Der Digital Services Coordinator (DSC) in der Bundesnetzagentur hat ein Verfahren gegen eBay eingeleitet und Verstöße gegen den Digital Services Act (DSA) festgestellt. Die Behörde rügt, dass eBay das Melde- und Abhilfeverfahren für rechtswidrige Inhalte nicht benutzerfreundlich ausgestaltet, Sperren unzureichend begründet und die Pflichtangaben zur Nachverfolgbarkeit von Händlern nicht einfach einsehbar sind. Da eBay seine EU-Hauptniederlassung in Deutschland hat, ist der deutsche DSC zuständig. Dem Online-Marktplatz wurde nun Gelegenheit zur Stellungnahme und Abhilfe eingeräumt, andernfalls drohen Anordnungen und Zwangsgelder.
Die Pressemitteilung des Bundesnetzagentur: Digital Services Coordinator in der Bundesnetzagentur fordert eBay zur Einhaltung von Nutzerrechten nach dem Digital Services Act auf
Der Digital Services Coordinator (DSC) in der Bundesnetzagentur hat bei Ermittlungen gegen den Online-Marktplatz eBay Verstöße gegen mehrere Vorschriften des Digital Services Act (DSA) festgestellt. Er hat eBay aufgefordert, hierzu Stellung zu nehmen und die Verstöße abzustellen. Dies stellt noch keine endgültige Entscheidung dar.
„eBay kann nun zu den Verstößen Stellung nehmen und die Verstöße beheben. Wenn das Unternehmen unserer Anordnung nicht folgt, werden wir weitere Maßnahmen ergreifen“, sagt Johannes Heidelberger, Leiter des DSCs. „Nutzerinnen und Nutzer müssen sich darauf verlassen können, dass ihre Rechte im digitalen Raum geschützt sind. Das ist der Maßstab, an dem wir im Fall von eBay prüfen.“
Verfahren gegen eBay
Anfang Januar 2026 hat der DSC ein Verfahren gegen eBay eingeleitet. Anlass der Untersuchung waren Erkenntnisse aus eingegangen Nutzerbeschwerden sowie aus eigenen Ermittlungen. Weitere Erkenntnisse hatte auch die französische Verbraucherschutzbehörde DGCCRF gesammelt, die der französische DSC (Arcom) an den deutschen DSC weitergeleitet hat.
Nach Auswertung der Antworten von eBay sowie auf Grundlage weiterer Ermittlungen stellt der DSC folgende Verstöße fest:
Vorgaben zum Melde- und Abhilfeverfahren wurden nicht korrekt umgesetzt. Nach dem DSA sind Online-Plattformen verpflichtet, ein leicht zugängliches und benutzerfreundliches Verfahren zur Meldung vermeintlich rechtswidriger Inhalte bereitzustellen. Hier ist insbesondere das Meldeverfahren von ebay in der Desktopvariante nicht leicht zugänglich und insgesamt nicht benutzerfreundlich ausgestaltet.
Vorschriften zur Begründung von Maßnahmen gegen Nutzer wurden nicht vollständig eingehalten. Anbieter müssen Nutzer über die Gründe für Maßnahmen informieren, beispielsweise wenn Inhalte entfernt oder Konten gesperrt werden. Die Informationen müssen klar, verständlich und präzise sein. So können Nutzer die getroffenen Maßnahmen nachvollziehen und ihre Rechte wirksam wahrnehmen.
Die Regeln zur Nachverfolgbarkeit von Händlern wurden nicht ausreichend umgesetzt. Dabei sollen Verbraucherinnen und Verbraucher durch klare Angaben zum Verkäufer und verbindliche Kontaktmöglichkeiten besser vor Online-Betrug geschützt werden. Diese Pflichtangaben sind bei eBay nicht einfach und benutzerfreundlich einsehbar.
eBay ist ein weltweit bekannter in Deutschland führender Online-Marktplatz, auf dem überwiegend gewerbliche Verkäufer Waren und Dienstleistungen für Verbraucherinnen und Verbraucher anbieten. Die Hauptniederlassung von eBay innerhalb der Europäischen Union befindet sich in Deutschland, weshalb der deutsche DSC für die Durchsetzung der Vorschriften des DSA zuständig ist.
