Digital Services Act (DSA)

Langtitel: Verordnung (EU) 2022/2065 des Europäischen Parlaments und des Rates vom 19. Oktober 2022 über einen Binnenmarkt für digitale Dienste und zur Änderung der Richtlinie 2000/31/EG (Gesetz über digitale Dienste)

Kurztitel: Gesetz über digitale Dienste; Digital Services Act (DSA)

Kurzübersicht

Ziele	Anwendungsbereich	Inhalt	Synergie	Konsequenzen
Festlegung harmonisierter Vorschriften für Online-Vermittlungsdienste	Online-Vermittlungsdienste, Hosting-Dienste, Online-Plattformen inklusive Plattformen, auf denen der Abschluss von Fernabsatzverträgen zwischen Verbrauchern und Unternehmen möglich ist, sehr große Online-Plattformen (VLOPs) und sehr große Online-Suchmaschinen (VLOSEs)	Abgestufter Regelungsansatz mit unterschiedlichen Sorgfaltspflichten je nach Art und Größe des Vermittlungsdienstes
Gewährleistung eines vertrauenswürdigen, sicheren und vorhersehbaren Online-Umfelds	Vermittlungsdienste, die Nutzern mit Niederlassung in der Europäischen Union angeboten werden ("Marktortprinzip")
Schutz einer effektiven Grundrechtsausübung (insbesondere Verbraucherschutz)
Verwirklichung des Binnenmarktes
Rechtssicherheit

Einführung

Das Gesetz über digitale Dienste (Digital Services Act oder DSA) legt einheitliche Regeln für Vermittlungsdienste mit dem Ziel fest, ein vertrauenswürdiges, (rechts-)sicheres und vorhersehbares Online-Umfeld für Verbraucher und Unternehmen durch eine harmonisierte Plattformregulierung zu gewährleisten. Ebenso zielt das Regelwerk auf den Schutz und die Gewährleistung einer effektiven Grundrechtsausübung – insbesondere das Recht auf Meinungs- und Informationsfreiheit sowie den Verbraucherschutz. Der DSA normiert umfassende Verpflichtungen für Anbieter von Online-Diensten und verfolgt dabei einen abgestuften Regelungsansatz, der die unterschiedlichen Compliance-Pflichten an die Art und Größe der jeweiligen Online-Dienste knüpft. Zusammen mit dem Digital Markets Act (DMA) bildet er das Paket zum Gesetz über digitale Dienste der Europäischen Kommission mit dem Hauptziel, kontrollierte und grundrechtskonforme digitale Dienste, faire Märkte sowie die Förderung von Innovation, Wachstum und Wettbewerbsfähigkeit bei gleichzeitiger Verwirklichung des europäischen Binnenmarktes sicherzustellen.

Der DSA besteht aus 93 Artikeln sowie 156 Erwägungsgründen und ist wie folgt strukturiert:

• In Kapitel 1 finden sich allgemeine Bestimmungen zum Gegenstand, Geltungsbereich und zu den wesentlichen Bestimmungen (sogenannte "Legaldefinitionen") des DSA (Art 1-3).
• In den Art 4-8 wird ein Rahmen für die bedingte Haftungsbefreiung der Anbieter von Vermittlungsdiensten festgelegt.
• Die Art 11-43 beinhalten einen abgestuften Pflichtenkatalog, der besondere Sorgfaltspflichten je nach Art und Größe der jeweiligen Vermittlungsdienste vorschreibt.
• Der letzte Teil der Verordnung (ab Art 49) enthält Vorschriften über die Durchführung und Durchsetzung der Verordnung, über die Zusammenarbeit und Koordinierung zwischen den zuständigen Behörden und über die Verhängung von Sanktionen.

Anwendungsbereich

Räumlich

Der DSA gilt für Vermittlungsdienste, sofern diese für Nutzer mit Niederlassung in der Europäischen Union angeboten werden (Art 2 Abs 1 DSA). Der Niederlassungsort des Anbieters dieser Dienste spielt hingegen keine Rolle, womit der DSA dem sog. Marktortprinzip folgt und seinen Geltungsbereich daran knüpft, ob Unternehmen ihre geschäftliche Tätigkeit auf den EU-Markt ausrichten.

Sachlich

Sachlich ist der DSA auf Vermittlungsdienste anwendbar (Art 2 Abs 1 DSA), worunter auch Online-Plattformen und Online-Suchmaschinen fallen. Der Begriff „Vermittlungsdienst“ umfasst eine Reihe von wirtschaftlichen Online-Tätigkeiten, die sich kontinuierlich weiterentwickeln, um eine rasche und komfortable Übermittlung von Informationen zu ermöglichen.

Um als Vermittlungsdienst zu gelten, muss eine der folgenden Dienstleistungen erbracht werden (Art 3 lit g):

• Entweder erfolgt eine „reine Durchleitung“, wobei von einem Nutzer bereitgestellte Informationen in einem Kommunikationsnetz übermittelt oder der Zugang zu einem Kommunikationsnetz vermittelt wird. Darunter fallen beispielsweise virtuelle private Netze, interpersonelle Kommunikationsdienste oder drahtlose Zugangspunkte.
• Oder es wird eine „Caching“-Leistung erbracht, die darin besteht, von einem Nutzer bereitgestellte Informationen in einem Kommunikationsnetz zu übermitteln, wobei eine automatische, zeitlich begrenzte Zwischenspeicherung dieser Informationen zu dem alleinigen Zweck erfolgt, die Übermittlung der Information an andere Nutzer auf deren Anfrage effizienter zu gestalten. Dies umfasst das alleinige Betreiben von Netzwerken zur Bereitstellung von Inhalten, Reverse-Proxys oder Proxys zur Anpassung von Inhalten.
• Schließlich kann es sich auch um einen „Hosting"-Dienst handeln, der von einem Nutzer bereitgestellte Informationen in dessen Auftrag speichert. Als Beispiele können Cloud-Computing-Dienste, Web-Hostingdienste oder Dienste, die den Online-Austausch und die Speicherung von Inhalten und Dateien ermöglichen, genannt werden.

