Es ist vollbracht: Am 27. Oktober 2022 wurde der Digital Services Act (DSA) bzw. das Gesetz über digitale Dienste als Verordnung (EU) 2022/2065 im Amtsblatt der Europäischen Union veröffentlicht.

Computer und Recht hat dieses wichtige Gesetzgebungsvorhaben von Anfang an vertieft begleitet, z.B. mit den Aufsätzen von:

• Holznagel, Chapter II des Vorschlags der EU-Kommission für einen Digital Services Act, CR 2021, 123 – 132.
• Härting/Adamek, Digital Services Act – ein Überblick, CR 2021, 165 – 171.
• Gerpott, Neue europäische Regeln für digitale Plattformen, CR 2021, 255 – 263.
• Kühling/Sauerborn, „Dark patterns” unter der DSGVO und dem DSA – Neue Herausforderung für die digitale Rechtsordnung, Klassifikation und datenschutzrechtliche Steuerungsvorgaben, CR 2022, 226 – 235.
• Spindler, Haftung von Infrastrukturbetreibern, insbesondere DNS-Resolver nach TMG und geplantem Digital Service Act, CR 2022, 318 – 325.
• Gerpott, Das Gesetz über digitale Dienste nach den Trilog-Verhandlungen, CR 2022, 516 – 527.
• Holznagel, Zu starke Nutzerrechte in Art. 17 und 18 DSA, CR 2022, 594 – 605.
• Keber, Der Konstruktionsfehler im Krisenreaktionsmechanismus nach Art. 36 Digital Services Act, CR 2022, 660 – 665.

Nachfolgend werden einige „bürokratische” Aspekte beleuchtet: Wann treten die Regelungen in Kraft? Welche Behörden werden für was zuständig sein, zumal in Deutschland, wo die großen Dienste ja gar nicht sitzen? Sind die Länder außen vor? Und: Was passiert mit NetzDG, TMG und dem JuSchG?

Neue Nummerierung der Artikel

Zunächst einmal müssen wir uns an eine neue Artikelnummerierung gewöhnen. Im Vergleich zu den bisherigen konsolidierten Fassungen wurde in der finalen Fassung v.a. die Durchnummerierung glattgezogen, so dass die meisten Artikel numerisch nach hinten „gewandert” sind. Erste wissenschaftliche Analysen mit Synopse sind bereits zu lesen (siehe Addendum zu Gerpott, CR 2022, 516 „DSA neu durchnummeriert“ https://www.cr-online.de/78068.htm, eine vollständige Synopse ist hier abrufbar).

Inkrafttreten und Übergangsbestimmungen

Das Gesetz über digitale Dienste tritt am zwanzigsten Tag nach Veröffentlichung im Amtsblatt der Europäischen Union in Kraft (Art. 93(1) DSA), d.h. am 16. November 2022.

Tatsächlich ergibt sich aber aufgrund von Übergangsvorschriften eine gestaffelte Geltung:

• Mitteilung der Nutzerzahlen:
  Zunächst einmal müssen Online-Plattformen und Suchmaschinen bis zum 17. Februar 2023 (und danach mindestens alle sechs Monate) die durchschnittliche monatliche Zahl ihrer aktiven Nutzer in der Union mitteilen, Art. 24(2) iVm Art. 93(2) Satz 2 DSA. Diese Mitteilungspflicht gilt auch für kleinere Anbieter, Art. 19(1) DSA.
• Anwendbarkeit für „sehr große Anbieter”:
  Auf Basis u.a. der mitgeteilten Nutzerzahlen wird die EU-Kommission sodann (bei EU-Nutzerzahl > 45 Mio) die sehr großen Online-Plattformen (VLOPs) sowie sehr großen Online-Suchmaschinen (VLOSEs) feststellen (erwartbar z.B.: YouTube, Facebook, Google, fraglich z.B. für Twitter), Art. 33(4) DSA. Ab dann [zzgl. einer weiteren Umsetzungsfrist von 4 Monaten, Art. 33 Abs. 6 DSA] sind besondere Regelungen des DSA für diese sehr großen Anbieter tatsächlich anwendbar, Art. 33(1) iVm Art. 93(2) Satz 2 DSA. Praktisch wird der DSA also zunächst für Online-Riesen umzusetzen sein, aber auch für diese frühestens erst ab Frühjahr 2023 [werden die Fristen zur Mitteilung der Nutzerzahl ausgeschöpft allerdings frühestens ab Sommer 2023].
• Komplette Geltung zum 17. Februar 2024:
  Die übrigen Regelungen des DSA gelten ab dem 17. Februar 2024, Art. 93(2) Satz 1 DSA, und zwar dann auch für kleinere bzw. nicht sehr große Anbieter.

