Russmedia-Urteil und Programmatic Advertising: Neue Haftungsrisiken für Publisher

Anders als frühere Urteile, bei denen Plattformen von Haftungsprivilegien nach dem Prinzip „Notice and Takedown“ profitierten, führt diese Entscheidung Vorabprüfungspflichten für besonders sensible personenbezogene Daten gemäß Artikel 9 DSGVO ein und beendet damit faktisch 25 Jahre Safe-Harbor-Schutz im datenschutzrechtlichen Kontext.

Hintergrund: Haftungsprivileg und Web 2.0

Plattformen und Publisher profitierten von Haftungsprivilegien, die ursprünglich in der E-Commerce-Richtlinie verankert waren und heute im Digital Services Act fortgeführt werden. Dieses Regelwerk, bekannt als das Prinzip „Notice and Takedown“ (Artikel 12 bis 15), schützte Publisher vor einer automatischen Haftung für rechtswidrige Inhalte, die von Nutzern oder Dritten erstellt wurden, sofern sie:

• ausschließlich als technische Intermediäre agierten
• Inhalte nicht aktiv bearbeiteten oder kontrollierten
• sich Inhalte nicht zu eigen machten oder anpassten
• rechtswidrige Inhalte nach Kenntniserlangung unverzüglich entfernten

Der Fall: Was ist passiert?

Im August 2018 veröffentlichte ein Unbekannter auf pub24 (Russmedia Digital) eine gefälschte Anzeige mit manipuliertem Foto einer Frau, die sie fälschlicherweise als Sexarbeiterin darstellte und ihre Mobilnummer enthielt. Innerhalb einer Stunde verbreitete sich die Anzeige auf hunderten weiteren Plattformen.

Russmedia entfernte die Anzeige umgehend nach der Aufforderung des Opfers. Zu diesem Zeitpunkt war die weitere Verbreitung jedoch nicht mehr zu stoppen. Der Fall endete nach sieben Jahren im wegweisenden EuGH-Urteil vom Dezember 2025.

Was hat der EuGH entschieden?

1. Keine Haftungsprivilegierung im Datenschutz

Das Haftungsprivileg aus dem Digital Services Act („Notice and Takedown") gilt nicht für Datenschutzverstöße. Die Pflichten verschieben sich vor den Zeitpunkt der  Veröffentlichung.

2. Gemeinsame Verantwortlichkeit

Publisher haften gemeinsam mit allen Beteiligten, auch wenn Inhalte von anonymen Dritten stammen.

3. Vorprüfungspflicht für sensible Daten

Publisher müssen technische und organisatorische Maßnahmen implementieren, um speziell Artikel 9-Daten vor Veröffentlichung zu prüfen. Der vom Gericht gesetzte Standard lautet: Publisher müssen „alles Mögliche tun", um die illegale Verbreitung unrechtmäßiger Inhalte zu stoppen. Die Pflicht zur Vorprüfung gilt jedoch nur für sensible Daten nach Artikel 9 DSGVO. Eine allgemeine Inhaltsprüfung wäre unzulässig.

Näheres zu Artikel 9 DSGVO - Besondere Kategorien personenbezogener Daten kann in diesem Blogartikel nachgelesen werden.

Vergleich mit anderen wegweisenden Urteilen

Parallelen zu Schrems II

Ähnlichkeiten:

• Keine sofort verfügbare technische Lösung am Markt
• Verlagerung der Pflichten auf früheren Zeitpunkt im Prozess
• Notwendigkeit zur Entwicklung neuer Technologien und Ansätze
• Schaffung von Marktchancen für Compliance-Lösungen

Warum Russmedia bedeutender ist

Anders als bei Schrems II, dessen Auswirkungen durch das Trans-Atlantic Data Privacy Framework politisch abgefedert wurden, beruhen die Pflichten aus dem Russmedia-Urteil nicht auf einer internationalen Datenübermittlungsfrage, sondern auf einer Auslegung der bestehenden DSGVO selbst. Es handelt sich daher nicht um eine temporäre Rechtsunsicherheit oder eine regulatorische Lücke, sondern um eine grundlegende Neuinterpretation der Publisher-Verantwortung unter geltendem Recht. Da die Entscheidung von der Großen Kammer des EuGH stammt, entfaltet sie zudem verbindliche Wirkung für alle nationalen Gerichte und prägt künftig die Auslegung in sämtlichen Mitgliedstaaten.

