegens consumenten op de interne markt en tot wijziging van richtlijn 84/450/EEG van de Raad, richtlijnen 97/7/EG, 98/27/EG en 2002/65/EG van het Europees Parlement en de Raad en van verordening (EG) nr. 2006/2004 van het Europees Parlement en de Raad („richtlijn oneerlijke handelspraktijken”) (PB 2005, L 149, blz. 22) heeft volgens artikel 1 ervan tot doel bij te dragen aan de goede werking van de interne markt en een hoog niveau van consumentenbescherming tot stand te brengen door de wettelijke en bestuursrechtelijke bepalingen van de lidstaten inzake oneerlijke handelspraktijken die de economische belangen van de consumenten schaden, te harmoniseren.
17 Artikel 5 van richtlijn 2005/29, met als opschrift „Verbod op oneerlijke handelspraktijken”, bepaalt:
„1. Oneerlijke handelspraktijken zijn verboden.
2. Een handelspraktijk is oneerlijk wanneer zij:
a) in strijd is met de vereisten van professionele toewijding,
en
b) het economische gedrag van de gemiddelde consument die zij bereikt of op wie zij gericht is of, indien zij op een bepaalde groep consumenten gericht is, het economisch gedrag van het gemiddelde lid van deze groep, met betrekking tot het product wezenlijk verstoort of kan verstoren.
[...]
5. Bijlage I bevat de lijst van handelspraktijken die onder alle omstandigheden als oneerlijk worden beschouwd. [...]”
18 Artikel 11 van deze richtlijn, met als opschrift „Handhaving”, bepaalt in lid 1:
„De lidstaten zorgen voor de invoering van passende en doeltreffende middelen ter bestrijding van oneerlijke handelspraktijken, zodat de naleving van deze richtlijn in het belang van de consumenten kan worden afgedwongen.
Daartoe behoren wettelijke bepalingen op grond waarvan personen of organisaties die volgens de nationale wetgeving een rechtmatig belang hebben bij het bestrijden van oneerlijke handelspraktijken, met inbegrip van de concurrenten:
a) in rechte kunnen optreden tegen die oneerlijke handelspraktijken,
en/of
b) die oneerlijke handelspraktijken kunnen voorleggen aan een administratieve instantie die bevoegd is om hetzij zelf een uitspraak te doen over een klacht, hetzij een passende gerechtelijke procedure in te leiden.
Elke lidstaat beslist welke van deze procedures wordt gevolgd en of de rechterlijke of administratieve instantie mag eisen dat afdoening van de klacht eerst langs andere wegen, waaronder die bedoeld in artikel 10, wordt beproefd. Deze procedures kunnen worden gevolgd ongeacht of de getroffen consumenten zich bevinden op het grondgebied van de lidstaat waar de handelaar gevestigd is, of in een andere lidstaat.
[...]”
19 Bijlage I bij richtlijn 2005/29, die de lijst bevat van handelspraktijken die onder alle omstandigheden als oneerlijk worden beschouwd, bepaalt in punt 26:
„Hardnekkig en ongewenst aandringen per telefoon, fax, e-mail of andere afstandsmedia behalve indien er, voor zover gerechtvaardigd volgens de nationale wetgeving, wordt beoogd een contractuele verplichting te doen naleven. Dit doet geen afbreuk aan [...] de richtlijnen [95/46] [...].”
Richtlijn 2009/22
20 Artikel 1 van richtlijn 2009/22/EG van het Europees Parlement en de Raad van 23 april 2009 betreffende het doen staken van inbreuken in het raam van de bescherming van de consumentenbelangen (PB 2009, L 110, blz. 30), met als opschrift „Toepassingsgebied”, luidt:
„1. Deze richtlijn heeft tot doel de onderlinge aanpassing van de wettelijke en bestuursrechtelijke bepalingen van de lidstaten betreffende verbodsacties als bedoeld in artikel 2 ter bescherming van de collectieve belangen van consumenten, die zijn opgenomen in de in bijlage I genoemde richtlijnen, teneinde de goede werking van de interne markt te waarborgen.
2. Voor de toepassing van deze richtlijn wordt onder ‚inbreuk’ verstaan: elke handeling die strijdig is met de bepalingen van de in bijlage I vermelde richtlijnen, als omgezet in de interne rechtsorde van de lidstaten en waardoor de in lid 1 bedoelde collectieve belangen worden geschaad.”
21 Artikel 7 van richtlijn 2009/22, met als opschrift „Voorschriften die een ruimere mogelijkheid tot het instellen van acties bieden”, luidt als volgt:
„Deze richtlijn belet de lidstaten niet voorschriften te handhaven of vast te stellen waarbij op nationaal niveau aan bevoegde instanties, alsmede aan iedere betrokkene een ruimere mogelijkheid wordt geboden om een actie in te stellen.”
22 Bijlage I bij richtlijn 2009/22 bevat de lijst van de in artikel 1 van deze richtlijn bedoelde richtlijnen van de Unie. Punt 11 van deze bijlage vermeldt richtlijn 2005/29.
