EuGH: Online-Marktplätze haften für Nutzerdaten in Anzeigen

Der Europäische Gerichtshof beendet die Ära anonymer Kleinanzeigen: Plattform-Betreiber müssen künftig Identitäten prüfen, bevor sie Inserate mit persönlichen Daten veröffentlichen. Das Urteil trifft die gesamte Branche – von eBay Kleinanzeigen bis zu Immobilienportalen.

Was zunächst nach einer technischen Rechtsklärung klingt, wird die digitale Wirtschaft grundlegend verändern. Mit dem heutigen Urteil im Fall Russmedia Digital (Aktenzeichen C-492/23) hat der EuGH in Luxemburg eine klare Linie gezogen: Wer eine Online-Plattform betreibt, trägt die volle Verantwortung für personenbezogene Daten in Nutzer-Inseraten. Die bisher gängige Verteidigung als „neutraler Vermittler”? Geschichte.

Die Große Kammer des Gerichtshofs stellte unmissverständlich fest: Marktplatz-Betreiber agieren als „Verantwortliche” im Sinne der Datenschutz-Grundverordnung (DSGVO). Damit gelten für sie dieselben strengen Regeln wie für Unternehmen, die selbst Daten erheben. Die Richter begründen dies damit, dass Plattformen über Zweck und Mittel der Datenverarbeitung entscheiden, sobald sie Anzeigen organisieren, kategorisieren und durchsuchbar machen.

Lücken im DSGVO-Verarbeitungsverzeichnis können teuer werden – Bußgelder bis zu 2% des Jahresumsatzes drohen. Gerade Plattformbetreiber müssen künftig Verarbeitungstätigkeiten und Identitätsprüfungen lückenlos dokumentieren. Diese kostenlose Excel-Vorlage nach Art. 30 DSGVO hilft Ihnen, ein prüfungssicheres Verzeichnis in kurzer Zeit zu erstellen, inklusive Anleitung und Praxisbeispielen. Ideal für Datenschutzverantwortliche und Betreiber von Kleinanzeigen‑Portalen. Kostenlose Verarbeitungsverzeichnis‑Vorlage herunterladen

Besonders brisant: Die Pflicht zur Überprüfung greift vor der Veröffentlichung. Plattformen müssen Inserate mit sensiblen Daten identifizieren und sicherstellen, dass der Inserent tatsächlich die betroffene Person ist – oder deren ausdrückliche Einwilligung besitzt. Ein radikaler Kurswechsel gegenüber dem bisherigen „Notice-and-Takedown”-Prinzip, bei dem Inhalte erst nach Beschwerden entfernt wurden.

Ein Fall von digitalem Identitätsdiebstahl als Auslöser

Der Hintergrund des Urteils liest sich wie ein Albtraum-Szenario aus dem digitalen Zeitalter. 2018 postete ein anonymer Nutzer auf der rumänischen Kleinanzeigen-Plattform Publi24.ro ein gefälschtes Inserat für sexuelle Dienstleistungen – komplett mit Foto und Telefonnummer einer echten Frau, die davon nichts wusste.

Zwar löschte Betreiber Russmedia Digital die Anzeige binnen Stunden nach der Beschwerde. Doch die Geschädigte klagte auf Schadenersatz und argumentierte: Die fehlende Identitätsprüfung habe den schweren Eingriff in ihre Privatsphäre und Reputation überhaupt erst ermöglicht. Das Berufungsgericht in Cluj legte den Fall dem EuGH vor – mit weitreichenden Folgen für die gesamte Branche.

Härter als erwartet: Generalanwalt überstimmt

Das Urteil fällt deutlich schärfer aus als die Schlussanträge von Generalanwalt Maciej Szpunar vom Februar 2025. Während dieser noch Spielraum für Haftungsbefreiungen bei „neutralem” Verhalten ließ, zieht die Große Kammer nun eine harte Linie.

Mit der Einstufung als DSGVO-Verantwortliche werden Marktplätze nach Artikel 24 DSGVO zum umfassenden Datenschutz verpflichtet. Konkret bedeutet das:

• Identitätsprüfung als Standard: Anonyme Posts mit Telefonnummern oder Fotos werden kaum noch möglich sein – KYC-Verfahren (Know Your Customer) werden zur Pflicht.
• Einwilligungsnachweis: Bei sensiblen Daten muss die Plattform nachweisen, dass die abgebildete Person zugestimmt hat.
• Beweislast beim Betreiber: Technische und organisatorische Maßnahmen gegen Datenmissbrauch müssen von vornherein implementiert sein.

