Voorlopige editie
ARREST VAN HET HOF (Vierde kamer)
11 juli 2024 (*)
„Prejudiciële verwijzing – Bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 12, lid 1, eerste volzin – Transparante informatie – Artikel 13, lid 1, onder c) en e) – Informatieverplichting van de verwerkingsverantwoordelijke – Artikel 80, lid 2 – Vertegenwoordiging van de betrokkenen door een consumentenbelangenvereniging – Representatieve vordering die wordt ingesteld zonder dat daartoe een opdracht is gegeven en ongeacht of er concrete rechten van een betrokkene zijn geschonden – Vordering op basis van de niet-naleving door de verwerkingsverantwoordelijke van zijn informatieverplichting – Begrip ,schending van de rechten van een betrokkene ten gevolge van de verwerking’”
In zaak C‑757/22,
betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland) bij beslissing van 10 november 2022, ingekomen bij het Hof op 15 december 2022, in de procedure
Meta Platforms Ireland Ltd, voorheen Facebook Ireland Ltd,
tegen
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV,
wijst
HET HOF (Vierde kamer),
samengesteld als volgt: C. Lycourgos, kamerpresident, O. Spineanu-Matei, J.‑C. Bonichot, S. Rodin en L. S. Rossi (rapporteur), rechters,
advocaat-generaal: J. Richard de la Tour,
griffier: D. Dittert, hoofd van een administratieve eenheid,
gezien de stukken en na de terechtzitting op 23 november 2023,
gelet op de opmerkingen van:
– Meta Platforms Ireland Ltd, vertegenwoordigd door M. Braun, H.‑G. Kamann, en V. Wettner, Rechtsanwälte,
– Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV, vertegenwoordigd door P. Wassermann, Rechtsanwalt,
– de Duitse regering, vertegenwoordigd door J. Möller en P.‑L. Krüger als gemachtigden,
– de Portugese regering, vertegenwoordigd door P. Barros da Costa, J. Ramos en C. Vieira Guerra als gemachtigden,
– de Europese Commissie, vertegenwoordigd door A. Bouchagiar, F. Erlbacher en H. Kranenborg als gemachtigden,
gehoord de conclusie van de advocaat-generaal ter terechtzitting van 25 januari 2024,
het navolgende
Arrest
1 Het verzoek om een prejudiciële beslissing betreft de uitlegging van artikel 80, lid 2, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”), gelezen in samenhang met artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), van die verordening.
2 Dit verzoek is ingediend in het kader van een geschil tussen de in Ierland gevestigde onderneming Meta Platforms Ireland Limited, voorheen Facebook Ireland Limited, en het Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV (federale vereniging van consumentenbeschermingsorganisaties, Duitsland; hierna: „Bundesverband”) over de schending door Meta Platforms Ireland van de Duitse wetgeving inzake de bescherming van persoonsgegevens, hetgeen tegelijkertijd een oneerlijke handelspraktijk, een schending van een consumentenbeschermingswet en een schending van het verbod op de toepassing van ongeldige algemene voorwaarden vormt.
Toepasselijke bepalingen
AVG
3 In de overwegingen 10, 13, 39, 58, 60 en 142 AVG staat te lezen:
„(10) Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de [Europese] Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. [...]
[...]
(13) Teneinde natuurlijke personen in de gehele Unie een consistent niveau van bescherming te bieden en te voorkomen dat verschillen het vrije verkeer van persoonsgegevens op de interne markt hinderen, is een verordening nodig om marktdeelnemers, met inbegrip van kleine, middelgrote en micro-ondernemingen, rechtszekerheid en transparantie te bieden, te voorzien in dezelfde wettelijk afdwingbare rechten voor natuurlijke personen in alle lidstaten en in verplichtingen en verantwoordelijkheden voor de verwerkingsverantwoordelijken en de verwerkers, te zorgen voor consistent toezicht op de verwerking van persoonsgegevens en voor vergelijkbare sancties in alle lidstaten, alsook voor doeltreffende samenwerking tussen de toezichthoudende autoriteiten van verschillende lidstaten. [...]
[...]
(39) Elke verwerking van persoonsgegevens dient behoorlijk en rechtmatig te geschieden. Voor natuurlijke personen dient het transparant te zijn dat hen betreffende persoonsgegevens worden verzameld, gebruikt, geraadpleegd of anderszins verwerkt en in hoeverre de persoonsgegevens worden verwerkt of zullen worden verwerkt. Overeenkomstig het transparantiebeginsel moeten informatie en communicatie in verband met de verwerking van die persoonsgegevens eenvoudig toegankelijk en begrijpelijk zijn, en moet duidelijke en eenvoudige taal worden gebruikt. Dat beginsel betreft met name het informeren van de betrokkenen over de identiteit van de verwerkingsverantwoordelijke en de doeleinden van de verwerking, alsook verdere informatie om te zorgen voor behoorlijke en transparante verwerking met betrekking tot de natuurlijke personen in kwestie en hun recht om bevestiging en mededeling te krijgen van hun persoonsgegevens die worden verwerkt. [...]
[...]
