La Corte ha chiarito che il gestore di un marketplace non può godere dell'esonero di responsabilità previsto dalla Direttiva 2000/31 essendo titolare, ai sensi del GDPR, del trattamento dei dati personali contenuti negli annunci pubblicitari pubblicati sul proprio sito.
Il gestore ha, infatti, l'obbligo di individuare gli annunci che contengono dati sensibili e di verificare che l'utente che si appresta alla pubblicazione sia effettivamente la persona i cui dati sono oggetto di diffusione. In caso contrario, il gestore ha il dovere di accertare che via sia stato un consenso esplicito alla pubblicazione, in assenza del quale quest'ultima deve essere rifiutata, a meno che non rientri in una delle eccezioni previste dallo stesso GDPR. Inoltre, il gestore deve provvedere a che gli annunci pubblicati sul proprio sito e contenenti dati sensibili non siano copiati e illecitamente diffusi da parte di altre piattaforme, mettendo in atto tutte le misure tecniche e organizzative necessarie.