Sind Sie Anbieter eines Online-Marktplatzes gemäß EU 2024/2690?

„Natürlich betreiben wir einen Online-Marktplatz. In unserem Shop kann man schließlich sehr viele Sachen kaufen.“

Wenn alle diese Sachen von Ihrem eigenen Unternehmen verkauft werden, betreiben Sie möglicherweise einen großen Webshop. Einen Marktplatz macht das noch nicht. Auch ein Kaufhaus wird nicht dadurch zum Wochenmarkt, dass es besonders viele Regale besitzt.

Beim Online-Marktplatz geht es darum, dass Ihre Software Verbraucher und andere Verkäufer oder Anbieter zusammenbringt und ihnen den Abschluss von Fernabsatzverträgen ermöglicht. Die Plattform organisiert also den Marktplatz. Sie ist nicht bloß selbst der einzige Händler darauf.

Die kurze Antwort

Artikel 6 Nummer 28 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 verweist für die Definition auf Artikel 2 Buchstabe n der Richtlinie 2005/29/EG über unlautere Geschäftspraktiken.

Danach ist ein Online-Marktplatz ein Dienst, der es Verbrauchern mittels Software ermöglicht, Fernabsatzverträge mit anderen Unternehmern oder Verbrauchern abzuschließen. Die Software kann eine Website, ein Teil einer Website oder eine App sein und wird vom oder im Namen des Plattformbetreibers betrieben.

Die entscheidenden Elemente sind:

1. ein digitaler Dienst;
2. Software wie Website oder App;
3. Verbraucher können darüber Verträge abschließen;
4. Vertragspartner sind andere Unternehmer oder Verbraucher – nicht ausschließlich der Plattformbetreiber selbst.

Warum ein Webshop kein Marktplatz sein muss

Ein klassischer Händler verkauft im eigenen Webshop eigene Waren an Kunden. Der Vertrag entsteht zwischen Händler und Kunde. Dass dabei Shopsoftware, Bezahldienst und Logistik beteiligt sind, macht daraus keinen Marktplatz.

Beim Online-Marktplatz stellt der Betreiber dagegen die digitale Umgebung bereit, in der andere Anbieter und Verbraucher zueinanderfinden und Verträge schließen. Der Marktplatzbetreiber kann daneben eigene Produkte verkaufen. Entscheidend ist, dass auch Verträge mit anderen Unternehmern oder Verbrauchern möglich sind.

„Bei uns können 400 Verkäufer anbieten – aber rechtlich kaufen alle Kunden ausschließlich bei uns“ ist deshalb ein interessanter Grenzfall. Dann muss man Verträge, Leistungsbeschreibung und tatsächlichen Ablauf prüfen. Das Design mit vielen Händlerprofilen allein entscheidet nichts.

Die vier Prüffragen

1. Können Verbraucher die Plattform nutzen?

Die verwiesene Definition ist verbraucherbezogen. Ein rein internes Beschaffungsportal oder eine Plattform, die ausschließlich Geschäfte zwischen Unternehmen ermöglicht, passt nicht ohne Weiteres darunter.

Das heißt nicht, dass ein B2B-Anbieter keinerlei NIS-2-Relevanz haben kann. Er kann etwa Cloud-, MSP- oder einen anderen erfassten Dienst anbieten. Nur die Eigenschaft als Online-Marktplatz folgt nicht automatisch aus dem Wort Plattform.

2. Kann über die Software ein Vertrag abgeschlossen werden?

Bloßes Anzeigen reicht nicht zwingend. Ein reines Branchenverzeichnis, das Namen und Telefonnummern auflistet, ermöglicht noch keinen Fernabsatzvertrag. Dasselbe kann für Kleinanzeigen gelten, bei denen die Plattform nur Kontakte vermittelt und der Vertrag vollständig außerhalb zustande kommt.

Kann der Nutzer dagegen auswählen, bestellen, buchen oder auf andere Weise verbindlich abschließen, spricht das deutlich stärker für einen Online-Marktplatz. Es muss nicht zwingend ein Button mit einer bestimmten Aufschrift sein. Der gesamte digitale Abschlussprozess zählt.

