Uitspraak
RECHTBANK Den Haag
Team Handel
Zaaknummer: C/09/689833 / HA ZA 25-699
Vonnis van 27 mei 2026
in de zaak van
1.. [eiser 1] te [woonplaats 1] ,2. [eiser 2] te [woonplaats 2] ,3. [eiser 3] te [woonplaats 3] ,4. [eiser 4] te [woonplaats 4] ,5. [eiser 5] te [woonplaats 5] ,6. [eiser 6] te [woonplaats 6] ,7. [eiser 7] te [woonplaats 7] ,8. [eiser 8] te [woonplaats 8] ,9. [eiser 9] te [woonplaats 8] ,10. [eiser 10] te [woonplaats 9] ,11. [eiser 11] te [woonplaats 10] ,
eisers,
advocaat: mr. B.Z. Loonstein,
tegen
1.KINDRED GROUP PLC te Valetta (Malta),
advocaat: mr. R.E. van Schaik,
2.
RISEPOINT LIMITEDte Birkirkara (Malta),
2.
RISEPOINT LIMITEDte Birkirkara (Malta),
advocaat: mr. J.G. Reus
gedaagden.
1.In het kort: waar gaat deze zaak over?
1.1.
In deze procedure vorderen eisers dat de rechtbank gedaagden op grond van de AVG [1] veroordeelt om ieder van hen inzage te geven in transactiegegevens ziend op de online kansspelen van Unibet waaraan zij hebben deelgenomen. Gedaagden weigeren eisers inzage in deze gegevens omdat zij menen dat eisers misbruik maken van hun inzagerecht; in elk geval menen gedaagden dat zij inzage mogen weigeren omdat eisers inzage vorderen met een ander doel dan waarvoor het inzagerecht is bedoeld.
1.2.
In dit vonnis wijst de rechtbank de vorderingen van eisers gedeeltelijk toe, omdat geen sprake is van misbruik van recht en gedaagden geen beroep kunnen doen op de in de AVG genoemde weigeringsgronden.
2.De procedure
2.1.
Deze procedure is ingeleid met een verzoekschrift. Dit verzoekschrift bevatte, kort gezegd, een verzoek tot het verstrekken van bepaalde transactiegegevens door Kindred en Risepoint aan eisers, primair op grond van de AVG en de UAVG [2] en subsidiair op grond van artikel 195 in Pro samenhang met artikel 194 van Pro het Wetboek van Burgerlijke Rechtsvordering (Rv); op 19 juni 2019 heeft een mondelinge behandeling plaatsgevonden.
2.2.
Bij beschikking van 31 juli 2025 [3] heeft de rechtbank het verzoek van eisers afgewezen, voor zover het gegrond was op de artikelen 195 en 194 Rv. Het verzoek op grond van de AVG heeft de rechtbank met toepassing van artikel 69 Rv Pro (de zogenoemde spoorwissel) bevolen dat de procedure in de stand waarin die zich bevond moest worden voortgezet volgens de regels die gelden voor de dagvaardingsprocedure. Partijen zijn in de gelegenheid gesteld om hun stellingen aan die procesregels aan te passen en dit hebben partijen ook gedaan. Daarna, op 19 maart 2026, is de AVG-zaak mondeling behandeld.
2.3.
Het procesdossier bestaat uit de volgende documenten:
- het als dagvaarding aan te merken verzoekschrift ex artikel 15 lid 1 AVG Pro van 10 maart 2025 met producties 1-17;
- het als conclusie van antwoord aan te merken verweerschrift van Kindred van 6 juni 2025 met producties 1-22;
- het als conclusie van antwoord aan te merken verweerschrift van Risepoint van 10 juni 2025 met producties 1-16;
- de brief van eisers van 17 juni 2025 met producties 18-25;
- de brief van Kindred van 17 juni 2025 met producties 23 en 24;
- de pleitnota’s die de advocaten hebben voorgedragen tijdens de mondelinge behandeling van 19 juni 2025;
- de beschikking van de rechtbank van 31 juli 2025;
- de akte na spoorwissel van eisers van 3 september 2025;
- de akte na spoorwissel van Kindred van 1 oktober 2025;
- de akte na spoorwissel van Risepoint van 1 oktober 2025 met producties 17-20;
- het tussenvonnis van 3 december 2025 waarbij een mondelinge behandeling is bepaald;
- het bericht van de griffie van 13 maart 2026 met daarin een zittingsagenda;
- de akte van Risepoint van 13 maart 2026 met nadere producties 26 en 27;
- de pleitnota’s die de advocaten hebben voorgedragen tijdens de mondelinge behandeling van 19 maart 2026.
2.4.
Na de mondelinge behandeling is de datum bepaald waarop dit vonnis wordt gewezen.
3.De feiten
Op grond van de stukken en wat er tijdens de zitting is besproken, gaat de rechtbank uit van de volgende feiten.
3.1.
Op grond van de Wet op de Kansspelen (Wok) is het verboden gelegenheid te geven tot deelname aan kansspelen, tenzij daarvoor op grond van de Wok een vergunning is verleend door de Kansspelautoriteit. Door de inwerkingtreding van de Wet Kansspelen op afstand is het sinds 1 oktober 2021 ook mogelijk om een vergunning te krijgen voor het online aanbieden van kansspelen.
