DSA Werbung und DMA: Pflichten für Meta und TikTok

DSA Werbung: welche Pflichten Advertiser wirklich treffen

DSA Werbung ist seit dem 17. Februar 2024 in der gesamten EU an verbindliche Transparenz- und Targeting-Regeln gebunden. Der Digital Services Act richtet viele Pflichten direkt an Plattformen. Werbetreibende sind trotzdem betroffen, weil sie Auftraggeber, Zahler, Werbeinhalte und Targeting-Parameter korrekt bereitstellen müssen und ihre Kampagnen in öffentlichen Werbe-Repositories sichtbar werden.

Der Digital Markets Act greift an einer anderen Stelle. Er begrenzt die Macht großer Gatekeeper und betrifft bei Meta vor allem die Kombination personenbezogener Daten sowie die Wahl zwischen voll personalisierter und eingeschränkt personalisierter Werbung. Für Media-Teams entstehen daraus weniger Signale, mehr Dokumentationsbedarf und eine stärkere Abhängigkeit von First-Party-Daten.

Stand August 2026 dürfen DSA und DMA nicht als Randthema der Rechtsabteilung behandelt werden. Kampagnenstruktur, Creative-Freigabe, Zielgruppenwahl, Datenfluss und Reporting müssen die Vorgaben operativ abbilden.

Was Art. 26 DSA für Werbung verlangt

Art. 26 Abs. 1 DSA verlangt, dass Nutzer erkennen können, dass es sich um Werbung handelt. Die Anzeige muss außerdem die Person nennen, in deren Namen sie ausgespielt wird. Ist der Zahler eine andere Person, muss auch diese Information erkennbar sein. Zusätzlich sind die Hauptparameter des Targetings und die Möglichkeit, diese Parameter zu ändern, offenzulegen.

Das ist mehr als ein sichtbares „Sponsored“-Label. Plattform, Advertiser-Identität, Zahlungsverhältnis und Zielgruppenlogik müssen zusammenpassen. Bei Konzernstrukturen, Agenturkonten oder Co-Marketing ist deshalb vor Kampagnenstart zu klären, wer Auftraggeber und wer Zahler ist.

Art. 26 Abs. 3 DSA verbietet profilingbasierte Werbung auf Basis besonderer Kategorien personenbezogener Daten nach Art. 9 Abs. 1 DSGVO. Dazu gehören sensible Merkmale. Der korrekte Absatz ist Abs. 3, nicht Abs. 4.

Für Advertiser bedeutet das, auch indirekte Zielgruppenlogiken zu prüfen. Eine Audience kann sensible Informationen implizieren, obwohl das Merkmal nicht offen im Namen steht. Custom Audiences, Datenpartner und Lookalike-Seeds brauchen deshalb dokumentierte Herkunft und Zweckbindung.

Der Paid-Social-Pillar ordnet diese Rechtsgrenzen gemeinsam mit Plattformlogik, Messung und Creative ein.

Werbung an Minderjährige nach Art. 28 DSA

Art. 28 Abs. 2 DSA verbietet profilingbasierte Werbung, wenn eine Plattform mit hinreichender Sicherheit weiß, dass ein Nutzer minderjährig ist. Die Norm verpflichtet Plattformen nicht dazu, zusätzliche personenbezogene Daten allein für die Altersfeststellung zu sammeln.

Für Unternehmen ist der praktische Schluss klar: Kampagnen mit jugendnahen Produkten, Creatives oder Interessen benötigen eine besonders strenge Prüfung. Altersgrenzen im Ads Manager sind nur ein Teil der Kontrolle. Botschaft, Landingpage, Angebot und organisches Umfeld müssen dieselbe Zielsetzung widerspiegeln.

Ein Advertiser sollte dokumentieren, warum eine Zielgruppe gewählt wurde und welche Ausschlüsse gelten. Diese Dokumentation hilft bei interner Freigabe und bei späteren Rückfragen durch Plattform oder Behörde.

Werbe-Repositories nach Art. 39 DSA

Sehr große Online-Plattformen und Suchmaschinen müssen nach Art. 39 DSA ein öffentliches, durchsuchbares Werbe-Repository führen. Die Informationen bleiben bis zu ein Jahr nach der letzten Ausspielung verfügbar. Das Repository enthält Angaben zu Werbeinhalt, Auftraggeber, Zahler, Ausspielzeitraum und Targeting.

