Foreløbig udgave
FORSLAG TIL AFGØRELSE FRA GENERALADVOKAT
J. RICHARD DE LA TOUR
fremsat den 25. januar 2024 (1)
Sag C-757/22
Meta Platforms Ireland Limited
mod
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
(anmodning om præjudiciel afgørelse indgivet af Bundesgerichtshof (forbundsdomstol, Tyskland))
»Præjudiciel forelæggelse – beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger – forordning (EU) 2016/679 – artikel 12, stk. 1, første punktum – oplysningers gennemsigtighed – artikel 13, stk. 1, litra c) og e) – den dataansvarliges oplysningspligt – artikel 80, stk. 2 – de registrerede er repræsenteret ved en sammenslutning, der varetager beskyttelsen af forbrugernes interesser – gruppesøgsmål anlagt uden bemyndigelse og uafhængigt af, om en registrerets konkrete rettigheder er blevet krænket – søgsmål anlagt som følge af den dataansvarliges tilsidesættelse af sin oplysningspligt – begrebet krænkelse af den registreredes rettigheder »som følge af behandling««
I. Sagens baggrund, hovedsagens faktiske omstændigheder og det nye præjudicielle spørgsmål
1. I den foreliggende sag har Bundesgerichtshof (forbundsdomstol, Tyskland) atter forelagt et præjudicielt spørgsmål om fortolkningen af artikel 80, stk. 2, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (2).
2. I henhold til denne bestemmelse kan medlemsstaterne beslutte, at ethvert organ, enhver organisation eller enhver sammenslutning, uafhængigt af en bemyndigelse fra den registrerede, har ret til at indgive en klage i den pågældende medlemsstat til den tilsynsmyndighed, der er kompetent i henhold til artikel 77, og til at udøve de rettigheder, der er omhandlet i artikel 78 og 79, hvis den/det har grund til at formode, at den registreredes rettigheder i henhold til den nævnte forordning er blevet krænket som følge af behandling.
3. Anmodningen om præjudiciel afgørelse er blevet indgivet i forbindelse med en tvist mellem Meta Platforms Ireland Limited, tidligere Facebook Ireland Limited, som har hjemsted i Irland, og Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (tysk forbundssammenslutning af forbrugerorganisationer og ‑sammenslutninger, herefter »Bundesverband«) vedrørende Meta Platforms Irlands formodede overtrædelse af den tyske lovgivning om beskyttelse af personoplysninger, som på en og samme tid udgør en urimelig handelspraksis, en overtrædelse af en forbrugerbeskyttelseslov og en overtrædelse af forbuddet mod anvendelse af ugyldige generelle vilkår og betingelser.
4. Det er den samme tvist, der gav anledning til dom af 28. april 2022, Meta Platforms Ireland (3), hvis faktiske omstændigheder kan opsummeres som følger (4).
5. Meta Platforms Ireland, som forvalter udbuddet af tjenester i det sociale onlinenetværk Facebook i Den Europæiske Union, er den dataansvarlige for personoplysninger om brugerne af dette sociale netværk i EU. Facebook Germany GmbH, der har hjemsted i Tyskland, reklamerer på adressen www.facebook.de for salg af reklameplads. Internetplatformen Facebook indeholder bl.a. på internetsiden www.facebook.de et område kaldet »App-Zentrum« (app-center), hvor Meta Platforms Ireland stiller gratis spil leveret af tredjemand til rådighed for brugerne. Ved en søgning efter visse af disse spil i App-Zentrum ser brugeren en angivelse af, at anvendelsen af den pågældende applikation gør det muligt for det selskab, der udbyder spillet, at indhente en række personoplysninger, og tillader dette i denne brugers navn at offentliggøre visse oplysninger, såsom brugerens pointresultater og andre oplysninger. Denne anvendelse har til følge, at den nævnte bruger accepterer de almindelige forretningsbetingelser for applikationen og selskabets politik på området for databeskyttelse. For så vidt angår et bestemt spil er det desuden angivet, at applikationen har tilladelse til at offentliggøre status, fotos og andre oplysninger i brugerens navn.
