Wer Nutzeranzeigen veröffentlicht, trägt Datenschutzverantwortung

Viele Plattformen gehen von einer falschen Sicherheit aus. Viele Unternehmen betreiben Websites, Portale oder digitale Plattformen, auf denen Dritte eigene Inhalte einstellen können. Das können klassische Online-Marktplätze sein, aber auch Anzeigenportale, Jobbörsen, Bewertungsplattformen, Community-Bereiche, Vermittlungsplattformen oder interne Plattformen mit externem Nutzerzugang.

Die verbreitete Annahme lautet: Wenn der Inhalt vom Nutzer stammt, ist der Plattformbetreiber datenschutzrechtlich nicht verantwortlich. Er stellt schließlich nur die technische Infrastruktur bereit. Genau diese Annahme ist gefährlich.

Der Europäische Gerichtshof hat in der Rechtssache C-492/23, Russmedia Digital und Inform Media Press, deutlich gemacht: Wer eine Plattform betreibt, auf der personenbezogene Daten in Nutzeranzeigen veröffentlicht werden, kann selbst Verantwortlicher im Sinne der DSGVO sein. Das gilt jedenfalls dann, wenn der Betreiber die Veröffentlichung ermöglicht, ihre Darstellung und Verbreitung strukturiert oder sich über seine Nutzungsbedingungen eigene Rechte an den veröffentlichten Inhalten einräumt.

Worum ging es?

Ausgangspunkt war ein rumänisches Online-Anzeigenportal. Dort veröffentlichte eine unbekannte Person im Namen einer Frau eine Anzeige für sexuelle Dienstleistungen. Die Anzeige enthielt Fotos und eine Telefonnummer der Betroffenen. Eine Einwilligung lag nicht vor.
Der Plattformbetreiber löschte die Anzeige zwar nach Aufforderung relativ schnell. Das Problem war damit aber nicht erledigt. Die Anzeige war bereits weiterverbreitet worden und auf anderen Websites auffindbar.

Die rechtliche Kernfrage war deshalb nicht nur, ob der eigentliche Inserent rechtswidrig gehandelt hatte. Entscheidend war, ob auch der Betreiber des Online-Marktplatzes datenschutzrechtlich Verantwortung trägt.

Was hat der EuGH entschieden?

Der EuGH hat die Rolle des Plattformbetreibers nicht auf eine rein passive technische Dienstleistung reduziert. Nach Auffassung des Gerichts kann der Betreiber eines Online-Marktplatzes für die Verarbeitung der personenbezogenen Daten verantwortlich sein, die in den auf seiner Plattform veröffentlichten Anzeigen enthalten sind.
Dafür kommt es nicht allein darauf an, wer den konkreten Text geschrieben oder die Daten ursprünglich eingegeben hat. Maßgeblich ist auch, wer über Zweck und Mittel der Veröffentlichung mitbestimmt. Das kann bereits dadurch geschehen, dass der Betreiber die Plattformstruktur vorgibt, Kategorien und Darstellungsformen festlegt, die Reichweite der Inhalte organisiert oder sich eigene Nutzungsrechte an den eingestellten Inhalten vorbehält.

Besonders streng wird es bei besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Dazu gehören unter anderem Gesundheitsdaten, Daten zur sexuellen Orientierung, religiöse oder weltanschauliche Überzeugungen, politische Meinungen, Gewerkschaftszugehörigkeit sowie biometrische und genetische Daten.
Enthält eine Anzeige solche sensiblen Daten, muss der Plattformbetreiber nach der Entscheidung des EuGH vor der Veröffentlichung geeignete technische und organisatorische Maßnahmen vorsehen. Er muss insbesondere erkennen können, ob eine Anzeige sensible Daten enthält, und prüfen, ob der Inserent selbst die betroffene Person ist oder ob eine ausdrückliche Einwilligung bzw. eine sonstige Ausnahme nach Art. 9 DSGVO vorliegt. Fehlt diese Grundlage, darf die Anzeige nicht veröffentlicht werden.

Das Hosting-Privileg hilft nicht gegen DSGVO-Pflichten

Besonders wichtig ist ein weiterer Punkt: Der Plattformbetreiber kann sich gegenüber DSGVO-Pflichten nicht einfach auf das Haftungsprivileg für Hosting-Anbieter berufen.
Solche Haftungsprivilegien sollen Anbieter unter bestimmten Voraussetzungen vor einer inhaltlichen Verantwortlichkeit für fremde Informationen schützen. Sie sind aber kein Freifahrtschein im Datenschutzrecht. Die DSGVO stellt eigene Anforderungen an Verantwortliche. Diese Anforderungen werden nicht dadurch beseitigt, dass der Betreiber technisch als Hosting-Anbieter auftritt.

Für die Praxis bedeutet das: Wer ein Portal betreibt, darf die datenschutzrechtliche Prüfung nicht erst beginnen, wenn eine betroffene Person sich beschwert. Jedenfalls bei risikobehafteten Inhalten und sensiblen Daten muss die Plattformgestaltung selbst verhindern, dass rechtswidrige Veröffentlichungen überhaupt erst stattfinden oder sich unkontrolliert verbreiten.

