Das Wichtigste in Kürze

  • Die britische Verbraucherorganisation Which? hat nach eigener Darstellung den Amtssitz des britischen Premierministers in der Londoner Downing Street 10 als Ferienwohnung auf Booking.com eingestellt, dafür eine Zahlung für eine Woche entgegengenommen und eine erfundene Bewertung mit 10 von 10 Punkten veröffentlicht. Booking.com löschte das Konto nach Angaben von Which? am 27. August 2026.
  • In der Europäischen Union gilt seit dem 20. Mai 2026 die Verordnung (EU) 2024/1028. Sie verlangt von Buchungsplattformen, eine Registrierungsnummer abzufragen und anzuzeigen – einen Identitätsnachweis der anbietenden Person verlangt sie nicht.
  • Artikel 30 des Digital Services Act schreibt eine Ausweiskopie vor, gilt aber nur für Unternehmer. Der Erwägungsgrund der Verordnung 2024/1028 hält ausdrücklich fest, dass Gastgeber häufig Privatpersonen sind und diese Voraussetzung nicht erfüllen.

Die britische Verbraucherorganisation Which? hat in der Nacht zum Mittwoch, um 00.01 Uhr Londoner Zeit, einen Selbstversuch veröffentlicht, der nicht in Großbritannien endet: Ihre Reiseredaktion stellte nach eigener Darstellung den Amtssitz des britischen Premierministers – die Adresse „10 Downing Street, London“ – als Ferienwohnung auf Booking.com ein. Die Anzeige trug die Überschrift „1 bedroom apartment in the heart of London“ und den Hinweis, bis zum Parlament seien es vier Minuten zu Fuß.

Für Reisende in Deutschland, Österreich und der Schweiz ist der Vorgang mehr als eine britische Anekdote. Booking.com gehört zu den von der Europäischen Kommission benannten sehr großen Online-Plattformen, und seit dem 20. Mai 2026 gilt in der gesamten EU eine neue Verordnung, die genau dieses Feld regeln soll. Die Frage, die der Test aufwirft, lautet deshalb: Was genau prüft diese Verordnung eigentlich – und was nicht?

Was der Test nach Darstellung von Which? ergab

Nach dem Bericht von Which? vom 2. September 2026 lief der Versuch in mehreren Schritten ab. Die Anzeige sei ohne jede Identitätsprüfung online gegangen; innerhalb der ersten 20 Minuten hätten 14 Menschen nach der Verfügbarkeit gefragt. Die Redaktion habe anschließend selbst eine Woche gebucht und bezahlt. Über das plattformeigene Nachrichtensystem habe der Redakteur, der sich am selben Tag als Gastgeber registriert hatte, einen externen Link verschicken können, mit dem Kreditkartendaten abgefragt wurden – nach Darstellung von Which? genau das Muster, das Betrugsfälle auf der Plattform kennzeichnet. Anbieter wie Airbnb blockierten Weblinks in ihrem Nachrichtensystem routinemäßig, schreibt die Organisation.

Danach habe die Redaktion eine erfundene Bewertung mit der Höchstnote geschrieben und darin als schönsten Teil des Aufenthalts das „Abhängen mit Larry, dem Kater“ angegeben. Die Bewertung sei trotz des Hinweises, sie werde vom Moderationsteam geprüft, innerhalb von Minuten erschienen; die Adresse habe damit die Bewertungsstufe „exzellent“ getragen. Booking.com habe das Konto am 27. August gelöscht, rund zwei Monate nach der Anlage. Die Nachrichtenagentur PA nennt in ihrer Meldung vom 2. September den 18. Juni 2026 als Tag der Anlage. Erst am 31. August habe Booking.com den Aufenthalt storniert und eine E-Mail über eine Rückerstattung geschickt; ob der volle Betrag zurückfließt oder eine Provision einbehalten wird, geht nach Angaben von Which? aus dieser E-Mail nicht hervor.

