Der Digital Services Act (DSA) ist am 16. November 2022 in Kraft getreten. Seine weitreichenden Pflichten werden überwiegend ab dem 17. Februar 2024 Anwendung finden. Bestimmte Pflichten werden jedoch bereits früher gelten, insbesondere diejenigen für sehr große Online-Plattformen (VLOPs) und sehr große Online-Suchmaschinen (VLOSEs) mit mindestens 45 Millionen durchschnittlich monatlich aktiven Nutzern in der EU (AMARs). Aus diesem Grund erfordert der DSA zunächst die Benennung der jeweiligen Diensteanbieter als VLOPs oder VLOSEs durch die Europäische Kommission, was voraussichtlich im Frühjahr 2023 erfolgen wird. Um die faktische Grundlage für eine derartige Benennung von Diensteanbietern durch die Europäische Kommission zu schaffen, sieht der DSA Transparenzpflichten vor, (a) die Anzahl der AMARs bis zum 17. Februar 2023 öffentlich zugänglich zu machen (Art. 24 Abs. 2 DSA) und (b) ab diesem Zeitpunkt den zuständigen Behörden (auf Anfrage) diese Informationen jederzeit bereitzustellen (Art. 24 Abs. 3 DSA).
Wir nehmen diese bevorstehenden Transparenzpflichten und den vor kurzem erschienenen Leitfaden (Dokument mit Fragen und Antworten) der Europäischen Kommissionsdienste zur Veröffentlichungspflicht der Anzahl von Nutzern (vom 1. Februar 2023) zum Anlass, einen Überblick über die wichtigsten Punkte zu geben.
Wer ist betroffen?
Adressaten der Transparenzpflichten gemäß Art. 24 Abs. 2 und 3 DSA sind Anbieter von Online-Plattformen und Online-Suchmaschinen.
- Online-Plattformen (Art. 3 lit. i DSA)
Online-Plattformen sind als Hosting-Dienste definiert, die im Auftrag eines Nutzers des Dienstes Informationen speichern und öffentlich verbreiten und damit einer potenziell unbegrenzten Anzahl von Personen zugänglich machen. Hiervon ausgenommen sind Dienste, bei denen die öffentliche Verbreitung nur eine untergeordnete und reine Nebenfunktion darstellt, die mit einem anderen Dienst verknüpft ist, wie z.B. der Kommentarbereich in einer Online-Zeitung. Beispiele für Online-Plattformen sind soziale Netzwerke, Online-Marktplätze und Content-Sharing-Plattformen (z.B. öffentliche Gruppen und offene Kanäle).
- Online Suchmaschinen (Art. 3 lit. j DSA)
Online-Suchmaschinen werden als Dienste definiert, die es Nutzern ermöglichen, Suchanfragen einzugeben, um Webseiten durch Eingabe eines Stichwortes, einer Spracheingabe, eines Satzes oder einer anderen Eingabe zu suchen, und die Ergebnisse in einem beliebigen Format auswerfen.
In territorialer Hinsicht gehören zu den Adressaten Anbieter von Online-Plattformen und Online-Suchmaschinen, die (a) eine Niederlassung in der EU haben oder (b) anderweitig eine sog. wesentliche Verbindung zur EU aufweisen (Art. 3 lit. e DSA). Eine wesentliche Verbindung in diesem Sinne ist u.a. dann gegeben, wenn der jeweilige Diensteanbieter (i) eine im Verhältnis zur Bevölkerung erhebliche Anzahl von Nutzern in einem oder mehreren EU-Mitgliedstaaten hat oder (ii) seine Tätigkeiten auf einen oder mehrere EU-Mitgliedstaaten ausrichtet. Indikatoren können Sprache, Währung, Top-Level-Domain eines EU-Mitgliedstaates oder die Lieferung von Produkten/Dienstleistungen in die EU sein. Dagegen reicht die bloße Zugänglichkeit einer Webseite allein nicht aus. Es ist zu erwarten, dass die sog. wesentliche Verbindung in naher Zukunft auch auf den EWR (d.h. Island, Liechtenstein und Norwegen) ausgedehnt wird.
Wann beginnt diese Wirkung?
