Gerechtshof Den Haag, 29-09-2026 (200.361.079/01)

GERECHTSHOF DEN HAAG Civiel recht Team Handel Zaaknummer hof : 200.361.079/01 Zaak- en rolnummer rechtbank : C/10/703288 / KG ZA 25-729 Arrest van 29 september 2026 in de zaak van Risepoint Limited , gevestigd in Birkirkara, Malta, appellante, advocaat: mr. J.G. Reus, kantoorhoudend in Amsterdam, tegen [geïntimeerde] , wonend in [woonplaats] , geïntimeerde, advocaat: mr. B.Z. Loonstein, kantoorhoudend in Amsterdam. Het hof noemt partijen hierna Risepoint en [geïntimeerde] . 1 De zaak in het kort 1.1 [geïntimeerde] vordert dat Risepoint hem de persoonsgegevens verstrekt die over hem zijn verwerkt toen hij heeft deelgenomen aan online kansspelen van Unibet. Het hof bekrachtigt in dit arrest het vonnis waarin de Rotterdamse voorzieningenrechter die vordering heeft toegewezen. 2 Procesverloop in hoger beroep 2.1 Het verloop van de procedure in hoger beroep blijkt uit de volgende stukken: - de dagvaarding van 16 oktober 2025 waarmee Risepoint in hoger beroep is gekomen van het tussen partijen gewezen vonnis van de voorzieningenrechter in de rechtbank Rotterdam van 22 september 2025 ; de memorie van grieven van Risepoint, met bijlagen; de memorie van antwoord van [geïntimeerde] . 3 Feitelijke achtergrond 3.1 Risepoint heeft vanaf circa 2004 tot 1 oktober 2021 kansspelen van het online casino Unibet (hierna: Unibet) aangeboden aan Nederlandse ingezetenen. Zij beschikte daarvoor niet over een vergunning op grond van de Wet op de kansspelen, maar handelde onder een Maltese vergunning. Tot aan haar overname op 31 oktober 2024 maakte Risepoint deel uit van de Kindred-groep. 3.2 [geïntimeerde] heeft in die periode deelgenomen aan die kansspelen. Daarbij zijn onder verantwoordelijkheid van Risepoint persoonsgegevens van hem verwerkt, waaronder zijn transactiegegevens (deze persoonsgegevens hierna: de kansspelgegevens). 3.3 [geïntimeerde] heeft Risepoint per e-mailbericht van 2 juli 2025 op grond van de artikelen 12 en 15 van de Algemene Verordening Gegevensbescherming (hierna: AVG) verzocht om te bevestigen of zij persoonsgegevens van hem heeft verwerkt en, zo ja, om inzage in en verstrekking van zijn kansspelgegevens. Dat bericht bevat onder andere de volgende alinea: “Please make the personal data concerning me (…) available to me in a structured, commonly used and machine-readable format as laid down in Article 20(1) GDPR.” 3.4 De advocaat van [geïntimeerde] heeft dit verzoek op 4 juli 2025 herhaald, met, voor zover nodig, een sommatie. 3.5 De advocaat van Risepoint heeft op 9 juli 2015 op dit laatste bericht geantwoord met het volgende bericht, gevolgd door zijn verhinderdata: “Ik zal Risepoint vragen om de voor een DSAR-antwoord geordende gegevens van uw cliënt op te vragen bij Kserol, voor zover dit niet al is gedaan, en deze aan uw cliënt te verstrekken, met uitzondering van de transactiegegevens. Risepoint stelt zich op het standpunt [dat, hof] zij transactiegegevens niet hoeft te verstrekken met een beroep op de u bekende uitzondering onder Maltees recht. Risepoint is overigens ook van oordeel dat de voorzieningenrechter van de rechtbank Amsterdam te makkelijk en zonder deugdelijke motivering over het inroepen door Risepoint van deze bepaling is heengestapt in zijn vonnis van 4 juli jl, en handhaaft haar standpunt te dien aanzien.” 3.6 Risepoint heeft [geïntimeerde] op 22 juli 2025 in antwoord op zijn verstrekkingsverzoek van 2 juli 2025 bericht dat zij de termijn voor beantwoording daarvan verlengde in overeenstemming met de AVG. 4 Procedure bij de rechtbank 4.1 [geïntimeerde] heeft, voor zover in hoger beroep van belang, Risepoint gedagvaard en gevorderd dat de voorzieningenrechter Risepoint, samengevat, op straffe van dwangsommen: - beveelt om binnen een bepaalde termijn aan [geïntimeerde] inzage in en een kopie van zijn kansspelgegevens elektronisch te verstrekken “in een gangbare formaat als XLS(X) of CSV dan wel door middel van een Application Programming Interface”, waarbij [geïntimeerde] in staat wordt gesteld “de juistheid van die gegevens en de rechtmatigheid van de verwerking ervan te controleren en/of de hoogte van door hem verrichte stortingen en opnames bij Unibet te achterhalen”; en - verbiedt om deze gegevens te vernietigen of kwijt te maken. 