EuGH, Schlussantr. d. Generalanwalts 6.2.2025 - C-492/23
Pflicht zur Nutzeridentifizierung ohne proaktive Inhalteprüfung
Autor: RA Markus Rössel, LL.M. (Informationsrecht), Köln
Aus: IT-Rechtsberater, Heft 03/2025
Aus: IT-Rechtsberater, Heft 03/2025
Nach Artt. 5 Abs. 1 lit. f, 6 Abs. 1 lit. a, 7, 24, 25 DSGVO ist der Anbieter eines Online-Marktplatzes als Auftragsverarbeiter nicht zur Prüfung der Inserate oder zu Maßnahmen gegen deren Weiterverbreitung verpflichtet, sondern nur zur Sicherheit der Verarbeitung gegenüber Dritten. Als Verantwortlicher muss er die Identität der Inserenten prüfen.
RL 2000/31/EG Art. 14 Abs. 1 a.F.; VO (EU) 2016/679 Artt. 4 Nr. 7 und 8, 5 Abs. 1, 6 Abs. 1, 24, 25, 32, 82 Abs. 3
Irrelevanz umfassender Rechteeinräumung:Hier behalte sich der Betreiber u.a. vor, Inserate an Geschäftspartner weiterzugeben und jederzeit ohne Angabe von Gründen zu entfernen. Nach der Judikatur des EuGH sei für die aktive Rolle auf die tatsächliche Beteiligung abzustellen, so dass eine ungenutzte Rechteeinräumung unschädlich sei (Rz. 55–64 m.w.N.; Ls. 1).
Tatsachenkenntnis ohne Unrechtsbewusstsein: Allein wegen der äußerst schädlichen Natur des Inserats hätte keine Vorabprüfung vorgenommen werden müssen. Art. 14 Abs. 1 lit. a ECRL a.F. setze voraus, dass der Hoster im Fall einer Schadensersatzklage keine Kenntnis von Tatsachen oder Umständen habe, die für einen sorgfältigen Wirtschaftsteilnehmer „offensichtlich“ bzw. leicht erkennbar auf Rechtswidrigkeit hindeuteten. Diese Erkennbarkeit sei am objektiven Maßstab zu bestimmen, so dass unerheblich sei, ob der Hoster Rechtswidrigkeit erkenne, ignoriere oder hier irre. Dagegen sei seine konkrete Kenntnis von den zu beurteilenden Tätigkeiten oder Informationen erforderlich. Deren Vermutung wäre mit Art. 15 Abs. 1 ECRL a.F. unvereinbar (Rz. 67–73 m.w.N.; vgl. zu klarer Erkennbarkeit für einen inhaltlich nicht analysierenden Laien Erwgrd. 63 Satz 3 des DSA).
Tatbeteiligung:Kollusives Zusammenwirken könne die Haftungsprivilegierung ebenso ausschließen (Erwgrd. 44 der ECRL), wie nach Auffassung des EuGH ein Beitrag zur urheberrechtswidrigen Wiedergabe i.S.d. InfoSoc-RL 2001/29/EG (Rz. 74 ff. m.w.N.).
Keine spezifischen Überwachungspflichten:Eine gefahrabhängige Vorabprüfung bleibe nationalem Recht unter Beachtung von Art. 15 ECRL a.F. vorbehalten. Das Unionsrecht habe sukzessive Schutz bestimmter Nutzergruppen vor speziellen Inhalten ergänzt, wie etwa terroristischen i.S.d. Art. 5 TCO-VO (EU) 2021/784 oder kinderpornografischen i.S.d. Art. 28b AVMD-RL 2010/13/EU n.F. Der DSA differenziere Pflichten und enthalte Regelungen zur Inhaltemoderation. Für das vorliegende Verfahren verbiete sich richterliche Rechtsfortbildung (Rz. 77–80).
