Digital Services Act: Pflichten und Sanktionen 2026

Am 5. Dezember 2025 verhängte die Europäische Kommission mit 120 Millionen Euro gegen X erstmals eine Geldbuße im Rahmen einer DSA-Nichtkonformitätsentscheidung. Inzwischen hat sich die Sanktionspraxis weiterentwickelt. 2026 folgten unter anderem Geldbußen von 200 Millionen Euro gegen Temu und 550 Millionen Euro gegen AliExpress.

Die Entscheidung ist aus zwei Gründen aufschlussreich. Erstens ging es nicht um rechtswidrige Inhalte, sondern um Transparenz, also um irreführende Verifizierungshaken, um ein unvollständiges Werbearchiv und um unzureichenden Datenzugang für Forschende. Zweitens zeigt sie, wo der Digital Services Act (DSA) tatsächlich ansetzt. Er regelt detailliert, wie Vermittlungsdienste

• mit Hinweisen,
• behördlichen Anordnungen,
• Moderationsentscheidungen,
• Beschwerden und
• systemischen Risiken umgehen müssen.

Verfahrens- und Transparenzpflichten bilden einen Kern des DSA. Hinzu kommen jedoch materielle Anforderungen etwa an Plattformdesign, Werbung, Minderjährigenschutz, Händlernachverfolgbarkeit und das Risikomanagement sehr großer Dienste.

Die Verordnung (EU) 2022/2065 ist am 16. November 2022 in Kraft getreten. Für sehr große Plattformen und Suchmaschinen gilt sie seit Ende August 2023, für alle übrigen Dienste seit dem 17. Februar 2024. Die allgemeine Anwendungsphase des DSA ist inzwischen erreicht. Förmliche Durchsetzungsverfahren der Europäischen Kommission laufen bereits seit Ende 2023; seit Dezember 2025 werden Verstöße zudem erstmals mit Geldbußen im Rahmen von Nichtkonformitätsentscheidungen sanktioniert.

DSA-Haftung: Welche Haftungsprivilegien weiter gelten

Der DSA hat die Haftungsregeln der früheren E-Commerce-Richtlinie übernommen und inhaltlich fortgeschrieben. Reine Durchleitung, Zwischenspeicherung und Hosting bleiben unter den bekannten Voraussetzungen von der Verantwortlichkeit für fremde Inhalte befreit.

Das Hostingprivileg greift nur, solange der Anbieter keine nach Art. 6 DSA relevante Kenntnis beziehungsweise Kenntnis von Umständen hat, aus denen die Rechtswidrigkeit offensichtlich wird. Erlangt er entsprechende Kenntnis, muss er unverzüglich handeln, um die betreffenden Informationen zu entfernen oder den Zugang zu sperren.

Ebenso bestehen bleibt das Verbot allgemeiner Überwachungspflichten. Anbieter dürfen nicht verpflichtet werden, die von ihnen übermittelten oder gespeicherten Informationen allgemein zu überwachen oder aktiv nach Anhaltspunkten für rechtswidrige Tätigkeit zu forschen. Neu hinzugekommen ist eine Klarstellung zugunsten freiwilliger Prüfungen, denn wer aus eigenem Antrieb nach rechtswidrigen Inhalten sucht, verliert dadurch nicht das Haftungsprivileg.

DSA-Pflichten nach Diensteart: fünf Ebenen im Überblick

Der DSA arbeitet mit aufeinander aufbauenden Pflichten für Vermittlungs-, Hosting- und Plattformdienste. Online-Marktplätze bilden eine besondere Untergruppe von Online-Plattformen. Für benannte sehr große Online-Plattformen (VLOP) und sehr große Online-Suchmaschinen (VLOSE) kommen zusätzliche Pflichten hinzu. Bei VLOSE handelt es sich jedoch nicht um eine weitere Stufe der Hosting- oder Plattformkette. Die Einordnung des eigenen Dienstes ist deshalb der erste und wichtigste Schritt.

Stufe 1: alle Vermittlungsdienste

• Benennung einer zentralen Kontaktstelle für Behörden und einer Kontaktstelle für Nutzer, jeweils leicht auffindbar
• Benennung eines gesetzlichen Vertreters in der Union, wenn der Anbieter dort nicht niedergelassen ist
• Allgemeine Geschäftsbedingungen mit klaren Angaben zu Beschränkungen, zu Moderationsverfahren, zum Einsatz algorithmischer Entscheidungsfindung und zum internen Beschwerdemanagement, in klarer und verständlicher Sprache
• Beachtung von Anordnungen zum Vorgehen gegen rechtswidrige Inhalte und zur Auskunft über Nutzer, jeweils mit Rückmeldung an die anordnende Behörde
• Jährliche Transparenzberichte über Moderationsmaßnahmen; Kleinst- und Kleinunternehmen sind hiervon befreit

