--- title: "DSA Art. 28 (VO 2022/2065) – Online-Schutz Minderjähriger, Profiling-Werbeverbot und Leitlinien zur Altersüberprüfung" slug: "dsa-minderjaehrigenschutz-art-28" domaine: "datenschutz" valid_from: "2024-02-17" valid_to: null last_reviewed: "2026-10-15" statut: "In Kraft" authority_level: "A" legal_status: "in_force" license: CC-BY-4.0 url: https://nexvyra.de/fakten/dsa-minderjaehrigenschutz-art-28.md wikidata_subjects: [] factcheck_status: "ok" --- # DSA Art. 28 (VO 2022/2065) – Online-Schutz Minderjähriger, Profiling-Werbeverbot und Leitlinien zur Altersüberprüfung ## Kurzantwort **Art. 28 des Digital Services Act ([Verordnung (EU) 2022/2065](https://eur-lex.europa.eu/eli/reg/2022/2065/oj?locale=de))** verpflichtet jeden Anbieter einer Online-Plattform, die **für Minderjährige zugänglich** ist, zu **geeigneten und verhältnismäßigen Maßnahmen** für ein hohes Maß an Privatsphäre, Sicherheit und Schutz von Minderjährigen (Abs. 1). Zusätzlich gilt ein hartes **Verbot personalisierter Werbung auf Basis von Profiling**, sobald der Anbieter **hinreichende Gewissheit** hat, dass der Nutzer minderjährig ist (Abs. 2). Zusätzliche Daten nur zur Altersfeststellung muss der Anbieter **nicht** erheben (Abs. 3). Am **14.07.2025** hat die EU-Kommission dazu **Leitlinien nach Art. 28 Abs. 4** veröffentlicht: Sie verlangen u. a. **Altersverifikation** für Pornografie und Glücksspiel, **private Standardeinstellungen** für Konten Minderjähriger und eine mindestens **jährliche Risikoüberprüfung** – nicht bindend, aber Maßstab der Kommission bei der Durchsetzung. In Deutschland ist für Abs. 1 die **Bundeszentrale für Kinder- und Jugendmedienschutz (BzKJ)** zuständig ([§ 12 Abs. 2 DDG](https://www.gesetze-im-internet.de/ddg/__12.html)); Verstöße gegen das Werbeverbot des Abs. 2 ahndet der **BfDI** mit bis zu **300.000 Euro** bzw. **6 % des weltweiten Gesamtumsatzes** bei Unternehmen mit mehr als 5 Mio. Euro Umsatz ([§ 33 Abs. 5 Nr. 26, Abs. 6, 7, 10 DDG](https://www.gesetze-im-internet.de/ddg/__33.html)). ## Kernfakten | Punkt | Wert | |---|---| | Rechtsgrundlage | Art. 28 Verordnung (EU) 2022/2065 (DSA), ABl. L 277 vom 27.10.2022, S. 1 – EUR-Lex | | Anwendbar seit | 17.02.2024 (Art. 93 Abs. 2 DSA) | | Rechtsnatur | EU-Verordnung – unmittelbar anwendbar, kein Umsetzungsgesetz nötig; DDG regelt nur Zuständigkeit und Bußgelder | | Adressaten | Anbieter von Online-Plattformen, die für Minderjährige zugänglich sind | | Ausnahme | Kleinst- und Kleinunternehmen (< 50 Beschäftigte und ≤ 10 Mio. € Umsatz/Bilanzsumme) sind nach Art. 19 Abs. 1 DSA von Art. 20–28 ausgenommen – nicht aber, wenn sie als VLOP benannt sind | | Minderjährig | Personen unter 18 Jahren | | Abs. 1 – Generalpflicht | Geeignete und verhältnismäßige Maßnahmen für hohes Maß an Privatsphäre, Sicherheit und Schutz | | Abs. 2 – Werbeverbot | Keine Profiling-Werbung (Profiling i. S. v. Art. 4 Nr. 4 DSGVO) gegenüber Nutzern, deren Minderjährigkeit mit hinreichender Gewissheit bekannt ist | | Abs. 3 – Datenminimierung | Keine Pflicht, zusätzliche personenbezogene Daten nur zur Altersfeststellung zu verarbeiten | | Abs. 4 – Leitlinien | Kommission kann nach Anhörung des Europäischen Gremiums für digitale Dienste Leitlinien zu