IP tegen Quirin Privatbank AG

• 1.

  Het verzoek om een prejudiciële beslissing betreft de uitlegging van de artikelen 17, 18, 79, 82 en 84 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).

• 2.

  Dit verzoek is ingediend in het kader van een geding tussen IP, een natuurlijke persoon, en Quirin Privatbank AG, een vennootschap, waarbij deze persoon vordert dat, ten eerste, deze vennootschap wordt gelast af te zien van een nieuwe ongeoorloofde verstrekking van zijn persoonsgegevens aan een derde en, ten tweede, de immateriële schade wordt vergoed die hij stelt te hebben geleden als gevolg van de aanvankelijke verstrekking ervan.

 Unierecht

• 3.

  In de overwegingen 1, 10, 11, 75, 85 en 146 AVG staat te lezen:

  „(1)      De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, lid 1, van het Handvest van de grondrechten van de Europese Unie [hierna: ‚Handvest’] en artikel 16, lid 1, [VWEU] heeft eenieder recht op bescherming van zijn persoonsgegevens.

  [...]

  (10)      Teneinde natuurlijke personen een consistent en hoog beschermingsniveau te bieden en de belemmeringen voor het verkeer van persoonsgegevens binnen de Unie op te heffen, dient het niveau van bescherming van de rechten en vrijheden van natuurlijke personen op het vlak van verwerking van deze gegevens in alle lidstaten gelijkwaardig te zijn. Er moet gezorgd worden voor een in de gehele Unie coherente en homogene toepassing van de regels inzake bescherming van de grondrechten en de fundamentele vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens. [...] Deze verordening biedt de lidstaten ook ruimte om eigen regels voor de toepassing vast te stellen, onder meer wat de verwerking van bijzondere persoonsgegevenscategorieën (‚gevoelige gegevens’) betreft. In zoverre staat deze verordening niet in de weg aan lidstatelijk recht waarin specifieke situaties op het gebied van gegevensverwerking nader worden omschreven, meer bepaald door nauwkeuriger te bepalen in welke gevallen verwerking van persoonsgegevens rechtmatig geschiedt.

  (11)      Doeltreffende bescherming van persoonsgegevens in de gehele Unie vereist de versterking en nadere omschrijving van de rechten van betrokkenen en van de verplichtingen van degenen die persoonsgegevens verwerken en van degenen die over die verwerking beslissen, alsmede gelijkwaardige bevoegdheden op het gebied van toezicht en handhaving van de regels inzake gegevensbescherming en vergelijkbare sancties voor overtredingen in de lidstaten.

  [...]

  (75)      Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personen kan voortvloeien uit persoonsgegevensverwerking die kan resulteren in lichamelijke, materiële of immateriële schade, met name: waar de verwerking kan leiden tot discriminatie, identiteitsdiefstal of -fraude, financiële verliezen, reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, ongeoorloofde ongedaanmaking van pseudonimisering, of enig ander aanzienlijk economisch of maatschappelijk nadeel; wanneer de betrokkenen hun rechten en vrijheden niet kunnen uitoefenen of worden verhinderd controle over hun persoonsgegevens uit te oefenen; [...]

  [...]

  (85)      Een inbreuk in verband met persoonsgegevens kan, wanneer dit probleem niet tijdig en op passende wijze wordt aangepakt, resulteren in lichamelijke, materiële of immateriële schade voor natuurlijke personen, zoals verlies van controle over hun persoonsgegevens of de beperking van hun rechten, discriminatie, identiteitsdiefstal of -fraude, financiële verliezen, ongeoorloofde ongedaanmaking van pseudonimisering, reputatieschade, verlies van vertrouwelijkheid van door het beroepsgeheim beschermde persoonsgegevens, of enig ander aanzienlijk economisch of maatschappelijk nadeel voor de natuurlijke persoon in kwestie. [...]

  [...]

  (146)      De verwerkingsverantwoordelijke of de verwerker [moet] alle schade vergoeden die iemand kan lijden ten gevolge van een verwerking die inbreuk maakt op deze verordening. De verwerkingsverantwoordelijke of de verwerker moet van zijn aansprakelijkheid worden vrijgesteld indien hij bewijst dat hij niet verantwoordelijk is voor de schade. Het begrip ‚schade’ moet ruim worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van deze verordening. Dit laat eventuele eisen tot schadeloosstelling wegens inbreuken op andere regels in het Unierecht of het lidstatelijke recht onverlet. Onder verwerking die inbreuk maakt op deze verordening, valt eveneens een verwerking die inbreuk maakt op gedelegeerde handelingen en uitvoeringshandelingen die werden vastgesteld overeenkomstig deze verordening, alsmede het lidstatelijke recht waarin in deze verordening vervatte regels worden gespecificeerd. De betrokkenen dienen volledige en daadwerkelijke vergoeding van door hen geleden schade te ontvangen. [...]”

• 4.

  Artikel 1 („Onderwerp en doelstellingen”) AVG bepaalt in lid 2:

  „Deze verordening beschermt de grondrechten en de fundamentele vrijheden van natuurlijke personen en met name hun recht op bescherming van persoonsgegevens.”

• 5.

  Artikel 4 („Definities”) van deze verordening luidt als volgt:

  „Voor de toepassing van deze verordening wordt verstaan onder:

  1)      ‚persoonsgegevens’: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‚de betrokkene’); [...]

  2)      ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het [...] verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;

  [...]

  7)      ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; [...]

  [...]

  10)      ‚derde’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan, niet zijnde de betrokkene, noch de verwerkingsverantwoordelijke, noch de verwerker, noch de personen die onder rechtstreeks gezag van de verwerkingsverantwoordelijke of de verwerker gemachtigd zijn om de persoonsgegevens te verwerken;

  [...]

  12)      ‚inbreuk in verband met persoonsgegevens’: een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens;

  [...]”

• 6.

  Hoofdstuk II („Beginselen”) van de AVG bevat de artikelen 5 tot en met 11 van deze verordening.

• 7.

  In artikel 5 („Beginselen inzake verwerking van persoonsgegevens”) van die verordening is bepaald:

  „1.      Persoonsgegevens moeten:

  a)      worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is (‚rechtmatigheid, behoorlijkheid en transparantie’);

  b)      voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt [...] (‚doelbinding’);

  c)      toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt (‚minimale gegevensverwerking’);

  [...]

  f)      door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging (‚integriteit en vertrouwelijkheid’).

  2.      De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (‚verantwoordingsplicht’).”

• 8.

  Artikel 6 („Rechtmatigheid van de verwerking”) van die verordening bepaalt in lid 1:

  „De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

  a)      de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;

  [...]”

• 9.

  Hoofdstuk III („Rechten van de betrokkene”) van de AVG bevat de artikelen 12 tot en met 23.

• 10.

  In afdeling 3 („Rectificatie en wissing van gegevens”) van dit hoofdstuk III bepaalt artikel 17 [„Recht op gegevenswissing (‚recht op vergetelheid’)”] AVG in lid 1:

  „De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:

  [...]

  c)      de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;

  d)      de persoonsgegevens zijn onrechtmatig verwerkt;

  [...]”

• 11.

  Die afdeling 3 omvat ook artikel 18 („Recht op beperking van de verwerking”), dat in lid 1 bepaalt:

  „De betrokkene heeft het recht van de verwerkingsverantwoordelijke de beperking van de verwerking te verkrijgen indien een van de volgende elementen van toepassing is:

  [...]

  b)      de verwerking is onrechtmatig en de betrokkene verzet zich tegen het wissen van de persoonsgegevens en verzoekt in de plaats daarvan om beperking van het gebruik ervan;

  c)      de verwerkingsverantwoordelijke heeft de persoonsgegevens niet meer nodig voor de verwerkingsdoeleinden, maar de betrokkene heeft deze nodig voor de instelling, uitoefening of onderbouwing van een rechtsvordering;

  [...]”