Stufe 2: Hostingdienste

• Melde- und Abhilfeverfahren: ein leicht zugängliches, benutzerfreundliches und ausschließlich elektronisches Verfahren, über das jede Person mutmaßlich rechtswidrige Inhalte melden kann; hinreichend begründete Meldungen begründen Kenntnis im Sinne der Haftungsregeln
• Hostingdienste müssen für bestimmte Moderationsentscheidungen eine Begründung nach Art. 17 DSA übermitteln.
• Meldung an Strafverfolgungsbehörden bei Verdacht auf Straftaten, die eine Gefahr für das Leben oder die Sicherheit von Personen begründen

Stufe 3: Online-Plattformen

Online-Plattformen sind Hostingdienste, die Informationen im Auftrag von Nutzern nicht nur speichern, sondern öffentlich verbreiten. Für sie kommen die praktisch aufwendigsten Pflichten hinzu.

• Internes Beschwerdemanagement: mindestens sechs Monate lang muss gegen Moderationsentscheidungen kostenlos und elektronisch Beschwerde eingelegt werden können; die Prüfung darf nicht ausschließlich automatisiert erfolgen
• Transparenzdatenbank: Online-Plattformen müssen die nach Art. 17 erstellten Begründungen zusätzlich – ohne personenbezogene Daten – an die DSA Transparency Database der Europäischen Kommission übermitteln.
• Außergerichtliche Streitbeilegung durch zertifizierte Stellen, deren Entscheidung die Plattform zwar nicht bindet, an deren Verfahren sie aber nach Treu und Glauben mitwirken muss
• Vorrangige Bearbeitung von Meldungen vertrauenswürdiger Hinweisgeber, die von den nationalen Koordinatoren zertifiziert werden
• Maßnahmen gegen Missbrauch: befristete Aussetzung von Nutzern, die häufig offensichtlich rechtswidrige Inhalte einstellen, sowie von Personen, die häufig offensichtlich unbegründete Meldungen oder Beschwerden einreichen
• Verbot manipulativer Gestaltung: Schnittstellen dürfen nicht so konzipiert sein, dass sie Nutzer täuschen, manipulieren oder ihre Entscheidungsfähigkeit wesentlich beeinträchtigen
• Werbetransparenz: Werbung muss als solche erkennbar sein, der Auftraggeber und die wesentlichen Parameter der Ausspielung müssen angegeben werden
• Schutz Minderjähriger: Profiling-basierte Werbung darf nicht angezeigt werden, wenn der Anbieter mit hinreichender Sicherheit weiß, dass der Nutzer minderjährig ist. Zudem müssen angemessene Maßnahmen zur Sicherstellung eines hohen Niveaus an Privatsphäre, Sicherheit und Schutz umgesetzt werden.
• Transparenz der Empfehlungssysteme: die wesentlichen Parameter und die Einflussmöglichkeiten der Nutzer sind in den AGB darzulegen

Stufe 4: Online-Marktplätze

• Rückverfolgbarkeit der Unternehmer: vor der Freischaltung sind Identität, Anschrift, Kontaktdaten, Zahlungskonto, Registereintrag und eine Selbstbescheinigung über die Rechtskonformität der Angebote einzuholen und auf Plausibilität zu prüfen
• Konformität durch Gestaltung: die Oberfläche muss es dem Unternehmer ermöglichen, seine vorvertraglichen Informations- und Kennzeichnungspflichten zu erfüllen
• Erfährt die Plattform von einem rechtswidrigen Produkt oder einer rechtswidrigen Dienstleistung, muss sie nach Art. 32 DSA grundsätzlich Verbraucher informieren, die das Angebot innerhalb der vorangegangenen sechs Monate erworben haben, und insbesondere Angaben zum rechtswidrigen Angebot, zum Händler und zu möglichen Rechtsbehelfen bereitstellen.

Stufe 5: sehr große Plattformen und Suchmaschinen

• Jährliche Bewertung systemischer Risiken, insbesondere hinsichtlich der Verbreitung rechtswidriger Inhalte, der Auswirkungen auf Grundrechte, auf gesellschaftliche Debatte und Wahlprozesse sowie auf das körperliche und geistige Wohlbefinden
• Wirksame Maßnahmen zur Risikominderung, etwa Anpassungen an Gestaltung, Empfehlungssystemen, Moderationsressourcen und internen Prozessen
• Unabhängige Prüfung der Einhaltung der Pflichten, mindestens jährlich
• Mindestens eine Option des Empfehlungssystems, die nicht auf Profiling beruht
• Öffentlich zugängliches, durchsuchbares Werbearchiv für mindestens ein Jahr nach der letzten Ausspielung
• Datenzugang für zugelassene Forschende sowie für die Aufsichtsbehörden
• Eigenständige Compliance-Funktion mit unabhängiger Leitung und direktem Zugang zur Geschäftsleitung
• Beteiligung am Krisenreaktionsmechanismus, erweiterte Transparenzberichte und Zahlung einer jährlichen Aufsichtsgebühr

