Stripe moet online-handelaar identificeren en proceskosten vergoeden, ondanks doelbinding AML-cliëntenonderzoek.

Rb. Gelderland 24 februari 2025, IT 4810; ECLI:NL:RBGEL:2025:1815 (Verzoeker tegen STRIPE). Stripe is actief in Nederland als betaaldienstverlener en faciliteert elektronische betalingen. Op 5 februari 2024 heeft verzoeker via de webshop vanzetten-amsterdam.com goederen besteld en betaald via iDeal, een betaalmethode ondersteund door Stripe. De goederen zijn niet geleverd en de webshop is offline.Verzoeker heeft een verzoek ingediend bij Stripe op grond van de AVG om informatie over de webshop te ontvangen. Stripe heeft de gevraagde gegevens niet verstrekt. In deze procedure verzoekt verzoeker de rechtbank om Stripe te veroordelen tot het verstrekken van de identiteit van de webshop aan wie zijn persoonsgegevens zijn verstrekt, op grond van artikel 15 AVG. Subsidiair verzoekt hij de informatie te verkrijgen via artikel 843a Rv. Hij stelt dat de webshop zijn persoonsgegevens onrechtmatig heeft verwerkt door zijn identiteit verborgen te houden en dat Stripe als betaaldienstverlener deze identiteit kent en inzage moet geven. 

Stripe voert verweer en stelt dat het geen persoonsgegevens van verzoeker aan de webshop heeft verstrekt, maar enkel de betaling heeft gefaciliteerd. Stripe ziet zichzelf als (sub)verwerker en niet als verwerkingsverantwoordelijke. Ook zou de informatie vallen onder haar verplichtingen inzake witwasbestrijding en geheimhoudingsovereenkomsten met Shopify. Stripe betwist verder dat artikel 15 AVG verzoeker recht geeft op bedrijfsinformatie van derden. Indien de rechtbank oordeelt op basis van artikel 843a Rv, refereert Stripe zich aan het oordeel van de rechtbank, mits de gegevensverstrekking beperkt blijft tot noodzakelijke en proportionele informatie. 

De rechtbank wijst het verzoek op basis van de AVG af, omdat niet is aangetoond dat Stripe persoonsgegevens van verzoeker aan de webshop heeft verstrekt. Artikel 15 AVG is daarom niet van toepassing. Ook de verwijzing naar bepalingen uit het BGfo Wft kan niet leiden tot toewijzing, omdat Stripe daar niet onder valt en de betaling slechts heeft gefaciliteerd via Shopify. Op basis van artikel 843a Rv oordeelt de rechtbank echter dat Stripe de identiteit van de webshop wél moet verstrekken. Verzoeker heeft een rechtmatig belang bij deze gegevens om een vordering tegen de webshop in te stellen. Stripe heeft geen zwaarwegende redenen om deze informatie niet te verstrekken. De gegevens zijn niet uitsluitend verzameld voor anti-witwasdoeleinden en Shopify heeft aangegeven geen bezwaar te hebben tegen verstrekking indien de rechtbank dit beveelt. De rechtbank bepaalt dat de verstrekking kosteloos moet zijn, maar legt geen dwangsom op, omdat Stripe zelf had voorgesteld artikel 843a Rv als grondslag te gebruiken. Stripe wordt, als tussenpersoon, veroordeeld in de proceskosten.

4.21. [verzoeker] heeft voor de toepassing van artikel 843a Rv voldoende aannemelijk gemaakt dat hij een rechtsvordering op de handelaar heeft en dat hij voor het kunnen instellen daarvan over de (bij Stripe bekende) identiteitsgegevens van de handelaar moet beschikken. [verzoeker] heeft hiermee een direct en concreet belang bij de verstrekking van de gegevens. Niet gesteld of gebleken is dat in de gegeven omstandigheden (waarin de webshop inmiddels offline is) ook zonder verstrekking van de gegevens een behoorlijke rechtspleging is gewaarborgd of dat de gegevens ook redelijkerwijs langs een andere weg kunnen worden verkregen. Volgens [verzoeker] kan hij de gegevens niet van anderen (zoals Shopify) verkrijgen, en dat dit niet mogelijk is, is door Stripe onvoldoende gemotiveerd betwist. Tenslotte weegt het belang van Stripe om geen vertrouwelijke gegevens aan derden te verstrekken in de gegeven omstandigheden naar het oordeel van de rechtbank niet op tegen het belang van [verzoeker] bij het verkrijgen van de gegevens die nodig zijn om zijn rechtsvordering te kunnen instellen. Daarbij speelt een rol dat, zoals [verzoeker] terecht heeft opgemerkt, het in artikel 41 lid 2 van de vierde anti-witwasrichtlijn7 neergelegde verbod op het gebruik van in het kader van het wettelijk verplichte cliëntenonderzoek uit hoofde van die Richtlijn verzamelde persoonsgegevens voor niet met die Richtlijn verenigbare doeleinden alleen ziet op verwerking op basis van die Richtlijn.

 

Op grond van andere wettelijke regelingen (zoals in dit geval artikel 843a Rv) kan verdere verwerking (en dus ook verstrekking aan [verzoeker] ) wel toegestaan zijn, nu mag worden aangenomen dat de gegevens over de identiteit van de handelaar achter de webshop door Stripe ook zijn verzameld met het oog op de uitvoering van de door haar met die handelaar dan wel Shopify gesloten Stripe Verwerkingsovereenkomst en dus niet uitsluitend met het doel om aan de verplichtingen van de antiwitwasrichtlijn te voldoen.8 Het feit dat Stripe met Shopify is overeengekomen de gegevens over de handelaar niet uit eigen beweging openbaar te maken, zoals zij stelt, legt evenmin voldoende gewicht in de schaal, alleen al omdat, zoals Stripe zelf heeft gesteld, Shopify desgevraagd aan Stripe heeft laten weten geen bezwaar te hebben tegen deze gegevensverstrekking als die zou worden bevolen door de rechtbank. Dat [verzoeker] een betrekkelijk gering financieel belang bij zijn beoogde vordering tegen de handelaar heeft, doet aan het voorgaande niet af.