Anbieter von Online-Plattformen oder Online-Suchmaschinen müssen die Informationen über die AMARs bis zum 17. Februar 2023 und danach mindestens einmal alle sechs Monate veröffentlichen. Betroffene Diensteanbieter, die (a) unter dem relevanten VLOP/VLOSE-Schwellenwert von 45 Millionen AMARs liegen und (b) potenziell zu exponentiellem Wachstum neigen, könnten jedoch verpflichtet sein, diese Informationen in kürzeren Zeitabständen bereitzustellen, da sich deren Anzahl der AMARs abrupt ändern kann.
Soweit sie nicht aufgrund der Anzahl ihrer Nutzer als VLOP eingestuft sind, sind Anbieter von Online-Plattformen, die als Kleinst- oder Kleinunternehmen zu qualifizieren sind (Art. 2 Abs. 2 Europäische Kommissionsempfehlung 2003/361/EG), von der Veröffentlichungspflicht ihrer AMARs befreit. Wie nachfolgend beschrieben, müssen sie nur auf Anfrage Auskunft über die AMARs erteilen (Art. 19 Abs. 1 und 2 in Verbindung mit Art. 33 Abs. 1 und 4 DSA).
Darüber hinaus sind zuständige Behörden berechtigt, jederzeit Informationen über die Anzahl der AMARs zu verlangen, einschließlich Informationen über die Daten sowie die für ihre Berechnung verwendete Methodik (Art. 24 Abs. 3 DSA). Zuständige Behörden sind in diesem Zusammenhang insbesondere die Koordinatoren für digitale Dienste (DSCs) und die Europäische Kommission. Zunächst dürften solche Anfragen wohl nur von der Europäischen Kommission kommen, da die DSCs noch nicht existieren und die einzelnen EU-Mitgliedstaaten noch bis zum 16. Februar 2024 Zeit haben, ihren jeweiligen DSC zu benennen. Weitere Informationen zu den DSC-Entwicklungen finden Sie in unserem separaten Artikel hier.
Wo sollen die Informationen veröffentlicht werden?
Der DSA verlangt von den Anbietern von Online-Plattformen und Online-Suchmaschinen, die Informationen in einem öffentlich zugänglichen Teil ihrer Online-Schnittstelle (z.B. Webseite oder mobile Applikation) zu veröffentlichen. Dies könnte z.B. durch das Hinzufügen eines neuen Links neben der Datenschutzerklärung und den allgemeinen Geschäftsbedingungen in der Fußzeile der Webseite erfolgen. In jedem Fall sollte sichergestellt werden, dass die Europäische Kommission und andere zuständige Behörden diese Informationen leicht auffinden können, um Nachfragen oder andere potentielle Probleme zu vermeiden. Dies wird auch im Leitfaden der Europäischen Kommissiondienste entsprechend empfohlen.
In diesem Zusammenhang war zunächst nicht hinreichend klar, ob die Anbieter von Online-Plattformen und Online-Suchmaschinen auch verpflichtet sind, die Anzahl der AMARs ohne Veranlassung an die Europäische Kommission zu übermitteln. Weder die Bestimmungen des DSA noch dessen Erwägungsgründe gaben hierüber eine klare Auskunft. Im vor kurzem veröffentlichten Leitfaden der Europäischen Kommissionsdienste wurde nunmehr bestätigt, dass Anbieter von Online-Plattformen und Online-Suchmaschinen im Allgemeinen nach Maßgabe des DSA nicht verpflichtet sind, der Europäischen Kommission die AMARs ohne Veranlassung mitzuteilen. Dennoch begrüßt die Europäische Kommission alle selbst initiierten Meldungen von AMARs „im Interesse der Transparenz und um die Überwachung der Einhaltung des DSA […] zu erleichtern“.
Vor der freiwilligen Meldung der AMARs sollten betroffene Anbieter von Online-Plattformen und Online-Suchmaschinen bedenken, dass eine derartige Meldung voraussichtlich das Risiko erhöht, den Prozess der Einstufung als VLOP/VLOSE zu beschleunigen, so dass sie von den umfangreichen Pflichten für VLOPs und VLOSEs ggf. schneller betroffen sind. Vor diesem Hintergrund wird Diensteanbietern, die sich in unmittelbarer Nähe des relevanten VLOP/VLOSE-Schwellenwertes befinden, empfohlen, von einer selbst veranlassten Meldung abzusehen, da sie dadurch möglicherweise mehr Zeit für die erforderlichen Compliance- und Umsetzungsprozesse gewinnen.
Wie erfolgt die Berechnung der AMARs?
