Die meisten Berichte über den Digital Services Act drehen sich um die großen Plattformen: Meta, TikTok, Amazon und Google. Das ist nachvollziehbar, denn diese Unternehmen tragen mit Abstand die umfangreichsten Pflichten nach dem Gesetz.
Viele kleinere Unternehmen wissen deshalb allerdings nicht, ob sie überhaupt betroffen sind. Weder „nur Big Tech“ noch „jeder mit einer Website“ trifft es. Der DSA liegt dazwischen. Wo dein Angebot einzuordnen ist, hängt von einer konkreten Frage dazu ab, wie dein Dienst funktioniert.
Speichert oder übermittelt deine Website oder App Inhalte anderer Personen, oder verbreitet sie solche Inhalte öffentlich? Dieser Artikel erklärt, was die Verordnung regelt, wie ihre Pflichten abgestuft sind und wie du herausfindest, welche Stufe gegebenenfalls für dich gilt.
Was ist der Digital Services Act?
Der Digital Services Act, auf Deutsch das Gesetz über digitale Dienste, ist eine EU-Verordnung. Sie nimmt Online-Dienste stärker in die Verantwortung für den Umgang mit rechtswidrigen Inhalten, Nutzerbeschwerden und die Transparenz ihrer Plattformen. Sie trat Ende 2022 in Kraft, galt zunächst für die größten Plattformen und ist seit Februar 2024 auf alle Dienste in ihrem Geltungsbereich vollständig anwendbar.
Der DSA baut auf der älteren E-Commerce-Richtlinie auf. Deren Grundprinzip bleibt erhalten: Ein Dienst haftet grundsätzlich nicht automatisch für Inhalte seiner Nutzer, solange er handelt, sobald er von rechtswidrigen Inhalten erfährt. Hinzu kommen Sorgfaltspflichten. Sie regeln die Verfahren, mit denen Anbieter Meldungen bearbeiten, Entscheidungen begründen und mit Nutzern und Behörden kommunizieren.
Die Probleme, die der DSA lösen soll, betreffen vor allem Abläufe. Vor seiner Einführung waren Moderationsentscheidungen innerhalb der EU uneinheitlich und blieben weitgehend unbegründet. Nutzer konnten sich häufig kaum wirksam gegen eine Löschung wehren, und Aufsichtsbehörden hatten wenig Einblick in die Entscheidungen der Plattformen. Die meisten Anforderungen zielen auf genau diese drei Lücken.
Für wen der DSA gilt
Der DSA erfasst eine breite Kategorie von „Vermittlungsdiensten“. Dazu gehören Internetzugangsanbieter, Caching-Dienste, Hostinganbieter, Cloud-Infrastruktur, Online-Marktplätze, soziale Netzwerke, App-Stores und Suchmaschinen.
Entscheidend ist, wen du bedienst, nicht wo dein Unternehmen gegründet wurde. Auch ein vollständig außerhalb der EU betriebener Dienst fällt darunter, wenn er seine Leistungen Nutzern in der EU anbietet. Das ähnelt dem räumlichen Anwendungsbereich der DSGVO. Ein Unternehmenssitz außerhalb der EU ist also keine Ausnahme.
Für kleinere Betreiber bleiben die Anforderungen vor allem deshalb überschaubar, weil sie abgestuft sind. Jede Stufe entspricht einer anderen Rolle im Umgang mit Nutzerinhalten. Die Pflichten der zuvor genannten Stufen gelten dabei weiter und werden durch zusätzliche Anforderungen ergänzt.
Die vier Stufen, von den geringsten bis zu den umfangreichsten Pflichten
| Stufe | Erfasste Dienste | Beispiele für Pflichten |
|---|---|---|
| Vermittlungsdienste | Alle erfassten Dienste, einschließlich Zugangs- und Caching-Anbietern | Zentrale Kontaktstelle, gesetzlicher Vertreter in der EU bei fehlender EU-Niederlassung, klare Nutzungsbedingungen, jährliche Transparenzberichte |
| Hostingdienste | Dienste, die von Nutzern bereitgestellte Inhalte speichern | Melde- und Abhilfeverfahren für rechtswidrige Inhalte, Begründung von Löschungen, Meldung des Verdachts schwerer Straftaten |
| Online-Plattformen | Hostingdienste, die Inhalte zusätzlich öffentlich verbreiten | Internes Beschwerdemanagement, Verfahren für vertrauenswürdige Hinweisgeber, Werbetransparenz, Verbot von Dark Patterns, Schutz Minderjähriger |
| Sehr große Online-Plattformen und Suchmaschinen | Dienste mit durchschnittlich mindestens 45 Millionen monatlichen Nutzern in der EU | Bewertung systemischer Risiken, unabhängige Prüfungen, Datenzugang für Forschende, Pflichten bei Krisen |
Die Stufen bauen aufeinander auf. Eine Online-Plattform muss daher auch die Anforderungen für Hostingdienste und die allgemeinen Pflichten für Vermittlungsdienste erfüllen. Die oberste Stufe gilt für Dienste mit mindestens 45 Millionen monatlichen Nutzern in der EU, also ungefähr zehn Prozent der EU-Bevölkerung. Dort kommen unabhängige Prüfungen und Bewertungen systemischer Risiken hinzu. Ein kleines Unternehmen wird sich dieser Schwelle realistisch kaum nähern.