6. Bundesverband, som er et organ, der har søgsmålskompetence som omhandlet i § 4 i Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (lov om søgsmål med påstand om forbud i forbindelse med overtrædelser af lovgivningen om forbrugerrettigheder og andre love) af 26. november 2001 (5), er af den opfattelse, at de angivelser, der gives med de pågældende spil i App-Zentrum, er urimelige, bl.a. på grund af den manglende overholdelse af de retlige betingelser, der gælder for indhentelse af et gyldigt samtykke fra brugeren i henhold til bestemmelserne om databeskyttelse. Bundesverband er desuden af den opfattelse, at angivelsen af, at det tillades applikationen at offentliggøre visse personlige oplysninger om brugeren i dennes navn, udgør en almindelig forretningsbetingelse, der stiller brugeren urimeligt dårligt.
7. Bundesverband anlagde i denne sammenhæng søgsmål ved Landgericht Berlin (den regionale ret i første instans i Berlin, Tyskland) med påstand om forbud mod Meta Platforms Ireland på grundlag af § 3a i Gesetz gegen den unlauteren Wettbewerb (lov om illoyal konkurrence) af 3. juli 2004 (6), § 2, stk. 2, første punktum, nr. 11, i lov om søgsmål med påstand om forbud og Bürgerliches Gesetzbuch (den borgerlige lovbog). Dette søgsmål blev anlagt uafhængigt af en konkret krænkelse af en registrerets ret til beskyttelse af personoplysninger og uden bemyndigelse fra en sådan person.
8. Landgericht Berlin (den regionale ret i første instans i Berlin) dømte Meta Platforms Ireland i overensstemmelse med Bundesverbands påstande. Den af Meta Platforms Ireland iværksatte appel ved Kammergericht Berlin (den regionale appeldomstol i Berlin, Tyskland) blev ikke taget til følge. Meta Platforms Ireland iværksatte herefter revisionsanke ved den forelæggende ret til prøvelse af appeldomstolens afgørelse, men selskabet fik ikke medhold.
9. I forbindelse med dette søgsmål fandt den forelæggende ret, at Bundesverbands søgsmål var begrundet, eftersom Meta Platforms Ireland havde overtrådt § 3a i lov om illoyal konkurrence samt § 2, stk. 2, første punktum, nr. 11, i lov om søgsmål med påstand om forbud, og at selskabet havde anvendt en ugyldig almindelig forretningsbetingelse i den forstand, hvori udtrykket er anvendt i § 1 i lov om søgsmål med påstand om forbud.
10. Den forelæggende ret var dog i tvivl om, hvorvidt Bundesverbands søgsmål kunne antages til realitetsbehandling. Den satte især spørgsmålstegn ved, om Bundesverbands søgsmålskompetence kunne udledes af databeskyttelsesforordningens artikel 80, stk. 2. Den forelagde derfor Domstolen et præjudicielt spørgsmål om fortolkningen af denne bestemmelse.
11. Som svar på dette spørgsmål fastslog Domstolen i dommen i sagen Meta Platforms Ireland, at databeskyttelsesforordningens artikel 80, stk. 2, skal fortolkes således, at den ikke er til hinder for en national lovgivning, som gør det muligt for en sammenslutning, der varetager beskyttelsen af forbrugernes interesser – uden bemyndigelse, som er blevet givet denne med henblik herpå, og uafhængigt af en krænkelse af en registrerets konkrete rettigheder – at anlægge sag mod den, der formodes at have krænket beskyttelsen af personoplysninger, ved at gøre gældende, at der foreligger en tilsidesættelse af forbuddet mod urimelig handelspraksis, en lov om forbrugerbeskyttelse eller forbuddet mod at anvende ugyldige almindelige forretningsbetingelser, når den pågældende behandling af oplysninger kan påvirke de rettigheder, som identificerede eller identificerbare fysiske personer har i henhold til denne forordning (7).
12. Domstolen har således præciseret det materielle anvendelsesområde for mekanismen for gruppesøgsmål mod den formodede krænker af beskyttelsen af personoplysninger, som er fastsat i databeskyttelsesforordningens artikel 80, stk. 2.