(58) Overeenkomstig het transparantiebeginsel moet informatie die bestemd is voor het publiek of voor de betrokkene beknopt, eenvoudig toegankelijk en begrijpelijk zijn en moet duidelijke en eenvoudige taal en, in voorkomend geval, aanvullend visualisatie worden gebruikt. Die informatie kan elektronisch worden verstrekt, bijvoorbeeld wanneer die tot het publiek is gericht, via een website. Dit geldt in het bijzonder voor situaties, waarin het vanwege zowel het grote aantal actoren als de technologische complexiteit van de praktijk voor een betrokkene moeilijk is te weten en te begrijpen of, door wie en met welk doel zijn persoonsgegevens worden verzameld, zoals bij onlineadvertenties. [...]
[...]
(60) Overeenkomstig de beginselen van behoorlijke en transparante verwerking moet de betrokkene op de hoogte worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan. De verwerkingsverantwoordelijke dient de betrokkene de nadere informatie te verstrekken die noodzakelijk is om tegenover de betrokkene een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt. [...]
[...]
(142) Wanneer een betrokkene van oordeel is dat inbreuk is gemaakt op zijn rechten uit hoofde van deze verordening, moet hij het recht hebben organen, organisaties of verenigingen zonder winstoogmerk, die overeenkomstig het recht van een lidstaat zijn opgericht, die statutaire doelstellingen hebben die in het publieke belang zijn en die actief zijn op het gebied van de bescherming van persoonsgegevens, te machtigen om namens hem een klacht in te dienen bij een toezichthoudende autoriteit, om namens betrokkenen het recht op een voorziening in rechte uit te oefenen, of om namens betrokkenen het recht op de ontvangst van een vergoeding uit te oefenen indien dit in het lidstatelijke recht is voorzien. De lidstaten kunnen bepalen dat deze organen, organisaties of verenigingen over het recht beschikken om, ongeacht een eventuele machtiging door een betrokkene, in die lidstaat een klacht in te dienen en over het recht op een doeltreffende voorziening in rechte, indien zij redenen hebben om aan te nemen dat de rechten van een betrokkene zijn geschonden als gevolg van een verwerking van persoonsgegevens die inbreuk maakt op deze verordening. Voor deze organen, organisaties of verenigingen kan worden bepaald dat zij niet het recht hebben om namens een betrokkene een vergoeding te eisen buiten de machtiging door de betrokkene om.”
4 Artikel 1 van deze verordening, met als opschrift „Onderwerp en doelstellingen”, bepaalt in lid 1:
„Bij deze verordening worden regels vastgesteld betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van persoonsgegevens.”
5 Artikel 4, punten 1, 2, 9 en 11, van die verordening luidt:
„Voor de toepassing van deze verordening wordt verstaan onder:
1) ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); [...]
2) ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;
[...]
9) ‚ontvanger’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, al dan niet een derde, aan wie/waaraan de persoonsgegevens worden verstrekt. [...];
[...]
11) ‚toestemming’ van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling een hem betreffende verwerking van persoonsgegevens aanvaardt”.
6 In artikel 5 AVG worden de beginselen inzake verwerking van persoonsgegevens vastgesteld:
„1. Persoonsgegevens moeten:
a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);
b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; [...]
[...]
2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”
7 Artikel 6 AVG, met als opschrift „Rechtmatigheid van de verwerking”, bepaalt in lid 1, onder a):
„De verwerking is alleen rechtmatig indien en voor zover aan ten minste één van de onderstaande voorwaarden is voldaan:
a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden”.
8 Hoofdstuk III AVG, dat de artikelen 12 tot en met 23 omvat, heeft als opschrift „Rechten van de betrokkene”.
9 Artikel 12 van deze verordening, met als opschrift „Transparante informatie, communicatie en nadere regels voor de uitoefening van de rechten van de betrokkene”, bepaalt in lid 1:
„De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.”
10 In lid 1, onder c) en e), van artikel 13 AVG, met als opschrift „Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”, staat te lezen:
„Wanneer persoonsgegevens betreffende een betrokkene bij die persoon worden verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene al bij de verkrijging van de persoonsgegevens de volgende informatie:
[...]
c) de verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd, alsook de rechtsgrond voor de verwerking;
[...]
e) in voorkomend geval, de ontvangers of categorieën van ontvangers van de persoonsgegevens”.
11 Hoofdstuk VIII van deze verordening, dat de artikelen 77 tot en met 84 omvat, heeft als opschrift „Beroep, aansprakelijkheid en sancties”.
12 Artikel 77 AVG, met als opschrift „Recht om een klacht in te dienen bij een toezichthoudende autoriteit”, bepaalt in lid 1:
„Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op deze verordening.”
13 In lid 1 van artikel 78, AVG, met als opschrift „Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit”, staat te lezen:
„Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, heeft iedere natuurlijke persoon of rechtspersoon het recht om tegen een hem betreffend juridisch bindend besluit van een toezichthoudende autoriteit een doeltreffende voorziening in rechte in te stellen.”
14 Artikel 79 van deze verordening, met als opschrift „Recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker”, bepaalt in lid 1:
„Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 een klacht in te dienen bij een toezichthoudende autoriteit, heeft elke betrokkene het recht een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan deze verordening voldoet.”
