DSA Art. 28 (VO 2022/2065) – Online-Schutz Minderjähriger, Profiling-Werbeverbot und Leitlinien zur Altersüberprüfung In Kraft

Kernfakten

Geltungsbereich

Online-Plattform ist nach Art. 3 lit. i DSA ein Hostingdienst, der Informationen im Auftrag eines Nutzers speichert und öffentlich verbreitet – also soziale Netzwerke, Video- und Foto-Plattformen, Marktplätze, App-Stores, Foren mit öffentlichen Beiträgen. Reine Messenger, Cloud-Speicher ohne öffentliche Verbreitung und klassische Webseiten ohne Nutzerinhalte fallen nicht darunter.

„Für Minderjährige zugänglich" ist eine Plattform nach den Kommissionsleitlinien nicht erst dann, wenn sie sich ausdrücklich an Kinder richtet. Es genügt insbesondere, dass

• die AGB Minderjährige zwar ausschließen, aber keine wirksamen Zugangskontrollen bestehen,
• der Anbieter bereits weiß, dass Minderjährige den Dienst nutzen (etwa aus eigenen Daten), oder
• der Dienst bei Minderjährigen beliebt ist, ihnen ähnelt oder an sie vermarktet wird.

Ein Hinweis „ab 18" in den Nutzungsbedingungen reicht damit allein nicht aus, um aus dem Anwendungsbereich herauszufallen.

Kleinst- und Kleinunternehmen sind über Art. 19 Abs. 1 DSA von Art. 28 ausgenommen. Die Leitlinien der Kommission betonen jedoch, dass auch kleine Anbieter Minderjährige nicht gefährden sollten; nationales Jugendschutzrecht kann daneben greifen, soweit es nicht durch den DSA verdrängt ist (siehe unten).

Absatz 1: Was „geeignete und verhältnismäßige Maßnahmen" konkret bedeutet

Der Verordnungstext ist offen formuliert. Die Leitlinien der Kommission vom 14.07.2025 füllen ihn aus und folgen einem risikobasierten Ansatz. Wichtige Empfehlungen:

• Altersüberprüfung (Age Assurance) gestuft nach Risiko: Altersverifikation (z. B. über amtliche Dokumente, die EUDI-Wallet oder die EU-Altersverifikations-App) bei Pornografie, Glücksspiel und Diensten mit vergleichbar hohem Risiko oder einem gesetzlichen Mindestalter von 18 Jahren. Altersschätzung, wenn Verifikation unverhältnismäßig wäre. Selbstauskunft allein reicht nicht.
• Private Standardeinstellungen: Konten Minderjähriger standardmäßig privat, nicht für Fremde auffindbar, keine Kontaktaufnahme durch unbekannte Erwachsene.
• Empfehlungssysteme: Keine Empfehlungen auf Basis von Verhaltensprofilen als Standard; Möglichkeit, Feed ohne Profiling zu nutzen; Schutz vor Inhalten, die zu exzessiver Nutzung oder schädlichem Verhalten führen.
• Suchtfördernde Designmerkmale: Abschalten bzw. Einschränken von Streaks, Endlos-Scroll, Autoplay, Push-Benachrichtigungen zu Nachtzeiten.
• Kommerzielle Praktiken: Schutz vor manipulativen In-App-Käufen, virtuellen Währungen und Lootboxen.
• Melde- und Hilfefunktionen: Kindgerechte Meldewege, Blockier- und Stummschalt-Funktionen.
• Risikoüberprüfung: Dokumentierte Prüfung, welche Funktionen welches Risiko für Minderjährige erzeugen – mindestens jährlich und bei wesentlichen Änderungen.

Die Kommission stellt klar: Die Umsetzung der Leitlinien begründet keine Vermutung der Rechtskonformität – sie ist aber der Maßstab, an dem sie die Einhaltung von Art. 28 Abs. 1 misst.

Absatz 2: Das Profiling-Werbeverbot

Das Werbeverbot hat zwei Voraussetzungen:

1. Werbung auf Grundlage von Profiling unter Verwendung personenbezogener Daten des Nutzers (Profiling-Begriff aus Art. 4 Nr. 4 DSGVO). Kontextwerbung, die sich nur am Inhalt der aufgerufenen Seite orientiert, ist nicht erfasst.
2. Hinreichende Gewissheit über die Minderjährigkeit – etwa aus der Altersangabe bei der Registrierung, einer durchgeführten Altersverifikation oder eindeutigen sonstigen Erkenntnissen.

Abs. 3 stellt klar, dass Anbieter nicht verpflichtet sind, zusätzliche Daten zu erheben, nur um das Werbeverbot einzuhalten. Umgekehrt dürfen sie vorhandenes Wissen nicht ignorieren.