4.2 [geïntimeerde] heeft zijn verstrekkingsvordering primair gebaseerd op artikel 15 AVG en subsidiair op de artikelen 194 en 195 Rv. 4.3 Risepoint heeft geconcludeerd primair tot afwijzing van de vorderingen van [geïntimeerde] en subsidiair dat [geïntimeerde] , voor zover een deel van zijn vorderingen toch wordt toegewezen op grond van de artikelen 194 en 195 Rv, wordt veroordeeld in de aan verstrekking verbonden kosten. 4.4 De voorzieningenrechter heeft de verstrekkingsvordering toegewezen, de verbodsvordering afgewezen en Risepoint in de proceskosten veroordeeld. De voorzieningenrechter oordeelde met betrekking tot de verstrekkingsvordering onder andere als volgt: - [geïntimeerde] heeft voldoende spoedeisend belang bij die vordering; - de zaak leent zich voor kort geding; - niet van belang is dat [geïntimeerde] die vordering heeft ingesteld voordat de termijn van artikel 12(3) AVG was verstreken voor de beantwoording van het verstrekkingsverzoek van [geïntimeerde] van 2 juli 2025; - de vordering levert geen misbruik van recht op; - aan Risepoint komt geen beroep toe op een beperking van het verstrekkingsrecht van artikel 15 AVG naar Maltees recht; en - de verstrekking moet plaatsvinden op een manier die strookt met artikel 20 AVG, dus in een gestructureerde, gangbare en machineleesbare vorm. 5 Vorderingen in hoger beroep 5.1 Risepoint wil dat het hof de vorderingen van [geïntimeerde] alsnog afwijst en herhaalt in hoger beroep de voorwaardelijke conclusie dat [geïntimeerde] moet worden veroordeeld in de verstrekkingskosten indien de verstrekkingsvordering (deels) wordt toegewezen op grond van de artikelen 194 en 195 Rv. Haar bezwaren hebben betrekking op de in de vorige alinea samengevatte oordelen van de voorzieningenrechter en op de weergave van de feiten door de voorzieningenrechter. 6 Beoordeling in hoger beroep Het hof is bevoegd 6.1 Omdat [geïntimeerde] gewoonlijk in Nederland verblijft is dit hof op grond van artikel 79 lid 2 tweede volzin AVG bevoegd om kennis te nemen van de verstrekkingsvordering, voor zover deze is gegrond op de AVG. Nederlands recht is van toepassing, waaronder de AVG, in combinatie met Maltees recht 6.2 De voorzieningenrechter heeft in r.o. 4.3 van het bestreden vonnis geoordeeld dat die vordering met die AVG-grondslag naar Nederlands recht moet worden beoordeeld en dat ter discussie staat of aan Risepoint een beroep toekomt op een beperking van het inzage- en verstrekkingsrecht op grond van de Maltese Restriction of the Data Protection (Obligations and Rights) Regulations 2018 (hierna: RDPR 2018). Uit r.o. 4.18 van dat vonnis volgt dat de voorzieningenrechter, wat het beroep op de bedoelde beperking betreft, is uitgegaan van toepasselijkheid van Maltees recht en op inhoudelijke gronden heeft geoordeeld dat Risepoint zich niet op die beperking mag beroepen. 6.3 Geen van partijen heeft geklaagd over het oordeel van de voorzieningenrechter met betrekking tot de toepasselijkheid van Nederlands recht, zodat het hof dat oordeel tot uitgangspunt neemt. Het hof verduidelijkt daarbij dat de verstrekkingsvordering wordt beheerst door de AVG, die als rechtstreeks werkende EU-verordening integraal deel uitmaakt van het Nederlandse recht. 6.4 Risepoint beroept zich in deze zaak mede op bepalingen uit de RDPR 2018. [geïntimeerde] betwist dat de Data Protection Act 2018 (hierna: DPA 2018), de Maltese wet tot uitvoering van de AVG waarop deze RDPR 2018 zijn gebaseerd, en dus ook de RDPR 2018 zelf, hier van toepassing zijn. Hij beroept zich daarvoor op (i) artikel 10:159 BW in samenhang met artikel 4 lid 1 Verordening (EU) Nr. 864/2007 (Rome II, voor zover sprake is van een niet-contractuele verbintenis) en (ii) artikel 10:154 BW in samenhang met artikel 6 lid 1 Verordening (EU) Nr. 593/2008 (Rome I, voor zover sprake is van een contractuele verbintenis). 