Innerhalb der weit gefassten Kategorie der Hostingdienste ist die Unterkategorie „Online-Plattformen“ abzugrenzen, da diese Dienste besondere Merkmale aufweisen und der DSA spezifische Verpflichtungen für deren Anbieter festlegt. Eine Online-Plattform bezeichnet einen Hostingdienst, der im Auftrag eines Nutzers Informationen speichert und öffentlich verbreitet, wobei es sich bei dieser Tätigkeit nicht nur um eine unbedeutende und reine Nebenfunktion eines anderen Dienstes oder um eine unbedeutende Funktion des Hauptdienstes handeln darf (Art 3 lit i DSA). Online-Plattformen sind beispielsweise soziale Netzwerke oder Plattformen, auf denen Verbraucher Fernabsatzverträge mit Unternehmen schließen können.

Da Online-Plattformen und -Suchmaschinen, sobald sie eine gewisse Anzahl an Nutzern erreichen, einen größeren Einfluss darauf haben, wie die Nutzer online Informationen erhalten und kommunizieren, gehen mit ihnen systemische Risiken einher, die unverhältnismäßige Auswirkungen auf die Union haben können. Daher führt der DSA ein erweitertes Aufsichtssystem für sog. „sehr große Online-Plattformen“ (Very Large Online Platforms – VLOPs) und „sehr große Online-Suchmaschinen“ (Very Large Search Engines – VLOSEs) mit erheblicher Reichweite ein und schreibt deren Anbietern weitergehende Sorgfaltspflichten vor. Als VLOPs bzw. VLOSEs gelten Online-Plattformen und -Suchmaschinen, die mehr als 45 Millionen oder 10% der EU-Verbraucher erreichen.

• VLOPs: Instagram, LinkedIn, booking.com, Wikipedia, Zalando [weitere anführen]
• VLOSEs: Bing, Google Search

Ausnahmen

Klein- und Kleinstunternehmen mit weniger als 50 Beschäftigten und einem Jahresumsatz unter 10 Millionen Euro sind vom Anwendungsbereich bestimmter Sorgfaltspflichten ausgenommen, zB den Transparenzberichtspflichten nach Art 15, die zusätzlichen Verpflichtungen für Anbieter von Online-Plattformen in Abschnitt 3, oder die Bestimmungen für Anbieter von Online-Plattformen zum Abschluss von Fernabsatzverträgen in Abschnitt 4.

Zeitlich

Der DSA ist am 16. November 2022 in Kraft getreten und seine Bestimmungen sind seit dem 17. Februar 2024 vollumfänglich anwendbar (Art 93 DSA). Da es sich bei dem DSA um eine EU-Verordnung handelt, müssen die einzelnen Bestimmungen nicht in nationales Recht umgesetzt werden (im Unterschied zu EU-Richtlinien), sondern gelten unmittelbar.

Zentrale Inhalte

Der DSA konzentriert sich auf die Förderung eines transparenten und sicheren Online-Umfelds und setzt dies mittels eines umfassenden Rechte- und Pflichtenkatalogs für Anbieter digitaler Dienste, Online-Nutzer, private Kunden und Geschäftskunden in verschiedenen Branchen um. Während er einerseits Haftungsprivilegien für Anbieter von digitalen Diensten normiert, enthält er auch weitreichende Sorgfaltspflichten in Form eines abgestuften Regelungsansatzes, der Anbieter je nach Art und Größe unterschiedlich weit verpflichtet. Die Kernpflichten nach dem DSA umfassen dabei Transparenzpflichten, Informationspflichten, bestimmte Anforderungen an AGBs, Verbote bestimmter Praktiken (zB auf Profiling von sensiblen Daten gestützte Werbeeinschaltungen an Minderjährige oder die Verwendung von manipulativen Taktiken wie „dark patterns“) und bestimmte Verpflichtungen im Umgang mit illegalen Inhalten. Den Abschluss bilden Vorschriften über die (behördliche) Durchsetzung der Vorgaben des DSA, inklusive nationale Aufsichtsmechanismen, Sanktionsmöglichkeiten und Regelungen zur länderübergreifenden Zusammenarbeit.

Haftungsprivilegien

Die Bestimmungen in Kapitel II zur „Haftung der Anbieter von Vermittlungsdiensten“ begründen keine Anbieterhaftung, sondern greifen jene Haftungsprivilegien auf, die bisher in der E-Commerce-RL geregelt waren und nun aus dieser gestrichen wurden. Während die unbedingte Haftung für eigene Inhalte als Selbstverständlichkeit erscheint, möchte der DSA eine eingeschränkte Verantwortlichkeit der Vermittlungsdienste für die Inhalte ihrer Nutzer normieren.

