62023CJ0655_RES
Zaak C‑655/23
IP
tegen
Quirin Privatbank AG
(verzoek om een prejudiciële beslissing, ingediend door het Bundesgerichtshof)
Arrest van het Hof (Vierde kamer) van 4 september 2025
„Prejudiciële verwijzing – Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Verordening (EU) 2016/679 – Rechten van de betrokkene – Artikel 17 – Recht op gegevenswissing – Artikel 18 – Recht op beperking van de verwerking – Artikel 79 – Recht op een doeltreffende voorziening in rechte – Onrechtmatige verwerking van persoonsgegevens – Beroep dat ertoe strekt de verwerkingsverantwoordelijke te gelasten af te zien van onrechtmatige verwerkingen in de toekomst – Grondslag – Voorwaarden – Artikel 82, lid 1 – Recht op schadevergoeding – Begrip ‚immateriële schade’ – Beoordeling van de schadevergoeding – Mogelijke inaanmerkingneming van de mate van schuld van de verwerkingsverantwoordelijke – Mogelijke invloed van het verkrijgen van een ‚bevel om af te zien van verdere onrechtmatige verwerking’”
Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Rechtsmiddelen – Verplichting voor de lidstaten om te voorzien in een rechtsmiddel waarbij de verwerkingsverantwoordelijke wordt gelast om af te zien van verdere onrechtmatige verwerking – Geen – Nationale regeling die in de nationale rechtsorde voorziet in de mogelijkheid dat een dergelijk rechtsmiddel wordt ingesteld – Toelaatbaarheid
(Handvest van de grondrechten van de Europese Unie, art. 8, leden 1 en 2; verordening 2016/679 van het Europees Parlement en de Raad, overwegingen 1, 10 en 11, art. 1, art. 4, punt 1, art. 5, 6, 17, 18 en 77‑79)
(zie punten 38‑52, dictum 1)
Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Recht op schadevergoeding en aansprakelijkheid – Recht op vergoeding voor de geleden schade – Immateriële schade – Begrip – Negatieve gevoelens die de betrokkene heeft ondervonden als gevolg van een ongeoorloofde doorgifte van zijn persoonsgegevens aan een derde – Daaronder begrepen – Voorwaarden – Noodzaak om aan te tonen dat dergelijke gevoelens met de negatieve gevolgen ervan bestaan vanwege de inbreuk op deze verordening
(Verordening 2016/679 van het Europees Parlement en de Raad, overwegingen 1, 10, 75, 85 en 146, art. 1 en 82, lid 1)
(zie punten 55, 56, 58‑64, dictum 2)
Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Recht op schadevergoeding en aansprakelijkheid – Recht op vergoeding voor de geleden schade – Vaststelling van het bedrag en de vorm van de schadevergoeding – Nationale regeling die toestaat dat de mate van schuld van degene die de schade heeft veroorzaakt in aanmerking wordt genomen voor de beoordeling van de vergoeding voor immateriële schade – Ontoelaatbaarheid
(Verordening 2016/679 van het Europees Parlement en de Raad, overweging 146 en art. 82 en 83)
(zie punten 66, 67, 69‑73, dictum 3)
Bescherming van natuurlĳke personen in verband met de verwerking van persoonsgegevens – Verordening 2016/679 – Recht op schadevergoeding en aansprakelijkheid – Recht op vergoeding voor de geleden schade – Vaststelling van het bedrag en de vorm van de schadevergoeding – Inaanmerkingneming van een bevel om af te zien van herhaling van een inbreuk op deze verordening om de financiële vergoeding van immateriële schade te beperken of uit te sluiten – Ontoelaatbaarheid
(Verordening 2016/679 van het Europees Parlement en de Raad, art. 82)
(zie punten 77‑79, 81‑83, dictum 4)
Samenvatting
In antwoord op prejudiciële vragen van het Bundesgerichtshof (hoogste federale rechter in burgerlijke en strafzaken, Duitsland) geeft het Hof nadere toelichting over de reikwijdte van door verschillende bepalingen van de AVG (
1
) aan de betrokkene toegekende rechten wanneer zijn persoonsgegevens onrechtmatig zijn verwerkt.
