Der Digital Services Act in der Praxis

1.Einleitung: Ein Gesetz mit Zähnen

Mit dem Digital Services Act¹ hat die Europäische Union erstmals einen einheitlichen, abgestuften Pflichtenrahmen für digitale Vermittlungsdienste geschaffen. Während Basispflichten alle Anbieter treffen, gelten die schärfsten Anforderungen für die als „sehr große Online-Plattformen“ (Very Large Online Platforms, VLOPs) benannten Dienste mit über 45 Millionen Nutzern in der EU, darunter TikTok und X. Für diese Plattformen ist unmittelbar die Europäische Kommission zuständig, nicht die nationalen Koordinierungsstellen für digitale Dienste.² Drei Regelungskomplexe stehen im Zentrum der praktischen Auseinandersetzung: das Meldeverfahren für rechtswidrige Inhalte, die Transparenzpflichten samt öffentlichem Werbearchiv und, als verbindendes Element, der Schutz vor manipulativen Gestaltungen, die das Einwilligungsmanagement (Consent) der Nutzer unterlaufen.

2.Das Meldeverfahren: Notice and Action als Kern des DSA

Das Meldeverfahren des Art. 16 DSA verpflichtet Plattformen, leicht zugängliche, nutzerfreundliche Mechanismen bereitzustellen, über die jede Person mutmaßlich rechtswidrige Inhalte melden kann. Die Meldung muss elektronisch möglich und hinreichend präzise sein; die Plattform hat den Eingang zu bestätigen und über ihre Entscheidung zu informieren. Ergänzt wird dies durch die Begründungspflicht des Art. 17 (jede Moderationsentscheidung ist dem Betroffenen gegenüber zu begründen), das interne Beschwerdeverfahren des Art. 20 sowie die Möglichkeit außergerichtlicher Streitbeilegung nach Art. 21. Eine privilegierte Rolle nehmen „vertrauenswürdige Meldestellen“ (Trusted Flagger) nach Art. 22 ein, deren Hinweise vorrangig zu bearbeiten sind.

Der praktische Ernst dieser Pflichten zeigt sich daran, dass sie unmittelbar Gegenstand der Durchsetzung sind: Im Verfahren gegen X prüfte die Kommission von Anfang an auch die Beschwerde- und Meldesysteme mit;³ Meta sah sich im Oktober 2025 mit der vorläufigen Feststellung konfrontiert, Facebook und Instagram böten keine klaren und wirksamen Mechanismen zur Meldung illegaler Inhalte und zur Anfechtung von Moderationsentscheidungen.⁴ Das Meldeverfahren ist damit kein bloßes Formalia-Kapitel, sondern ein Hebel, über den die Kommission die tatsächliche Funktionsweise der Moderationssysteme prüft.

3.Transparenzpflichten und das Werbearchiv

Der zweite Pfeiler ist Transparenz. VLOPs müssen regelmäßig Transparenzberichte über ihre Inhaltsmoderation veröffentlichen, ihre Empfehlungssysteme erläutern (Art. 27) und mindestens eine Option anbieten, die nicht auf Profiling beruht (Art. 38). Hinzu kommen jährliche unabhängige Prüfungen nach Art. 37 sowie der Datenzugang für Forschende nach Art. 40.

Herzstück der Werbetransparenz ist Art. 39 DSA: Sehr große Plattformen müssen ein öffentlich zugängliches, durchsuchbares Werbearchiv führen, das unter anderem den Inhalt der Werbung, den Werbetreibenden, den Zeitraum der Schaltung und, bei personalisierter Werbung, die für die Anzeige ausschlaggebenden Kriterien enthält; die Daten sind mindestens ein Jahr nach der letzten Schaltung vorzuhalten. Ergänzend verlangt Art. 26, dass jede Anzeige als solche erkennbar ist und Angaben zum Auftraggeber sowie zu den wesentlichen Targeting-Parametern macht.

