Oostenrijks Hooggerechtshof (OGH): Meta moet binnen 14 dagen volledige toegang geven tot alle persoonlijke gegevens van gebruikers, inclusief de bronnen, ontvangers en doeleinden waarvoor elke informatie is gebruikt. Alle claims van Meta met betrekking tot handelsgeheimen of andere beperkingen werden verworpen, wat leidde tot een ongekende toegang tot de interne werking van Meta. Meta verzamelde ook illegaal gegevens van apps en websites van derden en mag alleen gepersonaliseerde advertenties aanbieden als een gebruiker "specifieke, geïnformeerde, ondubbelzinnige en vrij gegeven" toestemming heeft gegeven. Meta moet er ook voor zorgen dat gegevens waaruit gevoelige informatie blijkt (zoals politieke opvattingen, seksuele geaardheid of gezondheid) niet samen met andere gegevens worden verwerkt, tenzij een geldige rechtsgrondslag volgens artikel 9, lid 2, GDPR van toepassing is. Meta kan de toepassing van artikel 9 GDPR niet ontwijken met het argument dat het dergelijke gegevens niet opzettelijk verzamelt of dat het deze technisch niet kan onderscheiden of scheiden. De zaak, die in 2014 werd aangespannen door Max Schrems, duurde oorspronkelijk 11 jaar en kwam drie keer voor het Oostenrijkse Hooggerechtshof en twee keer voor het HvJEU. De heer Schrems kreeg een schadevergoeding van 500 euro.
Volledige toegang tot alle persoonlijke gegevens & andere informatie binnen 14 dagen. Onder artikel 15 GDPR moet Meta niet alleen een volledige 1:1 kopie van alle persoonlijke gegevens verstrekken aan elke gebruiker die daarom vraagt, maar ook informatie geven over de doeleinden waarvoor deze gegevens zijn verwerkt en de bronnen en ontvangers van elke informatie. Sinds 2011 heeft de eiser (Max Schrems) geprobeerd volledige toegang te krijgen tot zijn persoonlijke gegevens, maar Meta gaf slechts gedeeltelijke toegang. Voor gemiddelde gebruikers verwees Meta alleen naar een "downloadtool" die zogenaamde "relevante" informatie bevatte en verder verwees het naar zijn algemene privacybeleid. Het Oostenrijkse Hooggerechtshof heeft nu besloten dat Meta alle persoonlijke gegevens (elk stukje) openbaar moet maken en ook specifieke informatie moet verstrekken over alle gegevens, zoals de bron, ontvanger of het doel van de verwerking, en dat alles binnen een termijn van 14 dagen die eindigt op 31.12.2025. De standaardtermijn onder de wet is één maand - en die is al jaren geleden verstreken. De beweringen van Meta over vermeende beperkingen van een volledig recht op toegang (zoals handelsgeheimen en dergelijke) werden door Meta niet naar behoren beargumenteerd en daarom volledig verworpen. De definitieve en direct uitvoerbare uitspraak van het Oostenrijkse Hooggerechtshof zal daarom leiden tot een ongekende toegang voor de heer Schrems tot Meta's praktijk van het verwerken van zijn (en in werkelijkheid ieders) gebruikersgegevens.
Katharina Raabe-Stuppning, de Oostenrijkse advocaat die de eiser vertegenwoordigt: "Het heeft 11 jaar geduurd, maar nu is er een definitieve uitspraak dat Meta ongekende toegang moet geven tot alle gegevens die het ooit over de heer Schrems heeft verzameld. Dit gaat veel verder dan de downloadtool of informatie op de website. Al meer dan tien jaar weigert Meta volledige transparantie te geven over welke gegevens het verwerkt over Europese gebruikers. De uitspraak is direct uitvoerbaar in de hele EU."
Advertentiemodel Meta al jaren onwettig in EU. Het Oostenrijkse Hooggerechtshof oordeelde ook dat Meta moet stoppen met het aanbieden van gepersonaliseerde advertenties aan de heer Schrems, aangezien het nooit een wettelijke basis heeft gehad om zijn persoonlijke gegevens voor dit doel te verwerken. In dit opzicht werden de claims van de heer Schrems grotendeels achterhaald door de zaak van het HvJEU in C-252/21 Bundeskartellamt, waarin het HvJEU al oordeelde dat Meta niet de noodzakelijke rechtsgrondslag heeft om de persoonsgegevens van Europeanen te verwerken voor advertenties.