Wo eine typische Website eines kleinen Unternehmens einzuordnen ist
Dient deine Website als digitale Broschüre, Produktkatalog oder Leistungsbeschreibung und zeigt sie keine Inhalte von Personen außerhalb deines Unternehmens, fehlt den meisten DSA-Pflichten der Ansatzpunkt. Es gibt keine fremden Inhalte zu moderieren, keine Löschentscheidungen zu begründen und keine Meldungen über rechtswidrige Inhalte zu bearbeiten.
Ein Kontaktformular ist ein Grenzfall, den man verstehen sollte: Es nimmt durchaus Inhalte anderer Personen entgegen. Die anspruchsvollen Plattformpflichten greifen hier jedoch nicht, weil die eingereichten Inhalte weder veröffentlicht noch an andere Nutzer verbreitet werden. Genau darum geht es bei diesen Pflichten.
Sobald du eine Funktion einbaust, die fremde Inhalte speichert, ändert sich die Einordnung. Kundenbewertungen, Blogkommentare, ein Supportforum, hochgeladene Bilder oder Marktplatzangebote führen in die Hostingstufe. Sind diese Inhalte für andere Nutzer öffentlich sichtbar, kann zusätzlich die Plattformstufe greifen.
Der praktische Test ist einfacher, als die Lektüre der Verordnung vermuten lässt: Kann eine fremde Person Inhalte auf deiner Website einstellen, die anschließend andere sehen? Dann betreibst du wahrscheinlich eine Online-Plattform. Kann sie Inhalte einreichen, die nur dein Team sieht, etwa über ein Kontaktformular oder ein privates Supportticket, liegst du im Allgemeinen näher an den Grundpflichten als an der Plattformstufe.
Was die Hostingstufe verlangt
Im Mittelpunkt steht ein Melde- und Abhilfeverfahren. Jeder muss leicht auffindbar auf Inhalte hinweisen können, die er für rechtswidrig hält. Außerdem braucht es einen Ablauf, um diese Meldungen tatsächlich zu prüfen und zu bearbeiten. Das muss nicht aufwendig sein. Entscheidend sind ein eigenes Formular oder ein klar veröffentlichter Kontaktweg, der jemanden erreicht, der handeln kann.
Wenn du Inhalte entfernst oder einschränkst, musst du dem betroffenen Nutzer in der Regel außerdem eine Begründung geben. Daraus sollte hervorgehen, was entfernt wurde und auf welcher Grundlage: aufgrund gesetzlicher Vorgaben oder deiner Nutzungsbedingungen. Diesen Punkt übersehen kleine Betreiber besonders häufig, weil informelle Moderation selten mit einer Erklärung verbunden ist.
Erhältst du Hinweise auf eine schwere Straftat, die das Leben oder die Sicherheit einer Person bedroht, musst du die zuständigen Behörden informieren. In der Praxis kommt das selten vor. Trotzdem sollte dir diese Pflicht bekannt sein, bevor du mitten in einem Vorfall davon erfährst.
Die Ausnahme für Kleinst- und Kleinunternehmen und ihre Grenzen
Der DSA entlastet kleinere Betreiber spürbar. Unternehmen, die als Kleinst- oder Kleinunternehmen gelten, grob gesagt mit weniger als 50 Beschäftigten und weniger als 10 Millionen Euro Jahresumsatz, sind von den Pflichten der Plattformstufe ausgenommen. Dazu gehören interne Beschwerdeverfahren, außergerichtliche Streitbeilegung, Verfahren für vertrauenswürdige Hinweisgeber und die übrigen Anforderungen dieser Stufe.
Für die meisten kleinen Unternehmen mit einem Forum oder Bewertungsbereich entfallen damit die verwaltungsintensivsten Teile der Verordnung. Auch die jährliche Transparenzberichtspflicht gilt in dieser Größenordnung normalerweise nicht. Wenn dein Unternehmen über die Schwelle hinauswächst, läuft die Ausnahme noch zwölf Monate weiter. Der zusätzliche Aufwand entsteht also nicht von einem Tag auf den anderen.
Die grundlegenden Pflichten bleiben jedoch bestehen. Dazu zählen das Melde- und Abhilfeverfahren für Hostingdienste sowie eine Kontaktstelle, klare Nutzungsbedingungen und ein gesetzlicher Vertreter in der EU, wenn du dort keine Niederlassung hast. Kleine Unternehmen sind somit von den umfangreichen Plattformpflichten befreit, müssen die Grundlagen aber weiterhin erfüllen.
Was du tun solltest, wenn deine Website unter den DSA fällt
Beginne mit Nutzungsbedingungen, die konkrete Aussagen zu Inhalten enthalten. Vage Standardtexte reichen nicht. Nutzer müssen daraus erkennen können, welche Inhalte unzulässig sind und was passiert, wenn sie diese trotzdem veröffentlichen.