Beide Großverfahren drehen sich maßgeblich um diese Pflichten. Bei TikTok wurde der Komplex Werbetransparenz durch verbindliche Zusagen des Unternehmens beigelegt, die die Kommission am 5. Dezember 2025 annahm: TikTok verpflichtete sich unter anderem, den vollständigen Anzeigeninhalt inklusive verlinkter URLs bereitzustellen, das Archiv binnen 24 Stunden zu aktualisieren, die von Werbetreibenden gewählten Targeting-Kriterien samt aggregierter Reichweitendaten offenzulegen und zusätzliche Suchfilter einzuführen.⁵ Bei X wurde das unzureichende Werbearchiv, zusammen mit dem mangelnden Datenzugang für Forschende nach Art. 40 Abs. 12, Teil des ersten Bußgeldbescheids überhaupt: Die Kommission stellte fest, dass das Archiv zentrale Informationen wie Inhalt und Auftraggeber der Werbung vermissen lässt und durch überlange Bearbeitungszeiten faktisch unzugänglich ist.⁶

4.Consent Management und Dark Patterns: Art. 25 als Brücke zur DSGVO

Das Thema Einwilligungsmanagement berührt der DSA vor allem über das Verbot manipulativer Gestaltung in Art. 25: Plattformen dürfen ihre Oberflächen nicht so gestalten, dass die freie und informierte Entscheidungsfähigkeit der Nutzer beeinträchtigt wird. Konkret verboten sind etwa die unverhältnismäßig prominentere Darstellung bestimmter Auswahlmöglichkeiten, wiederholte Aufforderungen und Unterbrechungen, etwa durch Pop-ups, die Nutzer zu einer Entscheidung drängen, sowie Erschwerungen bei der Kündigung eines Dienstes. Der Anwendungsbereich ist bewusst subsidiär ausgestaltet: Soweit Cookie-Banner und Einwilligungen bereits unter die DSGVO oder die Richtlinie über unlautere Geschäftspraktiken fallen, greift Art. 25 nicht. In der Praxis entsteht so ein enges Zusammenspiel: Einwilligungen in personalisierte Werbung und Profiling sind primär datenschutzrechtlich zu beurteilen, während der DSA die Gestaltungsebene adressiert. Das Europäische Parlament hebt in seiner Analyse zudem hervor, dass der Rechtsrahmen für „süchtig machendes Design“ gerade aus dem Zusammenwirken von Art. 25, Art. 28 (Minderjährigenschutz) und den Risikopflichten der Art. 34 und 35 erwächst.⁷

Das prominenteste Beispiel ist das „blaue Häkchen“ von X: Da der Verifizierungsstatus über ein kostenpflichtiges Abo ohne tatsächliche Überprüfung erlangt werden kann, täuscht das Design Nutzer über die Authentizität von Konten, ein Verstoß gegen Art. 25 Abs. 1, den die Kommission in ihrer Nichteinhaltungsentscheidung mit einem Bußgeldanteil von 45 Millionen Euro belegte.⁸ Consent Management zeigt sich damit als Querschnittsmaterie: Es geht nicht nur um die Frage, ob eingewilligt wird, sondern ob die Gestaltung der Entscheidungsarchitektur selbst rechtmäßig ist.

5.Die Verfahren gegen X und TikTok

X war die erste Plattform, gegen die die Kommission am 18. Dezember 2023 ein förmliches Verfahren nach dem DSA eröffnete; geprüft wurden Risikomanagement, Inhaltsmoderation, Dark Patterns, Werbetransparenz und Datenzugang für Forschende.⁹ Nach den vorläufigen Feststellungen vom 12. Juli 2024 mündete das Verfahren am 5. Dezember 2025 in der ersten Nichteinhaltungsentscheidung mit einer Geldbuße von 120 Millionen Euro wegen Verstößen gegen Art. 25 Abs. 1, Art. 39 und Art. 40 Abs. 12 DSA.¹⁰ X musste binnen 60 Arbeitstagen Maßnahmen zur Beendigung des Häkchen-Verstoßes mitteilen und binnen 90 Arbeitstagen einen Aktionsplan zum Werbearchiv und zum Datenzugang vorlegen;¹¹ die Kommission genehmigte den Aktionsplan später, zugleich legte X im Februar 2026 Rechtsmittel vor dem Gericht der EU ein, die erste gerichtliche Auseinandersetzung um eine DSA-Buße überhaupt.¹² Am 26. Januar 2026 folgte ein weiteres förmliches Verfahren: Gegenstand sind die KI-Funktionen des Chatbots Grok, insbesondere die Frage, ob X die systemischen Risiken, etwa die massenhafte Erzeugung manipulierter sexualisierter Bilder bis hin zu möglichem Material sexualisierter Gewalt gegen Kinder, angemessen ermittelt und vor der Bereitstellung einen Ad-hoc-Risikobericht vorgelegt hat; zugleich wurde das Verfahren aus dem Jahr 2023 auf die nun Grok-gestützten Empfehlungssysteme erweitert.¹³

