ECLI:NL:RBGEL:2025:1815 text/xml public 2025-06-30T12:00:09 2025-03-06 Raad voor de Rechtspraak nl Rechtbank Gelderland 2025-02-24 C/05/436643 / HA RK 24-81 Uitspraak Beschikking NL Civiel recht
Rechtspraak.nl JBP 2025/81 met annotatie van mr. D. Knibbeler, mr. S. Been
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RBGEL:2025:1815 text/html public 2025-03-07T16:23:45 2025-03-07 Raad voor de Rechtspraak nl ECLI:NL:RBGEL:2025:1815 Rechtbank Gelderland , 24-02-2025 / C/05/436643 / HA RK 24-81
Klant van een webshop (inmiddels offline), aan wie de bij de webshop bestelde goederen niet zijn geleverd, wil de identiteit van de handelaar achter de webshop achterhalen en verzoekt daartoe de rechtbank om de bij de transactie betrokken betaaldienstverlener (primair) op grond van artikel 15 lid 1 onder c AVG te bevelen inzage te geven in de bij haar bekende gegevens over de identiteit van de handelaar achter de webshop. Verzoek niet toewijsbaar op grond van de AVG, omdat niet is komen vast te staan dat de betaaldienstverlener persoonsgegevens van verzoeker heeft verstrekt aan de handelaar. Het verzoek wordt wel toegewezen op de subsidiaire grondslag, artikel 843a Rv (oud).
beschikking
RECHTBANK GELDERLAND
Team kanton en handelsrecht
Zittingsplaats Arnhem
zaaknummer / rekestnummer: C/05/436643 / HA RK 24-81
Beschikking van 24 februari 2025
in de zaak van
[verzoeker] ,
wonende te [woonplaats] ,
verzoeker,
hierna te noemen: [verzoeker] ,
gemachtigde: X. Koehoorn te Amstelveen,
tegen
de rechtspersoon naar vreemd recht
STRIPE TECHNOLOGY EUROPE, LIMITED ,
gevestigd te Dublin, Ierland,
verweerster,
hierna te noemen: Stripe,
advocaten: mr. R. van Saane en mr. K. Vonk te Amsterdam.
1 De procedure
1.1. Het verloop van de procedure blijkt uit:
het verzoekschrift van 16 mei 2024, met 5 bijlagen;
de oproepbrieven van 6 augustus 2024;
de akte overlegging producties van 24 oktober 2024 van de gemachtigde van [verzoeker] , met de bijlagen 6 tot en met 13;
het verweerschrift van 25 oktober 2024, met 5 producties;
de mondelinge behandeling van 4 november 2024, waar zijn verschenen:
[verzoeker] , bijgestaan door zijn gemachtigde;
namens Stripe: de heer [naam 1] , medewerker International Privacy Team, bijgestaan door de advocaten van Stripe;
de spreekaantekeningen van de gemachtigde van [verzoeker] ;
de pleitnota van de advocaten van Stripe.
1.2. Ten slotte is beschikking bepaald.
2 De feiten
2.1. Stripe is, op grond van een door de Centrale Bank van Ierland aan haar verleende vergunning, onder meer in Nederland actief als Elektronischgeldinstelling (EGI) / betaaldienstverlener. Als zodanig faciliteert zij een technische infrastructuur voor het verwerken van elektronische betalingen, waarmee zij bedrijven in staat stelt om betalingen van klanten te ontvangen via verschillende betaalmethoden.
2.2. Op 5 februari 2024 heeft [verzoeker] als consument in de webshop vanzetten-amsterdam.com (hierna: de webshop) goederen ter waarde van € 53,87 besteld. De webshop is gebouwd met software van Shopify International Limited (hierna: Shopify), waarmee kan worden gekozen uit verschillende betaalmethoden. Een aantal van die betaalmethoden wordt ondersteund door Stripe. In de webshop heeft [verzoeker] betaald door middel van iDeal, dat door Stripe wordt ondersteund. De goederen zijn niet aan [verzoeker] geleverd. De website is niet meer toegankelijk.
2.3. Bij e-mail van 4 maart 2024 is, onder verwijzing naar onder meer artikel 15 lid 1 onder c van de Algemene Verordening Gegevensbescherming (hierna: AVG), namens [verzoeker] aan Stripe verzocht om hem kosteloos en binnen één maand te informeren over:
‘De ontvangers aan wie de persoonsgegevens zijn verstrekt na de uitvoering van de betalingstransactie waarvan het bankafschrift is bijgevoegd. Met name de concrete bedrijfsidentiteit ten tijde van de betreffende betaling (handelsregisternummer, handelsnaam en vestigingsadres) van de begunstigde(n).’.
2.4. In de periode van 4 maart 2024 tot en met 17 oktober 2024 is door/namens [verzoeker] en Stripe gecorrespondeerd en gesproken over [verzoeker] ’ verzoek. Stripe heeft de betreffende gegevens niet aan [verzoeker] verstrekt.
3 Het geschil
3.1.