13. Domstolen har navnlig fastslået, at det med henblik på anlæggelse af et gruppesøgsmål ikke kan kræves, at en enhed, der opfylder de i databeskyttelsesforordningens artikel 80, stk. 1, opstillede betingelser, foretager en forudgående individuel identifikation af den registrerede, der specifikt er berørt af en behandling af oplysninger, som angiveligt er i strid med databeskyttelsesforordningens bestemmelser (8). Under disse omstændigheder kan udpegelsen af en kategori eller gruppe af personer, der berøres af en sådan behandling, ligeledes være tilstrækkelig med henblik på anlæggelse af et sådant gruppesøgsmål (9).
14. Domstolen har ligeledes fastslået, at anlæggelsen af et gruppesøgsmål i henhold til databeskyttelsesforordningens artikel 80, stk. 2, heller ikke er betinget af, at der foreligger en konkret krænkelse af de rettigheder, som en person har i henhold til databeskyttelsesreglerne (10). Ifølge Domstolen forudsætter anlæggelsen af et gruppesøgsmål nemlig alene, at det omhandlede organ/den omhandlede organisation »har grund til at formode«, at den registreredes rettigheder i henhold til denne forordning er blevet krænket som følge af behandlinger af vedkommendes personoplysninger, og således gør gældende, at der foreligger en behandling af oplysninger, der er i strid med denne forordnings bestemmelser (11). Det følger heraf, at det med henblik på at anerkende et sådant organs/en sådan organisations søgsmålskompetence i henhold til databeskyttelsesforordningens artikel 80, stk. 2, er tilstrækkeligt at gøre gældende, at den pågældende behandling af oplysninger kan påvirke de rettigheder, som identificerede eller identificerbare fysiske personer har i henhold til den nævnte forordning, uden at det er nødvendigt at godtgøre, at den registrerede i en bestemt situation har lidt en reel skade som følge af krænkelsen af dennes rettigheder (12).
15. Selv om den forelæggende ret allerede har indhentet en udtalelse fra Domstolen om, hvorvidt det søgsmål med påstand om forbud, som Bundesverband har anlagt, kan antages til realitetsbehandling i lyset af betingelserne i databeskyttelsesforordningens artikel 80, stk. 2, er den af den opfattelse, at der stadig hersker tvivl om, hvordan denne bestemmelse skal fortolkes. Den forelæggende ret har således understreget, at Bundesverbands søgsmålskompetence afhænger af, om denne enhed i henhold til nævnte bestemmelse i sit søgsmål har gjort gældende, at en registreret persons rettigheder i henhold til denne forordning er blevet krænket »som følge af behandlingen«.
16. Ifølge den forelæggende ret er det ikke klart, at dette krav vedrørende det materielle anvendelsesområde for databeskyttelsesforordningens artikel 80, stk. 2, er opfyldt under de faktiske omstændigheder i den foreliggende sag.
17. Den forelæggende ret har fastslået, at Bundesverband til støtte for sit søgsmål har påberåbt sig en tilsidesættelse af den oplysningspligt, der er fastsat i databeskyttelsesforordningens artikel 12, stk. 1, første punktum, sammenholdt med artikel 13, stk. 1, litra c) og e), for så vidt angår formålet med behandlingen af oplysningerne og modtageren af personoplysningerne. Ifølge den forelæggende ret er det nødvendigt at afgøre, om Bundesverband derfor kan anses for at påberåbe sig krænkelsen af rettigheder »som følge af behandlingen« i henhold til denne forordnings artikel 80, stk. 2.
18. Den forelæggende ret er nærmere bestemt af den opfattelse for det første, at der fortsat hersker usikkerhed med hensyn til, om tilsidesættelsen af oplysningspligten i henhold til databeskyttelsesforordningens artikel 12, stk. 1, første punktum, og artikel 13, stk. 1, litra c) og e), i den foreliggende sag er omfattet af begrebet »behandling« som omhandlet i databeskyttelsesforordningens artikel 4, stk. 2, og om dette begreb også omfatter situationer, der ligger forud for påbegyndelsen af indsamlingen af personoplysninger (13).