Nächste Schritte
eBay hat nun Gelegenheit, zu den festgestellten Verstößen Stellung zu nehmen und Abhilfemaßnahmen zu ergreifen. Falls der Anbieter die Verstöße nicht abstellt, kann der DSC Maßnahmen zur Einhaltung der DSA-Vorgaben anordnen. Zur Durchsetzung kann ein Zwangsgeld festgesetzt werden.
Aufgaben des Digital Services Coordinators in der Bundesnetzagentur
Der DSC in der Bundesnetzagentur ist die zentrale Koordinierungsstelle für die Durchsetzung des DSA in Deutschland. Er kontrolliert Vermittlungsdienste, hierunter Online-Plattformen, auf die Einhaltung ihrer Verpflichtungen. Er ist zentrale Beschwerdestelle für Online-Nutzende bei Verstößen gegen den DSA und koordiniert die Zusammenarbeit der zuständigen nationalen und europäischen Behörden. Der DSC zertifiziert außergerichtliche Streitbeilegungsstellen sowie Trusted Flagger. Ebenso prüft der DSC die Anträge von Forschenden auf Datenzugang zu den Daten der VLOP und VLOSEs.
Der DSC arbeitet bei der Umsetzung des DSA zusammen mit der Bundeszentrale für Kinder- und Jugendmedienschutz (BzKJ), den Landesmedienanstalten, der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI), der europäischen Kommission und den DSCs der anderen Mitgliedstaaten.
Das OLG Rostock hat entschieden, dass einem Social-Media-Nutzer nach einem Hackerangriff ein Anspruch gegen den Plattformbetreiber auf sofortige Sperrung des kompromittierten Accounts zusteht. Diese Verpflichtung zur Unterstützung und Absicherung des Nutzers ergibt sich aus den vertraglichen Leistungs- und Schutzpflichten des Plattformbetreibers gemäß § 241 Abs. 2 BGB. Da die Übernahme eines Kontos durch unbefugte Dritte erhebliche Haftungs- und Strafbarkeitsrisiken für den rechtmäßigen Inhaber indiziert, liegt im Eilverfahren ein unaufschiebbarer Verfügungsgrund zur Sperrung vor, um den Missbrauch der digitalen Identität effektiv zu unterbinden.
Aus den Entscheidungsgründen: I. Die zulässige sofortige Beschwerde ist überwiegend begründet.
1. Soweit nach einer übereinstimmenden Erledigungserklärung der Parteien über die Kosten des Rechtsstreits gemäß § 91a ZPO nach billigem Ermessen unter Berücksichtigung des bisherigen Sach- und Streitstandes zu entscheiden ist, gibt grundsätzlich der ohne die Erledigungserklärungen zu erwartende Verfahrensausgang den Ausschlag, d. h. es wird in der Regel derjenige die Kosten zu tragen haben, dem sie in diesem Fall nach den allgemeinen kostenrechtlichen Regelungen der ZPO aufzuerlegen gewesen wären. Da es sich jedoch auch um eine Ermessens- und Billigkeitsentscheidung handelt, können darüber hinaus die näheren Umstände und Motive, die zur Abgabe der Erledigungserklärung geführt haben, berücksichtigt werden, sowie, ob eine Partei das Erledigungsereignis willkürlich herbeigeführt hat (vgl. Zöller-Althammer, ZPO, 36. Aufl., 2026, § 91a Rn. 24 f. m. w. N.).