Das Verbot ist im deutschen Recht als Ordnungswidrigkeit ausgestaltet: § 33 Abs. 5 Nr. 26 DDG – Geldbuße bis 300.000 €, bei juristischen Personen mit mehr als 5 Mio. € Gesamtumsatz bis 6 % des weltweiten Gesamtumsatzes; zuständige Verwaltungsbehörde ist der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (§ 33 Abs. 10 Nr. 4 DDG). Daneben bleibt die DSGVO anwendbar – für die Einwilligung von Kindern unter 16 Jahren gilt Art. 8 DSGVO.

Zuständigkeit und Durchsetzung in Deutschland

• BzKJ (Bonn): Durchsetzung der strukturellen Vorsorgemaßnahmen nach Art. 28 Abs. 1, soweit nicht Maßnahmen nach dem Jugendmedienschutz-Staatsvertrag betroffen sind; in der BzKJ ist dafür eine Stelle zur Durchsetzung von Kinderrechten in digitalen Diensten eingerichtet (§ 12 Abs. 2 DDG).
• Landesmedienanstalten / KJM: zuständig, soweit JMStV-Maßnahmen betroffen sind.
• BfDI: Bußgeldbehörde für das Werbeverbot nach Art. 28 Abs. 2 (§ 33 Abs. 10 Nr. 4 DDG).
• Koordinierungsstelle für digitale Dienste (BNetzA): zentrale Beschwerdestelle nach Art. 53 DSA / § 20 DDG.
• EU-Kommission: ausschließlich zuständig für sehr große Online-Plattformen (VLOP) und Suchmaschinen.

Herkunftslandprinzip: Für Plattformen mit Sitz in einem anderen EU-Staat ist grundsätzlich dessen Digital Services Coordinator zuständig (Art. 56 Abs. 1 DSA). Das VG Neustadt (Weinstraße) hat mit Urteilen vom 13.01.2026 (u. a. 5 K 475/24 und 5 K 1204/24) DNS-Sperrverfügungen der Landesmedienanstalt gegen in Zypern ansässige Pornografie-Plattformen ohne wirksame Altersverifikation aufgehoben: Der DSA harmonisiere den Bereich vollständig und entfalte Sperrwirkung gegenüber den nationalen JMStV-Vorschriften; zudem sei das Herkunftslandprinzip verletzt. Rechtskraft der Urteile ist nicht geprüft.

Beweislast und Nachweispflichten für Plattformbetreiber

Wer eine für Minderjährige zugängliche Plattform betreibt, sollte gegenüber BzKJ, BfDI oder Kommission belegen können:

• Zugänglichkeitsanalyse: Warum die Plattform (nicht) als für Minderjährige zugänglich gilt – Nutzerdemografie, Marketing, Design.
• Risikoüberprüfung: Schriftlich dokumentierte Bewertung der Funktionen nach Risiko für Minderjährige, mindestens jährlich aktualisiert.
• Altersüberprüfung: Welche Methode eingesetzt wird, warum sie dem Risiko angemessen ist und wie sie datensparsam umgesetzt ist (Art. 28 Abs. 3, Art. 5 DSGVO).
• Werbesteuerung: Technischer Nachweis, dass Nutzer mit bekannter Minderjährigkeit keine Profiling-Werbung erhalten (Ad-Server-Konfiguration, Ausschluss-Logik).
• Standardeinstellungen: Dokumentation der Default-Privatsphäre für Konten Minderjähriger.
• Status als Kleinunternehmen: Wer sich auf Art. 19 beruft, muss Beschäftigtenzahl und Umsatz/Bilanzsumme nach Empfehlung 2003/361/EG nachweisen können.

Häufige Fehler

• „Ab-18-Klausel in den AGB genügt." Falsch. Nach den Kommissionsleitlinien bleibt eine Plattform für Minderjährige zugänglich, wenn keine wirksame Zugangskontrolle besteht oder bekannt ist, dass Minderjährige sie nutzen.
• „Selbstauskunft des Geburtsdatums reicht als Altersprüfung." Für Hochrisiko-Dienste nein – die Leitlinien bewerten reine Selbstauskunft als unzureichend.
• „Art. 28 verbietet jede Werbung gegenüber Kindern." Falsch. Verboten ist nur Profiling-basierte Werbung bei hinreichender Gewissheit über die Minderjährigkeit. Kontextwerbung bleibt zulässig (soweit nicht anderes Recht wie UWG oder JMStV entgegensteht).
• „Die Plattform muss jetzt von allen Nutzern den Ausweis verlangen." Nein. Art. 28 Abs. 3 schließt eine Pflicht zur zusätzlichen Datenerhebung nur für Abs. 2 aus; für Abs. 1 verlangen die Leitlinien eine risikoabhängige Altersüberprüfung, nicht flächendeckend.
• „Die Leitlinien sind rechtlich bindend." Nein – sie sind unverbindlich, die Kommission nutzt sie aber als Benchmark. Ihre Einhaltung begründet keine Konformitätsvermutung.
• „Kleine Anbieter müssen sich um Art. 28 nicht kümmern." Zu pauschal: Die Art.-19-Ausnahme gilt nur für Kleinst- und Kleinunternehmen und entfällt bei Wachstum (Übergangsfrist zwölf Monate, Art. 19 Abs. 2) sowie bei VLOP-Benennung.
• „Deutsche Behörden können ausländische Plattformen per Netzsperre zur Altersprüfung zwingen." Nach VG Neustadt (13.01.2026) nicht auf Grundlage des JMStV, solange der DSA den Bereich abschließend regelt und das Herkunftslandprinzip greift.

