Plattformhaftung nach Russmedia: Was Marktplätze, Shops und Communities jetzt umsetzen müssen

Lange galt für Plattformbetreiber ein einfaches Modell: Für Inhalte der Nutzer haftet man erst, wenn man von einem Rechtsverstoß Kenntnis erhält, und muss ihn dann zügig entfernen. Das Urteil des Gerichtshofs der Europäischen Union in der Rechtssache Russmedia hat dieses Modell für das Datenschutzrecht durchbrochen. Knapp ein Jahr später lässt sich absehen, wie weit die Folgen reichen: Aufsichtsbehörden übertragen die Grundsätze auf weitere Plattformtypen, der EuGH hat die Anforderungen an das Hosting-Privileg auch allgemein verschärft, und der Bundesgerichtshof hat das Verfahren um Falschzitate auf Facebook dem EuGH vorgelegt. Dieser Beitrag ordnet die Entwicklung ein und zeigt, was Betreiber von Marktplätzen, Shops und Community-Plattformen jetzt prüfen sollten. Die Grundzüge des Urteils haben wir bereits im Beitrag Verschärfte Haftung von Online-Marktplätzen bei Datenschutzverstößen dargestellt.

Der Sachverhalt: ein Inserat ohne Wissen der Betroffenen

Auf einem rumänischen Online-Marktplatz hatte ein Unbekannter eine Anzeige veröffentlicht, die eine Frau als Anbieterin sexueller Dienstleistungen darstellte, mit Fotos und ihrer Telefonnummer, ohne ihr Wissen. Der Betreiber entfernte die Anzeige nach dem Hinweis rasch. Zu diesem Zeitpunkt war sie aber bereits auf andere Websites kopiert worden. Die Betroffene verlangte immateriellen Schadensersatz nach Art. 82 DSGVO; der Betreiber berief sich auf das Haftungsprivileg für Hosting-Anbieter.

Der EuGH entschied am 2. Dezember 2025 in der Besetzung der Großen Kammer, dass der Betreiber eines Online-Marktplatzes für die personenbezogenen Daten in den Anzeigen Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist, neben dem Inserenten und gegebenenfalls gemeinsam mit ihm (Art. 26 DSGVO), und sich bei Verstößen gegen seine DSGVO-Pflichten nicht auf die Haftungsbefreiungen der E-Commerce-Richtlinie berufen kann.

Warum der Marktplatz verantwortlich war

Der EuGH bleibt bei seinem funktionalen Verständnis der Verantwortlichkeit: Es kommt nicht auf die Bezeichnung des Dienstes an, sondern darauf, ob der Betreiber über Zwecke und Mittel der Verarbeitung mitentscheidet. Dass die Daten von einem Dritten stammen, steht dem nicht entgegen. Im Fall Russmedia trugen vor allem drei Umstände (Rn. 66–73 des Urteils):

• Werbe- und Erlösinteresse: Der Betreiber veröffentlichte die Anzeigen aus kommerziellem Eigeninteresse und konnte nach seinen Nutzungsbedingungen aus den Daten für eigene Werbezwecke Profit ziehen. Damit setzt der EuGH seine Linie aus den Entscheidungen Wirtschaftsakademie (C-210/16) und Fashion ID (C-40/17) fort.
• Einfluss auf Darstellung und Verbreitung: Wer die Parameter der Verbreitung nach dem Zielpublikum, die Darstellung, die Dauer, die Rubriken oder das Ranking festlegt, wirkt an den wesentlichen Mitteln der Veröffentlichung mit (Rn. 72). Der Betreiber hatte sich zudem in seinen Nutzungsbedingungen weitreichende Rechte an den Inhalten vorbehalten, einschließlich Vervielfältigung und Weitergabe an Partner.
• Anonyme Inserate: Indem der Betreiber anonyme Anzeigen zuließ, erleichterte er die Veröffentlichung von Daten ohne Einwilligung der betroffenen Person (Rn. 69).

