ECLI:NL:RBAMS:2025:2936

Uitspraak

vonnis

RECHTBANK AMSTERDAM

Afdeling privaatrecht, voorzieningenrechter civiel

zaaknummer / rolnummer: C/13/766073 / KG ZA 25-177 EAM/JD

Vonnis in kort geding van 2 mei 2025

in de zaak van

de stichting

[naam stichting],

gevestigd te [vestigingsplaats] ,

eiseres bij dagvaardingen op verkorte termijn van 21 maart 2025,

advocaat mr. Chr.A. Alberdingk Thijm te Amsterdam,

tegen

1. de besloten vennootschap met beperkte aansprakelijkheid

SFDC NETHERLANDS B.V.,

gevestigd te Amsterdam,

2. rechtspersoon naar vreemd recht

SALESFORCE, INC.,

gevestigd te San Francisco,

gedaagden,

advocaat mr. G.H. Potjewijd te Amsterdam.

Eiseres zal hierna [eiseres] worden genoemd. Gedaagden zullen hierna afzonderlijk SFDC en Salesforce, Inc, en gezamenlijk ook Salesforce worden genoemd.

1.De procedure

Ter zitting van 17 april 2025 heeft [eiseres] de vorderingen zoals omschreven in de dagvaarding toegelicht. Salesforce heeft verweer gevoerd aan de hand van een vooraf ingediende conclusie van antwoord. Beide partijen hebben producties en een pleitnota ingediend.

Ter zitting waren aanwezig:

aan de kant van [eiseres] :

mr. Alberdingk Thijm;
mr. N.S.G. de Bruijn;
[naam 1] , voorzitter van [eiseres] ;
[naam 2] , bestuurslid van [eiseres] ;

aan de kant van Salesforce:

mr. Potjewijd;
mr. M.E. van Dam;
mr. D.J.B. Hereijgers.

Vonnis is (na uitstel van een dag) bepaald op vandaag.

2.De feiten

2.1.

[eiseres] is op 29 mei 2020 opgericht met als doel het beëindigen van de grootschalige, onrechtmatige verwerkingen van persoonsgegevens van internetgebruikers en de daarmee gepaard gaande schending van hun privacy rechten, en om genoegdoening voor haar achterban te verkrijgen.

2.2.

Salesforce, Inc. en SFDC maken onderdeel uit van een internationaal opererend technologieconcern op het gebied van (onder meer) bedrijfssoftware voor

klantrelatiebeheer. Het hoofdkantoor van het Salesforce concern, Salesforce, Inc. (voorheen: Salesforce.com, Inc.) is gevestigd in de Verenigde Staten. SFDC is een gelieerde onderneming en verleent diensten op het gebied van softwareapplicaties teneinde organisaties te ondersteunen bij het beheer van relatiegegevens en documenten.

2.3.

Salesforce bood tot (in ieder geval) februari 2024 het softwareproduct Audience Studio aan. Dit betreft een
Data Management Platform(DMP) waarmee haar klanten via cookies online gegevens kunnen verzamelen, opslaan, ordenen en analyseren.

2.4.

Bij dagvaarding van 14 augustus 2020 heeft [eiseres] Salesforce en Oracle (een ander softwarebedrijf) gedagvaard in een WAMCA-procedure (collectieve actie). In die procedure stelt [eiseres] (kort gezegd en voor zover hier van belang) dat Salesforce onrechtmatig heeft gehandeld door een
third partycookie met de naam “_kuid_” op de randapparatuur van haar achterban te plaatsen en met behulp daarvan, in strijd met de Algemene Verordening Gegevensverwerking (AVG) en de Telecommunicatieweg (Tw), persoonsgegevens te verwerken. Bij vonnis van 29 december 2021 heeft deze rechtbank [eiseres] niet-ontvankelijk verklaard in haar vorderingen. [eiseres] is in hoger beroep gegaan. Bij tussenarrest van 18 juni 2024 heeft het Gerechtshof Amsterdam overwogen dat [eiseres] ontvankelijk is in haar vorderingen, een regiezitting gelast en iedere verdere beslissing aangehouden.

2.5.

Op 5 augustus 2024 heeft een regiezitting plaatsgevonden. (De advocaat van) Salesforce heeft, blijkens het proces-verbaal van die zitting, toen als volgt verklaard.