2. Diese Maßstäbe führen in dem vorliegenden Fall zu einer Kostenquotelung zwischen den Parteien in dem in Abänderung des angefochtenen Beschlusses tenorierten Verhältnis.
a. Ein Verfügungsanspruch der Antragstellerin gegen die Antragsgegnerin auf Wiedereinräumung des Zugangs zu ihren Benutzerkonten bei (...) und [...] ergab sich aufgrund des Verlustes ihrer Zugriffsmöglichkeit wegen eines Hackerangriffs zumindest im Sinne einer entsprechenden Nebenpflicht der Antragsgegnerin aus dem unstreitig zwischen den Parteien zustande gekommenen Vertrag über die Nutzung der betreffenden sozialen Medien gemäß § 241 Abs. 2 BGB. Denn unabhängig von ihrer konkreten rechtlichen Einordnung beinhalten derartige Verträge die (Haupt)Pflicht des Plattformbetreibers, dass sämtliche Funktionen ohne Einschränkungen genutzt werden können, mit der Folge umgekehrt eines korrespondierenden Anspruchs des Nutzers darauf (vgl. Gerecke-Heins, Handbuch Social-Media-Recht, 1. Aufl., 2023, § 4 Rn. 86).
aa. Scheitert die Nutzung eines Accounts im Verlauf des Vertragsverhältnisses an einem Eingriff von dritter Seite, muss sich dann eine Verpflichtung des Anbieters zur Unterstützung des Nutzers bei einer Wiederherstellung des verloren gegangenen Zugangs zu dem betroffenen Konto schlichtweg daraus ergeben, dass dieser selbst über keine Möglichkeiten verfügte, um ein bestehendes Zugriffshindernis eigenständig zu beheben oder zu überwinden (vgl. allgemein zu Leistungssicherungspflichten Staudinger-Olzen, BGB, Neubearbeitung 2024, § 241 Rn. 265 ff. m. w. N.). Das Vertragsverhältnis könnte ansonsten rein tatsächlich nicht mehr umgesetzt werden.
bb. Gleiches folgt aus denselben Gründen zudem im Hinblick darauf, dass sich die Vertragspartner bei Abwicklung des Schuldverhältnisses so zu verhalten haben, dass die Rechtsgüter des anderen Teils nicht verletzt werden (vgl. allgemein zu Schutzpflichten Hau/Poseck-Sutschet, BeckOK BGB, Stand: 01.02.2026, § 241 Rn. 89 m. w. N.). Die Übernahme eines Benutzerkontos durch einen Dritten im Wege eines Hackerangriffs enthebt den Vertragspartner des Plattformbetreibers der Möglichkeit, selbst über die unter seiner Identität eingestellten Inhalte zu entscheiden mit dem Risiko, dass sowohl seine (höchst)persönlichen als auch seine Vermögensrechte dadurch nachteilig in Mitleidenschaft gezogen werden.
b. Ebenso konnte die Antragstellerin berechtigterweise vom Vorliegen eines Verfügungsgrundes ausgehen wegen der objektiv begründeten Gefahr, dass durch Veränderung des status quo die Rechtsverwirklichung mittels des im Hauptsacheprozess zu erlangenden Urteils einschließlich dessen Vollstreckung vereitelt oder erschwert werden könnte (vgl. Krüger/Rauscher-Drescher, MüKo ZPO, 7. Aufl., 2025, § 935 Rn. 15).
aa. Insofern gehen zum einen die Ausführungen der Antragsgegnerin, welche sich zu einer fehlenden Dringlichkeit im Hinblick auf die Aufrechterhaltung der Kommunikation und Kontaktpflege über die Nutzerkonten bzw. die mit einem entsprechenden Zugang einhergehende Reichweite von Veröffentlichungsmöglichkeiten verhalten, hier an der Sache vorbei; denn die Antragstellerin hat stattdessen auf ihr drohende Gefahren bei Nutzung ihrer Accounts durch Dritte verwiesen, welche bei entsprechendem Auftreten in den betreffenden sozialen Medien unter ihrer Identität zumindest den Anschein eines (eigenen) haftungs- oder gar strafrechtlich relevanten Verhaltens zu ihren Lasten hervorrufen konnten.