Ausnahme für kleine Anbieter

Kleinst- und Kleinunternehmen sind weitgehend von den zusätzlichen Pflichten für Online-Plattformen und Online-Marktplätze befreit. Ausnahmen von dieser Befreiung bestehen jedoch, insbesondere für Art. 24 Abs. 3 DSA. Auch bei den allgemeinen Vermittlungsdienstpflichten bestehen einzelne größenabhängige Erleichterungen, etwa bei Transparenzberichten nach Art. 15 DSA.

Aufsicht und die geteilte Zuständigkeit

Die Durchsetzung ist zweigeteilt. Für die besonderen systemischen Pflichten nach Kapitel III Abschnitt 5 besitzt die Europäische Kommission die ausschließliche Aufsichts- und Durchsetzungskompetenz. Gegenüber VLOPs und VLOSEs verfügt sie darüber hinaus auch bei anderen DSA-Pflichten über eigene Überwachungs- und Durchsetzungsbefugnisse. Nationale Koordinatoren bleiben in dem vom DSA vorgesehenen Zuständigkeits- und Kooperationsrahmen eingebunden.

Das Herkunftslandprinzip hat eine praktische Folge, die häufig übersehen wird: Beschwerden können zwar beim Koordinator des eigenen Wohnsitzstaats eingereicht werden, werden aber an den zuständigen Koordinator weitergeleitet. Die Koordinatoren arbeiten im Europäischen Gremium für digitale Dienste zusammen.

DDG und Bundesnetzagentur in Deutschland

Nationaler Rahmen ist das Digitale-Dienste-Gesetz, das am 14. Mai 2024 in Kraft getreten ist. Es bestimmt Zuständigkeiten, Befugnisse und Bußgeldtatbestände, hat das Netzwerkdurchsetzungsgesetz aufgehoben und das Telemediengesetz weitgehend abgelöst.

Koordinator für digitale Dienste ist eine eigene, weisungsungebundene Stelle bei der Bundesnetzagentur. Sie führt ein Beschwerdeportal, zertifiziert vertrauenswürdige Hinweisgeber und außergerichtliche Streitbeilegungsstellen, ermittelt und kann Anordnungen treffen sowie Bußgelder verhängen. Ergänzend bleiben für einzelne Sachbereiche weitere Stellen eingebunden, etwa die Bundeszentrale für Kinder- und Jugendmedienschutz und die Landesmedienanstalten.

Der am 30. April 2026 veröffentlichte Tätigkeitsbericht für das Jahr 2025 gibt ein Bild der Praxis. Über das Beschwerdeportal gingen mehr als 2.000 Beschwerden ein. Sie betrafen vor allem unzureichend begründete Sperrungen von Konten, Inhalten oder Diensten, die Entfernung oder Nichtentfernung von Inhalten sowie die Benutzerfreundlichkeit der Meldewege. Die Behörde leitete 26 nationale Verwaltungsverfahren gegen Vermittlungsdienste ein. Schwerpunkte waren die Umsetzung des Melde- und Abhilfeverfahrens, die Begründung von Entscheidungen und das interne Beschwerdemanagement, bei Marktplätzen zusätzlich die Rückverfolgbarkeit der Unternehmer.

Viele Beschwerden zu sehr großen Plattformen mit Sitz beziehungsweise Vertreter in Irland wurden an den irischen DSC weitergeleitet. Die 26 deutschen Verwaltungsverfahren zeigen zugleich, dass die nationale DSA-Durchsetzung auch jenseits der großen internationalen Plattformen praktisch relevant ist.

Welche Bußgelder und Sanktionen drohen bei DSA-Verstößen?

Hinzu treten nicht monetäre Maßnahmen:

• verbindliche Verpflichtungszusagen,
• einstweilige Maßnahmen und,
• als äußerstes Mittel und unter engen Voraussetzungen eine gerichtliche zeitweilige Zugangsbeschränkung.

Voraussetzung dafür ist insbesondere, dass andere Maßnahmen ausgeschöpft sind, die Zuwiderhandlung schweren Schaden verursacht und zugleich eine Straftat darstellt, die das Leben oder die Sicherheit von Personen bedroht.

Aktuelle DSA-Verfahren und Bußgelder der EU-Kommission

Die Kommission hat seit Ende 2023 mehrere förmliche Verfahren gegen benannte Dienste eröffnet. Der bisherige Verlauf zeigt drei Schwerpunkte: Transparenz und Datenzugang, Gestaltung der Nutzeroberflächen und Schutz Minderjähriger.