• 12.

  Hoofdstuk VIII („Beroep, aansprakelijkheid en sancties”) van de AVG bevat de artikelen 77 tot en met 84.

• 13.

  Artikel 77 AVG heeft als opschrift „Recht om een klacht in te dienen bij een toezichthoudende autoriteit”) en artikel 78 AVG „Recht om een doeltreffende voorziening in rechte in te stellen tegen een toezichthoudende autoriteit”.

• 14.

  Artikel 79 („Recht om een doeltreffende voorziening in rechte in te stellen tegen een verwerkingsverantwoordelijke of een verwerker”) van die verordening bepaalt in lid 1:

  „Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 een klacht in te dienen bij een toezichthoudende autoriteit, heeft elke betrokkene het recht een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan deze verordening voldoet.”

• 15.

  In artikel 82 („Recht op schadevergoeding en aansprakelijkheid”) AVG is bepaald:

  „1.      Eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, heeft het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.

  [...]

  3.      Een verwerkingsverantwoordelijke of verwerker wordt van aansprakelijkheid op grond van lid 2 vrijgesteld indien hij bewijst dat hij op geen enkele wijze verantwoordelijk is voor het schadeveroorzakende feit.

  [...]”

• 16.

  Artikel 83 („Algemene voorwaarden voor het opleggen van administratieve geldboeten”) van die verordening bepaalt in lid 2:

  „[...] Bij het besluit over de vraag of een administratieve geldboete wordt opgelegd en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met het volgende:

  a)      de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;

  b)      de opzettelijke of nalatige aard van de inbreuk;

  c)      de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;

  [...]

  k)      elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien.”

• 17.

  Artikel 84 („Sancties”) van die verordening bepaalt in lid 1:

  „De lidstaten stellen de regels inzake andere sancties vast die van toepassing zijn op inbreuken op deze verordening, in het bijzonder op inbreuken die niet aan administratieve geldboeten onderworpen zijn overeenkomstig artikel 83, en treffen alle nodige maatregelen om ervoor te zorgen dat zij worden toegepast. Die sancties zijn doeltreffend, evenredig en afschrikkend.”

 Duits recht

• 18.

  Artikel 2, lid 1, van het Grundgesetz für die Bundesrepublik Deutschland (grondwet van de Bondsrepubliek Duitsland) van 23 mei 1949 (BGBl. 1949 I, blz. 1), in de versie die van toepassing is op het hoofdgeding, luidt als volgt:

  „Eenieder heeft recht op vrije ontplooiing van zijn persoonlijkheid, mits hij daarbij geen afbreuk doet aan de rechten van derden, de constitutionele orde of de goede zeden.”

• 19.

  In § 253 („Immateriële schade”) van het Bürgerliche Gesetzbuch (burgerlijk wetboek), in de versie die van toepassing is op het hoofdgeding (hierna: „BGB”), is bepaald:

  „(1)      Voor andere schade dan vermogensschade kan alleen in de bij wet bepaalde gevallen schadevergoeding in geld worden gevorderd.

  (2)      Indien schadevergoeding verschuldigd is wegens lichamelijk letsel of aantasting van de gezondheid, de vrijheid of de seksuele zelfbeschikking, kan ook voor andere schade dan vermogensschade een billijke vergoeding in geld worden gevorderd.”

• 20.

  § 823 („Verplichting tot schadevergoeding”) BGB luidt als volgt:

  „(1)      Hij die opzettelijk of door nalatigheid wederrechtelijk inbreuk maakt op het leven, het lichaam, de gezondheid, de vrijheid, de eigendom of enig ander recht van een ander, is ten opzichte van die ander gehouden tot vergoeding van de daaruit voortvloeiende schade.

  (2)      Dezelfde verplichting rust op degene die in strijd handelt met een wet die strekt tot bescherming van een andere persoon. Indien volgens de inhoud van de wet een schending van de wet ook zonder schuld mogelijk is, ontstaat de verplichting tot schadevergoeding alleen in het geval van schuld.”

• 21.

  § 1004 BGB („Vordering tot staking en vorderingen dat wordt afgezien van verdere onrechtmatige handelingen”) bepaalt in lid 1:

  „Wanneer de eigendom op een andere wijze dan door onttrekking van het bezit of retentie wordt verstoord, kan de eigenaar van de inbreukmaker verlangen dat de betrokken handelingen worden gestaakt. Indien nieuwe inbreuken dienen te worden gevreesd, kan de eigenaar vorderen dat wordt afgezien van verdere onrechtmatige handelingen.”

• 22.

  Volgens de verwijzingsbeslissing is § 1004 BGB in het hoofdgeding naar analogie van toepassing bij schending van absolute rechten of bij schending van een wet ter bescherming van een andere persoon in de zin van respectievelijk § 823, leden 1 en 2, van dit wetboek.

 Hoofdgeding en prejudiciële vragen

• 23.

  Verzoeker in het hoofdgeding heeft via een professionele socialenetwerksite gesolliciteerd naar een baan bij Quirin Privatbank, een vennootschap naar Duits recht. Vervolgens heeft een werkneemster van deze vennootschap de elektronische berichtendienst van dat netwerk gebruikt om aan een derde, die niet bij die aanwervingsprocedure betrokken was, een bericht te sturen dat uitsluitend bestemd was voor verzoeker in het hoofdgeding en waarin zij hem in kennis heeft gesteld van de afwijzing van zijn looneisen en hem een alternatieve bezoldiging heeft voorgesteld (hierna: „betrokken bericht”). Deze derde, die verzoeker in het hoofdgeding kende omdat hij vroeger met hem had samengewerkt, heeft hem dit bericht doorgestuurd en hem gevraagd of hij op zoek was naar een baan.

• 24.

  Verzoeker in het hoofdgeding heeft bij het Landgericht Darmstadt (rechter in eerste aanleg Darmstadt, Duitsland) een vordering ingesteld die ertoe strekte dat Quirin Privatbank, ten eerste, wordt gelast om af te zien van elke verwerking van hem betreffende persoonsgegevens in verband met zijn sollicitatie waardoor de ongeoorloofde verstrekking van deze gegevens ten gevolge van de verzending van het betrokken bericht zou worden herhaald en, ten tweede, wordt veroordeeld om hem een vergoeding te betalen voor de immateriële schade die hij door die gebeurtenis heeft geleden. Hij heeft in essentie betoogd dat deze schade voortvloeide uit zijn bezorgdheid over het feit dat ten minste één derde die hem kende en werkzaam was in dezelfde beroepssector in staat was geweest om deze vertrouwelijke gegevens aan voormalige of potentiële werkgevers door te geven, een voordeel te genieten ten opzichte van hem in een mogelijke situatie van concurrentie bij een aanwervingsprocedure en de vernedering van verzoeker in het hoofdgeding te zien toen zijn loononderhandelingen waren mislukt.

• 25.

  Bij vonnis van 26 mei 2020 heeft de rechter in eerste aanleg Quirin Privatbank gelast om af te zien van de in de vordering genoemde gedragingen en veroordeeld om verzoeker in het hoofdgeding een schadevergoeding van 1 000 EUR, vermeerderd met rente, te betalen. Quirin Privatbank heeft tegen dit vonnis hoger beroep ingesteld.

