EuGH, Große Kammer – 2. Dezember 2025 – Az. C-492/23
Kurzer Rechtssatz: Der Betreiber eines Online-Marktplatzes kann als Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) gelten — auch wenn personenbezogene Daten von Dritten (Nutzer:innen) in Anzeigen veröffentlicht werden.
Sachverhalt
In der Vorlage C-492/23 geht es um einen Online-Marktplatz der rumänischen Betreiberfirmen (im Ausgangsverfahren: „Russmedia Digital SRL“ und „Inform Media Press SRL“).
Auf diesem Marktplatz wurden von Nutzer:innen Anzeigen geschaltet, die personenbezogene Daten enthielten.
Eine betroffene Person klagte, weil sie der Meinung war, ihre Daten seien rechtswidrig veröffentlicht worden — und verlangte Schadenersatz für immaterielle Schäden (Verletzung von Ehre, Privatleben etc.).
Der nationale Gerichtshof (Cluj, Rumänien) legte daher dem Europäischer Gerichtshof (EuGH) die Frage vor, ob der Betreiber des Marktplatzes im Sinne der DSGVO als Verantwortlicher zu qualifizieren sei — und damit für die Datenverarbeitung verantwortlich sei.
Der Generalanwalt hatte eine andere Ansicht; siehe dazu den Blogbeitrag auf Februar 2025.
🔎 Art der Anzeige
-
Es handelte sich um eine Anzeige auf einem Online-Marktplatz.
-
Der Inhalt der Anzeige war, dass eine Person (die Klägerin im Ausgangsfall) sexuelle Dienstleistungen anbiete.
-
Die Anzeige enthielt personenbezogene Daten der betroffenen Person — insbesondere ein Foto sowie eine Telefonnummer. Diese stammen aus sozialen Netzwerken und wurden ohne Zustimmung der Betroffenen, daher ohne Rechtsgrundlage durch die Person, die die Anzeige aufgab, verwendet.
-
Damit handelte es sich — zumindest im vorliegenden Fall — um eine Anzeige, die sensible personenbezogene Daten iSd Art 9 DSGVO bzw. intime/private Aspekte betraf (sexuelle Dienstleistung, Identität, Kontaktinformationen).
⚠️ Relevanz im Verfahren
-
Die Anzeige war deshalb problematisch, weil die betroffene Person ihre Daten nicht freigegeben hatte und der Inhalt für sie ernste Folgen hatte (Ehre, Privatsphäre, Ruf).
-
Auch wenn der Betreiber die Anzeige nach Hinweisen rasch entfernte — innerhalb etwa einer Stunde — war sie bis dahin bereits öffentlich zugänglich und von anderen Webseiten übernommen worden.
-
Es ging um die Frage, ob der Plattformbetreiber als Verantwortlicher iSd DSGVO einzustufen ist, oder nur die
Person, die die Anzeige aufgegeben hatte.
📝 Warum diese Art von Anzeige besonders bedeutsam für Datenschutz ist
-
Weil die Anzeige vertrauliche persönliche Informationen (Foto + Telefonnummer) beinhaltete, gerät sie klar in den Schutzbereich der DSGVO.
-
Ein unkontrolliertes Hochladen solcher Daten durch Dritte — ohne Einwilligung oder rechtliche Grundlage — kann für Betroffene massive Eingriffe in Privatsphäre, Persönlichkeitsrechte und das Recht auf Schutz personenbezogener Daten bedeuten.
-
Deshalb zeigt der Fall exemplarisch, wie problematisch Nutzerinhalte auf Plattformen sein können — insbesondere wenn Betreiber nicht wirksam prüfen oder regulieren, was Nutzer veröffentlichen.
Rechtliche Begründung
Der EuGH stellt in seinem Urteil fest:
-
Die Verarbeitung personenbezogener Daten durch Veröffentlichung von Anzeigen fällt grundsätzlich in den Anwendungsbereich der DSGVO.
-
Der Begriff „Verantwortlicher“ gemäß Art. 4 Nr. 7 DSGVO sei weit auszulegen: Entscheidend sei, wer — allein oder gemeinsam mit anderen — über Zwecke und Mittel der Verarbeitung entscheidet.
-
Der Betreiber des Marktplatzes gestalte die Rahmenbedingungen für die Veröffentlichung — etwa durch technische Infrastruktur, Durchsetzungsregeln, Moderation, Prüfung und ggf. Verhinderung rechtswidriger Anzeigen — und übe damit Kontrolle über die Datenverarbeitung aus. Daher falle er nicht in die Ausnahme für rein technische Vermittler.
-
Insbesondere bei Anzeigen mit sensiblen personenbezogenen Daten (z.B. Gesundheitsdaten, ethnische Zugehörigkeit o.ä.) trete die besondere Schutzbedürftigkeit hervor — für die erhöhte Anforderungen gelten (Art. 9 DSGVO) wie z. B. ausdrückliche Einwilligung oder besondere Rechtfertigungsgründe.
-
Der Grundsatz der Rechenschaftspflicht (Art. 5 Abs. 2, Art. 24 DSGVO) verlange geeignete technische und organisatorische Maßnahmen: Vorabidentifizierung des inserierenden Nutzers, Prüfung der Anzeigen vor Veröffentlichung, Verhinderung der Kopie bzw. Weiterverbreitung auf andere Seiten, Verweigerung der Veröffentlichung unrechtmäßiger Inhalte etc. Der Betreiber müsse diese Schutzpflichten umsetzen und die Einhaltung nachweisen.
-
Die Möglichkeit der Haftungsbefreiung für Dienstleister nach der Richtlinie über den elektronischen Geschäftsverkehr (z. B. Hosting-Provider-Haftung) greife hier nicht — jedenfalls nicht, solange der Betreiber faktisch die Kontrolle über die Inhalte hat und nicht rein passiv vermittelt.
Demnach kommt eine — allenfalls gemeinsame — Verantwortlichkeit des Marktplatzbetreibers zusammen mit dem inserierenden Nutzer in Betracht (Art. 26 DSGVO).
Fazit und Konsequenzen für Verantwortliche
Für Betreiber von Online-Marktplätzen oder vergleichbaren Plattformen ergibt sich aus diesem Urteil: Sie sind nicht automatisch „harmloser Host“ — vielmehr können sie als Verantwortliche gelten, sobald sie Inhalte veröffentlichen, deren Datenverarbeitung sie mitgestalten oder kontrollieren.
Empfehlung:
Plattformbetreiber sollten ihre Geschäfts- und Verarbeitungsprozesse einer gründlichen Prüfung unterziehen — insbesondere bei Anzeigen mit sensiblen Daten — und klare Verantwortlichkeiten, Routinen zur Vorabprüfung und Löschung sowie Transparenz gegenüber Betroffenen etablieren.
Kommentar schreiben