Rechtbank Gelderland, 24-02-2025, ECLI:NL:RBGEL:2025:1815, C/05/436643 / HA RK 24-81

[verzoeker] verzoekt de rechtbank om, bij beschikking uitvoerbaar bij voorraad, Stripe als verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens te veroordelen:

1. om binnen een maand na dagtekening van deze beschikking het inzageverzoek als bedoeld in artikel 15 Algemene verordening gegevensbescherming alsnog geheel toe te wijzen en de concrete identiteit van de ontvanger (handelaar) aan wie de persoonsgegevens van [verzoeker] zijn verstrekt kosteloos mee te delen, op straffe van een dwangsom van € 50,00 per dag of dagdeel, tot een maximum van € 5.000,00;

2. in de proceskosten.

Stripe verzet zich tegen inwilliging van het verzoek voor zover dat is gegrond op toepassing van het inzagerecht van artikel 15 lid 1 onder c AVG en heeft daartoe, samengevat, het volgende aangevoerd. Stripe heeft geen persoonsgegevens van [verzoeker] aan de webshop verstrekt in de zin van artikel 15 lid 1 onder c AVG. [verzoeker] heeft zijn persoonsgegevens, zoals naam, bezorgadres en de betaalgegevens zelf aan de webshop verstrekt toen hij de aankoop deed. Vervolgens heeft de webshop, via Shopify, de betaalgegevens aan Stripe verstrekt zodat Stripe de betaling kon faciliteren. Artikel 71d BGfo Wft is in deze context niet op Stripe van toepassing, omdat de relevante betaaldienstverlener die de betalingstransactie heeft uitgevoerd de eigen bank van [verzoeker] is. Stripe heeft de betaling slechts gefaciliteerd door aan Shopify te bevestigen dat de betaling is voltooid. Daarbij bevestigt Stripe de betaling slechts aan (de server van) Shopify en verstrekt zij geen gegevens aan de webshop zelf. Als Stripe bij het faciliteren van betalingstransacties in opdracht van/namens haar zakelijke klanten persoonsgegevens van eindklanten verwerkt (zoals in dit geval), is zij bovendien geen (gezamenlijke) verwerkingsverantwoordelijke, maar een (sub)verwerker ten behoeve van, in dit geval, de webshop waar [verzoeker] zijn aankoop heeft gedaan. De webshop dan wel Shopify is de verwerkingsverantwoordelijke. Niet Stripe, maar de webshop dan wel Shopify heeft bepaald voor welke doeleinden (waarom) en met welke middelen (hoe) de gegevens worden verwerkt. Stripe heeft evenmin bepaald welke persoonsgegevens worden verwerkt wanneer zij een betalingstransactie faciliteert. De betreffende gegevens verwerkt zij niet voor eigen doeleinden, maar ten behoeve van de webshop. Alle omstandigheden wijzen erop dat Stripe (sub)verwerker is en als zodanig niet bevoegd en niet verplicht is om inzage in de identiteitsgegevens van de handelaar te verstrekken. Nog los van de omstandigheid dat Stripe onder Iers recht valt, zodat het BGfo Wft niet op haar van toepassing is, volgt uit de artikelen 71d en 71g BGfo Wft niet dat Stripe als verwerkingsverantwoordelijke is aan te merken. Weliswaar beschikt Stripe op grond van haar wettelijke verplichtingen om cliëntonderzoek te doen - in welk verband zij wél verwerkingsverantwoordelijke is - over gegevens over de identiteit van de webshop, maar deze gegevens mogen uitsluitend worden verwerkt ter voorkoming van witwassen en terrorismefinanciering. Indien al juist is dat concurrenten van Stripe zichzelf als verwerkingsverantwoordelijke beschouwen met betrekking tot persoonsgegevens zoals die van [verzoeker] die hier aan de orde zijn, dan betekent dat niet dat Stripe dus ook verwerkingsverantwoordelijke is; het gaat er immers om of de betaaldienstverlener (mede) het doel en de middelen van de verwerking van persoonsgegevens bij het faciliteren van betalingen bepaalt, en ook wat de betaaldienstverlener overigens nog met die gegevens doet. Daar gaat Stripe bewust anders mee om dan haar door [verzoeker] genoemde concurrenten. Verder voert Stripe aan dat het inzagerecht is bedoeld om de betrokkene in staat te stellen zich op de hoogte te stellen van de verwerking van zijn persoonsgegevens en de rechtmatigheid daarvan te controleren, maar niet voor het verkrijgen van bedrijfsinformatie van een derde. Ook omdat i) de rechtmatigheid van de gegevensverwerking niet ter discussie staat, ii) [verzoeker] al van de gegevensverwerking op de hoogte is en iii) [verzoeker] zijn inzagerecht niet inzet ter bescherming van zijn persoonsgegevens, maar uitsluitend om tegen de webshop een nakomingsvordering in te kunnen stellen, is Stripe niet verplicht om de gegevens te verstrekken. Daarbij komt dat de handelaar achter de webshop een natuurlijk persoon is, van wie de belangen zich tegen de verzochte gegevensverstrekking verzetten. Dat Stripe geen persoonsgegevens van [verzoeker] aan de handelaar heeft verstrekt en evenmin is aan te merken als verwerkingsverantwoordelijke betekent dat Stripe niet op basis van artikel 15 lid 1 sub c AVG verplicht is om gegevens van de (handelaar achter de) webshop te verstrekken aan [verzoeker] , aldus Stripe.

Op de stellingen van [verzoeker] en Stripe zal hierna, voor zover van belang, verder worden ingegaan.