Digital Services Act (DSA): Pflichten für Online-Shops einfach erklärt

1. Was ist der Digital Services Act und worum geht es?

Der Digital Services Act, kurz DSA, ist die Verordnung (EU) 2022/2065 der Europäischen Union. Anders als eine Richtlinie muss eine Verordnung nicht erst durch ein deutsches Gesetz umgesetzt werden, sie gilt seit ihrem Anwendungsbeginn unmittelbar in allen Mitgliedstaaten. Für die Durchsetzung und einige nationale Zuständigkeitsfragen hat Deutschland zusätzlich das Digitale-Dienste-Gesetz (DDG) erlassen, das regelt, welche Behörde in Deutschland für die Aufsicht zuständig ist. Der DSA selbst richtet sich an sogenannte Vermittlungsdienste, das sind Anbieter, die Informationen im Internet weiterleiten, speichern oder zugänglich machen.

Für Online-Shops ist vor allem eine Unterkategorie wichtig, die Hosting-Dienste, und darin wiederum die Online-Plattformen. Ein Hosting-Dienst speichert fremde Inhalte in seinem Auftrag, ein Online-Plattform-Betreiber verbreitet solche Inhalte zusätzlich öffentlich, zum Beispiel in Form von Kundenbewertungen, Kommentaren oder Angeboten fremder Verkäufer. Ein Shop, der ausschließlich eigene Produkte verkauft, ohne Bewertungsfunktion und ohne Marktplatz für Drittanbieter, hat vergleichsweise wenige direkte Pflichten aus dem DSA. Sobald aber Kunden Texte, Bilder oder Bewertungen veröffentlichen können oder externe Händler über den Shop verkaufen, gilt der Shop für diese Funktion als Hosting-Anbieter beziehungsweise Online-Plattform und muss die entsprechenden Regeln einhalten.

Ein einfaches Gedankenexperiment hilft bei der Einordnung: Stellen Sie sich zwei Shops vor, einen reinen Möbelhersteller-Shop ohne jede Kommentarfunktion und einen Marktplatz, auf dem zusätzlich unabhängige Kunsthandwerker ihre eigenen Produkte anbieten dürfen. Der Möbelhersteller-Shop verkauft ausschließlich eigene Ware und hat keine Funktion, über die Dritte Inhalte veröffentlichen, er bleibt deshalb weitgehend außerhalb der DSA-Kernpflichten. Der Marktplatz hingegen lässt fremde Anbieter auftreten und veröffentlicht deren Angebote öffentlich sichtbar, er ist damit ein klassisches Beispiel für eine Online-Plattform im Sinne des DSA. Die meisten realen Shops liegen irgendwo zwischen diesen beiden Extremen, und genau deshalb lohnt sich eine genaue Prüfung der eigenen Funktionen, statt sich pauschal für betroffen oder nicht betroffen zu halten.

Für die praktische Arbeit an Ihrem Shop bedeutet das: Bevor Sie sich mit einzelnen DSA-Vorschriften im Detail beschäftigen, lohnt sich ein kurzer Funktions-Check Ihres eigenen Shops. Fragen Sie sich, welche Bereiche Ihres Shops von Kunden oder Dritten mit Inhalten befüllt werden können, und notieren Sie diese Bereiche stichwortartig. Diese kurze Liste ist die Grundlage für alle weiteren Schritte in diesem Beitrag, insbesondere für die Checkliste in Abschnitt 5. Ohne diese Klarheit über die eigenen Shop-Funktionen bleibt jede Diskussion über den DSA zwangsläufig abstrakt.