Inseratweiterleitung:Ein Marktbetreiber, der Inserate an Vertragspartner zur Veröffentlichung auf anderen Internetseiten weiterleite, sei Vermarktern vergleichbar, die anders als bei automatisierter Übernahme wohl nicht vollständig neutral seien. Das nationale Recht könne vorbehaltlich Art. 11 Abs. 1 GRC spezifische Anforderungen für die Inhalteblockade vorsehen (Erwgrd. 41, 46 der ECRL). Hier sei etwa durch Vertragsklauseln sicherzustellen, dass die Blockade ggf. auch bei Partnern erfolge (Rz. 84–95 m.w.N.).
Verantwortungsverteilung der DSGVO:Der Verantwortliche i.S.v. Art. 4 Nr. 7 DSGVO beeinflusse im Eigeninteresse Zwecke und Mittel der Verarbeitung. Er müsse insb. die Einwilligung des Betroffenen nachweisen und geeignete TOM zur Absicherung rechtmäßiger Verarbeitung umsetzen (vgl. insg. Artt. 5 Abs. 1 und 2, 6, 7 Abs. 1, 24, 25 DSGVO). Der Auftragsverarbeiter hafte nur für die Erfüllung seiner speziellen Pflichten und der Anweisungen des Verantwortlichen (Artt. 4 Nr. 8, 82 Abs. 2 Satz 2 DSGVO). Seine Ermächtigung nach Art. 28 Abs. 3 DSGVO müsse nicht alle Details der Verarbeitung regeln. Er lege notwendige TOM eigenverantwortlich fest. Die Bestimmung unwesentlicher Verarbeitungsmittel mache ihn nicht zum Verantwortlichen (Rz. 102–109 m.w.N.).
Identifizierungspflicht:Bzgl. der Nutzerkontodaten sei der Marktbetreiber Verantwortlicher, da er über Bestandsdaten und Zweck entscheide. Angesichts möglichen Identitätsmissbrauchs müsse gem. Artt. 24, 25 DSGVO zwecks evtl. Rechtsverfolgung die Identität der Inserenten verifiziert werden. Anonymität bleibe gewährleistet, soweit nur der Verantwortliche Datenzugriff habe (Rz. 111, 129–136 m.w.N.; Ls. 2).
Inserent als Verantwortlicher:Der Inserent entscheide über Daten und Zweck des Inserats. Der Marktbetreiber habe mit Festlegung von Layouts nur Einfluss auf unwesentliche Verarbeitungsmittel. Erst nach tatsächlicher Inanspruchnahme vorbehaltener Rechte könnte er Verantwortlicher sein (Rz. 112–119 m.w.N.).
Auftragsverarbeiter des Inserats:Der Marktbetreiber sei bzgl. Inseraten nur Auftragsverarbeiter, so dass er sie nicht vorab prüfen müsse. Er müsse den Verantwortlichen nicht kontrollieren. Artt. 32 Abs. 1 und 2, 5 Abs. 1 lit. f DSGVO verpflichteten ihn aber zu TOM. Für ihn gelte der zur kooperativen Weiterleitung festgestellte Pflichtenumfang i.S.v. Art. 14 Abs. 1 lit. b ECRL a.F. entsprechend (Rz. 120–128 m.w.N.; vgl. Rz. 93; Ls. 2).
Hilfserwägung:Sollte der Marktbetreiber als Verantwortlicher für die Inserate zu beurteilen sein, komme eine differenzierte gemeinsame Verantwortlichkeit mit dem Inserenten in Betracht. Zu prüfen sei vorab jedes Inserat bzgl. Artt. 5 Abs. 1 lit. a, 6 Abs. 1, 7 Abs. 1 DSGVO. Ferner seien Artt. 24, 25 DSGVO umzusetzen. Dies gelte aber nicht für eine Beschränkung der Weiterverbreitung der Inserate. Die Vorabprüfung führe zu mit Art. 14 Abs. 1 ECRL a.F. unvereinbarer Kenntnis. Zur Vermeidung unbilliger Ergebnisse sei daher der Marktbetreiber eher als Auftragsverarbeiter einzuordnen (Rz. 139–158; vgl. Rz. 120).