19. For det andet er den forelæggende ret af den opfattelse, at det ikke er klart fastslået, om tilsidesættelsen af oplysningspligten i et tilfælde som det i hovedsagen omhandlede er sket »som følge af« behandlingen af personoplysninger som omhandlet i databeskyttelsesforordningens artikel 80, stk. 2. Den forelæggende ret har i denne forbindelse præciseret, at formuleringen »som følge af« tyder på, at den enhed, der anlægger et gruppesøgsmål, for at dette søgsmål kan antages til realitetsbehandling, skal påberåbe sig en krænkelse af en registrerets rettigheder i henhold til denne forordning, der følger af en databehandling som omhandlet i denne forordnings artikel 4, stk. 2, og som derfor er sket efter en sådan behandling (14).
20. På denne baggrund har Bundesgerichtshof (forbundsdomstol) igen besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:
»Gøres en krænkelse af rettigheder »som følge af behandling« som omhandlet i [databeskyttelsesforordningens] artikel 80, stk. 2, […] gældende, såfremt en sammenslutning, der varetager beskyttelsen af forbrugernes interesser, støtter sit søgsmål på, at en registrerets rettigheder er blevet krænket, fordi pligterne i henhold til artikel 12, stk. 1, første punktum, sammenholdt med [databeskyttelsesforordningens] artikel 13, stk. 1, litra c) og e), i[…] til at oplyse om formålet med databehandlingen og om modtageren af personoplysningerne ikke er blevet opfyldt?«
21. Meta Platforms Ireland, Bundesverband, den tyske og den portugisiske regering samt Europa-Kommissionen har indgivet skriftlige indlæg.
22. Meta Platforms Ireland, den tyske regering og Kommissionen deltog i retsmødet, der blev afholdt den 23. november 2023.
II. Bedømmelse
23. Som tidligere anført ønsker den forelæggende ret oplyst, om det gruppesøgsmål, som Bundesverband har anlagt, under de faktiske omstændigheder, der gør sig gældende i den foreliggende sag, opfylder betingelsen i databeskyttelsesforordningens artikel 80, stk. 2, hvorefter den enhed, der anlægger et sådant søgsmål, mener, at en registreret persons rettigheder i henhold til denne forordning er blevet krænket »som følge af behandlingen« af personoplysninger.
24. For fuldt ud at forstå den sammenhæng, hvori den forelæggende ret har anmodet Domstolen om en nærmere præcisering af denne bestemmelses materielle anvendelsesområde, skal det anføres, at Bundesverband til støtte for sit søgsmål har gjort gældende, at Meta Platforms Ireland har tilsidesat sin forpligtelse til at oplyse om formålet med og omfanget af brugerens samtykke til behandling af vedkommendes personoplysninger. Tvisten drejer sig nærmere bestemt om præsentationen af spil i App-Zentrum på internetplatformen Meta Platforms Ireland og erklæringen om, at hver applikation har tilladelse til at offentliggøre visse personoplysninger om brugeren i dennes navn. Bundesverband har anlagt dette søgsmål uafhængigt af krænkelsen af en registrerets konkrete rettigheder og uden mandat fra en sådan person, hvilket er i overensstemmelse med denne bestemmelse, som Domstolen fastslog i dommen i sagen Meta Platforms Ireland (15).
25. Uenigheden om, hvorvidt Bundesverband har søgsmålskompetence i henhold til databeskyttelsesforordningens artikel 80, stk. 2, drejer sig nu om den forelæggende rets konstatering af, at det gruppesøgsmål, som denne enhed har anlagt, ikke vedrører spørgsmålet om, hvorvidt Meta Platforms Ireland krænker en brugers databeskyttelsesrettigheder i det øjeblik, hvor brugeren trykker på knappen »Sofort spielen« (Spil nu) eller »Spiele spielen« (Spil spillet) i App-Zentrum og derved muligvis udløser behandlingen af sine personoplysninger. Det er endvidere ubestridt, at spørgsmålet om, hvorvidt automatiserede aktiviteter vedrørende en brugers personoplysninger, som finder sted efter aktiveringen af en sådan knap, krænker sidstnævntes databeskyttelsesrettigheder, heller ikke er genstand for det søgsmål, som Bundesverband har anlagt.