bb. Zum anderen lässt sich das diesbezügliche Risiko der Antragstellerin - anders als das Landgericht meint - nicht als lediglich „rein spekulativ“ einordnen; dem steht eben der Umstand entgegen, dass eine Übernahme ihrer Konten im Wege eines Hackerangriffs erfolgt ist, dem kaum lautere Motive zugrunde gelegen haben dürften, sondern der eine Verwendung der Zugriffsmöglichkeit zu Zwecken, mit denen man nicht selbst erkennbar in Erscheinung treten möchte, geradezu indiziert. Die unmittelbaren Möglichkeiten zur Nutzung eines gehackten Social-Media-Accounts durch einen Dritten zur Verbreitung von Inhalten schließen ein längeres Zuwarten bis zur Erwirkung einer Hauptsacheentscheidung im Hinblick darauf, ein solches Verhalten wirksam zu unterbinden, im Übrigen grundsätzlich aus.
c. Gleichzeitig ist der Antragsgegnerin allerdings zuzugeben, dass eine einstweilige Verfügung regelmäßig nur zur Sicherung, nicht jedoch zur Befriedigung des Hauptanspruchs führen darf, auch wenn unter bestimmten Voraussetzungen eine sogenannte Leistungsverfügung zulässig sein mag (vgl. Stein/Jonas-Bruns, ZPO, 23. Aufl., 2020, § 938 Rn. 18 m. w. N.).
aa. Eine Befriedigungsverfügung ist bloß dort gerechtfertigt, wo das Versagen einer solchen Verfügung zu einer irreparablen Schädigung des Antragstellers führt, sodass in einem anhängigen oder noch anhängig zu machenden Hauptverfahren die Rechtsverwirklichung für ihn ins Leere gehen muss; diese Prüfung verlangt zunächst die Feststellung, dass unter Beachtung von Art und Umfang der Gefahr sowie aufgrund der Interessenabwägung im Rahmen des Sicherungsbedürfnisses keine einstweilige Maßnahme in Frage kommt, die „unterhalb“ des geltend gemachten Anspruchs in der Hauptsache die Rechtsstellung sichert (vgl. Krüger/Rauscher-Drescher, a. a. O., § 938 Rn. 16 m. w. N.). Nach diesen Vorgaben genügte es hier zur ausreichenden Absicherung der Antragstellerin, ihre Benutzerkonten generell, d. h. auch für die Dritten, welche sich einen Zugang mittels Hacking verschafft hatten, zu sperren, und so von diesen vorgenommene Handlungen zum Nachteil der Antragstellerin zu verhindern. Verweist sie demgegenüber darauf, dass es ihr ebenso darum gegangen sei, sich einen Überblick darüber zu verschaffen, welche Inhalte über ihre Profile veröffentlicht worden oder mit welchem ihrer Kontakte die Hacker in Interaktionen getreten seien, richtet sich dies auf die erst im Weiteren relevante Abarbeitung möglicherweise geschehener Rechtsverstöße. Jedenfalls in diesem Zusammenhang war weder dargetan noch sonst ersichtlich, warum insofern ein derartiges Eilbedürfnis vorgelegen hätte, dass ihm nur durch die sofortige Wiedereinrichtung eines Zugangs der Antragstellerin zu ihren Accounts gerecht zu werden gewesen wäre.
bb. Konnte in der Folge statt der erstrebten Leistungsverfügung lediglich eine solche zur Sicherung der Antragstellerin ergehen, führt dies zu einem Teilunterliegen im Sinne von § 92 Abs. 1 ZPO für sie (vgl. OLG Frankfurt, Beschluss vom 17.01.2006, Az.: 11 W 21/05, - zitiert nach juris -, Rn. 3 ff., 8 und 24, zur Durchsetzung eines Besichtigungsanspruchs nach § 809 BGB im Wege des einstweiligen Rechtsschutzes mit derselben Kostenquotelung wie hier).