[verzoeker] verzoekt de rechtbank om, bij beschikking uitvoerbaar bij voorraad, Stripe als verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens te veroordelen:
om binnen een maand na dagtekening van deze beschikking het inzageverzoek als bedoeld in artikel 15 Algemene verordening gegevensbescherming alsnog geheel toe te wijzen en de concrete identiteit van de ontvanger (handelaar) aan wie de persoonsgegevens van [verzoeker] zijn verstrekt kosteloos mee te delen, op straffe van een dwangsom van € 50,00 per dag of dagdeel, tot een maximum van € 5.000,00;
in de proceskosten.
3.2.
[verzoeker] heeft aan zijn verzoek, samengevat, het volgende ten grondslag gelegd.
De betalingstransactie van [verzoeker] ’ bestelling in de webshop is geschied middels de betaaldienst van Stripe. Stripe is bij deze transactie opgetreden als betaaldienstaanbieder van de begunstigde (de handelaar achter de webshop). De handelaar achter de webshop heeft de persoonsgegevens van [verzoeker] onrechtmatig verwerkt, door in strijd met het in artikel 5 lid 1 onder a AVG neergelegde transparantiebeginsel zijn identiteit verborgen te houden. Stripe is, in tegenstelling tot [verzoeker] , bekend met de identiteit van de handelaar achter de webshop (hierna ook: de handelaar). Stripe heeft, op grond van artikel 71d dan wel 71g van het Besluit Gedragstoezicht financiële ondernemingen Wft (hierna: BGfo Wft), onder meer persoonsgegevens van [verzoeker] aan de webshop moeten verstrekken en heeft dat ook daadwerkelijk gedaan. Dat Stripe de door [verzoeker] aan haar verstrekte persoonsgegevens aan de webshop heeft verstrekt, blijkt ook uit de bestelbevestiging van een proefbestelling onder een gefingeerde naam door de gemachtigde van [verzoeker] bij een andere webshop met een vergelijkbare betaalwijze via Shopify-Stripe-iDEAL. Op grond van artikel 15 lid 1 onder c AVG heeft [verzoeker] recht op informatie over de ontvanger aan wie de persoonsgegevens door Stripe zijn verstrekt. Het gaat daarbij om de concrete identiteit van de specifieke ontvanger(s). Stripe is verplicht om [verzoeker] inzage te geven in die informatie, want zij is ten aanzien van deze specifieke verwerking van persoonsgegevens de (al dan niet gezamenlijke) ‘verwerkingsverantwoordelijke’ in de zin van artikel 4 sub 7 AVG, omdat zij het doel en de middelen van deze specifieke verwerkingsactiviteit (mede) heeft vastgesteld. Dat Stripe handelt als verwerkingsverantwoordelijke blijkt ook uit documentatie van Stripe, zoals haar voorwaarden en beleid op haar website, en van iDeal. Betaaldienstconcurrenten van Stripe (zoals bijvoorbeeld Mollie) merken zichzelf op hun websites ook uitdrukkelijk aan als verwerkingsverantwoordelijken. Omdat niet te verwachten is dat Stripe alsnog de gegevens verstrekt, moet zij daartoe door middel van een dwangsom worden bewogen. Ter zitting heeft [verzoeker] als subsidiaire rechtsgrondslag artikel 843a Rv (zoals dat ten tijde van de indiening van het verzoekschrift luidde) aangevoerd en verzocht om - indien het verzoek op grond van de primaire grondslag (AVG) niet toewijsbaar is - het verzoek als een artikel 843a Rv-verzoek te beschouwen en toe te wijzen, met weglating van de verwijzingen naar de AVG.
3.3. Stripe verzet zich tegen inwilliging van het verzoek voor zover dat is gegrond op toepassing van het inzagerecht van artikel 15 lid 1 onder c AVG en heeft daartoe, samengevat, het volgende aangevoerd. Stripe heeft geen persoonsgegevens van [verzoeker] aan de webshop verstrekt in de zin van artikel 15 lid 1 onder c AVG. [verzoeker] heeft zijn persoonsgegevens, zoals naam, bezorgadres en de betaalgegevens zelf aan de webshop verstrekt toen hij de aankoop deed. Vervolgens heeft de webshop, via Shopify, de betaalgegevens aan Stripe verstrekt zodat Stripe de betaling kon faciliteren. Artikel 71d BGfo Wft is in deze context niet op Stripe van toepassing, omdat de relevante betaaldienstverlener die de betalingstransactie heeft uitgevoerd de eigen bank van [verzoeker] is. Stripe heeft de betaling slechts gefaciliteerd door aan Shopify te bevestigen dat de betaling is voltooid. Daarbij bevestigt Stripe de betaling slechts aan (de server van) Shopify en verstrekt zij geen gegevens aan de webshop zelf. Als Stripe bij het faciliteren van betalingstransacties in opdracht van/namens haar zakelijke klanten persoonsgegevens van eindklanten verwerkt (zoals in dit geval), is zij bovendien geen (gezamenlijke) verwerkingsverantwoordelijke, maar een (sub)verwerker ten behoeve van, in dit geval, de webshop waar [verzoeker] zijn aankoop heeft gedaan. De webshop dan wel Shopify is de