Zur Verantwortlichkeit von Online-Marktplätzen

Das Urteil des EuGH vom 2. Dezember 2025 (Az: C-492/23) klingt zunächst wie ein Spezialproblem für Juristen. Tatsächlich betrifft es aber ganz praktisch, wie Online-Marktplätze und Plattformen mit Nutzeranzeigen umgehen müssen, wenn darin personenbezogene Daten auftauchen – also etwa Fotos, Telefonnummern oder andere Angaben, die eine Person identifizierbar machen. Ausgangspunkt war eine Anzeige auf einem rumänischen Online-Marktplatz, die ohne Einwilligung der Betroffenen veröffentlicht wurde und besonders heikel war, weil sie intime, stigmatisierende Inhalte transportierte. 

Kern des Falls war die Frage, ob der Plattformbetreiber nur „Technikdienstleister“ ist, der Inhalte Dritter hostet, oder ob er datenschutzrechtlich selbst verantwortlich ist? Der EuGH beantwortet das deutlich: Der Betreiber eines Online-Marktplatzes ist „Verantwortlicher“ im Sinne der DSGVO für die Verarbeitung der personenbezogenen Daten, die in Nutzeranzeigen enthalten sind. Dies gilt jedenfalls dann, wenn die Plattform nicht nur neutral speichert, sondern die Veröffentlichung aktiv strukturiert und wirtschaftlich nutzt, etwa durch Vorgaben zur Darstellung, Rubrizierung, Laufzeit und Reichweite oder durch eigene kommerzielle Zwecke wie Werbung. Gerade weil die Daten erst durch die Plattform „ins Internet gebracht“ und für die Öffentlichkeit zugänglich werden, bleibt es nicht bei einer rein passiven Rolle.

Besonders weitreichend ist, was der EuGH daraus ableitet: Für Plattformen reicht ein reines „Melden-und-Löschen“ nicht aus, wenn ihr Dienst typischerweise das Risiko birgt, dass Nutzer sensible Daten einstellen. Der EuGH betont, dass Verantwortliche die Grundsätze rechtmäßiger Datenverarbeitung sicherstellen müssen und dafür technische und organisatorische Maßnahmen so gestalten müssen, dass Datenschutzverstöße möglichst schon vor der Veröffentlichung verhindert werden. Für „besondere Kategorien“ personenbezogener Daten (umgangssprachlich: sensible Daten, etwa zum Sexualleben) hat dies zur Folge, dass eine Veröffentlichung grundsätzlich verboten ist, es sei denn, es liegt eine ausdrückliche Einwilligung oder eine andere eng begrenzte Ausnahme nach Art. 9 Abs. 2 DSGVO vor. Entsprechend muss der Betreiber Prozesse vorsehen, die diese Voraussetzungen vor Veröffentlichung verlässlich absichern. 

Damit verknüpft der EuGH sehr konkrete Compliance-Konsequenzen. Aus dem Urteil ergibt sich, dass der Plattformbetreiber bei einem anonymen Anzeigesystem nicht einfach die Augen vor dem Einwilligungsproblem verschließen darf. Ermöglichen Plattform und Inserent gemeinsam die Veröffentlichung, muss der Plattformbetreiber die Identität des Inserenten erheben und in einem geeigneten Rahmen verifizieren können, um die Verantwortlichkeiten und Nachweise (insbesondere zur Einwilligung bei sensiblen Daten) praktisch handhabbar zu machen. Außerdem stellt der EuGH klar, dass die Haftungsprivilegien des E-Commerce-Rechts (und die Logik „keine allgemeine Überwachungspflicht“) die Pflichten aus der DSGVO nicht aushebeln. Datenschutzrechtliche Verantwortlichkeit und die Pflicht zu angemessenen Schutzmaßnahmen bestehen unabhängig davon.

Für die Praxis ist das ein Paradigmenwechsel: Betreiber von Kleinanzeigen-Portalen, Marktplätzen und Plattformen mit nutzergenerierten Inseraten müssen ihre Produkt- und Moderationsarchitektur überdenken, und zwar weg von rein reaktiven Abläufen, hin zu risikobasierten Vorkehrungen „by design“. Je eher einem Angebot ein Missbrauchsrisiko aufweist (zum Beispiel Kontaktanzeigen, Dienstleistungen mit Personenbezug, „Adult“-Rubriken), desto eher sind Identitätschecks, Vorab-Filter, gestufte Freigaben, Einwilligungs-Workflows und belastbare Nachweisprozesse erforderlich sein. Gleichzeitig steigt das Haftungs- und Bußgeldrisiko, weil Betroffene nicht mehr nur gegen den anonymen Inserenten, sondern datenschutzrechtlich direkt gegen den Plattformbetreiber vorgehenkönnen.