EuGH im Fall „Russmedia“: Wie und ab wann Plattformen künftig haften
Mit dem Urteil vom 2. Dezember 2025 (C-492/23 „Russmedia“) hat der Europäische Gerichtshof die Haftung und Verantwortung von Plattformbetreibern neu definiert. Der Fall wirkt auf den ersten Blick wie ein Einzelfall rund um eine fingierte Kontaktanzeige, tatsächlich aber betrifft er zentrale Strukturen der digitalen Kommunikation und die Frage, welche Prüf- und Schutzpflichten Plattformen künftig treffen.
Der EuGH rückt Plattformen deutlich näher in die Rolle datenschutzrechtlich Verantwortlicher. Das Urteil wird bereits spürbare Wirkung entfalten, noch bevor der Bundesgerichtshof im weiterhin ausstehenden Verfahren Künast gegen Meta entscheidet.
Der aktuelle Fall Russmedia
Der zugrunde liegende Rechtsstreit stammt aus Rumänien. Auf einer von Russmedia Digital SRL betriebenen Kleinanzeigenplattform erschien eine fingierte sexuelle Kontaktanzeige unter dem Namen einer Frau, versehen mit Foto, Telefonnummer und weiteren personenbezogenen Daten – ohne deren Zustimmung.
Zwar wurde der Beitrag nach Hinweis umgehend gelöscht, doch blieben damit sowohl die Frage der Verantwortlichkeit des Plattformbetreibers als auch die nach möglichem Schadensersatz und etwaigen Prüf- und Schutzpflichten offen. Das rumänische Berufungsgericht in Cluj-Napoca legte diese grundsätzlichen Fragen daher dem EuGH vor.
Der betroffene Dienst war/ist kein soziales Netzwerk, sondern ein klassischer Kleinanzeigenmarkt, wie man ihn etwa von Kleinanzeigenportalen oder lokalen Marktplatzdiensten kennt. Nutzer können dort eigenständig Anzeigen einstellen; ein algorithmisch gesteuerter Feed oder eine Interaktionsstruktur, wie sie soziale Netzwerke auszeichnet, existiert dort nicht. Insofern könnten im Vergleich zu sozialen Netzwerken wie Facebook oder Instagram Unterschiede bestehen. Während diese Dienste Nutzerprofile, algorithmische Sortierung, virale Verbreitung und komplexe Interaktionsketten ermöglichen, ist ein Kleinanzeigenmarkt funktional deutlich reduzierter. Gleichwohl macht der EuGH klar, dass auch solche Dienste personenbezogene Daten verarbeiten und damit datenschutzrechtlich Verantwortliche sind. Im Umkehrschluss wird man für größere Plattformen wie Meta insofern sogar noch weitergehende Anforderungen annehmen dürfen, da dort deutlich mehr personenbezogene und sensible Daten verarbeitet und per Algorithmus ausgespielt werden.
Die Entscheidung des EuGH
Der Senat stellt klar, dass das Hostingprivileg der E-Commerce-Richtlinie beziehungsweise des heutigen Digital Services Act zwar Auswirkungen auf die zivilrechtliche Haftung hat, dies jedoch nicht für die datenschutzrechtliche Verantwortlichkeit gilt. Eine Plattform sei Verantwortliche im Sinne der DSGVO, sobald sie die technischen Mittel der Verarbeitung bereitstellt und damit maßgeblichen Einfluss auf die Datenverarbeitung nimmt.
Von besonderer Bedeutung ist die Entscheidung dort, wo sensible Daten im Sinne von Art. 9 DSGVO betroffen sind, also namentlich Informationen über rassische/ethnische Herkunft, politische/religiöse/weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische/biometrische Daten, Gesundheitsinformationen sowie Daten zum Sexualleben oder der sexuellen Orientierung. In solchen Fällen müssen Plattformen vor der Veröffentlichung prüfen, ob eine wirksame Einwilligung der betroffenen Person vorliegt. Damit anerkennt der EuGH ausdrücklich, dass Prüf- und Kontrollpflichten auch präventiv bestehen können und nicht erst nach einem Hinweis greifen. Dies markiert eine deutliche Abkehr von der bislang vorherrschenden reinen Reaktionslogik des sogen. „Notice-and-Take-down“, ist die eigentliche Sensation der Entscheidung.
Man kann sagen, dass – gewissermaßen durch die Hintertür der DSGVO – das traditionelle Konzept der Haftungsprivilegierung in seinen Grundfesten erschüttert wird.
Praktische Auswirkungen
Die Entscheidung führt zu erheblichen Veränderungen im Umgang mit personenbezogenen Inhalten. Betreiber müssen Veröffentlichungen künftig anders beurteilen und bereits vorab prüfen, welche Risiken bestehen. Für große Plattformen bedeutet dies eine weitere Intensivierung bestehender Moderations- und Kontrollmechanismen. Zudem rückt die technische Fähigkeit zur Erkennung ähnlicher oder kerngleicher Inhalte stärker in den Vordergrund, da rechtsverletzende Darstellungen sich typischerweise schnell verbreiten und in zahlreichen Varianten erneut auftauchen.
Für kleinere oder ehrenamtlich betriebene Plattformen können die neuen Anforderungen dagegen eine erhebliche Belastung darstellen. Identitäts- oder Echtheitsprüfungen und technische Systeme zum Wiederholungsschutz sind dort oft nur schwer umzusetzen. Der EuGH nimmt dies jedoch bewusst in Kauf, da der Schutz der Betroffenen und die datenschutzrechtliche Systematik Vorrang genießen. Nutzerinnen und Nutzer profitieren zwar von einem besseren Schutz vor Missbrauch, müssen jedoch zugleich Einschränkungen bei anonymer oder niedrigschwelliger Nutzung hinnehmen. Das datenschutzrechtliche Grunddilemma, dass zur Vermeidung von Missbrauch häufig mehr Daten erhoben oder geprüft werden müssen, bleibt bestehen. Man wird auch abwarten müssen, ob eine Feststellung von Personalien beim Plattformbetreiber reicht und lediglich der Zugang zu diesen erleichtert wird oder solche Informationen in bestimmten Konstellationen sogar für jedermann sichtbar werden.