15 Artikel 80 AVG, met als opschrift „Vertegenwoordiging van betrokkenen”, luidt als volgt:
„1. De betrokkene heeft het recht een orgaan, organisatie of vereniging zonder winstoogmerk dat of die op geldige wijze volgens het recht van een lidstaat is opgericht, waarvan de statutaire doelstellingen het algemeen belang dienen en dat of die actief is op het gebied van de bescherming van de rechten en vrijheden van de betrokkene in verband met de bescherming van diens persoonsgegevens, opdracht te geven de klacht namens hem in te dienen, namens hem de in artikelen 77, 78 en 79 bedoelde rechten uit te oefenen en namens hem het in artikel 82 bedoelde recht op schadevergoeding uit te oefenen, indien het lidstatelijke recht daarin voorziet.
2. De lidstaten kunnen bepalen dat een orgaan, organisatie of vereniging als bedoeld in lid 1 van dit artikel, over het recht beschikt om onafhankelijk van de opdracht van een betrokkene in die lidstaat een klacht in te dienen bij de overeenkomstig artikel 77 bevoegde toezichthoudende autoriteit en de in de artikelen 78 en 79 bedoelde rechten uit te oefenen, indien het, onderscheidenlijk zij, van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking.”
16 Artikel 82 van deze verordening, met als opschrift „Recht op schadevergoeding en aansprakelijkheid”, bepaalt in lid 1:
„Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.”
17 Lid 1 van artikel 84 AVG, met als opschrift „Sancties”, bepaalt:
„De lidstaten stellen de regels inzake andere sancties vast die van toepassing zijn op inbreuken op deze verordening, in het bijzonder op inbreuken die niet aan administratieve geldboeten onderworpen zijn overeenkomstig artikel 83, en treffen alle nodige maatregelen om ervoor te zorgen dat zij worden toegepast. Die sancties zijn doeltreffend, evenredig en afschrikkend.”
Duits recht
Unterlassungsklagengesetz
18 § 2 van het Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (wet betreffende verbodsacties bij inbreuken op het consumentenrecht of bij andere inbreuken) van 26 november 2001 (BGBl. 2001 I, blz. 3138), in de op het hoofdgeding toepasselijke versie (hierna: „UKlaG”), luidt:
„(1) Van eenieder die op andere wijze dan door de toepassing of aanbeveling van algemene voorwaarden inbreuk maakt op bepalingen ter bescherming van de consument (wetten inzake consumentenbescherming), kan in het belang van de bescherming van de consument worden gevorderd dat hij deze inbreuk staakt en er in de toekomst van afziet. [...]
(2) Onder ‚wetten betreffende de bescherming van de consument’ in de zin van deze bepaling wordt met name verstaan:
[...]
11. de voorschriften die regelen onder welke voorwaarden een ondernemer:
a) persoonsgegevens van een consument mag verzamelen of
b) de persoonsgegevens die met betrekking tot een consument zijn verzameld, mag verwerken of gebruiken,
wanneer de gegevens worden verzameld, verwerkt of gebruikt om reclame te maken, markt- en opinieonderzoeken te verrichten, een kredietbeoordelingsbureau te exploiteren, persoonlijkheids- en gebruikersprofielen op te stellen, andere gegevens te verhandelen, of voor soortgelijke commerciële doeleinden.”
19 Het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland) geeft aan dat entiteiten die procesbevoegdheid hebben in de zin van § 4 UKlaG op grond van § 3, lid 1, eerste volzin, punt 1, UKlaG, ten eerste overeenkomstig § 1 van die wet verbodsacties kunnen instellen tegen de toepassing van algemene voorwaarden die krachtens § 307 van het Bürgerliche Gesetzbuch (Duits burgerlijk wetboek) als ongeldig moeten worden beschouwd, en ten tweede verbodsacties kunnen instellen tegen schendingen van de wetgeving inzake consumentenbescherming in de zin van § 2, lid 2, van die wet.
Gesetz gegen den unlauteren Wettbewerb
20 § 3, lid 1, van het Gesetz gegen den unlauteren Wettbewerb (wet inzake oneerlijke mededinging) van 3 juli 2004 (BGBl. 2004 I, blz. 1414), in de op het hoofdgeding toepasselijke versie (hierna: „UWG”), bepaalt:
„Oneerlijke handelspraktijken zijn verboden.”
21 § 3a UWG luidt als volgt:
„Eenieder die handelt in strijd met een wettelijk voorschrift dat mede is vastgesteld om in het belang van de marktdeelnemers het marktgedrag te reguleren, maakt zich schuldig aan een oneerlijke handelspraktijk indien de inbreuk de belangen van consumenten, andere marktdeelnemers of concurrenten wezenlijk kan aantasten.”
22 § 8 van deze wet bepaalt:
„(1) Tegen eenieder die zich schuldig maakt aan een krachtens § 3 of § 7 verboden handelspraktijk kan een vordering tot stopzetting ervan worden ingesteld en, in geval van gevaar van recidive, een verbodsactie. [...]
[...]
(3) De in lid 1 bedoelde vorderingen komen toe aan:
[...]
3. bevoegde instanties die aantonen dat zij zijn vermeld in de lijst van de bevoegde instanties bedoeld in § 4 [UKlaG] [...]”.
Telemediengesetz
23 Het Bundesgerichtshof geeft aan dat § 13, lid 1, van het Telemediengesetz (wet inzake elektronische media; hierna: „TMG”) van 26 februari 2007 (BGBl. 2007 I, blz. 179) van toepassing was tot de inwerkingtreding van de AVG. Met ingang van die datum is deze bepaling vervangen door de artikelen 12 tot en met 14 van die verordening.