3.2.
Eisers hebben in de periode vóór 1 oktober 2021 deelgenomen aan online kansspelen op de websites www.unibet.com en www.unibet.eu (hierna: de Websites).
3.3.
Kindred staat aan het hoofd van een groep van vennootschappen die online kansspelen aanbiedt onder de naam Unibet (hierna: de Kindred-groep).
3.4.
Trannel International Limited (hierna: Trannel) was onderdeel van de Kindred-groep. In de periode vóór 1 oktober 2021 maakte Trannel het voor Nederlandse spelers mogelijk om deel te nemen aan online kansspelen via de Websites.
3.5.
Trannel is op 30 september 2021 gestopt met het aanbieden van online kansspelen aan Nederlandse spelers en maakt sinds 31 oktober 2024 geen onderdeel meer uit van de Kindred-groep. Na haar vertrek uit de Kindred-groep heeft Trannel haar naam veranderd in Risepoint Limited.
3.6.
Bij diverse rechtbanken in Nederland zijn procedures aanhangig gemaakt door kansspel-deelnemers tegen entiteiten die voor 1 oktober 2021 (dus zonder vergunning) online kansspelen aanboden. De Rechtbank Amsterdam en de Rechtbank Noord-Holland hebben gezamenlijk bij vonnissen van 12 juni 2024 (ECLI:NL:RBAMS:2024:3469 en ECLI:NL:RBNHO:2024:5808) prejudiciële vragen aan de Hoge Raad gesteld over – kort gezegd – de juridische geldigheid van de kansspelovereenkomsten tussen spelers en online kansspelaanbieders die geen vergunning hadden. De beantwoording van de gestelde prejudiciële vragen volgt naar verwachting in 2026.
3.7.
Op Eiser 5 en Eiser 9 na hebben eisers in de periode van mei tot en met oktober 2024 een op de AVG gegrond inzageverzoek ingediend via het e-mailadres
[e-mailadres 1]. Daarnaast hebben alle eisers in januari of februari 2025 een inzageverzoek ingediend via de e-mailadressen
[e-mailadres 1]en
[e-mailadres 2], behalve Eiser 4 (die in 2025 geen nieuw inzageverzoek heeft gedaan) en Eiser 7 (die in januari 2025 alleen een inzageverzoek aan
[e-mailadres 2]heeft gezonden). Deze verzoeken van eisers strekken tot inzage in persoonsgegevens die zijn verwerkt in het kader van hun deelname aan online kansspelen via de Websites van Unibet. Meer specifiek vragen eisers om een overzicht van de transactiegegevens en de soorten spellen waaraan zij hebben deelgenomen. Geen van eisers heeft de gevraagde gegevens ontvangen.
[e-mailadres 1]. Daarnaast hebben alle eisers in januari of februari 2025 een inzageverzoek ingediend via de e-mailadressen
[e-mailadres 1]en
[e-mailadres 2], behalve Eiser 4 (die in 2025 geen nieuw inzageverzoek heeft gedaan) en Eiser 7 (die in januari 2025 alleen een inzageverzoek aan
[e-mailadres 2]heeft gezonden). Deze verzoeken van eisers strekken tot inzage in persoonsgegevens die zijn verwerkt in het kader van hun deelname aan online kansspelen via de Websites van Unibet. Meer specifiek vragen eisers om een overzicht van de transactiegegevens en de soorten spellen waaraan zij hebben deelgenomen. Geen van eisers heeft de gevraagde gegevens ontvangen.
4.Het geschil
4.1.
Eisers vorderen – samengevat – dat de rechtbank bij vonnis, voor zover mogelijk uitvoerbaar bij voorraad:
I. Risepoint en Kindred gezamenlijk, althans ieder voor zich, beveelt om binnen veertien dagen na de datum van dit vonnis, ten aanzien van de in het lichaam van het inleidende processtuk bedoelde verwerkingen van persoonsgegevens en/of de in het lichaam van deze dagvaarding bedoelde (andere) gegevens, aan de betreffende eisers te verschaffen, door ieder van eisers inzage te verlenen in de over hen verwerkte persoonsgegevens, door aan ieder van eisers een kopie van de persoonsgegevens te verstrekken die een compleet beeld vormen van alle directe of indirecte transacties tussen ieder der eisers en gedaagden, elektronisch te verstrekken in een gangbaar formaat als XLS(X) of CSV dan wel door middel van een Application Programming Interface (hierna: API) en waarbij de aan eisers te verstrekken informatie c.q. gegevens begrijpelijk is en ieder van hen in staat stelt de juistheid van de persoonsgegevens en de rechtmatigheid van de verwerking van die gegevens te controleren;
II. Risepoint en Kindred hoofdelijk te veroordelen tot betaling van een dwangsom van € 2.500,00 voor iedere dag dat zij niet voldoen aan de veroordeling als bedoeld onder I, II en/of III;
III. Risepont en Kindred hoofdelijk te veroordelen in de kosten van deze procedure.
4.2.
Kindred en Risepoint voeren verweer en concluderen tot niet-ontvankelijkheid van eisers in hun vorderingen (Risepoint), althans tot afwijzing van die vorderingen (Kindred en Risepoint), met uitvoerbaar bij voorraad te verklaren veroordeling van eisers in de proceskosten.
4.3.
