Auch kleine und mittlere Webshops müssen Digital Services Act (DSA) umsetzen

Vielen Unternehmen ist der weite Anwendungsbereich des Digital Services Act (DSA) nicht klar: Dieser gilt grundsätzlich für alle, auch kleinste, kleine und mittlere Unternehmen, die digitale Dienstleistungen anbieten. Erfasst sind neben Online-Plattformen auch "einfache" Internetseiten und Webshops, die z.B. Bewertungen, Kommentarfunktion oder Marktplatz-Funktion anbieten! Bis spätestens zum 17. Februar 2024 müssen betroffene Unternehmen umfangreiche Anpassungen an die neuen Pflichten und Regelungen des DSA vornehmen, andernfalls drohen empfindliche Bußgelder und auch Abmahnungen von Wewettbewerbern und Abmhanverbänden!

Der DSA bezweckt in erster Linie den Schutz von Verbrauchern vor illegalen Waren (z.B. auch von Counterfaits, Bootlegs und anderen Piratierie-Produkten) und Dienstleistungen. Zudem sollen illegale Inhalte wie Hasspostings, Desinformation und manipulative Werbung (dark patterns) eingedämmt werden.

Für wen gilt der DSA?

Der DSA richtet sich an alle Anbieter digitaler Online-Dienste (Digitale Dienste), die Nutzern in der Europäische Union angeboten werden. Anbieter, die eine monatliche Nutzerzahl > 45 Millionen haben und daher von der EU-Kommission als "sehr groß", sog. VLOPs (Very Large Online Platforms and Search Engines) eingestuft werden, unterliegen strengeren Pflichten; für kleinste und kleine Unternehmen gelten hingegen verschiedene Ausnahmen und Erleichterungen. 

Schwerpunkt des DSA sind Online-Vermittler und Online-Plattformen, die User-Generated Content (von Nutzern erstellte Informationen) nutzen, also z.B. Soziale Netzwerke wie Facebook, Fanpages und Online-Foren, Online-Marktplätze, Cloud-Diensteanbieter und Content-Sharing-Plattformen, App-Stores und Online-Reiseplattformen, Hotel-Plattformen und sonstige Buchungsplattformen.

Von dem sehr weit gefassten Begriff der (digitalen) Vermittlungsdienste (Art. 2 Abs. 1, Art. 3 lit. g) DSA) werden aber auch solche eCommerce-Anbieter erfasst, die User Generated Content

• nur "durchleiten" (sog. Access-Dienste, z.B. VPN- und WiFi-Anbieter, Top-Level-Domain-Registrate, Email-Dienste).

• "cachen", also übermitteln und dazu automatisch und zeitlich begrenzte zwischenspeichern (Caching-Dienste wie z.B. Web-Caching, DNS-Caching), oder 

• "hosten", also im Auftrag des Nutzers speichern (Hoster, z.B. Cloud-Speicher; Webseiten-, Email- und Server-Hosting), vgl. Art. 6 DSA. Als Hosting-Dienste sind auch solche Services anzusehen, die Information für ihre Nutzer speichern und öffentlich wiedergeben, also insb. Social-Media-Dienste und Online-Marktplätze.

Ausreichend ist dabei, dass die Informationsvermittlung als Nebenleistung bzw. Zusatzservice zu dem eigentlichen Angebot erfolgt, sie muss nicht der Hauptzweck des Angebots sein. 

D.h., dass grundsätzlich auch alle "einfachen" Internetseiten und Webshops, die eine Kommentar-Funktion oder Bewertungs-Funktion anbieten oder eine Marktplatz bereitstellen, vom DSA erfasst werden!

Geltung des DSA auch für Webshops und "einfache" Internetseiten!

Demnach ist ein Webshop, der eine Bewertungs- und Kommentarfunktion anbietet, ein Online-Dienst i.S.v. Art. 6 DSA, da hier Nutzerdaten gespeichert und sie öffentlich zugänglich gemacht werden. Eine – wohl eng zu verstehende – Ausnahme der Anwendbarkeit des DSA gilt nach Art. 3 lit. i) DSA nur, wenn es sich um eine unbedeutende Nebenfunktion handelt, die aus technischen Gründen erforderlich ist. Nach Erwägungsgrund 13 des DSA soll das z.B. für den Kommentarbereich einer Online-Zeitung gelten, deren Hauptfunktion die Veröffentlichung von Nachrichten ist. Diese Ausnahme greift aber z.B. nicht bei einer Social-Media-Plattform, bei der die Kommentarfunktion eine Hauptfunktion darstellt.