6.5 Het hof volgt [geïntimeerde] hierin niet. [geïntimeerde] heeft zijn verstrekkingsvordering (primair) gegrond op de artikelen 12 en 15 AVG. Op grond van artikel 23 lid 1 AVG kunnen de lidstaten van de EU de reikwijdte van de daar vermelde rechten onder bepaalde voorwaarden beperken “door middel van (…) bepalingen die op de verwerkingsverantwoordelijke of de verwerker van toepassing zijn” (zie hierna onder 6.23). Uit artikel 4(2)(a) DPA 2018 volgt dat deze Maltese wet van toepassing is op Risepoint als in Malta gevestigde verwerkingsverantwoordelijke. Door middel van de grondslagbepaling in artikel 23 lid 1 AVG is daarom naast Nederlands recht ook Maltees recht van toepassing op de verhouding tussen partijen. Daartoe behoren de RDPR 2018, die zijn vastgesteld op grond van artikel 5 DPA 2018. De hiervoor door [geïntimeerde] ingeroepen bepalingen maken het voorgaande niet anders. 6.6 Risepoint vermeldt in punt 4.1.3. van haar memorie van grieven dat de (Nederlandse) Uitvoeringswet AVG hier niet van toepassing is, maar verwijst in diezelfde memorie naar de artikelen 35 (rechtsgang) en 41 lid 1 (beperkingen) van die wet ter ondersteuning van haar standpunten. Het hof oordeelt dat die wet hier niet van toepassing is. Krachtens haar artikel 4 is zij alleen van toepassing op de verwerking van persoonsgegevens in het kader van activiteiten van een vestiging van een verwerkingsverantwoordelijke of verwerker in Nederland of, onder bepaalde voorwaarden, op verwerking van persoonsgegevens van betrokkenen die zich in Nederland bevinden door een niet in de EU gevestigde verwerkingsverantwoordelijke of verwerker. Het gaat in hoger beroep alleen nog om de verstrekkingsvordering 6.7 Geen van partijen heeft geklaagd over de afwijzing van de gebodsvordering door de voorzieningenrechter. Deze ligt daarom in hoger beroep niet meer voor en dat hoger beroep heeft alleen betrekking op de verstrekkingsvordering. 6.8 Tussen partijen is niet in geschil dat de kansspelgegevens persoonsgegevens zijn in de zin van artikel 4 onder 1) AVG en dat Risepoint met betrekking tot die gegevens de verwerkingsverantwoordelijke is in de zin van artikel 4 onder 7) AVG. Risepoint voert aan dat zij de feiten zoals weergegeven in het vonnis graag aangevuld ziet in lijn met de uiteenzetting in paragraaf 3 van haar memorie van grieven. Die grief behoeft geen bespreking. Het hof stelt in hoger beroep zelf de feiten vast die het relevant acht voor zijn beslissing. [geïntimeerde] heeft een voldoende spoedeisend belang bij zijn toegewezen verstrekkingsvordering 6.9 Uit artikel 254 Rv volgt dat een eiser in kort geding voldoende spoedeisend belang moet hebben bij zijn vorderingen. Onderdeel van die toets, die bij een AVG-verzoek op dezelfde wijze beoordeeld moet worden als in andere kortgedingprocedures, is of van de eiser kan worden gevergd dat hij de uitkomst van een bodemprocedure afwacht. 6.10 Anders dan Risepoint aanvoert, voldoet de verstrekkingsvordering van [geïntimeerde] aan die eis. Hij heeft in eerste aanleg onder andere aangevoerd dat hij spoedeisend belang heeft bij het verkrijgen van zijn kansspelgegevens omdat: (i) Risepoint het vanaf de zomer van 2024 voor aanvragers steeds moelijker is gaan maken om kansspelgegevens te verkrijgen; (ii) hij zich zorgen maakte dat Risepoint de nog beschikbare gegevens zal vernietigen, mede gelet op het feit dat Risepoint in antwoord op inzageverzoeken van derden eerst onvolledige overzichten verstrekte en vervolgens diezelfde aanvragers liet weten dat hun account niet kon worden gevonden; en (iii) hij vreest dat Risepoint die eind 2024 is afgesplitst van het Kindred-concern waar zij eerder deel van uitmaakte, als sterfhuis verdergaat en helemaal niet meer aan haar verplichtingen zal voldoen. Risepoint heeft die omstandigheden niet of niet voldoende weersproken, waardoor de spoedeisendheid, die er genoegzaam uit volgt, aannemelijk is geworden. 