2. Seit wann gilt der DSA?

Der DSA ist bereits am 16. November 2022 in Kraft getreten, seine praktische Anwendung erfolgte aber gestaffelt. Für sehr große Online-Plattformen und sehr große Online-Suchmaschinen, von der EU-Kommission einzeln benannt, etwa große Marktplätze und soziale Netzwerke, galten die vollen Pflichten bereits ab etwa August 2023, da diese Anbieter aufgrund ihrer Reichweite besonders früh in die Pflicht genommen wurden. Für alle übrigen Vermittlungsdienste, Hosting-Anbieter und Online-Plattformen, also auch für den überwiegenden Teil der kleinen und mittleren Online-Shops mit Bewertungs- oder Marktplatzfunktion, gilt der DSA seit dem 17. Februar 2024 verbindlich. Es gibt für diese Gruppe keine weitere Übergangsfrist mehr, die Pflichten sind bereits seit diesem Datum anzuwenden.

Für die praktische Umsetzung bedeutet die inzwischen vergangene Zeit, dass Nachbesserungen nicht mehr unter Verweis auf eine laufende Übergangsfrist aufgeschoben werden können. Anders als bei manchen anderen EU-Vorhaben gibt es keine weitere gestaffelte nationale Frist, die Verordnung gilt seit diesem Stichtag unmittelbar und ohne weiteres Zutun des deutschen Gesetzgebers. Das deutsche Digitale-Dienste-Gesetz (DDG) hat parallel dazu vor allem die Zuständigkeit der Bundesnetzagentur als nationale Koordinierungsstelle festgelegt, es schafft aber keine eigenen inhaltlichen Fristen, die von denen des DSA abweichen. Wer also bislang noch keine Bestandsaufnahme vorgenommen hat, sollte das nicht als Zukunftsprojekt, sondern als bereits überfällige Aufgabe betrachten.

Ein Missverständnis, das in diesem Zusammenhang häufig auftaucht, betrifft die deutsche Umsetzung: Manche Shop-Betreiber gehen davon aus, ohne ein vollständig ausformuliertes deutsches Gesetz könne noch nichts Verbindliches gelten. Das trifft auf den DSA gerade nicht zu, weil es sich um eine unmittelbar geltende EU-Verordnung handelt und nicht um eine Richtlinie, die erst auf nationaler Ebene in Kraft gesetzt werden müsste. Das deutsche Digitale-Dienste-Gesetz regelt lediglich begleitende Fragen wie Zuständigkeiten und Verfahren, die eigentlichen inhaltlichen Pflichten ergeben sich unmittelbar aus dem EU-Recht. Wer auf ein weiteres deutsches Gesetz wartet, bevor er aktiv wird, verwechselt damit Zuständigkeitsregeln mit den eigentlichen materiellen Pflichten.

3. Wer ist betroffen, gilt das auch für kleine Shops?

Ja, der DSA unterscheidet zunächst nicht nach Unternehmensgröße, sondern danach, welche Funktionen ein Shop tatsächlich anbietet. Entscheidend ist, ob Ihr Shop Inhalte von Nutzern oder von Drittanbietern speichert und öffentlich zugänglich macht. Das betrifft zum Beispiel eine Bewertungsfunktion für Produkte, einen Frage-und-Antwort-Bereich, ein Forum oder ein Marktplatz-Modell, bei dem externe Händler über Ihre Plattform verkaufen. Ist eine solche Funktion vorhanden, gelten die grundlegenden DSA-Pflichten unabhängig davon, ob Sie ein Ein-Personen-Unternehmen oder ein großes Handelshaus betreiben. Kleine und Kleinstunternehmen, also Betriebe mit weniger als 50 Beschäftigten und einem Jahresumsatz oder einer Bilanzsumme unter 10 Millionen Euro, werden zwar von einigen zusätzlichen Pflichten entlastet, etwa bestimmten Transparenzberichten oder Vorgaben zur außergerichtlichen Streitbeilegung, die Basispflichten wie die Kontaktstelle, der Melde-Mechanismus für rechtswidrige Inhalte und das Verbot manipulativer Bedienoberflächen bleiben aber auch für sie bestehen. Verkaufen Sie ausschließlich eigene Produkte ohne jede Nutzerinhalte-Funktion, ist Ihre Betroffenheit deutlich geringer, das Verbot manipulativer Bedienoberflächen im Checkout und bei Cookie-Bannern gilt aber auch dann, da es sehr weit gefasst ist.