• In den Art 4-6 findet sich eine bedingte Haftungsbefreiung für Vermittlungsdienste, wonach diese keine Haftung für Inhalte Dritter trifft, sofern bestimmte Bedingungen eingehalten werden. Für reine Durchleitungen und Caching gelten jedoch Besonderheiten. Anbieter, deren Tätigkeiten in der reinen Durchleitung bestehen, trifft eine zügige Handlungspflicht zum Sperren und Entfernen von Inhalten, sobald Kenntnis darüber besteht, dass diese Informationen aus dem Netz entfernt wurden, der Zugang zu ihnen gesperrt wurde oder die Behörden deren Sperrung bzw. Entfernung angeordnet haben (Art 5). Hostingdiensteanbieter müssen zudem bei Kenntnis über rechtswidrige Inhalte diese zügig sperren oder entfernen (Art 6). Diese Ausnahmen von der Haftungsbefreiung sind dem Umstand geschuldet, dass diese Online-Dienste zunehmend für Hate Speech, also für die Speicherung und Verbreitung strafbarer Inhalte, missbraucht werden. Dieser Entwicklung möchte man entgegenwirken und gleichzeitig die Diensteanbieter nicht zu Mittätern durch Unterlassung werden lassen. Das Vorliegen einer tatsächlichen Kenntnis ist jedenfalls dann gegeben, wenn der Diensteanbieter „sicheres Wissen“ über rechtswidrige Inhalte hat – eine bloße Möglichkeit oder Wahrscheinlichkeit reichen nicht aus. Eine Kenntniserlangung aufgrund eines Hinweises ist dann als „tatsächliche Kenntnis“ zu werten, wenn der Hinweis so konkret ist, dass er es dem Anbieter die Feststellung eines rechtswidrigen Inhalts ohne eingehende rechtliche Prüfung ermöglicht (siehe dazu auch die Ausführungen zum Melde- und Abhilfeverfahren unter "Sorgfaltspflichten von Hostingdiensteanbietern").
• Artikel 7 konkretisiert diese Haftungsprivilegierungen mit einer „Gute-Samariter-Regelung“, laut der die Haftungsausschlüsse auch dann für Diensteanbieter gelten, wenn diese auf Eigeninitiative freiwillige Untersuchungen in Bezug auf rechtswidrige Inhalte durchführen. Diese Regelung soll einer bewussten Untätigkeit der Anbieter vorbeugen, um möglichst keine Kenntnis von rechtswidrigen Inhalten zu erlangen, die eine Haftung begründen könnten, sofern keine Maßnahmen gegen diese gesetzt werden.
• Die Artikel 8-9 enthalten verfahrensrechtliche Vorgaben. In Artikel 8 wird klargestellt, dass Diensteanbieter keine allgemeine Verpflichtung zur Überwachung und aktiven Nachforschung der von ihnen übermittelten oder gespeicherten Informationen trifft. Sie müssen auch nicht aktiv nach Umständen forschen, die auf rechtswidrige Tätigkeiten hindeuten. Außerdem regelt der DSA in Art 9 den Umgang mit Anordnungen von Behörden zum Vorgehen gegen rechtswidrige Inhalte.  

Abgestufter Pflichtenkatalog

Kapitel III (Art 11-43) ist in Form eines abgestuften Pflichtenkatalogs strukturiert und normiert Sorgfaltspflichten für Vermittlungsdienste, deren Art und Umfang von der Art, Größe und Funktion des Vermittlungsdienstes abhängen. Dies bedeutet, dass die jeweils nachgereihte Kategorie von Dienstanbietern jene Pflichten der vorangegangenen Dienstanbieter-Kategorie erfüllen muss sowie noch darüberhinausgehende, zusätzliche Sorgfaltspflichten auferlegt bekommt.

Allgemeine Kernpflichten für alle Anbieter von Vermittlungsdiensten (Art 11-15)

Die allgemeinen Verpflichtungen in Abschnitt 1 (Art 11-15) treffen alle Anbieter von Vermittlungsdiensten.

• Diese beinhalten einerseits eine Harmonisierung der Kommunikationsmöglichkeiten von Behörden und Nutzern mit den Diensten durch die Benennung von zentralen Kontaktstellen durch den Dienstanbieter (Art 11 und Art 12) sowie eines gesetzlichen Vertreters, sofern der Anbieter eines Vermittlungsdienstes keine Niederlassung in der Europäischen Union hat (Art 13). Die Informationen über die zentralen Kontaktstellen sind leicht zugänglich zu veröffentlichen und stets auf dem neuesten Stand zu halten.
• In Art 14 normiert der DSA, dass in den Allgemeinen Geschäftsbedingungen der Anbieter Angaben zur Beschränkung von Nutzerinhalten und zur Ausgestaltung der Inhaltsmoderation transparent gemacht werden. Sofern sich der Dienst hauptsächlich an Minderjährige richtet, müssen Informationen über die Bedingungen und jegliche Einschränkungen für die Nutzung des Dienstes so formuliert sein, dass Minderjährige sie verstehen können. Anbieter von Vermittlungsdiensten haben außerdem in ihren Beschränkungen sorgfältig, objektiv und verhältnismäßig vorzugehen sowie die Grundrechte der Nutzer zu wahren, insbesondere das Recht auf freie Meinungsäußerung und die Medienfreiheit.
• Außerdem sind Anbieter von Vermittlungsdiensten dazu angehalten, einmal jährlich einen klar verständlichen Transparenzbericht zu veröffentlichen (Art 15), der beispielsweise Informationen über die Ausgestaltung der Inhaltsmoderation sowie eine etwaige Verwendung automatisierter Mittel enthalten muss. Von dieser Transparenzberichtspflicht sind Kleinst- und Kleinunternehmen ausgenommen.

Sorgfaltspflichten von Hostingdiensteanbietern (Art 16-18)

Abschnitt 2 (Art 16-18) schreibt Hostingdiensteanbietern zusätzlich zu den Kernpflichten in Abschnitt 1 folgende darüberhinausgehende Verpflichtungen vor:

• Zunächst haben sämtliche Hostingdiensteanbieter ein Melde- und Abhilfeverfahren einzurichten (Art 16), damit Personen oder Einrichtungen ihrer Ansicht nach rechtswidrige Inhalte melden können. Diese Verfahren müssen leicht zugänglich, benutzerfreundlich und auf elektronischem Weg möglich sein. Anbieter müssen Nutzern die Übermittlung folgender Angaben ermöglichen: hinreichend begründete Erläuterungen zur Rechtswidrigkeit der Inhalte, genauer Speicherort der Inhalte (z.B. URL-Adresse), Name und E-Mail-Adresse der meldenden Person und Erklärung über Richtigkeit und Vollständigkeit der Meldung. Sind die Meldungen über rechtswidrige Inhalte dazu geeignet, dass der Anbieter ohne weitere rechtliche Prüfung die Rechtswidrigkeit feststellen kann, wird davon ausgegangen, dass der Anbieter tatsächliche Kenntnis über die Rechtswidrigkeit des Inhalts hat und das Haftungsprivileg nach Art 6 nicht mehr greift.
• Sofern ein Hostingdiensteanbieter Inhaltsbeschränkungen vornimmt, hat er diese den betroffenen Nutzern klar und spezifisch zu begründen (Art 17). Darunter fallen Beschränkungen der vom Nutzer bereitgestellten Informationen, die Entfernung von Inhalten, die Sperrung des Zugangs zu Inhalten, die Aussetzung von Geldzahlungen, die Beschränkung oder Beendigung der Bereitstellung des Dienstes und die Sperrung des Nutzerkontos. Die Begründung muss unter anderem Informationen über mögliche Rechtsbehelfe, die der Entscheidung zugrundeliegenden Tatsachen und Umstände sowie die etwaige Verwendung automatisierter Mittel zur Entscheidungsfindung beinhalten.
• Der Hostingdiensteanbieter ist verpflichtet, bei Verdacht, dass eine Straftat vorliegt, die eine Gefahr für das Leben oder die Sicherheit einer Person darstellt, eine Meldung an die Strafverfolgungs- oder Justizbehörden vorzunehmen (Art 18). Die Meldung hat an die Behörden jenes Mitgliedstaates zu ergehen, in dem die Straftat begangen wurde bzw. begangen werden könnte oder in dem der Verdächtige oder das Opfer seinen Wohnsitz hat. Dies betrifft beispielsweise jene Straftaten, die in den Anwendungsbereich der Menschenhandel-RL, Kinderpornografie-RL und der Terrorismusbekämpfungs-RL fallen.

Erweiterter Pflichtenkatalog für Online-Plattformen und Transaktionsplattformen (Art 19-32)

Anschließend regelt Abschnitt 3 (Art 19-32) weitergehende Sorgfaltspflichten für Anbieter von Online-Plattformen sowie Plattformen und Diensten, auf denen der Abschluss von Fernabsatzverträgen ermöglicht wird. Explizit ausgenommen sind Kleinst- und Kleinunternehmen (Art 19), worunter Unternehmen fallen, die weniger als 50 Personen beschäftigen und deren Jahresumsatz bzw. Jahresbilanz 10 Millionen Euro nicht übersteigt.

• Die Artikel 20-22 enthalten Regelungen zum Umgang mit Meldungen und Beschwerden von Nutzern. Online-Plattformen müssen ein internes Beschwerdemanagementsystem einrichten und dieses Nutzern zur Verfügung stellen (Art 20). In weiterer Folge haben Nutzer den Anspruch auf außergerichtliche Streitbeilegung (Art 21). Art 22 regelt den Schutz von vertrauenswürdigen Hinweisgebern.
• Art 23 enthält verpflichtende Mindestvorgaben zur Eindämmung von Missbrauch, wie beispielsweise die Aussetzung der Erbringung ihrer Dienste oder die Aussetzung der Bearbeitung von häufigen und offensichtlich unbegründeten Meldungen und Beschwerden.
• Die Anbieter von Online-Plattformen treffen erweiterte Transparenzberichtspflichten (Art 24). So müssen zusätzlich zu den in Art 15 genannten Informationen Angaben über die Streitigkeiten vor außergerichtlichen Streitbeilegungsstellen und über Maßnahmen wegen missbräuchlicher Verwendung gemacht werden. Darüber hinaus finden sich in Art 24 noch Regelungen, welche Angaben an den Koordinator für digitale Dienste und die EU-Kommission übermittelt werden müssen.
• Anbieter von Online-Plattformen unterliegen einem Verbot des Einsatzes sogenannter „dark patterns“ (Art 25). Dies bedeutet, dass ihre Online-Schnittstellen nicht konzipiert sein dürfen, dass Nutzer getäuscht, manipuliert oder in ihrer freien Entscheidungsfindung maßgeblich beeinträchtigt werden. Beispielhaft als „dark patterns“ genannt sind die stärkere Hervorhebung von Auswahlmöglichkeiten, wiederholte Aufforderungen, eine Auswahl zu treffen, obwohl der Nutzer bereits eine Auswahl getroffen hat, sowie ein schwierigeres Verfahren zur Beendigung des Dienstes als zur Anmeldung bei diesem Dienst (Art 25 Abs 3).
• Darüber hinaus normiert der DSA erweiterte Vorgaben zur Gestaltung der betroffenen Dienste, wie etwa Transparenzvorgaben für Werbung (Art 26) und Empfehlungssysteme (Art 27) sowie einen weitreichenden Online-Schutz Minderjähriger (Art 28). Nutzer müssen erkennen können, dass es sich bei bestimmten Informationen um Werbung handelt, welches Unternehmen die Werbeeinschaltung finanziert und nach welchen Parametern die Zielgruppe der Werbung bestimmt wird. Nutzer sollen die Möglichkeit erhalten, einen bestimmten Inhalt als kommerzielle Werbeschaltung zu kennzeichnen, damit der Inhalt auch für andere Nutzer in Echtzeit als solche erkennbar wird. Ähnliches gilt für Empfehlungssysteme, worunter ein vollständig oder teilweise automatisiertes System zu verstehen ist, das von einer Online-Plattform verwendet wird, um den Nutzern bestimmte Informationen vorzuschlagen oder diese Informationen zu priorisieren (Art 3 lit s). Anbieter, die solche Empfehlungssysteme verwenden, müssen deren wichtigste Parameter in ihren Allgemeinen Geschäftsbedingungen transparent und leicht verständlich offenlegen. Ist die Online-Plattform für Minderjährige zugänglich, so müssen deren Privatsphäre und Sicherheit in einem hohen Maß geschützt werden und es besteht ein Verbot von Werbeschaltungen, die basierend auf Profiling unter Verwendung personenbezogener Daten geschalten werden.
• Abschnitt 4 (Art 29-32) enthält ergänzende Bestimmungen für Transaktionsplattformen, worunter Plattformen zu verstehen sind, auf denen der Abschluss von Fernabsatzverträgen ermöglicht wird. Auch von diesen Bestimmungen sind Klein- und Kleinstunternehmen ausgenommen. Diese erweiterten Regelungen zielen darauf ab, dass Verbraucher wesentliche Informationen über ihren Vertragspartner (Art 30) sowie rechtswidrige Dienste (Art 32) erhalten, wodurch ein sicheres und transparentes Online-Umfeld geschaffen werden soll. Dies soll in Einklang mit dem Grundsatz der Konformität durch Technikgestaltung („law-by-design“) ermöglicht werden, wonach Anbieter ihre Online-Schnittstelle so zu konzipieren haben, dass Unternehmen diesen Verpflichtungen auch nachkommen können (Art 31). Den Anbieter trifft weiters eine Nachforschungspflicht zur Verlässlichkeit und Vollständigkeit der von den Unternehmen bereitgestellten Angaben, die unter anderem deren Namen, Anschrift, Telephonnummer, E-Mail-Adresse, Angaben zum Zahlungskonto, Handelsregisternummer und eine Selbstbescheinigung beinhalten müssen.  