verwerkingsverantwoordelijke. Niet Stripe, maar de webshop dan wel Shopify heeft bepaald voor welke doeleinden (waarom) en met welke middelen (hoe) de gegevens worden verwerkt. Stripe heeft evenmin bepaald welke persoonsgegevens worden verwerkt wanneer zij een betalingstransactie faciliteert. De betreffende gegevens verwerkt zij niet voor eigen doeleinden, maar ten behoeve van de webshop. Alle omstandigheden wijzen erop dat Stripe (sub)verwerker is en als zodanig niet bevoegd en niet verplicht is om inzage in de identiteitsgegevens van de handelaar te verstrekken. Nog los van de omstandigheid dat Stripe onder Iers recht valt, zodat het BGfo Wft niet op haar van toepassing is, volgt uit de artikelen 71d en 71g BGfo Wft niet dat Stripe als verwerkingsverantwoordelijke is aan te merken. Weliswaar beschikt Stripe op grond van haar wettelijke verplichtingen om cliëntonderzoek te doen - in welk verband zij wél verwerkingsverantwoordelijke is - over gegevens over de identiteit van de webshop, maar deze gegevens mogen uitsluitend worden verwerkt ter voorkoming van witwassen en terrorismefinanciering. Indien al juist is dat concurrenten van Stripe zichzelf als verwerkingsverantwoordelijke beschouwen met betrekking tot persoonsgegevens zoals die van [verzoeker] die hier aan de orde zijn, dan betekent dat niet dat Stripe dus ook verwerkingsverantwoordelijke is; het gaat er immers om of de betaaldienstverlener (mede) het doel en de middelen van de verwerking van persoonsgegevens bij het faciliteren van betalingen bepaalt, en ook wat de betaaldienstverlener overigens nog met die gegevens doet. Daar gaat Stripe bewust anders mee om dan haar door [verzoeker] genoemde concurrenten. Verder voert Stripe aan dat het inzagerecht is bedoeld om de betrokkene in staat te stellen zich op de hoogte te stellen van de verwerking van zijn persoonsgegevens en de rechtmatigheid daarvan te controleren, maar niet voor het verkrijgen van bedrijfsinformatie van een derde. Ook omdat i) de rechtmatigheid van de gegevensverwerking niet ter discussie staat, ii) [verzoeker] al van de gegevensverwerking op de hoogte is en iii) [verzoeker] zijn inzagerecht niet inzet ter bescherming van zijn persoonsgegevens, maar uitsluitend om tegen de webshop een nakomingsvordering in te kunnen stellen, is Stripe niet verplicht om de gegevens te verstrekken. Daarbij komt dat de handelaar achter de webshop een natuurlijk persoon is, van wie de belangen zich tegen de verzochte gegevensverstrekking verzetten. Dat Stripe geen persoonsgegevens van [verzoeker] aan de handelaar heeft verstrekt en evenmin is aan te merken als verwerkingsverantwoordelijke betekent dat Stripe niet op basis van artikel 15 lid 1 sub c AVG verplicht is om gegevens van de (handelaar achter de) webshop te verstrekken aan [verzoeker] , aldus Stripe.
3.4.
[verzoeker] voert verder aan dat [verzoeker] zijn verzoek (aanvankelijk) niet heeft gegrond op artikel 843a Rv, maar dat die bepaling wel de geëigende grondslag is voor een verzoek als dit. In het kader van artikel 843a Rv zal de rechtbank de belangen van [verzoeker] , de (handelaar achter) de webshop en Stripe moeten afwegen. Daarbij is volgens Stripe aan de zijde van Stripe en de webshop relevant dat het Stripe niet is toegestaan de in het kader van het bestrijden van witwassen en terrorismebestrijding door haar verzamelde gegevens van de webshop voor andere, niet-verenigbare doeleinden te verwerken. Bovendien is Stripe met Shopify overeengekomen de verzochte informatie geheim te houden. Aan de zijde van [verzoeker] is van belang dat het met de transactie van [verzoeker] bij de webshop gemoeide financiële belang relatief beperkt is en dat de webshop zelf op grond van het consumentenrecht verplicht was zijn identiteit en geografische adres aan [verzoeker] bekend te maken voorafgaand aan de transactie en dat dit kennelijk niet is gebeurd of dat [verzoeker] die informatie niet meer heeft. Stripe refereert zich aan het oordeel van de rechtbank voor zover de rechtbank het verzoek op grond van artikel 843a Rv beoordeelt en de reikwijdte van het eventueel te geven bevel beperkt blijft tot informatie die door Stripe is verkregen in het kader van het wettelijk verplichte cliëntenonderzoek en die noodzakelijk en proportioneel is voor [verzoeker] om de webshop te kunnen identificeren. Het opleggen van een dwangsom is dan niet nodig.
Als Stripe wordt veroordeeld om de gegevens te verstrekken, moet die veroordeling - gelet op het onomkeerbare karakter van de gegevensverstrekking - niet uitvoerbaar bij voorraad worden verklaard. Stripe verzoekt [verzoeker] in de proceskosten te veroordelen.