24 § 13, lid 1, eerste volzin, TMG bepaalde:
„De aanbieder van diensten moet – voor zover dit nog niet is gebeurd – de gebruiker bij het begin van het gebruik op een gemakkelijk te begrijpen wijze informeren over de aard, de omvang en het doel van de verzameling en het gebruik van persoonsgegevens en over de verwerking van zijn gegevens in staten buiten het toepassingsgebied van richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PB 1995, L 281, blz. 31).”
Hoofdgeding en prejudiciële vraag
25 Meta Platforms Ireland, die het dienstenaanbod van het online sociale netwerk Facebook in de Unie beheert, is verantwoordelijk voor de verwerking van persoonsgegevens van de gebruikers van dit sociale netwerk in de Unie. Facebook Germany GmbH, gevestigd in Duitsland, promoot de verkoop van advertentieruimte op de website www.facebook.de. Het internetplatform Facebook had met name op de website www.facebook.de een zogenoemd „App-Zentrum”, waar Meta Platforms Ireland haar gebruikers gratis spelapplicaties van derden aanbood. Bij het bezoeken van dit centrum kreeg de gebruiker de melding dat hij, door bepaalde van die applicaties te gebruiken, de betrokken applicaties toestond een aantal persoonsgegevens te verzamelen en de applicaties het recht verleende om namens hem bepaalde van die gegevens te delen, zoals zijn score en, voor een van de betrokken spelletjes, zijn status en foto’s. De gebruiker werd er ook van op de hoogte gebracht dat hij, door de betrokken applicaties te gebruiken, akkoord ging met de algemene voorwaarden en het gegevensbeschermingsbeleid van die applicaties.
26 Volgens het Bundesverband, een instantie die procesbevoegd is op grond van § 4 UKlaG, is de door de betrokken applicaties in het App-Zentrum verstrekte informatie oneerlijk, met name omdat die informatie niet voldeed aan de wettelijke vereisten die volgens de bepalingen inzake de bescherming van persoonsgegevens gelden voor het verkrijgen van rechtsgeldige toestemming van de gebruiker. Bovendien is het Bundesverband van mening dat de melding dat die applicaties bepaalde persoonsgegevens namens de gebruikers mochten delen, een algemene voorwaarde was die de gebruikers ten onrechte benadeelde.
27 In deze context heeft het Bundesverband bij het Landgericht Berlin (rechter in eerste aanleg Berlijn, Duitsland) een verbodsactie ingesteld op grond van § 3a UWG, § 2, lid 2, eerste volzin, punt 11, UKlaG, en het burgerlijk wetboek, met name om Meta Platforms Ireland te verbieden om in het App-Zentrum spelapplicaties als de betrokken applicaties aan te bieden. Deze vordering is ingesteld los van enige specifieke inbreuk op het recht inzake gegevensbescherming van een betrokken persoon en zonder dat een dergelijke persoon daartoe opdracht heeft gegeven.
28 Het Landgericht Berlin heeft de vordering van het Bundesverband toegewezen. Het door Meta Platforms Ireland bij het Kammergericht Berlin (hoogste rechterlijke instantie van de deelstaat Berlijn, Duitsland) ingestelde hoger beroep is verworpen. Vervolgens heeft Meta Platforms Ireland bij de verwijzende rechter een beroep in Revision tegen de beslissing van de appelrechter ingesteld.
29 De verwijzende rechter heeft geoordeeld dat de vordering van het Bundesverband gegrond was, aangezien Meta Platforms Ireland § 3a UWG en § 2, lid 2, eerste volzin, punt 11, UKlaG had geschonden en had gebruikgemaakt van een algemene voorwaarde die ongeldig is in de zin van § 1 UKlaG.
30 Die rechter vroeg zich echter af of de vordering van het Bundesverband ontvankelijk was. Volgens hem was het namelijk niet uitgesloten dat het Bundesverband, dat op grond van § 8, lid 3, UWG en van § 3, lid 1, eerste volzin, punt 1, UKlaG op de datum van instelling van zijn beroep procesbevoegd was, deze hoedanigheid in de loop van het geding had verloren als gevolg van de inwerkingtreding van de AVG, en met name artikel 80, leden 1 en 2, en artikel 84, lid 1, daarvan. In dat geval had de verwijzende rechter het door Meta Platforms Ireland ingestelde beroep in Revision moeten toewijzen en de verbodsactie van het Bundesverband niet-ontvankelijk moeten verklaren, aangezien de procesbevoegdheid volgens de relevante bepalingen van het Duitse procesrecht moet blijven bestaan tot aan het einde van de procedure in laatste aanleg.
31 Bijgevolg heeft het Bundesgerichtshof bij beslissing van 28 mei 2020 de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de uitlegging van artikel 80, leden 1 en 2, en artikel 84, lid 1, AVG.
