Glossareintrag
Wir denken. KI tippt mit.
Der Digital Services Act (kurz DSA, amtlich Gesetz über digitale Dienste, in den Medien oft EU-Plattformgesetz genannt) ist die Verordnung (EU) 2022/2065 der Europäischen Union. Sie regelt, wie Online-Dienste mit fremden Inhalten umgehen müssen, und gilt seit dem 17. Februar 2024 unmittelbar in allen Mitgliedstaaten, ohne nationales Umsetzungsgesetz. Je mehr ein Dienst fremde Inhalte speichert, verbreitet und an Millionen Nutzer ausspielt, umso mehr Sorgfaltspflichten treffen ihn, vom Meldeweg für rechtswidrige Inhalte bis zur jährlichen Risikoprüfung unter Aufsicht der EU-Kommission.
Der DSA gilt für Vermittlungsdienste (englisch „Intermediary Services“), also für Internetzugang, Caching, Hosting, Online-Plattformen wie soziale Netzwerke, Marktplätze und App-Stores sowie für Online-Suchmaschinen. Die schärfsten Regeln gelten für sehr große Online-Plattformen (Very Large Online Platforms, VLOP) und sehr große Online-Suchmaschinen (Very Large Online Search Engines, VLOSE) mit mindestens 45 Millionen monatlichen Nutzern in der EU. Seit dem 31. August 2026 zählt ChatGPT als riesige Online-Suchmaschine dazu.
Der EU AI Act regelt KI-Systeme als Produkt, der DSA regelt Dienste, die fremde Inhalte vermitteln. Die DSGVO schützt personenbezogene Daten, der DSA baut an einzelnen Stellen auf ihr auf, z. B. beim Verbot von Werbung auf Basis sensibler Daten. Das deutsche Digitale-Dienste-Gesetz (DDG) gilt seit dem 14. Mai 2024 und legt als Begleitgesetz fest, welche Behörden in Deutschland zuständig sind und welche Bußgelder drohen. Es hat das Telemediengesetz abgelöst.
Das Europäische Parlament und der Rat haben den Digital Services Act am 19. Oktober 2022 verabschiedet. Am 16. November 2022 trat er in Kraft, seit dem 17. Februar 2024 gilt er vollständig (Volltext der Verordnung (EU) 2022/2065 auf EUR-Lex). Für benannte sehr große Dienste griffen die Zusatzpflichten schon früher, jeweils vier Monate nach der Benennung (Artikel 92). Der DSA hat die Haftungsregeln der E-Commerce-Richtlinie aus dem Jahr 2000 übernommen und deren Artikel 12 bis 15 gestrichen. Wer fremde Inhalte nur durchleitet oder speichert, haftet weiterhin erst, wenn er von einem rechtswidrigen Inhalt weiß und ihn nicht entfernt (Artikel 4 bis 6). Eine Pflicht, alle Inhalte allgemein zu überwachen, schließt Artikel 8 aus.
Die Sorgfaltspflichten in Kapitel III bauen stufenweise aufeinander auf. Jede Stufe behält die Pflichten der vorherigen.
Kleinst- und Kleinunternehmen mit weniger als 50 Beschäftigten und höchstens 10 Millionen Euro Jahresumsatz oder Bilanzsumme sind von den Plattform- und Marktplatzpflichten der dritten Stufe weitgehend befreit (Artikel 19 und 29). Aus der dritten Stufe bleibt nur die Auskunftspflicht zur Nutzerzahl. Die Grundpflichten der ersten beiden Stufen gelten für sie weiter, also Kontaktstelle, AGB-Transparenz, Meldeweg und Begründungspflicht. Als sehr groß benannte Dienste erhalten die Ausnahme nie.
Die Schwelle für die vierte Stufe liegt bei durchschnittlich 45 Millionen aktiven Nutzern pro Monat in der EU. Der Wert entspricht etwa zehn Prozent der EU-Bevölkerung. Diesen Anteil schreibt Artikel 33 als Maßstab für spätere Anpassungen fest. Jede Plattform und Suchmaschine muss ihre Nutzerzahl alle sechs Monate veröffentlichen (Artikel 24). Liegt sie über der Schwelle, benennt die Kommission den Dienst per Beschluss, vier Monate später gelten die Zusatzpflichten. Mit Stand vom 7. September 2026 führt die Liste der benannten Dienste bei der Kommission 25 sehr große Online-Plattformen. Aus dem Handel und den App-Stores sind das Amazon, der Apple App Store, Google Play, Google Shopping, Booking.com, Zalando, Temu, Shein und AliExpress. Zu den Netzwerken, Video- und Spieleplattformen zählen Facebook, Instagram, WhatsApp (seit Januar 2026 wegen der Kanäle), LinkedIn, Pinterest, Snapchat, TikTok, X, YouTube, Reddit und Roblox. Hinzu kommen Google Maps, Wikipedia und drei Pornoportale. Sehr große Online-Suchmaschinen gibt es drei: die Google-Suche, Bing und ChatGPT.