Op de stellingen van partijen wordt hierna, voor zover nodig, nader ingegaan.
5.De beoordeling
Rechtsmacht en toepasselijk recht
5.1.
Omdat Kindred en Risepoint zijn gevestigd op Malta, heeft deze zaak een internationaal karakter. Dit betekent dat de rechtbank ambtshalve moet beoordelen of zij rechtsmacht heeft en – als dat het geval is – naar welk materieel recht de vorderingen van eisers moeten worden beoordeeld.
5.2.
De vorderingen van eisers zijn gebaseerd op de AVG. Zoals overwogen in rechtsoverweging 4.3 van de beschikking van 31 juli 2025 is de Nederlandse rechter op grond van artikel 79 lid 2 AVG Pro bevoegd om kennis te nemen van deze vorderingen.
5.3.
Tussen partijen is niet in geschil dat de vorderingen moeten worden beoordeeld aan de hand van de – zowel naar Maltees als Nederlands recht – rechtstreeks werkende AVG. Wel verschillen partijen van mening over de vraag of Kindred en Risepoint een (geslaagd) beroep kunnen doen de Maltese ‘
Subsidiary Legislation 586.09 Restriction of the Data Protection (Obligations and Rights) Regulations’, waarin bepaalde rechten op grond van de AVG worden beperkt. Dit geschilpunt beoordeelt de rechtbank in randnummers 4.15 e.v.
Subsidiary Legislation 586.09 Restriction of the Data Protection (Obligations and Rights) Regulations’, waarin bepaalde rechten op grond van de AVG worden beperkt. Dit geschilpunt beoordeelt de rechtbank in randnummers 4.15 e.v.
5.5.
Volgens artikel 15 lid 1 AVG Pro heeft een betrokkene van wie persoonsgegevens zijn verwerkt het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, als dat het geval is, om inzage te verkrijgen in die persoonsgegevens. Volgens artikel 15 lid 3 AVG Pro moet de verwerkingsverantwoordelijke de betrokkene op diens verzoek een kopie verstrekken van de persoonsgegevens die worden verwerkt.
Persoonsgegevens?
5.6.
In deze zaak staat niet ter discussie dat Unibet in het kader van de deelname van eisers aan online kansspelen via de Websites in de periode tot 1 oktober 2021 persoonsgegevens in de zin van (artikel 4 lid 1 van Pro) de AVG heeft verwerkt. Dat ook de door eisers gevorderde transactiegegevens kunnen worden aangemerkt als persoonsgegevens, staat evenmin ter discussie. Op grond van artikel 15 AVG Pro kunnen eisers dus in beginsel ten opzichte van de verwerkingsverantwoordelijke(n) in de zin van artikel 4 lid 7 AVG Pro aanspraak maken op inzage in en een kopie van de hen betreffende transactiegegevens.
Wie is verwerkingsverantwoordelijke?
5.7.
In deze procedure staat niet ter discussie dat Risepoint kan worden beschouwd als verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG Pro.
5.8.
Kindred betwist dat zij als verwerkingsverantwoordelijke kan worden aangemerkt. Volgens Kindred heeft zij geen daadwerkelijk beslissende invloed uitgeoefend op het doel en de (wezenlijke) middelen van verwerking van de persoonsgegevens waar het in deze zaak om gaat.
Periode tussen mei en eind oktober 2024
5.9.
De rechtbank is van oordeel dat Kindred
welverwerkingsverantwoordelijke is ten aanzien van inzageverzoeken die zijn gedaan in de periode tussen mei en eind oktober 2024, maar
nietten aanzien van inzageverzoeken die zijn gedaan in de periode na oktober 2024. Dit oordeel berust op de volgende overwegingen.
welverwerkingsverantwoordelijke is ten aanzien van inzageverzoeken die zijn gedaan in de periode tussen mei en eind oktober 2024, maar
nietten aanzien van inzageverzoeken die zijn gedaan in de periode na oktober 2024. Dit oordeel berust op de volgende overwegingen.
5.9.1.
De rechtbank stelt voorop dat voor de vraag of Kindred de (al dan niet: gezamenlijk) verwerkingsverantwoordelijke was, bepalend is wat de situatie was op het moment dat het inzageverzoek werd gedaan. Dit past bij de opzet van de AVG, waarin met functionele en niet met formele rolbegrippen wordt gewerkt; dit houdt in dat het oordeel welke rol een entiteit vervult moet berusten op een analyse van de feitelijke omstandigheden van het geval. [4] Het gebruik van de tegenwoordige tijd in artikel 4 lid 7 AVG Pro [5] onderstreept dat verwerkingsverantwoordelijkheid moet worden beoordeeld op basis van de situatie zoals die is op het moment dat de betrokkene het informatieverzoek doet.
5.9.2.
Het functioneel begrepen begrip ‘verwerkingsverantwoordelijke’ moet volgens vaste jurisprudentie van het Hof van Justitie van de Europese Unie (Hof van Justitie, verkort: HvJ EU) ruim worden uitgelegd. [6] Voor gezamenlijke verwerkingsverantwoordelijkheid is niet nodig dat de verschillende ondernemers die betrokken zijn bij de verwerking van persoonsgegevens daarvoor een gelijkwaardige verantwoordelijkheid dragen, en evenmin dat zij beiden in alle stadia bij de verwerking betrokken zijn. [7]
5.9.3.