6.10.1 Zo heeft Risepoint niet weersproken dat zij een jaar voor de inleidende dagvaarding nog zonder problemen kansspelgegevens verstrekte, terwijl uit de reactie van haar advocaat van 9 juli 2025 en haar conclusie van antwoord volgt dat zij zich wat de transactiegegevens betreft op enig moment is gaan beroepen op een uitzondering op grond van de RDPR 2018. Risepoint heeft evenmin gegevens verstrekt over haar solvabiliteit na haar afsplitsing van de Kindred-groep, die vaststaat. 6.10.2 Dat Risepoint in die conclusie van antwoord heeft toegezegd dat zij de kansspelgegevens van [geïntimeerde] zou bewaren, maakt het voorgaande niet anders. Zij heeft die toezegging slechts voorwaardelijk gedaan, namelijk “voor zover zij [over alle persoonsgegevens van [geïntimeerde] , hof] beschikt”, en dat zij die gegevens heeft aangeboden te bewaren zegt nog niets over haar bereidheid om die ook te verstrekken. 6.10.3 De Hoge Raad heeft inmiddels in de door Risepoint aangehaalde prejudiciële procedures beslist dat, kort gezegd, kansspelovereenkomsten met een online aanbieder van kansspelen die niet beschikt over een vergunning op grond van de Wet op de kansspelen niet om die reden nietig of vernietigbaar zijn. Dat maakt echter niet dat [geïntimeerde] geen spoedeisend belang heeft bij zijn toegewezen verstrekkingsvordering. 6.11 Dat belang was ook gerelateerd aan de AVG: [geïntimeerde] heeft in zijn verzoek van 2 juli 2025 en bij inleidende dagvaarding een beroep gedaan op de artikelen 12, 15 en 20 AVG. Het hof oordeelt hierna over de vraag of dat misbruik van recht oplevert. De zaak leent zich voor een kort geding 6.12 Risepoint doet een beroep op artikel 256 Rv, dat bepaalt dat de voorzieningenrechter de voorziening weigert als hij oordeelt dat de zaak niet geschikt is om in kort geding te worden beslist. 6.13 Dat beroep slaagt niet. De kortgedingrechter heeft de vrijheid om de gevraagde voorziening te weigeren indien hij van oordeel is dat hij niet in staat is om een verantwoorde beslissing te nemen, maar moet daar terughoudend van gebruik maken, met name met het oog op het mogelijke klemmende belang van eiser bij bescherming van zijn rechten. 6.14 Deze zaak is niet juridisch en/of feitelijk te complex voor een voorlopig oordeel in kort geding. Een inzageverzoek is op zichzelf geen complexe materie en ook het beroep van Risepoint op de uitzondering uit de RDPR 2018 kan in kort geding goed worden beoordeeld. Risepoint verwijst verder naar omstandigheden die relevant zijn voor de in kort geding te verrichten belangenafweging en die hierna aan de orde komen. Daarbij geldt dat de kortgedingrechter altijd de betrokken belangen moet afwegen voordat hij een voorziening toewijst. Dát die afweging moet plaatsvinden maakt de zaak daarom evenmin complex. [geïntimeerde] heeft geen misbruik gemaakt van het inzage- en verstrekkingsrecht van artikel 15 AVG 6.15 Risepoint voert aan dat [geïntimeerde] zijn recht op inzage en verstrekking op grond van artikel 15 AVG inzet voor een ander doel dan waarvoor het hem is verleend, en dat hij dat recht daarom misbruikt. Risepoint wijst daarbij op overweging 63 eerste volzin AVG, waarin staat dat een betrokkene het recht moet hebben om “de persoonsgegevens die over hem zijn verzameld, in te zien, en om dat recht eenvoudig (…) uit te oefenen, zodat hij zich van de verwerking op de hoogte kan stellen en de rechtmatigheid daarvan kan controleren”. 6.16 Het hof volgt Risepoint daarin niet. Het Hof van Justitie EU heeft de vraag naar de relevantie van die overweging beoordeeld in zijn arrest van 26 oktober 2023 in de zaak FT/DW (Inzage in patiëntendossier) , waarin patiënt DW aan zijn tandarts FT had verzocht om verstrekking van zijn patiëntendossier met het doel om haar aansprakelijk te stellen. Het Hof van Justitie EU oordeelde dat artikel 12 lid 5 en artikel 15 leden 1 en 3 AVG aldus moeten worden uitgelegd dat de verwerkingsverantwoordelijke ook verplicht is om aan de betrokkene (kosteloos) een (eerste) kopie van de hem betreffende persoonsgegevens die worden verwerkt te verstrekken wanneer dit verzoek wordt gedaan met een ander doel dan vermeld in overweging 63 eerste volzin AVG. 6.17 Het betoog van Risepoint dat [geïntimeerde] zijn verstrekking heeft ingesteld met als enkel doel om haar aansprakelijk te stellen stuit reeds af op dit oordeel. Daar komt bij dat [geïntimeerde] in de dagvaarding heeft toegelicht dat hij “simpelweg [wil] weten of de van hem verwerkte persoonsgegevens kloppen” en in zijn petitum in eerste aanleg heeft verduidelijkt dat hij de gegevens wilde verkrijgen in een elektronische opmaak die hem in staat stelt (onder andere) “de juistheid van de persoonsgegevens en de rechtmatigheid van de verwerking van die gegevens te controleren”. Dat zijn onmiskenbaar belangen die het door de AVG gewaarborgde inzagerecht beschermt. 