• 26.

  Bij arrest van 2 maart 2022 heeft het Oberlandesgericht Frankfurt (rechter in tweede aanleg Frankfurt, Duitsland) dat vonnis gedeeltelijk vernietigd. Deze rechter was van oordeel dat verzoeker in het hoofdgeding krachtens artikel 17, lid 1, AVG het recht had om te eisen dat Quirin Privatbank in de toekomst afziet van de verwerking van zijn persoonsgegevens in een vorm die vergelijkbaar is met die van het betrokken bericht, en dat er in dit verband een gevaar voor recidive bestond. Daarentegen heeft hij de schadevordering krachtens artikel 82 van die verordening afgewezen op grond dat de regels inzake de bescherming van persoonsgegevens weliswaar waren geschonden door de doorgifte van dergelijke gegevens aan een niet-betrokken derde, maar dat verzoeker in het hoofdgeding geen bewijs had geleverd van enige specifieke schade en dat, zelfs indien er sprake was van een vernedering, deze niet als immateriële schade kon worden gekwalificeerd.

• 27.

  Verzoeker in het hoofdgeding en Quirin Privatbank hebben tegen dat arrest elk beroep in Revision ingesteld bij het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland), de verwijzende rechter. Voor deze rechter handhaaft verzoeker in het hoofdgeding zijn oorspronkelijke vorderingen, terwijl Quirin Privatbank verzoekt om volledige afwijzing ervan.

• 28.

  De verwijzende rechter is van oordeel dat de door verzoeker in het hoofdgeding betwiste bewerkingen binnen het toepassingsgebied van de AVG vallen. Hij wijst erop dat deze bewerkingen een „verwerking” van „persoonsgegevens” van de „betrokkene” vormen en dat Quirin Privatbank de hoedanigheid van „verwerkingsverantwoordelijke” in de zin van artikel 4, punten 1, 2 en 7, van deze verordening heeft. Volgens deze rechter staat vast dat die bewerkingen, die de vorm hebben aangenomen van een ongeoorloofde doorgifte van dergelijke gegevens aan een „derde” in de zin van artikel 4, punt 10, AVG, bepalingen van deze verordening hebben geschonden en onrechtmatig zijn in de zin van artikel 6, lid 1, AVG, met name omdat verzoeker in het hoofdgeding daar niet mee had ingestemd.

• 29.

  In de eerste plaats wenst deze rechter te vernemen of de AVG een persoon wiens persoonsgegevens onrechtmatig zijn verwerkt, het recht verleent om van de verwerkingsverantwoordelijke te eisen dat hij die verwerking niet herhaalt, ook wanneer deze persoon niet om wissing van zijn gegevens verzoekt. Gelet op de nationale rechtspraak en de discussie in de rechtsliteratuur hierover wenst de verwijzende rechter te vernemen of dit recht, waarvan hij preciseert dat het louter preventief wordt uitgeoefend, kan voortvloeien uit artikel 17 van deze verordening, dat betrekking heeft op het recht op gegevenswissing, artikel 18, betreffende het recht op beperking van de verwerking, artikel 79 van die verordening, betreffende het recht om een doeltreffende voorziening in rechte in te stellen tegen de verwerkingsverantwoordelijke of de verwerker, of enige andere bepaling van die verordening.

• 30.

  In de tweede plaats, indien deze vraag bevestigend wordt beantwoord, wil de verwijzende rechter – gelet op zijn eigen rechtspraak die is gebaseerd op artikel 2 van de grondwet van de Bondsrepubliek Duitsland en op de toepassing van § 823 juncto § 1004 BGB – ten eerste bepalen of een dergelijk recht om van de verwerkingsverantwoordelijke te eisen dat hij afziet van een nieuwe inbreuk op de AVG afhankelijk is van het bestaan van een gevaar voor recidive en, ten tweede, of dat gevaar in voorkomend geval moet worden vermoed gelet op de oorspronkelijke inbreuk.

• 31.

  In de derde plaats, indien de twee onderdelen van zijn eerste vraag ontkennend worden beantwoord, wenst deze rechter te vernemen of uit artikel 79 AVG juncto artikel 84 AVG, betreffende respectievelijk het recht op een doeltreffende voorziening in rechte tegen de verwerkingsverantwoordelijke en de sancties in geval van inbreuk op deze verordening, volgt dat een rechterlijke instantie van een lidstaat de verwerkingsverantwoordelijke op grond van nationale bepalingen mag gelasten dat hij afziet van dergelijk gedrag, waarbij tegelijkertijd de betrokkene de in de artikelen 17, 18 en 82 van die verordening bedoelde rechten worden toegekend.

• 32.

  In de vierde plaats vraagt de verwijzende rechter welke voorwaarden zijn verbonden aan het recht op schadevergoeding krachtens artikel 82, lid 1, AVG, gelezen in het licht van de overwegingen 75 en 85 ervan. Meer bepaald vraagt hij zich af welke elementen relevant zijn voor de kwalificatie als „immateriële schade” in de zin van dat artikel 82, lid 1, wanneer de betrokkene zich uitsluitend beroept op negatieve gevoelens, die volgens deze rechter behoren tot de algemene risico’s van het dagelijks leven.

• 33.

  In de vijfde plaats vraagt die rechter zich af of de mate van schuld van de verwerkingsverantwoordelijke in aanmerking moet worden genomen bij de beoordeling van de vergoeding van immateriële schade die verschuldigd is op grond van artikel 82, lid 1, AVG. Hij wijst erop dat naar Duits recht bij de financiële vergoeding van immateriële schade met name rekening moet worden gehouden met de mate van schuld van degene die de schade heeft veroorzaakt, aangezien overeenkomstig de rechtspraak betreffende § 253 BGB deze vergoeding zowel een compensatoire functie heeft wat de door de gelaedeerde geleden schade betreft als een functie van genoegdoening, verschuldigd aan de gelaedeerde door de persoon die de schade heeft veroorzaakt.

• 34.

  In de zesde plaats wenst de verwijzende rechter te vernemen of, indien een van de twee onderdelen van zijn eerste vraag of de derde vraag bevestigend wordt beantwoord, het recht van een betrokkene om te eisen dat de verwerkingsverantwoordelijke afziet van een nieuwe inbreuk op de AVG, een relevant criterium is om de vergoeding van immateriële schade op grond van artikel 82, lid 1, van deze verordening te beperken of zelfs uit te sluiten, zoals naar Duits recht mogelijk is.

• 35.

  Tegen deze achtergrond heeft het Bundesgerichtshof de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vragen:

  „1)      a)      Moet artikel 17 AVG aldus worden uitgelegd dat de betrokkene wiens persoonsgegevens door de verwerkingsverantwoordelijke door middel van doorgifte onrechtmatig zijn verstrekt, het recht heeft om tegen de verwerkingsverantwoordelijke een vordering tot staking in te stellen ter voorkoming van verdere onrechtmatige doorgiften van die gegevens, wanneer hij van de verwerkingsverantwoordelijke niet verlangt dat deze gegevens worden gewist?

  b)      Kan een dergelijk recht op een vordering tot staking (ook) voortvloeien uit artikel 18 AVG of een andere bepaling van de AVG?

  2)      Indien [vraag 1, onder a) en/of b)] bevestigend wordt beantwoord:

  a)      Kan een vordering tot staking op grond van het Unierecht alleen worden ingesteld als moet worden gevreesd dat in de toekomst nieuwe inbreuken op de uit de AVG voortvloeiende rechten van de betrokkene zullen worden gemaakt (gevaar voor recidive)?

  b)      Wordt het bestaan van het gevaar voor recidive in voorkomend geval vermoed op basis van een eerdere inbreuk op de AVG?