In dit geval hebben negen eisers inzageverzoeken bij Unibet ingediend in de periode van mei tot en met oktober 2024 via de e-mailadressen
[e-mailadres 1]en/of
[e-mailadres 2]. Alle eisers hebben in januari of februari 2025 (nogmaals) een inzageverzoek ingediend via (een van) deze e-mailadressen. De vraag is of Kindred in die periodes – samen met Risepoint – daadwerkelijk beslissende invloed heeft uitgeoefend op het doel en de wezenlijke middelen van verwerking van de persoonsgegevens van eisers.
[e-mailadres 1]en/of
[e-mailadres 2]. Alle eisers hebben in januari of februari 2025 (nogmaals) een inzageverzoek ingediend via (een van) deze e-mailadressen. De vraag is of Kindred in die periodes – samen met Risepoint – daadwerkelijk beslissende invloed heeft uitgeoefend op het doel en de wezenlijke middelen van verwerking van de persoonsgegevens van eisers.
5.9.4.
Eisers hebben erop gewezen dat Kindred aan het hoofd staat van de Unibet-groep en dat AVG-verzoeken aan e-mailadressen van Unibet (
[e-mailadres 1]of
[e-mailadres 3]) werden beantwoord vanuit
no-reply@kindredgroup.com, met de mededeling dat ‘we’ meer tijd nodig hadden voor het dataverzoek. Aan sommige eisers [8] is na dat antwoord vanuit die mailbox ook inzage in persoonsgegevens verstrekt, waaruit blijkt dat Kindred over die persoonsgegevens kon beschikken. Inzage in de gevraagde transactiegegevens werd geweigerd, maar de reden die Kindred daarvoor gaf was niet dat zij niet over die gegevens kon beschikken, maar dat zij een beroep deed op een uitzonderingsgrond.
[e-mailadres 1]of
[e-mailadres 3]) werden beantwoord vanuit
no-reply@kindredgroup.com, met de mededeling dat ‘we’ meer tijd nodig hadden voor het dataverzoek. Aan sommige eisers [8] is na dat antwoord vanuit die mailbox ook inzage in persoonsgegevens verstrekt, waaruit blijkt dat Kindred over die persoonsgegevens kon beschikken. Inzage in de gevraagde transactiegegevens werd geweigerd, maar de reden die Kindred daarvoor gaf was niet dat zij niet over die gegevens kon beschikken, maar dat zij een beroep deed op een uitzonderingsgrond.
5.9.5.
Kindred bevestigt dat er inderdaad antwoorden vanuit de inbox
no-reply@kindredgroup.comzijn verzonden, maar voert aan dat dit maar een korte periode is gebeurd en dat dit een fout was die te maken had met de invoering van een nieuw platform, OneTrust. Eisers hebben echter onderbouwd gesteld dat de privacyverklaringen op alle Unibet-websites in de periode tussen mei en eind oktober 2024 identiek waren, wat duidt op één centraal privacybeleid.
no-reply@kindredgroup.comzijn verzonden, maar voert aan dat dit maar een korte periode is gebeurd en dat dit een fout was die te maken had met de invoering van een nieuw platform, OneTrust. Eisers hebben echter onderbouwd gesteld dat de privacyverklaringen op alle Unibet-websites in de periode tussen mei en eind oktober 2024 identiek waren, wat duidt op één centraal privacybeleid.
5.9.6.
De door Kindred overgelegde privacyverklaring van www.unibet.nl van 12 augustus 2022 bevestigt dat voor de merknaam Unibet inderdaad één centraal privacybeleid werd gevoerd. Uit de privacyverklaring volgt dat de doelen van de verwerking van persoonsgegevens binnen de groep in elk geval deels centraal werden bepaald (
onderstrepingen in citaat door de rechtbank):
onderstrepingen in citaat door de rechtbank):
“
7 Wanneer delen we uw persoonsgegevens?
7 Wanneer delen we uw persoonsgegevens?
Het komt echter voor dat we uw persoonsgegevens delen met andere bedrijven in de Kindred Group, met derde partijen die namens ons diensten aan u leveren, en met andere derde partijen die voldoen aan onze wettelijke verplichtingen. Andere voorbeelden van wanneer we uw persoonsgegevens delen, zijn wanneer we onderdeel zijn van een fusie of bij een verkoop van het bedrijf. Zelfs wanneer uw persoonsgegevens worden gedeeld,
zorgen we ervoor dat ze alleen worden gebruikt voor de doeleinden die in dit beleid worden uiteengezet.
zorgen we ervoor dat ze alleen worden gebruikt voor de doeleinden die in dit beleid worden uiteengezet.
Met andere bedrijven binnen de Kindred Group
Kunnen we de persoonsgegevens die we verzamelen
delen met andere bedrijven in de Kindred Group voor de volgende doeleinden:
delen met andere bedrijven in de Kindred Group voor de volgende doeleinden:
om u producten en diensten te leveren en om u op de hoogte te brengen van belangrijke wijzigingen of ontwikkelingen in de functies en de werking van deze producten en diensten;
om te reageren op uw vragen en klachten;
(…)
Bijwerken, consolideren en verbeterenvan de nauwkeurigheid van onze administratie
Bijwerken, consolideren en verbeterenvan de nauwkeurigheid van onze administratie
Uitvoeren van
transactionele analyses;
transactionele analyses;
(…)
Klantmodellering, statistische en trendanalyse, met als doelproducten en diensten te ontwikkelen en te verbeteren.