Gemeinsame Verantwortlichkeit bedeutet allerdings nicht, dass beide Beteiligten in gleichem Maße verantwortlich sind. Der Grad der Verantwortlichkeit ist nach allen Umständen des Einzelfalls zu beurteilen (Rn. 63).

Kein Hosting-Privileg für Datenschutzpflichten

Nach Art. 14 der E-Commerce-Richtlinie, heute Art. 6 des Digital Services Act (DSA), haftet ein Hosting-Anbieter für fremde Informationen grundsätzlich erst ab Kenntnis. Der EuGH hat auf Grundlage von Art. 1 Abs. 5 lit. b der E-Commerce-Richtlinie und Art. 2 Abs. 4 DSGVO entschieden, dass sich ein Marktplatzbetreiber als Verantwortlicher bei Verstößen gegen Art. 5 Abs. 2, Art. 24 bis 26 und Art. 32 DSGVO nicht auf die Haftungsbefreiungen der Art. 12 bis 15 der Richtlinie berufen kann. Für den DSA dürfte nichts anderes gelten, da auch er die DSGVO unberührt lässt (Art. 2 Abs. 4 lit. g DSA); ausdrücklich entschieden hat der EuGH das in Russmedia allerdings nur für die E-Commerce-Richtlinie. Wer Verantwortlicher ist, muss die Anforderungen der DSGVO von Anfang an erfüllen, nicht erst nach einer Meldung.

Daraus folgt ein grundlegender Perspektivwechsel: Das Melde- und Abhilfeverfahren des DSA (Art. 16 DSA, „Notice and Action“) ist reaktiv. Die DSGVO verlangt dagegen nach Art. 24, 25 und 32 DSGVO, schon die Gestaltung des Dienstes so auszurichten, dass Verstöße möglichst nicht entstehen. Für Betreiber bedeutet das: ein Meldekanal, aber zwei Rechtsregime mit unterschiedlichen Folgen.

Pflichten vor der Veröffentlichung bei sensiblen Daten

Besonders weitreichend sind die Anforderungen bei besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Angaben zum Sexualleben, zur Gesundheit oder zu religiösen Überzeugungen. Nach dem EuGH muss der Betreiber in solchen Fällen bereits vor der Veröffentlichung

• mit geeigneten technischen und organisatorischen Maßnahmen erkennen, ob eine Anzeige sensible Daten enthält,
• prüfen, ob der Inserent die Person ist, deren Daten veröffentlicht werden sollen,
• andernfalls eine ausdrückliche Einwilligung der betroffenen Person oder eine andere Ausnahme nach Art. 9 Abs. 2 DSGVO verlangen und die Veröffentlichung verweigern, wenn sie fehlt,
• Maßnahmen nach Art. 32 DSGVO treffen, die das unrechtmäßige Kopieren und Weiterverbreiten sensibler Inhalte verhindern oder wirksam begrenzen.

Eine allgemeine Überwachungspflicht für sämtliche Inhalte, die Art. 8 DSA ausschließt, folgt daraus nach überwiegender Lesart nicht. Die Pflicht ist auf Inhalte mit sensiblen Daten beschränkt und risikobezogen. Ebenso wenig müssen sich alle Nutzer mit ihrem bürgerlichen Namen registrieren; die Identitätsprüfung betrifft die Inserenten sensibler Anzeigen. Wo genau die Grenze verläuft, ist in der Fachdiskussion umstritten, auch mit Blick auf die Meinungsfreiheit nach Art. 11 der Grundrechtecharta.

WebGroup/Coyote: Wann ein Dienst nicht mehr neutral ist

Unabhängig vom Datenschutz hat der EuGH mit Urteil vom 16. Juni 2026 in den verbundenen Rechtssachen WebGroup Czech Republic und Coyote System (C-188/24, C-190/24) die Voraussetzungen des Hosting-Privilegs präzisiert. Es setzt eine rein technische, automatische und passive Tätigkeit voraus; der Anbieter darf weder Kenntnis noch Kontrolle über die gespeicherten Informationen haben. Kenntnis und Kontrolle sind dabei alternative Ausschlussgründe.