6.18 Om deze redenen kan in deze zaak ook geen toepassing worden gegeven aan artikel 12 lid 5 tweede volzin AVG, dat, voor zover hier van belang, bepaalt dat een verstrekkingsverzoek kan worden geweigerd als het kennelijk ongegrond of buitensporig is. 6.19 Een door de Europese Commissie voorgestelde verduidelijking van die bepaling, in die zin dat een verstrekkingsverzoek ook kan worden afgewezen “ because the data subject abuses the rights conferred by this regulation for purposes other than the protection of their data” maakt de zaak niet anders. Het gaat daarbij niet om geldend recht en uit die toevoeging blijkt niet dat reeds sprake is van misbruik indien een verstrekkingsverzoek mede wordt gedaan om andere redenen dan gegevensbescherming. 6.20 Naar geldend recht kan een verstrekkingsverzoek alleen als buitensporig worden aangemerkt in de zin van artikel 12 lid 5 AVG als (i) uit een geheel van objectieve omstandigheden blijkt dat in weerwil van de formele naleving van de door artikel 15 AVG opgelegde voorwaarden het door dat artikel beoogde doel niet is bereikt, en (ii) de bedoeling blijkt van de betrokkene om een door artikel 15 AVG toegekend voordeel te verkrijgen door kunstmatig de voorwaarden te creëren waaronder het recht op dat voordeel ontstaat, met andere woorden dat sprake is van opzettelijk misbruik door de betrokkene. Risepoint heeft hiervoor onvoldoende gesteld. Dat de beslistermijn van Risepoint nog niet was verstreken maakte niet dat [geïntimeerde] had moeten wachten met zijn kort geding 6.21 Risepoint klaagt dat de beantwoordingstermijn van artikel 12 lid 3 AVG na het verzoek van [geïntimeerde] van 2 juli 2025 en de verlengingsmededeling van Risepoint van 22 juli 2025 pas op 2 oktober 2025 eindigde, waardoor zij ten tijde van de mondelinge behandeling in eerste aanleg op 8 september 2025 nog niet verplicht was om op het verstrekkingsverzoek te reageren en de voorzieningenrechter de vordering daarom had moeten afwijzen. Zij verwijst daarbij naar artikel 35 Uitvoeringswet AVG, waaruit volgt dat de daar bedoelde verzoekschriftprocedure pas kan worden ingeleid nadat de verwerkingsverantwoordelijke een beslissing heeft genomen op (in dit geval) een verstrekkingsverzoek als bedoeld in artikel 15 AVG. 6.22 Dit betoog snijdt geen hout omdat de advocaat van Risepoint al op 9 juli 2025 onder opgave van verhinderdata voor de zitting in eerste aanleg in deze procedure aan de advocaat van [geïntimeerde] heeft bericht dat Risepoint alle verzochte kansspelgegevens zou verstrekken aan [geïntimeerde] , behalve de transactiegegevens, waarvoor zij een beroep deed op een uitzondering uit de RDPR 2018. In haar conclusie van antwoord heeft zij dat standpunt herhaald en ook op andere formele en materiële gronden de grondslag van de verstrekkingsvordering betwist. Een en ander is wellicht geen “formeel” antwoord op het oorspronkelijke verzoek van [geïntimeerde] van 2 juli 2025, maar voor [geïntimeerde] was daarmee al gegeven dat Risepoint hem niet vrijwillig zijn transactiegegevens zou verstrekken. Risepoint heeft niet toegelicht welk belang er dan mee was gediend om van [geïntimeerde] te verlangen dat hij tot 2 oktober 2025 zou wachten met het instellen van zijn vordering in kort geding. De Uitvoeringswet AVG is, zoals Risepoint zelf heeft betoogd, hier niet van toepassing en artikel 35 daarvan zou het voorgaande overigens niet anders hebben gemaakt. Aan Risepoint kwam geen beroep toe op de beperking van artikel 4(e) RDPR 2018 6.23 Artikel 23 lid 1 AVG bepaalt, voor zover hier van belang, dat de reikwijdte van de verplichtingen en rechten als bedoeld in de artikelen 12 tot en met 22 AVG onder bepaalde voorwaarden kan worden beperkt door bepalingen van de EU-lidstaten die van toepassing zijn op de verwerkingsverantwoordelijke of de verwerker, op voorwaarde dat die beperking (i) de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en (ii) in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van bepaalde, in dat lid 1 opgesomde beschermingsgoederen. 