4. Fristen und Schwellenwerte im Überblick

Die folgende Tabelle fasst zusammen, welche Fristen und Schwellenwerte für unterschiedliche Anbietergruppen gelten.

Wie die Tabelle zeigt, hängt der konkrete Pflichtenumfang weniger vom Gründungsdatum oder von der Branche Ihres Shops ab als von den tatsächlich genutzten Funktionen. Ein Shop kann also im Laufe der Zeit in eine neue Kategorie hineinwachsen, etwa wenn nachträglich eine Bewertungsfunktion oder ein Marktplatz-Modul für Drittanbieter eingeführt wird. Es lohnt sich deshalb, die eigene Einordnung nicht nur einmalig, sondern bei größeren Funktionsänderungen im Shop erneut zu überprüfen. Der folgende Abschnitt zeigt, welche konkreten Schritte sich daraus ableiten lassen.

5. Was Sie konkret tun müssen

Der erste und wichtigste Schritt ist eine ehrliche Bestandsaufnahme: Hat Ihr Shop überhaupt eine Funktion, über die Kunden oder Drittanbieter Inhalte veröffentlichen können? Ist das der Fall, sollten Sie als Nächstes prüfen, ob Ihre Kontaktmöglichkeiten für Behörden und Nutzer klar auffindbar sind und ob es einen einfachen Weg gibt, mit dem Nutzer rechtswidrige Inhalte, etwa eine gefälschte Bewertung oder ein rechtswidriges Angebot, melden können. Ebenso wichtig ist ein Blick auf Ihre Allgemeinen Geschäftsbedingungen, Ihren Checkout-Prozess und Ihre Cookie-Einwilligung, denn hier verstecken sich häufig unbeabsichtigte Dark Patterns wie vorausgewählte Kästchen oder schwer auffindbare Abbestell-Links. Die folgende Checkliste fasst die wichtigsten Schritte zusammen.

6. Bußgelder und Risiken bei Nichteinhaltung

Die Durchsetzung des DSA erfolgt in Deutschland über die Bundesnetzagentur, die als nationale Koordinierungsstelle für digitale Dienste benannt wurde. Sie kann Verstöße untersuchen, Anordnungen zur Beseitigung von Mängeln erlassen und im Rahmen ihrer Zuständigkeit auch Bußgelder verhängen. Für sehr große Online-Plattformen und Suchmaschinen kann darüber hinaus die Europäische Kommission selbst tätig werden und Sanktionen verhängen, die sich am weltweiten Umsatz des Unternehmens orientieren. Für kleinere Anbieter liegt die Zuständigkeit in aller Regel bei der Bundesnetzagentur, die über einen eigenen Bußgeldkatalog und eigene Anordnungsbefugnisse verfügt. Welche Höhe im Einzelfall droht, hängt stark von der Art des Verstoßes, der Unternehmensgröße und davon ab, ob ein Verstoß wiederholt oder behoben wurde, konkrete Beträge lassen sich daher pauschal nicht seriös nennen. Neben dem finanziellen Risiko drohen bei Verstößen auch behördliche Anordnungen zur Nachbesserung sowie ein Reputationsschaden, wenn öffentlich bekannt wird, dass ein Shop Meldungen zu rechtswidrigen Inhalten ignoriert oder mit manipulativen Bedienoberflächen arbeitet.

Neben dem behördlichen Risiko gibt es ein zweites, oft unterschätztes Risiko: Zahlungsdienstleister, Marktplatz-Partner oder Werbenetzwerke prüfen zunehmend selbst, ob ihre Vertragspartner grundlegende Vorgaben wie den DSA einhalten. Wird bekannt, dass ein Shop offensichtlich rechtswidrige Inhalte ignoriert oder mit manipulativen Bedienoberflächen arbeitet, kann das im schlimmsten Fall auch zur Kündigung von Zahlungs- oder Werbepartnerschaften führen, unabhängig von einem behördlichen Bußgeld. Dieses wirtschaftliche Risiko trifft in der Praxis oft schneller und unmittelbarer als ein förmliches Verwaltungsverfahren.