  3)      Indien [vraag 1, onder a) en b)] ontkennend wordt beantwoord:

  Moet artikel 84 juncto artikel 79 AVG aldus worden uitgelegd dat de nationale rechter aan de betrokkene wiens persoonsgegevens door de verwerkingsverantwoordelijke door middel van doorgifte onrechtmatig zijn verstrekt, naast de vergoeding van materiële of immateriële schade uit hoofde van artikel 82 AVG en de uit de artikelen 17 en 18 AVG voortvloeiende rechten, een recht kan toekennen om van de verwerkingsverantwoordelijke te verlangen dat hij de onrechtmatige doorgifte van die gegevens staakt overeenkomstig de bepalingen van nationaal recht?

  4)      Moet artikel 82, lid 1, AVG aldus worden uitgelegd dat louter negatieve gevoelens, zoals ergernis, ongenoegen, ontevredenheid, bezorgdheid en angst, die op zichzelf deel uitmaken van het algemene levensrisico en vaak dagelijks worden ervaren, voldoende zijn voor het aannemen van immateriële schade in de zin van deze bepaling? Of is voor het aannemen van schade een nadeel voor de betrokken natuurlijke persoon vereist dat verder gaat dan deze gevoelens?

  5)      Moet artikel 82, lid 1, AVG aldus worden uitgelegd dat de mate van schuld van de verwerkingsverantwoordelijke of de verwerker respectievelijk zijn werknemers een relevant criterium is bij de berekening van de hoogte van de te vergoeden immateriële schade?

  6)      Indien [vraag 1, onder a) of b), of vraag 3] bevestigend wordt beantwoord:

  Moet artikel 82, lid 1, AVG aldus worden uitgelegd dat bij de berekening van het bedrag van de te vergoeden immateriële schade ter verlaging van de schadevergoeding rekening kan worden gehouden met het feit dat de betrokkene naast het recht op schadevergoeding ook het recht heeft om staking te vorderen?”

 Eerste tot en met derde vraag

• 36.

  Met zijn eerste tot en met derde vraag, die samen moeten worden onderzocht, wenst de verwijzende rechter in essentie te vernemen of de bepalingen van de AVG aldus moeten worden uitgelegd dat zij ten gunste van de betrokkene wiens persoonsgegevens onrechtmatig zijn verwerkt, in het geval deze niet om gegevenswissing verzoekt, voorzien in een rechtsmiddel waarmee de betrokkene preventief kan verkrijgen dat de verwerkingsverantwoordelijke wordt gelast in de toekomst van verdere onrechtmatige verwerking af te zien en, indien die vraag ontkennend worden beantwoord, of deze bepalingen de lidstaten beletten om in hun respectieve rechtsorden in een dergelijk rechtsmiddel te voorzien.

• 37.

  Vooraf moet eraan worden herinnerd dat voor de uitlegging van een Unierechtelijke bepaling niet alleen rekening moet worden gehouden met de bewoordingen van de bepaling, maar ook met de context ervan en met de doelstellingen die worden nagestreefd met de regeling waarvan zij deel uitmaakt (arrest van 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punt 52 en aldaar aangehaalde rechtspraak).

• 38.

  In dit verband moet in de eerste plaats worden opgemerkt dat de AVG is gebaseerd op het bestaan van een recht van iedere natuurlijke persoon op bescherming met betrekking tot de verwerking van hem betreffende persoonsgegevens. Deze bescherming vormt een grondrecht dat is neergelegd in artikel 8, lid 1, van het Handvest, waarnaar in overweging 1 van deze verordening wordt verwezen. De doelstelling om de doeltreffendheid van dit grondrecht te waarborgen door in alle lidstaten een hoog en gelijkwaardig niveau van bescherming te waarborgen, ligt aan de basis van de toepassing van deze verordening, zoals blijkt uit artikel 1 en overweging 10 ervan [zie in die zin arresten van 5 oktober 2023, Ministerstvo zdravotnictví (Mobiele applicatie COVID-19), C‑659/22, EU:C:2023:745, punt 28; 4 oktober 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punt 28, en 3 april 2025, Ministerstvo zdravotnictví (Gegevens betreffende de vertegenwoordiger van een rechtspersoon), C‑710/23, EU:C:2025:231, punt 29].

• 39.

  Volgens vaste rechtspraak van het Hof is het bij iedere verwerking van persoonsgegevens vereist dat de op de verwerking van dergelijke gegevens toepasselijke beginselen en de rechten van de „betrokkene” in de zin van artikel 4, punt 1, AVG, neergelegd in respectievelijk hoofdstuk II en hoofdstuk III van deze verordening, worden geëerbiedigd. In het bijzonder moet de verwerking in overeenstemming zijn met de in artikel 5 van die verordening neergelegde beginselen inzake verwerking van persoonsgegevens en voldoen aan de in artikel 6 van die verordening genoemde voorwaarden voor de rechtmatigheid van de verwerking [zie in die zin arresten van 19 december 2024, K GmbH (Verwerking van persoonsgegevens van werknemers), C‑65/23, EU:C:2024:1051, punt 46, en 3 april 2025, Ministerstvo zdravotnictví (Gegevens betreffende de vertegenwoordiger van een rechtspersoon), C‑710/23, EU:C:2025:231, punt 33].

• 40.

  Zoals de advocaat-generaal in de punten 32, 34 en 38 van zijn conclusie in essentie heeft opgemerkt, kondigt artikel 8 van het Handvest in lid 1 het recht op bescherming van persoonsgegevens af, maar vereist het in lid 2 ook dat deze gegevens worden verwerkt met inachtneming van bepaalde voorwaarden, waarvan de rechtmatigheid van de betrokken verwerking afhangt. Op dezelfde manier staan tegenover de in hoofdstuk II van de AVG neergelegde verplichtingen, die op de verwerkingsverantwoordelijke rusten, specifieke rechten waarin deze verordening voorziet en die aan de betrokkenen worden toegekend. Laatstgenoemden hebben dus recht op een rechtmatige verwerking van hun persoonsgegevens, dat voortvloeit uit de algemene verplichting die op deze verantwoordelijke rust om dergelijke gegevens niet te verwerken op een wijze die niet in overeenstemming is met de vereisten van die verordening.

• 41.

  In de tweede plaats heeft het Hof bij herhaling geoordeeld dat het Unierecht, met inbegrip van de bepalingen van het Handvest, de lidstaten er niet toe verplicht om andere rechtsmiddelen in te voeren dan die welke in het nationale recht zijn vastgesteld, tenzij uit de opzet van de betrokken nationale rechtsorde blijkt dat er geen rechtsgang is waarmee, al was het maar incidenteel, de eerbiediging van de rechten die de justitiabelen aan het Unierecht ontlenen, kan worden verzekerd (arrest van 8 mei 2025, Barało, C‑530/23, EU:C:2025:322, punt 99 en aldaar aangehaalde rechtspraak).

• 42.

  In casu moet allereerst worden benadrukt dat de in het hoofdgeding aan de orde zijnde situatie geen betrekking heeft op de mogelijkheid voor een nationale rechter om voorlopige maatregelen vast te stellen, maar op de eventuele mogelijkheid voor de betrokkene om door middel van een preventieve rechtsvordering een bevel ten gronde te verkrijgen dat de verwerkingsverantwoordelijke verbiedt opnieuw inbreuk op die rechten te maken.

