Der Digital Services Act (DSA) zielt darauf ab, ein sicheres und transparentes Online-Umfeld zu schaffen, indem er den Verbraucherschutz und die Wahrung der Grundrechte im digitalen Raum stärkt. Diese Verordnung, die seit dem 17. Februar 2024 für alle Anbieter von Vermittlungsdiensten wie Hosting-Dienste und Online-Plattformen gilt, bringt umfangreiche Sorgfaltspflichten mit sich, um den Umgang mit illegalen Inhalten, Desinformationen und anderen digitalen Risiken zu regulieren. Für sehr große Online-Dienste gelten diese Verpflichtungen teilweise bereits seit August 2023 und werden von der Europäischen Kommission streng überwacht und durchgesetzt (ein gesonderter Überblick folgt).
Die Implementierung des DSA in Deutschland erfolgt durch das Digitale-Dienste-Gesetz (DDG), das am 14. Mai 2024 in Kraft getreten ist. Dieses Gesetz passt den nationalen Rechtsrahmen an die Anforderungen des DSA an und ermöglicht es den deutschen Behörden, die Einhaltung des DSA zu überwachen.
Nachfolgend geben wir einen Überblick über den gesetzlichen Rahmen zur Durchsetzung des DSA in Deutschland.
Für wen gilt der DSA?
Der DSA richtet sich an die Anbieter sog. Vermittlungsdienste. Hierunter fallen unterschiedliche Dienstleistungen der Informationsgesellschaft, namentlich Dienste der "reinen Durchleitung", Caching-Leistungen und Hosting-Dienste. Dabei stellt der DSA die Online-Plattform als eine spezielle Form des Hosting-Dienstes heraus. Anbieter, die von Nutzern bereitgestellte Informationen in deren Auftrag speichern, sind jedenfalls als Hosting-Dienst einzuordnen (einen Überblick geben wir in unserem Blog). Ermöglichen diese die Veröffentlichung der Information und handelt es sich nicht bloß um eine untergeordnete Funktion, kommt eine Regulierung als Online-Plattform unter dem DSA in Betracht. Die Abgrenzung kann im Einzelnen durchaus schwierig sein und ist richterlich noch nicht geklärt.
Zuständige Behörden:
Die Zuständigkeit des EU-Mitgliedsstaats richtet sich grundsätzlich nach der Hauptniederlassung des Unternehmens. Hiervon gibt es einige Ausnahmen, die insbesondere die Anbieter von sehr großen Online-Plattformen oder sehr großen Online-Suchmaschinen betreffen. Diese werden bei der Erfüllung ihrer Verpflichtungen aus dem DSA teils ausschließlich, teils ergänzend von der EU-Kommission überwacht, die in den letzten Monaten bereits eine Vielzahl von Untersuchungen eingeleitet hat. Für Unternehmen ohne Niederlassung in der EU ist der Mitgliedsstaat, in welchem deren gesetzlicher Vertreter niedergelassen oder ansässig ist, zuständig. Haben diese keinen gesetzlichen Vertreter benannt, so können alle Mitgliedsstaaten die Einhaltung des DSA durch das betroffene Unternehmen überwachen und durchsetzen.
In Deutschland sind gleich mehrere Bundesbehörden mit der Überwachung und Durchsetzung des DSA beauftragt worden.
Die generelle Überwachung übernimmt dabei die Bundesnetzagentur für Elektrizität, Gas, Telekommunikation, Post und Eisenbahnen (Bundesnetzagentur). Als Koordinierungsstelle für digitale Dienste hat sie pünktlich zum Inkrafttreten des DDG ein Nutzer- und Beschwerdeportal für Verstöße ins Leben gerufen.
Für Online-Plattformen stellt die Bundeszentrale für Kinder- und Jugendmedienschutz (BzKJ) die Umsetzung struktureller Vorsorgemaßnahmen zum Online-Schutz Minderjähriger sicher. Darüber hinaus trägt sie dafür Sorge, dass allgemeine Geschäftsbedingungen bei Online-Diensten, die häufig von Minderjährigen genutzt werden, in einer altersgerechten, verständlichen Art und Weise bereitgestellt werden. Zu diesem Zweck hat die BzKJ die "Stelle zur Durchsetzung von Kinderrechten in digitalen Diensten" (KidD) ins Leben gerufen, die bereits die Arbeit aufgenommen hat.
Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist für die Überwachung der Werbung auf Online-Plattformen zuständig. Der DSA sieht neben dem Verbot, Minderjährigen auf der Grundlage von Profiling Werbung zu zeigen, auch ein generelles Verbot, Werbung auf der Grundlage von Profiling unter Verwendung der besonderen Kategorien von personenbezogenen Daten (Art. 9 Abs. 1 DSGVO) zu betreiben, vor.
Meldungen des Verdachts auf Straftaten auf Hosting-Diensten nimmt das Bundeskriminalamt als Zentralstelle entgegen. Diese Informationen werden von dort an die zuständigen Strafverfolgungsbehörden weitergeleitet.
Befugnisse:
Zur Durchsetzung des DSA dürfen die oben genannten Behörden Ermittlungen führen und Beweise erheben, soweit dies erforderlich ist. Dies umfasst die Vernehmung von Zeugen und Sachverständigen, ggf. sogar unter Beeidung. Anbieter von Ermittlungsdiensten sind verpflichtet, auf Anfrage Auskunft zu erteilen und Unterlagen bereitzustellen. Sie müssen das Betreten der Geschäftsräume während der üblichen Geschäftszeiten dulden. Beweismittel können beschlagnahmt werden. Darüber hinaus sind die zuständigen Behörden zur Information der Öffentlichkeit befugt. Dies gilt sowohl für abgeschlossene Verfahren und getroffene Bußgeldentscheidungen, wie auch für Einzelheiten zum konkreten Verstoß und laufende Verfahren. Zur Durchsetzung kann die zuständige Behörde empfindliche Zwangsgelder von bis zu 5% des durchschnittlichen weltweiten Tagesumsatzes oder der durchschnittlich weltweiten Tageseinnahmen festsetzen.
Praxishinweis:
Diese Befugnisse bestehen nur im Rahmen des geltenden Rechts. Befragten stehen ggf. Zeugnisverweigerungsrechte zu, etwa wenn sie sich durch die Beantwortung selbst der Gefahr strafgerichtlicher Verfolgung oder eines Ordnungswidrigkeitenverfahrens aussetzen würden. Durchsuchungen bedürfen einer Anordnung des zuständigen Gerichts und sind unter Umständen anfechtbar. Der Beschlagnahme kann widersprochen und eine gerichtliche Entscheidung hierüber herbeigeführt werden.
Bußgelder:
Für sehr große Online-Plattformen und sehr große Online-Suchmaschinen enthält der DSA selbst Regelungen, die die Verhängung von Geldbußen durch die Europäische Kommission betreffen.
Für die nationalen Behörden müssen die Mitgliedsstaaten ihrerseits Regelungen zur Sanktionierung erlassen. Diese sollen, wie im DSA auch, Bußgelder in Höhe von bis zu 6% des weltweiten Jahresumsatzes des Anbieters betragen.
In Deutschland sind dies nunmehr Folgende: Gesamte Tabelle einsehen.
Praxishinweis:
Einige Verstöße, wie z.B. die Veröffentlichung von Kontaktstellen, können von Mitbewerbern, Verbraucherverbänden und Behörden ohne größeren Aufwand festgestellt werden. Es kann nur empfohlen werden, diese Pflichten kurzfristig umzusetzen, um sich nicht zum leichten Ziel für Abmahnungen, Rechtsstreitigkeiten oder Bußgeldverfahren zu machen. Die Klagebefugnis von Verbraucherverbänden bei DSGVO-Verstößen wurde erst vor wenigen Tagen durch den EuGH bestätigt. Auch der DSA sieht vor, dass betroffene Nutzer Organisationen ohne Gewinnerzielungsabsicht mit der Wahrnehmung ihrer Rechte aus dem DSA beauftragen können. Ein Gleichlauf mit den Regelungen der DSGVO liegt nahe.
Fazit:
Der Digital Services Act nimmt in Deutschland mehr und mehr an Fahrt auf. Die Behörden sind durch die nationalen Umsetzungsgesetze, allen voran dem DDG mit umfangreichen Befugnissen ausgestattet worden, um die Umsetzung des DSA zu überwachen und durchzusetzen. Trotz des weitreichenden Anwendungsbereichs der Verordnung, haben viele Anbieter von Online-Diensten, allen voran kleinere und mittelständische Unternehmen, die Vorgaben noch nicht auf dem Schirm oder nicht hinreichend umgesetzt. Die Einhaltung des DSA sollte schließlich bei allen M&A-Transaktionen von Unternehmen mit Tätigkeitsfeld im Anwendungsbereich der Verordnung bedacht werden.