Es liegt auf der Hand, dass die Berechnung der Anzahl der AMARs in der Praxis ein höchst komplexes Unterfangen ist. Der Grund hierfür ist im Prinzip zweiseitig: Zum einen lässt der vage und weit gefasste Wortlaut des DSA mangels entsprechender Details kein klares und abschließendes Verständnis der erforderlichen Berechnungsmethodik zu. EG 77 DSA skizziert zwar einen ersten allgemeinen Rahmen für die Berechnung, lässt aber bedauerlicherweise weitere spezifischere Informationen vermissen, wie sie etwa im Digital Markets Act (DMA) vorgesehen sind. Zum anderen hängt die Berechnung auch wesentlich von der Art und dem Geschäftsmodell der jeweiligen Online-Plattform bzw. Online-Suchmaschine sowie von der spezifischen Weise ab, wie Nutzer mit ihr interagieren. Die Frage nach einer angemessenen Berechnung kann daher letztlich ausschließlich auf Grundlage der Einzelfallumstände beurteilt und beantwortet werden.
Ausgehend von der allgemeinen Zielsetzung besteht das besondere Motiv derartiger Transparenzpflichten darin, (a) die Nutzer zu identifizieren, die tatsächlich mindestens einmal in einem bestimmten Zeitraum die Online-Plattform bzw. Online-Suchmaschine nutzen (d.h. aktiv sind), und (b) (soweit möglich) nur die Anzahl der einmaligen Nutzer zu ermitteln, so dass diese nicht mehrfach gezählt werden.
Erkennbare Schwierigkeiten bei der Ermittlung der tatsächlichen Nutzung der Nutzer
Der DSA definiert aktive Nutzer für Online-Plattformen und Online-Suchmaschinen unterschiedlich. Als Nutzer des Dienstes gilt im Allgemeinen jede natürliche oder juristische Person, die einen Vermittlungsdienst in Anspruch nimmt, insbesondere um Informationen zu erlangen oder zugänglich zu machen (Art. 3 lit. b DSA). Ein aktiver Nutzer ist bei einer Online-Plattform ein Nutzer, der diese nutzt, indem er entweder die Bereitstellung von Informationen beauftragt hat oder Informationen ausgesetzt war, die von der Online-Plattform bereitgestellt wurden (Art. 3 lit. p DSA). Bei Online-Suchmaschinen ist dies ein Nutzer des Dienstes, der eine Suchanfrage an eine Online-Suchmaschine gestellt hat (Art. 3 lit. q DSA).
Vor diesem Hintergrund ist ein aktiver Nutzer einer Online-Plattform eine Person, welche (a) die Online-Plattform aktiv auffordert, seine Informationen zu hosten, z.B. durch Anklicken, Kommentieren, Verlinken, Framen, Teilen von Informationen oder andere Formen der Interaktion, wie z.B. die Durchführung von Transaktionen auf der Online-Plattform, oder (b) den Informationen auf der Online-Plattform passiv ausgesetzt ist, z.B. indem er sie ansieht oder anhört. Infolgedessen ist eine Interaktion mit den Informationen nicht erforderlich, um als aktiver Nutzer im Sinne des DSA zu gelten.
Wie dies auch vor kurzem der Leitfaden der Europäischen Kommissionsdienste bestätigt hat, ist der Begriff der tatsächlichen Nutzung (aktiv) nicht notwendigerweise mit dem des registrierten Nutzers einer Online-Plattform bzw. Online-Suchmaschine gleichzusetzen. Ein derartiges Verständnis ist aufgrund des weiten Wortlauts des DSA zu eng. Insoweit wird eine Person, die z.B. eine Profilseite eines sozialen Netzwerkes oder eine Produktseite eines Online-Marktplatzes besucht – aber sofort wieder verlässt – normalerweise nicht als Nutzer der Online-Plattformen angesehen. Nach dem DSA ist er aber voraussichtlich als aktiver Nutzer derartiger Dienste zu qualifizieren. Aus diesem Grund müssen Anbieter von Online-Plattformen und Online-Suchmaschinen berücksichtigen, dass die Anzahl der aktiven Nutzer ihrer Dienste wesentlich höher sein kann als die Anzahl ihrer registrierten Nutzer und näher an der Anzahl ihrer einmaligen Besucher liegt. Bei Diensten, auf die nur über ein Nutzerkonto zugegriffen werden kann, können sich die Anbieter von Online-Plattformen und Online-Suchmaschinen jedoch ausschließlich auf die Anzahl ihrer registrierten Nutzer verlassen.
