Die Verantwortlichkeit von Hosting-Anbietern wurde durch das Urteil des Europäischen Gerichtshofs vom 2. Dezember (Rechtssache C-492(23) (Russmedia)) neu definiert.
Hosting-Anbieter können nunmehr als mitverantwortlich im Sinne der Datenschutzgrund-Verordnung (DSG-VO) für Inhalte gelten, die von Nutzerinnen und Nutzern eingestellt werden.
Durch die Entscheidung sollen die Rechte von Betroffenen gestärkt werden. Verantwortlich für die Verarbeitung personenbezogener Daten gilt, wer über den Zweck deren Verarbeitung entscheidet. Hosting-Anbieter tun dies eigentlich nicht. Die Entscheidung, welche Inhalte eingestellt werden, liegt allein bei den Nutzerinnen und Nutzern, während Hosting-Anbieter lediglich die Plattform hierfür zur Verfügung stellen.
Verantwortlichkeit aufgrund der Allgemeinen Nutzungsbedingungen
Die nun angenommene Mitverantwortlichkeit hat der EuGH folgendermaßen begründet: Einerseits wird durch das Zurverfügungstellen der Plattform die Veröffentlichung der Daten überhaupt erst ermöglicht. Andererseits kam vorliegend hinzu, dass sich die Plattform in den Allgemeinen Nutzungsbedingungen eigene Rechte vorbehalten hatte. Zu den vorbehaltenen Rechten gehörte, die Inhalte zu verwenden, zu verbreiten, zu übertragen, zu vervielfältigen, zu ändern, zu übersetzen, an Partner weiterzugeben und jederzeit auch ohne Angabe von Gründen zu löschen. Aus dem Zusammenspiel dieser beiden Komponenten ergibt sich nach Ansicht des EuGH eine Verantwortlichkeit gemeinsam mit den Nutzerinnen und Nutzern, welche personenbezogene Inhalte auf der Plattform einstellen.
Wozu sind Hosting-Anbieter nun verpflichtet?
Aufgrund der Mitverantwortlichkeit treffen Hosting-Anbieter die Pflichten aus der DS-GVO. Davon sind insbesondere Prüfpflichten, ob es sich um sensible Daten handelt, umfasst. Zu prüfen ist auch, ob die veröffentlichten Daten eine andere Person als diejenige, welche die Daten einstellt, betreffen. Dann muss nämlich eine Einwilligung oder eine andere Rechtsgrundlage für die Veröffentlichung vorliegen. Weiter müssen geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten ergriffen werden. Damit greifen die Pflichten von Hosting-Anbietern nach der DS-GVO bereits früher als die, die sich aus dem Digital Services Act (DSA) ergeben. Gemäß Art. 6 DSA besteht nämlich so lange eine Haftungsprivilegierung für einen Hosting-Anbieter, bis er tatsächliche Kenntnis von einem rechtswidrigen Inhalt erlangt. Als Verantwortlicher im Sinne der DS-GVO muss aber bereits vorab eine Prüfung stattfinden, um die Veröffentlichung rechtswidriger Inhalte zum Schutz der Betroffenen zu verhindern.
Sie sind Hosting-Anbieter und fragen sich, was Sie nun zu beachten haben?
Die Entscheidung des EuGH bedeutet für Hosting-Anbieter eine neue Verantwortlichkeit. Bestand zuvor eine Handlungspflicht erst dann, wenn die Betreiber auf die Rechtswidrigkeit der Inhalte hingewiesen wurden, ist nun ist eine proaktive Überprüfung erforderlich, was wesentlich aufwändiger ist. Unerlässlich ist eine sorgfältige Prüfung, ob sich die durch den EuGH festgelegten Kriterien auf die jeweils angebotenen Dienste übertragen lassen.
Gerne unterstützen wir Sie bei der Prüfung Ihrer Allgemeinen Nutzungsbedingungen sowie Ihrer Pflichten als Hosting-Anbieter.
Häufig gestellte Fragen zu den neuen DSGVO-Pflichten für Hosting-Anbieter
Nach dem Urteil des Europäischen Gerichtshofs können Hosting-Anbieter künftig als Mitverantwortliche im Sinne der DSGVO für nutzergenerierte Inhalte gelten. Bislang lag die Verantwortung für die Datenverarbeitung primär bei den Nutzern, während die Anbieter lediglich die Plattform stellten. Durch diese neue rechtliche Einstufung sollen die Rechte der von Datenverarbeitungen Betroffenen gezielt gestärkt werden.
Die Mitverantwortlichkeit ergibt sich für den EuGH aus dem Zusammenspiel zweier Faktoren. Einerseits ermöglicht die Plattform die Veröffentlichung der Daten überhaupt erst. Andererseits hatte sich der Anbieter im konkreten Fall in seinen Allgemeinen Nutzungsbedingungen weitreichende Rechte vorbehalten, wie etwa das Recht, Inhalte zu ändern, weiterzugeben oder jederzeit grundlos zu löschen.
Aufgrund der Mitverantwortlichkeit treffen Hosting-Anbieter nun proaktive Prüfpflichten. Sie müssen kontrollieren, ob sensible Daten veröffentlicht werden oder ob Daten unbeteiligter Dritter betroffen sind, wofür zwingend eine Rechtsgrundlage vorliegen muss. Darüber hinaus müssen sie geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten ergreifen.
Die datenschutzrechtlichen Pflichten aus der DSGVO greifen nun deutlich früher als die Vorgaben des Digital Services Act (DSA). Während der DSA eine Haftungsprivilegierung gewährt, bis ein Anbieter tatsächliche Kenntnis von rechtswidrigen Inhalten erlangt, fordert die DSGVO nun eine proaktive Rolle. Als Verantwortliche müssen Hosting-Anbieter bereits im Vorfeld prüfen, um rechtswidrige Veröffentlichungen zu verhindern.
Anbieter müssen ihre internen Prozesse von einer rein reaktiven Handlungspflicht auf eine wesentlich aufwändigere, proaktive Inhaltsüberprüfung umstellen. Es ist unerlässlich, sorgfältig zu prüfen, ob die vom EuGH definierten Kriterien der Mitverantwortlichkeit auf die eigenen Dienste zutreffen. Insbesondere die eigenen Allgemeinen Nutzungsbedingungen sollten in diesem Zuge dringend juristisch überprüft werden.