32 In zijn arrest van 28 april 2022, Meta Platforms Ireland (C‑319/20, EU:C:2022:322), heeft het Hof op deze vraag geantwoord dat artikel 80, lid 2, AVG aldus moet worden uitgelegd dat het niet in de weg staat aan een nationale regeling die een vereniging die consumentenbelangen behartigt toestaat – ook wanneer zij geen opdracht daartoe heeft gekregen en los van de vraag of er sprake is van enige schending van concrete rechten van de betrokkenen – in rechte op te treden tegen de vermeende dader van een inbreuk op de bescherming van persoonsgegevens en deze vereniging zich daarbij beroept op het verbod op oneerlijke handelspraktijken, een inbreuk op een consumentenbeschermingswet of het verbod op de toepassing van ongeldige algemene voorwaarden, wanneer de desbetreffende gegevensverwerking afbreuk kan doen aan de rechten die geïdentificeerde of identificeerbare personen aan die verordening ontlenen.
33 In het licht van dat arrest gaat de verwijzende rechter ervan uit dat de procesbevoegdheid van een entiteit in de zin van artikel 80, lid 2, AVG niet afhankelijk is van de voorwaarde dat een dergelijke entiteit de persoon op wie een verwerking van persoonsgegevens betrekking heeft die beweerdelijk in strijd is met de bepalingen van de AVG, vooraf individueel identificeert. Het begrip „betrokkene” in de zin van artikel 4, punt 1, AVG ziet dus niet alleen op een „geïdentificeerde natuurlijke persoon”, maar ook op een „identificeerbare natuurlijke persoon”, namelijk een natuurlijke persoon „die direct of indirect kan worden geïdentificeerd” aan de hand van een identificator, zoals onder meer een naam, een identificatienummer, locatiegegevens of een online identificator. In die omstandigheden kan de aanwijzing van een categorie of groep van personen die door een dergelijke verwerking worden getroffen, volstaan om een representatieve vordering in te stellen. In casu heeft het Bundesverband een dergelijke groep of categorie geïdentificeerd.
34 Volgens de verwijzende rechter heeft het Hof in het reeds aangehaalde arrest echter niet de in artikel 80, lid 2, AVG vastgestelde voorwaarde onderzocht volgens welke een vereniging die consumentenbelangen behartigt van mening moet zijn dat de in die verordening neergelegde rechten van een betrokkene zijn geschonden „ten gevolge van de verwerking” om gebruik te kunnen maken van de in deze verordening neergelegde beroepswegen.
35 Ten eerste is deze rechter van oordeel dat uit dat arrest niet duidelijk blijkt of niet-naleving van de uit artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), AVG voortvloeiende verplichting om de betrokkene in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal informatie te verstrekken over het doel van de verwerking van persoonsgegevens en over de ontvangers van die gegevens, een inbreuk „ten gevolge van de verwerking” oplevert, en of het begrip „verwerking” in de zin van artikel 4, punt 2, van deze verordening ook situaties vóór het verzamelen van dergelijke gegevens behelst.
36 Ten tweede is het volgens deze rechter niet duidelijk of de niet-naleving van de informatieverplichting in een geval als het onderhavige is ingetreden „ten gevolge van” een verwerking van persoonsgegevens in de zin van artikel 80, lid 2, AVG. In dat verband benadrukt hij dat een dergelijke formulering weliswaar de indruk zou kunnen wekken dat een representatieve vordering slechts ontvankelijk is indien de entiteit die deze vordering instelt, schending aanvoert van de rechten van een betrokkene die het gevolg is van een verwerking van persoonsgegevens in de zin van artikel 4, punt 2, van deze verordening en die dus dateert van na een dergelijke verwerking, maar dat de doelstelling van die verordening – met name een hoog niveau van bescherming van persoonsgegevens waarborgen – zou kunnen pleiten voor een uitbreiding van de procesbevoegdheid van die entiteit in geval van niet-naleving van de informatieverplichting, ook al moet aan deze verplichting worden voldaan voordat enige persoonsgegevens worden verwerkt.
37 Tegen deze achtergrond heeft het Bundesgerichtshof de behandeling van de zaak opnieuw geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vraag:
„Is er sprake van schending van [de rechten van een betrokkene] ‚ten gevolge van de verwerking’ in de zin van artikel 80, lid 2, AVG wanneer een vereniging die consumentenbelangen behartigt, ter ondersteuning van haar vordering aanvoert dat de rechten van een betrokkene zijn geschonden omdat niet is voldaan aan de uit artikel 12, lid 1, eerste volzin, AVG juncto artikel 13, lid 1, onder c) en e), AVG voortvloeiende verplichtingen om informatie te verstrekken over het doel van de gegevensverwerking en de ontvanger van de persoonsgegevens?”
Beantwoording van de prejudiciële vraag
38 Met zijn vraag wenst de verwijzende rechter in essentie te vernemen of artikel 80, lid 2, AVG aldus moet worden uitgelegd dat is voldaan aan de voorwaarde dat een bevoegde entiteit moet aanvoeren dat zij van mening is dat de in die verordening neergelegde rechten van een persoon wiens persoonsgegevens verwerkt zijn, zijn geschonden „ten gevolge van de verwerking” in de zin van dat artikel 80, lid 2, om een representatieve vordering krachtens deze bepaling te kunnen instellen, wanneer een dergelijke vordering is gebaseerd op de niet-naleving van de krachtens artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), van deze verordening op de verwerkingsverantwoordelijke rustende verplichting om de betrokkene uiterlijk bij het verzamelen van de gegevens in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal informatie te verstrekken over het doel van die verwerking en over de ontvangers van dergelijke gegevens.
