Online Safety Act für kleine Unternehmenswebsites: Was gilt?

Zuletzt geprüft: Oktober 2026. Dieser Artikel fasst den Online Safety Act 2023 zusammen, wie er auf legislation.gov.uk veröffentlicht ist, sowie die Erläuterung der Regierung auf GOV.UK. Er enthält allgemeine Informationen, keine Rechtsberatung. Ofcom ist die Aufsichtsbehörde und veröffentlicht die Verhaltenskodizes und Leitlinien; prüfen Sie deren aktuelle Unterlagen und holen Sie im Zweifel Rechtsrat ein.

Die meisten Unternehmenswebsites berühren das Gesetz nie. Eine Visitenkarten-Website, ein Portfolio oder ein Shop, auf dem nur Sie Inhalte veröffentlichen, lässt Nutzer nicht miteinander in Kontakt treten. Das Gesetz definiert einen User-to-User-Dienst als Internetdienst, über den von einem Nutzer erzeugte, hochgeladene oder geteilte Inhalte von einem anderen Nutzer gesehen werden können. Es spielt keine Rolle, ob Inhalte tatsächlich geteilt werden, solange die Funktionalität es erlaubt. Foren, Community-Bereiche, Message Boards, Chat und offene Kommentarbereiche sind die üblichen Beispiele; die Erläuterung auf GOV.UK nennt Online-Foren unter den erfassten Diensten.

Die Größe nimmt Sie nicht aus. Section 9 wendet die Pflichten zur Risikobewertung auf alle regulierten User-to-User-Dienste an. Die Erläuterung besagt, die Pflichten seien verhältnismäßig zum Schadensrisiko sowie zu Größe und Leistungsfähigkeit jedes Anbieters, sodass kleine Dienste mit begrenzter Funktionalität nicht dieselben Maßnahmen ergreifen müssen wie die größten Konzerne.

Schedule 1 des Gesetzes führt ausgenommene Dienste auf. Paragraph 4 nimmt einen User-to-User-Dienst aus, dessen Funktionen so begrenzt sind, dass Nutzer nur wie folgt kommunizieren können:

• Kommentare oder Bewertungen zu Anbieterinhalten abgeben, also zu Inhalten, die der Anbieter oder jemand in seinem Auftrag veröffentlicht hat;
• solche Kommentare oder Bewertungen auf einem anderen Internetdienst teilen;
• sich zu diesen Kommentaren oder Bewertungen oder zu Anbieterinhalten mit einem Gefällt-mir- oder Gefällt-mir-nicht-Button, einem Emoji oder Symbol, Ja/Nein-Abstimmungen oder einer Bewertung oder Punktzahl, einschließlich Sternebewertungen, äußern;
• identifizierende Inhalte wie einen Namen oder ein Profilbild im Zusammenhang mit diesen Tätigkeiten anzeigen.

Nutzergenerierte Inhalte gelten nie als Anbieterinhalte. In der Praxis heißt das:

• Wahrscheinlich ausgenommen: ein Shop, in dem Kunden Ihre eigenen Produkte bewerten können, oder ein Blog, in dem Besucher nur Ihre Beiträge kommentieren können.
• Wahrscheinlich nicht ausgenommen: Antworten auf Kommentare anderer Nutzer, Bewertungen von Drittanbietern auf einem Marktplatz, Direktnachrichten, Nutzer-Uploads oder von Nutzern gestartete Threads, da nichts davon auf der Liste in Paragraph 4 steht.
• Im Gesetzestext gibt es kein Antragsverfahren. Die Ausnahme hängt davon ab, ob Ihre tatsächlichen Funktionen zur Beschreibung in Paragraph 4 passen; dokumentieren Sie daher Ihre Begründung.

Bei unserer Prüfung im Oktober 2026 zeigte legislation.gov.uk Paragraph 4 ohne Änderungen, auf dem Stand der am oder vor dem 21. Oktober 2026 in Kraft getretenen Änderungen. Andere Teile von Schedule 1 haben eine spätere Fassung, und manche Änderungen können künftig in Kraft treten; lesen Sie den Text daher erneut, bevor Sie sich darauf verlassen.

Ist Ihre Website ein regulierter User-to-User-Dienst, gelten die Pflichten zu illegalen Inhalten. Die Erläuterung auf GOV.UK besagt, diese Pflichten seien in Kraft: Die Frist für bestehende Dienste zum Abschluss ihrer Risikobewertung war der 16. März 2025, und Ofcom konnte ab dem 17. März 2025 durchsetzen.