(1) Nichts Abweichendes kann einerseits unter Berücksichtigung von § 938 Abs. 1 ZPO angenommen werden, wonach das Gericht nach freiem Ermessen bestimmt, welche Anordnungen zur Erreichung des Zweckes erforderlich sind.
(a) Denn bei einer Leistungsverfügung, bei welcher ein den Anforderungen des § 253 Abs. 2 Nr. 2 ZPO entsprechender Antrag gestellt werden muss, besteht eine Bindung an diesen im Rahmen von § 308 Abs. 1 Satz 1 ZPO, während die Ausübung eines gerichtlichen freien Ermessens hinsichtlich der erforderlichen Anordnungen gemäß § 938 Abs. 1 ZPO ausscheidet (vgl. Vorwerk/Wolf-Elzer, BeckOK ZPO, Stand: 01.12.2025, § 938 Rn. 15 und 26 m. w. N.).
(b) In der Zusammenschau des zuvor unter lit. aa) und bb) Gesagten stellte dabei die Sicherung der Antragstellerin durch eine Sperre ihrer Benutzerkonten im Hinblick auf ihr Rechtsschutzziel kein sogenanntes aliud, sondern ein minus gegenüber der beantragten Befriedigung im Wege der Wiedereinräumung des Zugriffs auf die Accounts dar.
(2) Schließlich kann jedenfalls für die nach § 91a Abs. 1 Satz 1 ZPO (eben) unter Billigkeitsgesichtspunkten zu treffende Kostenentscheidung andererseits dahinstehen, ob die Antragsgegnerin zumindest das (...)-Konto bereits in einen Checkpoint versetzt hatte, bevor die Antragstellerin das vorliegende Verfahren anhängig gemacht hatte.
(a) Der Rechtsgedanke des § 93 ZPO vermag nämlich eine Kostenpflicht des Antragsgegners trotz von Anfang an unbegründeten Antrages zu rechtfertigen, wenn er durch sein Verhalten - wie beispielsweise mangelnde Information des Antragstellers - die Einleitung des gerichtlichen Verfahrens veranlasst hat (vgl. Stein/Jonas-Muthorst, BGB, 23. Aufl., 2016, § 91a Rn. 33 a. E. m. w. N.).
(b) Die Antragsgegnerin hatte der Antragstellerin hier vor deren Anhängigmachung des Antrages auf Erlass einer einstweiligen Verfügung am 09.09.2024 lediglich am 30.08.2024 eine Bearbeiternummer mitgeteilt und sich auf den Schriftsatz der jetzigen Prozessbevollmächtigter der Antragstellerin vom selben Datum mit einer Fristsetzung bis zum 03.09.2024 dann gar nicht mehr gemeldet. Die Antragstellerin hatte damit keinerlei Anhaltspunkte dafür, dass ihrem Anliegen kurzfristig nachgekommen würde oder dies sogar schon geschehen sei. Ein in dem angefochtenen Beschluss offenbar als notwendig angenommener Zeitraum zum Zwecke einer „umfassenden Prüfung durch die Antragsgegnerin“ musste sich der Antragstellerin nicht erschließen, abgesehen davon, dass er von jener so nie angeführt worden und das Landgericht selbst davon ausgegangen ist, dass es sich bei dem Hackerangriff um ein „sicherheitsrelevantes Ereignis“ handelte, sodass ein zügiges Handeln der Antragsgegnerin erwartet werden konnte.