39 Om deze vraag te beantwoorden moet er vooraf aan worden herinnerd dat de AVG onder meer de beroepswegen regelt waarmee de rechten van de betrokkene kunnen worden beschermd wanneer zijn persoonsgegevens beweerdelijk in strijd met de bepalingen van de verordening zijn verwerkt. De bescherming van deze rechten kan dus ofwel rechtstreeks worden ingeroepen door de betrokkene, die overeenkomstig artikel 77 AVG het recht heeft om zelf een klacht in te dienen bij een toezichthoudende autoriteit van een lidstaat, of op grond van de artikelen 78 en 79 van deze verordening beroep in te stellen bij de nationale rechterlijke instanties, ofwel door een bevoegde entiteit, al dan niet met een daartoe strekkende opdracht, overeenkomstig artikel 80 AVG.
40 In het bijzonder biedt artikel 80, lid 2, AVG de lidstaten de mogelijkheid om te voorzien in een regeling op grond waarvan een representatieve vordering tegen de vermeende dader van een inbreuk op de bescherming van persoonsgegevens kan worden ingesteld zonder opdracht daartoe van de betrokkene, maar daarbij worden bepaalde vereisten inzake de personele en materiële werkingssfeer opgesomd die daartoe moeten worden vervuld (arrest van 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punt 63).
41 Wat in de eerste plaats de personele werkingssfeer van een dergelijke regeling betreft, wordt erkend dat procesbevoegdheid toekomt aan een orgaan, organisatie of vereniging die voldoet aan de criteria van artikel 80, lid 1, AVG. Zoals het Hof reeds heeft vastgesteld, kan een vereniging die consumentenbelangen behartigt, zoals het Bundesverband, in het bijzonder onder dat begrip vallen doordat zij een doelstelling van algemeen belang nastreeft die erin bestaat de rechten en vrijheden van de betrokkenen in hun hoedanigheid van consument te waarborgen, aangezien de verwezenlijking van een dergelijk doel verband kan houden met de bescherming van hun persoonsgegevens (arrest van 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punten 64 en 65).
42 Wat in de tweede plaats de materiële werkingssfeer van die regeling betreft, veronderstelt de uitoefening van de in artikel 80, lid 2, AVG bedoelde representatieve vordering door een entiteit die aan de in lid 1 van dat artikel genoemde voorwaarden voldoet, dat deze entiteit, los van enige aan haar toevertrouwde opdracht, „van mening is dat de rechten van een betrokkene uit hoofde van deze verordening zijn geschonden ten gevolge van de verwerking” van zijn persoonsgegevens (arrest van 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punt 67).
43 In dit verband heeft het Hof verduidelijkt dat het instellen van een representatieve vordering met name niet afhangt van een „concrete schending” van de rechten die een persoon ontleent aan de regels inzake de bescherming van persoonsgegevens, zodat het voor de erkenning van procesbevoegdheid van een dergelijke entiteit volstaat dat zij aanvoert dat de betrokken gegevensverwerking afbreuk kan doen aan de rechten die geïdentificeerde of identificeerbare natuurlijke personen aan die verordening ontlenen, zonder dat zij het bewijs hoeft te leveren dat de betrokkene in een bepaalde situatie reële schade heeft geleden doordat zijn rechten zijn geschonden (arrest van 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punten 70 en 72).
44 Zoals het Hof reeds heeft geoordeeld, is voor het instellen van een representatieve vordering immers vereist dat de betrokken entiteit „van mening is” dat de in de AVG vastgestelde rechten van een betrokkene zijn geschonden als gevolg van de verwerking van diens persoonsgegevens, en dus stelt dat er sprake is van met de bepalingen van deze verordening strijdige „gegevensverwerking” (zie in die zin arrest van 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punt 71), aangezien een dergelijke verwerking niet louter hypothetisch mag zijn, zoals de advocaat-generaal in punt 48 van zijn conclusie heeft opgemerkt.
45 Zoals blijkt uit de bewoordingen van artikel 80, lid 2, AVG, impliceert het feit dat een representatieve vordering op grond van deze bepaling wordt ingesteld dat de schending van de rechten die de betrokkene aan deze verordening ontleent, bij de verwerking van persoonsgegevens plaatsvindt.
46 Deze uitlegging vindt steun in de vergelijking van de verschillende taalversies van artikel 80, lid 2, AVG en in overweging 142 ervan, waarin staat te lezen dat entiteiten die voldoen aan de voorwaarden van artikel 80, lid 1, van deze verordening, redenen moeten hebben om aan te nemen dat de in die verordening neergelegde rechten van een betrokkene zijn geschonden als gevolg van „een verwerking van persoonsgegevens die inbreuk maakt op deze verordening”.
47 Om de prejudiciële vraag te beantwoorden moet voorts nog worden nagegaan of de niet-naleving van de krachtens artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), AVG op de verwerkingsverantwoordelijke rustende verplichting om de betrokkene uiterlijk bij het verzamelen van de persoonsgegevens in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal informatie te verstrekken over het doel van de gegevensverwerking en over de ontvangers van die gegevens, de rechten van deze persoon schendt „ten gevolge van de verwerking” in de zin van artikel 80, lid 2, AVG.