Keine Öffnung der ECRL a.F. für DSGVO durch DSA:Nicht privilegierungsschädlich seien nach Art. 7 Alt. 2 DSA „Maßnahmen zur Einhaltung der Anforderungen des Unionsrechts“, unter die auch DSGVO-Prüfpflichten fielen. Dies sei aber rückwirkend auf die ECRL a.F. nicht übertragbar (Rz. 160).
Keine Verdrängung durch DSGVO:Nach Art. 1 Abs. 5 lit. b ECRL finde die ECRL keine Anwendung auf Kommunikations- und Datenschutz. I.Ü. gehe der EuGH aber von paralleler Anwendung aus. Nach Art. 2 Abs. 4 DSGVO würden insb. Artt. 12–15 ECRL a.F. nicht eingeschränkt. Die Haftungsbefreiung gem. Art. 82 Abs. 3 DSGVO sei mit Art. 14 Abs. 1 ECRL a.F. nicht vergleichbar, weil Letzterer eine gesetzliche Verantwortlichkeit voraussetze, die sich etwa für den fehlenden Nachweis der Nichtverantwortlichkeit nach Ersterem richte. Eine Verdrängung scheide erst recht aus, wenn Ansprüche auf nationale Haftungsgrundlagen etwa zum Schutz von Persönlichkeitsrechten statt auf DSGVO gestützt würden (Rz. 164–185 m.w.N.).
RL 2000/31/EG Art. 14 Abs. 1 a.F.; VO (EU) 2016/679 Artt. 4 Nr. 7 und 8, 5 Abs. 1, 6 Abs. 1, 24, 25, 32, 82 Abs. 3
Das Problem
In Nutzungsbedingungen eines Online-Marktplatzes werden umfassende Nutzungsrechte an Inseraten vorbehalten. Am 1.8.2018 wurde unbefugt ein Inserat sexueller Dienstleistungen einer Betroffenen mit Fotos aus ihrem Social Media-Konto sowie ihrer Telefonnummer veröffentlicht. Das nach Beanstandung zügig entfernte Inserat wurde – vertragsgemäß oder unbefugt – von anderen Internetseiten weiterhin online gestellt. Der Marktbetreiber wurde erstinstanzlich zu 7.000 € Schadensersatz wegen Verletzung der DSGVO, aber auch von allgemeinen Persönlichkeitsrechten verurteilt.Die Entscheidung des Gerichts
Privilegierungsschädliche aktive Rolle:Art. 14 Abs. 1 ECRL a.F. gelte nur für neutrale Vermittler, deren Tätigkeit rein technisch, automatisch und passiv sei und die keine Kenntnis oder Kontrolle über gespeicherte Nutzerinhalte vermittle (Erwgrd. 42 der ECRL). Für den Marktbetreiber sei unschädlich, wenn er insb. Vergütung erhalte, Auskünfte erteile oder Empfehlungssysteme einsetze, sofern er Inserate nicht optimiere oder bewerbe (Rz. 49–53, 59 m.w.N.; vgl. jetzt Art. 38, Erwgrd. 22 Satz 4 und 5 des DSA).Irrelevanz umfassender Rechteeinräumung:Hier behalte sich der Betreiber u.a. vor, Inserate an Geschäftspartner weiterzugeben und jederzeit ohne Angabe von Gründen zu entfernen. Nach der Judikatur des EuGH sei für die aktive Rolle auf die tatsächliche Beteiligung abzustellen, so dass eine ungenutzte Rechteeinräumung unschädlich sei (Rz. 55–64 m.w.N.; Ls. 1).