Richte dann den Meldeweg ein. Nutzer und Behörden sollten rechtswidrige Inhalte sichtbar und einfach melden können. Sorge dafür, dass die Meldungen jemanden erreichen, der sie bearbeiten kann, und halte knapp fest, wie du entschieden hast und warum. Diese Dokumentation verursacht kaum Aufwand und hilft am meisten, wenn eine Entscheidung später infrage gestellt wird.
Kümmere dich schließlich um die Kontaktpflichten. Veröffentliche eine zentrale Kontaktstelle für Nutzer und Aufsichtsbehörden. Hat dein Unternehmen keine Niederlassung in der EU, benenne dort einen gesetzlichen Vertreter. Beides muss nicht teuer sein, wird aber leicht vergessen, bis jemand danach fragt.
Welche Rolle der Serverstandort spielt
Der DSA regelt Verhalten und Verantwortlichkeit, nicht den geografischen Standort. Das Hosting auf einem VPS in der EU löst daher für sich genommen weder Pflichten noch Ausnahmen aus. Eine Plattform, die Meldungen über rechtswidrige Inhalte ignoriert, wird durch einen deutschen statt eines US-amerikanischen Servers nicht rechtskonform.
Wer bereits aus Gründen der Datensouveränität in der EU hostet, kann seine Compliance insgesamt allerdings oft leichter erklären, weil Infrastruktur und rechtliche Überlegungen zusammenpassen. Wenn du schon dokumentierst, wo Daten liegen und was der Auftragsverarbeitungsvertrag deines Hosters abdeckt, lässt sich die Dokumentation der DSA-Verfahren mit wenig zusätzlichem Aufwand dort ergänzen.
Worauf es ankommt
Die entscheidende Frage ist, ob deine Website Inhalte anderer Personen speichert und ob andere Nutzer diese sehen können. Die Größe deines Unternehmens ist dafür nicht der Ausgangspunkt.
Lautet die Antwort nein, betrifft dich der DSA weitgehend nicht. Lautet sie ja, gelten die Kontakt- und Hostingpflichten unabhängig von deiner Größe. Transparenzberichte und die aufwendigen Plattformanforderungen bleiben den größeren Betreibern vorbehalten.
Danke fürs Lesen! Wenn du eine Website oder App hostest und dich zugleich mit EU-Compliance beschäftigst: QDE bietet unmanaged KVM VPS-Hosting in einem Tier-III-Rechenzentrum in Amsterdam, mit DSGVO-konformer Infrastruktur und möglichst geringer Datenerhebung als Standard.
Du möchtest starten oder hast Fragen zu deiner Konfiguration? Unser Team hilft dir, die passende Lösung für dein Projekt zu finden.
Häufige Fragen zum Digital Services Act
Gilt der DSA für Unternehmen außerhalb der EU?
Ja. Entscheidend ist, ob du Dienste für Nutzer in der EU anbietest, nicht der Sitz deines Unternehmens. Ein Unternehmen ohne EU-Niederlassung, das EU-Nutzer bedient, fällt in den Anwendungsbereich und muss in der Regel einen gesetzlichen Vertreter in der EU benennen.
Fällt ein persönlicher Blog unter den DSA?
Ein Blog ohne Kommentare oder andere Nutzerbeiträge hat im Wesentlichen keine entsprechenden Pflichten, weil keine fremden Inhalte beteiligt sind. Sobald du öffentliche Kommentare zulässt, speicherst und verbreitest du Inhalte anderer Personen. Damit kommen auch bei geringer Größe Hostingpflichten ins Spiel.
Was unterscheidet den DSA von der DSGVO?
Die DSGVO regelt, wie personenbezogene Daten erhoben, gespeichert und verarbeitet werden. Der DSA regelt den Umgang mit Inhalten, Beschwerden und Transparenz. Für ein Unternehmen können ohne Weiteres beide gelten. Die Anforderungen werden getrennt geprüft.
Ersetzt der DSA die alte E-Commerce-Richtlinie?
Er baut auf ihr auf und erhält ihren Grundgedanken. Ein Dienst haftet weiterhin nicht automatisch für Nutzerinhalte, sofern er handelt, sobald er von ihrer Rechtswidrigkeit erfährt. Neu sind die zusätzlichen Sorgfalts- und Transparenzpflichten.
Was passiert bei Verstößen?
Für die meisten Dienste legen die Mitgliedstaaten die Sanktionen fest und setzen sie durch. Bei den größten Plattformen können Geldbußen einen Anteil des Umsatzes erreichen. Bisher konzentriert sich die Durchsetzung in der Praxis auf die größten Plattformen. Das beschreibt allerdings nur die derzeitigen Prioritäten und ist keine verlässliche Annahme für die Zukunft.
Brauche ich einen gesetzlichen Vertreter in der EU, wenn mein Unternehmen anderswo sitzt?
Ja, wenn dein Angebot ein Vermittlungsdienst im Sinne des DSA ist und du keine Niederlassung in der EU hast. Der Vertreter ist ein benannter Ansprechpartner, den EU-Behörden erreichen können. Diese Pflicht gilt unabhängig von der Unternehmensgröße.