3. Mit wem kommt der Vertrag zustande?

Der Verbraucher muss mit einem anderen Unternehmer oder Verbraucher kontrahieren können. Der Plattformbetreiber vermittelt und organisiert dabei die digitale Umgebung.

Prüfen Sie AGB, Bestellbestätigung, Rechnung und Zahlungsfluss. Marketingtexte nennen gern alle Beteiligten „Partner“. Die Vertragsdokumente sind gewöhnlich auskunftsfreudiger.

4. Wer betreibt die Plattform?

Die Software wird vom oder im Namen des Gewerbetreibenden betrieben. Eine Gesellschaft kann Technik und Betrieb auslagern und trotzdem Anbieter des Marktplatzes sein. Umgekehrt wird ein Softwareentwickler nicht allein dadurch zum Marktplatzbetreiber, dass er die Plattform im Kundenauftrag programmiert.

Typische Angebote im Schnellcheck

Spielt die Unternehmensgröße eine Rolle?

Ja. Online-Marktplätze werden nicht allein wegen ihrer Tätigkeit unabhängig von der Größe erfasst.

Nach Artikel 2 Absatz 1 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 greift der reguläre Anwendungsbereich bei Einrichtungen, die mindestens als mittlere Unternehmen gelten oder die Schwellen dafür überschreiten. Vereinfacht:

• Kleinstunternehmen: weniger als 10 Beschäftigte und höchstens 2 Millionen Euro Jahresumsatz oder Bilanzsumme; im Regelfall nicht allein wegen des Marktplatzes erfasst.
• Kleine Unternehmen: weniger als 50 Beschäftigte und höchstens 10 Millionen Euro Jahresumsatz oder Bilanzsumme; im Regelfall ebenfalls nicht allein wegen des Marktplatzes erfasst.
• Mittlere Unternehmen: weniger als 250 Beschäftigte und höchstens 50 Millionen Euro Jahresumsatz oder höchstens 43 Millionen Euro Bilanzsumme; als Marktplatzanbieter grundsätzlich im Anwendungsbereich.

Online-Marktplatz-Anbieter sind in Anhang II der NIS-2-Richtlinie eingeordnet. Anders als etwa große Cloud- oder Rechenzentrumsanbieter werden sie daher nicht allein aufgrund der Überschreitung der mittleren Schwellen automatisch über Anhang I zu wesentlichen Einrichtungen. Im Regelfall gehören erfasste Online-Marktplätze nach Artikel 3 Absatz 2 zu den wichtigen Einrichtungen; besondere Einstufungsgründe können zu einem anderen Ergebnis führen.

Unternehmensgruppen zählen mit

Partner- und verbundene Unternehmen sind bei der KMU-Berechnung grundsätzlich einzubeziehen. Die kleine Plattformgesellschaft kann größenrechtlich also erheblich wachsen, sobald ihre Unternehmensgruppe mitgerechnet wird.

Sonderfälle bleiben möglich

Artikel 2 Absatz 2 der NIS-2-Richtlinie – Richtlinie (EU) 2022/2555 enthält größenunabhängige Sonderfälle, etwa bei besonderer Kritikalität, möglichen erheblichen Auswirkungen oder systemischen Risiken.

Was verlangt die EU 2024/2690 von Marktplatzanbietern?

Die Durchführungsverordnung (EU) 2024/2690 konkretisiert die technischen und methodischen Anforderungen an das Cybersicherheits-Risikomanagement. Behandelt werden unter anderem Governance, Risiken, Vorfälle, Business Continuity, Lieferketten, Entwicklung, Wirksamkeitsprüfung, Kryptografie, Personal, Zugriffe, Assets und physische Sicherheit.

Beim Marktplatz treffen viele schützenswerte Abläufe zusammen: Konten, Händlerzugänge, Produktdaten, Bestellungen, Nachrichten, Zahlungen, Schnittstellen und häufig zahlreiche Dienstleister. Ein übernommenes Händlerkonto kann Kunden täuschen; manipulierte Produkt- oder Zahlungsdaten können den gesamten Vertrauensmechanismus beschädigen.