Tatsachenkenntnis ohne Unrechtsbewusstsein: Allein wegen der äußerst schädlichen Natur des Inserats hätte keine Vorabprüfung vorgenommen werden müssen. Art. 14 Abs. 1 lit. a ECRL a.F. setze voraus, dass der Hoster im Fall einer Schadensersatzklage keine Kenntnis von Tatsachen oder Umständen habe, die für einen sorgfältigen Wirtschaftsteilnehmer „offensichtlich“ bzw. leicht erkennbar auf Rechtswidrigkeit hindeuteten. Diese Erkennbarkeit sei am objektiven Maßstab zu bestimmen, so dass unerheblich sei, ob der Hoster Rechtswidrigkeit erkenne, ignoriere oder hier irre. Dagegen sei seine konkrete Kenntnis von den zu beurteilenden Tätigkeiten oder Informationen erforderlich. Deren Vermutung wäre mit Art. 15 Abs. 1 ECRL a.F. unvereinbar (Rz. 67–73 m.w.N.; vgl. zu klarer Erkennbarkeit für einen inhaltlich nicht analysierenden Laien Erwgrd. 63 Satz 3 des DSA).
Tatbeteiligung:Kollusives Zusammenwirken könne die Haftungsprivilegierung ebenso ausschließen (Erwgrd. 44 der ECRL), wie nach Auffassung des EuGH ein Beitrag zur urheberrechtswidrigen Wiedergabe i.S.d. InfoSoc-RL 2001/29/EG (Rz. 74 ff. m.w.N.).
Keine spezifischen Überwachungspflichten:Eine gefahrabhängige Vorabprüfung bleibe nationalem Recht unter Beachtung von Art. 15 ECRL a.F. vorbehalten. Das Unionsrecht habe sukzessive Schutz bestimmter Nutzergruppen vor speziellen Inhalten ergänzt, wie etwa terroristischen i.S.d. Art. 5 TCO-VO (EU) 2021/784 oder kinderpornografischen i.S.d. Art. 28b AVMD-RL 2010/13/EU n.F. Der DSA differenziere Pflichten und enthalte Regelungen zur Inhaltemoderation. Für das vorliegende Verfahren verbiete sich richterliche Rechtsfortbildung (Rz. 77–80).
Inseratweiterleitung:Ein Marktbetreiber, der Inserate an Vertragspartner zur Veröffentlichung auf anderen Internetseiten weiterleite, sei Vermarktern vergleichbar, die anders als bei automatisierter Übernahme wohl nicht vollständig neutral seien. Das nationale Recht könne vorbehaltlich Art. 11 Abs. 1 GRC spezifische Anforderungen für die Inhalteblockade vorsehen (Erwgrd. 41, 46 der ECRL). Hier sei etwa durch Vertragsklauseln sicherzustellen, dass die Blockade ggf. auch bei Partnern erfolge (Rz. 84–95 m.w.N.).
Verantwortungsverteilung der DSGVO:Der Verantwortliche i.S.v. Art. 4 Nr. 7 DSGVO beeinflusse im Eigeninteresse Zwecke und Mittel der Verarbeitung. Er müsse insb. die Einwilligung des Betroffenen nachweisen und geeignete TOM zur Absicherung rechtmäßiger Verarbeitung umsetzen (vgl. insg. Artt. 5 Abs. 1 und 2, 6, 7 Abs. 1, 24, 25 DSGVO). Der Auftragsverarbeiter hafte nur für die Erfüllung seiner speziellen Pflichten und der Anweisungen des Verantwortlichen (Artt. 4 Nr. 8, 82 Abs. 2 Satz 2 DSGVO). Seine Ermächtigung nach Art. 28 Abs. 3 DSGVO müsse nicht alle Details der Verarbeitung regeln. Er lege notwendige TOM eigenverantwortlich fest. Die Bestimmung unwesentlicher Verarbeitungsmittel mache ihn nicht zum Verantwortlichen (Rz. 102–109 m.w.N.).