IP heeft via een professionele socialenetwerksite gesolliciteerd naar een baan bij Quirin Privatbank, een vennootschap naar Duits recht. Vervolgens heeft een werkneemster van deze vennootschap de elektronische berichtendienst van dat netwerk gebruikt om aan een derde, die niet bij de aanwervingsprocedure betrokken was, een bericht te sturen dat uitsluitend bestemd was voor IP en waarin zij hem in kennis heeft gesteld van de afwijzing van zijn looneisen en hem een alternatieve bezoldiging heeft voorgesteld. Deze derde, die vroeger met IP had samengewerkt, heeft hem dit bericht doorgestuurd en hem gevraagd of hij op zoek was naar een baan.
IP heeft bij het Landgericht Darmstadt (rechter in eerste aanleg Darmstadt, Duitsland) een vordering ingesteld die ertoe strekte dat Quirin Privatbank, ten eerste, wordt gelast om af te zien van elke verwerking van persoonsgegevens in verband met zijn sollicitatie waardoor de ongeoorloofde verstrekking van deze gegevens zou worden herhaald en, ten tweede, wordt veroordeeld om hem een vergoeding te betalen voor de geleden immateriële schade. De rechter in eerste aanleg heeft deze vordering toegewezen.
Naar aanleiding van het hoger beroep dat Quirin Privatbank bij het Oberlandesgericht Frankfurt (rechter in tweede aanleg Frankfurt, Duitsland) heeft ingesteld, is dit vonnis gedeeltelijk vernietigd voor zover de schadevordering is afgewezen. Volgens deze rechter had IP namelijk geen bewijs geleverd dat er sprake was van enige specifieke schade en, zelfs indien er sprake was van een vernedering, kon die niet als immateriële schade worden gekwalificeerd.
IP en Quirin Privatbank hebben tegen dat arrest elk beroep in Revision ingesteld bij het Bundesgerichtshof, de verwijzende rechter.
Aangezien deze hoogste rechter twijfelde over de uitlegging van verschillende bepalingen van de AVG, heeft hij het Hof vragen gesteld over de reikwijdte van de rechtsmiddelen, de omvang van het recht op vergoeding van de gelede schade en de criteria voor de beoordeling van de te vergoeden immateriële schade.
Beoordeling door het Hof
In de eerste plaats dient het Hof zich uit te spreken over de vraag of de bepalingen van de AVG ten gunste van de betrokkene wiens persoonsgegevens onrechtmatig zijn verwerkt en die niet om gegevenswissing ervan verzoekt, voorzien in een rechtsmiddel waarmee de betrokkene preventief kan verkrijgen dat de verwerkingsverantwoordelijke wordt gelast in de toekomst van verdere onrechtmatige verwerking af te zien en, indien die vraag ontkennend wordt beantwoord, of deze bepalingen de lidstaten beletten om in hun respectieve rechtsorden in een dergelijk rechtsmiddel te voorzien.
Het Hof merkt in dit verband op dat de AVG geen bepalingen bevat die de betrokkene uitdrukkelijk of stilzwijgend het recht verlenen om preventief met een rechtsvordering te verkrijgen dat de verwerkingsverantwoordelijke wordt verplicht om in de toekomst af te zien van verdere inbreuken op de bepalingen van deze verordening, meer bepaald in de vorm van een herhaling van een onrechtmatige verwerking.
Bovendien stelt het Hof vast dat geen van de bepalingen van deze verordening die betrekking hebben op de rechtsmiddelen (
2
) de lidstaten verplicht te voorzien in een preventieve rechtsvordering. In het bijzonder verplicht artikel 79, lid 1, AVG, waarin het recht op een doeltreffende voorziening in rechte tegen de verwerkingsverantwoordelijke is vervat, de lidstaten niet om te voorzien in een specifiek rechtsmiddel waarmee bij wijze van een preventieve rechtsvordering een bevel om af te zien van verdere onrechtmatige verwerking kan worden verkregen.
Gelet op met name het feit dat in de AVG het recht van elke betrokkene erkend wordt om een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan die verordening voldoet, „onverminderd” andere mogelijkheden van administratief of buitengerechtelijk beroep, oordeelt het Hof echter dat de lidstaten niet worden belet te voorzien in een dergelijke preventieve vordering die ertoe strekt dat de verwerkingsverantwoordelijke wordt gelast om af te zien van verdere inbreuken op de door deze verordening aan de betrokkene toegekende rechten.