Die Entscheidung des EuGH hat bislang keine unmittelbare Entsprechung in der deutschen Rechtsprechung zum Persönlichkeitsrecht. Zwar gibt es seit Langem anerkannte Mechanismen, um wirksamen Schutz vor Wiederholungen von Rechtsverletzungen zu gewährleisten, doch beruhen diese auf allgemeinen zivilrechtlichen Grundsätzen und nicht auf datenschutzrechtlicher Verantwortlichkeit. Die nun vom EuGH betonte Pflicht zu präventiven/proaktiven Prüfungen – insbesondere bei sensiblen Daten – ist in dieser Schärfe neu und beruht allein auf der DSGVO.
Bereits 2023 hatte der Verfasser im Rahmen eines kurzen Editorials in der Fachzeitschrift Kommunikation & Recht zu DSA und DMA darauf hingewiesen, dass das „Internet, wie wir es kannten“, vor erheblichen strukturellen Veränderungen steht. Die nun vom EuGH betonte datenschutzrechtliche Verantwortlichkeit der Plattformen zeigt, dass dieser Wandel inzwischen auch auf europäischer Ebene Gestalt annimmt – wenn auch über den Umweg der DSGVO.
Gerade deshalb richtet sich der Blick nun auf das beim Bundesgerichtshof anhängige und nunmehr fortzusetzende Verfahren Künast gegen Meta, wir hatten intensiv berichtet. Dort geht es nicht um Datenschutz, sondern um Persönlichkeitsrecht und die Frage, wann und in welchem Umfang Plattformen verpflichtet sind, nicht nur einen konkret beanstandeten Inhalt, sondern auch vergleichbare Verstöße eigenständig zu unterbinden. Der Bundesgerichtshof hat das Verfahren Anfang 2025 ausgesetzt, um die Entscheidung des EuGH abzuwarten. Die nun vorliegenden Leitlinien sprechen für eine deutliche Stärkung der Pflichten großer Plattformbetreiber, insbesondere im Hinblick auf Falschzitate und manipulative Inhalte, wie sie im Künast-Verfahren eine zentrale Rolle spielen. Die Frage, in welchen Konstellationen eine Plattform ohne gesonderten Hinweis tätig werden muss und wie weit der Wiederholungsschutz reichen muss, wurde bereits in einem Radiointerview des Verfassers ausführlicher erläutert und gewinnt durch die Entscheidung des EuGH weiter an Bedeutung. Für Meta wie für andere soziale Netzwerke ist das Urteil ein Signal, dass künftig frühzeitiger eingegriffen werden muss und dass bloßes Reagieren auf Nutzermeldungen nicht ausreicht, wo eine Wiederholung des rechtswidrigen Inhalts naheliegt oder leicht möglich ist.
Die aktuelle Entscheidung zwingt Plattformen, interne Abläufe und Kontrollmechanismen neu zu bewerten. Der Umgang mit personenbezogenen und insbesondere sensiblen Daten muss deutlich strukturierter gestaltet werden. Prüf- und Freigabeprozesse, Moderationsentscheidungen, technische Systeme zum Wiederholungsschutz und dokumentierte Verfahrensabläufe rücken verstärkt in den Fokus. Für große Anbieter dürfte dies eine Vertiefung ohnehin bestehender Compliance-Strukturen bedeuten, während kleinere Betreiber erheblichen Anpassungsdruck verspüren könnten.
Die Frage der Identitätsverifikation wird künftig eine größere Rolle spielen. Ob eine bloße Hinterlegung von Identitätsdaten genügt oder bestimmte Verifikationsmerkmale auch gegenüber anderen Nutzern sichtbar gemacht werden müssen, wird die Praxis ebenso zeigen wie die weitere Rechtsprechung und das Zusammenspiel von DSGVO und DSA.
Fazit
Das EuGH-Urteil im Fall Russmedia verschiebt die Verantwortlichkeit von Plattformen deutlich in Richtung aktiver Kontrolle und Prävention. Der Schutz personenbezogener Daten, insbesondere sensibler Daten, erhält damit ein Gewicht, das die bisherigen Modelle der Providerprivilegierung überlagert und in Teilen sogar in Frage stellt. Für Betroffene ermöglicht dies einen wirksameren Schutz vor Identitätsmissbrauch und Persönlichkeitsrechtsverletzungen. Für Betreiber – vor allem kleinere oder offene Plattformen – bringt die Entscheidung dagegen teils erhebliche technische, organisatorische und rechtliche Herausforderungen mit sich.
Auch wenn die Auswirkungen des Urteils erst nach und nach in der Praxis sichtbar werden, steht bereits fest: Die Anforderungen an Plattformbetreiber werden steigen, und die Grenze zwischen reiner technischen Bereitstellung und aktiver Verantwortung wird zunehmend verschwimmen. Welche Folgen dies konkret für große soziale Netzwerke hat, wird nicht zuletzt die Fortsetzung des Verfahrens Künast gegen Meta zeigen. Bis dahin markiert Russmedia den bislang wichtigsten datenschutzrechtlichen Eingriff des EuGH in die Plattformhaftung seit Inkrafttreten der DSGVO.
