Digital Services Act: Definition, Geltungsbereich und Pflichten für EU-Plattformen

Der Digital Services Act (DSA) ist die Verordnung (EU) 2022/2065, auch bekannt als Digital-Dienste-Verordnung. Sie schafft einen gemeinsamen Rahmen für Intermediärdienste, die in der Europäischen Union tätig sind, und legt Pflichten zur Sorgfalt, Transparenz und Rechenschaftspflicht fest. Ihr Ziel ist es, eine sicherere Online-Umgebung zu fördern und die Grundrechte der Nutzer zu schützen, ohne die Regulierung zu einer ununterschiedenen Pflicht zu machen, jede Veröffentlichung vorab zu prüfen.

Der DSA lässt sich besser als eine Norm darüber verstehen, wie Online-Dienste erbracht und verwaltet werden, nicht als eine einzige Liste erlaubter Inhalte. Seine Regeln umfassen Intermediärdienste, Hosting und Online-Plattformen, mit Pflichten, die je nach Funktion des Dienstes und in einigen Fällen seiner Größe zunehmen. Es reicht daher nicht, zu fragen, ob ein Unternehmen ein soziales Netzwerk ist: Es kommt auch darauf an, ob es Nutzerinhalte hostet, Transaktionen erleichtert oder als Suchmaschine agiert.

Die Verordnung wurde 2022 verabschiedet, trat im selben Jahr in Kraft und wurde am 17. Februar 2024 allgemein anwendbar. Dieser Unterschied zwischen Inkrafttreten und Anwendung ist wichtig: Ersteres zeigt, dass die Norm Teil der Rechtsordnung ist; Letzteres, ab wann ihre Bestimmungen allgemein gefordert werden. Online-Plattformen und Suchmaschinen, die als sehr groß benannt wurden, hatten früher Pflichten, ab August 2023.

Der DSA ergänzt, ersetzt aber andere europäische Vorschriften nicht. Insbesondere sollte er nicht mit dem Digital Markets Act (DMA) verwechselt werden: Der DSA behandelt Sicherheit, Transparenz und Intermediärverantwortlichkeiten; der DMA regelt bestimmte Praktiken großer Plattformen, die als Gatekeeper benannt wurden. Dasselbe Unternehmen kann aus verschiedenen Gründen beiden unterliegen, aber das Gatekeeper-Label bestimmt allein nicht seine Kategorie unter dem DSA.

Der Geltungsbereich umfasst Dienste, die verwendet werden, um Menschen mit Gütern, Diensten oder Online-Inhalten zu verbinden. Zu den üblichen Beispielen gehören soziale Netzwerke, digitale Marktplätze, App-Stores, Web-Hosting und Suchmaschinen. Die rechtliche Klassifizierung hängt von der konkreten Funktion des Dienstes ab: Ein Hosting-Anbieter speichert Informationen, die von Nutzern bereitgestellt werden; eine Online-Plattform verbreitet diese Informationen an die Öffentlichkeit; und ein Online-Marktplatz ermöglicht es Verbrauchern und Verkäufern, Fernabsatzverträge abzuschließen.

Die Pflicht beschränkt sich nicht auf in der EU gegründete Unternehmen. Der praktische Punkt ist, ob der Dienst an Nutzer der Union angeboten wird, auch wenn der Anbieter seinen Sitz woanders hat. In solchen Fällen sieht der DSA Pflichten zum Kontakt und zur Zusammenarbeit mit Behörden vor, zusätzlich zu anderen anwendbaren Pflichten. Für ein Unternehmen besteht die erste Überprüfung daher darin, die in der EU angebotenen Dienste abzugrenzen und die Rolle jedes einzelnen zu dokumentieren.

Der DSA verteilt Pflichten in Schichten. Es gibt Grundpflichten für Intermediärdienste und zusätzliche Anforderungen für Hosting, Online-Plattformen, Marktplätze, sehr große Plattformen und sehr große Suchmaschinen. Es gibt keine allgemeine Kategorie der „mittleren Plattform“, die den informellen Labels entspricht, die manchmal in Zusammenfassungen auftauchen: Der relevante Schwellenwert für die Benennung als sehr groß ist mehr als 45 Millionen aktive monatliche Empfänger in der EU, unterliegt den von der Verordnung festgelegten Kriterien und Verfahren.