Richtlijn 2020/1828
23 De overwegingen 11, 13 en 15 van richtlijn (EU) 2020/1828 van het Europees Parlement en de Raad van 25 november 2020 betreffende representatieve vorderingen ter bescherming van de collectieve belangen van consumenten en tot intrekking van richtlijn 2009/22 (PB 2020, L 409, blz. 1) luiden als volgt:
„(11) Deze richtlijn mag niet in de plaats komen van bestaande nationale procedurele mechanismen ter bescherming van collectieve of individuele consumentenbelangen. Rekening houdend met hun rechtstradities moet de richtlijn het overlaten aan de lidstaten om te beslissen of zij het door deze richtlijn geëiste procedurele mechanisme voor representatieve vorderingen vormgeven als een onderdeel van een bestaand of een nieuw procedureel mechanisme voor collectieve stakings- of herstelmaatregelen dan wel als een afzonderlijk procedureel mechanisme, mits ten minste één nationaal procedureel mechanisme voor representatieve vorderingen voldoet aan deze richtlijn. [...] Indien er op nationaal niveau procedurele mechanismen zijn naast het bij deze richtlijn voorgeschreven procedurele mechanisme, moet de bevoegde instantie kunnen kiezen welk procedureel mechanisme zij gebruikt.
[...]
(13) Het toepassingsgebied van deze richtlijn moet recht doen aan recente ontwikkelingen op het gebied van consumentenbescherming. Nu consumenten zich op een grotere en steeds meer gedigitaliseerde marktomgeving bewegen, is het voor een hoog niveau van consumentenbescherming nodig dat gebieden als gegevensbescherming, financiële diensten, reizen en toerisme, energie en telecommunicatie onder de richtlijn vallen, naast het algemene consumentenrecht. [...]
[...]
(15) Deze richtlijn moet de rechtshandelingen in de lijst van bijlage I onverlet laten en mag de in die rechtshandelingen vervatte definities dus niet wijzigen of uitbreiden, noch eventueel in die rechtshandelingen vervatte handhavingsmechanismen vervangen. Indien van toepassing, kan bijvoorbeeld nog steeds een beroep worden gedaan op de handhavingsmechanismen die zijn vastgelegd in of krachtens [de AVG] om de collectieve belangen van consumenten te beschermen.”
24 Artikel 2 van die richtlijn, met als opschrift „Toepassingsgebied”, bepaalt in lid 1 het volgende:
„Deze richtlijn is van toepassing op representatieve vorderingen die worden ingesteld wegens inbreuken door handelaren op de in bijlage I bedoelde bepalingen van Unierecht, met inbegrip van de in nationaal recht omgezette bepalingen daarvan, die de collectieve belangen van consumenten schaden of kunnen schaden. Deze richtlijn laat de in bijlage I bedoelde bepalingen van Unierecht onverlet. [...]”
25 Artikel 24 van voormelde richtlijn, met als opschrift „Omzetting”, bepaalt in lid 1:
„De lidstaten stellen de nodige wettelijke en bestuursrechtelijke bepalingen vast om aan deze richtlijn te voldoen en maken die bekend uiterlijk op 25 december 2022. Zij delen de Commissie de tekst van die bepalingen onverwijld mede.
De lidstaten passen die bepalingen toe met ingang van 25 juni 2023.
[...]”
26 Bijlage I bij richtlijn 2020/1828, die de lijst bevat van de in artikel 2, lid 1, van die richtlijn bedoelde bepalingen van Unierecht, vermeldt in punt 56 de AVG.
Duits recht
Wet betreffende verbodsacties
27 § 2 van het Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (wet betreffende verbodsacties bij inbreuken op het consumentenrecht of bij andere inbreuken) van 26 november 2001 (BGBl. 2001 I, blz. 3138), in de op het hoofdgeding toepasselijke versie (hierna: „wet betreffende verbodsacties”), luidt:
„(1) Van eenieder die op andere wijze dan door de toepassing of aanbeveling van algemene voorwaarden inbreuk maakt op bepalingen ter bescherming van de consument (wetten betreffende de bescherming van de consument), kan in het belang van de bescherming van de consument worden gevorderd dat hij deze inbreuk staakt en er in de toekomst van afziet. [...]
(2) In de zin van deze bepaling wordt onder ‚wetten betreffende de bescherming van de consument’ met name verstaan:
[...]
11. de voorschriften die regelen onder welke voorwaarden een ondernemer:
a) persoonsgegevens van een consument mag verzamelen of
b) de persoonsgegevens die met betrekking tot een consument zijn verzameld, mag verwerken of gebruiken,
wanneer de gegevens worden verzameld, verwerkt of gebruikt om reclame te maken, markt- en opinieonderzoeken te verrichten, een kredietbeoordelingsbureau te exploiteren, persoonlijkheids- en gebruikersprofielen op te stellen, adressen te verkopen, andere gegevens te verhandelen, of voor soortgelijke commerciële doeleinden.”
28 Het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland) geeft aan dat beroepsgerechtigde entiteiten in de zin van § 4 van de wet betreffende verbodsacties op grond van § 3, lid 1, eerste volzin, punt 1, van deze wet, ten eerste overeenkomstig § 1 van die wet verbodsacties kunnen instellen tegen de toepassing van algemene voorwaarden die krachtens § 307 van het Bürgerliche Gesetzbuch (Duits burgerlijk wetboek) als ongeldig moeten worden beschouwd, en ten tweede verbodsacties kunnen instellen tegen schendingen van de wetgeving inzake consumentenbescherming, in de zin van § 2, lid 2, van die wet.