Ob und wann genau der DSA auch z.B. einfache Internetseiten oder Webshops mit mehr oder weniger umfangreichen Bewertungs- und Kommentarfunktionen oder einem angeschlossenen Marketplace erfasst, werden sukzessive die Gerichte klären müssen, und muss in jedem Einzelfall sorgsam geprüft werden!

Für die Geltung des DSA auch für Webshops spricht neben der sehr weiten, offene Formulierung des DSA auch dessen Zweck, gerade Verbraucher umfassend vor illegalen Waren und Fehlinformationen zu schützen und dabei einheitliche Wettbewerbsbedingungen für alle Unternehmen zu schaffen. Zudem kann z.B. eine Bewertungsfunktion als wesentliche Funktion eines Shops oder Marktplatzes angesehen werden, sodass die Ausnahme nach Art. 3 lit. i) DSA nicht eingreifen würde.

Vorsichtshalber – auch vor dem Hintergrund der empfindlichen Geldbußen von bis zu 6% des weltweiten Jahresumsatzes (!) bei Non-Compliance und drohenden Abmahnungen von Wettbewerbern und Abmahnvereinen – sollten die Vorgaben des DSA daher auch von "einfachen" Webshops, die ihren Nutzern eine Bewertungs- und Kommentarfunktion, eine Marktplatzfunktion oder ähnliche Zusatzdienste anbieten, beachtet und spätestens bis zum 17. Februar 2024, wenn der DSA vollständig Geltung erlangt, umgesetzt werden! 

Sorgfaltspflichten und Transparenzpflichten

Allerdings auferlegt der DSA den Anbietern von Online-Diensten umfangreiche Sorgfaltspflichten und Transparenzpflichten, bei deren Nichtbeachtung (Non-Compliance) erhebliche Bußgelder von bis zu 6% des weltweiten Jahresumsatzes (!) und Abmahnungen von Wettbewerbern und Abmahnvereinen drohen!

Dabei unterliegen alle Unternehmen, die Vermittlungsdienste anbieten, unabhängig von Ihrer Größe und Marktbedeutung, den Pflichten aus Art. 11 bis 15 DSA und müssen daher u.a.

• eine Kontaktstelle für die unmittelbare elektronische Kontaktaufnahme (v.a. per Email) durch nationalen Behörden, EU-Behörden und zur Kontaktaufnahme durch Nutzer des Dienstes einrichten, Art. 11 und 12 DSA. Ausdrücklich muss die Kontaktstellen "leicht [zu] ermitteln" und die Kommunikation "direkt und schnell", auf "elektronischem Wege" und "in einer benutzerfreundlichen Weise" möglich sein;

• eine eine juristische oder natürliche Person als gesetzlichen Vertreter für Verstöße gegen Pflichten aus dem DSA benennen, wenn sie keine Niederlassung in der EU haben. Diese Person kann für Verstöße gegen den DSA haftbar gemacht werden;

• in ihren Nutzungsbedingungen (AGB, Usage Terms, etc.) eindeutig und in einer benutzerfreundlichen, ggf. auch für Minderjährige verständlichen Sprache alle Beschränkungen der den Nutzern des Dienstes bereitgestellten Informationen in leicht zugänglicher und maschinenlesbarer Form zur Verfügung stellen. Dies umfasst "alle Leitlinien, Verfahren, Maßnahmen und Werkzeuge, die zur Moderation von Inhalten eingesetzt werden, einschließlich der algorithmischen Entscheidungsfindung und der menschlichen Überprüfung" (Inhaltemoderation) sowie die Verfahrensregeln für das interne Beschwerdemanagement, Art. 14 DSA;

• jährliche Transparenzberichte über das Löschen und Sperren von Inhalten veröffentlichen, Art. 15 und Art. 24 DSA (hiervon sind Klein- und Kleinstunternehmer mit weniger als 10 Beschäftigten und einem Jahresumsatz b is 2 Mio. EUR bzw. mit weniger als 50 Beschäftigten und einem Jahresumsatz von unter 10 Mio. EUR ausgenommen, Art. 15 Abs. 2 DSA).

Kleine und mittlere Unternehmen, die Hosting-Dienste anbieten – dazu könne insb. auch Webshops gehören – müssen zudem

• eine Melde- und Abhilfeverfahren für rechtswidrige Inhalte (notice & take down-Verfahren) einführen, Art. 16 DSA;

• Beschränkungen von rechtswidrigen oder gegen die Nutzungsbedingungen/AGB verstoßenden Inhalte ihren Nutzern anzeigen und klar und spezifisch begründen, Art. 17 DSA;

• bei Verdacht auf bestimmte Straftaten die zuständigen Strafverfolgungsbehörden einschalten, Art. 18 DSA.