Für Plattformen mit algorithmischer Steuerung ist eine Aussage zentral: Ein Anbieter, der per Algorithmus festlegt, wie, unter welchen Bedingungen und in welcher Rangfolge Informationen weiterverbreitet werden, übt nach dem EuGH Kontrolle über diese Informationen aus und ist nicht von der Verantwortung befreit. Empfehlungsfeeds, Ranking-Logiken und bezahlte Reichweitenverstärkung rücken damit in den Fokus.

Liest man beide Urteile zusammen, hängen DSGVO-Verantwortlichkeit und DSA-Haftungsprivileg an denselben Stellschrauben: eigenes wirtschaftliches Interesse an den Inhalten und Einfluss darauf, wem sie in welcher Form angezeigt werden. Ob ein Dienst als neutral gilt, entscheidet sich deshalb im Produktdesign und im Geschäftsmodell, nicht in der Selbstbeschreibung.

Wie deutsche Gerichte und Aufsichtsbehörden die Urteile anwenden

• Hamburgische Datenschutzbehörde: In einer Information zu den Praxisfolgen des Urteils hält der HmbBfDI die Grundsätze auf soziale Netzwerke für übertragbar, wenn die Plattform Inhalte im eigenen kommerziellen Interesse verbreitet. Nach Kenntnis eines rechtswidrigen Inhalts soll sie nicht nur löschen, sondern auch verhindern, dass inhaltsgleiche Verstöße erneut verbreitet werden („Notice and Sweep“). Vorabprüfung und Identifizierung hält die Behörde bei kommerziellen Profilen für geboten, bei privaten Profilen regelmäßig nicht.
• OLG Bamberg, Urteil vom 18.03.2026 – 3 UKl 5/25 e (TikTok): Das Meldeverfahren für rechtswidrige Inhalte nach Art. 16 DSA muss nutzerfreundlich gestaltet sein; außerdem muss sich der personalisierte Feed leicht abschalten lassen. Die Revision ist beim BGH unter I ZR 181/26 anhängig (Besprechungen: Halder, jurisPR-ITR 13/2026 Anm. 2; BB 2026, 1427; RDi 2026, 434).
• OLG Bamberg, Urteil vom 29.07.2026 – 3 UKl 13/25 e (Online-Marktplatz): Das Gericht hat unter anderem die Darstellung der Kriterien des Empfehlungssystems in den AGB beanstandet. Außerdem: Ein Meldeweg, der ein Kundenkonto voraussetzt oder hinter einer unklaren Beschriftung versteckt ist, genügt Art. 16 DSA nicht. Verbraucherverbände können solche Verstöße verfolgen. Die Revision wurde zugelassen.
• LG Frankfurt am Main, Urteil vom 16.09.2026 – 2-06 O 234/25 (Meta): Unbekannte hatten auf den Plattformen von Meta mit Namen und Bildnis des Gründers eines Finanzportals sowie dessen Unternehmenskennzeichen für vermeintliche Anlageangebote geworben. Das Gericht verneint unter Berufung auf WebGroup/Coyote das Hosting-Privileg des Art. 6 DSA, weil Meta die Verbreitung der Inhalte algorithmisch kontrolliere, und lässt Meta als Täterin auf Unterlassung (auch sinngleicher Inhalte), Auskunft und Schadensersatz haften. Das Urteil ist nicht rechtskräftig (Besprechung: Hortmann, jurisPR-ITR 20/2026 Anm. 5).
• BGH, Beschluss vom 27.10.2026 – VI ZR 64/24 (Künast/Meta): Im Streit um ein Falschzitat auf Facebook und die Löschung kerngleicher Varianten (Vorinstanz OLG Frankfurt, Urteil vom 25.01.2024 – 16 U 65/22) hat der BGH dem EuGH nach Medienberichten eigene Fragen vorgelegt, unter anderem zur datenschutzrechtlichen Verantwortlichkeit von Meta und zu den Haftungsprivilegien. Ob und wie weit Russmedia auf soziale Netzwerke übertragbar ist, wird damit der EuGH entscheiden.