Wet inzake oneerlijke mededinging
29 § 3, lid 1, van het Gesetz gegen den unlauteren Wettbewerb (wet inzake oneerlijke mededinging) van 3 juli 2004 (BGBl. 2004 I, blz. 1414), in de op het hoofdgeding toepasselijke versie (hierna: „wet inzake oneerlijke mededinging”), bepaalt:
„Oneerlijke handelspraktijken zijn verboden.”
30 § 3a van de wet inzake oneerlijke mededinging luidt als volgt:
„Eenieder die handelt in strijd met een wettelijk voorschrift dat mede is vastgesteld om in het belang van de marktdeelnemers het marktgedrag te reguleren, maakt zich schuldig aan een oneerlijke handelspraktijk indien de inbreuk de belangen van consumenten, andere marktdeelnemers of concurrenten wezenlijk kan aantasten.”
31 § 8 van de wet inzake oneerlijke mededinging luidt:
„(1) Van eenieder die zich schuldig maakt aan een krachtens § 3 of § 7 verboden handelspraktijk, kan worden gevorderd dat hij deze praktijk staakt en er, in geval van gevaar voor recidive, in de toekomst van afziet. [...]
[...]
(3) De in lid 1 bedoelde vorderingen komen toe aan:
[...]
3. bevoegde instanties die aantonen dat zij zijn vermeld in de lijst van de bevoegde instanties bedoeld in § 4 van [de wet betreffende verbodsacties] [...],
[...]”
Wet inzake elektronische media
32 Het Bundesgerichtshof geeft aan dat § 13, lid 1, van het Telemediengesetz (wet inzake elektronische media) van 26 februari 2007 (BGBl. 2007 I, blz. 179) van toepassing was tot de inwerkingtreding van de AVG. Sinds die datum is deze bepaling vervangen door de artikelen 12 tot en met 14 van de AVG.
33 § 13, lid 1, eerste volzin, van de wet inzake elektronische media bepaalde:
„De aanbieder van diensten moet – voor zover dit nog niet zou zijn gebeurd – de gebruiker bij het begin van het gebruik op een gemakkelijk te begrijpen wijze informeren over de aard, de omvang en het doel van de verzameling en het gebruik van persoonsgegevens en over de verwerking van zijn gegevens in staten buiten het toepassingsgebied van richtlijn 95/46 [...].”
Hoofdgeding en prejudiciële vraag
34 Meta Platforms Ireland, die het dienstenaanbod van het sociale onlinenetwerk Facebook in de Unie beheert, is verantwoordelijk voor de verwerking van persoonsgegevens van de gebruikers van dit sociale netwerk in de Unie. Facebook Germany GmbH, gevestigd in Duitsland, promoot de verkoop van advertentieruimte onder het adres www.facebook.de. Op het internetplatform Facebook bevindt zich met name onder het adres www.facebook.de een appcentrum genaamd „App-Zentrum” waar Meta Platforms Ireland haar gebruikers gratis spellen van derde leveranciers aanbiedt. Bij het aanklikken van bepaalde spellen in het App-Zentrum krijgt de gebruiker de melding dat het gebruik van de applicatie in kwestie het betrokken spelbedrijf de mogelijkheid biedt een aantal persoonsgegevens te ontvangen en haar het recht verleent om namens de gebruikers bepaalde gegevens te posten, waaronder hun score. Door de applicatie te gebruiken gaat de gebruiker aldus akkoord met de algemene voorwaarden en met het gegevensbeschermingsbeleid ervan. Bij een bepaald spel wordt bovendien aangegeven dat de applicatie statusberichten, foto’s en dergelijke meer mag posten in naam van de gebruiker.
35 Volgens het Bundesverband, een instantie die procesbevoegd is op grond van § 4 van de wet betreffende verbodsacties, zijn de door de betrokken spelen in het App-Zentrum verstrekte meldingen oneerlijk, met name wegens niet-naleving van de wettelijke vereisten die volgens de bepalingen inzake gegevensbescherming gelden voor het verkrijgen van rechtsgeldige toestemming van de gebruiker. Bovendien is het Bundesverband van mening dat de melding dat het de applicatie is toegestaan om bepaalde persoonlijke informatie namens de gebruiker te publiceren, een algemene voorwaarde is die de gebruiker ten onrechte benadeelt.
36 In deze context heeft het Bundesverband bij het Landgericht Berlin (rechter in eerste aanleg Berlijn, Duitsland) een verbodsactie ingesteld tegen Meta Platforms Ireland op grond van § 3a van de wet inzake oneerlijke mededinging, § 2, lid 2, eerste volzin, punt 11, van de wet betreffende verbodsacties, en het burgerlijk wetboek. Deze actie is ingesteld los van enige specifieke inbreuk op de rechten inzake gegevensbescherming van een individuele betrokkene en zonder dat een dergelijke persoon daartoe opdracht heeft gegeven.
37 Het Landgericht Berlin heeft de door het Bundesverband tegen Meta Platforms Ireland ingestelde vordering toegewezen. Het door Meta Platforms Ireland tegen deze toewijzing bij het Kammergericht Berlin (hoogste rechterlijke instantie van de deelstaat Berlijn, Duitsland) ingestelde hoger beroep is verworpen. Vervolgens heeft Meta Platforms Ireland bij de verwijzende rechter een beroep tot Revision tegen de beslissing van de appelrechter ingesteld.