TikTok steht seit dem 19. Februar 2024 unter formeller Untersuchung, mit den Schwerpunkten Minderjährigenschutz, süchtig machendes Design, Werbetransparenz und Datenzugang für Forschende; im Dezember 2024 kam ein Verfahren zum Umgang mit Wahlrisiken hinzu.¹⁴ Das Verfahren hat eine bemerkenswerte Dynamik entwickelt: Im Oktober 2025 folgten vorläufige Feststellungen zum unzureichenden Forscherdatenzugang, im Dezember 2025 wurden die verbindlichen Zusagen zur Werbetransparenz angenommen. Am 6. Februar 2026 veröffentlichte die Kommission ihre vorläufigen Feststellungen zum „addictive design“: TikTok habe die Risiken endlosen Scrollens, der Autoplay-Funktion, von Push-Mitteilungen und des hochgradig personalisierten Empfehlungssystems für das körperliche und geistige Wohlbefinden, insbesondere von Minderjährigen und verletzlichen Erwachsenen, nicht angemessen bewertet, und die vorhandenen Gegenmaßnahmen wie Bildschirmzeit-Tools und Elternkontrollen seien unwirksam, weil sie sich leicht wegklicken ließen.¹⁵ Als mögliche Konsequenz skizziert die Kommission erstmals Eingriffe in das Grunddesign: die schrittweise Abschaffung des Infinite Scroll, wirksame Bildschirmzeitpausen auch in der Nacht und Anpassungen am Empfehlungssystem.¹⁶ Im Juli 2026 kam ein weiterer Baustein hinzu: Die Kommission stellte vorläufig fest, dass TikTok gegen Art. 28 Abs. 1 DSA verstößt, weil öffentliche Konten Minderjähriger auch für Nichtnutzer einsehbar sind, Inhalte 16- und 17-Jähriger über den „For You“-Feed beliebig verbreitet werden und selbst private Konten über Follower-Listen und Profilbilder auffindbar bleiben; gefordert werden standardmäßig private Konten und ein Verzicht auf die algorithmische Empfehlung von Minderjährigen-Inhalten.¹⁷

Beiden Plattformen drohen im Falle (weiterer) Nichteinhaltungsentscheidungen Bußgelder von bis zu 6 Prozent des weltweiten Jahresumsatzes, was bei TikToks Mutterkonzern ByteDance, dessen Umsatz 2025 auf über 30 Milliarden Euro geschätzt wird, einen milliardenschweren Hebel bedeutet.¹⁸

6.Fazit

Der DSA hat die Übergangsphase von der Setzung zur Durchsetzung hinter sich. Die Verfahren gegen X und TikTok zeigen drei Entwicklungslinien: Erstens wird das Meldeverfahren nicht als Formalismus, sondern als funktionale Mindestanforderung an die Moderationsinfrastruktur ernst genommen. Zweitens ist das Werbearchiv des Art. 39 zum härtesten Prüfstein der Transparenzpflichten geworden. Es bescherte X die erste DSA-Geldbuße überhaupt und zwang TikTok zu verbindlichen Zusagen. Drittens weitet sich der Regulierungsfokus von der Inhaltsmoderation auf das Produktdesign selbst aus: Mit dem Dark-Patterns-Verbot des Art. 25 und den Feststellungen zum „addictive design“ rückt die Frage in den Mittelpunkt, ob Einwilligung und Nutzungsverhalten überhaupt noch als freie Entscheidungen verstanden werden können, wenn die Entscheidungsarchitektur darauf ausgelegt ist, sie zu steuern. Damit verschwimmen die Grenzen zwischen DSA, DSGVO und Verbraucherschutzrecht, und genau diese Verzahnung dürfte die nächste Stufe der Plattformregulierung prägen.