(aa) Vor diesem Hintergrund kann zunächst der Hinweis der Antragsgegnerin zu keinem anderen Ergebnis führen, die Antragstellerin habe doch nach ihrem eigenen Vortrag das (...)-Konto schon vor Antragseinreichung nicht mehr sehen können und deshalb davon ausgehen müssen, dass der Account auch von Dritten nicht mehr zu nutzen gewesen sei. Denn die Antragstellerin hat ihrerseits angeführt, dass Hacker die Ländereinstellungen von Seiten änderten, sodass diese in Deutschland nicht mehr, im Rest der Welt dagegen schon sichtbar seien, und dies durch den Betroffenen erst überprüft werden könne, wenn der Zugriff auf das Profil bestehe; dieses Vorbringen ist seitens der Antragsgegnerin unwidersprochen geblieben.
(bb) Ebenso wenig hilft der Antragsgegnerin die Bezugnahme auf ihre E-Mail an die Antragstellerin mit der Mitteilung einer Bearbeiternummer weiter.
[1] Hinsichtlich des damit verbundenen Informationsgehaltes für letztere kann bereits im Ansatz nicht außer Acht gelassen werden, dass die Nachricht ausschließlich auf Englisch verfasst war, sodass die Antragsgegnerin kein durchgehendes und umfassendes Verständnis ihres Inhaltes im Falle eines deutschen Nutzers unterstellen kann.
[2] Nicht ganz zutreffend ist sodann die Wiedergabe der E-Mail durch die Antragsgegnerin, wenn nach dieser eine Antwort nicht erfolgen sollte, sofern die Meldung der Antragstellerin keinen möglichen Verstoß gegen ihre gesetzlichen Rechte betraf. Abgesehen davon, dass sich dem juristischen - und gegebenenfalls noch des Englischen unkundigen - Laien eine Differenzierung zwischen „alleged infringement/violation of your legal rights“ einerseits und „another matter“ andererseits von vornherein nicht erschließen muss, heißt es für den letzteren Fall tatsächlich nur: „you might not receive a response“, also dass eine Antwort ausbleiben „könnte“, aber nicht ausgeschlossen ist. Unberücksichtigt bliebe ansonsten aber insbesondere der Schriftsatz der jetzigen Prozessbevollmächtigten der Antragstellerin vom 30.08.2024 mit seiner Setzung einer Frist bis zum 03.09.2024, für deren fruchtlosen Ablauf die Inanspruchnahme gerichtlichen einstweiligen Rechtsschutzes in Aussicht gestellt wurde; hat die Antragsgegnerin darauf binnen der sechs Tage bis zum 09.09.2024 nicht mehr reagiert, ist nicht erkennbar, was der Antragstellerin noch vorzuwerfen sein sollte bzw. dass es an Versäumnissen auf Seiten der Antragsgegnerin hinsichtlich einer Veranlassung des vorliegenden Verfahrens fehlte.
[3] Das zuvor unter Ziffer [1] und [2] Gesagte gilt in gleicher Weise insoweit, als die Antragsgegnerin schließlich noch meint, der Antragstellerin sei in der hier erörterten Nachricht zusätzlich ein Link übermittelt worden, an den man sich im Falle eines gehackten Accounts wenden könne. Die Relevanz erschließt sich bereits deshalb nicht, weil es der Antragsgegnerin offenbar bereits am 23.08.2024 und damit vor ihrer E-Mail vom 30.08.2024 möglich gewesen war, das Konto der Antragstellerin in einen sogenannten Checkpoint zu versetzen. Wozu es dann noch opportun oder überhaupt notwendig gewesen sein sollte, sich an eine weitere Stelle bei der Antragsgegnerin zu wenden, bleibt ohne Erklärung.
(cc) Nach all dem konnte die Antragstellerin (gerade) nicht davon ausgehen, dass die Antragsgegnerin bezogen auf den (...)-Account schon gehandelt hatte, und konnte damit auch nicht erwarten, dass derartiges im Hinblick auf das [...]-Konto ebenfalls und ohne den Erlass einer einstweiligen Verfügung geschehen werde.
