Das Russmedia-Urteil des EuGH: Auf dem Weg in das „Cleannet“?

Das Russmedia-Urteil des EuGH (C-492/23) vom 2. Dezember 2025 hat weitreichende Folgen für Online-Plattformen in Europa. Was zunächst wie eine technische Entscheidung zur datenschutzrechtlichen Verantwortlichkeit erscheint, könnte das Haftungsprivileg für Online-Anbieter im Bereich User Generated Content fundamental verändern. Möglicherweise läutet es sogar das Ende der anonymen Kommunikation im Netz ein.

Was ist passiert?

Im Zentrum des Rechtsstreits steht eine Person, deren Leben durch eine böswillige Anzeige massiv beeinträchtigt wurde. Bereits 2018 veröffentlichte ein unbekannter Dritter auf der Website www.publi24.ro eine Anzeige. Dabei handelt es sich um einen Online-Marktplatz, auf dem Nutzer Waren und Dienstleistungen anbieten können. Die besagte Anzeige behauptete fälschlicherweise, die Betroffene biete sexuelle Dienstleistungen an und nutzte echte Fotografien sowie deren private Telefonnummer. Aus juristischer Sicht handelt es sich bei den veröffentlichten Informationen um so genannte besondere Arten von personenbezogenen Daten nach DSGVO, die besonders sensibel und daher besonders geschützt sind.

Auf die Löschungsaufforderung reagierte der Anbieter unverzüglich und nahm die Inhalte innerhalb von einer Stunde offline. Die Betroffene gab sich mit der bloßen Löschung nicht zufrieden und zog vor die rumänischen Gerichte. Das Gericht erster Instanz folgte der Argumentation der Klägerin und verurteilte den Anbieter zur Zahlung von 7000 Euro immateriellem Schadensersatz. In der Berufung wendete sich das Blatt. Das Gericht hob das Urteil auf und sprach den Betreiber von jeglicher Haftung frei. Der Fall landete schließlich beim Berufungsgericht Cluj. Dieses sah sich mit einem Normenkonflikt konfrontiert, der für die gesamte europäische Digitalwirtschaft von Bedeutung ist: Wie verhält sich das Haftungsprivileg für Anbieter von fremdem Content, das heute im Digital Services Act (DSA) geregelt ist, zur strengen Verantwortlichkeit für die Datenverarbeitung in der DSGVO? Um diese Frage zu klären, setzte das Gericht das Verfahren aus und legte dem EuGH mehrere Fragen zur Vorabentscheidung vor.

Ein juristisches Minenfeld

Mit dem DSA, beziehungsweise seinem Vorgänger, der E-Commerce-Richtlinie, kodifizierte der europäische Gesetzgeber unter anderem das Verbot allgemeiner Überwachungspflichten (Art. 8 DSA). Die politische Botschaft war klar: Europa will sichere Plattformen, aber keine Zensurmaschinen. Dem steht allerdings eine lange Zeit wenig beachtete Vorschrift in der DSGVO entgegen (Artikel 2 Absatz 4). Dieser besagt, dass die DSGVO die Anwendung der E-Commerce-Richtlinie „unberührt lässt“, insbesondere deren Vorschriften zur Haftung der Vermittler. Diesen Wertungswiderspruch löst der EuGH in seiner Entscheidung sehr einseitig zugunsten der Regelungen in der DSGVO. Und er tut dies ohne Rücksicht auf Verluste.

Eine Dekonstruktion der Neutralität

Juristische Kernaussage ist dabei, dass nicht nur die Person für die Inhalte der Anzeige verantwortlich ist, die sie veröffentlicht hat. Im Rahmen der sogenannten gemeinsamen Verantwortlichkeit nimmt der EuGH auch den Betreiber der Website in die Verantwortung. Der Gerichtshof begründet dies damit, dass die Anzeige nur dank des Online-Marktplatzes im Internet veröffentlicht und den Internetnutzern somit zugänglich gemacht" wird. Russmedia stelle nicht nur den Speicherplatz zur Verfügung, sondern organisiere, speichere und verbreite die Daten. Diese Argumentation bedeutet, dass jeder Hoster auch für ihn völlig unbekannte Daten verantwortlich sein kann, die Dritte auf der Plattform hochgeladen haben. Die bisherige Trennlinie zwischen Host- und Content-Provider, aus der sich aus die Haftung ergibt, ist damit in großen Teilen aufgelöst.

Aus dieser Erkenntnis und der daraus resultierenden potenziellen Haftung der Website-Betreiber leitet der EuGH drei neu formulierte Pflichten für Anbieter fremder Inhalte ab:

Vorab-Prüfung: Soweit bei einem veröffentlichten Inhalt sensible Daten nach Art. 9 DSGVO im Spiel sind, besteht eine proaktive Prüfpflicht vor Veröffentlichung. Das betrifft Informationen über sexuelle Orientierung ebenso wie politische oder religiöse Ansichten, Informationen über die ethnische Herkunft oder Informationen über Erkrankungen. Praktisch muss daher wohl jede neue Veröffentlichung überprüft werden, schon um festzustellen, ob derartige sensible Daten enthalten sind.