“(…) Het in de dagvaarding beschreven product van Salesforce is Audience Studio. Audience Studio is helemaal gestopt per 1 februari 2024 en bestaat niet meer. De kuid-cookies, waar het om gaat, worden niet meer geplaatst en niet meer onderhouden. Het is mogelijk dat er nog cookies op het internet rondzwerven die door klanten zijn geplaatst, maar deze leiden nergens meer toe. Deze worden niet meer uitgelezen. De cookies hebben een tevoren bepaalde levensduur van 180 dagen, daarna vloeien ze weg. Wat dat betreft is er geen urgentie meer, en gaat het alleen om gedragingen van Salesforce in het verleden. (…)”

Aan het slot van de zitting heeft het Hof partijen in overweging gegeven om onderling afspraken te maken over het veiligstellen van gegevens.

2.6.

Bij brief van 18 september 2024 heeft [eiseres] Salesforce gevraagd om bevestiging dat zij informatie die in een later stadium van de procedure als bewijs kan dienen daadwerkelijk zal bewaren. De brief bevat een niet-uitputtende opsomming van informatie die Salesforce volgens [eiseres] zou moeten bewaren.

2.7.

Bij arrest van 24 september 2024 heeft het gerechtshof het vonnis van deze rechtbank vernietigd. [eiseres] is alsnog ontvankelijk in haar vorderingen verklaard en de zaak is ter verdere afdoening teruggewezen naar deze rechtbank.

2.8.

Bij brief van 11 oktober 2024 heeft Salesforce (voor zover hier van belang) als volgt gereageerd op de brief van 18 september 2024.

“(…)
Salesforce can confirm that it will preserve evidence that exists and that it deems relevant and reasonably capable of being preserved in light of Salesforce's evidentiary position in the context of the proceedings.

However, your request for data preservation is based on an incorrect and incomplete understanding of Audience Studio and the functioning of cookies. (…)

(…)

2. Salesforce is also not a data controller. Rather, Salesforce is the software

developer of the program Audience Studio, a data management platform (DMP)

where its customers could organize and manage their data and interactions with

internet users. Salesforce did not determine the purposes and means of data

processing via the "_kuid_"-cookie in the Audience Studio environment. These

decisions were made solely by individual customers (website owners)

themselves.

3. Consequently, Salesforce does not have the information and evidence requested

by [eiseres] . Salesforce did not itself place cookies, but merely provided a DMP. The

storage of customer data entered into Audience Studio was hosted by a third

party provider. Customers retained their own data within their separate configuration of Audience Studio and/or on the Salesforce platform. In other

words, Salesforce was not in any way involved in its customers' interactions with

internet users.
(…)”

2.9.

Bij e-mail van 11 oktober 2024 heeft [eiseres] Salesforce gevraagd te antwoorden op de volgende specifieke vragen.

“(…)
1) To which service(s), if any, did Salesforce advise its customers to migrate after the retirement of Audience Studio?

2) Did Salesforce retain the (customer) data associated with the Audience Studio, including the ID's associated with the cookies “_kuid_”?
(…)”

2.10.

Bij e-mail van 15 oktober 2024 heeft Salesforce (voor zover hier van belang) als volgt gereageerd.

“(…)
We inform you that Salesforce does not see reason to further discuss this topic with [eiseres] at this stage of the proceedings. We refer you to the contents of our letter dated 11 October 2024.
(…)”

2.11.

Op 20 december 2024 zijn Salesforce en Oracle in cassatie gegaan tegen het arrest van 24 september 2024. In februari 2025 heeft [eiseres] op haar beurt incidenteel cassatieberoep ingesteld. De Hoge Raad heeft de datum voor schriftelijke toelatingen bepaald op 27 juni 2025. De procedure bij deze rechtbank bevindt zich op dit moment op de parkeerrol, in afwachting van de procedure bij de Hoge Raad.

2.12.

Bij brief van 17 februari 2025 heeft [eiseres] Salesforce gesommeerd om (kort gezegd) verdere informatie te verstrekken, relevante cookie ID’s en bijbehorende informatie te bewaren gedurende de procedure, voor zover derden deze informatie hebben opgeslagen: opgave te doen van wie die derden zijn, en voor zover de betreffende gegevens onomkeerbaar zouden zijn verwijderd: bewijs daarvan te verstrekken.

2.13.

Bij brief van 21 februari 2025 heeft Salesforce (voor zover hier van belang) als volgt gereageerd.