Which? verweist zugleich auf einen früheren eigenen Test vom Oktober 2024: Damals habe das Anlegen einer erfundenen Unterkunft etwa 15 Minuten gedauert; erst nach 18 Monaten habe Booking.com einen Lichtbildausweis und eine britische Sozialversicherungsnummer verlangt, nach 20 Monaten sei die Anzeige gesperrt worden. Diese Nachfrage führt die Organisation nicht auf die Plattform zurück, sondern auf die britischen Platform Operators (Due Diligence and Reporting Requirements) Regulations von 2024 – eine Regelung, die nach ihrer Darstellung primär der Besteuerung dient und nicht der Betrugsabwehr.

Was Booking.com dem entgegenhält

Booking.com hat gegenüber Which? Stellung genommen. Das Unternehmen erklärte demnach (Zitate aus dem Englischen übersetzt): „Während das Which?-Team in der Lage war, ein Testangebot anzulegen und eine Reservierung über Konten unter seiner eigenen Kontrolle vorzunehmen, spiegelt das nicht die Erfahrung der überwiegenden Mehrheit der Angebote auf unserer Plattform wider.“ Das Angebot sei nicht während der gesamten zwei Monate buchbar gewesen, weil Which? es nur kurzzeitig freigeschaltet habe; einige automatische Betrugskontrollen seien deshalb nicht ausgelöst worden. Das Unternehmen nannte nach Angaben von Which? eine Reihe von Schutzmaßnahmen, darunter „fortgeschrittene Modelle des maschinellen Lernens“, Betrugserkennung und Maßnahmen zur Integrität der Plattform, und riet: „Wir raten Kunden, Zahlungen nur über die freigegebenen Kanäle zu leisten und nicht auf Aufforderungen zu reagieren, extern zu bezahlen.“

Die Organisation stellt dem zwei Schadensfälle aus ihrer eigenen Leserpost gegenüber, deren Namen sie nennt und die NETZ-TRENDS hier nicht wiedergibt. In einem Fall seien nach dem Zugriff Dritter auf ein Booking.com-Konto 44 nicht autorisierte Kartenabbuchungen über zusammen fast 4.000 Pfund angefallen; das Geld habe die Bank erstattet, eine Erklärung des Unternehmens zum Stand der Betrugsprüfung stehe aus. Im zweiten Fall habe ein Betroffener mehr als 900 Pfund für eine Unterkunft, die es so nicht mehr gegeben habe, und für kurzfristige Ersatzhotels ausgegeben; nach der Intervention von Which? habe Booking.com 208 Pfund erstattet. Booking.com prüft den erstgenannten Fall nach Angaben von Which? derzeit.

In eigener Sache: Stand der Stellungnahmen

Die hier wiedergegebenen Aussagen von Booking.com stammen aus der Veröffentlichung von Which? und wurden dieser Organisation gegenüber abgegeben. Eine eigene Anfrage von NETZ-TRENDS an das Unternehmen war bis zum Redaktionsschluss dieses Beitrags nicht möglich. Der Test selbst ist die Darstellung einer Verbraucherorganisation; NETZ-TRENDS hat ihn nicht unabhängig nachvollzogen.

Warum das für Buchungen aus dem deutschsprachigen Raum zählt

Die Europäische Kommission führt Booking.com in ihrer Liste der benannten sehr großen Online-Plattformen; die Einstufung setzt nach Artikel 33 Absatz 1 des Digital Services Act mindestens 45 Millionen durchschnittliche monatlich aktive Nutzende in der Union voraus. In derselben Übersicht nennt die Kommission die Niederlande als zuständigen Koordinator für digitale Dienste; die Aufsicht über die besonderen Pflichten der sehr großen Plattformen liegt nach ihrer Darstellung bei der Kommission selbst. Wer von Deutschland, Österreich oder der Schweiz aus bucht und später eine Aufsichtsbehörde einschalten will, landet damit nicht bei einer Stelle im eigenen Land.