3.5. Op de stellingen van [verzoeker] en Stripe zal hierna, voor zover van belang, verder worden ingegaan.
4 De beoordeling
Rechtsmacht en toepasselijk recht
4.1. Stripe is gevestigd in Ierland. Dat betekent dat de zaak een internationaal karakter draagt. De rechtbank moet daarom ambtshalve onderzoeken of hij rechtsmacht heeft en, als dat het geval is, naar welk materieel recht het verzoek moet worden beoordeeld.
4.2. De primaire grondslag voor het verzoek van [verzoeker] is dat Stripe als verwerkingsverantwoordelijke als bedoeld in de AVG gehouden is om hem de gevraagde gegevens over de identiteit van de handelaar te verstrekken. In artikel 79 lid 2 AVG is onder meer bepaald dat een procedure tegen een verwerkingsverantwoordelijke of een verwerker wordt ingesteld bij de gerechten van de lidstaat waar de verwerkingsverantwoordelijke of de verwerker een vestiging heeft en dat een dergelijke procedure ook kan worden ingesteld bij de gerechten van de lidstaat waar de betrokkene gewoonlijk verblijft. Dit is een specifieke bevoegdheidsregel, aan de toepassing waarvan algemene bevoegdheidsregels zoals die van Verordening (EU) nr. 1215/2012 (hierna: EEX-Vo) geen afbreuk moeten doen. De Nederlandse rechter heeft rechtsmacht op grond van deze specifieke bevoegdheidsregel, omdat [verzoeker] in Nederland woonachtig is (en naar mag worden aangenomen ook gewoonlijk verblijft). Bovendien vloeit de bevoegdheid van de rechtbank, ook wat betreft de subsidiaire grondslag van het verzoek (artikel 843a Rv), voort uit artikel 26 lid 1 EEX-Vo, waarin - voor zover relevant - is bepaald dat het gerecht van een lidstaat waarvoor de verweerder verschijnt bevoegd is. Op grond van het voorgaande – in combinatie met de bevoegdheidsbepalingen in het Wetboek van Burgerlijke Rechtsvordering - is deze rechtbank absoluut en relatief bevoegd om van het verzoek van [verzoeker] kennis te nemen, hetgeen door Stripe ook niet is betwist.
4.3. Voor zover het verzoek van [verzoeker] berust op de AVG geldt dat deze als Europese Verordening rechtstreeks toepasselijk is. Voor zover het verzoek van [verzoeker] is gegrond op artikel 35 Uitvoeringswet AVG (hierna: UAVG) dan wel artikel 843a Rv (oud), wordt het verzoek ingevolge artikel 10:3 BW beheerst door Nederlands recht.
Toetsingskader primaire grondslag: AVG
4.4. In artikel 4 (‘Definities’) van de AVG is - voor zover van belang - het volgende bepaald:
9) „ontvanger”: een natuurlijke persoon of rechtspersoon (…) aan wie/waaraan de persoonsgegevens worden verstrekt (…).
4.5. In artikel 15 lid 1 AVG (‘Recht van inzage van de betrokkene’) is - voor zover van belang - het volgende bepaald:
De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie: (…)
c) de ontvangers (…) aan wie de persoonsgegevens zijn (…) verstrekt (…).
4.6. In artikel 35 van de UAVG is - voor zover van belang - het volgende bepaald:
[lid 1] Indien de beslissing [op een inzageverzoek als bedoeld in artikel 15 AVG, toevoeging rechtbank] (…) is genomen (…) kan de belanghebbende zich tot de rechtbank wenden met het schriftelijk verzoek de verwerkingsverantwoordelijke te bevelen het verzoek (…) alsnog toe of af te wijzen;
[lid 3] De rechtbank wijst het verzoek toe, voor zover zij dit gegrond oordeelt. (…)
4.7. In artikel 71d BGfo Wft is - voor zover van belang - het volgende bepaald:
Een betaaldienstverlener verstrekt onmiddellijk na de uitvoering van een eenmalige betalingstransactie de volgende informatie aan de betalingsbegunstigde (…) of stelt deze aan hem ter beschikking:
a. de referentie aan de hand waarvan de betalingsbegunstigde kan bepalen welke betalingstransactie en, in voorkomend geval, welke betaler het betreft, en alle bij de betalingstransactie gevoegde informatie (…).
4.8. In artikel 71g BGfo Wft is - voor zover van belang - het volgende bepaald:
Na de uitvoering van een afzonderlijke betalingstransactie verstrekt de betaaldienstverlener van de betalingsbegunstigde (…) de betalingsbegunstigde onverwijld de volgende informatie:
a. de referentie aan de hand waarvan de betalingsbegunstigde kan bepalen welke betalingstransactie het betreft en, in voorkomend geval, welke betaler het betreft, en alle bij de betalingstransactie gevoegde informatie (…).
Inhoudelijke beoordeling op grondslag AVG
4.9.
[verzoeker] stelt zich primair op het standpunt dat Stripe als verwerkingsverantwoordelijke verplicht is hem inzage te verstrekken in de bij haar bekende gegevens over de identiteit van de handelaar achter de webshop, omdat zij persoonsgegevens van [verzoeker] aan deze handelaar heeft verstrekt. Stripe heeft als verweer onder meer aangevoerd dat zij geen persoonsgegevens van [verzoeker] aan de handelaar heeft verstrekt, maar slechts de betalingstransactie heeft gefaciliteerd door aan (de server van) Shopify te bevestigen dat de betaling is voltooid. Volgens Stripe betekent dit dat Stripe niet op basis van artikel 15 lid 1 sub c AVG verplicht is om gegevens van de handelaar te verstrekken aan [verzoeker] .
