Was der EuGH jetzt von Plattformbetreibern verlangt
Plattformen leben vom Mitmachen: Anzeigen, Kommentare, Fotos – alles wird von Nutzerinnen und Nutzern eingestellt. Doch wenn in diesen Inhalten personenbezogene Daten stehen, wird es heikel. Der Europäische Gerichtshof (EuGH) hat am 2. Dezember 2025 (Rs. C‑492/23) ein bemerkenswert klares Urteil gefällt: Plattformbetreiber haften datenschutzrechtlich mit, wenn rechtswidrige Inhalte mit personenbezogenen Daten online gehen – selbst wenn sie von Dritten stammen.
Das Urteil betrifft vor allem Betreiber von Online-Marktplätzen, sozialen Netzwerken, Bewertungsportalen oder Kleinanzeigenseiten. Aber auch andere Dienste, die nutzergenerierte Inhalte zulassen, sollten aufhorchen.
Der Fall: Eine Fake-Anzeige – mit realen Folgen
Auslöser war eine Anzeige auf einer rumänischen Kleinanzeigenplattform. Darin wurde eine Frau mit echtem Foto und Telefonnummer fälschlich als Anbieterin sexueller Dienstleistungen dargestellt. Die Anzeige stammte nicht von ihr – sie war erfunden. Doch sie verbreitete sich, auch über andere Seiten. Der Plattformbetreiber entfernte den Eintrag zwar nach Hinweis, doch der Schaden war längst geschehen.
Die Betroffene klagte auf Schadensersatz – und bekam vom EuGH indirekt recht. Denn der Gerichtshof nutzte den Fall, um klarzustellen: Plattformbetreiber sind mitverantwortlich, wenn sie keine geeigneten Schutzmaßnahmen treffen – selbst wenn die Inhalte von Nutzern stammen.
Das sagt der EuGH zur Verantwortung der Plattformen
Kernpunkt des Urteils ist die Frage: Wann wird ein Plattformbetreiber zum „Verantwortlichen“ im Sinne der DSGVO? Die Antwort des EuGH ist eindeutig:
Sobald der Betreiber den Nutzern die Veröffentlichung ermöglicht, technische Mittel bereitstellt und dabei eigene wirtschaftliche Interessen verfolgt (z. B. durch Werbung), ist er datenschutzrechtlich mitverantwortlich.
Besonders relevant: Auch wenn die Plattform die Daten nicht selbst eingibt, sondern nur übermittelt oder speichert, kann sie dennoch Verantwortlicher oder Mitverantwortlicher sein – mit allen Pflichten, die das nach der DSGVO mit sich bringt.
Pflichten für Plattformbetreiber – laut EuGH
Die Richter in Luxemburg sprechen nicht in Andeutungen. Sie fordern von Plattformen ganz konkrete Maßnahmen – vor der Veröffentlichung von Inhalten:
-
Identifikation sensibler Inhalte: Plattformen müssen technisch erkennen können, wenn ein Nutzer z. B. Fotos, Kontaktdaten oder Hinweise auf sexuelle Orientierung veröffentlicht.
-
Identitätsprüfung: Wer eine Anzeige mit fremden Daten aufgeben will, muss sich eindeutig identifizieren. Die Plattform muss prüfen, ob die veröffentlichte Person mit dem Nutzer übereinstimmt.
-
Veröffentlichungsverbot bei fehlender Einwilligung: Wenn nicht sicher ist, ob die betroffene Person der Veröffentlichung zugestimmt hat, darf der Inhalt nicht online gehen.
-
Sicherheitsmaßnahmen gegen Weiterverbreitung: Die Plattform muss auch technische Maßnahmen treffen, um eine automatisierte Kopie und Weiterverbreitung (Scraping, Crawling etc.) möglichst zu verhindern.
Der Maßstab ist dabei klar: Je sensibler die Daten, desto strenger die Anforderungen.
E-Commerce-Richtlinie schützt nicht mehr
Ein beliebtes Gegenargument vieler Plattformbetreiber: „Wir sind nur Hoster – für fremde Inhalte nicht verantwortlich.“ Bisher konnte man sich dabei auf die Haftungsprivilegien der E-Commerce-Richtlinie (Art. 14) berufen.
Doch damit ist es in Datenschutzfragen vorbei. Der EuGH stellt klar: Datenschutzrechtliche Verantwortung nach der DSGVO gilt unabhängig von der Rolle als „Hosting Provider“. Die Plattform kann sich also nicht auf Passivität berufen, wenn sie personenbezogene Daten verbreitet.
Was Plattformbetreiber jetzt tun sollten
Betreiber von Online-Plattformen sollten ihre Prozesse kritisch überprüfen. Das Urteil macht deutlich: Wer Nutzern eine Bühne bietet, muss auch den Vorhang kontrollieren, bevor etwas auf die Bühne darf.
Konkret empfiehlt sich:
✔️ Vorabprüfung sensibler Inhalte technisch ermöglichen (z. B. per KI oder Schlagwortfilter)
✔️ Identitätsverifikation bei bestimmten Inhalten einführen (z. B. SMS- oder Ausweiskontrolle)
✔️ Freigabeprozesse definieren, wenn fremde Daten veröffentlicht werden
✔️ Sicherheitsmechanismen gegen automatisierte Kopien etablieren
✔️ Datenschutzinformationen und AGB anpassen
Fazit: Das Datenschutzrecht macht keine Ausnahmen für Plattformen
Mit diesem Urteil wird klar: Plattformen können sich nicht länger als „neutrale Vermittler“ aus der Verantwortung ziehen. Sobald sie wirtschaftlich von der Verbreitung personenbezogener Daten profitieren – ob durch Anzeigen, Werbung oder Nutzerdaten – müssen sie auch dafür einstehen, dass der Schutz dieser Daten gewährleistet ist.
Wer das ignoriert, riskiert nicht nur Imageschäden – sondern auch empfindliche Bußgelder und zivilrechtliche Schadensersatzansprüche.