DSA Artikel 39: Wie sich Werbe-Briefings 2026 wirklich verändern

Vom abstrakten Regelwerk zur Briefing-Realität

Der Digital Services Act (Verordnung (EU) 2022/2065, kurz DSA) ist seit Februar 2024 in voller Anwendung. Was in den ersten Monaten als Plattform-Regulierung wahrgenommen wurde, hat sich 2026 in der Werbe-Lieferkette nach unten durchgesetzt: Briefings, Targeting-Selektionen, Kreativ-Adaptionen und Reporting-Workflows in Werbeagenturen sind seit Herbst 2025 messbar anders aufgesetzt als noch zwei Jahre zuvor. Auslöser sind nicht primär die Sanktionen selbst — bis zu 6 Prozent des weltweiten Jahresumsatzes der Plattform nach Art. 74 Abs. 1 DSA — sondern die kaskadierende Compliance-Anforderung der Plattformen gegenüber ihren Werbe-Auslieferungs-Partnern.

Die Pflichten konzentrieren sich auf eine spezifische Plattform-Klasse: Very Large Online Platforms (VLOPs) mit mehr als 45 Millionen monatlichen aktiven Nutzern in der Europäischen Union. Die EU-Kommission führt diese Liste fortlaufend.

Die VLOP-Liste 2026: 23 Plattformen, drei Bewegungen

Stand März 2026 sind folgende 23 Plattformen als VLOPs designiert: Meta-Platforms (Facebook, Instagram), TikTok, X, YouTube, Google Search, Amazon Store, Apple App Store, Booking.com, Pinterest, Snapchat, Wikipedia, Zalando, LinkedIn, Google Play, Google Maps, Google Shopping, AliExpress, Bing, Temu, Shein, Spotify, Reddit und Threads. Drei Bewegungen prägen 2026: Threads ist im Januar 2026 erstmals VLOP-designiert worden, Spotify im November 2025 nach Audio-Werbe-Wachstum, und Reddit im Februar 2026 nach klarer Überschreitung der 45-Mio.-MAU-Schwelle im EU-Raum.

Zalando hatte 2024 gegen die VLOP-Designation geklagt; das Verfahren ist beim EuGH 2025 abschlägig beschieden worden. Eine kleinere Klage von Amazon zur Reichweite einzelner Reporting-Pflichten läuft 2026 noch.

Werbe-Repository: das vergessene Rückgrat der Compliance

Artikel 39 DSA verlangt von VLOPs ein öffentliches Werbe-Repository, in dem jede auf der Plattform ausgespielte Werbung mit definierten Metadaten dokumentiert wird — und für mindestens ein Jahr nach der letzten Ausspielung aufbewahrt bleibt. Die Pflicht-Metadaten umfassen:

• Inhalt der Werbung (Kreativ in der ausgespielten Form),
• Person, in deren Namen die Werbung präsentiert wird (Advertiser-Identität),
• finanzieller Auftraggeber, falls verschieden,
• Zeitraum, in dem die Werbung gezeigt wurde,
• ob die Werbung Zielgruppen-spezifisch ausgespielt wurde,
• die zentralen Targeting-Parameter,
• die Gesamtreichweite und Reichweite je Mitgliedstaat.

Für Werbeagenturen relevant ist die fünfte und sechste Anforderung. Die Plattform meldet öffentlich, welche Targeting-Parameter genutzt wurden. Wer 2026 ein Kreativ-Asset mit dem Briefing „Frauen 28–34, akademisch, urban, Interesse Yoga und Bio-Lebensmittel” auf Meta ausspielt, sieht diese Parameter spätestens nach 48 Stunden im Ads-Repository — öffentlich abfragbar über eine Search-API, die Art. 39 Abs. 3 DSA explizit vorschreibt.

Targeting-Verbote: kein Alters-Targeting für Minderjährige, keine sensiblen Kategorien

Zwei harte Targeting-Verbote prägen die Briefing-Praxis 2026.

Art. 28 Abs. 2 DSA verbietet Werbe-Targeting auf Personen, von denen die Plattform mit hinreichender Sicherheit weiß, dass sie Minderjährige sind. Operationalisiert bedeutet das: Kein Alters-Targeting unter 18 Jahren mehr in Werbe-Selektionen. Plattformen haben zur Umsetzung 2024/2025 ihre Targeting-Interfaces angepasst. Auf Meta Ads Manager ist die Selektion „13–17” seit Juli 2024 nicht mehr wählbar; auf TikTok-Ads-Manager fällt die Auswahl an Targeting-Kategorien bei unter-18-Jährigen-Audiences auf eine eingeschränkte Liste mit kontextuellem statt verhaltensbasiertem Targeting.

Art. 26 Abs. 3 DSA verbietet die Nutzung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO für Werbe-Targeting. Das umfasst: rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Gesundheitsdaten, Daten zum Sexualleben oder zur sexuellen Orientierung. Plattformen müssen aktiv prüfen, dass auch abgeleitete Audiences nicht faktisch diese Kategorien rekonstruieren — eine „Vegetarier und Tierfreunde”-Audience darf nicht zur verschleierten religiösen Selektion werden.

Die Konsequenz für Briefings: Jede Targeting-Selektion mit Bezug zu Gesundheit, politischer Orientierung, Religion oder Sexualität ist 2026 entweder unzulässig (für Werbung mit kommerziellem Charakter) oder bedarf einer kontextuellen Begründung (etwa Health-Werbung mit kontextuellem Targeting auf Gesundheits-Content statt verhaltensbasiertem Targeting auf gesundheitlich identifizierte Audience-Segmente).

