Russmedia-Urteil: EuGH beendet Ära der passiven Plattformen

Der EuGH hat mit einem wegweisenden Urteil die Haftungsregeln für Online-Marktplätze neu definiert. Was bedeutet das für Unternehmen?

Mit der Entscheidung vom 2. Dezember im Fall X gegen Russmedia Digital (C-492/23) hat der Europäische Gerichtshof eine Ära beendet: Online-Plattformen können sich nicht länger als „passive Gastgeber” nutzergenerierter Inhalte verstecken. Wer Daten organisiert, kategorisiert oder für eigene Zwecke bewirbt, trägt die volle Verantwortung als Datenverantwortlicher nach DSGVO. Juristische Teams in ganz Europa überarbeiten seit dieser Woche fieberhaft ihre Verträge zur Auftragsverarbeitung.

Während gleichzeitig die EU-Kommission mit ihrem „Digital Omnibus”-Vorschlag die Regeln für KI-Entwicklung lockern will, verschärft die britische Datenschutzbehörde ICO ihre Gangart gegen Cookie-Banner. Ein Spannungsfeld, das Compliance-Verantwortliche vor erhebliche Herausforderungen stellt.

Die Rechtsprechung ist eindeutig: Sobald ein Marktplatz entscheidenden Einfluss auf die Verarbeitung personenbezogener Daten ausübt, wird er zum gemeinsamen Verantwortlichen. Die Berufung auf die E-Commerce-Richtlinie – heute das Gesetz über digitale Dienste – greift nicht mehr.

Experten der Kanzlei Taylor Wessing bewerteten die Entscheidung bereits gestern als fundamentalen Paradigmenwechsel. Was früher durch Standard-Geschäftsbedingungen abgedeckt schien, erfordert künftig explizite Vereinbarungen nach Artikel 26 DSGVO.

Anzeige

Viele Unternehmen unterschätzen die neuen Haftungsrisiken bei der Auftragsverarbeitung – das EuGH‑Urteil macht Joint‑Controller‑Fragen zwingend. Unser kostenloses E‑Book erklärt Schritt für Schritt, welche Vertragsklauseln Sie jetzt anpassen müssen, zeigt fertige Vorlagen und enthält eine schnelle Checkliste zur Überprüfung Ihrer Dienstleister. Schützen Sie Ihr Unternehmen vor Haftungsfallen. Jetzt Gratis‑E‑Book zur Auftragsverarbeitung herunterladen

Konkrete Folgen für Unternehmen:

• Joint-Controller-Verträge werden Pflicht: Standardklauseln reichen nicht mehr aus
• Präventive Datenprüfung: Plattformen müssen Inhalte vor Veröffentlichung auf personenbezogene Daten scannen
• Erweiterte Haftung: Unternehmen, die Drittplattformen nutzen, müssen ihre gesamte Vertragsstruktur überdenken

Die operative Belastung ist enorm. Müssen Marktplätze jetzt tatsächlich jeden Eintrag vor der Publikation durchleuchten? Das Urteil legt genau das nahe.

Brüsseler Gegenwind: Der Digital Omnibus-Vorschlag

Während Gerichte die Zügel straffen, lockert die Politik. Der Ende November veröffentlichte Digital Omnibus-Entwurf dominierte diese Woche die Branchendiskussionen – aus gutem Grund.

Die geplante Verordnung würde es erlauben, personenbezogene Daten zum Training von KI-Modellen auf Basis berechtigter Interessen zu verarbeiten. Eine Einwilligung wäre in vielen Fällen überflüssig. Für KI-Entwickler ein Befreiungsschlag, für Datenschützer ein Albtraum.

Die Nichtregierungsorganisation noyb legte am 1. Dezember eine 71-seitige Analyse vor, die vernichtend ausfällt. Der vorgeschlagene Artikel 88c würde „Kernbestimmungen der DSGVO untergraben”, so das Urteil der Datenschutzaktivisten. Besonders brisant: Die Weitergabe von Nutzerdaten an kommerzielle KI-Partner würde deutlich vereinfacht.