Zusätzliche Verpflichtungen für Anbieter von sehr großen Online-Plattformen und -Suchmaschinen (Art 33-43)

Den strengsten Pflichtenkatalog sieht der DSA in Abschnitt 5 (Art 33-43) für Anbieter von sehr großen Online-Plattformen (VLOPs) und -Suchmaschinen (VLOSEs) vor. Reguliert wird der Umgang mit systemischen Risiken und die Benennung einer Online-Plattform oder -Suchmaschine als VLOP bzw. VLOSE erfolgt durch einen Benennungsbeschluss der EU-Kommission (Art 33).

• Die Art 34 und 35 enthalten spezifische Regelungen für Anbieter dieser Kategorie zur Bewertung und Minderung der von ihren Diensten ausgehenden Risiken, worunter die Verbreitung rechtswidriger Inhalte, nachteilige Auswirkungen auf die Ausübung von Grundrechten, auf öffentliche Debatten, Wahlprozesse, die öffentliche Sicherheit sowie auf den Schutz der öffentlichen Gesundheit oder von Minderjährigen fallen. Als Risikominderungsmaßnahmen nennt der DSA etwa die Umgestaltung des Dienstes, die Anpassung der Inhaltsmoderation, die Setzung von Sensibilisierungsmaßnahmen, die Stärkung interner Prozesse oder Anpassung von Werbe- und Empfehlungssystemen. Die EU-Kommission ist berechtigt, Leitlinien zu Risikominderungsmaßnahmen herauszugeben, was sie beispielsweise in Bezug auf die Minderung systemischer Risiken für Wahlprozesse getan hat. Sehr große Online-Plattformen und -Suchmaschinen müssen sich auch jährlich im Hinblick auf die Einhaltung ihrer Verpflichtungen auf eigene Kosten einer unabhängigen Prüfung unterziehen (Art 37). Dabei wird die Einhaltung der Sorgfaltspflichten der verschiedenen Stufen des DSA sowie von Verpflichtungszusagen auf Grundlage von Verhaltenskodizes nach Art 45 und 46 DSA und Krisenprotokollen nach Art 48 DSA geprüft.
• Der in Art 36 vorgesehene Krisenreaktionsmechanismus erlaubt es der EU-Kommission auf Empfehlung des Gremiums im Krisenfall einen Beschluss zu fassen, der bestimmte Maßnahmen vorsieht, die Anbieter ergreifen müssen. Ein Krisenfall liegt vor, sobald außergewöhnliche Umstände eintreten, welche die öffentliche Sicherheit oder öffentliche Gesundheit in schwerwiegender Weise bedrohen, wie beispielsweise bewaffnete Konflikte, terroristische Handlungen, Naturkatastrophen oder Pandemien.
• Die für Online-Plattformen geltenden Transparenzpflichten für Online-Werbung und Empfehlungssysteme werden verschärft (Art 38-39) und die allgemeinen Transparenzpflichten erweitert (Art 42).
• Gemäß Art 40 haben Anbieter dieser Kategorie dem Koordinator für digitale Dienste Zugang zu Daten gewähren, damit dieser die Einhaltung des DSA durch diese kontrollieren kann. Anbieter dieser Kategorie haben überdies eine Compliance-Abteilung einzurichten (Art 41) und eine jährliche Aufsichtsgebühr an die EU-Kommission zu entrichten (Art 43).  

Maßnahmen zur Selbstregulierung

Abschnitt 6 steht unter der Überschrift „Sonstige Bestimmungen über Sorgfaltspflichten“ und enthält Maßnahmen zur Selbstregulierung. Dazu zählt etwa die Förderung der Ausarbeitung freiwilliger Verhaltenskodizes in den Artikeln 45 bis 47, die insbesondere Maßnahmen gegen rechtswidrige Inhalte, den Schutz personenbezogener Daten, die Bekämpfung systemischer Risiken, die Regulierung von Online-Werbung und die Sicherstellung von barrierefreien Diensten zum Gegenstand haben sollten. Zusätzlich wird die Ausarbeitung freiwilliger Krisenprotokolle empfohlen (Art 48). Zwar handelt es sich bei diesen Maßnahmen zur Selbstregulierung um „soft law“ – also nicht um zwingendes Recht –, allerdings dienen diese der Konkretisierung der teilweise nicht im Detail ausgestalteten Sorgfaltspflichten und sollen deren Einhaltung erleichtern.    