Katharina Raabe-Stuppning: "Het Oostenrijkse Hooggerechtshof heeft - opnieuw - duidelijk gemaakt dat Meta opt-in toestemming nodig heeft om mensen te volgen en hun gegevens te gebruiken voor advertenties."
Scheiding van "gevoelige gegevens" van andere gegevens. Onder Artikel 9 GDPR worden bepaalde "gevoelige" gegevens speciaal beschermd. Hieronder valt informatie met betrekking tot gezondheid, politieke opvattingen, seksleven of seksuele geaardheid. Meta verwerpt categorisch dat het dergelijke gegevens - die het ontvangt via apps van derden, website of door gebruikersactiviteiten op zijn platforms - anders moet behandelen dan andere gegevens. Het Oostenrijkse Hooggerechtshof maakte echter duidelijk dat Meta, zelfs als het dergelijke gegevens niet opzettelijk zou gebruiken (een bewering die in de procedure werd betwist), zich toch aan de wet moet houden.
Max Schrems: "Platformen zoals Facebook of Instagram hebben een enorme invloed, bijvoorbeeld door politieke standpunten aan gebruikers op te dringen. Het was altijd al absurd dat Meta beweerde dat het dergelijke gegevens niet verwerkt en zich niet aan de wet hoeft te houden. De beslissing maakt duidelijk dat Meta dergelijke gebruikersvoorkeuren niet mag gebruiken zonder expliciete toestemming van elke gebruiker."
Een schadevergoeding van €500 is realistisch voor de meeste Meta-gebruikers. In een eerdere deelbeslissing werd de heer Schrems al een schadevergoeding van € 500 toegekend voor de vertraging bij het beantwoorden van zijn verzoek om toegang. De heer Schrems beriep zich voor deze claim ook op de andere schendingen van de GDPR. De uitspraak lijkt onduidelijk wat betreft de gronden voor de toegekende schadevergoeding, maar het lijkt erop dat een schadevergoeding van ten minste € 500 door het Oostenrijkse Hooggerechtshof zeker gerechtvaardigd werd geacht voor schendingen die bijna elke Meta-gebruiker heeft ervaren. De heer Schrems vroeg niet om meer, dus het Hof was gebonden aan € 500 als bovengrens.
Katharina Raabe-Stuppning: "Het lijkt realistisch voor betrokkenen om ten minste € 500 aan immateriële schadevergoeding te eisen voor de uitgebreide schendingen van de GDPR die Meta heeft begaan. Dit zou een goede ondergrens kunnen zijn voor veel andere zaken die in Europa lopen."
11 jaar, 3 uitspraken van het Hooggerechtshof en 2 uitspraken van het HvJEU nodig. In totaal heeft deze zaak 11 jaar geduurd. De eerste regionale burgerlijke rechtbank in Wenen (Landesgericht für Zivilrechtssachen) had twee keer geweigerd de zaak te behandelen, zelfs met het argument dat de heer Schrems geen "consument" is voor zijn privé Facebook-account. Later verwees het naar onzekerheid over de jurisdictie onder de GDPR. Het Oostenrijkse Hooggerechtshof deed drie uitspraken over de zaak, waaronder twee verwijzingen naar het Hof van Justitie van de EU. De definitieve uitspraak over de kosten wordt aangehouden, maar de totale proceskosten bedragen tot nu toe meer dan € 200.000 - voor een financiële claim van ongeveer € 500.
Max Schrems: "De realiteit van GDPR-rechtszaken is dat het voor een gemiddeld persoon tien jaar duurt en ruïneus is. Grote techbedrijven verschuilen zich achter rechtsgebieden zoals Ierland, komen met 100 redenen waarom zaken afgewezen zouden moeten worden en saboteren procedures op elke hoek. We moeten dringend werken aan het afdwingbaar maken van de GDPR in de praktijk."
Sommige claims werden geseponeerd. In de loop van de procedure gaf de heer Schrems een aantal claims op omwille van kosten en procedurele redenen. Bepaalde claims werden ook als alternatieve claims ingediend (zodat slechts één van de claims succesvol had kunnen zijn). De zaak werd enorm verlengd door zeer ongunstige vonnissen in eerste aanleg, aangezien het volgens Oostenrijks recht bijvoorbeeld erg moeilijk is om feitelijke bevindingen in eerste aanleg ongedaan te maken. Veel legitieme vorderingen moesten daarom worden ingetrokken.