Hinzu kommt die wettbewerbsrechtliche Ebene: Die Kommission hat Booking am 13. Mai 2024 als Torwächter nach dem Digital Markets Act benannt; seit dem 14. November 2024 muss das Unternehmen nach Darstellung der Kommission alle einschlägigen Pflichten dieses Regelwerks erfüllen. Mit der Frage gefälschter Angebote hat der Digital Markets Act allerdings nichts zu tun – er regelt Fairness zwischen Plattform und Geschäftskundschaft, nicht die Echtheit von Inseraten.

Seit dem 20. Mai 2026 gilt eine EU-Registrierungspflicht – für Nummern, nicht für Ausweise

Die für Ferienunterkünfte einschlägige Regelung ist die Verordnung (EU) 2024/1028 über die Erhebung und den Austausch von Daten im Zusammenhang mit Dienstleistungen der kurzfristigen Vermietung von Unterkünften. Sie wurde am 11. April 2024 beschlossen und gilt nach ihrem Artikel 19 seit dem 20. Mai 2026 unmittelbar in allen EU-Mitgliedstaaten – also auch in Deutschland und in Österreich.

Ihr Kern ist eine Registrierungsnummer je vermieteter Einheit. Plattformen müssen nach Artikel 7 eine Eigenerklärung darüber einholen, ob die Einheit in einem Gebiet mit Registrierungsverfahren liegt, gegebenenfalls die Nummer anzeigen und deren Gültigkeit anschließend „anhand von Stichprobenkontrollen regelmäßig“ überprüfen. Artikel 8 verpflichtet sie, sich vor der Freischaltung „nach besten Kräften“ um eine Bewertung der Vollständigkeit dieser Eigenerklärung zu bemühen, soweit das mit automatisierten Instrumenten verhältnismäßig möglich ist. Derselbe Artikel stellt ausdrücklich klar: „Die Anwendung dieses Artikels darf nicht zu einer allgemeinen Verpflichtung zur Überwachung führen.“ Und nach Artikel 5 Absatz 6 sind die Gastgeber selbst für die Richtigkeit der Angaben verantwortlich.

Drei Punkte daraus sind für die Bewertung des britischen Tests entscheidend, und sie stehen so im Verordnungstext: Erstens greift die Nummernpflicht nur dort, wo ein Mitgliedstaat oder eine Region überhaupt ein Registrierungsverfahren eingerichtet hat. Zweitens beruht der Einstieg auf einer Selbsterklärung, deren Richtigkeit die Plattform nicht vorab prüfen muss. Drittens ist die Registrierungsnummer eine Kennung der Wohnung, kein Nachweis darüber, wer das Inserat schaltet.

Artikel 30 DSA: Ausweiskopie – aber nur für Unternehmer

Der Digital Services Act kennt in Artikel 30 („Nachverfolgbarkeit von Unternehmern“) eine echte Identitätsprüfung: Plattformen dürfen Unternehmern den Zugang erst gewähren, wenn unter anderem Name, Anschrift, Telefonnummer, Angaben zum Zahlungskonto und eine „Kopie des Identitätsdokuments“ vorliegen.

Diese Pflicht greift jedoch nur gegenüber Unternehmern. Der 30. Erwägungsgrund der Verordnung 2024/1028 benennt die Lücke selbst: Im Bereich der kurzfristigen Vermietung handele es sich bei Gastgebern „häufig um Privatpersonen“, die „nicht zwangsweise die Voraussetzungen erfüllen, um nach Unionsrecht als ‚Unternehmer‘ eingestuft zu werden“. Genau deshalb hat der EU-Gesetzgeber für dieses Feld eigene, schwächere Anforderungen geschaffen – die Registrierungsnummer statt der Ausweiskopie.