Compliance-Verantwortliche stehen vor einem Widerspruch:

• Rechtsprechung: Der EuGH weitet Haftung und Definitionen aus (siehe Russmedia)
• Gesetzgebung: Die Kommission will die Definition personenbezogener Daten einschränken und KI-Verarbeitung erleichtern

Kann diese Schere noch weiter aufgehen?

Britische Cookie-Offensive zeigt Wirkung

Die britische Datenschutzbehörde ICO meldete heute einen Durchbruch. Von den 1.000 meistbesuchten britischen Websites erfüllen mittlerweile 979 die strengen Vorgaben für Cookie-Banner.

Das Ergebnis einer konsequenten Kampagne: Die Aufsichtsbehörde verschickte Vorab-Bescheide an große Publisher und Händler. Im Fokus stand besonders die gleichwertige Darstellung von „Alle ablehnen”- und „Alle akzeptieren”-Buttons.

„Wir haben uns das Ziel gesetzt, Menschen bis Ende 2025 mehr Kontrolle über Online-Tracking zu geben”, erklärte ein ICO-Sprecher heute Morgen. „Ich kann mit Zuversicht sagen: Wir haben dieses Versprechen eingelöst.”

Eine klare Botschaft an europäische Unternehmen mit britischen Niederlassungen: Trotz regulatorischer Unsicherheiten in Brüssel bleibt die Durchsetzung bei Drittanbieter-Trackern kompromisslos.

Internationale Kooperation wird enger

Der Europäische Datenschutzausschuss (EDSA) traf sich gestern mit Behörden aus Ländern, die über EU-Angemessenheitsbeschlüsse verfügen – darunter Großbritannien, Japan und Kanada.

Thema: Weltweite Harmonisierung der Datenschutzdurchsetzung. Für internationale Konzerne bedeutet das: Eine Datenpanne bei einem Auftragsverarbeiter in Kanada oder dem Vereinigten Königreich könnte künftig koordinierte Untersuchungen auf beiden Seiten auslösen.

Die Zeiten isolierter nationaler Verfahren scheinen vorbei.

Was 2026 bringt

Abwarten ist keine Option mehr. Das Russmedia-Urteil erfordert sofortige Prüfung aller Plattform-Beziehungen. Wer einen Marktplatz betreibt oder nutzt, sollte seine Verträge zur Auftragsverarbeitung als veraltet betrachten.

Für das erste Quartal 2026 erwarten Beobachter:

• Vertragsflut: Große Plattformen werden überarbeitete Joint-Controller-Agreements vorlegen
• Omnibus-Lobbyschlacht: Intensive Verhandlungen im EU-Parlament um die KI-Klauseln
• Britischer Sonderweg: Mit dem Data (Use and Access) Act 2025, der diese Woche Aufmerksamkeit für gelockerte Regeln zu automatisierten Entscheidungen erhielt, driften die Compliance-Anforderungen diesseits und jenseits des Ärmelkanals auseinander

Die Botschaft von EuGH und Aufsichtsbehörden ist unmissverständlich: Drittbeziehungen sind die neue Frontlinie der Datenhaftung. Unwissenheit über die Verarbeitungstätigkeiten von Partnern ist keine Verteidigung mehr – sondern ein Verstoß.

Anzeige

PS: Die neue Rechtslage erfordert schnelles Handeln. Fordern Sie das kostenlose E‑Book zur Auftragsverarbeitung an – mit fertigen Artikel‑26‑Vorlagen, Haftungs-Checks und einer To‑Do‑Liste für Ihre Plattformverträge, damit Sie Joint‑Controller‑Risiken sofort minimieren. E‑Book zur Auftragsverarbeitung kostenlos anfordern