Het Hof benadrukt op dit punt dat verschillende bepalingen van de AVG de lidstaten expliciet de mogelijkheid bieden om aanvullende strengere of afwijkende nationale regels vast te stellen die hun een beoordelingsmarge laten met betrekking tot de wijze waarop deze bepalingen ten uitvoer kunnen worden gelegd („open clausules”). In deze context merkt het Hof op dat, hoewel de bepalingen van de AVG die betrekking hebben op de rechtsmiddelen niet specifiek voorzien in een dergelijke open clausule, de Uniewetgever niet heeft willen overgaan tot een volledige harmonisatie van de rechtsmiddelen die openstaan wanneer er sprake is van inbreuk op die verordening, en met name de mogelijkheid van een preventieve rechtsvordering niet heeft uitgesloten.
Het Hof voegt hieraan toe dat deze uitlegging wordt bevestigd door de doelstellingen van de AVG. De mogelijkheid voor de betrokkene om een rechtsvordering in te stellen die ertoe strekt dat een verwerkingsverantwoordelijke wordt gelast om in de toekomst af te zien van een inbreuk op de materiële bepalingen van de AVG, kan immers het nuttig effect ervan en dus het hoge niveau van bescherming van de betrokkenen in verband met de verwerking van persoonsgegevens versterken.
Het Hof leidt hieruit af dat de AVG zich er niet tegen verzet dat een rechtsvordering strekkende tot het verkrijgen van een bevel waarmee kan worden voorkomen dat eventueel inbreuk wordt gemaakt op de materiële bepalingen van deze verordening, met name door een mogelijke herhaling van een onrechtmatige verwerking, beschikbaar is op grond van bepalingen van het recht van een lidstaat die bij de aangezochte nationale rechterlijke instantie van toepassing zijn.
In de tweede plaats licht het Hof het begrip „immateriële schade” nader toe. Dit begrip betreft het recht van de betrokkene om op grond van de AVG (
3
), van de verwerkingsverantwoordelijke schadevergoeding te ontvangen voor de geleden schade.
In deze context brengt het Hof in herinnering dat artikel 82, lid 1, AVG betreffende het recht op schadevergoeding zich verzet tegen een nationale regel of praktijk op grond waarvan „immateriële schade” slechts kan worden vergoed indien de door de betrokkene geleden schade een bepaalde mate van ernst bereikt. Die bepaling vereist niet dat de door de betrokkene gestelde immateriële schade een de-minimisdrempel bereikt opdat die schade kan worden vergoed (
4
).
Overigens merkt het Hof op dat situaties als die welke in het hoofdgeding zijn opgeworpen, die betrekking hebben op „reputatieschade” als gevolg van een inbreuk op persoonsgegevens of „verlies van controle” over die gegevens, uitdrukkelijk worden vermeld onder de voorbeelden van mogelijke schade die worden opgesomd in de AVG (
5
).
Het Hof brengt ook in herinnering dat de vrees van de betrokkene dat zijn persoonsgegevens in de toekomst zullen worden misbruikt als gevolg van een inbreuk op de AVG op zich „immateriële schade” kan vormen, op voorwaarde dat deze vrees, met de negatieve gevolgen ervan, naar behoren wordt bewezen, hetgeen door de aangezochte nationale rechter moet worden nagegaan (
6
).
Aldus erkent het Hof dat hoewel de door de verwijzende rechter genoemde gevoelens, in het bijzonder vrees of ergernis, overigens deel kunnen uitmaken van de algemene risico’s van het dagelijks leven, dergelijke negatieve gevoelens „immateriële schade” in de zin van de AVG kunnen vormen, voor zover de betrokkene aantoont dat hij dergelijke gevoelens, met de negatieve gevolgen ervan, juist ervaart vanwege de betrokken inbreuk op deze verordening, zoals een ongeoorloofde doorgifte van zijn persoonsgegevens aan een derde waardoor het risico van misbruik van die gegevens ontstaat, hetgeen de aangezochte nationale rechters dienen te beoordelen.
Het Hof benadrukt dat deze uitlegging strookt met de bewoordingen van artikel 82, lid 1, AVG, gelezen in het licht van de overwegingen 85 en 146 van deze verordening, die vragen om een ruime opvatting van het begrip „immateriële schade”. Bovendien vindt zij steun in de doelstelling van die verordening, die erin bestaat een hoog niveau van bescherming van natuurlijke personen op het vlak van verwerking van persoonsgegevens te waarborgen.