Damit verändert sich die Wettbewerbsbeobachtung. Anzeigen sind nicht nur für die Zielgruppe sichtbar. Journalisten, Forscher, Wettbewerber und Behörden können Kampagnen systematisch prüfen. Für Unternehmen steigt die Bedeutung konsistenter Claims und Zielseiten.

Die EU-Kommission stellte im Juli 2024 vorläufig fest, dass X kein durchsuchbares und verlässliches Werbe-Repository bereitstellte. Das Beispiel zeigt, dass ein nominell vorhandenes Archiv nicht genügt, wenn Zugangshürden oder Design die Nutzung verhindern.

Für Media-Teams sollte das Repository zur QA gehören. Prüfe nach Kampagnenstart, ob Creative, URL, Auftraggeber und Targeting-Informationen korrekt erscheinen. Ein Fehler im Repository kann auf falsche Account- oder Billing-Daten hinweisen.

TikTok und die DSA-Transparenzzusagen

Die EU-Kommission akzeptierte am 5. Dezember 2025 verbindliche Zusagen von TikTok. Die Plattform muss den vollständigen Werbeinhalt inklusive der im Ad-Link enthaltenen URLs bereitstellen. Informationen sollen binnen maximal 24 Stunden im Repository verfügbar sein. TikTok muss außerdem die vom Werbetreibenden gewählten Targeting-Kriterien offenlegen, dazu aggregierte Nutzerdaten zu Geschlecht, Altersgruppe und Mitgliedstaat sowie zusätzliche Such- und Filteroptionen im Repository. Die Zusagen sind nach Art. 71 DSA verbindlich.

Die Umsetzungsfristen reichen je nach Maßnahme von zwei bis maximal zwölf Monaten. Für Advertiser folgt daraus eine höhere Prüfbarkeit. Falsche Weiterleitungen, unklare Claims oder ungeeignete Zielgruppenkriterien werden schneller sichtbar.

Das operative TikTok-Setup mit Smart+, GMV Max und Spark Ads behandelt der Artikel TikTok Ads 2026. Die DSA-Ebene ergänzt diese Kampagnenlogik um Transparenz, Dokumentation und Auditierbarkeit.

Art. 40 DSA und der Zugang für Forscher

Am 24. Oktober 2025 stellte die Kommission vorläufig fest, dass Meta und TikTok ihre Pflicht verletzen könnten, Forschern angemessenen Zugang zu öffentlichen Daten zu gewähren. Bei Meta betrifft die Feststellung Facebook und Instagram: Die Kommission bemängelt fehlende einfache Melde- und Abhilfemechanismen, Dark Patterns im Meldeweg und eine unzureichende Möglichkeit, gegen Moderationsentscheidungen Beschwerde einzulegen.

Bei bestätigten Verstößen sind DSA-Bußgelder bis zu sechs Prozent des weltweiten Jahresumsatzes möglich. Es handelt sich um vorläufige Feststellungen, nicht um eine endgültige Entscheidung.

Für Advertiser ist Art. 40 indirekt relevant. Mehr Forschungszugang kann neue Erkenntnisse über Werbewirkung, Targeting, Desinformation und Plattformrisiken ermöglichen. Gleichzeitig erhöht er die Wahrscheinlichkeit, dass problematische Kampagnenmuster systematisch analysiert werden.

DMA, Meta und Pay or Consent

Meta führte im November 2023 ein binäres Modell aus Einwilligung oder kostenpflichtigem Abo ein. Die EU-Kommission verhängte am 23. April 2025 ein Bußgeld von 200 Millionen Euro gegen Meta. Der sanktionierte Zeitraum reichte von März bis November 2024, also ab dem Zeitpunkt, zu dem die DMA-Pflichten verbindlich galten, bis zur Einführung eines geänderten Modells.

Die Kommission kritisierte, dass Nutzer keine gleichwertige Alternative mit weniger personenbezogenen Daten erhielten. Art. 5 Abs. 2 DMA verlangt für die Kombination personenbezogener Daten zwischen Diensten eine wirksame Einwilligung und eine Alternative, die weniger Daten nutzt.

DMA-Bußgelder können bis zu zehn Prozent des weltweiten Jahresumsatzes erreichen. Die wirtschaftliche Relevanz ist bei Meta besonders hoch. Eine SCiDA-Analyse vom 24. Juni 2025 nennt 97,5 Prozent des globalen Meta-Umsatzes als werbebasiert. Die Zahl stammt aus einer Sekundäranalyse und sollte als Größenordnung, nicht als auditierter Geschäftsberichtswert gelesen werden.