26. Sammenfattende drejer tvisten sig om, hvorvidt det er tilstrækkeligt for, at en sådan sammenslutning har søgsmålskompetence i henhold til databeskyttelsesforordningens artikel 80, stk. 2, at den gør tilsidesættelse af en oplysningspligt gældende uden som sådan at kritisere den behandling af oplysninger, der følger af, at der trykkes på knappen »Sofort spielen« eller »Spiele spielen«, mens denne bestemmelse kræver, at en registrerets rettigheder krænkes »som følge af behandlingen«.
27. Derfor fokuserer den forelæggende rets spørgsmål på to aspekter, nemlig for det første rækkevidden af begrebet »behandling« og for det andet betydningen af udtrykket »som følge af behandlingen« i denne bestemmelse.
28. Den forelæggende ret ønsker derfor oplyst, om forpligtelsen til at oplyse den registrerede om formålene med databehandlingen og om modtageren af personoplysningerne i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, som følger af databeskyttelsesforordningens artikel 12, stk. 1, første punktum, og artikel 13, stk. 1, litra c) og e), er omfattet af begrebet »behandling« som omhandlet i denne forordnings artikel 4, stk. 2.
29. I forordningens artikel 4, nr. 2), defineres »behandling« som »enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse«.
30. Det fremgår af denne bestemmelses ordlyd, navnlig af udtrykket »enhver aktivitet«, at EU-lovgiver har haft til hensigt at give begrebet »behandling« en vid rækkevidde. Denne fortolkning støttes af den ikke-udtømmende karakter, udtrykt ved udtrykket »f.eks.«, af de aktiviteter, der er anført i den nævnte bestemmelse (16). Ifølge Domstolen er dette i overensstemmelse med målet om at sikre effektiviteten af den grundlæggende ret til beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger, som er nævnt i første betragtning til databeskyttelsesforordningen, og som har afgørende indflydelse på anvendelsen af denne forordning (17).
31. Til støtte for det synspunkt, at oplysningspligten i henhold til databeskyttelsesforordningens artikel 12, stk. 1, første punktum, og artikel 13, stk. 1, litra c) og e), kan være omfattet af begrebet »behandling« som omhandlet i denne forordnings artikel 4, stk. 2, henviser den forelæggende ret til det, som Domstolen fastslog i dom af 24. februar 2022 i sagen Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål) (18).
32. I den sag, der gav anledning til denne dom, krævede Valsts ieņēmumu dienests (skatteforvaltningen, Letland), at den pågældende erhvervsdrivende genoprettede denne myndigheds adgang til stelnumrene på de køretøjer, der var genstand for en annonce indrykket på dennes internetportal, og til sælgernes telefonnumre, samt at den fremsendte oplysninger om de annoncer, der var indrykket på denne portal.
33. Domstolen fastslog i denne forbindelse, at en sådan anmodning, hvorved en medlemsstats skatte- og afgiftsmyndighed anmoder en erhvervsdrivende om at videregive og stille personoplysninger til rådighed, som sidstnævnte er forpligtet til at levere og stille til rådighed for denne myndighed i henhold til denne medlemsstats nationale lovgivning, indleder en procedure for »indsamling« af disse oplysninger som omhandlet i databeskyttelsesforordningens artikel 4, nr. 2) (19). Den forelæggende ret har heraf udledt, at begrebet »behandling« som omhandlet i denne bestemmelse omfatter aktiviteter, hvorved der blot »indledes« en indsamling af oplysninger og dermed aktiviteter, der går forud for en aktivitet, som lovgiver udtrykkeligt anser for et eksempel på behandling, ved at foretage en tilnærmelse til situationen i hovedsagen.