• 43.

  In dit verband moet worden opgemerkt dat de AVG geen bepalingen bevat die de betrokkene uitdrukkelijk of stilzwijgend het recht verlenen, zoals de verwijzende rechter overweegt, om preventief met een rechtsvordering te verkrijgen dat de verwerkingsverantwoordelijke wordt verplicht om in de toekomst af te zien van verdere inbreuken op de bepalingen van deze verordening, meer bepaald in de vorm van een herhaling van een onrechtmatige verwerking. Zoals de advocaat-generaal in de punten 54 tot en met 69 van zijn conclusie heeft opgemerkt, kan een dergelijk recht met name noch uit artikel 17 noch uit artikel 18 van die verordening worden afgeleid.

• 44.

  Wat hoofdstuk VIII van de AVG betreft, moet in herinnering worden gebracht dat dit hoofdstuk met name de rechtsmiddelen regelt waarmee de rechten van de betrokkene kunnen worden beschermd wanneer zijn persoonsgegevens beweerdelijk in strijd met de bepalingen van de verordening zijn verwerkt. Bescherming van deze rechten kan in het bijzonder rechtstreeks door de betrokkene worden gevorderd overeenkomstig de artikelen 77 tot en met 79 van die verordening, die voorzien in verschillende rechtsmiddelen, waarvan deze betrokkene naast elkaar en onafhankelijk van elkaar gebruik kan maken (zie in die zin arresten van 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punt 47 en aldaar aangehaalde rechtspraak, en 30 april 2025, Inspektorat kam Visshia sadeben savet, C‑313/23, C‑316/23 en C‑332/23, EU:C:2025:303, punt 128 en aldaar aangehaalde rechtspraak).

• 45.

  Uit de bewoordingen van de bepalingen van hoofdstuk VIII van de AVG blijkt dat geen van deze bepalingen de lidstaten verplicht te voorzien in een preventieve rechtsvordering als beschreven in punt 42 van het onderhavige arrest. In het bijzonder bepaalt de tekst van artikel 79, lid 1, van deze verordening enkel dat, onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, elke betrokkene het recht heeft om een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan die verordening voldoet. De bewoordingen van deze bepaling verplichten de lidstaten niet om te voorzien in een specifiek rechtsmiddel waarmee bij wijze van een preventieve rechtsvordering een bevel om af te zien van verdere onrechtmatige verwerking kan worden verkregen als hetwelk door de verwijzende rechter wordt overwogen.

• 46.

  Gelet op de bewoordingen van de bepalingen van hoofdstuk VIII van de AVG en met name op het feit dat in artikel 79, lid 1, AVG het recht van elke betrokkene erkend wordt om een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan die verordening voldoet, „onverminderd” andere mogelijkheden van administratief of buitengerechtelijk beroep, moet evenwel worden geoordeeld dat de lidstaten niet worden belet te voorzien in een dergelijke preventieve vordering die ertoe strekt dat de verwerkingsverantwoordelijke wordt gelast om af te zien van verdere inbreuken op deze rechten (zie in die zin arrest van 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punt 53).

• 47.

  In dit verband moet in herinnering worden gebracht dat de AVG weliswaar in beginsel beoogt om de nationale regelgevingen inzake de bescherming van persoonsgegevens volledig te harmoniseren, maar dit niet afdoet aan het feit dat verschillende bepalingen van deze verordening de lidstaten expliciet de mogelijkheid bieden om aanvullende – strengere of afwijkende – nationale regels vast te stellen en hun een beoordelingsmarge laten met betrekking tot de wijze waarop deze bepalingen kunnen worden toegepast („open clausules”) (arrest van 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punt 57 en aldaar aangehaalde rechtspraak).

• 48.

  Het is juist dat de bepalingen van hoofdstuk VIII van de AVG niet specifiek voorzien in een dergelijke open clausule die de lidstaten uitdrukkelijk toestaat om het voor de betrokkene die wenst te verhinderen dat de verwerkingsverantwoordelijke inbreuk maakt op materiële bepalingen van deze verordening, mogelijk te maken een vordering in te stellen teneinde te verkrijgen dat de verwerkingsverantwoordelijke wordt gelast om af te zien van dergelijke handelingen. De Uniewetgever heeft echter niet willen overgaan tot een volledige harmonisatie van de rechtsmiddelen die openstaan wanneer er sprake is van inbreuk op de bepalingen van die verordening, en heeft met name de mogelijkheid van een dergelijk rechtsmiddel niet uitgesloten (zie in die zin arrest van 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punten 59 en 60).

• 49.

  Deze uitlegging wordt bevestigd door de doelstellingen van de AVG. Deze verordening heeft, zoals met name staat te lezen in overweging 10, immers tot doel een consistent en hoog niveau van bescherming van natuurlijke personen in verband met de verwerking van hen betreffende persoonsgegevens te bieden. Bovendien staat in het bijzonder in overweging 11 van deze verordening te lezen dat doeltreffende bescherming van deze gegevens de versterking vereist van de rechten van betrokkenen en van de verplichtingen van degenen die persoonsgegevens verwerken en van degenen die over die verwerking beslissen (zie in die zin arrest van 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punt 61).

• 50.

  De mogelijkheid voor de betrokkene om een rechtsvordering in te stellen die ertoe strekt dat een verwerkingsverantwoordelijke wordt gelast om in de toekomst af te zien van een inbreuk op de materiële bepalingen van de AVG, ondermijnt die doelstellingen niet, maar kan juist het nuttig effect van die bepalingen en dus het met die verordening nagestreefde hoge niveau van bescherming van de betrokkenen in verband met de verwerking van persoonsgegevens versterken. Bijgevolg verzetten de bepalingen van hoofdstuk VIII van de AVG zich niet tegen een nationale regeling die voorziet in een dergelijke mogelijkheid voor de betrokkene om een preventieve rechtsvordering in te stellen (zie in die zin arrest van 4 oktober 2024, Lindenapotheke, C‑21/23, EU:C:2024:846, punten 62 en 73).

• 51.

  Hieruit volgt dat de AVG zich er niet tegen verzet dat een rechtsvordering strekkende tot het verkrijgen van een bevel waarmee kan worden voorkomen dat eventueel inbreuk wordt gemaakt op de materiële bepalingen van deze verordening, met name door een mogelijke herhaling van een onrechtmatige verwerking, beschikbaar is op grond van bepalingen van het recht van een lidstaat die bij de aangezochte nationale rechterlijke instantie van toepassing zijn.

• 52.

  Gelet op een en ander moet op de eerste tot en met de derde vraag worden geantwoord dat de bepalingen van de AVG aldus moeten worden uitgelegd dat zij ten gunste van de betrokkene wiens persoonsgegevens onrechtmatig zijn verwerkt, in het geval deze niet om gegevenswissing verzoekt, niet voorzien in een rechtsmiddel waarmee de betrokkene preventief kan verkrijgen dat de verwerkingsverantwoordelijke wordt gelast in de toekomst van verdere onrechtmatige verwerking af te zien. Deze bepalingen beletten de lidstaten evenwel niet om in hun respectieve rechtsorden in een dergelijk rechtsmiddel te voorzien.

 Vierde vraag

• 53.

  Met zijn vierde vraag wenst de verwijzende rechter in essentie te vernemen of artikel 82, lid 1, AVG aldus moet worden uitgelegd dat het in deze bepaling gehanteerde begrip „immateriële schade” negatieve gevoelens omvat die de betrokkene heeft ondervonden als gevolg van een ongeoorloofde doorgifte van zijn persoonsgegevens aan een derde, zoals vrees of ergernis, en die zijn veroorzaakt door verlies van controle over die gegevens, mogelijk misbruik van die gegevens of reputatieschade.