„Die Entscheidung beseitigt Unklarheiten, die Plattformen bisher in manchen Mitgliedstaaten leichtere Aufsicht ermöglichten”, kommentieren Datenschutzexperten von Pinsent Masons. Ein einheitlicher Standard für alle 27 EU-Staaten – ohne Schlupflöcher.

Schockwellen durch die Branche

Was bedeutet das konkret für die Praxis? Die Auswirkungen reichen weit über den rumänischen Fall hinaus und treffen die gesamte europäische Plattform-Ökonomie.

Die wichtigsten Folgen:

Ende der Anonymität: Das reibungslose Posting mit bloßer E-Mail-Adresse ist vorbei, sobald personenbezogene Daten im Spiel sind. Video-Ident-Verfahren oder Banken-API-Checks werden zum Standard.

Explodierende Kosten: Die Pflicht zum Screening sensibler Daten vor Veröffentlichung erfordert massive Investitionen in KI-gestützte Moderationstools und menschliche Prüfer. Kleinere Plattformen dürften vor existenziellen Herausforderungen stehen.

Haftungsrisiken: Als Verantwortliche haften Betreiber nun direkt für DSGVO-Verstöße – mit Bußgeldern von bis zu vier Prozent des weltweiten Jahresumsatzes. Zusätzlich drohen zivilrechtliche Schadenersatzforderungen.

Die technische Machbarkeit, für jede einzelne Anzeige Einwilligungen zu verifizieren, wird in Branchenkreisen bereits heftig diskutiert. Doch der Gerichtshof ließ keinen Zweifel: Der Schutz von Grundrechten – konkret das Recht auf Privatleben – wiegt schwerer als die kommerzielle Bequemlichkeit von Plattform-Betreibern.

Was jetzt auf die Branche zukommt

In den kommenden Wochen dürfte eine Welle von Updates bei Nutzungsbedingungen über die europäischen Plattformen schwappen. Von eBay Kleinanzeigen über Immobilienscout24 bis zu Mobile.de müssen alle Betreiber ihre Prozesse grundlegend überarbeiten.

Das Urteil setzt zudem einen wichtigen Präzedenzfall für die Auslegung des Digital Services Act (DSA): Was offline illegal ist, ist auch online illegal – und die Plattform trägt Mitverantwortung. Die Zeiten, in denen sich Betreiber als bloße technische Dienstleister aus der Verantwortung stehlen konnten, sind endgültig vorbei.

Besonders interessant wird die Frage, wie sich mittelgroße Plattformen positionieren. Während Konzerne wie Scout24 oder die Deutsche Telekom (mit Immobilienscout24) die nötigen Ressourcen für aufwendige Prüfsysteme haben dürften, könnten spezialisierte Nischen-Marktplätze vor dem Aus stehen. Konsolidierung in der Branche erscheint wahrscheinlicher denn je.

Der „Wilde Westen” ist Geschichte

Für datenschutzbewusste Nutzer ist das Urteil ein Sieg. Jahrelang konnten sich Plattformen hinter dem Argument verstecken, sie seien lediglich Infrastruktur-Anbieter. Diese Ausrede zieht nicht mehr. Wer mit persönlichen Daten Geld verdient, muss auch die Verantwortung dafür übernehmen – vom ersten Klick an.

Die Ära der völlig unregulierten Online-Kleinanzeigen endet heute. Plattformen, die ihre Systeme nicht anpassen, riskieren nicht nur drakonische Strafen, sondern auch einen Vertrauensverlust in einem zunehmend sensibilisierten Markt. In einer Zeit, in der Datenschutz-Skandale regelmäßig Schlagzeilen machen, könnte die Compliance mit dem heutigen Urteil sogar zum Wettbewerbsvorteil werden.

Bleibt die Frage: Werden Nutzer bereit sein, mehr von ihrer Privatsphäre preiszugeben, um Anzeigen schalten zu dürfen? Oder erleben wir eine Renaissance analoger Kleinanzeigenmärkte?

Grundlage dieses Artikels: Urteil des Europäischen Gerichtshofs im Verfahren C-492/23 und Pressemitteilung Nr. 150/25 vom 2. Dezember 2025.

PS: Plattformen stehen vor neuen Nachweispflichten – wer Identitätsprüfungen nicht dokumentiert, riskiert hohe Strafen und Regressforderungen. Mit der kostenlosen Excel‑Vorlage für das Verzeichnis der Verarbeitungstätigkeiten erstellen Sie schnell und rechtskonform die notwendige Dokumentation; inklusive Schritt‑für‑Schritt‑Anleitung und Prüffragen für KYC‑Prozesse. Sparen Sie Zeit und reduzieren Sie Haftungsrisiken. Jetzt Verarbeitungsverzeichnis gratis anfordern