• Eine Risikobewertung zu illegalen Inhalten nach Section 9. Sie umfasst unter anderem Ihre Nutzerbasis, das Risiko, dass Nutzer jeder Art vorrangiger illegaler Inhalte (jeweils gesondert bewertet) und anderen illegalen Inhalten begegnen, das Risiko, dass der Dienst zur Begehung oder Erleichterung einer vorrangigen Straftat genutzt wird, und welche Funktionen dieses Risiko erhöhen.
• Zeitpunkt. Nach Schedule 3 muss ein neuer Dienst, der startet, wenn die Leitlinien verfügbar sind, seine erste Risikobewertung zu illegalen Inhalten und seine erste Bewertung des Zugangs von Kindern innerhalb von drei Monaten nach seinem ersten Tag abschließen. Vor jeder wesentlichen Änderung von Gestaltung oder Betrieb des Dienstes verlangt Section 9 eine weitere Bewertung dieser Änderung.
• Eine schriftliche Dokumentation. Section 23 verlangt eine leicht verständliche schriftliche Dokumentation aller Aspekte jeder Risikobewertung, einschließlich ihrer Durchführung und ihrer Ergebnisse. Sie verlangt außerdem eine Dokumentation der verwendeten Maßnahmen aus dem Verhaltenskodex oder alternativer Maßnahmen und der Gründe, warum sie konform sind, sowie eine regelmäßige Überprüfung der Compliance.
• Sicherheitsmaßnahmen. Section 10 verlangt verhältnismäßige Maßnahmen und Systeme, einschließlich der zügigen Entfernung illegaler Inhalte, sobald Sie darauf hingewiesen werden. Was verhältnismäßig ist, hängt von den Ergebnissen Ihrer Risikobewertung sowie von Größe und Leistungsfähigkeit des Anbieters ab.

Section 10 wurde mit Wirkung vom 29. Juni 2026 geändert: Dienste müssen nun auch Inhalte, die Gegenstand einer Meldung intimer Bilder sind, und im Wesentlichen gleiche Inhalte so bald wie vernünftigerweise möglich und spätestens 48 Stunden nach der Meldung entfernen, vorbehaltlich begrenzter Ausnahmen.

Section 10 ist konkreter, als viele Website-Betreiber erwarten. Soweit verhältnismäßig, müssen die Maßnahmen Bereiche abdecken wie Risikomanagement, Gestaltung der Funktionen, Nutzungsbedingungen, Nutzerzugang (einschließlich der Sperrung von Nutzern), Moderation und Entfernung von Inhalten, Nutzersupport und Mitarbeiterrichtlinien. Der Anbieter muss außerdem:

• in seine Nutzungsbedingungen Bestimmungen aufnehmen, die erklären, wie Personen vor illegalen Inhalten geschützt werden, einschließlich der neuen Pflicht zur Entfernung intimer Bilder;
• diese Bestimmungen konsequent anwenden;
• jede zur Einhaltung eingesetzte proaktive Technologie beschreiben, einschließlich ihrer Art, ihres Einsatzzeitpunkts und ihrer Funktionsweise;
• diese Bestimmungen klar und zugänglich machen.

Die Zusammenfassung der Ergebnisse der Risikobewertung in den Nutzungsbedingungen ist eine zusätzliche Pflicht nur für Category-1-Dienste, nicht für gewöhnliche kleine Websites.

Vorrangige illegale Inhalte sind die schwerwiegendste Kategorie. Die Erläuterung auf GOV.UK nennt die betroffenen Arten von Inhalten, darunter Betrug, den Verkauf illegaler Drogen oder Waffen, Terrorismus, sexuellen Kindesmissbrauch, Aufstachelung zur Gewalt und den Missbrauch intimer Bilder. Bei einem Unternehmensforum oder Marktplatz sind Betrug und der Verkauf illegaler Gegenstände unserer Ansicht nach die Risiken, die in der Bewertung am ehesten durchdacht werden sollten.