• 54.

  In herinnering moet worden gebracht dat artikel 82, lid 1, AVG bepaalt dat eenieder die materiële of immateriële schade heeft geleden ten gevolge van een inbreuk op deze verordening, het recht heeft om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te ontvangen voor de geleden schade.

• 55.

  Het is vaste rechtspraak dat, aangezien artikel 82, lid 1, AVG niet verwijst naar het nationale recht van de lidstaten, het begrip „immateriële schade” in de zin van deze bepaling autonoom en uniform moet worden gedefinieerd binnen het Unierecht (zie in die zin arresten van 25 januari 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, punt 64, en 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 139 en aldaar aangehaalde rechtspraak).

• 56.

  In dit verband heeft het Hof bij herhaling geoordeeld, met name in het licht van de overwegingen 75, 85 en 146 AVG, dat de loutere schending van die verordening niet volstaat voor de toekenning van een recht op schadevergoeding op grond van artikel 82, lid 1. Het bestaan van „geleden” materiële of immateriële „schade”, het bestaan van een schending van de bepalingen van die verordening en een causaal verband tussen die schade en die schending zijn de drie noodzakelijke en voldoende cumulatieve voorwaarden voor dat recht op vergoeding. De betrokkene die krachtens dit artikel 82, lid 1, verzoekt om vergoeding van immateriële schade, moet dus niet alleen aantonen dat die verordening is geschonden, maar ook dat hij door die schending daadwerkelijk dergelijke schade heeft geleden [zie in die zin arresten van 4 mei 2023, Österreichische Post (Immateriële schade ten gevolge van de verwerking van persoonsgegevens), C‑300/21, EU:C:2023:370, punten 32, 33, 37 en 47; 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punten 140‑142, en 4 oktober 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punten 24 en 25].

• 57.

  In casu zet de verwijzende rechter uiteen dat verzoeker in het hoofdgeding met betrekking tot de immateriële schade die hij stelt te hebben geleden als gevolg van de betrokken inbreuk op de AVG, zich in essentie beroept op „de vrees voor doorgifte van gegevens aan derden die in dezelfde sector werkzaam zijn, het feit dat een persoon kennis heeft gekregen van informatie ten aanzien waarvan in beginsel discretie is vereist [alsmede] de vernedering in verband met de afwijzing van zijn looneisen en het feit dat derden daarvan kennis hebben gekregen”. Deze rechter wenst te vernemen of „negatieve gevoelens, zoals ergernis, ongenoegen, ontevredenheid, bezorgdheid en angst”, die hij kwalificeert als „algemene levensrisico’s”, volstaan om het bestaan van „immateriële schade” in de zin van artikel 82 van deze verordening aan te tonen, dan wel of de betrokkene schade moet hebben geleden die verder gaat dan die gevoelens.

• 58.

  In dit verband blijkt in de eerste plaats uit de rechtspraak van het Hof dat artikel 82, lid 1, AVG zich verzet tegen een nationale regel of praktijk op grond waarvan „immateriële schade” in de zin van die bepaling slechts kan worden vergoed indien de door de betrokkene geleden schade een bepaalde mate van ernst bereikt. Die bepaling vereist niet dat de door de betrokkene gestelde immateriële schade een de-minimisdrempel bereikt opdat die schade kan worden vergoed [zie in die zin arresten van 4 mei 2023, Österreichische Post (Immateriële schade ten gevolge van de verwerking van persoonsgegevens), C‑300/21, EU:C:2023:370, punt 51, en 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punten 147 en 149].

• 59.

  In de tweede plaats, zoals de Europese Commissie in haar schriftelijke opmerkingen heeft aangevoerd, worden situaties als die welke in het hoofdgeding zijn opgeworpen, die betrekking hebben op „reputatieschade” als gevolg van een inbreuk op persoonsgegevens of „verlies van controle” over die gegevens, uitdrukkelijk vermeld onder de voorbeelden van mogelijke schade die worden opgesomd in de overwegingen 75 en 85 AVG.

• 60.

  In het bijzonder heeft het Hof benadrukt dat uit de in overweging 85, eerste volzin, AVG opgenomen illustratieve lijst van „schade” die betrokkenen kunnen lijden, blijkt dat de Uniewetgever met name het enkele „verlies van controle” over hun eigen persoonsgegevens als gevolg van een inbreuk op deze verordening onder dit begrip schade heeft willen opnemen, ook al heeft er geen concreet misbruik van de betrokken gegevens plaatsgevonden. Een dergelijk verlies van controle kan volstaan om „immateriële schade” in de zin van artikel 82, lid 1, van die verordening te veroorzaken, mits de betrokkene aantoont dat hij daadwerkelijk een dergelijke schade heeft geleden, hoe miniem ook, zonder dat dit begrip „immateriële schade” vereist dat ook wordt aangetoond dat tastbare negatieve gevolgen zijn ontstaan (zie in die zin arrest van 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punten 145, 150 en 156 en aldaar aangehaalde rechtspraak).

• 61.

  In de derde plaats heeft het Hof reeds geoordeeld dat de vrees van de betrokkene dat zijn persoonsgegevens in de toekomst zullen worden misbruikt als gevolg van een inbreuk op de AVG op zich „immateriële schade” in de zin van dat artikel 82, lid 1, van die verordening kan vormen, op voorwaarde dat deze vrees, met de negatieve gevolgen ervan, naar behoren wordt bewezen, hetgeen door de aangezochte nationale rechter moet worden nagegaan [zie in die zin arresten van 20 juni 2024, PS (Verkeerd adres), C‑590/22, EU:C:2024:536, punten 32, 35 en 36, en 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punten 143, 144 en 155 en aldaar aangehaalde rechtspraak].

• 62.

  Hoewel de door de verwijzende rechter genoemde gevoelens, in het bijzonder vrees of ergernis, overigens deel kunnen uitmaken van de algemene risico’s van het dagelijks leven, zoals deze rechter zelf opmerkt, kunnen dergelijke negatieve gevoelens dus „immateriële schade” in de zin van artikel 82, lid 1, AVG vormen, voor zover de betrokkene overeenkomstig het in punt 56 van het onderhavige arrest in herinnering gebrachte vereiste van een causaal verband aantoont dat hij dergelijke gevoelens, met de negatieve gevolgen ervan, juist ervaart vanwege de betrokken inbreuk op deze verordening, zoals een ongeoorloofde doorgifte van zijn persoonsgegevens aan een derde waardoor het risico van misbruik van die gegevens ontstaat, hetgeen de aangezochte nationale rechters dienen te beoordelen.

• 63.

  In de vierde en laatste plaats strookt deze uitlegging met de bewoordingen van artikel 82, lid 1, AVG, gelezen in het licht van de overwegingen 85 en 146 van deze verordening, die vragen om een ruime opvatting van het begrip „immateriële schade” in de zin van dat artikel 82, lid 1. Bovendien vindt zij steun in de doelstelling van die verordening, die blijkt uit artikel 1 en de overwegingen 1 en 10 en die erin bestaat een hoog niveau van bescherming van natuurlijke personen op het vlak van verwerking van persoonsgegevens te waarborgen (zie naar analogie arresten van 14 december 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, punten 19 en 20, en 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punten 144 en 146).

• 64.