Woran Betreiber ihr eigenes Risiko erkennen

Ob ein Dienst nach Russmedia als Verantwortlicher gilt, entscheidet nicht seine Kategorie, sondern die Summe der Merkmale, auf die der EuGH abstellt. Die folgende Übersicht ordnet diese Merkmale als Prüffragen:

Je mehr Prüffragen mit Ja zu beantworten sind, desto näher liegt die Verantwortlichkeit. Kleinanzeigen- und Kontaktportale erfüllen typischerweise mehrere Merkmale zugleich. Bei Shops mit Bewertungsfunktion oder Händlermarktplatz kommt es auf die konkrete Ausgestaltung an. Reine Infrastrukturdienste, die Inhalte weder auswerten noch in ihrer Verbreitung steuern, sind regelmäßig nicht erfasst.

Einordnung der Kanzlei anhand der Urteilsgründe (EuGH, Urteil vom 02.12.2025 – C-492/23); maßgeblich ist immer die konkrete Ausgestaltung des Dienstes.

KI-generierte Inhalte und Deepfakes

Besondere Bedeutung haben die Grundsätze für KI-generierte Inhalte. Ein Deepfake, der eine reale Person zeigt, enthält personenbezogene Daten dieser Person, auch wenn der dargestellte Inhalt erfunden ist. Sexualisierte Deepfakes betreffen zudem das Sexualleben und damit Art. 9 DSGVO. Für eine verantwortliche Plattform gelten die Russmedia-Grundsätze entsprechend: Sie muss solche Inhalte vor der Freischaltung erkennen, im Zweifel zurückhalten und nach einer Entfernung ihr erneutes Erscheinen verhindern.

Daneben gelten seit dem 2. August 2026 die Transparenzpflichten nach Art. 50 der KI-Verordnung, unter anderem die Offenlegung von Deepfakes durch die Betreiber von KI-Systemen. Der Hinweis, dass ein Inhalt KI-generiert ist, macht seine Veröffentlichung datenschutzrechtlich aber nicht zulässig. Betroffene können neben Löschung und Schadensersatz nach Art. 17 und 82 DSGVO auch Ansprüche aus dem allgemeinen Persönlichkeitsrecht (§§ 823, 1004 BGB analog) und dem Recht am eigenen Bild (§§ 22, 23 KUG) geltend machen.

Handlungsempfehlungen für Plattformbetreiber

Eigene Rolle bestimmen

• Prüfen, an welchen Stellen der Dienst über die bloße Speicherung hinausgeht: Werbung im Umfeld von Nutzerinhalten, bezahlte Platzierungen, Ranking, Weitergabe an Partnerportale. Genau daran knüpft der EuGH die Verantwortlichkeit an.
• Erfassen, wo Nutzer typischerweise Daten Dritter oder Daten nach Art. 9 DSGVO einstellen, etwa in Kontakt-, Gesundheits- oder Stellenrubriken oder über Personenfotos. Für diese Abläufe eine Risikoanalyse erstellen und bei hohem Risiko eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO durchführen.

Sensible Inhalte abfangen, bevor sie online gehen

• In den Bereichen mit erhöhtem Risiko eine Prüfung vor der Freischaltung vorsehen. Automatische Text- und Bildanalyse kann die manuelle Prüfung vorbereiten, aber nicht ersetzen.
• Wer dort veröffentlicht, sollte identifizierbar sein und erklären, dass er nur eigene Daten oder Daten mit Einwilligung der betroffenen Person einstellt. Fehlt ein plausibler Nachweis, unterbleibt die Veröffentlichung; die Entscheidung wird nach Art. 5 Abs. 2 DSGVO dokumentiert.

Reaktion auf Hinweise

• Einen Meldeweg anbieten, den auch Personen ohne Nutzerkonto erreichen und der Anliegen nach DSA und DSGVO in einem Vorgang erfasst.
• Gemeldete sensible Inhalte schnell entfernen und dafür sorgen, dass derselbe oder ein im Kern gleicher Inhalt nicht erneut erscheint. Für den betroffenen Inhalt zugleich Exportschnittstellen und Partnerportale abschalten und das automatisierte Abgreifen durch Dritte erschweren.