ChatGPT ist der erste KI-Dienst auf der Liste. Die Kommission hat ihn am 31. August 2026 als sehr große Online-Suchmaschine benannt, am selben Tag Reddit und Roblox als sehr große Online-Plattformen (Pressemitteilung der Kommission zur Einstufung von ChatGPT). Grundlage ist die Zahl, die OpenAI Ireland nach Artikel 24 selbst meldet. Laut der DSA-Seite von OpenAI hatte die Suchfunktion von ChatGPT (ChatGPT Search) im Halbjahr bis zum 31. März 2026 rund 159,1 Millionen monatliche Nutzer in der EU. Die Zahl bezieht sich ausdrücklich auf die Websuche, mit der ChatGPT Anfragen aus dem offenen Web beantwortet, nicht auf den Chatbot insgesamt. Die KI-Verordnung hatte diesen Fall im Erwägungsgrund 119 vorgesehen. Ein KI-Chatbot, der grundsätzlich alle Websites durchsucht, kann als Online-Suchmaschine im Sinne des DSA gelten. OpenAI hat vier Monate ab Zustellung des Beschlusses Zeit, die Zusatzpflichten zu erfüllen, also bis zum Jahreswechsel 2026/2027. Am Anfang steht eine Risikobewertung zu rechtswidrigen Inhalten, Minderjährigen, dem körperlichen und seelischen Wohlbefinden der Nutzer, Grundrechten, Wahlen und öffentlicher Sicherheit. OpenAI schätzt das Alter seiner Nutzer aus dem Nutzungsverhalten (Altersschätzung) und leitet Jugendliche in eine eigene Teen-Version von ChatGPT. Kein anderer KI-Assistent ist bisher benannt. Microsofts Copilot fällt indirekt unter die Aufsicht, weil er in Bing steckt. Im Mai 2024 verlangte die Kommission von Microsoft Auskunft über die Risiken von Copilot in Bing und dem Bildgenerator, primär Halluzinationen und Deepfakes vor der Europawahl. Gegen X läuft seit dem 26. Januar 2026 ein Verfahren wegen der Einbindung von Grok, nachdem der Chatbot sexualisierte Bildmanipulationen erzeugt hatte (Verfahrensmitteilung der Kommission zu Grok).
Allein die EU-Kommission überwacht die Zusatzpflichten der sehr großen Dienste, alle übrigen Pflichten überwachen die nationalen Koordinatoren für digitale Dienste (Digital Services Coordinator, DSC) im Sitzland des Anbieters. In Deutschland ist das seit dem 14. Mai 2024 eine eigene Stelle in der Bundesnetzagentur. Bußgelder reichen bis zu 6 Prozent des weltweiten Jahresumsatzes, bei falschen oder fehlenden Auskünften bis zu 1 Prozent, Zwangsgelder bis zu 5 Prozent des durchschnittlichen Tagesumsatzes (Artikel 52, 74 und 76). Die erste Geldbuße verhängte die Kommission am 5. Dezember 2025 gegen X. 120 Millionen Euro für den irreführenden blauen Haken, ein unvollständiges Werbearchiv und verweigerten Datenzugang für Forschende (Mitteilung der Kommission zur Geldbuße gegen X). X hat im Februar 2026 vor dem Gericht der EU dagegen geklagt. Es folgten 200 Millionen Euro gegen Temu am 28. Mai 2026 und 550 Millionen Euro gegen AliExpress am 20. Juli 2026, beide wegen unzureichender Risikobewertung zu illegalen Produkten, bei AliExpress auch zu unsicheren und gefälschten Waren. Gegen TikTok liegen vorläufige Feststellungen wegen suchterzeugender Gestaltung (Endlos-Scrollen, Autoplay) vor, gegen Meta wegen fehlender Altersprüfung bei Kindern unter 13. Vier Pornoportale (Pornhub, Stripchat, XNXX, XVideos) erhielten solche Feststellungen, weil ein Klick auf „Ich bin über 18“ als Alterskontrolle genügte. Die Bundesnetzagentur zählte laut ihrem Tätigkeitsbericht für 2025 über 2000 Beschwerden und leitete 26 Verwaltungsverfahren ein. Seit Juni 2026 ermittelt sie auch gegen die Spieleplattform Steam (Pressemitteilung der Bundesnetzagentur zu Steam). Ein deutsches Bußgeld ist bislang nicht bekannt.
