Digitale-Dienste-Gesetz in Spanien: Vom Inkrafttreten zu den regulatorischen Meilensteinen 2026

Das Digitale-Dienste-Gesetz (DSA) ist keine isolierte Norm, sondern das Ergebnis langer Verhandlungen in der Europäischen Union zur Schaffung eines einheitlichen und sicheren digitalen Raums. Sein Hauptziel ist es, einen klaren Satz von Regeln für die gesamte EU festzulegen, der die grundlegenden Rechte der Bürger schützt und die Expansion von KMU und Start-ups auf dem digitalen Markt erleichtert.

Vor der DSA war die Regulierung der Plattformen fragmentiert und von den nationalen Gesetzen abhängig. Das neue Gesetz führt einen Ansatz basierend auf Risiko und Größe ein: Je größer die Plattform und je näher sie den Endnutzern ist, desto strenger sind ihre Verpflichtungen. Dieser Ansatz soll Innovation mit dem Verbraucherschutz und der Online-Sicherheit in Einklang bringen.

Die DSA trat offiziell am 1. Januar 2024 in Kraft, nachdem sie vom Europäischen Parlament und den Mitgliedstaaten gebilligt worden war. Ihre Anwendung erfolgte jedoch gestaffelt. Die grundlegenden Verpflichtungen für Online-Zwischenhändler galten ab dem 17. Februar 2024 und betrafen alle Plattformen mit Nutzern in der EU, mit Ausnahme von Kleinst- und Kleinunternehmen mit weniger als 50 Mitarbeitern und einem Umsatz von unter 10 Millionen Euro.

Dieses Datum im Februar 2024 markierte den Beginn der Pflicht, Mittel zur Meldung illegaler Inhalte bereitzustellen, mit vertrauenswürdigen Meldestellen zusammenzuarbeiten und Minderjährige zu schützen. Das Verbot, Minderjährige mit profilbasierten Anzeigen zu targeten, und die Einschränkung von Anzeigen auf Basis sensibler Daten (wie politische oder religiöse Überzeugungen) wurden zu sofortigen Anforderungen an die Plattformen.

Im Jahr 2025 veröffentlichte die Spanische Datenschutzbehörde (AEPD) ihren Jahresbericht, der einen signifikanten Anstieg der regulatorischen Aktivitäten widerspiegelte. Die AEPD erhielt 30.931 Beschwerden, ein Anstieg von 64 % im Vergleich zu 2024, und die Bußgelder erreichten 48,1 Millionen Euro. Dieser Anstieg war größtenteils auf die Konsolidierung der künstlichen Intelligenz als zentralen Achse der Aufsicht und den Anstieg der Verfahren wegen Sicherheitsverletzungen zurückzuführen, die um 157 % stiegen.

Die AEPD veröffentlichte die erste KI-Politik des spanischen öffentlichen Sektors und bereitete einen gemeinsamen DSGVO-KI-Verordnung-Leitfaden mit der Europäischen Kommission vor. Dies zeigt, dass die DSA-Aufsicht nicht auf die Inhaltsmoderation beschränkt ist, sondern sich auf den Schutz personenbezogener Daten und die Ethik bei der Nutzung von Algorithmen erstreckt, was eine zusätzliche Compliance-Ebene für digitale Plattformen schafft.

Im Jahr 2026 stellte die Nationale Kommission für den Wertpapiermarkt (CNMV) ihren Aktivitätsplan vor, der die Einführung neuer Künstliche-Intelligenz-Werkzeuge in die Aufsichts- und Betrugspräventionstätigkeiten einschließt. Der Plan identifiziert 60 konkrete Initiativen in drei Bereichen: Anlegerschutz, Marktförderung und Verbesserung der CNMV. Inhalte zu Kryptowährungen und nachhaltigen Produkten werden überprüft, und die Überwachung der Investitionstätigkeit in sozialen Netzwerken wird gefördert.

Dieser Meilenstein ist entscheidend, da er die Regulierung digitaler Dienste mit der Finanzaufsicht verbindet. Plattformen, die Investitionsdienstleistungen anbieten oder als Vermittler auf dem Wertpapiermarkt tätig sind, müssen nun strengere Anforderungen an die algorithmische Transparenz erfüllen, insbesondere was die Vermarktung komplexer Produkte und den Schutz des Kleinanlegers betrifft.

Eine weitere wichtige Entwicklung im Jahr 2026 ist die volle Anwendung der Verordnung DORA (Digital Operational Resilience Act), die am 17. Januar 2025 in Kraft trat, deren vollständige Umsetzung sich jedoch 2026 konsolidiert. DORA schafft einen einheitlichen regulatorischen Rahmen zur Stärkung der Cyber-Resilienz im Finanzsektor und verpflichtet Finanzinstitute und deren Drittanbieter von IKT-Diensten zu klaren Pflichten.

Für Anbieter wesentlicher Dienste bedeutet dies, dass sie strengere Anforderungen an die Risikominderung erfüllen müssen. Der Mangel an Einheitlichkeit in den nationalen Vorschriften war ein historisches Problem, und DORA soll sicherstellen, dass alle Finanzinstitute der EU, unabhängig von ihrer Größe, in der Lage sind, Cyber-Vorfälle zu verhindern, zu bewältigen und sich davon zu erholen.

Die Auswirkungen der DSA und der Meilensteine 2026 sind für Unternehmen spürbar. Die Sanktionen können bis zu 6 % des Jahresumsatzes der Plattformen erreichen, die die Vorschriften nicht einhalten. Dies zwingt Unternehmen, in Compliance-Systeme, interne Audits und Mechanismen der algorithmischen Transparenz zu investieren. Für die Nutzer bedeutet dies eine größere Kontrolle über ihre Daten, mehr Optionen beim Surfen und einen besseren Schutz vor illegalen Inhalten.

Unternehmen müssen ihre Dienste anpassen, um die Transparenzpflichten zu erfüllen, insbesondere was die Inhaltsmoderation und Werbung betrifft. Die Zusammenarbeit mit vertrauenswürdigen Meldestellen und die Implementierung von KI-Systemen zur Erkennung von Betrug und illegalen Inhalten sind nun Schlüsselanforderungen. Die praktische Entscheidung für Unternehmen ist klar: Die Investition in Compliance ist keine Option, sondern eine strategische Notwendigkeit, um auf dem europäischen digitalen Markt zu operieren.