DSA-Pflichten für Websites: was Agenturen wissen

„Müssen wir wegen dem Digital Services Act jetzt auch was machen?" Diese Frage landet in Agenturen regelmäßig auf dem Tisch – oft ausgelöst durch einen Newsletter, der mit Bußgeldern in Millionenhöhe Angst schürt. Die gute Nachricht vorweg: Für die allermeisten kleinen Firmen-Websites ist die Antwort ein beruhigendes „nein, im Kern nicht". Die schlechte: Es gibt eine klare Linie, ab der sich das ändert, und viele Kundenseiten stehen näher an dieser Linie, als man denkt – nämlich immer dann, wenn Besucher selbst Inhalte hinterlassen können.

Dieser Beitrag ordnet ein, welche Kundenseiten der Digital Services Act (DSA) überhaupt betrifft, ab wann aus einer harmlosen Website ein „Hosting-Dienst" mit echten Pflichten wird, was diese Pflichten konkret sind – und wo die Panik unbegründet ist. Vorab der notwendige Hinweis: Das ist eine fachliche Einordnung, keine Rechtsberatung. Bei konkreten Pflichten im Einzelfall gehört eine anwaltliche Prüfung dazu.

DSA-Pflichten für Websites: wen es wirklich trifft

Der DSA regelt nicht „das Internet" pauschal, sondern eine bestimmte Sorte von Angeboten: sogenannte Vermittlungsdienste. Laut eRecht24 fallen darunter Anbieter, die Informationen durchleiten, zwischenspeichern oder – und das ist der entscheidende Fall – für Nutzer speichern. Betroffen sind damit Webhoster, Cloud-Dienste, DNS- und Domain-Anbieter, aber eben auch Websites, die in nennenswertem Umfang von Nutzern erstellte Inhalte speichern. Das Prinzip gilt nach dem Marktortprinzip: Wer seine Dienste in der EU anbietet, ist erfasst, unabhängig vom Firmensitz.

Eine reine Visitenkarten-Website – Startseite, Leistungen, Kontakt, Impressum – ist kein solcher Vermittlungsdienst. Sie speichert keine fremden Inhalte, sie zeigt die eigenen. Für diese große Gruppe deiner Kunden ändert der DSA schlicht nichts an ihren Pflichten. Was sie brauchen – ein korrektes Impressum und eine Datenschutzerklärung – ergibt sich aus dem Digitale-Dienste-Gesetz und der DSGVO, nicht aus den DSA-Plattformregeln. Diesen Unterschied sauber zu erklären, ist bereits ein Beratungswert, den viele Wettbewerber nicht liefern. Die Details dazu findest du im Beitrag zu Impressum und Datenschutzerklärung 2026.

Die entscheidende Linie: wenn Nutzer Inhalte hinterlassen

Interessant wird es genau dort, wo eine Website beginnt, fremde Inhalte zu speichern. eRecht24 nennt als Auslöser der Hosting-Pflichten den Moment, „sobald du von Nutzern bereitgestellte Informationen auf Servern in deren Auftrag speicherst". Das klingt technisch, meint aber alltägliche Funktionen, die in vielen Kundenprojekten stecken: eine Kommentarfunktion unter Blogbeiträgen, ein Forum oder eine Community, Produktbewertungen im Shop, ein Gästebuch, hochgeladene Bilder oder Dateien der Nutzer, ein Kleinanzeigen- oder Marktplatzbereich.

Sobald so eine Funktion aktiv ist, kann die Seite als Hosting-Dienst im Sinne des DSA gelten – und damit greifen bestimmte Grundpflichten. Für dich als Agentur heißt das: Bei jedem Projekt, das Nutzerinhalte zulässt, solltest du das Thema mitdenken, statt es zu übersehen. Besonders relevant ist der Bewertungsbereich in Onlineshops, der ohnehin schon mehreren Regeln unterliegt; wie du Kundenbewertungen rechtssicher einbindest, behandelt der Beitrag zu Kundenbewertungen und § 5b UWG. Der DSA legt hier noch eine weitere Ebene obendrauf.

Ein Beispiel aus dem Agentur-Alltag macht die Linie greifbar. Du betreust die Website eines Restaurants: Startseite, Speisekarte, Reservierungsformular. Das ist eine klassische Firmenseite ohne DSA-Hosting-Pflichten. Ergänzt der Wirt nun einen Blog mit offener Kommentarfunktion oder bindet eine Bewertungssektion ein, in der Gäste Texte hinterlassen, verschiebt sich die Einordnung – ab jetzt speichert die Seite fremde Inhalte, und die Grundpflichten für Hosting-Dienste rücken in den Blick. Nicht das Unternehmen hat sich geändert, sondern eine einzige Funktion. Genau deshalb lohnt es sich, diese Frage schon bei der Konzeption zu stellen, statt sie nachträglich zu reparieren.

Wichtig ist dabei, DSA und deutsches Recht auseinanderzuhalten. Das Digitale-Dienste-Gesetz (DDG) hat 2024 das alte Telemediengesetz abgelöst und regelt für deutsche Anbieter unter anderem die Impressumspflicht; es benennt zugleich die Bundesnetzagentur als zuständige Aufsicht für den DSA. DSA und DDG greifen also ineinander, verfolgen aber unterschiedliche Zwecke – der eine die europäischen Plattformregeln, der andere die nationalen Informationspflichten. Wer beides sauber trennt, verhindert das häufige Missverständnis, jede Website müsse nun „DSA-konform" umgebaut werden.