38 De verwijzende rechter is van oordeel dat de vordering van het Bundesverband gegrond is, aangezien Meta Platforms Ireland § 3a van de wet inzake oneerlijke mededinging en § 2, lid 2, eerste volzin, punt 11, van de wet betreffende verbodsacties heeft geschonden en gebruik heeft gemaakt van een algemene voorwaarde die ongeldig is in de zin van § 1 van laatstgenoemde wet.
39 Die rechter vraagt zich echter af of de vordering van het Bundesverband ontvankelijk is. Volgens hem is het immers niet uitgesloten dat het Bundesverband, dat op grond van § 8, lid 3, van de wet inzake oneerlijke mededinging en van § 3, lid 1, eerste zin, punt 1, van de wet betreffende verbodsacties op de datum van instelling van zijn beroep procesbevoegd was, deze hoedanigheid in de loop van het geding heeft verloren als gevolg van de inwerkingtreding van de AVG, met name artikel 80, leden 1 en 2, en artikel 84, lid 1, daarvan. In dat geval zou de verwijzende rechter het door Meta Platforms Ireland ingestelde beroep in Revision moeten toewijzen en de vordering van het Bundesverband niet-ontvankelijk moeten verklaren, aangezien de procesbevoegdheid volgens het Duitse procesrecht moet blijven bestaan tot aan het einde van de procedure in laatste aanleg.
40 Volgens de verwijzende rechter blijkt het antwoord op deze vraag niet duidelijk uit de bewoordingen, de opzet en het doel van de bepalingen van de AVG.
41 Wat de bewoordingen van de bepalingen van de AVG betreft, merkt de verwijzende rechter op dat de organen, organisaties of verenigingen zonder winstoogmerk die rechtsgeldig zijn opgericht overeenkomstig de wetgeving van een lidstaat, krachtens artikel 80, lid 1, AVG procesbevoegd zijn indien de betrokkene een orgaan, organisatie of vereniging heeft gemachtigd om namens hem de in de artikelen 77 tot en met 79 AVG genoemde rechten uit te oefenen, alsmede het in artikel 82 AVG genoemde recht op schadeloosstelling indien de wetgeving van een lidstaat daarin voorziet.
42 De verwijzende rechter benadrukt echter dat het bij § 8, lid 3, punt 3, van de wet inzake oneerlijke mededinging niet gaat om de toekenning van procesbevoegdheid om een dergelijke vordering in te stellen in opdracht en in naam van een betrokkene teneinde diens persoonlijke rechten uit te oefenen. Veeleer verleent deze wet aan een vereniging, op basis van een recht dat haar eigen is en dat voortvloeit uit § 3, lid 1, en § 3a van de wet inzake oneerlijke mededinging, de procesbevoegdheid om objectief-juridisch op te treden tegen schendingen van bepalingen van de AVG, los van de schending van concrete rechten van de betrokkenen en ongeacht een opdracht van deze personen.
43 Voorts merkt de verwijzende rechter op dat artikel 80, lid 2, AVG geen regeling bevat waaraan een vereniging procesbevoegdheid kan ontlenen met het oog op de objectieve handhaving van het gegevensbeschermingsrecht, aangezien deze bepaling vereist dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van een specifieke verwerking.
44 Bovendien kan de procesbevoegdheid van verenigingen, zoals vastgesteld in § 8, lid 3, van de wet inzake oneerlijke mededinging, evenmin worden gesteund op artikel 84, lid 1, AVG, volgens welke bepaling de lidstaten de regels vaststellen inzake andere sancties die van toepassing zijn op inbreuken op deze verordening en zij alle nodige maatregelen treffen om ervoor te zorgen dat deze worden toegepast. Een procesbevoegdheid van verenigingen, zoals bedoeld in § 8, lid 3, van de wet inzake oneerlijke mededinging, kan immers geen „sanctie” vormen in de zin van die bepaling van de AVG.
45 Wat de opzet van de bepalingen van de AVG betreft, is de verwijzende rechter van oordeel dat uit het feit dat deze verordening met name de bevoegdheden van de toezichthoudende autoriteiten heeft geharmoniseerd, kan worden afgeleid dat het hoofdzakelijk aan die autoriteiten staat om te zorgen voor de handhaving ervan. Tegen de stelling van een uitputtende regeling van de controle op de toepassing van het recht bij deze verordening kan evenwel worden aangevoerd dat artikel 77, lid 1, artikel 78, leden 1 en 2, evenals artikel 79, lid 1, AVG telkens de formulering „onverminderd andere mogelijkheden van beroep” bevatten.
46 Wat het doel van de AVG betreft, zou het nuttige effect van de verordening volgens de verwijzende rechter ervoor kunnen pleiten dat verenigingen overeenkomstig § 8, lid 3, punt 3, van de wet inzake oneerlijke mededinging procesbevoegd zijn op grond van het mededingingsrecht, onafhankelijk van een schending van concrete rechten van betrokken personen, aangezien daarmee een aanvullende mogelijkheid tot rechtshandhaving behouden blijft teneinde het overeenkomstig overweging 10 van de AVG beoogde hoge niveau van gegevensbescherming te bieden. Daartegenover staat dat de erkenning van procesbevoegdheid op grond van het mededingingsrecht als onverenigbaar met de door de verordening nagestreefde harmonisatiedoelstelling zou kunnen worden beschouwd.