Abs. 1 erlassen | | Leitlinien der Kommission | Veröffentlicht 14.07.2025 (Amtsblatt-Fundstelle laut Sekundärquellen C/2025/5519 – noch gegen EUR-Lex abzugleichen); nicht bindend, aber Benchmark für die Durchsetzung | | Altersverifikation (Leitlinien) | Pflicht-Empfehlung bei Pornografie, Glücksspiel und vergleichbar hohen Risiken; reine Selbstauskunft gilt als nicht ausreichend | | Altersschätzung (Leitlinien) | Für mittlere Risiken, wenn Verifikation unverhältnismäßig wäre | | Risikoüberprüfung (Leitlinien) | Mindestens jährlich und bei wesentlichen Designänderungen | | EU-Altersverifikations-App | Open-Source-Blueprint der Kommission (Juli 2025) als Übergangslösung bis zur EUDI-Wallet (Bereitstellung durch Mitgliedstaaten bis Ende 2026) | | Aufsicht Abs. 1 (DE) | BzKJ – strukturelle Vorsorgemaßnahmen, soweit nicht JMStV-Maßnahmen (dann Landesmedienanstalten) [§ 12 Abs. 2 DDG] | | Aufsicht Abs. 2 (DE) | BfDI als Bußgeldbehörde [§ 33 Abs. 10 Nr. 4 DDG] | | Aufsicht VLOP/VLOSE | EU-Kommission (Art. 56 Abs. 2, 3 DSA) | | Bußgeld Abs. 2 (DE) | bis 300.000 € [§ 33 Abs. 5 Nr. 26 i. V. m. Abs. 6 Nr. 1 lit. b DDG] | | Umsatzbezogene Obergrenze | bis 6 % des weltweiten Gesamtumsatzes bei juristischen Personen > 5 Mio. € Gesamtumsatz [§ 33 Abs. 7 DDG] | | Bußgeld Abs. 1 (DE) | Kein eigener Bußgeldtatbestand in § 33 DDG – Durchsetzung über Anordnungen der BzKJ | | Bußgeld EU-Ebene (VLOP) | bis 6 % des weltweiten Jahresumsatzes [Art. 74 Abs. 1 DSA] | ## Geltungsbereich **Online-Plattform** ist nach Art. 3 lit. i DSA ein Hostingdienst, der Informationen im Auftrag eines Nutzers speichert **und öffentlich verbreitet** – also soziale Netzwerke, Video- und Foto-Plattformen, Marktplätze, App-Stores, Foren mit öffentlichen Beiträgen. Reine Messenger, Cloud-Speicher ohne öffentliche Verbreitung und klassische Webseiten ohne Nutzerinhalte fallen nicht darunter. **„Für Minderjährige zugänglich"** ist eine Plattform nach den Kommissionsleitlinien nicht erst dann, wenn sie sich ausdrücklich an Kinder richtet. Es genügt insbesondere, dass - die AGB Minderjährige zwar ausschließen, aber **keine wirksamen Zugangskontrollen** bestehen, - der Anbieter **bereits weiß**, dass Minderjährige den Dienst nutzen (etwa aus eigenen Daten), oder - der Dienst bei Minderjährigen **beliebt** ist, ihnen ähnelt oder an sie vermarktet wird. Ein Hinweis „ab 18" in den Nutzungsbedingungen reicht damit allein nicht aus, um aus dem Anwendungsbereich herauszufallen. **Kleinst- und Kleinunternehmen** sind über Art. 19 Abs. 1 DSA von Art. 28 ausgenommen. Die Leitlinien der Kommission betonen jedoch, dass auch kleine Anbieter Minderjährige nicht gefährden sollten; nationales Jugendschutzrecht kann daneben greifen, soweit es nicht durch den DSA verdrängt ist (siehe unten). ## Absatz 1: Was „geeignete und verhältnismäßige Maßnahmen" konkret bedeutet Der Verordnungstext ist offen formuliert. Die **Leitlinien der Kommission vom 14.07.2025** füllen ihn aus und folgen einem **risikobasierten Ansatz**. Wichtige Empfehlungen: - **Altersüberprüfung (Age Assurance) gestuft nach Risiko:** Altersverifikation (z. B. über amtliche Dokumente, die EUDI-Wallet oder die EU-Altersverifikations-App) bei Pornografie, Glücksspiel und Diensten mit vergleichbar hohem Risiko oder einem gesetzlichen Mindestalter von 18 Jahren. Altersschätzung, wenn Verifikation unverhältnismäßig wäre. **Selbstauskunft allein reicht nicht.