“(…) Salesforce's position remains as outlined in our previous correspondence (…).

2.14.

[eiseres] heeft een rapport ingediend van 6 maart 2025, van een onderzoek dat Motivaction in week 38 van 2024 in haar opdracht heeft verricht. Uit dit rapport blijkt dat 76,32% van de Nederlandse bevolking tussen de 18 en 70 jaar die zich met enige regelmaat op het internet begeeft, een cookie van Salesforce geplaatst heeft gekregen. Verder blijkt uit het rapport dat 0.88% van de deelnemers een _kuid_ cookie geplaatst heeft gekregen.

3.Het geschil

3.1.

[eiseres] vordert samengevat – bij uitvoerbaar bij voorraad te verklaren vonnis en met veroordeling van Salesforce in de proceskosten, dat:

3.2.

[eiseres] legt aan haar vorderingen (samengevat) het volgende ten grondslag. Ten aanzien van het gevorderde gebod (vordering i) beroept [eiseres] zich in de eerste plaats op het maatschappelijke belang van waarheidsvinding zoals dat onder meer voortvloeit uit artikel 21 Wetboek van burgerlijke rechtsvordering (Rv). Het verduisteren of vernietigen van bewijs in het kader van een lopende procedure is in strijd met dit fundamentele belang. [eiseres] beroept zich daarnaast op analoge toepassing van regels van conservatoir beslagrecht, zoals bepaald in artikelen 205 en 206 Rv.

3.3.

Ten aanzien van de gevorderde inzage in andere Salesforce producten en diensten (vordering ii) en het gevorderde overzicht van (voormalige) klanten van Salesforce (vordering iv), beroept [eiseres] zich op het inzagerecht, zoals bepaald in artikel 195 jo. 194 Rv (nieuw) en de maatschappelijke zorgvuldigheid (artikel 6:162 BW).

3.4.

Indien Salesforce zich op het standpunt stelt dat de Cookie ID’s en daaraan gekoppelde informatie niet meer traceerbaar zouden zijn, vordert [eiseres] dat een deskundige wordt benoemd op grond van artikel 186 lid 1 Rv en Saleforce een overzicht verstrekt van (voormalige) klanten van Saleforce

3.5.

Salesforce voert verweer.

3.6.

Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.

4.De beoordeling

De zaak in het kort en spoedeisend belang

4.1.

De vorderingen in dit kort geding hebben tot doel het verzekeren van bewijs en vergaren van informatie in het kader van een WAMCA-procedure die [eiseres] in 2020 tegen Salesforce heeft ingesteld. Die procedure bevindt zich – nadat deze rechtbank en het Hof eerder over de ontvankelijkheid van [eiseres] hebben beslist en Salesforce in cassatie is gegaan bij de Hoge Raad – nog in de ontvankelijkheidsfase. Tijdens de regiezitting bij het Hof op 5 augustus 2024 heeft Salesforce toegelicht dat zij haar dienst Audience Studio per februari 2024 heeft beëindigd. [eiseres] stelt dat daardoor sprake is van een nieuwe situatie en vreest dat deze beëindiging mede tot gevolg zal hebben dat bewijs verloren gaat (of is gegaan) dat zij mogelijk nodig zal hebben om haar schade te onderbouwen in een later stadium van de WAMCA-procedure.

4.2.

Als daadwerkelijk bewijs verloren dreigt te gaan, in afwachting van een beslissing van de Hoge Raad over de ontvankelijkheid van [eiseres] in haar vorderingen, dan is aannemelijk dat dit bewijsnood van [eiseres] in een later stadium van de procedure tot gevolg zou kunnen hebben. Daaruit volgt dat [eiseres] spoedeisend belang heeft bij een beslissing op haar vorderingen in dit kort geding.

Bewaren van gegevens

4.3.

De gegevens waarvan [eiseres] een gebod tot bewaring vordert zijn (kort gezegd) Cookie ID’s en daaraan gekoppelde informatie. [eiseres] heeft toegelicht dat een CookieID een unieke identificator is waarmee een apparaat van een internetgebruiker kan worden geïdentificeerd en zijn of haar internetgebruik over verschillende websites en applicaties kan worden bijgehouden en opgeslagen in profielen.

4.4.