• X: Am 5. Dezember 2025 verhängte die Kommission die erste Nichtkonformitätsentscheidung nach dem DSA mit einer Geldbuße von 120 Millionen Euro. Beanstandet wurden das als irreführend bewertete Verifizierungszeichen, ein unvollständiges und schlecht durchsuchbares Werbearchiv sowie unzureichender Datenzugang für Forschende. X wurden Fristen von 60 beziehungsweise 90 Arbeitstagen gesetzt, um Abhilfe darzulegen.

Im Juli 2026 akzeptierte die Kommission einen Aktionsplan von X zur Behebung insbesondere der Mängel beim Werbearchiv und beim Forscherdatenzugang. Die Umsetzung steht unter verstärkter Aufsicht und soll anschließend extern geprüft werden.

• TikTok: Im Februar 2026 kam die Kommission zu vorläufigen Feststellungen zum suchtfördernden Design, insbesondere zu endlosem Scrollen und personalisierten Empfehlungen im Zusammenhang mit dem Schutz Minderjähriger.
• Meta und TikTok: Beiden wird vorgeworfen, Forschenden keinen ausreichenden Zugang zu öffentlichen Daten nach Artikel 40 zu gewähren. Meta wird zusätzlich vorgehalten, die Meldewege für rechtswidrige Inhalte auf Facebook und Instagram seien nicht hinreichend benutzerfreundlich.

Vorläufige Feststellungen sind kein Verfahrensabschluss. Die betroffenen Unternehmen können Stellung nehmen, Akteneinsicht verlangen und Abhilfemaßnahmen anbieten. Für andere Anbieter sind sie gleichwohl aufschlussreich, weil sie zeigen, welche Auslegung die Kommission vertritt.

Verhältnis zu anderen Regelwerken

Typische Fehleinschätzungen

• Der DSA betrifft nur die großen Netzwerke. Die Stufen 1 und 2 gelten für jeden Vermittlungsdienst, auch für kleine Hoster und Dienste mit Kommentarfunktion.
• Wir haben keine Plattform. Maßgeblich ist, ob Informationen im Auftrag von Nutzern gespeichert und öffentlich verbreitet werden. Bewertungsbereiche, Foren und Uploadfunktionen können genügen.
• Ein Kontaktformular reicht als Meldeweg. Verlangt ist ein leicht zugängliches, benutzerfreundliches und ausschließlich elektronisches Verfahren, das die vorgesehenen Angaben strukturiert erfasst.
• Eine kurze Mitteilung genügt als Begründung. Die Begründung muss Maßnahme, Tatsachengrundlage, Rechtsgrundlage, den Einsatz automatisierter Mittel und die Rechtsbehelfe benennen. Online-Plattformen, für die Art. 24 Abs. 5 DSA gilt, müssen die entsprechenden Begründungen zusätzlich ohne personenbezogene Daten an die DSA Transparency Database übermitteln.
• Die AGB sind Sache der Rechtsabteilung. Der DSA verlangt darin konkrete Angaben zu Moderationsprozessen, Algorithmen und Beschwerdewegen; sie müssen mit der tatsächlichen Praxis übereinstimmen.
• Als Kleinunternehmen sind wir befreit. Die Befreiung betrifft nur die Pflichten der Stufen 3 und 4, nicht Kontaktstelle, AGB, Meldeverfahren und Begründungspflicht.

Sitz außerhalb der EU schützt. Wer sich an Nutzer in der Union richtet, unterfällt dem DSA und muss einen gesetzlichen Vertreter in der Union benennen.

SBS LEGAL – Kanzlei für IT-Recht

SBS LEGAL berät Unternehmen zu Fragen im Bereich IT-Recht und zur rechtssicheren Umsetzung des Digital Services Act (DSA). Dazu gehören insbesondere die Prüfung einschlägiger DSA-Pflichten, Plattform- und Hostingstrukturen sowie regulatorischer Anforderungen an Online-Dienste.

DSA-Compliance für Plattformen, Hostingdienste und Online-Marktplätze

Welche Pflichten ein Unternehmen nach dem Digital Services Act erfüllen muss, hängt wesentlich von der konkreten Funktion und Einordnung des jeweiligen Dienstes ab. SBS LEGAL unterstützt Unternehmen dabei, ihre Dienste rechtlich einzuordnen, Melde- und Beschwerdeprozesse, AGB und Transparenzanforderungen zu prüfen und Handlungsbedarf im Zusammenspiel von DSA, DDG, Datenschutz-, Verbraucher- und Wettbewerbsrecht zu identifizieren.

Der Erstkontakt zu SBS LEGAL ist kostenlos.