48 Om te beginnen zij eraan herinnerd dat het doel van de AVG – zoals blijkt uit artikel 1 alsook uit overweging 10 van deze verordening – met name bestaat in het waarborgen van een hoog niveau van bescherming van de fundamentele vrijheden en de grondrechten van natuurlijke personen, in het bijzonder van hun recht op bescherming van de persoonlijke levenssfeer in verband met de verwerking van persoonsgegevens (zie in die zin ook arrest van 7 maart 2024, IAB Europe, C‑604/22, EU:C:2024:214, punt 53).
49 Daartoe vermelden de hoofdstukken II en III van die verordening respectievelijk de beginselen die van toepassing zijn op de verwerking van persoonsgegevens en de rechten van de betrokkene die bij elke verwerking van persoonsgegevens moeten worden geëerbiedigd. In het bijzonder moet elke verwerking van persoonsgegevens, behoudens de in artikel 23 van die verordening bepaalde uitzonderingen, ten eerste in overeenstemming zijn met de in artikel 5 AVG geformuleerde beginselen inzake de verwerking van die gegevens en voldoen aan de in artikel 6 ervan genoemde rechtmatigheidsvoorwaarden, en ten tweede de in de artikelen 12 tot en met 22 AVG neergelegde rechten van de betrokkene eerbiedigen [zie in die zin arresten van 6 oktober 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 en C‑520/18, EU:C:2020:791, punt 208, en 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C‑175/20, EU:C:2022:124, punten 50 en 61 en aldaar aangehaalde rechtspraak].
50 In dit verband moet worden benadrukt dat persoonsgegevens krachtens artikel 5, lid 1, onder a), AVG moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is. Bovendien moeten deze gegevens overeenkomstig artikel 5, lid 1, onder b), voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen zij vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt.
51 Wat de uitlegging van artikel 5, lid 1, onder b), AVG betreft, heeft het Hof geoordeeld dat volgens deze bepaling met name de doeleinden van de verwerking uitdrukkelijk moeten worden omschreven en uiterlijk bij het verzamelen van de persoonsgegevens moeten vaststaan [arrest van 24 februari 2022, Valsts ieņēmumu dienests (Verwerking van persoonsgegevens voor fiscale doeleinden), C‑175/20, EU:C:2022:124, punten 64 en 65].
52 Bovendien staat het overeenkomstig artikel 5, lid 2, AVG aan de verwerkingsverantwoordelijke om te bewijzen dat deze gegevens met name voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en dat zij worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is.
53 Uit artikel 5 AVG volgt dus dat een verwerking van persoonsgegevens met name moet voldoen aan concrete vereisten op het gebied van transparantie ten aanzien van de persoon wiens gegevens worden verwerkt. Daartoe voorziet de AVG in hoofdstuk III ten eerste in nauwkeurige verplichtingen voor de verwerkingsverantwoordelijke en ten tweede in een hele reeks rechten voor de persoon op wie een verwerking van persoonsgegevens betrekking heeft, waaronder met name het recht om van de verwerkingsverantwoordelijke informatie te verkrijgen over de doeleinden van deze verwerking en over de concrete ontvangers aan wie de hem betreffende persoonsgegevens zijn of zullen worden verstrekt (arrest van 22 juni 2023, Pankki S, C‑579/21, EU:C:2023:501, punt 48).
54 In het bijzonder voorziet artikel 13, lid 1, onder c) en e), AVG in de verplichting voor de verwerkingsverantwoordelijke om de persoon wiens gegevens worden verwerkt bij de verzameling ervan te informeren over de verwerkingsdoeleinden waarvoor deze gegevens zijn bestemd, alsook over de rechtsgrond voor die verwerking en over de ontvangers of categorieën van ontvangers van die gegevens.
55 Bovendien vereist artikel 12, lid 1, van deze verordening dat de verwerkingsverantwoordelijke passende maatregelen neemt, met name om ervoor te zorgen dat de in het vorige punt bedoelde informatie die aan de betrokkene wordt verstrekt, in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal is gesteld.
56 Zoals het Hof heeft geoordeeld, beoogt artikel 12, lid 1, AVG, dat uitdrukking geeft aan het transparantiebeginsel, te waarborgen dat de betrokkene de informatie die hem wordt verstrekt, volledig kan begrijpen (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C‑487/21, EU:C:2023:369, punt 38).
57 Het belang van de naleving van een dergelijke informatieverplichting wordt ook bevestigd door overweging 60 AVG, waarin staat te lezen dat overeenkomstig de beginselen van behoorlijke en transparante verwerking de betrokkene op de hoogte moet worden gesteld van het feit dat er verwerking plaatsvindt en van de doeleinden daarvan, waarbij moet worden benadrukt dat de verwerkingsverantwoordelijke de nadere informatie dient te verstrekken die noodzakelijk is om tegenover de betrokkene een behoorlijke en transparante verwerking te waarborgen, met inachtneming van de specifieke omstandigheden en de context waarin de persoonsgegevens worden verwerkt (arrest van 4 mei 2023, Österreichische Datenschutzbehörde en CRIF, C‑487/21, EU:C:2023:369, punt 36).