In de derde plaats stelt het Hof vast dat artikel 82, lid 1, AVG betreffende het recht op schadevergoeding zich ertegen verzet dat de mate van schuld van de verwerkingsverantwoordelijke in aanmerking wordt genomen bij de beoordeling van de krachtens dit artikel verschuldigde vergoeding voor immateriële schade.
In dit verband brengt het Hof in herinnering dat, rekening houdend met de uitsluitend compensatoire functie van het recht op schadevergoeding, de nationale rechters verplicht zijn om te zorgen voor een „volledige en daadwerkelijke” vergoeding van de geleden schade, zonder dat een dergelijke vergoeding vereist dat er een punitieve schadevergoeding wordt opgelegd (
7
).
Het Hof preciseert dat deze uitsluitend compensatoire functie van het recht op schadevergoeding krachtens de AVG eraan in de weg staat dat bij de vergoeding van schade op grond van die verordening rekening wordt gehouden met de ernst en de eventuele opzettelijke aard van de door de verwerkingsverantwoordelijke gemaakte inbreuk op die verordening. Er kan dus geen rekening worden gehouden met de houding en beweegredenen van de verwerkingsverantwoordelijke om de betrokkene eventueel een vergoeding toe te kennen die lager is dan de schade die hij daadwerkelijk heeft geleden, noch wat het bedrag noch wat de vorm van die vergoeding betreft.
In de vierde en laatste plaats oordeelt het Hof dat artikel 82, lid 1, AVG zich ertegen verzet dat het feit dat de betrokkene krachtens het toepasselijke nationale recht een aan de verwerkingsverantwoordelijke tegenwerpbaar bevel om af te zien van herhaling van een inbreuk op deze verordening heeft verkregen, in aanmerking wordt genomen, in die zin dat de omvang van de krachtens die bepaling verschuldigde financiële vergoeding voor immateriële schade daardoor wordt beperkt of – a fortiori – dat dit bevel in de plaats komt van die vergoeding.
Het Hof herinnert eraan dat het reeds heeft erkend dat, binnen de grenzen van het doeltreffendheidsbeginsel, bepaalde omstandigheden van invloed kunnen zijn op de beoordeling van de krachtens artikel 82 AVG verschuldigde schadevergoeding, met name om die vergoeding te beperken. Een vorm van schadevergoeding waarin het toepasselijke nationale recht voorziet, kan evenwel slechts worden geacht in overeenstemming te zijn met de AVG voor zover zij een volledige en daadwerkelijke vergoeding van de door de betrokkene geleden schade waarborgt. In het bijzonder kan een krachtens artikel 82 AVG verschuldigde vergoeding niet – geheel of gedeeltelijk – worden toegekend in de vorm van een bevel om af te zien van verdere onrechtmatige verwerking, omdat het recht op schadevergoeding een uitsluitend compensatoire functie vervult, terwijl een dergelijk bevel dat is gericht aan de veroorzaker van de schade een louter preventief doel nastreeft.
(
1
)	Artikelen 17, 18, 79 en 82 van verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1, met rectificaties in PB 2018, L 127, blz. 2, en PB 2021, L 74, blz. 35; hierna: „AVG”).
(
2
)	Hoofdstuk VIII („Beroep, aansprakelijkheid en sancties”) van de AVG bevat met name de artikelen 77 tot en met 79.
(
3
)	Artikel 82, lid 1, AVG.
(
4
)	Zie in die zin arresten van 4 mei 2023, Österreichische Post (Immateriële schade ten gevolge van de verwerking van persoonsgegevens) (C‑300/21, EU:C:2023:370, punt 51), en 4 oktober 2024, Agentsia po vpisvaniyata (C‑200/23, EU:C:2024:827, punten 147 en 149).
(
5
)	Zie de overwegingen 75 en 85 AVG.
(
6
)	Zie in die zin arresten van 20 juni 2024, PS (Verkeerd adres) (C‑590/22, EU:C:2024:536, punten 32, 35 en 36), en 4 oktober 2024, Agentsia po vpisvaniyata (C 200/23, EU:C:2024:827, punten 143, 144 en 155 en aldaar aangehaalde rechtspraak).
(
7
)	Zie in die zin arresten van 4 mei 2023, Österreichische Post (Immateriële schade ten gevolge van de verwerking van persoonsgegevens) (C‑300/21, EU:C:2023:370, punten 57 en 58), en 4 oktober 2024, Patērētāju tiesību aizsardzības centrs (C 507/23, EU:C:2024:854, punt 34).