Partijen staan lijnrecht tegenover elkaar met betrekking tot de vraag of Salesforce beschikt over dergelijke gegevens. Salesforce stelt dat zij geen gegevens van internetgebruikers heeft verwerkt voor eigen commerciële doeleinden, maar dat haar klanten dit deden met gebruik van haar software, Audience Studio. Klanten van Salesforce konden Audience Studio zelf configureren en daarmee bepalen welke (persoons)gegevens werden verwerkt en voor welk doeleinde. Salesforce stelt dat zij zich daar niet mee heeft bemoeid en dat zij geen inzicht had in die gegevens. Een juist begrip van haar rol leidt volgens Salesforce onvermijdelijk tot de conclusie dat zij de gegevens waarop deze vordering ziet niet heeft en nooit heeft gehad.

4.5.

Hoe de gegevensverwerking via Audience Studio feitelijk plaatsvond kan in dit kort geding (waar geen ruimte is voor feitenonderzoek) niet worden vastgesteld. Er bestaat geen aanleiding de vraag of Salesforce verwerkingsverantwoordelijke is ten aanzien van de middels de _kuid_ cookie verwerkte persoonsgegevens worden in dit kort geding te beantwoorden. Die vraag ligt voor bij de rechter in de WAMCA-procedure en is voor het in dit kort geding gevorderde gebod tot bewaring niet doorslaggevend. De vraag of Salesforce over de desbetreffende gegevens
beschiktis immers niet afhankelijk van de vraag of Salesforce als verwerkingsverantwoordelijke moet worden aangemerkt. Ook als Salesforce wordt gevolgd in haar standpunt dat alleen haar klanten persoonsgegevens zouden hebben verwerkt aan de hand van eigen configuraties van de Audience Studio-software, dan betekent dit niet zonder meer dat Salesforce feitelijk niet zou beschikken over de Cookie ID’s en aanverwante gegevens die haar klanten met behulp van die software hebben gegenereerd. Ook de stelling dat zij geen inzicht zou hebben in die gegevens doet niet af aan de mogelijkheid dat Salesforce over deze gegevens (heeft) beschikt.

4.6.

Dat Salesforce in ieder geval
heeftbeschikt over gegevens van haar klanten volgt uit haar stelling dat zij “de Audience Studio infrastructuur” en “alle resterende data van haar klanten die zich binnen die infrastructuur bevonden” binnen 120 dagen na beëindiging heeft verwijderd, conform haar
Trust and Compliance Documentation. Wat de aard is van de verwijderde gegevens heeft Salesforce niet toegelicht. Voorshands kan niet worden uitgesloten dat dit ook gegevens betreffen waar de vordering in dit kort geding op ziet, nu Salesforce in haar conclusie van antwoord heeft toegelicht dat haar klanten “de aan de cookie gerelateerde gegevens (…) in hun eigen omgeving van Audience Studio konden opslaan”.

4.7.

Het roept vragen op dat Salesforce stelt dat zij resterende gegevens van haar klanten in de Audience Studio infrastructuur inmiddels heeft verwijderd, zonder dat zij duidelijkheid heeft gegeven over de aard van die gegevens. Het roept ook vragen op dat Salesforce enerzijds stelt dat zij nooit inzicht heeft gehad in de door haar klanten verwerkte persoonsgegevens binnen de Audience Studio infrastructuur, en anderzijds met zekerheid stelt dat zij nooit heeft beschikt over Cookie ID’s en aanverwante gegevens, die naar haar eigen zeggen wel binnen de “eigen omgeving van Audience Studio” konden worden opgeslagen.

4.8.

Daarbij komt het volgende. De Audience Studio dienstverlening is meer dan een jaar geleden, per 1 februari 2024 beëindigd. Uit het standpunt van Salesforce volgt dat zij de gegevens van haar klanten al had verwijderd vóórdat de regiezitting plaatsvond op 5 augustus 2024. Tijdens die regiezitting is het veiligstellen van bewijs aan de orde geweest. Het roept ook vragen op dat Salesforce tijdens die zitting heeft verklaard dat zij niet meer dan een ‘pakhuis is waarin klanten data – ontvangen via cookies – kunnen managen, zonder dat zij weet wat er in het pakhuis is opgeslagen’, maar in dat kader niet heeft vermeld dat zij op dat moment alle gegevens van haar klanten reeds had verwijderd: het pakhuis was kennelijk leeg. De rechter heeft partijen aan het slot van de regiezitting in overweging gegeven om afspraken te maken over het bewaren van gegevens, terwijl gegevens waar het [eiseres] (ook) om te doen is – namelijk gegevens die zijn ontvangen via cookies die bij Salesforce waren opgeslagen – reeds zouden zijn verwijderd.