34. Efter min opfattelse adskiller denne situation sig dog markant fra den situation, der gav anledning til dom af 24. februar 2022, Valsts ieņēmumu dienests (Behandling af personoplysninger til skatteformål) (20). I dette tilfælde er det nemlig ikke et spørgsmål om at knytte en behandlingsproces til en aktivitet, der gør det muligt at udløse denne, men snarere om at identificere forbindelsen mellem en oplysningspligt såsom den, der følger af databeskyttelsesforordningens artikel 12, stk. 1, første punktum, og artikel 13, stk. 1, litra c) og e), og en given behandling.
35. I denne henseende er det min opfattelse, at begrebet »behandling« i den forstand, hvori udtrykket er anvendt i databeskyttelsesforordningens artikel 4, stk. 2, hvor bredt det end måtte være, ikke kan udvides til at omfatte en sådan oplysningspligt. Denne forpligtelse indebærer ikke nogen direkte eller indirekte handling i forbindelse med personoplysninger. Denne forpligtelse udgør snarere en betingelse for, at behandlingen af disse oplysninger er lovlig.
36. Det skal påpeges, at denne forordnings artikel 12 fastsætter en række generelle forpligtelser, der påhviler den dataansvarlige for så vidt angår gennemsigtighed af oplysninger og meddelelser, samt de nærmere regler for udøvelsen af den registreredes rettigheder.
37. Navnlig hedder det i nævnte forordnings artikel 12, stk. 1, første punktum, at »[d]en dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, navnlig når oplysninger specifikt er rettet mod et barn«.
38. Databeskyttelsesforordningens artikel 13 med overskriften »Oplysningspligt ved indsamling af personoplysninger hos den registrerede«, bestemmer i stk. 1, litra c) og e):
»Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:
[...]
c) formålene med den behandling, som personoplysningerne skal bruges til, og retsgrundlaget for behandlingen
[...]
e) eventuelle modtagere eller kategorier af modtagere af personoplysningerne [...]«
39. Det skal påpeges, at databeskyttelsesforordningens artikel 6, stk. 1, første afsnit, indeholder en udtømmende og restriktiv liste over tilfælde, hvor behandling af personoplysninger kan betragtes som lovlig. For at kunne anses for at være lovlig skal behandlingen således være omfattet af et af de tilfælde, som er omhandlet i denne bestemmelse (21).
40. I medfør af denne forordnings artikel 6, stk. 1, første afsnit, litra a), er behandling af personoplysninger lovlig, såfremt og i det omfang den registrerede har givet samtykke til et eller flere specifikke formål (22).
41. Når der ikke foreligger et sådant samtykke, eller når samtykket ikke er blevet givet frivilligt, specifikt, informeret og utvetydigt som omhandlet i databeskyttelsesforordningens artikel 4, nr. 11), og når den pågældende behandling ikke opfylder et af de krav om nødvendighed, der er omhandlet i denne forordnings artikel 6, stk. 1, første afsnit, litra b)-f), er behandlingen ulovlig (23).
42. Hvad angår kravet i databeskyttelsesforordningens artikel 4, nr. 11), om, at samtykket skal være »informeret«, indebærer dette i overensstemmelse med forordningens artikel 13, sammenholdt med 42. betragtning, at den dataansvarlige skal give den registrerede oplysninger i lyset af alle omstændighederne i forbindelse med behandlingen af oplysningerne, i en form, der er forståelig og let tilgængelig, og som er formuleret i et klart og enkelt sprog, navnlig om typen af oplysninger, der skal behandles, den dataansvarliges identitet, behandlingens varighed og art og de formål, hvortil den udføres. Disse oplysninger skal sætte den registrerede i stand til uden besvær at bestemme følgerne af det eventuelle samtykke og at sikre, at dette samtykke gives med fuldt kendskab til følgerne (24).
43. Det skal imidlertid, som den forelæggende ret har anført (25), påpeges, at Bundesverband har bestridt præsentationen af de oplysninger, der gives under knappen »Sofort spielen« i App-Zentrum, med den begrundelse, at de er urimelige, navnlig da de retlige betingelser for at indhente et gyldigt samtykke fra brugeren i henhold til bestemmelserne om beskyttelse af personoplysninger ikke er overholdt.