Ausgewählte Themen im Fokus

Dark patterns

Teil des erweiterten Pflichtenkatalogs für Online-Plattformen und Transaktionsplattformen ist das Verbot von sog. "dark patterns". Demnach dürfen Anbieter von Online-Plattformen ihre Online-Schnittstellen nicht so konzipieren, organisieren oder betreiben, dass Nutzer getäuscht, manipuliert oder anderweitig in ihrer Fähigkeit, freie und informierte Entscheidungen zu treffen, maßgeblich beeinträchtigt oder behindert werden. Dies bedeutet ein Verbot von irreführenden Oberflächengestaltungen und Designmustern für Online-Plattformen. Darunter würde beispielsweise bei Einwilligungen zur Datenverarbeitung oder beim Abschluss von Verträgen die Nutzung von grauen, unscheinbaren Widersprechen-Schaltflächen fallen, während die Akzeptieren-Schaltflächen grün eingefärbt sind und deutlich hervorstechen.

ErwGr 67 DSA nennt weitere Beispiele:

• Dazu sollten unter anderem ausbeuterische Gestaltungsmuster zählen, mit denen die Nutzer zu Handlungen verleitet werden sollen, die dem Anbieter von Online-Plattformen zugutekommen, aber möglicherweise nicht im Interesse der Nutzer sind, und bei denen die Auswahlmöglichkeiten in einer nicht neutralen Weise präsentiert werden, etwa indem bestimmte Auswahlmöglichkeiten durch visuelle, akustische oder sonstige Elemente stärker hervorgehoben werden, wenn die Nutzer aufgefordert werden, eine Auswahl zu treffen.
• Ferner sollten hierzu Praktiken zählen, die darin bestehen, einen Nutzer wiederholt aufzufordern, eine Auswahl zu treffen, wenn diese Auswahl bereits getroffen wurde (Nagging, Confirm Shaming).
• Die Gestaltung eines Verfahrens zur Stornierung eines Dienstes als erheblich umständlicher als die entsprechende Anmeldung oder die schwierigere und zeitaufwendigere Gestaltung bestimmter Wahlmöglichkeiten im Vergleich zu anderen.
• Dazu zählt, es unverhältnismäßig schwierig zu machen, Käufe abzubrechen oder sich von einer bestimmten Online-Plattform abzumelden, die Verbrauchern den Abschluss von Fernabsatzverträgen mit Unternehmern ermöglichen, und die Nutzer in die Irre zu führen, indem sie zu Entscheidungen bezüglich Transaktionen verleitet werden.
• Außerdem sollte es dazu zählen, die Entscheidungsfindung der Nutzer durch Standardeinstellungen, die sehr schwer zu ändern sind, unverhältnismäßig zu beeinflussen und somit die Autonomie, die Entscheidungsfreiheit oder die Auswahlmöglichkeiten der Nutzer zu verzerren und zu beeinträchtigen.
• Gewöhnliche Werbeschaltungen sollten nicht als dark patterns gesehen werden.

Die Kommission kann Leitlinien für die Anwendung dieser Vorschrift auf eine bestimmte Praxis herausgeben, insbesondere in Bezug darauf, ob bestimmte Auswahlmöglichkeiten stärker hervorgehoben werden, wenn der Nutzer eine Entscheidung treffen muss, dass der Nutzer wiederholt dazu aufgefordert wird, eine Auswahl zu treffen, obwohl er bereits eine Auswahl getroffen hat und falls das Verfahren zur Beendigung eines Dienstes schwieriger als das Verfahren zur Anmeldung bei diesem Dienst gestaltet wird (Art 25 Abs 3 DSA).

Querverbindungen zur DSGVO:

Gemäß Art 25 Abs 2 DSA gilt das "dark patterns"-Verbot nicht für Praktiken, die ohnehin entweder in den Anwendungsbereich der Datenschutz-Grundverordnung (DSGVO) oder der Richtlinie für unlautere Geschäftspraktiken (UGP-RL) fallen. Der Anwendungsbereich von Art 25 DSA bleibt somit auf Fälle beschränkt, in denen die DSGVO und die UGP-RL nicht greifen. Ein Beispiel aus der DSGVO, das die Anwendbarkeit von Art 25 DSA ausschließen würde, wäre ein Verstoß gegen die datenschutzrechtlichen Grundsätze einer gültigen Einwilligung gemäß Art 4 Z 11 iVm Art 7 Abs 4 DSGVO.

Verbraucherschutz und Rechtsbehelfe

In Art 1 Abs 1 normiert der DSA den "Grundsatz des Verbraucherschutzes" als eines seiner zentralen Ziele. Unter Verbraucher ist gemäß Art 3 lit c jene natürliche Person zu verstehen, "die zu Zwecken handelt, die außerhalb ihrer gewerblichen, geschäftlichen, handwerklichen oder beruflichen Tätigkeit liegen." Die meisten Schutzbestimmungen des DSA kommen Verbrauchern gleichermaßen wie anderen Nutzern (bzw teilweise auch gewerblichen Nutzern) zu, weshalb der DSA all diese Kategorien unter dem allgemeinen Nutzerbegriff zusammenfasst, worunter jede natürliche oder juristische Person zu verstehen ist, die einen Vermittlungsdienst in Anspruch nimmt. Die spezifischen Instrumente des Verbraucherschutzes bleiben jedoch unberührt und Verbrauchern kommen weiterhin die darin verankerten speziellen Garantien zu.

Konkrete Schutzvorschriften

Allgemeine Vorschriften

Einerseits weicht der Verbraucherschutz das in Art 6 DSA normierte Haftungsprivileg für Hostingdiensteanbieter auf, wonach die verbraucherschutzrechtliche Haftung von Transaktionsplattformen vom Haftungsprivileg unberührt bleibt. Dies bedeutet, dass es zur Haftung von Transaktionsplattformen kommen kann, sofern ein durchschnittlicher Verbraucher annehmen darf, dass eine Information, ein Produkt oder eine Dienstleistung, die/das Gegenstand einer Transaktion ist, entweder von der Online-Plattform selbst oder von einem unter ihrer Aufsicht stehenden Nutzer bereitgestellt wird. Unter einem "durchschnittlichen Verbraucher" ist hier der informierte, angemessen aufmerksame und verständige Verbraucher zu verstehen und es genügt der Anschein aus Sicht des durchschnittlichen Verbrauchers.