4.10. De rechtbank constateert dat niet is komen vast te staan dat Stripe persoonsgegevens van [verzoeker] heeft verstrekt aan de handelaar als bedoeld in artikel 15 lid 1 onder c AVG, zodat het verzoek reeds daarom niet op grondslag van artikel 15 lid 1 AVG kan worden toegewezen. Daartoe is het volgende van belang.
4.11. Ter onderbouwing van zijn stelling dat Stripe zijn persoonsgegevens heeft verstrekt aan de handelaar heeft [verzoeker] in de eerste plaats aangevoerd dat dit volgt uit het bepaalde in artikel 71d BGfo Wft. Stripe heeft de (niet onderbouwde) stelling van [verzoeker] dat Stripe betaaldienstverlener in de zin van artikel 71d BGfo Wft is gemotiveerd betwist door te stellen dat de in die bepaling bedoelde betaaldienstverlener in het kader van de hier relevante betaaltransactie de bank van [verzoeker] is. Daarom gaat de rechtbank aan de op artikel 71d BGfo Wft gebaseerde stelling van [verzoeker] voorbij. [verzoeker] heeft vervolgens aangevoerd dat Stripe (zijnde de betaaldienstverlener van de betalingsbegunstigde handelaar) dan in ieder geval ingevolge artikel 71g BGfo Wft zijn persoonsgegevens aan de handelaar (de betalingsbegunstigde) moet hebben verstrekt en dus ook daadwerkelijk zal hebben verstrekt. Stripe heeft aangevoerd dat artikel 71g BGfo Wft op haar niet van toepassing is, omdat zij onder Iers recht valt. [verzoeker] heeft dit niet (voldoende gemotiveerd) weersproken. Daarbij komt dat de enkele omstandigheid dat op Stripe een bepaalde wettelijke verplichting tot het verstrekken van gegevens aan de handelaar zou rusten nog niet de conclusie rechtvaardigt dat Stripe (dus) de persoonsgegevens van [verzoeker] daadwerkelijk aan de handelaar heeft verstrekt in de zin van artikel 15 lid 1 onder c AVG, nu Stripe gemotiveerd heeft betwist dat zij dat heeft gedaan. Uit het voorgaande volgt dat [verzoeker] zijn stelling dat Stripe zijn persoonsgegevens aan de handelaar heeft verstrekt niet met succes kan baseren op de enkele verwijzing naar de artikelen 17d en 71g BGfo Wft.
4.12. Volgens [verzoeker] blijkt ook uit bevestiging van de door zijn gemachtigde gedane bestelling bij een andere webshop, waarbij gebruik is gemaakt van dezelfde betalingsroute (via Shopify-Stripe-iDEAL), dat zijn persoonsgegevens wel door Stripe aan de handelaar moeten zijn verstrekt.
4.13.
De rechtbank is van oordeel dat de door [verzoeker] in dit verband overgelegde ‘Bestelbevestiging’ niet de conclusie rechtvaardigt dat Stripe de persoonsgegevens van [verzoeker] aan de handelaar heeft verstrekt. De bijlage ondersteunt veeleer de stelling van Stripe dat de daarin vervatte (persoons)gegevens zijn verstrekt aan Shopify, aangezien de koptekst van de bestelbevestiging meerdere verwijzingen naar Shopify bevat en de (volgens [verzoeker] door een handelaar ontvangen) bevestiging kennelijk van Shopify afkomstig is.
Dat Shopify de van Stripe ontvangen gegevens vervolgens door middel van de bestelbevestiging heeft verstrekt aan de (handelaar achter) de webshop die van haar Shopify-account gebruik maakt, maakt zonder nadere toelichting, die [verzoeker] niet heeft gegeven, niet dat sprake is van een verstrekking (in de zin van de AVG) van persoonsgegevens door of namens Stripe (als verwerkingsverantwoordelijke) aan de handelaar achter de webshop. Daarbij neemt de rechtbank in aanmerking dat Stripe in haar verweerschrift de volgende beschrijving heeft gegeven van een voor dit geschil relevante betaaltransactie via Stripe: “Zodra een consument een aankoop wil doen bij een met behulp van Shopify ontwikkelde website, dient de klant zijn naam, adres en betaalgegevens in te vullen op de website van de handelaar. […] Vervolgens stuurt Shopify een betaalverzoek naar de relevante betaaldienstverlener, zoals Stripe, […] Stripe stuurt de door de klant ingevulde betaalgegevens door naar de aanbieder van de gekozen betaalmethode [in dit voorbeeld iDEAL, Rb]. […] Nadat de klant de betaling voltooit, schrijft de aanbieder vervolgens het aankoopbedrag af van de rekening die de klant aanhoudt bij de aanbieder van de betaalmethode. Zodra de aanbieder van de betaalmethode de afschrijving bevestigt aan Stripe, laat Stripe de server van Shopify weten dat de betaling is geslaagd. Vervolgens kan de software van Shopify de aankoop van de klant voltooien en een orderbevestiging versturen aan de klant.” Tegenover deze beschrijving van de gang van zaken bij een relevante transactie, waarin persoonsgegevens van de klant weliswaar door Stripe worden verwerkt maar niet (rechtstreeks) door haar aan de handelaar worden verstrekt, heeft [verzoeker] geen voldoende duidelijke alternatieve beschrijving van de (gebruikelijke of voor dit geval specifieke) gang van zaken gesteld die zijn stelling dat sprake is van een verstrekking van zijn persoonsgegevens door Stripe aan de handelaar ondersteunt.