44. Det, der ligger til grund for Bundesverbands søgsmål, er med andre ord, at en person på grund af den mangelfulde præsentation i App-Zentrum, som denne enhed har gjort gældende, vil kunne trykke på knappen »Sofort spielen« uden at have været i besiddelse af de oplysninger, der var nødvendige for, at vedkommende let kunne forstå konsekvenserne af det samtykke, som han eller hun har givet til behandling af sine personoplysninger efter at have trykket på denne knap, og uden at det kan garanteres, at et sådant samtykke gives med fuldt kendskab til de faktiske omstændigheder.
45. Under disse omstændigheder er jeg af den opfattelse, at Bundesverband i sit søgsmål i overensstemmelse med databeskyttelsesforordningens artikel 80, stk. 2, har gjort gældende, at »den registreredes rettigheder i henhold til denne forordning er blevet krænket som følge af behandling«.
46. For det første er både databeskyttelsesforordningens artikel 12 og artikel 13 en del af forordningens kapitel III med titlen »Den registreredes rettigheder«. I lyset af den dataansvarliges forpligtelse til at give oplysninger i henhold til disse artikler er de registreredes deraf følgende rettigheder blandt dem, som gruppesøgsmålet i henhold til artikel 80, stk. 2, i forordningen har til formål at beskytte.
47. For det andet kan den angivelige krænkelse af de registreredes ret til at blive tilstrækkeligt informeret om alle omstændigheder i forbindelse med behandlingen af personoplysninger, især formålet med behandlingen og modtageren af oplysningerne, forhindre, at der gives et »informeret« samtykke som omhandlet i databeskyttelsesforordningens artikel 4, nr. 11), hvilket kan gøre denne behandling ulovlig.
48. Med henblik på anlæggelse af et gruppesøgsmål i henhold til forordningens artikel 80, stk. 2, er det således tilstrækkeligt, at en enhed påberåber sig en tilsidesættelse af den dataansvarliges oplysningspligt med angivelse af den pågældende behandling, som i det foreliggende tilfælde er den behandling, der finder sted, når en person trykker på knappen »Sofort spielen«. Der skal være tale om en behandling, der vil kunne påvirke de rettigheder, som identificerede eller identificerbare fysiske personer har i henhold til forordningen (26), hvilket indebærer, at behandlingen skal være reel og derfor ikke må være rent hypotetisk.
49. Desuden er det efter min opfattelse uden betydning, at denne enhed påberåber sig tilsidesættelse af en forpligtelse, der går forud for behandlingen af personoplysninger. Dette er tilfældet med oplysningspligten, som skal opfyldes senest på tidspunktet for indsamlingen af oplysningerne, jf. databeskyttelsesforordningens artikel 13, stk. 1.
50. Udtrykket »som følge af behandling« i forordningens artikel 80, stk. 2, indebærer således på ingen måde, at den rettighed, hvis krænkelse søgsmålet i henhold til denne artikel søger at få konstateret, nødvendigvis skal vedrøre et tidspunkt efter en aktivitet, der udgør »behandling« som omhandlet i forordningens artikel 4, stk. 2. Dette sætningsled bør med andre ord ikke læses som et krav om en tidsmæssig rækkefølge, der ville indebære, at krænkelsen af en registrerets rettigheder i henhold til databeskyttelsesforordningen skulle ske på et tidspunkt efter en sådan behandling.
51. Det afgørende er snarere, om der findes en forbindelse mellem overholdelsen af de pågældende rettigheder og den pågældende behandling. Dette er tilfældet, når krænkelsen af disse rettigheder har den virkning, at en sådan behandling bliver ulovlig. Behandlingens ulovlighed skyldes overtrædelsen af oplysningspligten. De to er uadskillelige.
52. Det følger heraf, at kravet om, at en enhed kan anlægge et gruppesøgsmål i henhold til databeskyttelsesforordningens artikel 80, stk. 2, såfremt den er af den opfattelse, at en registrerets rettigheder i henhold til denne forordning er blevet krænket »som følge af behandling«, efter min opfattelse ikke kræver, at denne enhed påberåber sig krænkelsen af sådanne rettigheder, som følge af databehandling i den forstand, hvori udtrykket anvendes i forordningens artikel 4, stk. 2, og som derfor indtræder efter en sådan behandling. Det er tilstrækkeligt, at der redegøres for en forbindelse mellem behandlingen af personoplysninger og krænkelsen af de rettigheder, der er beskyttet ved databeskyttelsesforordningen.