Was ein Hosting-Dienst konkret leisten muss

Wird eine Kundenseite zum Hosting-Dienst, sind die Pflichten überschaubar, aber ernst zu nehmen. Nach der Darstellung von eRecht24 gehören dazu vor allem: eine leicht erreichbare zentrale Kontaktstelle, über die Behörden und Nutzer den Betreiber erreichen. Zweitens ein Melde- und Abhilfeverfahren – ein niedrigschwelliger Weg, über den jeder rechtswidrige Inhalte melden kann, verbunden mit einer angemessen zügigen Bearbeitung. Drittens Transparenz in den Nutzungsbedingungen darüber, nach welchen Regeln Inhalte moderiert oder entfernt werden.

Hinzu kommt eine Begründungspflicht: Wer den Beitrag eines Nutzers löscht oder ein Konto sperrt, muss diese Entscheidung nachvollziehbar begründen. Und es gibt eine Meldepflicht bei konkreten Hinweisen auf schwere Straftaten, die Leib und Leben bedrohen. Große Plattformen tragen darüber hinaus umfangreiche Transparenzberichtspflichten – doch genau hier liegt die Entlastung für kleine Anbieter.

Die Entlastung für die Kleinen

Der DSA ist kein Gesetz, das kleine Websites mit dem gleichen Maß misst wie einen Weltkonzern. Kleinst- und Kleinunternehmen – nach der bei eRecht24 genannten Schwelle weniger als 50 Beschäftigte und unter 10 Millionen Euro Jahresumsatz – sind von den weitergehenden Pflichten wie den jährlichen Transparenzberichten ausgenommen. Die grundlegenden Sorgfaltspflichten bleiben zwar bestehen, aber der bürokratische Aufwand, der in den Schlagzeilen steht, betrifft die sehr großen Plattformen, nicht den Handwerksbetrieb mit Kommentarfunktion.

Das zeigt auch die Praxis der Aufsicht. Der Digital Services Coordinator bei der Bundesnetzagentur veröffentlichte am 30. April 2026 seinen Tätigkeitsbericht 2025. Darin ist von mehr als 2.000 Beschwerden zu möglichen DSA-Verstößen die Rede und von 26 eingeleiteten nationalen Verwaltungsverfahren. Die Beschwerden richteten sich überwiegend gegen sehr große Online-Plattformen mit Sitz in Irland und drehten sich vor allem um zwei Themen: unzureichend begründete Sperrungen von Konten oder Inhalten und die Benutzerfreundlichkeit der Meldewege für illegale Inhalte. Der kleine Shop mit ein paar Produktbewertungen taucht in dieser Statistik nicht auf – die Aufsicht hat andere Adressaten im Blick.

Warum du das Thema trotzdem nicht ignorieren solltest

Dass die Aufsicht sich auf die Großen konzentriert, ist kein Freibrief, das Thema zu übergehen. Denn erstens sind die Grundpflichten für Hosting-Dienste unabhängig von der Unternehmensgröße zu erfüllen – eine erreichbare Kontaktstelle und ein funktionierender Meldeweg sind kein großer Aufwand, aber sie müssen da sein. Zweitens kann die Bundesnetzagentur laut eRecht24 bei schweren Verstößen Bußgelder von bis zu 6 Prozent des weltweiten Jahresumsatzes verhängen – ein Rahmen, der zeigt, wie ernst der Gesetzgeber das Thema nimmt, auch wenn er in der Praxis auf kleine Anbieter kaum angewandt wird.

Für deine Agentur liegt der eigentliche Wert woanders: in der Klarheit, die du Kunden bieten kannst. Wer bei jedem Projekt sauber unterscheidet, ob eine reine Firmenseite oder ein Angebot mit Nutzerinhalten vorliegt, und im zweiten Fall die schlanke Pflichtausstattung mitliefert – Kontaktstelle, Meldeweg, klare Nutzungsbedingungen –, verkauft nicht Angst, sondern Kompetenz. Das passt zu einer Reihe von Anforderungen, die 2026 über die Lieferkette auf Agenturen zukommen, von NIS2 bis zum Cyber Resilience Act.

Deine Checkliste für den nächsten Kundentermin

Praktisch lässt sich das auf wenige Fragen herunterbrechen, die du bei jedem Projekt stellst. Speichert die Seite Inhalte, die Besucher selbst erstellen – Kommentare, Bewertungen, Forenbeiträge, Uploads? Falls nein, ist der DSA im Kern kein Thema, und du kannst den Kunden beruhigen. Falls ja, prüfst du, ob eine erreichbare Kontaktstelle existiert, ob es einen einfachen Weg gibt, problematische Inhalte zu melden, und ob die Nutzungsbedingungen erklären, wie mit gemeldeten Inhalten umgegangen wird.

Diese Prüfung dauert wenige Minuten, positioniert dich aber als jemand, der die Rechtslage nüchtern einordnet, statt sie zu dramatisieren. Genau das ist die Haltung, die Kunden langfristig bindet: nichts behaupten, was nicht stimmt, und nichts verkaufen, was nicht nötig ist. Der Digital Services Act ist für die meisten deiner Kunden kein Grund zur Sorge – aber für dich eine Gelegenheit, mit sachlicher Beratung zu punkten, wo andere mit Bußgeld-Schlagzeilen Verunsicherung stiften.