Voor zover [verzoeker] bedoeld heeft zich op het standpunt te stellen dat Shopify en de handelaar met het oog op de definitie van “verstrekken” in de zin van de AVG in dit geval moeten worden vereenzelvigd, heeft hij dat standpunt onvoldoende onderbouwd, temeer omdat tijdens de mondelinge behandeling is gebleken dat [verzoeker] zich met een verzoek tot inzage in de identiteitsgegevens van de handelaar ook (maar vooralsnog zonder succes) heeft gewend tot Shopify. Dat de rol van Shopify beperkt is tot die van softwareleverancier en dat door Shopify geen persoonsgegevens worden verwerkt in het kader van een online bestel- en betaaltransactie als deze vindt [verzoeker] dus kennelijk ook niet zonder meer.
4.14.
[verzoeker] heeft ter onderbouwing van haar stelling dat Stripe zijn persoonsgegevens aan de handelaar heeft verstrekt verder nog verwezen naar een aantal andere documenten die onder meer betrekking hebben op voorwaarden die Stripe en iDEAl hanteren. Stripe heeft erop gewezen dat waar in deze documenten sprake is van een “Merchant”, aan wie volgens [verzoeker] blijkens die documenten door (een partij als) Stripe gegevens moeten worden verstrekt, voor een geval als dit met “Merchant” niet de handelaar achter de webshop wordt bedoeld, maar Shopify. Ook overigens heeft Stripe gemotiveerd betwist dat uit de overlegde documenten de door [verzoeker] gestelde gang van zaken wat betreft het verstrekken van zijn gegevens door Stripe aan de handelaar valt af te leiden. Daartegenover heeft [verzoeker] naar het oordeel van de rechtbank niet, althans onvoldoende, uiteengezet wat bij de uitvoering van de hier relevante betaaltransactie de feitelijke gang van zaken met betrekking tot het verstrekken van zijn gegevens door Stripe is geweest en waarom de handelaar, en niet Shopify, in dit geval als de in de overgelegde stukken bedoelde “Merchant” zou hebben te gelden.
4.15. Het voorgaande leidt tot de conclusie dat [verzoeker] geen feiten of omstandigheden heeft gesteld waaruit, indien ze zouden komen vast te staan, blijkt dat Stripe zijn persoonsgegevens heeft verstrekt aan de handelaar. Dat betekent de rechtbank er niet aan toekomt om [verzoeker] op te dragen bewijs te leveren van zijn stellingen op dit punt (hetgeen [verzoeker] overigens ook niet heeft aangeboden) en dat niet is komen vast te staan dat Stripe als verwerkingsverantwoordelijke persoonsgegevens van [verzoeker] heeft verstrekt aan de handelaar. Alleen al daarom kan [verzoeker] zijn verzoek niet met succes baseren op artikel 15 lid 1 onder c AVG.
4.16. Dat betekent ook dat de rechtbank niet toekomt aan de beantwoording van de vraag of Stripe in dit verband als verwerkingsverantwoordelijke moet worden aangemerkt (hetgeen zij gemotiveerd heeft betwist).
Beoordeling op subsidiaire grondslag: artikel 843a Rv
4.17. In artikel 843a lid 1 Rv (oud, hierna kortheidshalve aangeduid als artikel 843a Rv) is onder meer bepaald dat hij die daarbij rechtmatig belang heeft, op zijn kosten inzage, afschrift of uittreksel kan vorderen van bepaalde bescheiden aangaande een rechtsbetrekking waarin hij of zijn rechtsvoorgangers partij zijn, van degene die deze bescheiden te zijner beschikking of onder zijn berusting heeft. In lid 4 van dit wetsartikel is bepaald dat degene die de bescheiden te zijner beschikking of onder zijn berusting heeft, niet gehouden is aan deze vordering te voldoen, indien daarvoor gewichtige redenen zijn, en ook niet indien redelijkerwijs aangenomen kan worden dat een behoorlijke rechtsbedeling ook zonder verschaffing van de gevraagde gegevens is gewaarborgd.