Praktisch braucht es unter anderem:

• ein belastbares Risikomanagement;
• vollständiges Asset Management;
• sichere Entwicklung und kontrollierte Änderungen;
• Schutz privilegierter Zugänge und Mehrfaktorauthentifizierung;
• Logging und Monitoring für Konten, Änderungen und Transaktionen;
• belastbare Lieferantensteuerung für Hosting, Cloud, Zahlung und Kommunikation;
• Business Continuity Management sowie
• ein funktionierendes Informationssicherheitsvorfall-Management.

Wann ist ein Marktplatz-Vorfall erheblich?

Artikel 11 der Durchführungsverordnung (EU) 2024/2690 nennt vier spezielle Kriterien. Ein Vorfall gilt als erheblich, wenn mindestens eines erfüllt ist:

1. Der Marktplatz ist für mehr als 5 Prozent der Nutzer in der Union oder mehr als eine Million Nutzer vollständig nicht verfügbar – die niedrigere Zahl zählt.
2. Mehr als 5 Prozent oder eine Million Nutzer sind von eingeschränkter Verfügbarkeit betroffen.
3. Integrität, Vertraulichkeit oder Authentizität der marktplatzbezogenen Daten sind infolge einer mutmaßlich böswilligen Handlung beeinträchtigt.
4. Diese Datenmerkmale sind beeinträchtigt und mehr als 5 Prozent oder eine Million Nutzer sind betroffen.

Die ersten beiden speziellen Kriterien nennen keine Mindestdauer. Außerdem verlangt Artikel 3 Absatz 3 der Durchführungsverordnung (EU) 2024/2690, nicht nur direkte Vertragspartner zu zählen, sondern gegebenenfalls auch die mit Geschäftskunden verbundenen Nutzer.

Hilft ISO 27001 bei der Umsetzung?

Ein wirksames ISO 27001-Managementsystem ist ein starkes Fundament. Risikomanagement, Lieferanten, Entwicklung, Zugriffe, Logging, BCM, Assets und Vorfallmanagement passen gut zu den Vorgaben. Erwägungsgrund 3 der Durchführungsverordnung (EU) 2024/2690 nennt ISO/IEC 27001 und ISO/IEC 27002 ausdrücklich als fachliche Grundlage.

Das Zertifikat ersetzt aber weder die rechtliche Einordnung noch Vorfallsgrenzen und Meldepflichten. Der Marktplatz mit seinen Entwicklungs-, Betriebs- und Lieferantenprozessen muss tatsächlich im Scope des ISMS liegen.

So prüfen Sie Ihre Marktplatzeigenschaft

1. Beschreiben Sie die Leistung je juristischer Person.
2. Prüfen Sie, ob Verbraucher die Plattform nutzen.
3. Verfolgen Sie einen vollständigen Bestell- oder Buchungsprozess.
4. Stellen Sie fest, mit wem der Verbraucher den Vertrag schließt.
5. Prüfen Sie, ob der Abschluss über Website oder App möglich ist.
6. Trennen Sie Marktplatzbetrieb, eigenen Handel und technische Dienstleistungen.
7. Berechnen Sie die Unternehmensgröße einschließlich verbundener Unternehmen.
8. Prüfen Sie Sonderfälle, Zuständigkeit und Registrierung.

Interesse geweckt?

Dieser Artikel gehört zu unserer Serie über die Durchführungsverordnung (EU) 2024/2690. Den Überblick über alle elf Anbietergruppen finden Sie im Hub zur EU-Durchführungsverordnung 2024/2690.

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.

Kleiner juristischer Beipackzettel: Dieser Artikel ist keine Rechtsberatung und keine verbindliche Einstufung Ihres Unternehmens. Wir leiten die Einordnung aus den genannten Rechtsakten und verfügbaren Behördenhinweisen ab. Gesetze, Auslegung und Verwaltungspraxis können sich ändern – und die zuständigen Stellen rufen uns erfahrungsgemäß nicht an, wenn sie das tun. Lassen Sie Grenzfälle deshalb rechtlich prüfen.