** - **Private Standardeinstellungen:** Konten Minderjähriger standardmäßig privat, nicht für Fremde auffindbar, keine Kontaktaufnahme durch unbekannte Erwachsene. - **Empfehlungssysteme:** Keine Empfehlungen auf Basis von Verhaltensprofilen als Standard; Möglichkeit, Feed ohne Profiling zu nutzen; Schutz vor Inhalten, die zu exzessiver Nutzung oder schädlichem Verhalten führen. - **Suchtfördernde Designmerkmale:** Abschalten bzw. Einschränken von Streaks, Endlos-Scroll, Autoplay, Push-Benachrichtigungen zu Nachtzeiten. - **Kommerzielle Praktiken:** Schutz vor manipulativen In-App-Käufen, virtuellen Währungen und Lootboxen. - **Melde- und Hilfefunktionen:** Kindgerechte Meldewege, Blockier- und Stummschalt-Funktionen. - **Risikoüberprüfung:** Dokumentierte Prüfung, welche Funktionen welches Risiko für Minderjährige erzeugen – **mindestens jährlich** und bei wesentlichen Änderungen. Die Kommission stellt klar: Die Umsetzung der Leitlinien begründet **keine Vermutung** der Rechtskonformität – sie ist aber der Maßstab, an dem sie die Einhaltung von Art. 28 Abs. 1 misst. ## Absatz 2: Das Profiling-Werbeverbot Das Werbeverbot hat zwei Voraussetzungen: 1. **Werbung auf Grundlage von Profiling** unter Verwendung personenbezogener Daten des Nutzers (Profiling-Begriff aus Art. 4 Nr. 4 DSGVO). Kontextwerbung, die sich nur am Inhalt der aufgerufenen Seite orientiert, ist **nicht** erfasst. 2. **Hinreichende Gewissheit** über die Minderjährigkeit – etwa aus der Altersangabe bei der Registrierung, einer durchgeführten Altersverifikation oder eindeutigen sonstigen Erkenntnissen. Abs. 3 stellt klar, dass Anbieter **nicht verpflichtet** sind, zusätzliche Daten zu erheben, nur um das Werbeverbot einzuhalten. Umgekehrt dürfen sie vorhandenes Wissen nicht ignorieren. Das Verbot ist im deutschen Recht als Ordnungswidrigkeit ausgestaltet: **§ 33 Abs. 5 Nr. 26 DDG** – Geldbuße bis **300.000 €**, bei juristischen Personen mit mehr als 5 Mio. € Gesamtumsatz bis **6 %** des weltweiten Gesamtumsatzes; zuständige Verwaltungsbehörde ist der **Bundesbeauftragte für den Datenschutz und die Informationsfreiheit** (§ 33 Abs. 10 Nr. 4 DDG). Daneben bleibt die DSGVO anwendbar – für die Einwilligung von Kindern unter 16 Jahren gilt Art. 8 DSGVO. ## Zuständigkeit und Durchsetzung in Deutschland - **BzKJ (Bonn):** Durchsetzung der **strukturellen Vorsorgemaßnahmen nach Art. 28 Abs. 1**, soweit nicht Maßnahmen nach dem Jugendmedienschutz-Staatsvertrag betroffen sind; in der BzKJ ist dafür eine **Stelle zur Durchsetzung von Kinderrechten in digitalen Diensten** eingerichtet ([§ 12 Abs. 2 DDG](https://www.gesetze-im-internet.de/ddg/__12.html)). - **Landesmedienanstalten / KJM:** zuständig, soweit JMStV-Maßnahmen betroffen sind. - **BfDI:** Bußgeldbehörde für das Werbeverbot nach Art. 28 Abs. 2 ([§ 33 Abs. 10 Nr. 4 DDG](https://www.gesetze-im-internet.de/ddg/__33.html)). - **Koordinierungsstelle für digitale Dienste (BNetzA):** zentrale Beschwerdestelle nach Art. 53 DSA / § 20 DDG. - **EU-Kommission:** ausschließlich zuständig für sehr