6.24 De bevoegde Maltese minister heeft op die grondslag de RDPR 2018 vastgesteld (zie hiervoor onder 6.4). Artikel 4 aanhef en onder (e) daarvan luidt als volgt: “Any restriction to the rights of the data subject referred to in Article 23 of the Regulation shall only apply where such restrictions are a necessary measure required: (…) (e) for the establishment, exercise or defence of a legal claim and for legal proceedings which may be instituted under any law; (…).” Artikel 7 RDPR 2018 bepaalt: “Any restriction applied under these regulations shall respect the essence of the fundamental rights and freedoms of the data subject and shall be a necessary and proportionate measure.” 6.25 Risepoint doet een beroep op deze beperking. Zij voert aan dat uit een toelichting bij deze bepalingen en een op de RDPR betrekking hebbend besluit van de Maltese Information and Data Protection Commissioner (hierna: IDPC) volgt dat deze uitzondering is bedoeld om te voorkomen dat een verwerkingsverantwoordelijke in of vooruitlopend op een juridische procedure op grond van de AVG kan worden gedwongen om persoonsgegevens prijs te geven die onderwerp van geschil zijn of die als bewijs kunnen dienen ter onderbouwing van stellingen. 6.26 Dat beroep slaagt niet. De Uniewetgever heeft in overweging 1 bij de AVG vooropgesteld dat het recht op bescherming van persoonsgegevens als grondrecht is verankerd in artikel 8 lid 1 EU Grondrechtenhandvest en artikel 16 lid 1 VWEU. Artikel 23 lid 1 AVG voorziet in de mogelijkheid om de uitoefening van dat grondrecht te beperken en moet daarom voldoen aan de vereisten die artikel 52 lid 1 EU Grondrechtenhandvest stelt aan beperkingen op in dat handvest verankerde grondrechten. Die vereisten worden herhaald in artikel 23 lid 1 AVG: een beperking moet bij EU- of nationale regelgeving zijn voorzien, geschikt zijn om een bepaald belang te beschermen, niet verder gaan dan hetgeen daarvoor nodig is en het grondrecht op bescherming van persoonsgegevens niet in zijn kern aantasten. Deze vereisten zijn herhaald in artikel 7 RDPR 2018. 6.27 Met die toets kan artikel 4(e) RDPR, gelezen in samenhang met artikel 7 RDPR, niet aldus worden uitgelegd dat Risepoint op grond daarvan kan weigeren om aan [geïntimeerde] zijn transactiegegevens te verstrekken op de grond dat [geïntimeerde] die wil gebruiken om een vordering in rechte tegen Risepoint te bepalen en te onderbouwen. In die uitleg zou die beperking namelijk het recht van [geïntimeerde] op toegang tot zijn eigen persoonsgegevens in de kern aantasten. Die beperking zou in die uitleg ook verder gaan dan noodzakelijk om Risepoint in staat te stellen om zich naar behoren te verdedigen tegen een dergelijke vordering van [geïntimeerde] . Aan Risepoint zouden zonder die beperking namelijk nog steeds alle normale betwistingen en verweren ter beschikking staan, behalve die met betrekking tot de juistheid van de met die gegevens geregistreerde transacties. De door Risepoint verdedigde uitleg zou erop neerkomen dat zij zich met een beroep op artikel 4(e) RDPR zou kunnen onttrekken aan de materiële waarheidsvinding met betrekking tot door haar geregistreerde persoonsgegevens om de reden dat die mogelijk een rol kunnen spelen in een tegen haar ingestelde of in te stellen vordering, hetgeen ongerijmd is. Iets anders is dat een procespartij in weerwil van de AVG bepaalde persoonsgegevens moet kunnen verwerken om zich naar behoren te kunnen verdedigen, maar dat daarvoor in dit geval een weigering van de verstrekking nodig is, volgt niet uit wat door Rispoint is aangevoerd. 