4.9.

Gelet op de grote informatie-assymetrie tussen partijen, en gelet op de mogelijke vergaande gevolgen van het verwijderen van gegevens, terwijl een bodemprocedure aanhangig is die draait om al dan niet bij Salesforce opgeslagen persoonsgegevens, had het op de weg van Salesforce gelegen om klip en klaar te communiceren over de beëindiging van haar dienst Audience Studio, over de te verwijderen gegevens, en over de vraag hoe zij omgaat met het bewaren van bewijs gedurende de bodemprocedure. Nu Salesforce deze transparantie en duidelijkheid niet heeft betracht in de aanloop naar beëindiging van Audience Studio, noch tijdens de regiezitting, noch in de gevoerde correspondentie daarna en ook niet tijdens dit kort geding, bestaat er een aanzienlijk risico dat, voor zover Salesforce nog beschikt over (een backup van) Cookie ID’s en/of aanverwante informatie, meer gegevens zullen worden verwijderd. Daarin wordt aanleiding gezien om het gevorderde gebod tot het bewaren van de verwerkte gegevens met betrekking tot de achterban van [eiseres] voor de duur van de WAMCA-procedure toe te wijzen. Als prikkel tot nakoming zal aan dit gebod een dwangsom worden verbonden, zoals hierna zal worden vermeld. Salesforce zal geen gegevens mogen verwijderen die onder het gebod vallen. Het gebod geldt niet voor gegevens waarover zij niet beschikt: die kan zij immers niet bewaren.

Inzagevordering in kort geding tijdens aanhangige bodemprocedure?

4.10.

Per 1 januari 2025 is de Wet vereenvoudiging en modernisering bewijsrecht in werking getreden. Partijen zijn het oneens over de vraag of [eiseres] op grond van het nieuwe bewijsrecht een vordering tot inzage in kort geding toekomt, nu tussen hen al een bodemprocedure aanhangig is.

4.11.

Het nieuwe bewijsrecht bevat een regeling voor voorlopige bewijsverrichtingen (art. 196 t/m 204 Rv), waaronder ook wordt begrepen het verzoek tot het verkrijgen van inzage in bepaalde gegevens. Onder het nieuwe bewijsrecht is het niet langer mogelijk om tijdens een aanhangige procedure een verzoek tot een voorlopige bewijsverrichting in te dienen (art. 196 lid 1 Rv). Salesforce betoogt dat de inzagevordering in kort geding, als voorlopige bewijsverrichting, niet mogelijk is, nu een bodemprocedure aanhangig is. Zij heeft in dit verband Lock, raadsheer in de civiele kamer van de Hoge Raad, geciteerd, die daarover het volgende schrijft:

“(…)
De wet is er niet geheel duidelijk over of tijdens een lopende procedure ook in kort geding nog een inzageverzoek (of eigenlijk dan: inzagevordering) kan worden gedaan. De mogelijkheid om in spoedeisende gevallen in kort geding inzage te vorderen, is geregeld in art. 197 lid 1, laatste volzin, Rv-nieuw en daarmee dus in de paragraaf over voorlopige bewijsverrichtingen; kennelijk ziet de wetgever een inzagevordering in kort geding als een vorm van voorlopige bewijsverrichting. Hieruit zou kunnen worden afgeleid dat een inzageverzoek of -vordering niet meer zelfstandig, ook niet in kort geding, kan worden gedaan als inmiddels de hoofdzaak loopt. Deze uitleg zou stroken met de gedachte van de wetgever dat wanneer de zaak in een bodemprocedure wordt behandeld, bewijsverrichtingen moeten lopen via de rechter die met de bodemzaak is belast, en dat een voorlopige bewijsverrichting die lopende procedure niet mag doorkruisen (…).”^[1]

4.12.