Klantmodellering, statistische en trendanalyse, met als doelproducten en diensten te ontwikkelen en te verbeteren.
Met derde partijen
We kunnen persoonsgegevens in de volgende gevallen delen met derden:
(…)
Met dienstverleners
om ons in staat te stellenonze diensten te leveren,
zoals bedrijven die ons helpen met technologische diensten, opslaan en combineren van gegevens(…)”
om ons in staat te stellenonze diensten te leveren,
zoals bedrijven die ons helpen met technologische diensten, opslaan en combineren van gegevens(…)”
Kindred heeft bevestigd dat er een Data Protection Officer (DPO) voor de hele groep was, wiens voornaamste taak het was om toe te zien op naleving van de AVG binnen de groep.
5.9.7.
Risepoint bevestigt dat er vóór haar vertrek uit de Kindred Group binnen de groep een centraal privacybeleid werd gevoerd, onder meer via het OneTrust-platform dat door Kindred werd beheerd. Trannel/Risepoint kon de persoonsgegevens in de periode tot november 2024 niet zonder tussenkomst van Kindred verwerken.
5.9.8.
Eisers hebben als productie 12 een e-mail van 22 oktober 2024 van
[e-mailadres 1]aan Eiser 11 overgelegd waarin “
Unibet” deze eiser verzocht zijn verzoek opnieuw in te dienen via een webformulier met een adres dat begon met “https://kindred-privacy.my.onetrust.com”. Het aldus opnieuw ingediende verzoek van Eiser 11 is op 28 oktober 2024 afgewezen door het “
Kindred Privacy Team” van “
Kindred Group Plc” (zo staat in de voettekst van het bericht), vanuit de mailbox “
no-reply@kindredgroup.com”.
[e-mailadres 1]aan Eiser 11 overgelegd waarin “
Unibet” deze eiser verzocht zijn verzoek opnieuw in te dienen via een webformulier met een adres dat begon met “https://kindred-privacy.my.onetrust.com”. Het aldus opnieuw ingediende verzoek van Eiser 11 is op 28 oktober 2024 afgewezen door het “
Kindred Privacy Team” van “
Kindred Group Plc” (zo staat in de voettekst van het bericht), vanuit de mailbox “
no-reply@kindredgroup.com”.
5.9.9.
Uit het voorgaande volgt dat Kindred in de periode tussen mei en eind oktober 2024 zowel via het door haar bepaalde centrale beleid als via het door haar voorgeschreven en beheerde OneTrust-platform en het Kindred Privacy Team daadwerkelijk (mede) beslissende invloed heeft uitgeoefend op het doel en de wezenlijke middelen van de verwerking van de persoonsgegevens waar het in deze zaak om gaat.
5.9.10.
Als er meerdere verwerkingsverantwoordelijken zijn, kunnen betrokkenen op grond van artikel 26 lid 3 AVG Pro aan ieder van hen inzage verzoeken.
Periode na eind oktober 2024
5.10.
Eiser 5 en 9 hebben in de periode tussen mei en eind oktober 2024 geen inzageverzoek aan
[e-mailadres 1]gezonden; zij hebben dit pas eind december 2024 en medio februari 2025 gedaan. Toen waren de persoonsgegevens van spelers die vóór oktober 2021 aan online kansspelen van de Kindred Group hadden deelgenomen al overgedragen aan Risepoint. De rechtbank moet daarom beoordelen of Kindred eind december 2024 en medio februari 2025 nog steeds (gezamenlijk) verwerkingsverantwoordelijke was.
[e-mailadres 1]gezonden; zij hebben dit pas eind december 2024 en medio februari 2025 gedaan. Toen waren de persoonsgegevens van spelers die vóór oktober 2021 aan online kansspelen van de Kindred Group hadden deelgenomen al overgedragen aan Risepoint. De rechtbank moet daarom beoordelen of Kindred eind december 2024 en medio februari 2025 nog steeds (gezamenlijk) verwerkingsverantwoordelijke was.
5.11.
Gelet op de gemotiveerde betwisting door Kindred is de rechtbank van oordeel dat eisers ten aanzien van de periode na oktober 2024 onvoldoende concreet hebben gesteld dat Kindred kan worden aangemerkt als (gezamenlijk) verwerkingsverantwoordelijke in de zin van artikel 4 lid 7 AVG Pro en/of artikel 26 AVG Pro.
5.11.1.
In de situatie tot november 2024 was sprake van een centraal beleid binnen de groep waaraan ook Trannel/Risepoint was onderworpen, maar in de periode daarna kon Risepoint het doel en de middelen van de verwerking zelfstandig bepalen. Het enkele feit dat Risepoint na haar uittreden uit de Kindred-groep overeenkomsten voor de verwerking van persoonsgegevens heeft gesloten met een entiteit uit de Kindred Group, betekent niet dat Kindred nog beslissende invloed uitoefende op het doel en de wezenlijke middelen van verwerking van de persoonsgegevens van eisers. Eisers hebben niet geconcretiseerd waaruit de beslissende invloed van Kindred op de verwerking van hun gegevens na november 2024 heeft bestaan.