47 Tegen deze achtergrond heeft het Bundesgerichtshof de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vraag:
„Staan de bepalingen in hoofdstuk VIII – en inzonderheid artikel 80, leden 1 en 2, en artikel 84, lid 1, [AVG] – in de weg aan nationale regelingen die, naast de bevoegdheden tot optreden van de voor het toezicht op en de handhaving van de verordening bevoegde autoriteiten en de aan de betrokkene geboden rechtsbeschermingsmogelijkheden, zowel aan concurrenten als aan naar nationaal recht beroepsgerechtigde verenigingen, organen en beroepsorganisaties de bevoegdheid verlenen om wegens schendingen van [de AVG] bij de civiele rechter op te komen tegen de inbreukmaker, op grond van het verbod op oneerlijke handelspraktijken, schending van een consumentenbeschermingswet of het verbod op de toepassing van ongeldige algemene voorwaarden, ongeacht of een individuele betrokkene in zijn concrete rechten is geschonden en zonder daartoe door een betrokkene te zijn gemachtigd?”
Beantwoording van de prejudiciële vraag
48 Vooraf zij erop gewezen dat, zoals onder meer blijkt uit punt 36 evenals uit de punten 41 tot en met 44 van het onderhavige arrest, de partijen in het hoofdgeding enerzijds een vereniging die consumentenbelangen behartigt, met name het Bundesverband, en anderzijds Meta Platforms Ireland zijn, en dat dit geding betrekking heeft op de vraag of een dergelijke vereniging tegen deze vennootschap kan optreden zonder daartoe te zijn gemachtigd en ongeacht de vraag of betrokkenen zijn geschonden in hun concrete rechten.
49 In deze omstandigheden hangt het antwoord op de prejudiciële vraag, zoals de Commissie in haar schriftelijke opmerkingen terecht heeft opgemerkt, uitsluitend af van de uitlegging van artikel 80, lid 2, AVG aangezien artikel 80, lid 1, AVG en artikel 84 AVG in casu niet relevant zijn. Ten eerste vooronderstelt de toepassing van artikel 80, lid 1, AVG immers dat de betrokken persoon het in die bepaling bedoelde orgaan of de in die bepaling bedoelde organisatie of vereniging zonder winstoogmerk heeft gemachtigd om namens hem de in de artikelen 77 tot en met 79 AVG bedoelde rechtsmaatregelen te nemen. Het staat echter vast dat dit in het hoofdgeding niet het geval is, aangezien het Bundesverband los van enige opdracht van de betrokkene handelt. Ten tweede staat vast dat artikel 84 AVG ziet op de administratieve en strafrechtelijke sancties die van toepassing zijn op schendingen van die verordening, hetgeen evenmin in het hoofdgeding aan de orde is.
50 Bovendien moet worden opgemerkt dat in het hoofdgeding niet de vraag naar de procesbevoegdheid van een concurrent aan de orde is. Bijgevolg hoeft enkel te worden geantwoord op het deel van de vraag dat betrekking heeft op de procesbevoegdheid van krachtens het nationale recht gemachtigde verenigingen, organen en beroepsorganisaties als bedoeld in artikel 80, lid 2, AVG.
51 Hieruit volgt dat prejudiciële vraag aldus moet worden begrepen dat de verwijzende rechter in wezen wenst te vernemen of artikel 80, lid 2, AVG aldus moet worden uitgelegd dat het zich verzet tegen een nationale regeling die een vereniging die consumentenbelangen behartigt toestaat – ook wanneer zij geen opdracht daartoe heeft gekregen en los van de vraag of er sprake is van enige schending van concrete rechten van een betrokkene – in rechte op te treden tegen de vermeende dader van een inbreuk op de bescherming van persoonsgegevens en deze vereniging zich daarbij beroept op het verbod op oneerlijke handelspraktijken, een inbreuk op een consumentenbeschermingswet of het verbod op de toepassing van ongeldige algemene voorwaarden.
52 Ter beantwoording van deze vraag zij eraan herinnerd dat de AVG, zoals blijkt uit overweging 10 ervan, teneinde met name de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, tot doel heeft te zorgen voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens.
53 In deze context regelt hoofdstuk VIII van die verordening onder meer de rechtsmiddelen waarmee de rechten van de betrokkene kunnen worden beschermd wanneer zijn persoonsgegevens beweerdelijk in strijd met de bepalingen van de verordening zijn verwerkt. De bescherming van deze rechten kan dus worden ingeroepen hetzij rechtstreeks door de betrokkene, hetzij door een daartoe gemachtigde entiteit, al dan niet met een daartoe strekkende opdracht, overeenkomstig artikel 80 AVG.
54 Om te beginnen heeft de betrokkene dus het recht om zelf een klacht in te dienen bij een toezichthoudende autoriteit van een lidstaat of een vordering in te stellen bij de nationale burgerlijke rechter. Meer in het bijzonder heeft deze persoon respectievelijk het recht om overeenkomstig artikel 77 AVG een klacht in te dienen bij een toezichthoudende autoriteit, het recht om op grond van artikel 78 AVG een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit, het recht om krachtens artikel 79 AVG een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker, en het recht om op grond van artikel 82 AVG schadevergoeding voor de geleden schade te vorderen van de verwerkingsverantwoordelijke of de verwerker.