Auch wenn eine pauschale Zahl nicht seriös genannt werden kann, gilt als Faustregel: Je eher ein Verstoß erkannt, gemeldet und behoben wird, desto geringer fällt in aller Regel die behördliche Reaktion aus. Eine proaktive Prüfung der eigenen Shop-Funktionen und eine zeitnahe Behebung erkannter Lücken sind deshalb wirksamer als das Abwarten einer möglichen Beanstandung.

7. Häufige Irrtümer über den DSA

Ein weit verbreiteter Irrtum lautet, der DSA betreffe nur die ganz großen Namen wie Meta, Google oder Amazon. Tatsächlich gilt die Verordnung für alle Anbieter von Vermittlungsdiensten, Hosting-Diensten und Online-Plattformen, unabhängig von deren Größe, sobald die entsprechenden Funktionen angeboten werden. Ein zweiter Irrtum ist die Annahme, ohne eigenen Marktplatz sei man automatisch aus dem Schneider. Auch ein einfacher Shop mit einer Bewertungsfunktion für Produkte ist für diese Funktion ein Hosting-Anbieter und muss einen Weg anbieten, über den Nutzer rechtswidrige Inhalte melden können.

Ein dritter Irrtum betrifft sogenannte Dark Patterns, also Bedienoberflächen, die Nutzer bewusst zu Entscheidungen verleiten, die sie sonst nicht treffen würden, etwa durch vorausgewählte Kästchen bei der Newsletter-Anmeldung oder schwer auffindbare Kündigungs-Buttons. Viele Shop-Betreiber halten das für eine reine Design-Frage, der DSA verbietet solche Praktiken jedoch ausdrücklich. Schließlich glauben manche kleine Unternehmen, die Einstufung als Klein- oder Kleinstunternehmen befreie sie vollständig vom DSA. Das stimmt nicht, sie werden lediglich von einigen zusätzlichen Pflichten entlastet, die grundlegenden Anforderungen bestehen fort, sobald der Shop Nutzerinhalte oder eine Marktplatzfunktion hat.

Ein fünfter, häufig übersehener Irrtum ist die Verwechslung des DSA mit der Datenschutz-Grundverordnung (DSGVO). Beide Regelwerke stammen aus der EU und betreffen digitale Dienste, sie regeln aber unterschiedliche Dinge: Die DSGVO schützt personenbezogene Daten, der DSA regelt dagegen Inhalte, Moderation, Transparenz und Marktplatzstrukturen. Ein Shop kann deshalb bei der DSGVO bereits gut aufgestellt sein und trotzdem beim Melde-Mechanismus für rechtswidrige Inhalte oder bei der Kennzeichnung von Werbung Nachholbedarf haben. Es lohnt sich, beide Themen getrennt zu betrachten, statt anzunehmen, ein bestehendes Datenschutzkonzept decke automatisch auch die DSA-Anforderungen ab.

Diese Irrtümer haben eines gemeinsam: Sie führen dazu, dass Shop-Betreiber das Thema DSA entweder komplett ignorieren oder pauschal für nicht relevant halten, obwohl eine genauere Prüfung oft nur wenige Stunden in Anspruch nimmt. Gerade weil die Basispflichten überschaubar sind, lohnt sich diese Prüfung in den allermeisten Fällen deutlich mehr, als das Risiko eines Verstoßes einfach hinzunehmen. Ein kurzer, strukturierter Blick auf die eigenen Shop-Funktionen ersetzt dabei kein rechtliches Gutachten, schafft aber in der Praxis meist schon deutlich mehr Klarheit, als viele Betreiber zunächst erwarten.