5.11.2.
De door Kindred als producties 6 en 7 overgelegde verwerkingsovereenkomsten geven geen grond voor de gedachte dat Kindred nog beslissende invloed kon uitoefenen op het doel en de middelen van verwerking van persoonsgegevens voor Risepoint. Risepoint wordt in die overeenkomsten duidelijk benoemd als de verwerkingsverantwoordelijke die het doel en de middelen van verwerking bepaalt; de entiteit binnen de Kindred Group (Kserol) mag persoonsgegevens niet verwerken dan volgens geldend recht en de met Risepoint gesloten verwerkingsovereenkomst.
Artikel 12 lid 5 AVG Pro / Misbruik van recht
5.12.
Kindred en Risepoint stellen zich ook op het standpunt dat zij op grond van artikel 12 lid 5 AVG Pro niet aan de inzageverzoeken hoeven te voldoen omdat eisers misbruik maken van hun inzagerecht. Volgens hen hebben eisers de inzageverzoeken namelijk ingediend met een ander doel dan waarvoor artikel 15 AVG Pro is bedoeld, namelijk om informatie te verkrijgen ter onderbouwing van een mogelijke vordering op Kindred en Risepoint. Kindred en Risepoint verwijzen in dit kader naar Duitse rechtspraak over AVG-inzageverzoeken bij kansspelaanbieders, voortgekomen uit zaken die waren aangespannen met het uitsluitende oogmerk om kansspelverliezen terug te vorderen.
5.13.
Eisers betwisten dat de inzageverzoeken uitsluitend zijn ingediend met het oog op eventueel tegen gedaagden in te stellen rechtsvorderingen. Eisers zeggen ook te willen weten wat gedaagden met hun gegevens hebben gedaan, onder meer omdat zij sinds het geschil opvallend veel gokreclames ontvangen. Bovendien betwisten eisers dat het opvragen van informatie om te onderzoeken of zij een rechtsvordering op gedaagden hebben, misbruik van hun AVG-rechten is.
5.14.
De rechtbank is van oordeel dat geen sprake is van misbruik van recht. Dit oordeel berust op de volgende overwegingen.
5.14.1.
De rechtbank ziet in de door gedaagden overgelegde uitingen van (het kantoor van) de advocaat van eisers en in de gelijkluidendheid van de (door het advocatenkantoor opgestelde model-)verzoeken bevestigd dat de verzoeken in elk geval mede zijn ingediend met het oog op een mogelijk tegen Kindred en/of Risepoint aanhangig te maken (proef)procedure. De vraag is of dit misbruik van recht is, of een (andere) grond waarop gedaagden de inzageverzoeken van eisers mogen weigeren.
5.14.2.
In artikel 12 lid 5 AVG Pro worden twee redenen genoemd waarom een verwerkingsverantwoordelijke kan weigeren gevolg te geven aan een inzageverzoek. Volgens het HvJ EU hebben die redenen betrekking op gevallen van misbruik van recht waarin de verzoeken van de betrokkene ‘kennelijk ongegrond’ of ‘buitensporig’ zijn, met name wanneer die verzoeken een repetitief karakter hebben. [9] Het Hof van Justitie heeft ook geoordeeld dat een inzageverzoek niet kan worden afgewezen op de enkele grond dat het een ander doel heeft dan het zich op de hoogte stellen van de verwerking van persoonsgegevens en het controleren van de rechtmatigheid ervan, omdat betrokkenen een verzoek om inzage van de gegevens niet hoeven te motiveren. [10]
5.14.3.
Op grond van artikel 12 lid 5 AVG Pro is het aan de verwerkingsverantwoordelijke om de gestelde kennelijk ongegronde of buitensporige aard van een verzoek aan te tonen.
5.14.4.
De verzoeken van eisers zijn niet kennelijk ongegrond, [11] maar komen voorshands juist voor toewijzing in aanmerking (zie hiervoor randnummers 5.6 en 5.9). Op de vraag of de verzoeken van de overige eisers buitensporig zijn, gaat de rechtbank hierna in bij de behandeling van het beroep van gedaagden op de artikelen 15 lid 4 en 23 lid 1 AVG.
5.15.
Verder stellen Kindred en Risepoint zich op het standpunt dat zij niet aan de inzageverzoeken hoeven te voldoen omdat hen een beroep toekomt op de uitzondering bedoeld in artikel 15 lid 4 AVG Pro, of op een uitzondering die in de Maltese uitvoeringswet is opgenomen op grond van artikel 23 lid 1 sub Pro 1 onder i AVG.
Risepoint stelt dat zij is geconfronteerd met meer dan 8.000 inzageverzoeken die niet worden gedaan in het belang van gegevensbescherming. Dit heeft een enorme impact op haar bedrijfsvoering en tast volgens Risepoint haar vrijheid van ondernemerschap aan.