Anbieter von Vermittlungsdiensten sind verpflichtet, bestimmte Informationen in ihren AGBs in klarer, einfacher, benutzerfreundlicher, verständlicher und eindeutiger Sprache darzulegen. Die AGBs müssen zudem auch für Minderjährige verständlich sein, sofern sich der Vermittlungsdienst in erster Linie an diese richtet bzw von diesen überwiegend genutzt wird, und in leicht zugänglichem und maschinenlesbarem Format veröffentlicht werden. Zu den zentralen Angaben, die in den AGBs zu machen sind, gehören: die Modi der Inhaltsmoderation, der Einsatz von algorithmischen Entscheidungsfindungen, Informationen zur menschlichen Überprüfung und Verfahrensregeln für das interne Beschwerdemanagementsystem.

Anbieter von Online-Plattformen müssen ein internes Beschwerdemanagementsystem einrichten, das es Nutzern, die von Inhaltsbeschränkungen, Kontosperren oder Nutzungseinschränkungen betroffen sind, erlaubt, elektronisch und kostenlos Beschwerde gegen den Anbieter einzureichen. Betroffene Nutzer haben in diesen Fällen außerdem das Recht auf außergerichtliche Streitbeilegung. Darüber hinaus haben Anbieter von Online-Plattformen die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, damit Meldungen von vertrauenswürdigen Hinweisgebern vorrangig und unverzüglich behandelt werden. Der Status als vertrauenswürdiger Hinweisgeber wird auf Antrag einer Stelle zuerkannt, wenn der Antragsteller nachgewiesen hat, dass er über besondere Fachkenntnis und Kompetenz in Bezug auf die Erkennung, Feststellung und Meldung rechtswidriger Inhalte verfügt, von jeglichen Anbietern von Online-Plattformen unabhängig ist und seine Tätigkeiten sorgfältig, genau und objektiv ausübt. Für die Anerkennung des Antrags ist der Koordinator für digitale Dienste zuständig.

Anbieter von VLOPs und VLOSEs haben gemäß Art 34 DSA eine Risikobewertung durchzuführen, wobei alle systemischen Risiken zu ermitteln sind, die sich aus der Konzeption oder dem Betrieb des betreffenden Dienstes ergeben können. Die Risikobewertung muss eine Analyse der etwaigen negativen Auswirkungen des Dienstes auf Grundrechte und insbesondere den Verbraucherschutz enthalten.

Die Artikel 45-47 DSA sehen vor, dass einschlägige Diensteanbieter freiwillige Verhaltenskodizes ausarbeiten, welche insbesondere die Transparenz bei Online-Werbung steigern sowie der Barrierefreiheit Rechnung tragen sollen.

Besondere Vorschriften für Anbieter von Transaktionsplattformen

Besondere Bestimmungen sieht der DSA für Transaktionsplattformen vor, da Verbraucher auf diesen Fernabsatzverträge schließen können und daher als besonders schutzwürdig gelten.

Einerseits verfolgt der DSA einen sog. "Know-your-Business-Customer"-Grundsatz, wonach Anbieter von Online-Marktplätzen verpflichtet werden, Informationen betreffend die Nachverfolgbarkeit von Unternehmen einzuholen. Diese Informationen sind dann an die Nutzer weiterzuleiten und haben die Kontaktdaten des Unternehmens, dessen Zahlungskonto sowie eine Selbstbescheinigung des Unternehmens über rechtskonforme Produkte oder Dienstleistungen zu umfassen. Der Anbieter muss außerdem sicherstellen, dass Unternehmen, die diese Informationen nicht zur Verfügung stellen, die Online-Plattform nicht benutzen können. Außerdem trifft den Anbieter eine Prüfpflicht, wonach er sich "nach besten Kräften" darum bemühen muss, zu prüfen, ob die bereitgestellten Informationen verlässlich und vollständig sind (beispielsweise durch die Abfrage von frei zugänglichen amtlichen Online-Datenbanken).

Weiters hat der Anbieter seine Online-Schnittstelle so zu konzipieren und organisieren, dass Unternehmen diesen Vorgaben sowie ihren Verpflichtungen in Bezug auf vorvertragliche Informationen, Konformität und Produktsicherheitsinformationen auch nachkommen können ("Konformität durch Technikgestaltung").

Diese Bestimmungen dienen dazu, Verbraucher einerseits vor Fake-Shops zu schützen, die Verträge abschließen und sie dann nicht erfüllen, sowie andererseits den Verkauf von gefährlichen Produkten zu verhindern (beispielsweise durch den Verweis auf produktsicherheitsrechtliche Vorschriften und Konformitätsverfahren in Art 31 DSA).

Recht auf Information (Art 32): Erhält ein Anbieter einer Transaktionsplattform, unabhängig von den verwendeten Mitteln Kenntnis, dass ein rechtswidriges Produkt oder eine rechtswidrige Dienstleistung von einem Unternehmer über seine Dienste Verbrauchern in der Union angeboten wurde, so informiert er – sofern ihm deren Kontaktdaten vorliegen – die Verbraucher, die das rechtswidrige Produkt oder die rechtswidrige Dienstleistung über seine Dienste erworben haben über das rechtswidrige Produkt bzw die rechtswidrige Dienstleistung, die Identität des Unternehmers und die einschlägigen Rechtsbehelfe. Sofern dem Anbieter die Kontaktdaten der Verbraucher, so hat er die Informationen auf seiner Online-Schnittstelle öffentlich und leicht zugänglich zu machen. Die Pflicht, Verbraucher über rechtswidrige Produkte oder Dienstleistungen zu informieren, trifft den Plattformanbieter einerseits ab Kenntniserlangung und andererseits nur in Bezug auf Produkte oder Dienstleistungen, die in den vergangenen sechs Monaten ab dem Zeitpunkt der Kenntnis des Anbieters erworben wurden.