Online-Plattformen müssen jede Moderationsentscheidung mit Begründung (Statement of Reasons) an die DSA-Transparenzdatenbank melden. Am 12. September 2026 verzeichnete die Datenbank rund 3,86 Milliarden Begründungen von 371 Plattformen. 43 Prozent der Entscheidungen fielen vollautomatisch. Seit dem 29. Oktober 2025 regelt eine delegierte Verordnung den Datenzugang für Forschende (Artikel 40). Bis Mai 2026 lagen 49 Anträge vor, unter anderem zu Werbetransparenz und KI‑Funktionen. Die Werbearchive der sehr großen Dienste sind öffentlich, bei Meta als Werbebibliothek, bei Google als Anzeigen-Transparenzcenter, bei TikTok als Commercial Content Library. TikTok hat sich im Dezember 2025 gegenüber der Kommission verpflichtet, dort auch die gewählten Zielgruppen-Kriterien und die Reichweite nach Alter, Geschlecht und Land zu zeigen.
Die KI-Verordnung lässt die Haftungsregeln des DSA ausdrücklich unberührt (Artikel 2 Absatz 5 der KI-Verordnung). Ihr Erwägungsgrund 118 bestimmt, dass KI-Modelle, die in eine sehr große Plattform oder Suchmaschine eingebettet sind, dem Risikomanagement des DSA unterliegen. Die entsprechenden Pflichten der KI-Verordnung gelten dann als erfüllt, solange keine erheblichen systemischen Risiken auftreten, die der DSA nicht abdeckt. Umgekehrt hilft die Kennzeichnungspflicht für KI-Inhalte aus Artikel 50 der KI-Verordnung den Plattformen, ihre DSA-Pflicht gegen Deepfakes und Desinformation zu erfüllen.
Für lokale Unternehmen und Handwerksbetriebe stellt sich zuerst die Frage, ob der eigene Internetauftritt unter den Digital Services Act fällt. In den meisten Fällen lautet die Antwort „nein“. Eine Website mit Leistungen, Referenzen, Kontaktformular und Blog zeigt eigene Inhalte und vermittelt keine fremden. Sie ist kein Vermittlungsdienst. Ein Online-Shop für die eigenen Waren speichert Kundendaten nur zur Abwicklung des Kaufs. Die IT-Recht Kanzlei nennt das „notwendiges Beiwerk“ und keinen Hosting-Dienst. Eine Kommentar- oder Bewertungsfunktion ändert das nach Einschätzung von e-recht24 erst, wenn die Nutzerbeiträge ein wesentliches Merkmal der Seite sind. Dann gelten die Pflichten eines Hosting-Dienstes mit Meldeweg und Begründung (Artikel 16 bis 18). Bei einem Betriebsblog mit vereinzelten Kommentaren ist das in der Regel nicht der Fall. Zur Online-Plattform mit den weitergehenden Pflichten wird eine Seite erst, wenn die Verbreitung fremder Inhalte mehr als eine unbedeutende Nebenfunktion ist (Erwägungsgrund 13). Auch ein KI-Chatbot auf der eigenen Seite vermittelt keine fremden Inhalte. Für ihn gelten stattdessen die Transparenzpflicht aus Artikel 50 der KI-Verordnung und die DSGVO. Das Impressum jeder Website stützt sich seit Mai 2024 auf § 5 DDG statt auf § 5 TMG. Wer die alte Norm zitiert, nennt ein Gesetz, das nicht mehr existiert (Hinweis der Handwerkskammer Braunschweig-Lüneburg-Stade).