6.28 Anders dan Risepoint suggereert, volgt de door haar bepleite ruime uitleg van artikel 4(e) RDPR 2018 ook niet uit de door haar aangehaalde mededeling van de IDPC. Integendeel, in die mededeling benoemt ook de IDPC de hiervoor genoemde strikte vereisten en benadrukt hij dat de uitzondering alleen van toepassing is als de verwerkingsverantwoordelijke kan aantonen dat een beperking van het inzagerecht strikt noodzakelijk is voor de verdediging tegen een bestaande of dreigende vordering. 6.29 Dat [geïntimeerde] zijn eventuele vordering ook met bankafschriften zou kunnen onderbouwen maakt het voorgaande niet anders, omdat [geïntimeerde] in zijn inleidende dagvaarding heeft uiteengezet dat die bankafschriften geen compleet beeld geven van zijn kansspeldeelname. Ook het bepaalde in artikel 22 Rv maakt de zaak niet anders, omdat de daar geboden mogelijkheid voor de rechter om bepaalde stukken over te leggen een mogelijkheid is voor de rechter, en geen afdwingbaar recht oplevert voor een procespartij. Aan Risepoint kwam geen beroep toe op de beperking van artikel 23 lid 1 aanhef en onder i AVG en artikel 41 aanhef en onder i Uitvoeringswet AVG 6.30 Risepoint doet subsidiair een beroep op de beperking van artikel 23 lid 1 aanhef en onder i AVG, namelijk die “ter waarborging van (…) de bescherming van (…) van de rechten en vrijheden van anderen”, in dit geval Risepoint zelf. Zij wijst daarbij op het zeer grote aantal inzageverzoeken dat zij ontvangt en op de zware belasting en disproportionele compliance kosten waartoe deze verzoeken leiden, waardoor zij wordt aangetast in haar vrijheid van ondernemerschap. Daarnaast wijst zij op artikel 41 lid 1 aanhef en onder i Uitvoeringswet AVG, waar dezelfde beperking is neergelegd. 6.31 Het beroep op artikel 23 lid 1 aanhef en onder i AVG kan Risepoint niet baten, aangezien artikel 23 lid 1 AVG niet uit zichzelf voorziet in de daarin bedoelde beperkingen, maar alleen de mogelijkheid biedt voor de Uniewetgever en de wetgevers van de lidstaten om daar bij afzonderlijke Uniehandeling respectievelijk nationale wetgeving in te voorzien. Artikel 23 lid 1 AVG schept met andere woorden uit zichzelf geen rechten waarop een verwerkingsverantwoordelijke zich kan beroepen ten aanzien van een betrokkene. 6.32 Met betrekking tot artikel 41 Uitvoeringswet AVG geldt wederom dat deze wet hier niet van toepassing is. 6.33 Daar komt bij dat de argumentatie van Risepoint ook om inhoudelijke redenen geen doel kan treffen. Risepoint stelt namelijk niet dat het op zich een disproportioneel zware of kostbare taak zou zijn om aan het verzoek van [geïntimeerde] te voldoen. Zij klaagt alleen dat zij veel vergelijkbare verzoeken van derden ontvangt. De daarmee verband houdende werkzaamheden en kosten houden echter geen verband met het inzageverzoek van [geïntimeerde] . Zij zijn het gevolg van het feit dat de bedrijfsvoering van Risepoint meebrengt dat gegevens van grote aantallen personen worden verwerkt. Die last kan niet worden tegengeworpen aan [geïntimeerde] . De belangenafweging valt uit in het voordeel van [geïntimeerde] 6.34 De voorzieningenrechter moet op grond van een afweging van de wederzijdse belangen van partijen beslissen of hij een gevorderde voorziening zal toewijzen en, indien hij daartoe overgaat, hoe ver die zich zal uitstrekken. 6.35 Hiervoor is al geoordeeld dat [geïntimeerde] een voldoende spoedeisend belang heeft bij toewijzing van zijn verstrekkingsvordering. De belangen die Risepoint daar tegenover heeft gesteld wegen daar niet tegen op. 6.35.1 Een verstrekking is naar haar aard onomkeerbaar, maar dat betekent niet dat de daartoe strekkende vordering in kort geding moet worden afgewezen en dat de betrokken veroordeling niet uitvoerbaar bij voorraad mag worden verklaard. Hierbij weegt mee dat de kans in deze zaak groot is dat een bodemrechter tot dezelfde uitkomst zal komen als de voorzieningenrechter. 6.35.2 Dat de advocaat van [geïntimeerde] bezig is met het voorbereiden van een collectieve actie en het bestreden vonnis in andere geschillen kan worden aangehaald is niet van belang, omdat het vonnis geen werking heeft in zaken tussen andere partijen en ook geen nadeel toebrengt aan een eventuele bodemzaak (artikel 257 Rv). 