Vier Praxis-Anpassungen im Agentur-Briefing 2026

Die DSA-Pflichten haben die Briefing-Struktur in vielen Agenturen 2026 sichtbar verändert.

1. Targeting-Audit vor Kampagnen-Start

Vor jeder Kampagne mit VLOP-Auslieferung läuft 2026 ein dokumentierter Targeting-Audit. Geprüft wird: Sind alle Audience-Segmente DSA-konform? Liegt ein Look-alike-Audience-Set vor, das mit Audience-Beispielen aus Quelldaten ohne sensible Kategorien gespeist wurde? Sind Alters-Filter sauber auf 18+ gesetzt? Der Audit wird intern dokumentiert und der Marken-Compliance-Stelle vor Kampagnen-Start vorgelegt.

2. Kreativ-Adaptions-Set mit Transparenz-tauglichem Audience-Statement

Kreativ-Briefings führen seit 2025 ein zusätzliches Feld: das Audience-Statement, das im Ads-Repository erscheint. Es ist kurz, präzise, ohne sensible Kategorien — etwa „Erwachsene Nutzer mit Interesse an Heimwerker-Themen und Auto-Reparatur”. Wer das Audience-Statement nicht briefingseitig fixiert, riskiert eine Plattform-Auto-Generation, die das Marken-Image im öffentlichen Repository ungewollt prägt.

3. Reporting-Workflow gegenüber Plattform-Compliance-Teams

Plattformen verlangen 2026 von ihren großen Werbe-Auslieferungs-Partnern (Agenturen, DSPs, Re-Seller) eigene Compliance-Reportings. Meta, TikTok und Google Ads haben dedizierte Compliance-Portale eingeführt, in denen Targeting-Konfigurationen und Kreativ-Assets vor der Ausspielung verifiziert werden. Wer als Agentur 2026 ein Mediavolumen jenseits 100.000 EUR monatlich auf einer VLOP umsetzt, hat in der Regel einen direkten Compliance-Liaison-Kontakt und liefert vierteljährliche Reportings.

4. DSGVO-Doppel-Check auf jeder Werbe-Lieferkette

DSA überlagert die DSGVO nicht — er ergänzt sie. Art. 6 Abs. 1 DSGVO (Rechtsgrundlage für die Verarbeitung) bleibt in Kraft. Targeting-Datenflüsse von Marken-CRM in Plattform-Custom-Audiences müssen 2026 auf Einwilligungs-Basis nach Art. 6 Abs. 1 lit. a stehen — die Stiftung-Warentest-und-noyb-getriebene Abmahn-Welle 2024/2025 hat „berechtigtes Interesse” als Grundlage für CRM-Werbe-Datenübermittlung an Drittstaaten-Plattformen faktisch eliminiert.

Strafen-Höhe und Vollzug

Die Sanktions-Tiefe ist bemerkenswert. Art. 74 Abs. 1 DSA erlaubt Geldbußen bis zu 6 Prozent des weltweiten Jahresumsatzes der VLOP. Bei Meta-Platforms mit einem 2025er Konzernumsatz von rund 165 Mrd. USD wäre das eine theoretische Sanktions-Obergrenze von rund 9,9 Mrd. USD pro Verstoß. Die EU-Kommission als zuständige Aufsicht hat 2025 erste Verfahren gegen X (wegen Risk-Assessment-Mängeln, Art. 34), gegen TikTok (Minderjährigen-Schutz, Art. 28) und gegen Meta (Repository-Vollständigkeit, Art. 39) eingeleitet. Verfahrensabschlüsse stehen 2026 aus.

Für Werbeagenturen direkt relevant: Die Sanktionen treffen die Plattform, nicht die Agentur. Plattformen reichen die Compliance-Anforderung aber über vertragliche Garantie-Klauseln, Reps-and-Warranties und Kündigungsrechte an Werbe-Partner durch. Eine Verletzung der Targeting-Vorgaben durch eine Agentur kann 2026 zu einem Account-Lockout auf einer VLOP führen — operativ schmerzhafter als jede direkte Sanktion.

Was 2027 wahrscheinlich kommt

Der DSA-Vollzug ist 2026 noch im Aufbau. Die nächste Welle der Anforderungen wird sich um drei Felder konzentrieren: erstens den vollständigen Repository-Search-API-Standard, der bisher zwischen den Plattformen technisch heterogen umgesetzt ist; zweitens das Zusammenspiel mit dem EU-AI-Act, vor allem bei AI-generierten Werbe-Kreativen (Art. 53 GPAI-Transparenz greift seit August 2026); drittens die Frage, ob mittelgroße Plattformen unterhalb der 45-Mio.-Schwelle freiwillig DSA-Standards übernehmen, um Markt-Erwartungen zu erfüllen.

Für Marken-Verantwortliche und Werbeagentur-Strategen ist die Lage 2026 klar: DSA-Compliance ist nicht mehr eine Rechtsabteilungs-Frage, sondern ein konstitutiver Bestandteil jedes Kampagnen-Briefings. Wer 2026 noch ein Targeting-Briefing schreibt, ohne den Targeting-Audit, das Audience-Statement und die Compliance-Reporting-Schritte aufgenommen zu haben, hat das letzte regulatorische Jahrzehnt verschlafen.