53. I den foreliggende sag er det derfor ligegyldigt, at Bundesverband har gjort en krænkelse af oplysningspligten gældende, uanset om en registreret trykker på knappen »Sofort spielen« i App-Zentrum eller ej, eftersom en sådan pligt, for så vidt som den vil kunne berøre betingelserne for lovligheden af den behandling, der følger af aktiveringen af denne knap, ubestrideligt er knyttet til denne behandling.
54. Denne fortolkning er ikke blot i overensstemmelse med det i databeskyttelsesforordningens artikel 80, stk. 2 (27), omhandlede gruppesøgsmåls præventive funktion, men også, for så vidt som den bidrager til at styrke de registreredes rettigheder (28), med formålet med denne forordning som fastsat i tiende betragtning, om at sikre et højt niveau for beskyttelse af fysiske personers grundlæggende rettigheder og frihedsrettigheder i forbindelse med behandling af personoplysninger i Unionen (29).
55. Det skal tilføjes, at det efter min opfattelse ville være inkonsekvent at anlægge en restriktiv fortolkning af det materielle anvendelsesområde for databeskyttelsesforordningens artikel 80, stk. 2, når forordningens artikel 79, stk. 1, indeholder en lignende bestemmelse om, at enhver registreret har ret til effektive retsmidler, og at der ikke er nogen grund til at udelukke de rettigheder, der følger af oplysningspligten i forordningens artikel 12, stk. 1, første punktum, sammenholdt med forordningens artikel 13, stk. 1, litra c) og e), fra det materielle anvendelsesområde for et sådant retsmiddel.
56. Jeg er derfor af den opfattelse, at databeskyttelsesforordningens artikel 80, stk. 2, skal fortolkes således, at betingelsen om, at en berettiget enhed, for at kunne anlægge et gruppesøgsmål i henhold til denne bestemmelse, skal gøre gældende, at en registreret persons rettigheder i henhold til denne forordning efter dens opfattelse er blevet krænket som følge af behandlingen, forudsætter, at denne enhed har hævdet, at der foreligger en behandling af personoplysninger, og at der er en forbindelse mellem krænkelsen af disse rettigheder og denne behandling. En sådan betingelse er opfyldt, når dette søgsmål i forbindelse med behandlingen af personoplysninger er baseret på den dataansvarliges overtrædelse af oplysningspligten i henhold til forordningens artikel 12, stk. 1, første punktum, sammenholdt med artikel 13, stk. 1, litra c) og e), for så vidt som denne overtrædelse vil kunne gøre behandlingen ulovlig.
III. Forslag til afgørelse
57. På baggrund af samtlige ovenstående betragtninger foreslår jeg, at det præjudicielle spørgsmål, som Bundesgerichtshof (forbundsdomstol, Tyskland) har forelagt, besvares således:
»Artikel 80, stk. 2, i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse),
skal fortolkes således, at
betingelsen om, at en berettiget enhed, for at kunne anlægge et gruppesøgsmål i henhold til denne bestemmelse, skal gøre gældende, at en registreret persons rettigheder i henhold til denne forordning efter dens opfattelse er blevet krænket som følge af behandlingen, forudsætter, at denne enhed har hævdet, at der foreligger en behandling af personoplysninger, og at der er en forbindelse mellem krænkelsen af disse rettigheder og denne behandling. En sådan betingelse er opfyldt, når dette søgsmål i forbindelse med behandlingen af personoplysninger er baseret på den dataansvarliges overtrædelse af oplysningspligten i henhold til forordningens artikel 12, stk. 1, første punktum, sammenholdt med artikel 13, stk. 1, litra c) og e), for så vidt som denne overtrædelse vil kunne gøre behandlingen ulovlig.«