6.35.3 Dat Risepoint voor de verstrekking afhankelijk is van een derde is niet van belang, omdat Risepoint niet heeft aangevoerd dat die derde niet aan het verzoek van [geïntimeerde] zal meewerken. 6.35.4 En dat Risepoint met duizenden soortgelijke verzoeken wordt geconfronteerd is evenmin van belang, omdat het hier gaat om de vordering van alleen [geïntimeerde] . Verwezen wordt ook naar overweging 6.33. Risepoint moet de gegevens in een bepaalde elektronische opmaak verstrekken 6.36 Risepoint klaagt dat de voorzieningenrechter de eisen van artikel 20 AVG, dat betrekking heeft op dataportabiliteit, ten onrechte heeft gekoppeld aan de uitvoering van artikel 15 AVG en dat [geïntimeerde] nooit een artikel 20 AVG-verzoek aan haar heeft gericht. 6.37 Deze klacht kan niet leiden tot vernietiging van het bestreden vonnis. Vast staat dat [geïntimeerde] zijn verzoek van 2 juli 2025 elektronisch heeft gedaan, want per e-mail. Risepoint moest de kansspelgegevens daarom indien mogelijk elektronisch verstrekken (artikel 12 lid 3 derde volzin AVG). Dat moest bovendien gebeuren in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm (artikel 12 lid 1 eerste volzin AVG). Behalve haar bezwaar tegen wat zij zag als een onterechte toepassing van artikel 20 AVG heeft Risepoint geen materiële argumenten aangevoerd om uit te leggen waarom zij de kansspelgegevens niet in een gangbaar format als XLS(X) of CSV kon aanleveren. Het is een feit van algemene bekendheid dat XLS de aanduiding is voor bestanden die worden opgesteld met behulp van het Microsoft programma Excel, dat het meest gebruikte softwareprogramma is om (beperkte hoeveelheden) cijfermatige gegevens weer te geven en te bewerken. Niet valt daarom in te zien waarom Risepoint de kansspelgegevens van [geïntimeerde] niet in Excel-opmaak kon aanleveren. 6.38 Daar komt bij dat [geïntimeerde] zowel in zijn verzoek van 2 juli 2025 als in de sommatiebrief van zijn advocaat van twee dagen later uitdrukkelijk mede een beroep heeft gedaan op artikel 20 AVG. Conclusie en proceskosten 6.39 Het hoger beroep van Risepoint slaagt niet. Het hof komt hierdoor niet toe aan beoordeling van de voorwaardelijke vordering van Risepoint. Het hof zal het bestreden vonnis daarom bekrachtigen en Risepoint als de in het ongelijk gestelde partij veroordelen in de proceskosten van het hoger beroep. 6.40 Het hof begroot de proceskosten aan de zijde van [geïntimeerde] op: griffierecht € 362,- salaris advocaat € 1.290,- (1 punt × tarief II) nakosten € 189,- (plus de verhoging zoals vermeld in de beslissing) Totaal € 1.841,- 7 Beslissing Het hof: bekrachtigt het tussen partijen gewezen vonnis van de voorzieningenrechter in de rechtbank Rotterdam van 22 september 2025; veroordeelt Risepoint in de kosten van de procedure in hoger beroep, aan de zijde van [geïntimeerde] begroot op € 1.841,-; bepaalt dat als Risepoint niet binnen veertien dagen na aanschrijving aan de uitspraak heeft voldaan en [geïntimeerde] haar vervolgens dit arrest betekent, zij de kosten van die betekening moet betalen, plus extra nakosten van € 98,-; wijst af wat meer of anders is gevorderd. Dit arrest is gewezen door mrs. H.M.H. Speyart van Woerden, J.M. van der Klooster en P.H. Blok en in het openbaar uitgesproken op 29 september 2026 in aanwezigheid van de griffier. ECLI:NL:RBROT:2025:11474. Artikel 288 tweede alinea VWEU. Vgl. HR 15 september 2023, ECLI:NL:HR:2023:1216 ( BKR-registratie ING ), r.o. 3.4.2. Punten 2.3 t/m 2.19 en 3.41 inleidende dagvaarding. HR 3 juli 2026, ECLI:NL:HR:2026:1159 ( deelnemer/TSG en deelnemer/Electraworks ). HR 4 juni 1993, ECLI:NL:HR:1993:ZC0986 ( Vredo/Veenhuis ), r.o. 3.2. en HR 24 februari 2006, ECLI:NL:HR:2006:AU7508 ( Technip/X ), r.o. 3.6.3. Zaak C-307/22, ECLI:EU:C:2023:811. Punten 23 en 28(1). Punten 29 tot en met 52. HvJ EU 19 maart 2026, C-526/24, ECLI:EU:C:2026:216 ( Brillen Rottler/TC ), punten 36 en 40. HR 15 april 2005, ECLI:NL:HR:2005:AS5238 ( Euromedica/Merck ), r.o. 3.5.1.