Identifizierungspflicht:Bzgl. der Nutzerkontodaten sei der Marktbetreiber Verantwortlicher, da er über Bestandsdaten und Zweck entscheide. Angesichts möglichen Identitätsmissbrauchs müsse gem. Artt. 24, 25 DSGVO zwecks evtl. Rechtsverfolgung die Identität der Inserenten verifiziert werden. Anonymität bleibe gewährleistet, soweit nur der Verantwortliche Datenzugriff habe (Rz. 111, 129–136 m.w.N.; Ls. 2).
Inserent als Verantwortlicher:Der Inserent entscheide über Daten und Zweck des Inserats. Der Marktbetreiber habe mit Festlegung von Layouts nur Einfluss auf unwesentliche Verarbeitungsmittel. Erst nach tatsächlicher Inanspruchnahme vorbehaltener Rechte könnte er Verantwortlicher sein (Rz. 112–119 m.w.N.).
Auftragsverarbeiter des Inserats:Der Marktbetreiber sei bzgl. Inseraten nur Auftragsverarbeiter, so dass er sie nicht vorab prüfen müsse. Er müsse den Verantwortlichen nicht kontrollieren. Artt. 32 Abs. 1 und 2, 5 Abs. 1 lit. f DSGVO verpflichteten ihn aber zu TOM. Für ihn gelte der zur kooperativen Weiterleitung festgestellte Pflichtenumfang i.S.v. Art. 14 Abs. 1 lit. b ECRL a.F. entsprechend (Rz. 120–128 m.w.N.; vgl. Rz. 93; Ls. 2).
Hilfserwägung:Sollte der Marktbetreiber als Verantwortlicher für die Inserate zu beurteilen sein, komme eine differenzierte gemeinsame Verantwortlichkeit mit dem Inserenten in Betracht. Zu prüfen sei vorab jedes Inserat bzgl. Artt. 5 Abs. 1 lit. a, 6 Abs. 1, 7 Abs. 1 DSGVO. Ferner seien Artt. 24, 25 DSGVO umzusetzen. Dies gelte aber nicht für eine Beschränkung der Weiterverbreitung der Inserate. Die Vorabprüfung führe zu mit Art. 14 Abs. 1 ECRL a.F. unvereinbarer Kenntnis. Zur Vermeidung unbilliger Ergebnisse sei daher der Marktbetreiber eher als Auftragsverarbeiter einzuordnen (Rz. 139–158; vgl. Rz. 120).
Keine Öffnung der ECRL a.F. für DSGVO durch DSA:Nicht privilegierungsschädlich seien nach Art. 7 Alt. 2 DSA „Maßnahmen zur Einhaltung der Anforderungen des Unionsrechts“, unter die auch DSGVO-Prüfpflichten fielen. Dies sei aber rückwirkend auf die ECRL a.F. nicht übertragbar (Rz. 160).
Keine Verdrängung durch DSGVO:Nach Art. 1 Abs. 5 lit. b ECRL finde die ECRL keine Anwendung auf Kommunikations- und Datenschutz. I.Ü. gehe der EuGH aber von paralleler Anwendung aus. Nach Art. 2 Abs. 4 DSGVO würden insb. Artt. 12–15 ECRL a.F. nicht eingeschränkt. Die Haftungsbefreiung gem. Art. 82 Abs. 3 DSGVO sei mit Art. 14 Abs. 1 ECRL a.F. nicht vergleichbar, weil Letzterer eine gesetzliche Verantwortlichkeit voraussetze, die sich etwa für den fehlenden Nachweis der Nichtverantwortlichkeit nach Ersterem richte. Eine Verdrängung scheide erst recht aus, wenn Ansprüche auf nationale Haftungsgrundlagen etwa zum Schutz von Persönlichkeitsrechten statt auf DSGVO gestützt würden (Rz. 164–185 m.w.N.).