  Gelet op een en ander moet op de vierde vraag worden geantwoord dat artikel 82, lid 1, AVG aldus moet worden uitgelegd dat het in deze bepaling gehanteerde begrip „immateriële schade” negatieve gevoelens omvat die de betrokkene heeft ondervonden als gevolg van een ongeoorloofde doorgifte van zijn persoonsgegevens aan een derde, zoals vrees of ergernis, en die zijn veroorzaakt door verlies van controle over die gegevens, mogelijk misbruik van die gegevens of reputatieschade, voor zover de betrokkene aantoont dat hij dergelijke gevoelens, met de negatieve gevolgen ervan, ervaart vanwege de betrokken inbreuk op deze verordening.

 Vijfde vraag

• 65.

  Met zijn vijfde vraag wenst de verwijzende rechter in essentie te vernemen of artikel 82, lid 1, AVG aldus moet worden uitgelegd dat het toestaat dat de mate van schuld van de verwerkingsverantwoordelijke in aanmerking wordt genomen bij de beoordeling van de krachtens dit artikel 82, lid 1, verschuldigde vergoeding voor immateriële schade.

• 66.

  In dit verband blijkt uit de rechtspraak van het Hof dat, aangezien de AVG geen bepalingen bevat die tot doel hebben regels vast te stellen voor de beoordeling van de schadevergoeding die op grond van het in artikel 82 van die verordening verankerde recht op schadevergoeding verschuldigd is, de nationale rechters daartoe de interne regels van elke lidstaat inzake de omvang van de financiële schadevergoeding moeten toepassen; daarbij geldt wel als voorwaarde dat de Unierechtelijke beginselen van gelijkwaardigheid en doeltreffendheid in acht worden genomen [zie in die zin arresten van 4 mei 2023, Österreichische Post (Immateriële schade ten gevolge van de verwerking van persoonsgegevens), C‑300/21, EU:C:2023:370, punten 54 en 59, en 4 oktober 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punt 32].

• 67.

  In casu vraagt de verwijzende rechter zich af of de mate van schuld van degene die de schade heeft veroorzaakt, een criterium dat in het Duitse recht wordt gehanteerd voor de beoordeling van de financiële vergoeding van immateriële schade, ook van toepassing kan zijn op de vergoeding van immateriële schade op grond van artikel 82 AVG.

• 68.

  Uit de arresten van het Hof, waarvan sommige zijn gewezen na de indiening van het onderhavige verzoek om een prejudiciële beslissing, volgt dat deze vijfde vraag ontkennend moet worden beantwoord.

• 69.

  Het Hof heeft immers geoordeeld dat, rekening houdend met de compensatoire functie van het in artikel 82 AVG neergelegde recht op schadevergoeding, de nationale rechters verplicht zijn om te zorgen voor een „volledige en daadwerkelijke” vergoeding van de geleden schade, zoals staat te lezen in overweging 146 van deze verordening, zonder dat een dergelijke vergoeding vereist dat er een punitieve schadevergoeding wordt opgelegd [zie in die zin arresten van 4 mei 2023, Österreichische Post (Immateriële schade ten gevolge van de verwerking van persoonsgegevens), C‑300/21, EU:C:2023:370, punten 57 en 58, en 4 oktober 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punt 34].

• 70.

  Anders dan artikel 83 AVG bepaalt voor administratieve geldboeten, waarvan de criteria niet mutatis mutandis van toepassing zijn in het kader van artikel 82 van deze verordening, vervult het recht op schadevergoeding waarin artikel 82, lid 1, voorziet, met name in geval van immateriële schade, een uitsluitend compensatoire functie, in die zin dat een op dat artikel 82 gebaseerde financiële schadevergoeding het mogelijk moet maken de concreet door de inbreuk op deze verordening geleden schade volledig te vergoeden, maar geen afschrikkende of punitieve functie (zie in die zin arresten van 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 153, en 4 oktober 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punten 39‑41).

• 71.

  Aldus geldt als voorwaarde voor de aansprakelijkheid van de verwerkingsverantwoordelijke uit hoofde van artikel 82 AVG dat er bij hem sprake is van schuld, hetgeen wordt vermoed, tenzij de verwerkingsverantwoordelijke bewijst dat het schadeveroorzakende feit hem op geen enkele wijze kan worden toegerekend, maar artikel 82 vereist niet dat de mate van schuld in aanmerking wordt genomen bij de vaststelling van het bedrag van de krachtens dat artikel toe te kennen vergoeding voor immateriële schade (arrest van 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 154).

• 72.

  Meer in het bijzonder staat de uitsluitend compensatoire functie van het recht op schadevergoeding als bedoeld in artikel 82, lid 1, AVG eraan in de weg dat bij de vergoeding van schade op grond van die bepaling rekening wordt gehouden met de ernst en de eventuele opzettelijke aard van de door de verwerkingsverantwoordelijke gemaakte inbreuk op die verordening. Hieruit volgt dat in het kader van deze bepaling geen rekening kan worden gehouden met de houding en beweegredenen van de verwerkingsverantwoordelijke om de betrokkene eventueel een vergoeding toe te kennen die lager is dan de schade die hij daadwerkelijk heeft geleden, noch wat het bedrag noch wat de vorm van die vergoeding betreft (zie in die zin arrest van 4 oktober 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punten 42‑45 en aldaar aangehaalde rechtspraak).

• 73.

  Gelet op een en ander moet op de vijfde vraag worden geantwoord dat artikel 82, lid 1, AVG aldus moet worden uitgelegd dat het zich ertegen verzet dat de mate van schuld van de verwerkingsverantwoordelijke in aanmerking wordt genomen bij de beoordeling van de krachtens dit artikel verschuldigde vergoeding voor immateriële schade.

 Zesde vraag

• 74.

  De zesde vraag wordt gesteld voor het geval dat het Hof hetzij een van de onderdelen van de eerste vraag, hetzij de derde vraag bevestigend beantwoordt, dat wil zeggen indien in essentie moet worden geoordeeld dat de AVG, rechtstreeks op grond van de bepalingen ervan of via een door deze verordening toegestane toepassing van nationale bepalingen, aan de betrokkene een recht verleent om te eisen dat de verwerkingsverantwoordelijke in de toekomst afziet van verdere inbreuken in verband met persoonsgegevens. Gelet op het gezamenlijke antwoord op de eerste tot en met de derde vraag, dat in punt 52 van het onderhavige arrest is gegeven, dient deze zesde vraag te worden beantwoord.

• 75.

  Ter verduidelijking van het voorwerp van deze laatste vraag merkt de verwijzende rechter op dat, naar Duits recht en volgens zijn eigen rechtspraak, het feit dat een persoon die immateriële schade heeft geleden heeft gevorderd of heeft verkregen dat de veroorzaker van die schade wordt gelast af te zien van verdere schadeveroorzakende handelingen, in aanmerking kan worden genomen om de financiële vergoeding van die schade te beperken of zelfs uit te sluiten. Hij wenst te vernemen of dit criterium voor de beoordeling van de schadevergoeding ook kan worden toegepast in het kader van de AVG, met name gelet op het Unierechtelijke doeltreffendheidsbeginsel, en zo ja, in welke mate.

• 76.

  Met zijn vraag wenst de verwijzende rechter dus in essentie te vernemen of artikel 82, lid 1, AVG aldus moet worden uitgelegd dat het feit dat de betrokkene krachtens het toepasselijke nationale recht een aan de verwerkingsverantwoordelijke tegenwerpbaar bevel om af te zien van herhaling van een inbreuk op deze verordening heeft verkregen, in aanmerking kan worden genomen, in die zin dat de omvang van de krachtens die bepaling verschuldigde financiële vergoeding van immateriële schade daardoor wordt beperkt of dat dit bevel zelfs in de plaats komt van die vergoeding.