De door Salesforce voorgestane interpretatie van het inzagerecht zou een wezenlijke verandering ten opzichte van de gangbare praktijk onder het oude bewijsrecht inhouden, waarin wel plaats was voor een inzagevordering in kort geding tijdens een lopende bodemprocedure (ECLI:NL:HR:2013:BY6111). Dat de wetgever een dergelijke ingrijpende wijziging heeft beoogd blijkt niet uit de totstandkomingsgeschiedenis van het nieuwe bewijsrecht. Integendeel. Daaruit blijkt juist dat de gangbare praktijk om in kort geding een inzagevordering in te stellen behouden blijft.^[2]In de totstandkomingsgeschiedenis staat daarover bijvoorbeeld het volgende:

“(…) Naar aanleiding van enkele reacties in de consultatie is bevestigd dat het mogelijk blijft om in een kort geding procedure een inzagevordering in te stellen. Het voorgestelde artikel 197 Rv is hierop aangepast. Deze inzagevordering in kort geding staat los van de in dit wetsvoorstel voorgestelde bijzondere procedure waarin de verschillende voorlopige bewijsverrichtingen zijn samengevoegd tot één verzoek om een of meer voorlopige bewijsverrichtingen. Op de inzagevordering zijn de bepalingen over het kort geding (de artikelen 254 Rv) en het algemene rechtsmiddelenregime van toepassing. (…)”^[3]

De weg van het kort geding staat alleen open voor de inzagevordering. Dit geldt niet voor de andere voorlopige bewijsverrichtingen.^[4]

4.13.

Salesforce heeft gewezen op het volgende citaat uit de Memorie van Toelichting bij de Wet vereenvoudiging en modernisering bewijsrecht, waaruit zij afleidt dat als een zaak inhoudelijk wordt behandeld, bewijsverrichtingen via de rechter lopen aan wie de zaak is toebedeeld:

“(…) Bij de voorbereiding van dit wetsvoorstel hebben de Adviescommissie voor burgerlijk procesrecht en de stakeholders hun steun uitgesproken voor het voorstel om partijen tijdens een lopende procedure niet langer het recht op voorlopige bewijsverrichtingen te bieden. Als een zaak al inhoudelijk wordt behandeld, moeten bewijsverrichtingen via de rechter lopen aan wie de zaak is toebedeeld en moet een voorlopig getuigen verhoor de lopende procedure niet doorkruisen. Zoals de Adviescommissie in haar consultatiereactie heeft opgemerkt, verdraagt een andere keuze zich slecht met de sterke regiefunctie van de rechter en de beoogde efficiëntere procesvoering. (…)”^[5]

Aan de tekst die daaraan vooraf gaat blijkt echter dat dit citaat betrekking heeft op het verzoek tot een voorlopig getuigenverhoor, en dat hetzelfde geldt voor het verzoek om een voorlopig deskundigenbericht en een voorlopige plaatsopneming en bezichtiging, tijdens een lopende procedure. Nu dit juist voorlopige bewijsverrichtingen zijn die (in tegenstelling tot het inzageverzoek) niet in kort geding kunnen worden gevorderd, kan dit citaat niet zonder meer van toepassing worden geacht op het inzageverzoek, dat ten opzichte van deze andere bewijsverrichtingen een eigen karakter had en deels is blijven houden.

4.14.

Dit alles leidt tot de volgende conclusie. De wet biedt geen duidelijkheid over de vraag of in kort geding een inzagevordering kan worden gedaan tijdens een lopende bodemprocedure. De systematische interpretatie die Salesforce (met een beroep op Lock) voorstaat, waarbij de beperking die voor de overige bewijsverrichtingen geldt ook van toepassing wordt geacht op de inzagevordering in kort geding, omdat deze in dezelfde paragraaf over voorlopige bewijsverrichtingen is geregeld, gaat voorbij aan het eigen karakter van de inzagevordering in kort geding en vind geen steun in de totstandkomingsgeschiedenis. Daarin is toegelicht dat de inzagevordering in kort geding juist los staat van de procedure onder het nieuwe bewijsrecht waarin de verschillende voorlopige bewijsverrichtingen zijn samengevoegd tot één verzoek om een of meer voorlopige bewijsverrichtingen. De totstandkomingsgeschiedenis van het nieuwe bewijsrecht ondersteunt verder de zienswijze dat de wetgever geen breuk met de gangbare praktijk onder het oude bewijsrecht heeft beoogd, waarin een vordering tot inzage in kort geding ook mogelijk was tijdens een reeds aanhangige bodemprocedure.

4.15.

Dit leidt tot het oordeel dat de aanhangige bodemprocedure niet aan de ontvankelijkheid van Salesforce in haar vordering tot inzage in dit kort geding in de weg staat.

Inhoudelijke beoordeling inzagevordering

4.16.