Gegen eine gefälschte oder verleumderische Google-Bewertung gibt der DSA Unternehmen einen festen Beschwerdeweg. Google muss als Hosting-Dienst einen Meldeweg anbieten (Artikel 16), im Unternehmensprofil über „Rezensionen lesen“ und die Melden-Option neben der Rezension (Google-Hilfe zum Melden von Rezensionen). Lehnt Google ab, muss es dem Betrieb die Entscheidung samt Rechtsbehelfen mitteilen (Artikel 16 Absatz 5). Der Betrieb kann dann Einspruch einlegen (Artikel 20, das Beschwerderecht gilt ausdrücklich auch für Meldende) und danach eine zertifizierte Streitbeilegungsstelle anrufen (Artikel 21). In Deutschland hat die Bundesnetzagentur zwei Stellen zertifiziert. User Rights aus Berlin ist seit August 2024 zunächst für TikTok, Instagram und LinkedIn zuständig (Zertifizierung von User Rights). Platform Control aus Gräfelfing deckt seit November 2025 unter anderem Google Maps, YouTube und Reddit ab, für Nutzer kostenlos (Zertifizierung von Platform Control). Die Kosten übernimmt laut der Übersicht der Bundesnetzagentur zur Streitbeilegung die Plattform, Nutzer zahlen höchstens eine geringe Schutzgebühr. Die Entscheidung bindet die Plattform nicht, der Weg vor Gericht bleibt offen. Eine Beschwerde bei der Bundesnetzagentur selbst ist über deren Nutzerportal möglich, sie richtet sich aber gegen den Verstoß der Plattform. Einen einzelnen Inhalt kann die Behörde weder löschen noch löschen lassen.
Wer über Marktplätze oder Vermittlungsportale verkauft, erlebt den DSA bei der Anmeldung. Artikel 30 verpflichtet Marktplätze, vor der Freischaltung Name, Anschrift, Telefonnummer, E-Mail-Adresse, Bankverbindung, Registernummer und einen Ausweis zu prüfen. Außerdem muss der Händler bescheinigen, dass er nur rechtskonforme Angebote einstellt. eBay zeigt Firmenname, Anschrift und Handelsregisternummer gewerblicher Verkäufer in jedem Angebot an. Schlägt die automatische Prüfung fehl, fordert eBay weitere Unterlagen an, bevor der Verkauf beginnen oder weitergehen kann. Handwerkerportale wie MyHammer verlangen laut ihren AGB für Handwerker Nachweise wie Gewerbeanmeldung, Eintragung in die Handwerksrolle oder Meisterbrief und holen im Zweifel bei der Handwerkskammer eine Bestätigung ein. Wird ein Konto gesperrt oder eine Auszahlung angehalten, führt derselbe Weg wie bei der Bewertung über Begründung, internen Einspruch und Streitbeilegung.
Beim Werben setzen die Plattformen den DSA über ihre Anzeigenregeln um. Google lässt laut seiner Richtlinie zu personalisierter Werbung keine personalisierten Anzeigen für Personen unter 18 Jahren zu und sperrt selbst erstellte Zielgruppen für sensible Interessenkategorien wie Gesundheit oder religiöse Überzeugung. Ein Badsanierer kann seine Anzeige also nicht auf Menschen mit Rückenleiden ausrichten, wohl aber auf einen Umkreis von 30 Kilometern um den Betrieb. Jede Anzeige nennt den Auftraggeber und zeigt, warum der Nutzer sie sieht. Für bezahlte Beiträge eines Influencers muss die Plattform eine Funktion anbieten, mit der die Partnerschaft als Werbung erklärt wird (Artikel 26 Absatz 2). Die Kennzeichnungspflicht des Unternehmens selbst folgt aus dem Wettbewerbsrecht. In der Meta-Werbebibliothek bleiben EU-Anzeigen nach Artikel 39 ein Jahr nach der letzten Ausspielung einsehbar, mit Laufzeit, Zielgruppen-Parametern und Reichweite. So sieht ein Unternehmen, womit der Wettbewerber am Ort seit Monaten wirbt. Das Anzeigen-Transparenzcenter von Google zeigt Name und Standort jedes Werbetreibenden mit den zuletzt geschalteten Anzeigen.
Sehr große Plattformen und Suchmaschinen müssen gleichermaßen ein Werbearchiv nach Artikel 39 führen, seit der Einstufung also auch ChatGPT. Da OpenAI seit Ende August auch in der EU Werbung in ChatGPT ausspielt, muss es dort nach Ablauf der Frist ein öffentliches Archiv mit Auftraggeber, Laufzeit und Zielgruppen-Parametern führen. Die Verbote personalisierter Werbung gegenüber Minderjährigen (Artikel 28) und auf Basis sensibler Daten (Artikel 26) gelten dagegen nur für Online-Plattformen, nicht für eine reine Suchmaschine. Wer Kunden künftig über die KI-Suche erreichen will, ob organisch oder bezahlt, kann die Zielgruppen-Logik der Wettbewerber dann ebenso nachlesen wie heute bei Meta und Google.