Berlin hat sein Gesetz angepasst, Wien geht einen anderen Weg, die Schweiz ist außen vor

Weil die Verordnung nur dort wirkt, wo ein Registrierungsverfahren besteht, entscheidet sich ihre praktische Reichweite im Landes- und Kommunalrecht. In Deutschland ist das Zweckentfremdungsrecht Ländersache. Der Berliner Senat hat am 31. März 2026 die Anpassung des Zweckentfremdungsverbotsgesetzes an die EU-Verordnung auf den Weg gebracht: Nach dieser Mitteilung wird ein Online-Registrierungsverfahren mit einer Nummer je Einheit eingeführt, die Nummer muss im Inserat angezeigt werden, und die Plattformen übermitteln Daten über eine einheitliche digitale Zugangsstelle an die Behörden. Als Datum des Geltungsbeginns nennt die Senatskanzlei den 20. Mai 2026.

In Österreich sieht die Lage anders aus. Auf der Informationsseite der Stadt Wien zur touristischen Vermietung von Wohnungen stehen zum Zeitpunkt des Abrufs eine Ausnahmebewilligung außerhalb von Wohnzonen, ein Ortstaxe-Konto, ein Gästeverzeichnis und je nach Fall eine Gewerbeberechtigung – ein Hinweis auf eine Registrierungsnummer nach der EU-Verordnung findet sich dort nicht. Die Schweiz wiederum gehört weder der EU noch dem Europäischen Wirtschaftsraum an; die Verordnung 2024/1028 und der Digital Services Act gelten dort nicht.

Rechtsraum Gilt Verordnung (EU) 2024/1028? Registrierungsnummer im Inserat Identitätsnachweis gefordert
Deutschland, Beispiel Berlin ja, seit 20.5.2026 ja, nach Mitteilung des Senats nein
Österreich, Beispiel Wien ja, seit 20.5.2026 auf der Seite der Stadt nicht genannt nein
Schweiz nein, kein EU- oder EWR-Mitglied – nein
Gewerbliche Anbieter in der EU (Art. 30 DSA) gesonderte Regelung – ja, Ausweiskopie
Quellen: Verordnung (EU) 2024/1028, Artikel 4, 7, 8 und 19; Verordnung (EU) 2022/2065 (Digital Services Act), Artikel 30; Pressemitteilung der Berliner Senatskanzlei vom 31. März 2026; Informationsseite der Stadt Wien zur touristischen Vermietung, abgerufen am 2. September 2026. Die Übersicht bildet die Rechtslage für Ferienunterkünfte ab, nicht für Hotels.

Die EU-Kommission hat Booking.com schon einmal genau danach gefragt

Der britische Test trifft auf ein Verfahren, das in Brüssel bereits läuft. Am 23. September 2025 hat die Europäische Kommission Auskunftsersuchen nach dem Digital Services Act an Apple, Booking.com, Google und Microsoft gerichtet. Bei Booking.com geht es dabei nach Darstellung der Kommission um gefälschte Unterkunftsangebote, die zu Zahlungen verleiten sollen, denen nie eine tatsächliche Buchung folgt. Gefragt wurde unter anderem, wie die Unternehmen die Identität der Geschäftskundschaft prüfen – nach den sogenannten Know-Your-Business-Customer-Regeln.

Ein förmliches Verfahren gegen Booking.com findet sich in den einschlägigen Veröffentlichungen der Kommission bislang nicht. Auskunftsersuchen sind ein Ermittlungsschritt, keine Feststellung eines Verstoßes. Der Vorgang zeigt aber, dass die Aufsichtsbehörde denselben Punkt für relevant hält, den die britische Verbraucherorganisation nun praktisch vorgeführt hat.

Was offenbleibt – und wer in der Zwischenzeit zahlt

Drei Fragen lässt der Vorgang unbeantwortet, und alle drei betreffen Geld.