[eiseres] vordert allereerst inzage in “alle diensten en producten aangeboden door Salesforce en al haar gelieerde ondernemingen die zij beschikbaar heeft gesteld aan gebruikers van Audience Studio in het kader van de uitfasering en migratie van de diensten van Audience Studio en aanverwante diensten”. [eiseres] heeft aan deze vordering ten grondslag gelegd dat Salesforce Cookie ID’s en daaraan gekoppelde informatie mogelijk heeft gemigreerd naar een of meer van haar andere diensten. Salesforce betwist dat Cookie ID’s en daaraan gekoppelde informatie zou zijn gemigreerd naar andere diensten. Audience Studio heeft geen opvolger gekregen en Salesforce biedt geen DMP dienst meer aan. Haar huidige diensten (waaronder
Data Cloud) maken geen gebruik van de _kuid_cookie en verschillen fundamenteel van de diensten van een DMP (zie 2.3), zodat ook niet aannemelijk is dat haar klanten data hebben gemigreerd van Audience Studio naar een van haar andere diensten, omdat die gegevens binnen die diensten niet zonder meer bruikbaar zijn, aldus Salesforce.

4.17.

Geoordeeld wordt al volgt. Dat Salesforce op dit moment het gestelde onrechtmatige handelen met betrekking tot de _kuid_cookie zou voortzetten vanuit andere domeinnamen en met andere cookies heeft [eiseres] niet aannemelijk gemaakt. Zij baseert deze stelling op het rapport van Motivaction (zie 2.14), waaruit blijkt dat een groot deel (76,32%) van de Nederlandse bevolking die zich regelmatig op het internet bevindt een cookie van Salesforce geplaatst heeft gekregen, terwijl de _kuid_ cookies nog maar nauwelijks worden geplaatst. Deze trend past binnen de verklaring van Salesforce dat zij Audience Studio heeft beëindigd en dat haar nieuwe diensten geen gebruik meer maken van de _kuid_cookie. Het argument dat Salesforce op dit moment onrechtmatig zou handelen of onrechtmatig handelen zou voortzetten jegens de achterban van [eiseres] heeft [eiseres] verder geen handen en voeten gegeven. Zij heeft dan ook onvoldoende belang bij de gevorderde inzage in alle door Salesforce aan gebruikers van Audience Studio beschikbaar gestelde diensten en producten in het kader van de uitfasering en migratie van de diensten van Audience Studio.

4.18.

[eiseres] vordert verder opgave van de doeleinden van de cookies die Salesforce plaatst volgens de opsomming in het overlegde rapport van Motivaction, in het bijzonder in hoeverre met behulp van deze cookies gegevens worden verwerkt die direct of indirect worden gebruikt om internetgebruikers te volgen en/of gericht advertenties te tonen, al dan niet via of door derden of met behulp van ‘real time bidding’ (RTB). Dat deze cookies een rol spelen bij de door [eiseres] gestelde rechtsbetrekking tussen partijen (onrechtmatige daad) blijkt nergens uit. Dat [eiseres] belang heeft bij deze opgave in het kader van de aanhangige WAMCA-procedure evenmin. Zoals hiervoor overwogen is de enkele stelling dat Salesforce het gestelde onrechtmatige handelen mogelijk voortzet vanuit andere domeinnamen en met andere cookies daarvoor onvoldoende.

4.19.

[eiseres] vordert tot slot opgave van de namen en contactgegevens van de klanten van Salesforce, actief op de Nederlandse markt, althans in ieder geval de klanten die gebruik hebben gemaakt van de dienst Audience Studio (dan wel een van haar voorgangers of opvolgers), althans de gegevens die noodzakelijk zijn om de desbetreffende klanten te kunnen benaderen.

4.20.

[eiseres] heeft voldoende aannemelijk gemaakt dat middels de _kuid_cookie mogelijk onrechtmatig inbreuk is gemaakt op de persoonlijke levenssfeer van haar achterban. Zij heeft er belang bij om degene die verantwoordelijk is voor die inbreuk in rechte te kunnen aanspreken. Nu Salesforce zich op het standpunt stelt dat zij niet verwerkingsverantwoordelijke is in het kader van de verwerking van de persoonsgegevens van de achterban van [eiseres] , maar haar klanten, heeft [eiseres] reëel belang bij de verkrijging van de contactgegevens van deze klanten. Dat Salesforce stelt geen enkele bemoeienis met en inzicht in deze verwerking van persoonsgegevens te hebben gehad, en gelijktijdig niet wil prijsgeven wie haar klanten zijn, wordt voorshands in strijd met de maatschappelijke zorgvuldigheid geacht. De stelling dat [eiseres] zelf kan nagaan wie _kuid_cookies op de randapparatuur van haar achterban heeft geplaatst wordt gepasseerd. Aannemelijk is dat het voor [eiseres] geen doen is om haar volledige achterban screenshots te laten maken om de klanten van Salesforce te achterhalen. De stelling dat de contactgegevens van haar klanten vallen onder vertrouwelijk en bedrijfsgevoelige informatie wordt gepasseerd, nu Salesforce dit onvoldoende heeft onderbouwd