Kleine und Kleinstunternehmen haben Befreiungen von bestimmten zusätzlichen Pflichten, aber dies schließt sie nicht automatisch von dem gesamten DSA aus. Die Befreiung hängt von der Dienstekategorie und der Unternehmensgröße ab und hört auf, auf bestimmte Pflichten anzuwenden, wenn die Plattform als sehr groß benannt wird. Es ist ratsam, die Vereinfachung „klein, daher nicht reguliert“ zu vermeiden: Die korrekte Analyse besteht darin, Dienst, Aktivität, Größe und konkrete Pflicht zu identifizieren.

Grundpflichten der Intermediäre

Zu den allgemeinen Pflichten gehören die Bereitstellung eines Kontaktpunkts für Behörden und, wo appropriate, für Nutzer; die Erklärung in ihren Nutzungsbedingungen, wie sie Inhaltsbeschränkungen verwalten; und die Veröffentlichung von Transparenzberichten mit Informationen zur Moderation. Diese Pflichten verwandeln Entscheidungen, die zuvor undurchsichtig sein konnten, in Prozesse, die erklärt und dokumentiert werden müssen.

Hosting-Dienste müssen Mechanismen anbieten, um mutmaßlich rechtswidrige Inhalte zu melden. Bei Erhalt einer hinreichend präzisen Meldung muss der Anbieter sie sorgfältig bearbeiten und die Entscheidung in motivierter Form an die zuständige Partei kommunizieren. Melden ist nicht gleichbedeutend mit dem automatischen Nachweis einer Verletzung: Die Pflicht besteht darin, ein zugängliches Verfahren einzurichten und sorgfältig zu handeln, nicht jedes gemeldete Material ohne Analyse zu entfernen.

Online-Plattformen und Marktplätze

Online-Plattformen müssen interne Beschwerdeverfahren für bestimmte Moderationsentscheidungen anbieten und Optionen für außergerichtliche Beilegung erleichtern. Sie haben auch Pflichten in Bezug auf Werbetransparenz und Empfehlungssysteme. Auf Marktplätzen fügt der DSA Maßnahmen zur Nachverfolgbarkeit von Händlern hinzu: Der Betreiber muss relevante Informationen über Verkäufer sammeln und überprüfen, bevor er es ihnen erlaubt, Produkte oder Dienste an Verbraucher anzubieten, innerhalb der von der Norm festgelegten Grenzen.

Für einen digitalen Store ändert dies die operative Verwaltung von Verkäufern und Hinweisen: Es reicht nicht, ein generisches Kontaktformular zu haben. Es muss den Händler identifizieren, die geforderten Informationen aufbewahren und auf rechtswidrige Produkte oder Dienste reagieren können. In einem sozialen Netzwerk kann der tägliche Fokus hingegen auf der Meldung von Inhalten, der Motivation von Entscheidungen und den Werkzeugen zum Beschwerdeführen liegen. Die Pflichten überschneiden sich, wenn ein einzelner Dienst mehrere Funktionen erfüllt.

Werbung, Empfehlungen und Risiken

Der DSA verlangt, dass Anzeigen als Werbung identifiziert werden und angegeben wird, wer sie präsentiert und, wo appropriate, wer sie finanziert. Außerdem verbietet er die Präsentation von profilbasierter Werbung über besondere Kategorien personenbezogener Daten und beschränkt die gezielte Werbung an Minderjährige, wenn die Plattform mit vernünftiger Sicherheit weiß, dass der Nutzer minderjährig ist. Die Regulierung lässt sich nicht korrekt als allgemeines Verbot aller personalisierten Werbung zusammenfassen: Man muss auf die Grundlage und die konkreten Bedingungen der Segmentierung achten.