  • Die Frist. Nach Darstellung von Which? musste der eigene Redakteur nach den Regeln der Plattform erst drei Monate nach Freischaltung einen Identitätsnachweis vorlegen. Wie viele Buchungen in einem solchen Zeitraum zustande kommen können, benennt weder die Plattform noch die EU-Verordnung.
  • Das Geld während der Prüfung. Which? schreibt, die Zahlung für die erfundene Woche sei rund zwei Monate bei Booking.com verblieben; ob sie vollständig zurückfließt, sei aus der Stornierungs-E-Mail nicht ersichtlich. Wer bei einem tatsächlichen Betrugsfall in dieser Zeit über sein Geld verfügen kann, ist damit offen.
  • Die Zuständigkeit. Für Reisende aus Deutschland, Österreich und der Schweiz führt der Weg zur Aufsicht ins Ausland – zur niederländischen Aufsicht am Sitz des Unternehmens oder zur Kommission. Eine kurze nationale Beschwerdekette gibt es nicht.

Die Darstellung des Unternehmens und die Wirkung der Regeln fallen dabei auseinander. Booking.com verweist auf maschinelles Lernen und Betrugserkennung und rät zugleich dazu, nur über die freigegebenen Kanäle zu zahlen. Dieser Rat ist richtig – er verlagert die Prüfung aber auf die buchende Seite, während die Verordnung, die seit Mai gilt, der Plattform ausdrücklich keine allgemeine Überwachungspflicht auferlegt. Zwischen beidem bleibt eine Lücke, die derzeit niemand schließt.

Praxishinweis: Was sich vor einer Buchung prüfen lässt

  • Nie außerhalb der Plattform zahlen. Eine Nachricht mit externem Link zur Kartenabfrage ist das Muster, das Which? in seinem Test selbst versenden konnte. Booking.com rät ausdrücklich dazu, auf solche Aufforderungen nicht zu reagieren.
  • Registrierungsnummer suchen. Liegt die Unterkunft in einem EU-Gebiet mit Registrierungsverfahren, muss die Nummer im Inserat stehen. Fehlt sie dort, wo sie stehen müsste, ist das ein Prüfpunkt – kein Beweis, aber ein Anlass zur Nachfrage.
  • Bewertungen mit Datum lesen. Die erfundene Bewertung im Test von Which? erschien nach deren Angaben innerhalb von Minuten. Ein sehr junges Angebot mit wenigen, sehr guten Bewertungen sagt wenig aus.
  • Zahlungsweg wählen, der eine Rückholung erlaubt. Bei Kreditkartenzahlungen besteht je nach Kartenherausgeber die Möglichkeit einer Rückbuchung. Die Bedingungen unterscheiden sich in Deutschland, Österreich und der Schweiz und stehen im jeweiligen Kartenvertrag.
  • Belege sichern. Anzeige, Nachrichtenverlauf und Zahlungsbeleg als Bildschirmfoto sichern – nach der Löschung eines Inserats ist der Nachweis sonst schwer zu führen.

NETZ-TRENDS hat zuletzt mehrfach beschrieben, wie unterschiedlich derselbe Sachverhalt im deutschsprachigen Raum rechtlich ausfällt – etwa bei der von der britischen Wettbewerbsbehörde durchgesetzten Entschädigung für stornierte Heizöl-Bestellungen oder beim Rücktrittsrecht von Pauschalreisen nach der Sturzflut in Nepal. Und wie weit ein Selbstversuch trägt, hat die Redaktion beim Test der deutschen Online-Zulassung i-Kfz gezeigt: Was eine Regel verspricht, und was sie im Alltag leistet, sind zwei verschiedene Dinge.

Haben Sie schon einmal ein Angebot auf einer Buchungsplattform gebucht, das es so nicht gab – und wie ist die Sache ausgegangen? Schreiben Sie uns Ihre Meinung gerne in die Kommentare.

Quellen

Transparenzhinweis: Bei Recherche, Strukturierung und Erstellung dieses Beitrags kamen KI-gestützte Werkzeuge zum Einsatz. Die verwendeten Quellen sind im Artikel aufgeführt. Die Veröffentlichung erfolgt erst nach manueller redaktioneller Freigabe.

Booking.comDigital Services ActEU-KommissionFerienwohnungVerbraucherschutz

Kommentar schreiben