Klar ist: Der Beratungsbedarf ist akut und tritt spätestens jetzt ein, auch wenn man als „kleinerer” Plattform-Anbieter erst ab dem 17. Februar 2024 voll compliant sein muss (Ausnahme: Mitteilung Nutzerzahlen, s.o.) und auch die Aufsichtsbehörden sich erwartbar zunächst auf bestimmte besonders drängende Fragen konzentrieren werden.

Aufsicht durch Behörden des Sitzlandes

Der DSA hat einen starken öffentlich-rechtlichen Einschlag. Die meisten Regelungen sind nicht nur ggfs. zivilrechtlich durchsetzbar (vgl. Art. 54 DSA), sondern ihre Einhaltung unterliegt in erster Linie einer Aufsicht und Sanktionierung durch (unabhängige) staatliche Behörden, die jeweils für die in ihrem Mitgliedstaat niedergelassenen Anbieter zuständig sein werden (Art. 56(1) DSA).

Die Mitgliedstaaten können die Aufsicht auf mehrere Behörden aufteilen, Art. 49(1) DSA. Eine Behörde muss aber als zentrale Behörde für die Koordinierung innerhalb der EU benannt werden, der sog. Digital Services Coordinator bzw. Koordinator für digitale Dienste, Art. 49(2) DSA. Wer in Deutschland der Koordinator wird, ist noch nicht geklärt (dazu unten). Welche Anforderungen diese Behörde erfüllen sollte, hat Julian Jaursch von der Stiftung Neue Verantwortung mit Blick gerade auch für Deutschland hier und hier überlegt.

Starke Rolle der EU-Kommission für sehr große Anbieter

Fast schon revolutionär am DSA ist, dass künftig die EU-Kommission – neben den nationalen Behörden – eine Aufsichtsfunktion übernimmt. Dies war im Kommissionsentwurf zum DSA schon angelegt. Auf Druck der Mitgliedstaaten wurde dies dann aber zu einer originären Zuständigkeit für die Aufsicht über spezifische Aspekte (v.a. Risikominderung) bei sehr großen Anbietern ausgebaut (Art. 56(2) DSA).

Alles in allem ein erstaunlicher Schritt: Die Mitgliedstaaten drängen die EU-Kommission, eine starke Aufsichtsfunktion einzunehmen, auch wenn dies auf Kosten der „eigenen” Kompetenzen geht.

Verständlicher wird dies, wenn man sich die bisherige Zuständigkeitsverteilung anschaut. Dann wird deutlich, dass es hier im Ergebnis v.a. um ein Zurückdrängen der Kompetenzen Irlands geht. Denn nach dem Herkunftslandprinzip der E-Commerce-RL (hierzu ausführlich mein Aufsatz in CRi 2020, 103) ist bisher grundsätzlich allein derjenige Mitgliedstaat, welchen der Anbieter als Sitzland ausgewählt hat, für die Aufsicht zuständig (zu Ausnahmen wie mit dem NetzDG gleich). Faktisch konnten Anbieter damit im Wege eines Cherry-Pickings ihren Regulierer wählen, und taten dies auch: Fast alle großen Online-Plattformen haben ihren Sitz in Irland gewählt (was wohl auch steuerrechtliche Gründe hat). Jedenfalls wurde schon länger kritisiert, dass Irland mit der Aufsicht über die riesigen Plattformen für ganz Europa überfordert ist (z.B. hier). Ähnliche Kritik, d.h. dass Irland letztlich entscheidender Flaschenhals für eine effektive Rechtsdurchsetzung ist, ist im Datenschutzbereich oft zu hören (vgl. z.B. hier und hier). Dass Irland als eine Art „safe haven” die Durchsetzung der neuen Online-Regeln ausbremst, wollte man beim DSA offenbar vermeiden.