Ook Kindred vindt de verzoeken onevenredig. De advocaat van eisers heeft namens 20.000 betrokkenen verzoeken ingediend; een verzoek afhandelen kost ongeveer 90 minuten, dat zijn dus 30.000 manuren. Dit maakt volgens Kindred een extreme inbreuk op haar rechten en vrijheden, waarbij zij er opnieuw op wijst dat de inzageverzoeken niet worden gebruikt waarvoor ze zijn bedoeld, maar alleen voor het beginnen van een juridische procedure waarvan de houdbaarheid onzeker is gelet op de prejudiciële vragen die aanhangig zijn bij de Hoge Raad. Overigens vindt Kindred dat de verzoeken ook buitensporig zijn, omdat eisers het recht van inzage gebruiken met als enige bedoeling haar schade te berokkenen of hinder te veroorzaken.
5.16.
De bepalingen waarop gedaagden zich beroepen, luiden als volgt:
Artikel 15 lid 4 AVG Pro:
Het in lid 3 bedoelde recht om een kopie te verkrijgen, doet geen afbreuk aan de rechten en vrijheden van anderen.
Artikel 23 lid 1 sub Pro 1 onder i AVG:
De reikwijdte van de verplichtingen en rechten als bedoeld in [
o.m. artikel 15 AVG Pro, Rb], kan door middel van een (…) lidstaatrechtelijke wetgevingsmaatregel die op de verwerkingsverantwoordelijke of de verwerker van toepassing is worden beperkt, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van: (…) de bescherming van de betrokkene of van de rechten en vrijheden van anderen;
o.m. artikel 15 AVG Pro, Rb], kan door middel van een (…) lidstaatrechtelijke wetgevingsmaatregel die op de verwerkingsverantwoordelijke of de verwerker van toepassing is worden beperkt, op voorwaarde dat die beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van: (…) de bescherming van de betrokkene of van de rechten en vrijheden van anderen;
5.17.
Eisers betwisten dat gedaagden een beroep op de uitzonderingen toekomt.
5.18.
De rechtbank is van oordeel dat gedaagden de inzageverzoeken niet kunnen weigeren, noch op grond van de uitzondering bedoeld in artikel 15 lid 4 AVG Pro, noch op een uitzondering die in de Maltese uitvoeringswet is opgenomen. Dit oordeel berust op de volgende overwegingen.
5.18.1.
Het belang waarop Kindred en Risepoint zich in feite beroepen, is het belang om geen inzage te hoeven geven in informatie die betrokkenen in rechte tegen hen zouden kunnen gebruiken. Dit is geen belang dat binnen het Unierecht wordt erkend als grond om betrokkenen inzage in hun persoonsgegevens te weigeren.
5.18.2.
Naar Nederlands recht staat dit belang in het civiele recht in beginsel niet aan het moeten geven van inzage in de weg. [12] De Maltese uitzonderingsgrond waarop gedaagden zich beroepen, houdt ook niet in dat zij betrokkenen inzage mogen weigeren omdat die de informatie
mogelijktegen hen kunnen gebruiken in een procedure (
onderstrepingen in citaat door de rechtbank): [13]
mogelijktegen hen kunnen gebruiken in een procedure (
onderstrepingen in citaat door de rechtbank): [13]
“While the GDPR allows for certain restrictions to data subject rights under national law, such limitations must be clearly justified. Regulation 4(e) of Subsidiary Legislation 586.09 provides that “[a]ny restriction to the rights of the data subject referred to in Article 23 of the Regulation shall only apply where such restrictions are a necessary measure required: (e) for the establishment, exercise or defence of a legal claim and for legal proceedings which may be instituted under any law”.
However, any such restriction must be assessed strictly in light of regulation 7 of the same legislation, which mandates that any limitation imposed must constitute a necessary and proportionate measure.
However, any such restriction must be assessed strictly in light of regulation 7 of the same legislation, which mandates that any limitation imposed must constitute a necessary and proportionate measure.
For a restriction under regulation 4(e) of Subsidiary Legislation 586.09 to be justified, the
controller must demonstrate that it is strictly necessary to defend an actual legal claim or legal proceedings. A restriction cannot be based merely on the possibilitythat the data subject may initiate legal action following receipt of the information. A hypothetical or speculative rationale does not satisfy the legal threshold. Without clear and substantiated evidence
of an existing or imminent legal claim, invoking regulation 4(e) of Subsidiary Legislation 586.09 constitutes an unlawful interference with the right of access.”
controller must demonstrate that it is strictly necessary to defend an actual legal claim or legal proceedings. A restriction cannot be based merely on the possibilitythat the data subject may initiate legal action following receipt of the information. A hypothetical or speculative rationale does not satisfy the legal threshold. Without clear and substantiated evidence
of an existing or imminent legal claim, invoking regulation 4(e) of Subsidiary Legislation 586.09 constitutes an unlawful interference with the right of access.”
5.18.3.
De Maltese autoriteit persoonsgegevens heeft het beroep van gedaagden op deze uitzondering in soortgelijke zaken afgewezen. [14] Het feit dat gedaagden tegen deze beslissingen in beroep zijn gegaan, maakt niet dat de rechtbank de Maltese uitzondering anders moet uitleggen dan de Maltese autoriteit persoonsgegevens.
5.18.4.
In de AVG-regeling is al verdisconteerd dat het verwerken van inzageverzoeken de verantwoordelijke ondernemer werk oplevert. Nu de individuele verzoeken van eisers niet ongewoon, onnodig omvangrijk of complex zijn, valt de belangenafweging bedoeld in artikel 15 lid 4 AVG Pro in hun voordeel uit ten opzichte van het ondernemingsbelang van gedaagden.