Was bedeutet das für Unternehmen?

Das Urteil betrifft nicht nur große Social-Media-Plattformen. Relevant ist es für jedes Unternehmen, das Dritten eine strukturierte Veröffentlichungsmöglichkeit bietet. Besonders betroffen sind Geschäftsmodelle, bei denen Nutzer Inhalte einstellen, Profile anlegen, Inserate veröffentlichen, Bewertungen schreiben oder personenbezogene Informationen über Dritte sichtbar machen können.

Unternehmen sollten deshalb nüchtern prüfen, ob sie tatsächlich nur neutraler technischer Dienstleister sind oder ob sie über Struktur, Kategorien, Suchfunktionen, Ranking, Darstellung, Verbreitung oder kommerzielle Nutzung der Inhalte Einfluss auf die Verarbeitung nehmen. Je stärker diese Einflussnahme ist, desto eher wird man datenschutzrechtlich in der Verantwortung stehen.

Auch die Nutzungsbedingungen verdienen besondere Aufmerksamkeit. Wer sich weitreichende Rechte an Nutzerinhalten einräumt, etwa zur Vervielfältigung, Weitergabe, Bewerbung, Veränderung oder kommerziellen Nutzung, liefert zugleich Argumente dafür, dass er nicht nur passiv hostet, sondern eigene Zwecke verfolgt.

Welche Maßnahmen jetzt geprüft werden sollten

Plattformbetreiber sollten ihre Prozesse nicht nur juristisch, sondern auch technisch und organisatorisch überprüfen. Entscheidend ist, ob die Plattform risikobasierte Schutzmechanismen enthält.

Dazu gehören insbesondere eine klare Einordnung der verarbeiteten Datenkategorien, eine Prüfung besonders risikobehafteter Eingabefelder und Kategorien, Vorgaben für zulässige Inhalte, technische Sperren für offensichtlich unzulässige Angaben, Melde- und Löschprozesse, Maßnahmen gegen Scraping und unkontrollierte Weiterverbreitung sowie eine nachvollziehbare Dokumentation der getroffenen Schutzmaßnahmen.
Bei Plattformen mit erhöhtem Risiko kann außerdem eine Datenschutz-Folgenabschätzung erforderlich sein. Das gilt insbesondere dann, wenn sensible Daten, Minderjährigendaten, Gesundheitsbezug, Beschäftigtendaten oder andere besonders schutzwürdige Informationen betroffen sein können.

Keine Panik, aber auch kein Wegducken

Das Urteil bedeutet nicht, dass jedes Unternehmen jeden einzelnen Nutzerinhalt händisch vorab rechtlich prüfen muss. Die DSGVO verlangt keine realitätsferne Vollkontrolle des Internets. Sie verlangt aber angemessene technische und organisatorische Maßnahmen, die dem konkreten Risiko entsprechen.
Genau darin liegt der Punkt: Wer eine Plattform betreibt, muss seine Risiken kennen und beherrschbar machen. Ein bloßer Hinweis in den Nutzungsbedingungen, dass die Nutzer selbst verantwortlich seien, genügt nicht. Ebenso wenig reicht es, erst nach Beschwerden zu reagieren, wenn sich sensible Daten bereits verbreitet haben.
Datenschutz-Compliance beginnt bei Plattformen also nicht erst im Beschwerdefall. Sie beginnt bei der Produktgestaltung, bei den Eingabemasken, bei den Kategorien, bei den Rechteeinräumungen, beim Moderationskonzept und bei der technischen Absicherung gegen Weiterverbreitung.

Fazit

Der EuGH schärft die Verantwortlichkeit von Plattformbetreibern deutlich. Unternehmen, die nutzergenerierte Inhalte veröffentlichen lassen, sollten ihre Plattformen jetzt datenschutzrechtlich überprüfen. Das gilt besonders dann, wenn personenbezogene Daten Dritter oder besondere Kategorien personenbezogener Daten betroffen sein können.
Die zentrale Botschaft ist klar: Wer mit einer Plattform die Veröffentlichung personenbezogener Daten ermöglicht, strukturiert oder wirtschaftlich nutzt, kann sich nicht darauf zurückziehen, nur technischer Gastgeber zu sein.

Für Unternehmen heißt das: Plattformmodell prüfen, Nutzungsbedingungen überarbeiten, technische Schutzmaßnahmen definieren, Prozesse dokumentieren und Zuständigkeiten klären. Alles andere ist im Streitfall schwer zu verteidigen.
Hinweis zu B2C-Konstellationen

Die Entscheidung schützt in erster Linie natürliche Personen, deren personenbezogene Daten rechtswidrig veröffentlicht werden. Für B2C-Plattformen ist das Risiko daher besonders offensichtlich. Im B2B-Bereich darf das Thema aber nicht unterschätzt werden: Auch dort können personenbezogene Daten von Ansprechpartnern, Beschäftigten, Geschäftsführern, Bewerbern oder sonstigen Dritten in Nutzerinhalten erscheinen. Die DSGVO greift dann ebenso.