Und was machen die Behörden der Nicht-Sitzländer? (überspitzt: alle außer Irland)

Vordergründig wird die Aufsicht über den DSA damit für die mit Abstand relevantesten Anbieter v.a. bei der EU-Kommission liegen (VLOP-Regime) sowie eben beim DSC Irland’s (DSA im Übrigen), weil die großen Anbieter dort eben ihren Sitz haben (und dem Vernehmen nach auch dort bleiben werden).

Dies führt zunächst einmal dazu, dass die Behörden der übrigen Mitgliedstaaten, d.h. dort, wo ein Dienst nicht sitzt, sondern lediglich abrufbar ist (Marktort), für diesen Dienst grundsätzlich keine originäre Aufsichtszuständigkeit haben. Dies werden die Marktortmitgliedstaaten künftig auch nicht mit Sonderregelungen wie dem NetzDG umgehen können. Denn die Regelung des Art. 3(4) E-Commerce-RL, mittels welcher Marktortmitgliedstaaten ggfs. eine ausnahmsweise Zuständigkeit begründen können (hierzu vertieft CRi 2020, 103 und meine Entscheidungsanmerkung in CR 2022, 255), dürfte im Anwendungsbereich des DSA durch die dortigen neuen – abschließenden – Zuständigkeitsregelungen verdrängt werden.

Dies bedeutet aber keinesfalls, dass bspw. die deutschen Behörden beim DSA nur wenige kleinere in Deutschland ansässige Anbieter beaufsichtigen werden. Auch für die Marktortbehörden bleibt viel zu tun:

• Nicht-EU-Anbieter:
  So regelt der DSA bspw. ausdrücklich, dass bzgl. Nicht-EU-Diensten (z.B. Sitz in Argentinien), die keinen Vertreter innerhalb der EU benannt haben, alle nationalen Behörden tätig werden dürfen (Art. 56(7)). Ein relevanter praktischer Anwendungsfall ist der Dienst Telegram, wo innerhalb Europas aktuell das deutsche BfJ mit der Anwendung des NetzDG aufsichtsrechtliche Pionierarbeit leistet.
• „Antreiben” der Sitzland-Behörde:
  Viel wichtiger aber werden Art. 58 f. DSA: Wenn aus Sicht einer nationalen Aufsichtsbehörde ein Anbieter (mit Sitz in einem anderen Mitgliedstaat) Pflichten nach dem DSA verletzt, so kann die Behörde die zuständige Behörde am Niederlassungsort auffordern, die Angelegenheit zu prüfen und die erforderlichen Maßnahmen zu ergreifen. Falls dies nicht ausreichend erfolgt, kann die EU-Kommission befasst werden, welche sodann notfalls Vorgaben macht. Hier wird m.E. die Hauptaufgabe bspw. der deutschen Behörden liegen: Z.B. Facebook, YouTube und Co. zu überwachen und dann ggfs. gegenüber Irland – zur Not mit Hilfe der EU-Kommission – zu intervenieren und das Ambitionsniveau der dortigen Maßnahmen „anzutreiben”.
• Amtshilfe:
  Schließlich kommt in Betracht, dass die Marktortbehörden von der zuständigen Sitzlandbehörde um Amtshilfe erbeten werden, Art. 57 DSA.
• Mitarbeit im Europäischen Gremium für digitale Dienste:
  Eine weitere Aufgabenstellung für alle künftigen Koordinatoren ergibt sich schließlich aus der Mitwirkung im neuen Europäischen Gremium für digitale Dienste, wo jeder Mitgliedstaat eine Stimme hat und u.a. Leitlinien, Empfehlungen und koordinierte Untersuchungen abgestimmt werden können (Art. 61 – 63 DSA).
• Entgegennahme und Weiterleitung von Beschwerden:
  Die Koordinatoren für digitale Dienste sind ausdrücklich dafür zuständig, Beschwerden von Nutzer:innen aus dem eigenen Mitgliedstaat entgegenzunehmen und dann ggfs. weiterzuleiten (Art. 53): D.h. dass z.B. der deutsche Koordinator Beschwerden deutscher Nutzer:innen zu Facebook entgegennimmt und an den irischen Koordinator weiterleitet.
• Akkreditierung von Forschenden:
  Grundsätzlich ist der Koordinator des Sitzlandes der Anbieter für die Akkreditierung von Forschenden (zugelassene Forscher) zum Zwecke der Gewährung von Datenzugang zuständig, Art. 40 DSA. Der Antrag kann aber auch über die „Heimatbehörde” der betroffenen Forschungsorganisation eingereicht werden, die dann eine Anfangsbewertung vornimmt, Art. 40(9).
• Zertifizierung von Streitbeilegungsstellen:
  Für die Zertifizierung von außergerichtlichen Streitbeilegungsstellen (Art. 21 DSA, hierzu ausführlich Holznagel, CR 2022, 594) ist der Koordinator des Mitgliedstaats zuständig, in dem die außergerichtliche Streitbeilegungsstelle iSv niedergelassen ist. Da die künftigen Streitbeilegungsstellen Anträge von allen Nutzer:innen zu allen Plattformen (unabhängig von deren Sitz) bearbeiten dürfen (forum-shopping), könnten sich hier schnell bestimmte Mitgliedstaaten zu „hot spots” entwickeln, wenn sie die Zertifizierungsvoraussetzungen großzügiger handhaben.
• Nicht-koordinierter Bereich, insbesondere Auskunfts- und Sperranordnungen:
  Schließlich bleibt zu beachten, dass ja gar nicht sämtliche Behördenaufgaben, welche zur Inanspruchnahme von Online-Plattformen führen können, durch den DSA adressiert werden. Dies betrifft insbesondere Auskunfts- oder Sperranordnungen (welche der DSA in Art. 9 und 10 nur am Rande reguliert, deren Grundlagen aber aus bspw. dem nationalen Recht folgen können), z.B. Sperranordnung der Jugendschutzbehörde ggb. einem Pornoportal oder Auskunftsverlangen der zuständigen Behörde gegenüber Airbnb bei Verdacht auf Zweckentfremdung von Wohnraum usw. (ausführlich Holznagel, CR 2021, 123, Rz. 31 f.). Durch die versteckte Aussage in ErwGr 38 Satz 2 und 3 DSA (hierzu ebenfalls D. Holznagel, CR 2021, 123, Rz. 35 ff.) werden solche grenzüberschreitenden Anordnungen sogar erleichtert (falls die Gerichte dem ErwGr 38 DSA, der im Widerspruch zum bisherigen Verständnis des Herkunftslandprinzips steht, folgen).

Wer wird der deutsche Koordinator für digitale Dienste?

Noch ist nicht geklärt, wer eigentlich in Deutschland der Koordinator für digitale Dienste wird. Auf eine kleine Anfrage der CDU/CSU-Fraktion hin (BT-Drs. 20/3451) wollte sich die Bundesregierung hierzu noch nicht festlegen; Immerhin wurde in der Antwort ein Gesetzentwurf für Frühjahr 2023 angekündigt (BT-Drs.  20/3811).

Wahrscheinlich ist wohl, dass die Bundesregierung die BNetzA als Koordinator vorschlagen wird. Um die Unabhängigkeitsvorgaben für die Regulierer im DSA zu erfüllen (vgl. Art. 50(2) DSA), wird man hier wohl eine Teilweisungsfreiheit der BNetzA gesetzlich absichern müssen (zu der Problematik hat die Bundesregierung eine Studie in Auftrag gegeben, vgl. Antwort auf die Fragen 6, 18 und 20 in BT-Drs.  20/3811).

Selbst wenn es aber die BNetzA wird: Man darf hier nicht vorschnell eine Revolution der deutschen Digital-Aufsicht erwarten. Die BNetzA wird sicherlich nicht zu einer umfassenden Digital-Agentur ausgebaut. Vielmehr wird es v.a. um eine Koordinierungsfunktion gehen. Dem Vernehmen nach sollen die schon bisher sektoral zuständigen Behörden für ihre Bereiche zuständig bleiben (z.B. BfJ für den Bereich Hassrede, BZKJ für den Online-Jugendmedienschutz). D.h. es wird eine Vielzahl an Behörden für den DSA zuständig, koordinieren und nach außen vertreten wird aber wohl die BNetzA.