55 Vervolgens heeft de betrokkene krachtens artikel 80, lid 1, AVG onder bepaalde voorwaarden het recht een orgaan, organisatie of vereniging zonder winstoogmerk de opdracht te geven om klacht namens hem in te dienen of namens hem de in voornoemde artikelen bedoelde rechten uit te oefenen.
56 Ten slotte kunnen de lidstaten overeenkomstig artikel 80, lid 2, AVG bepalen dat elk orgaan, elke organisatie of elke vereniging over het recht beschikt om onafhankelijk van de opdracht van een betrokkene in die lidstaat een klacht in te dienen bij de toezichthoudende autoriteit overeenkomstig artikel 77 van deze verordening, en de in de artikelen 78 en 79 van diezelfde verordening bedoelde rechten uit te oefenen, indien die entiteit van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking van hem betreffende persoonsgegevens.
57 In dit verband moet worden opgemerkt dat de AVG, zoals blijkt uit haar artikel 1, lid 1, gelezen in het licht van met name de overwegingen 9, 10 en 13 ervan, in beginsel de nationale regelgevingen inzake de bescherming van persoonsgegevens volledig beoogt te harmoniseren. De bepalingen van deze verordening bieden de lidstaten evenwel de mogelijkheid om strengere of afwijkende nationale bepalingen vast te stellen die hun een beoordelingsmarge laten met betrekking tot de wijze waarop deze regels kunnen worden toegepast („open clausules”).
58 Er zij immers aan herinnerd dat volgens vaste rechtspraak van het Hof bepalingen van verordeningen krachtens artikel 288 VWEU en wegens hun aard en hun functie in het systeem van de bronnen van het Unierecht in het algemeen rechtstreekse werking hebben in de nationale rechtsorden, zonder dat de nationale autoriteiten uitvoeringsmaatregelen hoeven vast te stellen. Voor sommige bepalingen kan het evenwel noodzakelijk zijn dat door de lidstaten nationale maatregelen ter uitvoering ervan worden vastgesteld (arrest van 15 juni 2021, Facebook Ireland e.a., C‑645/19, EU:C:2021:483, punt 110 en aldaar aangehaalde rechtspraak).
59 Dit geldt met name voor artikel 80, lid 2, AVG, dat de lidstaten een beoordelingsmarge laat bij de uitvoering ervan. Om de gelegenheid te bieden zonder opdracht een representatieve vordering ter bescherming van persoonsgegevens in te stellen zoals bedoeld in deze bepaling, moeten de lidstaten dus gebruikmaken van de door deze bepaling geboden mogelijkheid om deze vorm van vertegenwoordiging van betrokkenen op te nemen in hun nationale recht.
60 Zoals de advocaat-generaal in de punten 51 en 52 van zijn conclusie heeft opgemerkt, moeten de lidstaten, wanneer zij de hun door een dergelijke open clausule geboden mogelijkheid benutten, hun beoordelingsmarge evenwel gebruiken onder de voorwaarden en binnen de grenzen die in de bepalingen van de AVG zijn gesteld, en aldus een wettelijke regeling vaststellen die geen afbreuk doet aan de inhoud en de doelstellingen van die verordening.
61 In casu heeft de Duitse wetgever, zoals de Duitse regering tijdens de pleitzitting in de onderhavige zaak heeft bevestigd, na de inwerkingtreding van de AVG geen specifieke bepalingen vastgesteld om artikel 80, lid 2, van deze verordening om te zetten in zijn nationale recht. De in het hoofdgeding aan de orde zijnde nationale regeling, die is vastgesteld ter omzetting van richtlijn 2009/22, biedt organisaties die consumentenbelangen behartigen immers reeds de mogelijkheid om in rechte op te treden tegen de vermeende dader van een inbreuk op de bescherming van persoonsgegevens. De Duitse regering benadrukt bovendien dat het Hof in zijn arrest van 29 juli 2019, Fashion ID (C‑40/17, EU:C:2019:629), betreffende de uitlegging van de bepalingen van richtlijn 95/46, heeft geoordeeld dat deze bepalingen zich niet verzetten tegen die nationale regeling.
62 Zoals de advocaat-generaal in punt 60 van zijn conclusie heeft opgemerkt, moet in die omstandigheden in wezen worden nagegaan of de in het hoofdgeding aan de orde zijnde nationale regels zijn vastgesteld in het kader van de beoordelingsmarge die elke lidstaat bij de tenuitvoerlegging van artikel 80, lid 2, AVG behoudt en dient deze bepaling dan ook te worden uitgelegd rekening houdend met zowel de bewoordingen ervan als de systematiek en de doelstellingen van deze verordening.
63 In dit verband moet worden opgemerkt dat artikel 80, lid 2, AVG de lidstaten de mogelijkheid biedt om te voorzien in een regeling op grond waarvan een representatieve vordering tegen de vermeende dader van een inbreuk op de bescherming van persoonsgegevens kan worden ingesteld, maar dat daarbij bepaalde vereisten inzake de personele en materiële werkingssfeer worden opgesomd die daartoe moeten worden vervuld.