Sehr große Plattformen und sehr große Suchmaschinen müssen systemische Risiken, die mit ihren Diensten verbunden sind, bewerten und mindern. Die Bewertung berücksichtigt unter anderem die Verbreitung rechtswidriger Inhalte, Auswirkungen auf Grundrechte, bürgerliche Prozesse und öffentliche Sicherheit. Unabhängige Audits und verstärkte Transparenzpflichten werden ebenfalls hinzugefügt. Nicht alle Plattformen müssen diese systemische Bewertung durchführen: Es ist eine spezifische Schicht für Dienste, die als sehr groß benannt wurden.

Der DSA behält das Prinzip bei, dass Intermediären keine allgemeine Überwachungspflicht für alle übertragenen oder gespeicherten Informationen auferlegt wird. Dies befreit sie nicht davon, bei Kenntnis von Rechtswidrigkeit zu handeln oder konkrete Verfahren einzuhalten. Die praktische Unterscheidung liegt zwischen allgemeiner Vorabüberwachung – die nicht als universelle Regel gefordert wird – und Pflichten zur Reaktion, Transparenz und Minderung, die je nach Dienst anwendbar sind.

Die Tabelle fasst Beispiele für Pflichten zusammen; sie ersetzt die rechtliche Klassifizierung nicht und beabsichtigt nicht, jeden Artikel aufzulisten. „Klein“, „mittel“ und „groß“ sind keine drei allgemeinen Stufen mit automatischen Paketen: Entscheidend ist die funktionale Kategorie des Dienstes, die anwendbaren Befreiungen und, für die strengste Schicht, die formelle Benennung als sehr groß. Die angegebenen Pflichten basieren auf den vom DSA beschriebenen Schichten.

Ein Beispiel hilft, die Tabelle zu lesen. Ein Unternehmen, das Hosting für Beiträge anbietet, muss möglicherweise einen Meldekanal haben, auch wenn sein Dienst kein soziales Netzwerk ist. Wenn es diese Beiträge zusätzlich in einem für die Öffentlichkeit zugänglichen Raum organisiert und die Definition einer Online-Plattform erfüllt, werden Pflichten dieser Funktion hinzugefügt. Die Klassifizierung erfolgt nach Aktivität, nicht nach dem kommerziellen Label, das das Unternehmen wählt.

Eine Plattform, die 45 Millionen aktive monatliche Empfänger in der EU überschreitet, sollte sich nicht automatisch auf Basis einer informellen Berechnung als sehr groß bezeichnen. Die Europäische Kommission benennt Dienste, die die Kriterien der Verordnung erfüllen, und veröffentlicht diese Benennungen. Die Zahl leitet den rechtlichen Schwellenwert, aber der Status und seine verstärkten Pflichten hängen von der durch die Norm vorgesehenen Benennung ab.

Für Nutzer ist der sichtbarste Effekt, dass bestimmte Entscheidungen über Inhalte oder Konten von einer Erklärung begleitet sein müssen und über die vorgesehenen Mechanismen angefochten werden können. Es gibt auch Wege, mutmaßlich rechtswidrige Inhalte zu melden und, auf sehr großen Plattformen, Optionen im Zusammenhang mit nicht personalisierten Empfehlungen. Der DSA erweitert Werkzeuge und Transparenz; er garantiert nicht, dass jede Beschwerde Erfolg hat, noch verwandelt er jede Moderationsentscheidung in eine gerichtliche Entscheidung.

Ein Beispiel: Wenn eine Plattform einen Beitrag einschränkt, kann die betroffene Person die Motivation einsehen und, wo appropriate, den internen Beschwerdemechanismus nutzen. Wenn sie glaubt, dass das Material eines anderen Kontos illegal ist, kann sie den Meldekanal nutzen. Dies sind verschiedene Prozesse: Eine eigene Entscheidung anzufechten ist nicht dasselbe wie fremde Inhalte zu melden, und keiner eliminiert die Möglichkeit, auf andere anwendbare rechtliche Wege zurückzugreifen.

Für ein Unternehmen beginnt die praktische Anwendung mit einem Dienstinventar, einer Pflichtenmatrix und internen Verantwortlichen. Je nach Aktivität kann es erforderlich sein, Flüsse für Moderation, Beschwerdemanagement, Werbetransparenz, Händlerverifizierung oder Risikobewertung einzurichten. Die nützliche Entscheidung besteht nicht darin, ein generisches Compliance-Werkzeug ohne Diagnose einzukaufen, sondern zuerst zu identifizieren, welche Pflichten aktiviert werden und welche operative Evidenz zeigen wird, dass sie erfüllt sind.