Ist ein Webshop z.B. wegen seiner Bewertungs- und Kommentarfunktion oder als Online-Plattform zu qualifizieren, und kein Kleinst- oder Kleinunternehmen, gelten bestimmte Verschärfungen dieser Pflichten; insb. müssen solche "mittleren" Webshops

• ein Beschwerdemanagementsystem bereitstellen, Art. 20 DSA;

• Werbung und Empfehlungssysteme transparent machen und eindeutig kennzeichnen, Art. 26 und Art. 27 DSA;

• die Anwendung sog. Dark Patterns bei der Gestaltung ihrer Website, Apps und sonstigen Online-Schnittstellen unterlassen, Art. 25.

Zusätzliche Verpflichtungen treffen mittelgroße und große Betreiber von Online-Marktplätzen, Art. 29 bis Art. 32 DSA; auch insoweit sind nur Kleinst- und Kleinunternehmen ausgenommen.

Verbot von Dark Patterns vs. erlaubte Werbung

Die Anwendung sog. Dark Patterns bei der Gestaltung Websites, Apps und sonstigen Online-Schnittstellen ist nach Art. 25 DSA verboten. Hier ist noch eine genaue Abgrenzung zu finden zu grundsätzlich erlaubter Werbung und es stellt sich die generelle Frage, wie sich die Regelungen des neuen DSA zu bestehende Compiance-Vorgaben bspw. aus dem Bereich des Datenschutzes (DSGVO) verhalten.

Dark Patterns

Nach Erwägungsgrund 67 des DSA sind Dark Patterns insb. manipulative Praktiken bei Aufbau, Gestaltung oder Funktionsweise einer Website, App oder sonstigen Online-Schnittstelle, die darauf abzielen, die Möglichkeit der Nutzer, eine autonome und informierte Auswahl oder Entscheidung zu treffen, verzerren oder beeinträchtigen, z.B. um die Nutzer zu ungewollten Entscheidungen zu bewegen, sie in die Irre zu führen oder sie zu eine bestimmten Auswahl oder Entscheidungen zu verleiten, z.B. indem die Auswahlmöglichkeiten auf eine Website oder in einer App in nicht neutraler Weise präsentiert werden, etwa indem bestimmte Auswahlmöglichkeiten durch visuelle, akustische oder sonstige Elemente stärker hervorgehoben werden, wenn die Nutzer aufgefordert werden, eine Auswahl zu treffen. Ferner zählen dazu Praktiken, die darin bestehen, einen Nutzer wiederholt aufzufordern, eine Auswahl zu treffen, wenn diese Auswahl bereits getroffen wurde, das Verfahren zur Stornierung eines Dienstes erheblich umständlicher zu gestalten als die entsprechende Anmeldung oder bestimmte Wahlmöglichkeiten schwieriger oder zeitaufwendiger zu gestalten als andere, es unverhältnismäßig schwierig zu machen, Käufe abzubrechen oder sich von einer bestimmten Online-Plattform abzumelden, oder die Entscheidungsfindung der Nutzer durch Standardeinstellungen, die sehr schwer zu ändern sind.

DSA vs. DSGVO – was bedeutet der DSA für bestehende Compliance-Regeln wie bspw. der DSGVO?

Das generell Verbot bestimmter Werbung und von Dark Patterns des DSA kann im Widerspruch dazu stehen, dass z.B. die DSGVO personalisierte Werbung u.a. dann zulässt, wenn die Nutzer darin wirksam eingewilligt haben, vgl. Art 6, Art.7 DSGVO. Ob in seinem solchen Fall die Einwilligung nach DSGVO "sticht", wird wohl erst die weitere Entwicklung zeigen, insb. die Rechtsprechung der stattlichen Gerichte des Europäischen Gerichtshofs EuGH.

Denkbar ist, dass sich insoweit der DSA als vorrangige Spezialnorm (sog. lex specialis) durchsetzt, und eine Einwilligung nach DSGVO in seinem Anwendungsbereich unbeachtlich ist. Ggf. läge dann eine Verstoß gegen den DSA vor, ohne dass zugleich auch ein DSGVO-Verstoß gegeben wäre, was deshalb wichtig sein kann, weil z.B. die Bußgelder für die jeweiligen Verstöße erheblich voneinander abweichen können.

Was ändert sich also durch den Digital Services Act? Was ist zu tun?

Auch für kleine und mittlere digitale Unternehmen besteht erheblicher Handlungsbedarf! 