Aanstelling deskundige

4.21.

In dit kort geding bestaat geen aanleiding voor toewijzing van het gevorderde deskundigenonderzoek. Dat onderzoek is gericht op de onderbouwing van de vorderingen van [eiseres] in de aanhangige bodemprocedure. Toewijzing van deze vordering zou de lopende WAMCA-procedure doorkruisen en afdoen aan de regiefunctie van de bodemrechter, nu deze vordering in de inhoudelijke fase van die bodemprocedure thuishoort. Daarvoor zou slechts aanleiding bestaan in zeer uitzonderlijke gevallen. Zo’n uitzonderlijk geval doet zich hier niet voor. Het risico dat relevante gegevens zullen worden verwijderd is met het toe te wijzen gebod tot bewaring geadresseerd. Daarnaast is de door [eiseres] aangevoerde reden om nu, buiten de WAMCA-procedure om, te willen starten met een deskundigenonderzoek omdat de WAMCA-procedure al zo lang loopt en naar verwachting ook nog lang zal duren, wel begrijpelijk maar niet voldoende. Vanaf het begin moet het [eiseres] duidelijk zijn geweest dat het een complex en langdurig traject zou zijn.

Conclusie en proceskosten

4.22.

Slotsom is dat de vorderingen onder punt i en onder punt iv van het petitum zullen worden toegewezen en dat de overige vorderingen zullen worden afgewezen. Omdat partijen over en weer gedeeltelijk in het (on)gelijk zijn gesteld zullen de proceskosten tussen hen worden gecompenseerd, in die zin dat iedere partij de eigen kosten draagt.

5.De beslissing

De voorzieningenrechter

5.1.

beveelt Salesforce alle Cookie ID’s en daaraan gekoppelde informatie (zoals omschreven in het lichaam van de dagvaarding) betreffende de Nauw Omschreven Groep (zoals omschreven in het lichaam van de dagvaarding) die verwerkt zijn met behulp van Audience Studio of aanverwante diensten van gedaagden, te bewaren en in leesbare vorm beschikbaar te houden voor zolang de WAMCA-procedure voortduurt en 4 (vier) jaar nadat de laatste uitspraak kracht van gewijsde heeft gekregen,

5.2.

beveelt Salesforce om binnen 2 (twee) weken na betekening van dit vonnis een opgave te verstrekken van de namen en contactgegevens van haar klanten actief op de Nederlandse markt, althans in ieder geval de klanten die gebruik hebben gemaakt van de dienst Audience Studio (dan wel een van haar voorgangers of opvolgers), althans de gegevens die noodzakelijk zijn om de betreffende klanten te kunnen benaderen,

5.3.

veroordeelt Salesforce hoofdelijk om aan [eiseres] een onmiddellijk opeisbare dwangsom te betalen van € 50.00,00 per overtreding, te vermeerderen met een dwangsom van € 10.000,00 per dag of dagdeel dat de overtreding voortduurt, tot een maximum van € 500.000,00 is bereikt, indien Salesforce geheel of gedeeltelijk in strijd handelt met het bevel onder 5.1 en/of het bevel onder 5.2,

5.4.

verklaart dit vonnis tot zover uitvoerbaar bij voorraad,

5.5.

compenseert de proceskosten tussen partijen in die zin dat iedere partij de eigen kosten draagt,

5.6.

wijst het meer of anders gevorderde af.

Dit vonnis is gewezen door mr. E.A. Messer, voorzieningenrechter, bijgestaan door mr. J. Dekker, griffier. Bij afwezigheid van mr. Messer is dit vonnis ondertekend door mr. W.M. de Vries, voorzieningenrechter, die het vonnis in het openbaar heeft uitgesproken op 2 mei 2025.