• 77.

  In dit verband zij eraan herinnerd dat, zoals in punt 66 van het onderhavige arrest is vermeld, de AVG geen bepalingen bevat waarin de regels voor de beoordeling van de op grond van artikel 82 van deze verordening verschuldigde schadevergoeding worden vastgesteld, zodat de nationale rechters daartoe de interne regels van elke lidstaat inzake de omvang van de financiële schadevergoeding moeten toepassen, mits de Unierechtelijke beginselen van gelijkwaardigheid en doeltreffendheid in acht worden genomen.

• 78.

  In het bijzonder moet worden benadrukt dat de criteria voor de beoordeling van de vergoeding die verschuldigd is in het kader van vorderingen ter bescherming van de rechten die de justitiabelen aan artikel 82 AVG ontlenen, welke criteria binnen de rechtsorde van elke lidstaat worden vastgesteld, het mogelijk moeten maken een volledige en daadwerkelijke vergoeding te verzekeren van de schade die de betrokkene heeft geleden als gevolg van een inbreuk op deze verordening (zie in die zin arresten van 4 oktober 2024, Agentsia po vpisvaniyata, C‑200/23, EU:C:2024:827, punt 152, en 4 oktober 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punt 34 en aldaar aangehaalde rechtspraak).

• 79.

  Het Hof heeft reeds erkend dat, binnen de grenzen van het doeltreffendheidsbeginsel, bepaalde omstandigheden van invloed kunnen zijn op de beoordeling van de krachtens artikel 82 AVG verschuldigde schadevergoeding, met name om die vergoeding te beperken. Geoordeeld is reeds dat, wanneer de door de betrokkene geleden schade niet ernstig is, de nationale rechter een geringe schadevergoeding aan die persoon kan toekennen, mits het lage bedrag daarvan de schade volledig kan vergoeden, hetgeen de nationale rechter dient na te gaan. Evenzo kan het aanbieden van excuses een passende vergoeding voor immateriële schade vormen op grond van dat artikel 82, met name wanneer het onmogelijk is om de toestand te herstellen die vóór het ontstaan van die schade bestond, mits deze vorm van vergoeding, voor zover het nationale recht daarin voorziet, een volledige vergoeding van die schade mogelijk maakt (zie in die zin arrest van 4 oktober 2024, Patērētāju tiesību aizsardzības centrs, C‑507/23, EU:C:2024:854, punten 35‑37 en aldaar aangehaalde rechtspraak).

• 80.

  In casu strekt de gestelde vraag ertoe te bepalen of een nationale rechter binnen het toepassingsgebied van artikel 82 AVG de mogelijkheid heeft om het feit dat ten gunste van de betrokkene een bevel om af te zien van verdere onrechtmatige verwerking is opgelegd, in aanmerking te nemen om de schadevergoeding die aan deze persoon kan worden toegekend wegens immateriële schade te verminderen, zodat die rechter in de praktijk de vergoeding van die schade deels in financiële vorm en deels in de vorm van dat bevel, of zelfs uitsluitend in de vorm van dat bevel, zou kunnen gelasten.

• 81.

  Uit de in de punten 78 en 79 van het onderhavige arrest aangehaalde rechtspraak volgt dat een vorm van schadevergoeding waarin het toepasselijke nationale recht voorziet, slechts kan worden geacht in overeenstemming te zijn met de AVG voor zover bij deze vorm de Unierechtelijke beginselen van gelijkwaardigheid en doeltreffendheid in acht worden genomen, hetgeen met name veronderstelt dat zij een volledige en daadwerkelijke vergoeding van de door de betrokkene geleden schade waarborgt.

• 82.

  In het bijzonder kan een krachtens artikel 82 AVG verschuldigde vergoeding niet – geheel of gedeeltelijk – worden toegekend in de vorm van een bevel om af te zien van verdere onrechtmatige verwerking, omdat het in die bepaling bedoelde recht op schadevergoeding een uitsluitend compensatoire functie vervult, zoals in punt 70 van het onderhavige arrest in herinnering is gebracht, terwijl een dergelijk bevel dat is gericht aan de veroorzaker van de schade een louter preventief doel nastreeft. Zoals de advocaat-generaal in punt 86 van zijn conclusie in essentie heeft opgemerkt, beoogt een dergelijk bevel immers herhaling te voorkomen van gedragingen die schade hebben veroorzaakt, zodat er geen verdere schade ontstaat, maar het herstelt de reeds door de betrokkene geleden schade niet.

• 83.

  Gelet op een en ander moet op de zesde vraag worden geantwoord dat artikel 82, lid 1, AVG aldus moet worden uitgelegd dat het zich ertegen verzet dat het feit dat de betrokkene krachtens het toepasselijke nationale recht een aan de verwerkingsverantwoordelijke tegenwerpbaar bevel om af te zien van herhaling van een inbreuk op deze verordening heeft verkregen, in aanmerking wordt genomen, in die zin dat de omvang van de krachtens die bepaling verschuldigde financiële vergoeding van immateriële schade daardoor wordt beperkt of – a fortiori – dat dit bevel in de plaats komt van die vergoeding.

 Kosten

• 84.

  Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

  Het Hof (Vierde kamer) verklaart voor recht:

  1)      De bepalingen van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming)

  moeten aldus worden uitgelegd dat

  zij ten gunste van de betrokkene wiens persoonsgegevens onrechtmatig zijn verwerkt, in het geval deze niet om gegevenswissing verzoekt, niet voorzien in een rechtsmiddel waarmee de betrokkene preventief kan verkrijgen dat de verwerkingsverantwoordelijke wordt gelast in de toekomst van verdere onrechtmatige verwerking af te zien. Deze bepalingen beletten de lidstaten evenwel niet om in hun respectieve rechtsorden in een dergelijk rechtsmiddel te voorzien.

  2)      Artikel 82, lid 1, van verordening 2016/679

  moet aldus worden uitgelegd dat

  het in deze bepaling gehanteerde begrip „immateriële schade” negatieve gevoelens omvat die de betrokkene heeft ondervonden als gevolg van een ongeoorloofde doorgifte van zijn persoonsgegevens aan een derde, zoals vrees of ergernis, en die zijn veroorzaakt door verlies van controle over die gegevens, mogelijk misbruik van die gegevens of reputatieschade, voor zover de betrokkene aantoont dat hij dergelijke gevoelens, met de negatieve gevolgen ervan, ervaart vanwege de betrokken inbreuk op deze verordening.

  3)      Artikel 82, lid 1, van verordening 2016/679

  moet aldus worden uitgelegd dat

  het zich ertegen verzet dat de mate van schuld van de verwerkingsverantwoordelijke in aanmerking wordt genomen bij de beoordeling van de krachtens dit artikel verschuldigde vergoeding voor immateriële schade.

  4)      Artikel 82, lid 1, van verordening 2016/679

  moet aldus worden uitgelegd dat

  het zich ertegen verzet dat het feit dat de betrokkene krachtens het toepasselijke nationale recht een aan de verwerkingsverantwoordelijke tegenwerpbaar bevel om af te zien van herhaling van een inbreuk op deze verordening heeft verkregen, in aanmerking wordt genomen, in die zin dat de omvang van de krachtens die bepaling verschuldigde financiële vergoeding van immateriële schade daardoor wordt beperkt of – a fortiori – dat dit bevel in de plaats komt van die vergoeding.

  ondertekeningen

  *      Procestaal: Duits.