Darüber hinaus wird im Leitfaden der Europäischen Kommissiondienste unter Verweis auf die Bestimmungen des DSA angemerkt, dass die o.g. Definition des „Nutzers“ auch Handeltreibende von Online-Plattformen umfasst, die Produkte/Dienstleistungen auf solchen Online-Plattformen anbieten. Insbesondere wird davon ausgegangen, dass Handeltreibende derartige Dienste nutzen, wenn sie den Diensteanbieter bitten, ihre Inserate oder Angebote in der Online-Schnittstelle des Diensteanbieters zu speichern. Ähnliches gilt für dritte Werbetreibende, welche die Online-Plattformen nutzen, um für Produkte/Dienstleistungen zu werben.
Insgesamt wird damit ein weites Netz für die Berechnung der Anzahl von AMARs gespannt. Gleichzeitig schafft dies in der Praxis eine gewisse Unsicherheit bei der Bestimmung, wie und auf welche Weise aktive Nutzer nach Maßgabe des DSA gezählt werden müssen. Unter Berücksichtigung der allgemeinen Motive des DSA (hier der Absicht, VLOPs und VLOSEs zu benennen), dessen weitreichenden Auswirkungen sowie des europäischen Prinzips der Verhältnismäßigkeit muss ein solche Exposition der Nutzer aller Voraussicht nach bedeutsam sein. Vor diesem Hintergrund und trotz des vor kurzem veröffentlichtem Leitfadens der Europäischen Kommissionsdienste, wird es für viele betroffene Diensteanbieter sehr schwierig sein, zu bestimmen, ob ein kurzes Betrachten von Informationen durch einen Nutzer als tatsächliche Nutzung zu werten und daher in die Anzahl der AMARs der Online-Plattform bzw. Online-Suchmaschine einzubeziehen ist. Aus praktischer Sicht bergen die derzeitigen Rahmenbedingungen (insbesondere die bestehende Unsicherheit) ein erhebliches Risiko, dass betroffene Diensteanbieter die Anzahl der AMARs versehentlich über- oder unterkalkulieren. Es ist daher denkbar, dass sich die Anbieter von Online-Plattformen und Online-Suchmaschinen bei der Ermittlung ihrer genauen Anzahl von AMARs auf ihre Tracking-Technologien verlassen, um zu vermeiden, dass sie den umfangreichen Pflichten des DSA für VLOPs oder VLOSEs ausgesetzt sind.
Erkennbare Schwierigkeiten bei der Identifizierung einmaliger Nutzer
Nach Maßgabe von EG 77 DSA dürfen betroffene Diensteanbieter zwei Arten von Besuchen von Nutzern bei der Anzahl der AMARs außer Acht lassen:
- Die erste Art umfasst Besuche von automatischen Nutzern, wie Bots und Scrapers. Dies erfordert grundsätzlich eine gewisse Nachverfolgung der Nutzer (z.B. die Dauer der Besuche oder das Herkunftsland). Nach dem DSA können Online-Plattformen und Online-Suchmaschinen solche Besuche auslassen, sofern dies „ohne weitere Verarbeitung personenbezogener Daten und Nachverfolgung“ möglich ist. Allerdings ist (wiederum) unklar, was der europäische Gesetzgeber mit dieser Regelung im DSA konkret bezwecken wollte. Auch der Leitfaden der Europäischen Kommissionsdienste liefert hierzu keine weiteren Erkenntnisse. Stattdessen wird lediglich klargestellt, dass der DSA „nicht als Rechtsgrundlage für die Verarbeitung personenbezogener Daten oder die Verfolgung von Nutzern verstanden werden“ kann. Es ist denkbar, dass die bereits bestehenden Tracking-Praktiken und -Techniken der jeweiligen Diensteanbieter, die durch ihre jeweilige Datenschutzerklärung und die damit verbundenen zusätzlichen Maßnahmen bereits abgedeckt sind, erlaubt sind, während neue Tracking-Praktiken und -Techniken erst dann eingesetzt werden dürfen, wenn sie hinreichend umgesetzt wurden und eine entsprechende Rechtsgrundlage im geltenden Recht besteht (z.B. DSGVO).