Identitätszwang: Bei Veröffentlichungen, die sensible Daten enthalten könnten, muss der Betreiber die Identität des Nutzers und dessen Kontaktdaten ermitteln. Anonyme Veröffentlichungen sind daher nur noch eingeschränkt möglich. Wie lange diese Informationen aufbewahrt werden müssen, ist der Entscheidung nicht zu entnehmen.

Technischer Schutz: Es besteht eine aktive Pflicht, das Kopieren der sensiblen Daten durch Dritte technisch zu erschweren. Wie dies praktisch aussehen soll, lässt der EuGH offen.

Identifizierungspflicht als neuer Standard

Die vielleicht gravierendste gesellschaftliche Folge des Urteils ist das faktische Ende der anonymen Forennutzung oder Inserateschaltung. Der EuGH formuliert eine klare Handlungsanweisung: Der Betreiber muss im Fall von sensiblen Daten, die alles andere als selten sind, überprüfen, ob der Inserent tatsächlich die Person ist, deren Daten in einer solchen Anzeige enthalten sind. Ist dies nicht der Fall, muss er eine „ausdrückliche Einwilligung“ der betroffenen Person nachweisen lassen. Um festzustellen, ob der Inserent identisch ist mit der Person im Inhalt, muss der Betreiber zwingend die wahre Identität des Posters kennen und prüfen. Eine anonyme oder pseudonyme Nutzung ist unvereinbar mit dieser Prüfpflicht.

Praktisch führt dies zu absurden Folgen, beispielsweise bei einem Forum: Möchte ein Nutzer in einem Forum über seine Depression schreiben, so stellt dies sensible Gesundheitsdaten dar. Der Forenbetreiber muss nun sicherstellen, dass der Nutzer wirklich über sich selbst schreibt und nicht über einen Dritten. Dazu muss er wissen, wer der Nutzer ist und idealerweise einen Identitätsnachweis verlangen. Im Extremfall braucht er sogar einen Nachweis, dass der Nutzer wirklich unter Depressionen leidet – er könnte ja auch über Dritte schreiben.

Diese Informationen über den User stellen aber wiederum auch sensible Daten im Sinne der DSGVO dar. Um einen möglichen Daten-Missbrauch, wie im Ausgangsfall, zu verhindern, muss der Anbieter also seinerseits größere Mengen an sensiblen Daten erheben, womit dem Datenschutz wohl eher ein Bärendienst erwiesen wird.

Absurde Haftungsregeln

Der EuGH argumentiert, dass Artikel 2 Absatz 4 DSGVO so zu verstehen sei, dass die Haftungsprivilegien des DAS zwar für andere Rechtsgebiete gelten, z.B. Urheberrecht oder Markenrecht, nicht aber für den Datenschutz. Das führt zu einer nur schwer umzusetzenden Situation für Plattformbetreiber: Postet ein Nutzer etwa eine Beleidigung, muss der Betreiber den Beitrag nach dem DSA erst nach Kenntnisnahme, etwa durch eine Meldung, löschen. Er muss nicht vorab filtern.

Enthält der ansonsten identische Kommentar den Namen und die politische Gesinnung des Beleidigten, also sensible Daten nach Art. 9 DSGVO, muss der Betreiber diesen Kommentar vor der Veröffentlichung identifizieren, die Identität des Posters prüfen und mangels Einwilligung des Opfers die Veröffentlichung verhindern. Tut er dies nicht, so droht ihm eine eigene Haftung ungeachtet der Kenntnis des Beitrags.

Und damit nicht genug, hält das Urteil noch eine andere Verpflichtung für die Diensteanbieter bereit: Der EuGH verlangt auch, dass Betreiber Maßnahmen ergreifen, um das Kopieren der Anzeigen durch Dritte zu verhindern.

Der Weg in das „Cleannet“?

Das Urteil C-492/23 ist ein Pyrrhussieg für den Datenschutz. Vor allem aber stellt es eine Niederlage für das freie, offene Internet dar. Der EuGH hat die Prioritäten klar gesetzt: Der Schutz der Persönlichkeitsrechte wiegt schwerer als die Kommunikationsfreiheit der Allgemeinheit. Das Ergebnis ist ein Paradoxon: Um die Daten der Nutzer zu schützen, müssen Plattformen mehr Daten über die Nutzer sammeln und deren Inhalte intensiver überwachen und filtern als je zuvor.

Für Hoster von User Generated Content bedeutet dies das Ende der Unschuld. Die Konsequenz wird eine Marktbereinigung sein: Kleine, offene Foren werden verschwinden oder sich in geschlossene Gruppen verwandeln, über denen ein Haftungsrisiko schwebt. Große Plattformen werden ihre Mauern hochziehen und Identitäten streng kontrollieren. Das Internet wird „sauberer“, aber auch starrer, überwachter und weniger anonym.

(emw)