Geraten die Landesmedienanstalten ins Hintertreffen?

Auch die Landesmedienanstalten, d.h. die für die Medienaufsicht zuständigen Behörden der Länder, wollen Aufsichtsfunktionen nach dem DSA übernehmen und argumentieren (vgl. z.B. hier), dass sie über die vom DSA vorausgesetzte Staatsferne (hierzu D. Holznagel, CR 2022, 245-250) verfügen .

Die Bundesregierung hält sich bislang – wenig verwunderlich – mit Positionierungen zur möglichen Länderzuständigkeit beim DSA zurück (vgl. Antwort auf die Fragen 3 und 17 in BT-Drs.  20/3811).

M.E. bringen sich die Landesmedienanstalten gut ins Gespräch. Sicherlich wird es als Entgegenkommen gegenüber den Ländern auch eine Einbeziehung der Landesmedienanstalten in die künftige Arbeit der BNetzA geben. Tatsächlich dürften die Länder aber bei der Umsetzung des DSA wohl nur eine geringe Rolle spielen. Diese Weichenstellung ist schon längst angelegt: Die Aufsichtszuständigkeiten über strukturelle Vorsorgemaßnahmen durch Online-Plattformen, d.h. für den Schwerpunkt des DSA (z.B. Meldewege wie im NetzDG oder Jugendmedienschutzmaßnahmen wie im JuSchG), liegen inzwischen schon bei Bundesbehörden. Einzelfallmaßnahmen, die den Landesmedienanstalten vorbehalten sind und bleiben, z.B. Sperranordnungen gegenüber Pornoportalen, berührt der DSA nur am Rande (Art. 9 und 10 DSA).

NetzDG & Co. werden Rechtsgeschichte?

Innerhalb des vom DSA koordinierten Bereichs wird kein Raum mehr für Alleingänge nationaler Gesetzgeber sein. Dies war auch das Ziel des DSA: Fragmentierungen des digitalen Binnenmarktes wie mit dem NetzDG, dem französischen Loi Avia oder dem österreichischen KoPl-G sollten ein Ende haben (vgl. ErwGr 2 DSA).

TMG und v.a. das NetzDG werden daher weitgehend aufzuheben sein, was die Bundesregierung so auch schon angedeutet hat (vgl. Antwort zu Frage 2 auf eine Kleine Anfrage in BT-Drs. 20/1937; sowie die Antwort auf die  Fragen 7 und 25 in BT-Drs. 20/2308). Auch das JuSchG dürfte z.T. anzupassen sein, v.a. die zentrale Neuregelung zu strukturellen Vorsorgemaßnahmen in § 24a JuSchG. Denn dessen Regelungsgehalt wird künftig wohl von Art. 28(1), 35(1) DSA abgedeckt (man kann sogar vermuten, dass § 24a JuSchG eine Vorbildwirkung für die Risikominderungspflichten im DSA hatte).

Jedenfalls das NetzDG wird somit also schon bald als kurzes Zwischenspiel in die Rechtsgeschichte eingehen. Wirkungslos war das NetzDG aber schon deshalb nicht, weil es eine nicht ganz unerhebliche (Mit-)Ursache gewesen sein dürfte, weshalb sich die EU-Kommission überhaupt zum Vorschlag eines Digital Services Acts veranlasst sah. Immerhin gab es Anfang der 2010er Jahr schon einmal einen Anlauf zur Überarbeitung des Rechtsrahmens für Digitale Dienste (vgl. Vorschlag Nr. 12 in  Commission Communication v.  11.1.2012 – COM(2011) 942 final). Seinerzeit verliefen sich die Pläne aber – wohl auch, weil der Handlungsdruck begrenzt war: Einerseits setzte die „Hate-Speech-Crisis” erst später ein. Vor allem jedoch war der digitale Binnenmarkt noch nicht durch ungeduldige Mitgliedstaaten gefährdet.

[Anmerkung: Einschübe in eckigen Klammern „[…]“ oben im Abschnitt „Inkrafttreten und Übergangsbestimmungen“ sind nach Erstveröffentlichung ergänzt worden]