- Die zweite Art von Besuchern, die außer Acht gelassen werden können, sind nicht-einmalige Nutzer. Anbieter von Online-Plattformen und Online-Suchmaschinen können denselben Nutzer, der sie über verschiedene Online-Schnittstellen (z.B. Webseite und mobile Applikation, aber auch verschiedene URLs oder Domain-Namen) besucht, als einen aktiven Nutzer zählen. Dasselbe sollte für Nutzer mit mehreren Nutzerkonten gelten. Dies ist vertretbar der Fall, da der DSA „Nutzer des Dienstes“ als jede natürliche oder juristische Person, welche die Dienste nutzt, definiert (Art. 3 lit. b DSA). Entscheidend ist danach nicht die Anzahl der Nutzerkonten, sondern die Person, die die Nutzerkonten anlegt.
In Anbetracht dessen wird die Identifizierung einmaliger Nutzer die betroffenen Diensteanbieter zwangsläufig vor Probleme stellen. Insbesondere ist es oft einfach nicht möglich, Situationen zu berücksichtigen, in denen ein einzelner Nutzer in einem bestimmten Zeitraum mehr als ein Endgerät / eine Online-Schnittstelle oder ein Nutzerkonto für den Zugang zu einer Online-Plattform bzw. Online-Suchmaschine verwendet. Dieser Aspekt birgt das Risiko, dass die betroffenen Diensteanbieter die Anzahl der AMARs zu hoch ansetzen. Unter Berücksichtigung der drastischen Auswirkungen einer Einstufung als VLOP oder VLOSE und dem damit verbundenen Wunsch, eine unzutreffende Einstufung als VLOP oder VLOSE auf Grundlage unzureichender oder ungenauer Daten zu vermeiden, werden Anbieter von Online-Plattformen und Online-Suchmaschinen höchstwahrscheinlich und verständlicherweise eine verstärkte Nachverfolgung der Nutzer durchführen, um (soweit wie möglich) genaue Daten zu gewährleisten, anhand derer ihre Position unterhalb des relevanten VLOP/VLOSE-Schwellenwertes bestimmt wird. Insbesondere in Anbetracht der Tatsache, dass der DSA zum Ausdruck bringt, dass keine weitere Verarbeitung personenbezogener Daten stattfinden sollte, führt dies zu einem gewissen Dilemma für Anbieter von Online-Plattformen und Online-Suchmaschinen, das nur die Europäische Kommission durch den Erlass eines delegierten Rechtsaktes lösen kann, der die spezifische Methodik für die Berechnung der Anzahl der AMARs festlegt.
Ausblick – Leitlinien als mögliches Licht am Ende des Tunnels?
Der vor kurzem veröffentlichte Leitfaden der Europäischen Kommissiondienste ist sicherlich ein erster Schritt in die richtige Richtung. Er schafft jedoch nicht die notwendige und gewünschte Klarheit, da er sich überwiegend auf das Rezitieren der Bestimmungen und Erwägungsgründe des DSA beschränkt, ohne weitere Erkenntnisse zu liefern. Grundsätzlich ist die Europäische Kommission berechtigt, im Wege eines delegierten Rechtsaktes Leitlinien zur Methodik der Berechnung der Anzahl der AMARs zu erlassen (Art. 24 Abs. 2 in Verbindung mit Art. 33 Abs. 3 DSA). Dies ist aus den oben dargelegten Gründen essentiell und notwendig, um die erforderliche Klarheit zu schaffen und Unsicherheiten zu beseitigen. Bislang gibt es jedoch keine Anzeichen dafür, dass die Europäische Kommission dies vor Ende 2023 tun wird, was offensichtlich alles andere als ideal ist.
Vor diesem Hintergrund und trotz des Leitfadens der Europäischen Kommissionsdienste sollten Anbieter von Online-Plattformen und Online-Suchmaschinen in Erwägung ziehen, sich an die Europäische Kommission zu wenden, um einen Dialog zu beginnen und nach Möglichkeit individuellen Input zur Methodik zu erhalten. Abgesehen davon empfehlen wir, die zur Berechnung der AMARs verwendeten Datensätze und Methoden sorgfältig zu überprüfen und zu dokumentieren, damit die jeweiligen Diensteanbieter in der Lage sind, ihren Ansatz im Falle einer Anfrage einer zuständigen Behörde zu erklären und (falls erforderlich) zu rechtfertigen. Insbesondere sollten sie die Gründe für die Kriterien, die sie für die Einbeziehung oder den Ausschluss von Nutzern aus der Berechnung der AMARs angewendet haben, dokumentieren.