Die Bewertung des Zugangs von Kindern entscheidet, ob Ihr Dienst wahrscheinlich von Kindern genutzt wird. Laut der Erläuterung auf GOV.UK müssen Dienste, die wahrscheinlich von Kindern genutzt werden, zudem das Schadensrisiko für Kinder bewerten und sie vor schädlichen Inhalten schützen. Ein kleines Branchenforum kann zu dem Schluss kommen, dass Kinder es wahrscheinlich nicht nutzen, doch diese Schlussfolgerung sollte mit den Gründen schriftlich festgehalten werden. Die Pflichten gegenüber Kindern haben wir hier nicht im Detail behandelt.

Zu den Strafen: Schedule 13 setzt das Maximum auf den höheren Betrag von £18 million und 10% des qualifizierenden weltweiten Umsatzes des Anbieters für seinen letzten vollständigen Abrechnungszeitraum. Die Erläuterung besagt außerdem, Ofcom habe eine kleine, aber riskante Aufsichts-Taskforce eingerichtet, um solche Dienste zu überwachen und bei Hinweisen auf Verstöße rasch durchzugreifen.

Was bedeutet das für ein gewöhnliches kleines Unternehmen? Unserer Ansicht nach fällt ein Dienst, auf dem Nutzer nur Ihre eigenen Produkte bewerten können, wahrscheinlich gar nicht unter diese Pflichten. Ein Community-Forum oder ein offener Kommentarbereich zu fremden Inhalten ist eine andere Sache.

1. Listen Sie jede Stelle auf, an der Nutzer etwas veröffentlichen können: Kommentare, Bewertungen, Forum, Chat, Profile, Uploads, Direktnachrichten.
2. Fragen Sie jeweils, ob Nutzer die Inhalte anderer Nutzer sehen oder erreichen können oder nur Ihre kommentieren.
3. Geht es nur um Ihre eigenen Inhalte: Halten Sie fest, warum Sie die Ausnahme nach Schedule 1 Paragraph 4 für anwendbar halten.
4. Falls nicht ausgenommen: Führen Sie eine Risikobewertung zu illegalen Inhalten und eine Bewertung des Zugangs von Kindern durch und halten Sie sie schriftlich fest.
5. Legen Sie fest, wie Sie illegale Inhalte finden und entfernen, und prüfen Sie die Verhaltenskodizes von Ofcom auf die Maßnahmen, die für einen Dienst Ihrer Größe gelten.
6. Richten Sie einen Meldeweg ein, einschließlich Meldungen intimer Bilder und der 48-Stunden-Frist.
7. Benennen Sie eine verantwortliche Person, prüfen Sie die Compliance regelmäßig und bewerten Sie vor jeder wesentlichen Änderung neu.
8. Schalten Sie nicht benötigte Funktionen ab. Das Deaktivieren von Kommentaren oder Foren verringert, was das Gesetz erfassen kann.

Das Gesetz schaut auf Funktionen. Dadurch werden manche Gestaltungsentscheidungen zu Compliance-Entscheidungen.

• Auf Ihre eigenen Produkte beschränkte Bewertungen entsprechen der Logik der Ausnahme.
• Offene Kommentare unter fremden Inhalten oder ein allgemeines Forum bringen zusätzliche Pflichten.
• Direktnachrichten zwischen Nutzern gehören nicht zu den in Paragraph 4 erlaubten Interaktionen.
• Die Vorab-Moderation von Kommentaren verringert die Wahrscheinlichkeit, dass illegale Inhalte online gehen, ist nach unserer Lesart aber eine Maßnahme, keine Ausnahme.

Wenn Sie eine Website mit Community-Funktionen planen, entscheiden Sie früh. Wir bauen und passen Websites mit diesem Blick an; einfache Präsentationswebsites starten ab €300 zuzüglich Mehrwertsteuer. Unsere Leistungen und Referenzen sind online, und Sie können ein Angebot anfordern oder uns kontaktieren. Wir geben keine Rechtsberatung.

• legislation.gov.uk: Online Safety Act 2023, section 3
• legislation.gov.uk: Online Safety Act 2023, Schedule 1 paragraph 4
• legislation.gov.uk: Online Safety Act 2023, section 9
• legislation.gov.uk: Online Safety Act 2023, section 10
• legislation.gov.uk: Online Safety Act 2023, section 23
• legislation.gov.uk: Online Safety Act 2023, Schedule 3
• legislation.gov.uk: Online Safety Act 2023, Schedule 13 paragraph 4
• GOV.UK: Online Safety Act explainer