4.18. Hoewel in artikel 843a Rv sprake is van ‘vorderen’ en ‘vordering’, kan inzage, afschrift of uittreksel ook worden verzocht bij verzoekschrift. De omstandigheid dat het verzoekschrift van [verzoeker] niet was gegrond op artikel 843a Rv en [verzoeker] zijn verzoek pas ter zitting (subsidiair) op die bepaling heeft gegrond, staat er op zichzelf niet aan in de weg dat [verzoeker] ontvankelijk is in zijn verzoek. Hierbij is ook van belang dat de rechter ambtshalve de rechtsgronden aanvult (artikel 25 Rv). Bovendien heeft Stripe tegen de gang van zaken geen bezwaar gemaakt; sterker nog: zij heeft zelf artikel 843a Rv als toepasselijke rechtsgrond aangewezen. Het feit dat Stripe zich wat betreft de toewijsbaarheid van het verzoek op grond van artikel 843a Rv refereert aan het oordeel van de rechtbank, en dat er voor de beoordeling van het verzoek op die grondslag geen andere feitelijke informatie nodig is dan hetgeen al in het kader van het beroep op het inzagerecht in de AVG is gesteld, maakt bovendien dat de rechtbank om redenen van proceseconomie geen gevolgen verbindt aan het feit dat een verzoek uit hoofde van artikel 843a Rv diende te worden gedaan door tussenkomst van een advocaat, terwijl [verzoeker] zich alleen door een gemachtigde heeft laten bijstaan. [verzoeker] is dus ook in zoverre ontvankelijk in zijn verzoek.
4.19. De rechtbank constateert dat aan de voorwaarden voor toewijzing van het verzoek tot gegevensverstrekking op grond van artikel 843a is voldaan en komt tot dat oordeel op grond van het volgende.
4.20. De omstandigheid dat de door [verzoeker] verzochte gegevens zien op de rechtsbetrekking (die tussen [verzoeker] en de handelaar bestaat) ten aanzien waarvan Stripe een derde is, staat op zichzelf niet aan toewijzing van het op artikel 843a Rv gebaseerde verzoek in de weg. Een dergelijk verzoek kan immers ook worden ingesteld tegen derden die bij de rechtsbetrekking in kwestie geen partij zijn en zij kunnen gehouden zijn tot exhibitie. Artikel 843a Rv vereist bovendien niet dat [verzoeker] aannemelijk maakt dat de door hem gestelde vordering slaagt en overigens heeft Stripe niet betwist dat [verzoeker] een vordering op de handelaar achter de webshop heeft. Op de beoordeling van die (eventuele) vordering kan in deze verzoekschriftprocedure niet worden vooruitgelopen.
4.21.
[verzoeker] heeft voor de toepassing van artikel 843a Rv voldoende aannemelijk gemaakt dat hij een rechtsvordering op de handelaar heeft en dat hij voor het kunnen instellen daarvan over de (bij Stripe bekende) identiteitsgegevens van de handelaar moet beschikken. [verzoeker] heeft hiermee een direct en concreet belang bij de verstrekking van de gegevens. Niet gesteld of gebleken is dat in de gegeven omstandigheden (waarin de webshop inmiddels offline is) ook zonder verstrekking van de gegevens een behoorlijke rechtspleging is gewaarborgd of dat de gegevens ook redelijkerwijs langs een andere weg kunnen worden verkregen. Volgens [verzoeker] kan hij de gegevens niet van anderen (zoals Shopify) verkrijgen, en dat dit niet mogelijk is, is door Stripe onvoldoende gemotiveerd betwist. Tenslotte weegt het belang van Stripe om geen vertrouwelijke gegevens aan derden te verstrekken in de gegeven omstandigheden naar het oordeel van de rechtbank niet op tegen het belang van [verzoeker] bij het verkrijgen van de gegevens die nodig zijn om zijn rechtsvordering te kunnen instellen. Daarbij speelt een rol dat, zoals [verzoeker] terecht heeft opgemerkt, het in artikel 41 lid 2 van de vierde anti-witwasrichtlijn neergelegde verbod op het gebruik van in het kader van het wettelijk verplichte cliëntenonderzoek uit hoofde van die Richtlijn verzamelde persoonsgegevens voor niet met die Richtlijn verenigbare doeleinden alleen ziet op verwerking op basis van die Richtlijn.
Op grond van andere wettelijke regelingen (zoals in dit geval artikel 843a Rv) kan verdere verwerking (en dus ook verstrekking aan [verzoeker] ) wel toegestaan zijn, nu mag worden aangenomen dat de gegevens over de identiteit van de handelaar achter de webshop door Stripe ook zijn verzameld met het oog op de uitvoering van de door haar met die handelaar dan wel Shopify gesloten Stripe Verwerkingsovereenkomst en dus niet uitsluitend met het doel om aan de verplichtingen van de antiwitwasrichtlijn te voldoen. Het feit dat Stripe met Shopify is overeengekomen de gegevens over de handelaar niet uit eigen beweging openbaar te maken, zoals zij stelt, legt evenmin voldoende gewicht in de schaal, alleen al omdat, zoals Stripe zelf heeft gesteld, Shopify desgevraagd aan Stripe heeft laten weten geen bezwaar te hebben tegen deze gegevensverstrekking als die zou worden bevolen door de rechtbank. Dat [verzoeker] een betrekkelijk gering financieel belang bij zijn beoogde vordering tegen de handelaar heeft, doet aan het voorgaande niet af.