Wen trifft das Urteil?

Publisher und Plattformen

Das Urteil betrifft direkt:

Online-Marktplätze: Plattformen, auf denen Nutzer Anzeigen schalten können

Nachrichtenportale mit Kommentarfunktion: Websites mit User-Generated Content

Social Media Plattformen: Alle Plattformen mit nutzergenerierten Inhalten, die personenbezogene Daten enthalten

Review-Plattformen: Bewertungsportale, auf denen Nutzer über andere Personen schreiben

AdTech-Unternehmen

Programmatic Advertising: Die gesamte Kette vom DSP über SSP bis zu Ad Exchanges

Ad Server: Systeme, die Werbeanzeigen ausliefern

DMPs und CDPs: Plattformen, die Daten sammeln und verarbeiten

Breitere Auswirkungen

User-Generated Content: Das Urteil erstreckt sich über Werbung hinaus auf alle nutzergenerierten Inhalte mit personenbezogenen Daten auf:

• Social Media Plattformen
• Bewertungsplattformen
• Marktplätzen
• Medien-Kommentarbereichen

Household Exemption: Artikel 2(2)(d) DSGVO sieht eine Ausnahme für rein persönliche Aktivitäten vor, aber:

• Gilt für: Kleine private Gruppen (bis zu 50-100 Personen)
• Gilt nicht für: Öffentliche Internet-Posts, die breitere Zielgruppen erreichen
• Ergebnis: Plattformen bleiben vollständig verantwortlich für öffentliche nutzergenerierte Inhalte

Die Entscheidung ist fokussierter als manche Kommentare suggerieren, aber ihre Auswirkungen im Datenschutzbereich sind tiefgreifend.

Offene Fragen und Unsicherheiten

Technische Machbarkeit

• Können Filter Artikel 9-Inferenzen in Echtzeit-Werbekontexten zuverlässig erkennen?
• Welche Fehlerquoten sind unter „State of the Art"-Anforderungen akzeptabel?
• Wie prüft man Inferenzen, die kontextuelles Verständnis erfordern?

Rechtliche Klarheit

• Erstreckt sich dies im Laufe der Zeit über Artikel 9-Daten hinaus?
• Wie werden nationale Gerichte die „alles Mögliche"-Anforderungen interpretieren?
• Was stellt angemessene Identitätsverifikation dar?
• Sind Zwei-Banner-Consent-Lösungen rechtlich ausreichend?

Kommerzielle Auswirkungen

• Werden Vorprüfungskosten die Werbepreise auf betroffenen Plattformen beeinflussen?
• Begünstigt dies traditionelle Publisher mit menschlichen Redaktionsprozessen?
• Werden kleinere Plattformen aufgrund von Compliance-Kosten verdrängt?
• Kann Programmatic Advertising in seiner aktuellen Form überleben?

Anwendungsbereich

Das Russmedia-Urteil bezieht sich direkt auf Artikel 9-Daten. Doch die Interpretation des Gerichtshofs zum Accountability-Prinzip der DSGVO hat auch Auswirkungen auf andere Datentypen.

Der Gerichtshof legt einen risikobasierten Ansatz nahe: Je sensibler die Daten, desto strenger die Schutzmaßnahmen. Präzise GPS-Standorte erfordern beispielsweise stärkere Vorkehrungen als einfache Nutzer-IDs. Das bedeutet nicht, dass Publisher bei nicht-sensiblen Daten keine Pflichten haben, die Anforderungen werden nur dem jeweiligen Risikoniveau angepasst.

Was als Nächstes kommt

Dieser Artikel basiert auf einem Webinar mit dem Anwalt und Datenschutzexperten Tilman Herbrich von Spirit Legal, der die Implikationen des Russmedia-Urteils für die digitale Werbeindustrie analysiert hat.