5.18.5.
De stelling dat eisers het recht van inzage gebruiken met als enige bedoeling gedaagden schade te berokkenen of hinder te veroorzaken, is niet onderbouwd. Voor deze stelling zijn in het dossier ook geen aanknopingspunten te vinden.
Conclusie: gedaagden moeten eisers een kopie van hun transactiegegevens verschaffen
5.19.
Het voorgaande betekent dat Risepoint geen van de aan haar gerichte inzageverzoeken heeft mogen weigeren en dat Kindred alleen de door Eiser 5 en Eiser 9 aan haar gerichte inzageverzoeken heeft mogen weigeren.
5.20.
Tot slot stellen Kindred en Risepoint zich op het standpunt dat zij niet gehouden zijn om eisers een volledig transactieoverzicht te geven, althans geen overzicht met andere gegevens dan die eisers zelf hebben verschaft.
Ook dit verweer kan niet slagen. Volgens vaste rechtspraak van het Hof van Justitie moet de verwerkingsverantwoordelijke betrokkenen desgevraagd een getrouwe en begrijpelijke reproductie verstrekken van alle gegevens die zij over betrokkene verwerkt. [15]
5.21.
De rechtbank zal de vorderingen van eisers dus grotendeels toewijzen, op de manier zoals hieronder onder het kopje ‘De beslissing’ is geformuleerd.
5.22.
Gelet op de manier waarop gedaagden zich sinds het indienen van de inzageverzoeken in de transactieoverzichten tegenover eisers hebben opgesteld, hebben eisers belang bij hun vordering om de veroordeling met een dwangsom te versterken. Ook dit onderdeel van de vordering zal de rechtbank daarom toewijzen, zij het dat de rechtbank de termijn voor nakoming zal verlengen tot vier weken na de datum van dit vonnis en dat zij de hoogte van de dwangsom zal matigen tot een bedrag van € 500 per dag per eiser, met een maximum van € 10.000 per eiser.
Proceskosten
5.23.
Kindred en Risepoint zijn grotendeels in het ongelijk gesteld en moeten daarom de proceskosten (inclusief nakosten) betalen. De proceskosten van eisers in deze dagvaardingsprocedure (na de spoorwisseling) worden begroot op:
- salaris advocaat € 1.306,00 (2 punten × Tarief II à € 653)
- nakosten
€ 189,00(plus de verhoging zoals vermeld in de beslissing)
€ 189,00(plus de verhoging zoals vermeld in de beslissing)
totaal € 1.495,00.
5.24.
De over de proceskosten gevorderde rente zal worden toegewezen op de wijze zoals in de beslissing opgenomen.
6.De beslissing
De rechtbank
6.1.
veroordeelt Kindred om binnen vier weken na de datum van dit vonnis aan alle eisers behalve Eiser 5 en Eiser 9 inzage te verlenen in de over hen verwerkte persoonsgegevens door aan ieder van eisers een kopie van de persoonsgegevens te verstrekken die een compleet beeld vormen van alle directe of indirecte transacties tussen de betreffende eiser en Kindred, haar rechtsvoorgangers en/of partners onder het Unibet-label;
6.2.
veroordeelt Risepoint om binnen vier weken na de datum van dit vonnis aan ieder van eisers inzage te verlenen in de over hen verwerkte persoonsgegevens, door aan ieder van hen een kopie van de persoonsgegevens te verstrekken die een compleet beeld vormen van alle directe of indirecte transacties tussen de betreffende eiser en Risepoint, haar rechtsvoorgangers en/of partners onder het Unibet-label;
6.3.
bepaalt dat gedaagden de hiervoor onder 6.1 en 6.2 bedoelde gegevens elektronisch moeten verstrekken in een gangbaar bestandsformaat (zoals XLS(X) of CSV) of door middel van een Application Programming Interface, op zo’n manier dat de aan eisers te verstrekken informatie en gegevens begrijpelijk zijn en ieder van eisers op basis daarvan de juistheid van de persoonsgegevens en de rechtmatigheid van de verwerking van die gegevens kan controleren;
6.4.
veroordeelt Kindred en Risepoint hoofdelijk tot betaling van een dwangsom van € 500 per eiser voor iedere dag dat zij niet voldoen aan de veroordelingen als bedoeld onder 6.1, 6.2 en 6.3, met een maximum van € 10.000 per eiser;
6.5.
veroordeelt Kindred en Risepoint hoofdelijk in de proceskosten, aan de zijde van eisers begroot op € 1.495, te betalen binnen veertien dagen na aanschrijving daartoe. Als Risepoint en Kindred niet tijdig aan de veroordelingen voldoen en het vonnis daarna wordt betekend, dan moeten zij € 98 extra aan nakosten betalen, plus de kosten van betekening;
6.6.
veroordeelt Kindred en Risepoint hoofdelijk tot betaling van de wettelijke rente als bedoeld in artikel 6:119 BW Pro over de proceskosten als deze niet binnen veertien dagen na aanschrijving zijn betaald;
6.7.
verklaart dit vonnis uitvoerbaar bij voorraad;
6.8.
wijst het meer of anders gevorderde af.
Dit vonnis is gewezen door mr. C.J-A. Seinen en in het openbaar uitgesproken op 27 mei 2026.