Änderungsverlauf

• 2026-10-15: Erstveröffentlichung durch EU-Recht-Bot. Wortlaut Art. 28 Abs. 1–4 DSA, Zuständigkeiten § 12 Abs. 2 DDG und Bußgeldrahmen § 33 Abs. 5 Nr. 26, Abs. 6, 7, 10 DDG gegen Normtext geprüft; Leitlinien der Kommission vom 14.07.2025 und VG-Neustadt-Rechtsprechung aufgenommen. factcheck_status=review_needed, weil EUR-Lex und die Volltext-Leitlinien nicht direkt abrufbar waren (Amtsblatt-Fundstelle C/2025/5519 nur aus Sekundärquellen) und die Rechtskraft der VG-Neustadt-Urteile offen ist. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

Siehe auch

• [Digital Services Act – Plattform-Pflichten und Nutzerrechte](/fakten/dsa-verordnung-plattform-nutzerrechte.html)
• [DSA Art. 16–21 – Meldeverfahren und Beschwerde](/fakten/dsa-meldeverfahren-notice-action-art-16-21.html)
• [DSGVO Art. 8 – Einwilligung von Kindern](/fakten/dsgvo-kinder-einwilligung-art-8.html)
• [DSGVO Art. 22 – Automatisierte Entscheidung und Profiling](/fakten/dsgvo-art-22-automatisierte-entscheidung-schufa.html)
• [eIDAS 2.0 – EU-Digital-Identity-Wallet](/fakten/eidas-2-0-vo-2024-1183-eu-wallet.html)

Stand

• Stand: 2026-10-15
• Gültig ab: 2024-02-17 (volle Anwendbarkeit des DSA nach Art. 93 Abs. 2)
• Status: aktuell
• Quellenautorität: A (VO 2022/2065, DDG, EU-Kommission, BzKJ)
• Faktencheck: review_needed (EUR-Lex-Fundstelle der Leitlinien und Rechtskraft VG Neustadt offen)
• Lizenz: CC BY 4.0

Quellen

• Verordnung (EU) 2022/2065 (Digital Services Act) – EUR-Lex: https://eur-lex.europa.eu/eli/reg/2022/2065/oj?locale=de A
• Art. 28 DSA – Online-Schutz Minderjähriger (Wortlaut): https://dejure.org/gesetze/DSA/28.html A
• EU-Kommission – Konsultation und Leitlinien zum Schutz Minderjähriger nach dem DSA: https://digital-strategy.ec.europa.eu/en/library/commission-seeks-feedback-guidelines-protection-minors-online-under-digital-services-act A
• EU-Kommission / Better Internet for Kids – Age Verification Blueprint: https://better-internet-for-kids.europa.eu/en/news/how-age-verification-blueprint-can-help-make-internet-safer-children A
• Europäisches Gremium für digitale Dienste – Pressemitteilung zur EU-Altersverifikations-App: https://digital-strategy.ec.europa.eu/en/news/press-statement-european-board-digital-services A
• Digitale-Dienste-Gesetz (DDG), § 12 – Zuständigkeit BzKJ: https://www.gesetze-im-internet.de/ddg/__12.html A
• Digitale-Dienste-Gesetz (DDG), § 33 – Bußgeldvorschriften: https://www.gesetze-im-internet.de/ddg/__33.html A
• BzKJ – Verfahren der Anbietervorsorge und Prüfkriterien im Rahmen des DSA: https://www.bzkj.de/resource/blob/236654/1afc83b58ab8af37add2be2f1ee4cf6e/20241-das-verfahren-der-anbietervorsorge-und-pruefkriterien-im-rahmen-des-dsa-data.pdf A
• Rechtsprechung zu Art. 28 DSA (u. a. VG Neustadt 13.01.2026, VG Düsseldorf 24.03.2026): https://dejure.org/dienste/lex/DSA/28/1.html A
• Empfehlung 2003/361/EG – KMU-Definition: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32003H0361 A