64 Wat in de eerste plaats de personele werkingssfeer van een dergelijke regeling betreft, wordt erkend dat procesbevoegdheid toekomt aan een orgaan, organisatie of vereniging die voldoet aan de criteria van artikel 80, lid 1, AVG. In het bijzonder verwijst deze bepaling naar „een orgaan, organisatie of vereniging zonder winstoogmerk dat of die op geldige wijze volgens het recht van een lidstaat is opgericht, waarvan de statutaire doeleinden het algemeen belang dienen en dat of die actief is op het gebied van de bescherming van de rechten en vrijheden van de betrokkene in verband met de bescherming van diens persoonsgegevens”.
65 Vastgesteld moet worden dat een vereniging die consumentenbelangen behartigt, zoals het Bundesverband, onder dat begrip kan vallen doordat zij een doelstelling van algemeen belang nastreeft die erin bestaat de rechten en vrijheden van de betrokkenen in hun hoedanigheid van consument te waarborgen, aangezien de verwezenlijking van een dergelijk doel verband kan houden met de bescherming van hun persoonsgegevens.
66 Inbreuken op voorschriften die ertoe strekken de consument te bescherming of oneerlijke handelspraktijken te bestrijden – welke inbreuken een vereniging die, zoals het Bundesverband, consumentenbelangen behartigt tracht te voorkomen en te bestraffen, met name door op grond van de toepasselijke nationale regeling verbodsacties in te stellen – kunnen immers, zoals in casu het geval is, samenhangen met een inbreuk op voorschriften die zijn vastgesteld ter bescherming van de persoonsgegevens van diezelfde consument.
67 Wat in de tweede plaats de materiële werkingssfeer van die regeling betreft, veronderstelt de uitoefening van de in artikel 80, lid 2, AVG bedoelde representatieve vordering door een entiteit die aan de in lid 1 van dat artikel genoemde voorwaarden voldoet, dat deze entiteit, los van enige haar toevertrouwde opdracht, „van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking” van zijn persoonsgegevens.
68 In dit verband moet ten eerste worden gepreciseerd dat van een dergelijke entiteit niet kan worden vereist dat zij voor het instellen van een representatieve vordering in de zin van artikel 80, lid 2, AVG de persoon die specifiek wordt geraakt door een verwerking van gegevens die beweerdelijk in strijd is met de bepalingen van de AVG, vooraf individueel identificeert.
69 Het volstaat immers op te merken dat het begrip „betrokkene” in de zin van artikel 4, punt 1, AVG niet alleen ziet op een „geïdentificeerde natuurlijke persoon”, maar ook op een „identificeerbare natuurlijke persoon”, namelijk een natuurlijke persoon „die direct of indirect kan worden geïdentificeerd” aan de hand van een identificator, zoals met name een naam, een identificatienummer, locatiegegevens of een online identificator. In die omstandigheden kan de aanwijzing van een categorie of groep van personen die door een dergelijke verwerking worden getroffen, eveneens volstaan om een dergelijke representatieve vordering in te stellen.
70 Ten tweede is het instellen van een representatieve vordering krachtens artikel 80, lid 2, AVG evenmin afhankelijk van een concrete schending van de rechten die een persoon aan de regels inzake gegevensbescherming ontleent.
71 Zoals uit de in punt 67 van het onderhavige arrest in herinnering gebrachte bewoordingen van deze bepaling blijkt, is voor het instellen van een representatieve vordering immers enkel vereist dat de betrokken entiteit „van mening is” dat de in deze verordening vastgestelde rechten van een betrokkene zijn geschonden als gevolg van de verwerking van diens persoonsgegevens, en dus stelt dat er sprake is van met de bepalingen van deze verordening strijdige gegevensverwerking.
72 Hieruit volgt dat het voor de erkenning van procesbevoegdheid aan een dergelijke entiteit op grond van die bepaling volstaat dat zij aanvoert dat de betrokken gegevensverwerking afbreuk kan doen aan de rechten die geïdentificeerde of identificeerbare natuurlijke personen aan die verordening ontlenen, zonder dat zij het bewijs hoeft te leveren dat de betrokkene in een bepaalde situatie reële schade heeft geleden doordat zijn rechten zijn geschonden.
73 Een dergelijke uitlegging is in overeenstemming met de vereisten die voortvloeien uit artikel 16 VWEU en uit artikel 8 van het Handvest van de grondrechten van de Europese Unie en dus met het door de AVG nagestreefde doel, namelijk een doeltreffende bescherming van de fundamentele rechten en vrijheden van natuurlijke personen te waarborgen en met name een hoog niveau van bescherming van het recht van eenieder op bescherming van zijn of haar persoonsgegevens (arrest van 15 juni 2021, Facebook Ireland e.a., C‑645/19, EU:C:2021:483, punten 44, 45 en 91).
74 Het feit dat verenigingen die consumentenbelangen behartigen, zoals het Bundesverband, bevoegd zijn om via een representatieve vordering verbodsacties in te stellen met betrekking tot verwerkingen die in strijd zijn met de bepalingen van die verordening, ongeacht of de rechten van een individueel en concreet door die inbreuk getroffen persoon zijn geschonden, draagt er ongetwijfeld toe bij dat de rechten van de betrokkenen worden versterkt en hun een hoog beschermingsniveau wordt geboden.
75 Bovendien dient erop te worden gewezen dat de uitoefening van een dergelijke representatieve vordering, voor zover daarmee een groot aantal schendingen kan worden voorkomen van de rechten van personen op wie de verwerking van de persoonsgegevens betrekking hebben, doeltreffender kan zijn dan het beroep dat slechts één persoon die individueel en concreet wordt geraakt door een schending van zijn recht op bescherming van zijn persoonsgegevens, tegen de dader van die schending kan instellen.