58 Uit het voorgaande volgt in de eerste plaats dat de op de verwerkingsverantwoordelijke rustende informatieverplichting jegens de bij een verwerking van persoonsgegevens betrokken personen een logisch uitvloeisel is van het recht op informatie dat bij de artikelen 12 en 13 AVG aan deze personen is toegekend en dat aldus deel uitmaakt van de rechten die de in artikel 80, lid 2, van deze verordening bedoelde representatieve vordering beoogt te beschermen. Zoals blijkt uit de punten 56 en 57 van het onderhavige arrest, waarborgt de naleving van deze verplichting bovendien meer in het algemeen dat de in artikel 5, lid 1, AVG neergelegde beginselen van transparantie en behoorlijke verwerking geëerbiedigd worden.
59 In de tweede plaats kan, zoals de advocaat-generaal in punt 47 van zijn conclusie heeft opgemerkt, de beweerdelijke schending van het recht van de betrokkenen om voldoende te worden geïnformeerd over alle omstandigheden rond de verwerking van persoonsgegevens, met name de verwerkingsdoeleinden en de ontvanger van die gegevens, in de weg staan aan de „geïnformeerde” toestemming overeenkomstig artikel 4, punt 11, AVG, waardoor die verwerking onrechtmatig kan zijn in de zin van artikel 5, lid 1, van die verordening.
60 Of de door de betrokkene verleende toestemming geldig is, hangt er namelijk onder meer van af of deze persoon van tevoren de informatie heeft gekregen over alle omstandigheden rond de verwerking van de betrokken gegevens waarop hij krachtens de artikelen 12 en 13 AVG recht had en op grond waarvan hij met volledige kennis van zaken toestemming kan geven.
61 Voor zover de vereisten van artikel 5 van deze verordening niet in acht worden genomen bij een verwerking van persoonsgegevens waarbij het recht op informatie wordt geschonden dat de betrokkene aan de artikelen 12 en 13 AVG ontleent, moet de schending van dit recht op informatie worden beschouwd als een schending van de rechten van de betrokkene „ten gevolge van de verwerking” in de zin van artikel 80, lid 2, van die verordening.
62 Hieruit volgt dat bij schending van het uit artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), AVG voortvloeiende recht van de persoon wiens persoonsgegevens worden verwerkt om van de verwerkingsverantwoordelijke in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal informatie te verkrijgen over het doel van een dergelijke verwerking en over de ontvangers van die gegevens, kan worden gebruikgemaakt van de regeling inzake de representatieve vordering van artikel 80, lid 2, van deze verordening.
63 Deze uitlegging wordt ten eerste bevestigd door de in punt 48 van het onderhavige arrest in herinnering gebrachte doelstelling van de AVG om een doeltreffende bescherming van de fundamentele rechten en vrijheden van natuurlijke personen te waarborgen en in het bijzonder een hoog niveau van bescherming van het recht op persoonlijke levenssfeer van eenieder in verband met de verwerking van zijn persoonsgegevens.
64 Ten tweede strookt een dergelijke uitlegging ook met de preventieve functie van de in artikel 80, lid 2, AVG bedoelde representatieve vordering die wordt ingesteld door verenigingen die consumentenbelangen behartigen, zoals in casu het Bundesverband (arrest van 28 april 2022, Meta Platforms Ireland, C‑319/20, EU:C:2022:322, punt 76).
65 Gelet op het voorgaande moet op de prejudiciële vraag worden geantwoord dat artikel 80, lid 2, AVG aldus moet worden uitgelegd dat is voldaan aan de voorwaarde dat een bevoegde entiteit moet aanvoeren dat zij van mening is dat de in die verordening neergelegde rechten van een betrokken persoon geschonden zijn „ten gevolge van de verwerking” in de zin van dat artikel 80, lid 2, om een representatieve vordering krachtens deze bepaling te kunnen instellen, wanneer die entiteit aanvoert dat de schending van de rechten van die persoon bij de verwerking van persoonsgegevens plaatsvindt en dat die schending voortvloeit uit de niet-naleving, door de verwerkingsverantwoordelijke, van zijn uit artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), van die verordening voortvloeiende verplichting om de persoon wiens gegevens zijn verwerkt, uiterlijk bij het verzamelen van de gegevens in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal informatie te verstrekken over het doel van die verwerking en over de ontvangers van dergelijke gegevens.
Kosten
66 Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.
Het Hof (Vierde kamer) verklaart voor recht:
Artikel 80, lid 2, van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)
moet aldus worden uitgelegd dat
is voldaan aan de voorwaarde dat een bevoegde entiteit moet aanvoeren dat zij van mening is dat de in die verordening neergelegde rechten van een betrokken persoon geschonden zijn „ten gevolge van de verwerking” in de zin van dat artikel 80, lid 2, om een representatieve vordering krachtens deze bepaling te kunnen instellen, wanneer die entiteit aanvoert dat de schending van de rechten van die persoon bij de verwerking van persoonsgegevens plaatsvindt en dat die schending voortvloeit uit de niet-naleving, door de verwerkingsverantwoordelijke, van zijn uit artikel 12, lid 1, eerste volzin, en artikel 13, lid 1, onder c) en e), van die verordening voortvloeiende verplichting om de persoon wiens gegevens zijn verwerkt, uiterlijk bij het verzamelen van de gegevens in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal informatie te verstrekken over het doel van die verwerking en over de ontvangers van dergelijke gegevens.
ondertekeningen