Viele Elemente des DSA sind uns aber auch nicht neu: 

• Schon zuvor gab es im deutschen Recht eine Haftungsprivilegierungen für Vermittlungsdienste und eine Pflicht zur Entfernung illegaler Inhalte nach Kenntniserlangungen (vgl. eCommerce-Richtlinie 2000; TMG, Rechtsprechung des BGH zur sog. Störerhaftung, etc.); 
• schon bisher mussten nach dem Netzwerkdurchsetzungsgesetz strafbarer Inhalte gemeldet werden; 
• u.a.m.

Allerdings verschärft und erweitert der DSA die Pflichten für Online-Dienste erheblich, und sieht sehr empfindliche "Strafen" im Falle der Non-Compliance vor. Bußgelder können je nach Art und Schwere des Verstoßes bis zu 6 % des weltweiten Jahresumsatzes betragen!

Zudem drohen Wettbewerber-Abmahnungen und Abmahnungen durch darauf spezialisierte Wettbewerbsverbände.

Unternehmen, die sich bisher nicht mit dem DSA befasst haben, können dies nun nicht länger aufschieben:

• Zunächst müssen Verantwortliche und Projektleiter benannt werden.
• Diese müssen dann bereits vorhandene Compliance-Prozesse, Nutzungsbedingungen/Terms, notice & talk down- Verfahren, etc. genau überprüfen und an die neuen Vorgaben anpassen (und programmieren!). 
• Zudem muss eine Kontaktstellen eingerichtet und öffentlich kommuniziert werden und es müssen 
• regelmäßige Transparenzberichte (auch zur eigenen Inhalte-Mmoderation) erstellt und die aktuellen Nutzerzahlen veröffentlicht werden.

Stichtag für all das ist der 17. Februar 2024, also nicht allzu lang nach dem ressourcenintensiven Weihnachtsgeschäft, der "Retouren-Saison" und etwaigen Winterurlauben zentraler Mitarbeiter … Weitgehend zeitgleich müssen KMUs zudem die Vorgaben des neuen Hinweisgeberschutzgesetzes (HinschSchG) umsetzen. Aufgrund des Umfangs all dieser Verpflichtungen, ihrer Komplexität, und der auch technischen aufwendigen Umsetzung (Programmierung) sollte dies unverzüglich in Angriff genommen werden!

Vy – Intellectual Property & Wirtschaftsrecht Rechtsanwälte & Attorneys at Law Brix Lange Verweyen PartG mbB ist eine Rechtsanwaltskanzlei mit Schwerpunkt in der Beratung und Vertretung kleiner und mittelständischer Unternehmen verschiedener Branchen in allen Bereichen des Unternehmens-Wirtschaftsrechts, z.B.

• Datenschutz-Compliance (DSGVO, ePrivacy; v.a. auf Unternehmensseite, insb. Krisenmanagement bei Datenlecks und Datenpannen, Compliance) und Unterstützung bei Data- Breach-Vorfällen (Datenpannen, Datenlecks)

• Compliance im Wettbewerbsrecht (insb. eCommerce, Marketing, Produkt-Compliance)

• Compliance im Bereich Urheberrecht, Markenrecht und Designrecht, z,B. bei im Vertrieb (Markenpiraterie, Bootlegs, etc.; Urheberrechtsabgaben §§ 54 ff. UrhG)

• Arbeitsrecht (v.a. Arbeitgeberseite und Führungskräfte, Kündigungen, Betriebsrats und Tarifvertragsverhandlungen, New Work) und arbeitsrechtliche Compliance

• Gesellschaftsrecht (Corporate Housekeeping, Strukturmaßnahmen und Beherrschungsverträge, Wettbewerbsverbote, Start-Ups & Gründungen, Gesellschafterstreit und Abfindungen, Übernahmen und Unternehmensnachfolge)

• Handelsrecht und internationales Vertrags- und Wirtschaftsrecht

• Urheberrechtliche, wettbewerbsrechtliche, markenrechtliche und wirtschaftsrechtliche Streitigkeiten, insb. Abwehr (unbrechtigter) Abmahnungen Verfügungsverfahren und Klagen; Abwehr behördliche Aufsichtsmaßnahmen wie Verwarnungen, Ordnungsgelder, Bußgelder etc.

• Öffentliches Wirtschaftsrecht (v.a. Verwaltungs-, Umwelt-, Bau- und Energierecht, Genehmigungsverfahren, Datenschutz-Aufsichtsverfahren)

• Europa- und Verfassungsrecht (u.a. Antrags- und Vergabeverfahren, Subventions- und Beihilfeverfahren, Verfassungsbeschwerden)