76 Zoals de advocaat-generaal in punt 76 van zijn conclusie heeft opgemerkt, zou de preventieve werking van de vorderingen die worden ingesteld door verenigingen die consumentenbelangen behartigen, zoals het Bundesverband, immers niet kunnen worden verzekerd indien de representatieve vordering waarin artikel 80, lid 2, AVG voorziet, uitsluitend betrekking zou hebben op schendingen van de rechten van een persoon die daardoor individueel en daadwerkelijk wordt geraakt.
77 Zoals de verwijzende rechter wenst te vernemen moet in de derde plaats nog worden nagegaan of artikel 80, lid 2, AVG eraan in de weg staat dat een representatieve vordering wordt ingesteld ongeacht een concrete schending van een recht van een betrokkene en los van een door deze betrokkene daartoe gegeven opdracht, wanneer de schending van de regels inzake gegevensbescherming wordt aangevoerd in het kader van een vordering die strekt tot toetsing van de toepassing van andere ter bescherming van de consument vastgestelde rechtsregels.
78 In dit verband moet om te beginnen worden opgemerkt dat, zoals in wezen is opgemerkt in punt 66 van het onderhavige arrest, de schending van een regel inzake de bescherming van persoonsgegevens tegelijkertijd kan leiden tot de schending van regels inzake consumentenbescherming of oneerlijke handelspraktijken.
79 Zoals de advocaat-generaal in punt 72 van zijn conclusie heeft opgemerkt, verzet deze bepaling zich er dus niet tegen dat de lidstaten gebruikmaken van de hun daartoe geboden mogelijkheid om verenigingen die consumentenbelangen behartigen toe te staan om in voorkomend geval tegen schendingen van de in de AVG neergelegde rechten op te komen via aanvoering van regels die de bescherming van consumenten en de bestrijding van oneerlijke handelspraktijken beogen, zoals die van richtlijn 2005/29 en van richtlijn 2009/22.
80 Deze uitlegging van artikel 80, lid 2, AVG wordt trouwens bevestigd door richtlijn 2020/1828, die vanaf 25 juni 2023 richtlijn 2009/22 opheft en vervangt. In dit verband zij erop gewezen dat artikel 2, lid 1, van richtlijn 2020/1828 bepaalt dat deze richtlijn van toepassing is op representatieve vorderingen die worden ingesteld wegens inbreuken door handelaren op de in bijlage I bedoelde bepalingen van Unierecht, waarvan punt 56 de AVG vermeldt.
81 Het is juist dat richtlijn 2020/1828 niet van toepassing is in het hoofdgeding en de omzettingstermijn ervan nog niet is verstreken. Deze richtlijn bevat echter meerdere elementen die bevestigen dat artikel 80 AVG niet in de weg staat aan het instellen van aanvullende representatieve vorderingen inzake consumentenbescherming.
82 Zoals blijkt uit overweging 11 van die richtlijn, blijft het weliswaar mogelijk om te voorzien in een bijkomend procedureel mechanisme voor representatieve vorderingen op het gebied van consumentenbescherming, maar mogen de in de AVG vastgestelde of op de AVG gebaseerde handhavingsmechanismen, zoals die van artikel 80 van die verordening, niet worden vervangen of gewijzigd, zoals in overweging 15 van die richtlijn is gepreciseerd. Deze handhavingsmechanismen kunnen dus worden gebruikt ter bescherming van de collectieve belangen van consumenten.
83 Gelet op een en ander dient op de gestelde vraag te worden geantwoord dat artikel 80, lid 2, AVG aldus moet worden uitgelegd dat het niet in de weg staat aan een nationale regeling die een vereniging die consumentenbelangen behartigt toestaat – ook wanneer zij geen opdracht daartoe heeft gekregen en los van de vraag of er sprake is van enige schending van concrete rechten van de betrokkenen – in rechte op te treden tegen de vermeende dader van een inbreuk op de bescherming van persoonsgegevens en deze vereniging zich daarbij beroept op het verbod op oneerlijke handelspraktijken, een inbreuk op een consumentenbeschermingswet of het verbod op de toepassing van ongeldige algemene voorwaarden, wanneer de desbetreffende gegevensverwerking afbreuk kan doen aan de rechten die geïdentificeerde of identificeerbare personen aan die verordening ontlenen.
Kosten
84 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechterlijke instantie over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Derde kamer) verklaart voor recht:
Artikel 80, lid 2, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) moet aldus worden uitgelegd dat het niet in de weg staat aan een nationale regeling die een vereniging die consumentenbelangen behartigt toestaat – ook wanneer zij geen opdracht daartoe heeft gekregen en los van de vraag of er sprake is van enige schending van concrete rechten van de betrokkenen – in rechte op te treden tegen de vermeende dader van een inbreuk op de bescherming van persoonsgegevens en deze vereniging zich daarbij beroept op het verbod op oneerlijke handelspraktijken, een inbreuk op een consumentenbeschermingswet of het verbod op de toepassing van ongeldige algemene voorwaarden, wanneer de desbetreffende gegevensverwerking afbreuk kan doen aan de rechten die geïdentificeerde of identificeerbare personen aan die verordening ontlenen.
ondertekeningen