Die technische Entwicklung von Meta Andromeda, GEM und Advantage+ läuft damit in einem Spannungsfeld: mehr automatisierte Personalisierung trifft auf rechtliche Grenzen der Datenkombination.

Less Personalized Ads ab Januar 2026

Am 8. Dezember 2025 nahm die Kommission Metas Zusage zur Kenntnis, EU-Nutzern von Facebook und Instagram eine Wahl zwischen voll personalisierter Werbung und einer Variante mit weniger personenbezogenen Daten und eingeschränkter Personalisierung anzubieten. Der Rollout begann im Januar 2026.

Die Kommissionsmeldung sagt nicht, dass diese Werbung rein kontextuell statt behavioral funktioniert. Die Mitteilung sagt auch nicht, dass auf mögliche Zwangsgelder dauerhaft verzichtet wurde. Die Wirkung des Modells sollte nach dem Rollout anhand von Nutzung und Evidenz bewertet werden.

Für Advertiser entstehen drei praktische Folgen:

Weniger Signal: Ein Teil der Nutzer liefert weniger Daten für Personalisierung und Attribution.

Mehr Creative-Bedeutung: Botschaft und Kontext müssen stärker tragen, wenn individuelle Signale schwächer sind.

Mehr Messunsicherheit: Plattformsegmente können sich in Datenverfügbarkeit und Performance unterscheiden.

Unternehmen sollten deshalb Performance nach Consent- und Personalisierungsstatus beobachten, soweit die Plattformdaten dies zulassen. Eine pauschale Verschlechterung darf nicht unterstellt werden. Das eigene Konto entscheidet.

Was Advertiser operativ ändern sollten

Die Rechtsanforderungen müssen in Kampagnenprozesse übersetzt werden. Ein PDF in einem Compliance-Ordner reicht nicht.

Advertiser-Identität klären: Auftraggeber, Zahler, Agentur und Konzernbeziehung vor Setup dokumentieren.

Targeting prüfen: Sensible Kategorien, Minderjährigenrisiken, Custom-Audience-Herkunft und Lookalike-Seeds kontrollieren.

Creative und URL archivieren: Live-Version, Zielseite, Freigabe, Ausspielzeitraum und Änderungsverlauf speichern.

Repository kontrollieren: Nach Start prüfen, ob Plattformangaben vollständig und korrekt sind.

Signalverlust einplanen: First-Party-Daten, CRM-Rückspielung und unabhängige Messung ausbauen.

Freigaben trennen: Media, Legal, Datenschutz und Brand sollten klar definierte Prüfpunkte besitzen.

Die Transparenzpflichten für KI-generierte Inhalte nach Art. 50 EU AI Act gehören in einen eigenen Prozess. Die bestehende KB behandelt die Art.-50-Transparenzpflichten separat.

Pre-Mortem für DSA Werbung

Nimm an, eine Kampagne wird öffentlich kritisiert oder von der Plattform eingeschränkt. Wahrscheinliche Ursachen sind ein falscher Auftraggeber, ein abweichender Zahler, sensible Targeting-Signale, unklare Minderjährigenansprache, ein irreführender Claim oder eine Zielseite, die nicht mehr zum Ad passt.

Für jedes Risiko braucht es einen Owner und einen Nachweis. Account-Daten werden zentral gepflegt. Targeting-Quellen erhalten eine Herkunftsdokumentation. Creatives und Landingpages werden versioniert. Repository-Einträge werden stichprobenartig geprüft.

Diese Kontrollen verlangsamen den Start geringfügig. Diese Kontrollen verhindern größere Reibung, wenn Plattform, Behörde oder Öffentlichkeit nachfragt.

Fazit: Transparenz wird Teil der Kampagnenarchitektur

DSA und DMA verändern Paid Social nicht nur rechtlich. Beide Regelwerke verändern, welche Daten genutzt werden, was öffentlich sichtbar ist und wie zuverlässig Personalisierung funktioniert. Gute Advertiser behandeln Transparenz deshalb wie Tracking oder Creative: als festen Bestandteil des Systems, nicht als nachträgliche Freigabe.

Die Umsetzung von Strategie, Content, Community Management, Paid Social und Reporting ist im Social Media Management von Blck Alpaca gebündelt.