Vertragliche und organisatorische Grundlagen

• Lizenzklauseln in den Nutzungsbedingungen auf das beschränken, was der Dienst tatsächlich benötigt. Wie wir Nutzungsbedingungen für Plattformen gestalten, zeigt unsere Seite AGB erstellen lassen.
• Das Verhältnis zu den Nutzern nach Art. 26 DSGVO festlegen und das Wesentliche für Betroffene zugänglich machen.
• Ranking- und Empfehlungslogik beschreiben und mit Blick auf WebGroup/Coyote bewerten, ob der Dienst noch als neutral gelten kann. Das Moderationsteam auf die neuen Abläufe schulen.

Alle Maßnahmen müssen verhältnismäßig bleiben und die Meinungsfreiheit der Nutzer wahren; zu weitreichendes Sperren ist selbst ein Risiko. Dass sich jeder Nutzer mit Klarnamen registrieren oder jeder Upload automatisch gefiltert werden muss, verlangt das Urteil nach heutigem Verständnis nicht.

Offene Fragen

• Wie weit die Grundsätze auf soziale Netzwerke übertragbar sind, wird der EuGH auf die Vorlage des BGH im Verfahren Künast/Meta klären.
• Ob Pflichten zur Vorabprüfung über sensible Daten nach Art. 9 DSGVO hinaus reichen, etwa bei schweren Beleidigungen oder Falschzitaten, ist offen.
• Das Spannungsverhältnis zwischen Vorabprüfung, dem Verbot allgemeiner Überwachungspflichten (Art. 8 DSA) und der Meinungsfreiheit ist nicht aufgelöst.
• Ob algorithmisch gesteuerte Dienste nach beiden Urteilen regelmäßig zugleich datenschutzrechtlich verantwortlich sind und das Hosting-Privileg verlieren, ist noch nicht geklärt.

Podcast · 24 Min.

Plattformhaftung nach Russmedia: Wann Marktplätze für Nutzerdaten verantwortlich sind

Alle Folgen · Stimmen KI-generiert, Inhalte anwaltlich geprüft

Rechtliche Unterstützung bei Plattformhaftung

Wir beraten Betreiber von Marktplätzen, Shops, Communities und SaaS-Plattformen bei der Einordnung ihrer Rolle nach DSGVO und DSA, bei der Gestaltung von Melde- und Moderationsprozessen, Nutzungsbedingungen und Datenschutzhinweisen sowie bei der Abwehr von Abmahnungen, Verbandsklagen und Schadensersatzforderungen. Ebenso unterstützen wir Betroffene, deren Daten oder Bilder ohne Einwilligung veröffentlicht wurden. Mehr dazu auf den Seiten Rechtsanwalt Datenschutzrecht und Fachanwalt für IT-Recht. Lesen Sie auch unsere Beiträge zum Digital Services Act, zum EuG-Urteil zu Stripchat und zum LG Köln zu Snapchat „My AI“.

Wenn Sie wissen möchten, welche Pflichten für Ihre Plattform gelten, nehmen Sie Kontakt mit uns auf.

Quellen: EuGH (Große Kammer), Urteil vom 02.12.2025 – C-492/23 (Russmedia Digital); EuGH, Urteil vom 16.06.2026 – C-188/24 und C-190/24 (WebGroup Czech Republic und NKL Associates, Coyote System); HmbBfDI, Information „Praxisfolgen des Russmedia-Urteils“; OLG Bamberg, Urteil vom 18.03.2026 – 3 UKl 5/25 e; OLG Bamberg, Urteil vom 29.07.2026 – 3 UKl 13/25 e; LG Frankfurt am Main, Urteil vom 16.09.2026 – 2-06 O 234/25; BGH, Beschluss vom 27.10.2026 – VI ZR 64/24. Dieser Beitrag dient der allgemeinen Information und ersetzt keine rechtliche Prüfung im Einzelfall.