8. Was Mironsoft für Sie übernehmen kann

Als Agentur für Magento- und Hyvä-basierte Online-Shops prüfen wir für Sie, ob und in welchem Umfang Ihr Shop durch Bewertungsfunktionen, Kommentarbereiche oder eine Marktplatzfunktion unter den DSA fällt. Darauf aufbauend richten wir einen praktikablen Melde-Mechanismus für rechtswidrige Inhalte ein, mit dem Nutzer Meldungen einfach abgeben können und Sie diese nachvollziehbar bearbeiten. Zusätzlich nehmen wir Ihren Checkout- und Cookie-Consent-Prozess unter die Lupe, um mögliche Dark Patterns zu identifizieren und rechtssicher zu gestalten, und unterstützen Sie dabei, Werbung und gesponserte Inhalte im Shop-Frontend klar und eindeutig zu kennzeichnen. Sollten Sie einen Marktplatz mit Drittanbietern betreiben, helfen wir außerdem beim Aufbau einer nachvollziehbaren Händlerverifizierung, die den Anforderungen an die Rückverfolgbarkeit von Gewerbetreibenden entspricht.

Technisch lässt sich vieles davon in einem Magento- oder Hyvä-Shop mit überschaubarem Aufwand umsetzen, etwa ein zusätzliches Meldeformular im Frontend, eine klar sichtbare Kontaktseite oder eine Anpassung der Cookie-Consent-Komponente, damit keine vorausgewählten Kästchen mehr verwendet werden. Wir sprechen mit Ihnen dabei bewusst nicht in Paragrafen, sondern in konkreten Schritten für Ihren Shop, damit Sie am Ende genau wissen, was in Ihrem Fall zu tun ist und was nicht.

Eine einmalige Prüfung ist dabei oft nur der Anfang, denn Shop-Funktionen ändern sich im Laufe der Zeit, etwa durch ein neues Bewertungs-Plugin oder eine zusätzliche Marktplatz-Erweiterung. Wir empfehlen deshalb, die DSA-Einordnung Ihres Shops immer dann erneut zu prüfen, wenn sich an den Kernfunktionen etwas ändert, statt sich auf eine einmalige Bestandsaufnahme zu verlassen.

Hinweis: Dieser Beitrag bietet allgemeine Informationen und ersetzt keine Rechtsberatung im Einzelfall.

9. Zusammenfassung

Der Digital Services Act gilt seit dem 17. Februar 2024 für praktisch alle Online-Shops, die Bewertungen, Kommentare, Q&A-Bereiche oder eine Marktplatzfunktion mit Drittanbietern anbieten, unabhängig von der Unternehmensgröße. Wer ausschließlich eigene Produkte ohne solche Funktionen verkauft, ist deutlich weniger betroffen, muss aber trotzdem das Verbot manipulativer Bedienoberflächen im Checkout und bei Cookie-Bannern beachten.

Die wichtigsten Schritte sind eine ehrliche Bestandsaufnahme der eigenen Shop-Funktionen, eine klar erreichbare Kontaktstelle, ein funktionierender Melde-Mechanismus für rechtswidrige Inhalte und ein kritischer Blick auf Checkout, Cookie-Banner und Werbekennzeichnung. Die Durchsetzung in Deutschland liegt bei der Bundesnetzagentur, die Anordnungen erlassen und Bußgelder verhängen kann. Mit einer strukturierten Prüfung lässt sich das Risiko deutlich reduzieren, wir unterstützen Sie dabei gerne.

Am Ende geht es nicht darum, jede einzelne Detailregelung des DSA auswendig zu kennen, sondern darum, die eigenen Shop-Funktionen realistisch einzuordnen und die naheliegenden Basispflichten sauber umzusetzen. Für die meisten kleinen und mittleren Shops ist der Aufwand überschaubar, sobald einmal klar ist, welche Funktionen tatsächlich betroffen sind.

10. FAQ: Digital Services Act für Online-Shops