Rechtsbehelfe

• Beschwerderecht (Art 53 DSA): Die Nutzer von Vermittlungsdiensten haben das Recht, beim Koordinator für digitale Dienste des Mitgliedstaats, in dem sich der Nutzer des Dienstes aufhält oder niedergelassen ist, Beschwerde gegen Anbieter von Vermittlungsdiensten wegen einer mutmaßlichen Zuwiderhandlung gegen diese Verordnung einzulegen. Dieses Recht steht auch jeglichen Einrichtungen, Organisationen oder Vereinigungen, die mit der Wahrnehmung der durch den DSA übertragenen Rechte beauftragt sind, zu. Der Koordinator für digitale Dienste prüft die Beschwerde und leitet sie gegebenenfalls an den Koordinator für digitale Dienste am Niederlassungsort weiter; falls er es für angebracht hält, fügt er eine Stellungnahme hinzu. Fällt die Beschwerde in die Zuständigkeit einer anderen zuständigen Behörde in seinem Mitgliedstaat, leitet der Koordinator für digitale Dienste, der die Beschwerde erhält, sie an diese Behörde weiter. Während dieser Verfahren haben beide Parteien das Recht, angehört zu werden und angemessen über den Stand der Beschwerde nach Maßgabe des nationalen Rechts unterrichtet zu werden.
• Entschädigung (Art 54 DSA): Nutzer haben das Recht, im Einklang mit dem EU-Recht und nationalen Recht Schadenersatz von Anbietern von Vermittlungsdiensten für etwaige Schäden oder Verluste zu fordern, die aufgrund eines Verstoßes dieser Anbieter gegen ihre Verpflichtungen aus dem DSA entstanden sind.

Sanktionen

Der DSA sieht ein zweigeteiltes Sanktionssystem vor. Sanktionen bei Nichteinhaltung der Vorschriften durch VLOPs und VLOSEs werden durch die EU-Kommission verhängt (Art 73ff). Die Verhängung von Strafen gegen sonstige Anbieter von Vermittlungsdiensten obliegt den Mitgliedstaaten bzw den von diesen ernannten Koordinatoren für digitale Dienste (Art 52ff iVm Art 51). In Österreich wurde die KommAustria als Koordinator für digitale Dienste (KDD) benannt und deren Aufgaben sowie Befugnisse sind im Koordinator-für-digitale-Dienste-Gesetz (KDD-G) verankert. In Bezug auf Vermittlungsdienste, bei denen es sich nicht um VLOPs oder VLOSEs handelt, finden sich im KDD-G Spezifikationen zu den Sanktionen, die von der KommAustria verhängt werden können. Die Sanktionierung von Anbietern von VLOPs oder VLOSEs fällt in jenen Fällen in die Zuständigkeit des KDD, wenn diese ihren Nutzern keine kompakte, leicht zugängliche und maschinenlesbare Zusammenfassung der AGBs und der in Betracht kommenden Rechtsbehelfe zur Verfügung stellen oder ihre AGBs nicht in den Amtssprachen aller Mitgliedstaaten, in denen sie ihre Dienste anbieten, veröffentlichen.

Es drohen folgende Konsequenzen bei Nichteinhaltung der Vorschriften des DSA:

• Geldbußen bis zu 1% des weltweiten Jahresumsatzes des betreffenden Anbieters bei weniger gravierenden Zuwiderhandlungen. Im Falle von Vermittlungsdiensten zählen als solche Zuwiderhandlungen die Bereitstellung unrichtiger, unvollständiger oder irreführender Informationen, das Versäumnis einer Antwort oder der Berichtigung unrichtiger, unvollständiger oder irreführender Informationen sowie die Nichtduldung einer Nachprüfung. Das KDD-G präzisiert dies dahingehend, dass es sich bei der Zuwiderhandlung um eine Verwaltungsübertretung nach §5 KDD-G handeln muss und sich der Anbieter unkooperativ gegenüber der KommAustria verhalten hat. Bei Anbietern von VLOPs und VLOSEs beinhaltet dies zusätzlich die Verweigerung einer Nachprüfung, die Nichteinhaltung etwaiger von der Kommission angeordneter Überwachungsmaßnahmen oder die Nichterfüllung der Bedingungen für die Akteneinsicht nach Art 79 Abs 4.
• Geldbußen bis zu 6% des weltweiten Jahresumsatzes des betreffenden Anbieters im vorangegangenen Geschäftsjahr bei einem vorsätzlichen oder fahrlässigen Verstoß gegen die Verpflichtungen des DSA.
• Zwangsgelder: max. 5% des durchschnittlichen weltweiten Tagesumsatzes. Dabei handelt es sich um eine zukunftsorientierte Maßnahme, die für den Fall der Nichtbefolgung einer bescheidmäßigen Aufforderung für jeden Tag der Nichtbefolgung angedroht werden kann, um ein Zuwiderhandeln gegen Bescheide zu verhindern.
• Einstweilige Maßnahmen: In dringenden Fällen, in denen eine schwerwiegende Schädigung der Nutzer von VLOPs oder VLOSEs durch eine prima facie Zuwiderhandlung gegen die Vorschriften des DSA zu befürchten ist, kann die Kommission mittels Beschluss einstweilige Maßnahmen gegen den betreffenden Anbieter anordnen. Dieser Beschluss ist zeitlich befristet und kann - sofern erforderlich und angemessen - verlängert werden.

Weiterführende Literatur

• Hofmann/Raue (Hrsg), Digital Services Act. Gesetz über digitale Dienste (2023)