4.22. Stripe heeft zich gerefereerd aan het oordeel van de rechtbank over de toewijsbaarheid van het verzoek voor zover gegrond op artikel 843a Rv, voor zover de reikwijdte van het bevel beperkt blijft tot informatie die door Stripe is verkregen in het kader van het wettelijk verplichte cliëntenonderzoek. Met betrekking tot deze door Stripe aan haar referte gestelde voorwaarde overweegt de rechtbank dat Stripe zich kennelijk niet op het standpunt stelt dat de door [verzoeker] verlangde gegevensverstrekking over de identiteit van de handelaar, als verwoord in haar verzoekschrift, verder gaat dan de gegevens die zij in het kader van het wettelijk verplichte cliëntenonderzoek heeft verkregen, zodat die voorwaarde (wat daar verder ook van zij) niet aan toewijzing van het verzoek in de weg staat.
4.23.
[verzoeker] heeft de rechtbank verzocht te bepalen dat de gegevensverstrekking door Stripe kosteloos moet geschieden. Hoewel artikel 843a Rv bepaalt dat (kort gezegd) inzage wordt verleend op kosten van degene die inzage vordert, heeft Stripe zich er niet tegen verzet dat de rechtbank bepaalt dat de verstrekking van de gegevens kosteloos moet geschieden. De rechtbank zal het verzoek daartoe dan ook toewijzen.
4.24.
Het voorgaande betekent dat het subsidiaire verzoek van [verzoeker] toewijsbaar is, zoals vermeld in de beslissing.
Geen dwangsom
4.25. Omdat de rechtbank in de gegeven omstandigheden geen aanleiding heeft om te veronderstellen dat Stripe aan de veroordeling geen gehoor zal geven, zal de rechtbank haar geen dwangsom opleggen. Hierbij is voornamelijk van belang dat Stripe er herhaaldelijk bij [verzoeker] op heeft aangedrongen om zijn verzoek te gronden op artikel 843a Rv en zij zich vervolgens heeft gerefereerd aan het oordeel van de rechtbank.
Uitvoerbaarheid bij voorraad
4.26. Het voorgaande, in het bijzonder de twee laatstgenoemde omstandigheden, maakt dat Stripe bij haar verzoek om de beschikking niet uitvoerbaar bij voorraad te verklaren, geen of onvoldoende belang (meer) heeft, althans niet een belang dat opweegt tegen het belang van [verzoeker] bij de verstrekking van de gegevens. Het verzoek van Stripe om de beschikking niet uitvoerbaar bij voorraad te verklaren zal daarom niet worden ingewilligd.
Proceskosten
4.27. Omdat het verzoek van [verzoeker] (deels) toewijsbaar is, wordt Stripe in de proceskosten (inclusief nakosten) veroordeeld. De proceskosten van [verzoeker] worden begroot op:
- griffierecht
€
320,00
- salaris advocaat
€
1.228,00
(2 punten × € 614,00)
- nakosten
€
178,00
(plus de verhoging zoals vermeld in de beslissing)
Totaal
€
1.726,00.
5 De beslissing
De rechtbank
5.1. beveelt Stripe om, binnen een maand na dagtekening van deze beschikking, de gegevens waarover Stripe beschikt over de concrete identiteit van de handelaar achter de webshop kosteloos aan [verzoeker] te verstrekken,
5.2. veroordeelt Stripe in de proceskosten van € 1.726,00, te betalen binnen veertien dagen na aanschrijving daartoe, te vermeerderen met € 92,00 plus de kosten van betekening als Stripe niet tijdig aan de veroordelingen voldoet en de beschikking daarna wordt betekend,
5.3. verklaart deze beschikking uitvoerbaar bij voorraad,
5.4. wijst af hetgeen anders of meer is verzocht.
Deze beschikking is gegeven door mr. E. Boerwinkel en in het openbaar uitgesproken op 24 februari 2025.
Overweging 147 AVG.
Bijlage 6 bij akte overlegging producties van [verzoeker] .
Verweerschrift Stripe, randnrs. 10 en 11.
Bijlagen 7 (Stripe voorwaarden voor “iDEAL through Stripe), 9 en 10 (XML berichtspecificaties uit de “iDEAL Acquiring Participants Implementation – iDEAL Messages and Redirects”), 11 (voorwaarden van Stripe voor verbonden accounts zoals Shopify).
Hoge Raad 26 oktober 2018, ECLI:NL:HR:2018:1985 (Syngenta Seeds).
Hoge Raad 10 juli 2015, ECLI:NL:HR:2015:1834.
Richtlijn (EU) 2015/849 van het Europees Parlement en de Raad van 20 mei 2015 inzake de voorkoming van het gebruik van het financiële stelsel voor het witwassen van geld of terrorismefinanciering, tot wijziging van Verordening (EU) nr. 648/2012 van het Europees Parlement en de Raad en tot intrekking van Richtlijn 2005/60/EG van het Europees Parlement en de Raad en Richtlijn 2006/70/EG van de Commissie.
Zie de Memorie van Toelichting bij de Implementatiewet vierde witwasrichtlijn, Kamerstukken II 2017-2018, 34 808, nr. 3, p. 82.