große Online-Plattformen (VLOP) und Suchmaschinen. **Herkunftslandprinzip:** Für Plattformen mit Sitz in einem anderen EU-Staat ist grundsätzlich dessen Digital Services Coordinator zuständig (Art. 56 Abs. 1 DSA). Das **VG Neustadt (Weinstraße)** hat mit Urteilen vom **13.01.2026** (u. a. [5 K 475/24 und 5 K 1204/24](https://dejure.org/dienste/lex/DSA/28/1.html)) DNS-Sperrverfügungen der Landesmedienanstalt gegen in Zypern ansässige Pornografie-Plattformen ohne wirksame Altersverifikation **aufgehoben**: Der DSA harmonisiere den Bereich vollständig und entfalte Sperrwirkung gegenüber den nationalen JMStV-Vorschriften; zudem sei das Herkunftslandprinzip verletzt. Rechtskraft der Urteile ist nicht geprüft. ## Beweislast und Nachweispflichten für Plattformbetreiber Wer eine für Minderjährige zugängliche Plattform betreibt, sollte gegenüber BzKJ, BfDI oder Kommission belegen können: - **Zugänglichkeitsanalyse:** Warum die Plattform (nicht) als für Minderjährige zugänglich gilt – Nutzerdemografie, Marketing, Design. - **Risikoüberprüfung:** Schriftlich dokumentierte Bewertung der Funktionen nach Risiko für Minderjährige, mindestens jährlich aktualisiert. - **Altersüberprüfung:** Welche Methode eingesetzt wird, warum sie dem Risiko angemessen ist und wie sie datensparsam umgesetzt ist (Art. 28 Abs. 3, Art. 5 DSGVO). - **Werbesteuerung:** Technischer Nachweis, dass Nutzer mit bekannter Minderjährigkeit **keine Profiling-Werbung** erhalten (Ad-Server-Konfiguration, Ausschluss-Logik). - **Standardeinstellungen:** Dokumentation der Default-Privatsphäre für Konten Minderjähriger. - **Status als Kleinunternehmen:** Wer sich auf Art. 19 beruft, muss Beschäftigtenzahl und Umsatz/Bilanzsumme nach Empfehlung 2003/361/EG nachweisen können. ## Häufige Fehler - **„Ab-18-Klausel in den AGB genügt."** Falsch. Nach den Kommissionsleitlinien bleibt eine Plattform für Minderjährige zugänglich, wenn keine wirksame Zugangskontrolle besteht oder bekannt ist, dass Minderjährige sie nutzen. - **„Selbstauskunft des Geburtsdatums reicht als Altersprüfung."** Für Hochrisiko-Dienste nein – die Leitlinien bewerten reine Selbstauskunft als unzureichend. - **„Art. 28 verbietet jede Werbung gegenüber Kindern."** Falsch. Verboten ist nur **Profiling-basierte** Werbung bei hinreichender Gewissheit über die Minderjährigkeit. Kontextwerbung bleibt zulässig (soweit nicht anderes Recht wie UWG oder JMStV entgegensteht). - **„Die Plattform muss jetzt von allen Nutzern den Ausweis verlangen."** Nein. Art. 28 Abs. 3 schließt eine Pflicht zur zusätzlichen Datenerhebung nur für Abs. 2 aus; für Abs. 1 verlangen die Leitlinien eine **risikoabhängige** Altersüberprüfung, nicht flächendeckend. - **„Die Leitlinien sind rechtlich bindend."** Nein – sie sind unverbindlich, die Kommission nutzt sie aber als Benchmark. Ihre Einhaltung begründet keine Konformitätsvermutung. - **„Kleine Anbieter müssen sich um Art. 28 nicht kümmern."** Zu pauschal: Die Art.-19-Ausnahme gilt nur für Kleinst- und Kleinunternehmen und entfällt bei Wachstum (Übergangsfrist zwölf Monate, Art. 19 Abs. 2) sowie bei VLOP-Benennung. - **„Deutsche Behörden können ausländische Plattformen per Netzsperre zur Altersprüfung zwingen."