Nationale Behörden überwachen die meisten Dienste unter der Koordination des europäischen Systems, während die Kommission spezifische Zuständigkeiten hat, insbesondere in Bezug auf sehr große Plattformen und Suchmaschinen. Das Design sucht grenzüberschreitende Zusammenarbeit, da ein Dienst gleichzeitig in zahlreichen Staaten tätig sein kann. Für Unternehmen bedeutet dies, dass Anfragen und Anforderungen nicht als isolierte Vorfälle behandelt werden sollten: Es ist ratsam, konsistente Dokumentation über Entscheidungen, Hinweise und ergriffene Maßnahmen aufzubewahren.

Die Verordnung sieht Bußgelder für Verstöße vor, die bis zu 6 % des weltweiten Jahresumsatzes des Anbieters erreichen können, mit in der Norm definierten Bedingungen und Verfahren. Es ist keine automatische Sanktion noch ein einheitlicher Satz für jeden Fehler. Die Schwere, die Natur des Verstoßes und der Überwachungsprozess sind wichtig; daher würde das Darstellen des maximalen Prozentsatzes ohne Kontext übertrieben, was es in einer konkreten Situation bedeutet.

Eine erste Überprüfung kann als Entscheidungsfluss organisiert werden, nützlich für das Rechts-, Produkt- und Betriebsteam:

1. Den Dienst identifizieren, der an EU-Nutzer angeboten wird, und seine tatsächlichen Funktionen beschreiben.
2. Die Funktion klassifizieren: Intermediation, Hosting, Online-Plattform, Marktplatz oder Suchmaschine, unter anderen relevanten Kategorien.
3. Größe und Befreiungen prüfen, einschließlich ob es eine offizielle Benennung als sehr groß gibt.
4. Anwendbare Pflichten kartieren und Verantwortliche, Verfahren, Register und Beschwerdekanäle zuweisen.
5. Die Analyse überprüfen und aktualisieren, wenn sich der Dienst, die Größe oder die regulatorischen Entscheidungen ändern.

In einem Unternehmen, das Produkte über einen eigenen Marktplatz verkauft, besteht der erste Schritt nicht darin, anzunehmen, dass „es nur E-Commerce ist“. Es muss bestimmen, ob der Dienst auch es Dritten ermöglicht, Produkte anzubieten und Verträge mit Verbrauchern abzuschließen; wenn ja, können Nachverfolgungspflichten relevant sein. Eine Anwendung, die es erlaubt, Inhalte zu veröffentlichen, kann auch Hosting sein, auch wenn ihr kommerzieller Name das Wort Plattform nicht enthält.

Die Hauptrechtsquelle ist die Verordnung (EU) 2022/2065, veröffentlicht im Amtsblatt der Europäischen Union. Die Europäische Kommission bietet Erklärungen zum Geltungsbereich, den Rechten der Nutzer und der allgemeinen Funktionsweise des DSA. Für eine Compliance-Entscheidung ist es vorzuziehen, auf den Verordnungstext und die offiziellen Leitlinien zurückzugreifen, da populäre Zusammenfassungen Kategorien vereinfachen oder DSA-Regeln mit denen des DMA, des Datenschutzes oder anderer Vorschriften vermischen können.

Der DSA ist zusammenfassend ein gestufter Rahmen, um Intermediärverantwortlichkeiten überprüfbar zu machen: Welcher Dienst angeboten wird, wie Inhalte behandelt werden, welche Informationen geliefert werden und welche Risiken bewertet werden. Das praktische Lesen besteht darin, die Aktivität zu klassifizieren, bevor eine Liste von Pflichten angewendet wird. So vermeidet man sowohl die Unterschätzung der Pflichten eines kleinen Dienstes als auch die Zuschreibung der für sehr große Plattformen vorbehaltenen Anforderungen an alle Plattformen.