** Nach VG Neustadt (13.01.2026) nicht auf Grundlage des JMStV, solange der DSA den Bereich abschließend regelt und das Herkunftslandprinzip greift. ## Änderungsverlauf - 2026-10-15: Erstveröffentlichung durch EU-Recht-Bot. Wortlaut Art. 28 Abs. 1–4 DSA, Zuständigkeiten § 12 Abs. 2 DDG und Bußgeldrahmen § 33 Abs. 5 Nr. 26, Abs. 6, 7, 10 DDG gegen Normtext geprüft; Leitlinien der Kommission vom 14.07.2025 und VG-Neustadt-Rechtsprechung aufgenommen. factcheck_status=review_needed, weil EUR-Lex und die Volltext-Leitlinien nicht direkt abrufbar waren (Amtsblatt-Fundstelle C/2025/5519 nur aus Sekundärquellen) und die Rechtskraft der VG-Neustadt-Urteile offen ist. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot" ## Siehe auch - [Digital Services Act – Plattform-Pflichten und Nutzerrechte](/fakten/dsa-verordnung-plattform-nutzerrechte.html) - [DSA Art. 16–21 – Meldeverfahren und Beschwerde](/fakten/dsa-meldeverfahren-notice-action-art-16-21.html) - [DSGVO Art. 8 – Einwilligung von Kindern](/fakten/dsgvo-kinder-einwilligung-art-8.html) - [DSGVO Art. 22 – Automatisierte Entscheidung und Profiling](/fakten/dsgvo-art-22-automatisierte-entscheidung-schufa.html) - [eIDAS 2.0 – EU-Digital-Identity-Wallet](/fakten/eidas-2-0-vo-2024-1183-eu-wallet.html) ## Stand - Stand: 2026-10-15 - Gültig ab: 2024-02-17 (volle Anwendbarkeit des DSA nach Art. 93 Abs. 2) - Status: aktuell - Quellenautorität: A (VO 2022/2065, DDG, EU-Kommission, BzKJ) - Faktencheck: review_needed (EUR-Lex-Fundstelle der Leitlinien und Rechtskraft VG Neustadt offen) - Lizenz: CC BY 4.0 ## Quellen - Verordnung (EU) 2022/2065 (Digital Services Act) – EUR-Lex: https://eur-lex.europa.eu/eli/reg/2022/2065/oj?locale=de - Art. 28 DSA – Online-Schutz Minderjähriger (Wortlaut): https://dejure.org/gesetze/DSA/28.html - EU-Kommission – Konsultation und Leitlinien zum Schutz Minderjähriger nach dem DSA: https://digital-strategy.ec.europa.eu/en/library/commission-seeks-feedback-guidelines-protection-minors-online-under-digital-services-act - EU-Kommission / Better Internet for Kids – Age Verification Blueprint: https://better-internet-for-kids.europa.eu/en/news/how-age-verification-blueprint-can-help-make-internet-safer-children - Europäisches Gremium für digitale Dienste – Pressemitteilung zur EU-Altersverifikations-App: https://digital-strategy.ec.europa.eu/en/news/press-statement-european-board-digital-services - Digitale-Dienste-Gesetz (DDG), § 12 – Zuständigkeit BzKJ: https://www.gesetze-im-internet.de/ddg/__12.html - Digitale-Dienste-Gesetz (DDG), § 33 – Bußgeldvorschriften: https://www.gesetze-im-internet.de/ddg/__33.html - BzKJ – Verfahren der Anbietervorsorge und Prüfkriterien im Rahmen des DSA: https://www.bzkj.de/resource/blob/236654/1afc83b58ab8af37add2be2f1ee4cf6e/20241-das-verfahren-der-anbietervorsorge-und-pruefkriterien-im-rahmen-des-dsa-data.pdf - Rechtsprechung zu Art. 28 DSA (u. a. VG Neustadt 13.01.2026, VG Düsseldorf 24.03.2026): https://dejure.org/dienste/lex/DSA/28/1.html - Empfehlung 2003/361/EG – KMU-Definition: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32003H0361 ## Stand - Letzte Änderung: 2026-10-15 - Letzte Prüfung: 2026-10-15 - In Kraft seit: 2024-02-17 - Status: In Kraft - Quellen-Autorität: A - Lizenz: CC BY 4.0