Spanien plant einen einheitlichen Risikomelder für Online-Glücksspiel

Stand: 14.10.2026. Spanien will riskantes Spielverhalten bei Online-Glücksspiel nach einheitlichen Kriterien erkennen lassen. Wie das funktionieren soll – und was es für Spieler bedeuten könnte – steht in einem Entwurf der spanischen Glücksspielbehörde DGOJ. Noch gilt das Verfahren nicht: Die Behörde sammelt bis zum 22. Oktober 2026 erneut Stellungnahmen.

Die DGOJ unterzeichnete den Beschluss zur zweiten öffentlichen Beteiligungsrunde am 9. Oktober 2026 um 11:34 Uhr. Die Unterlagen waren vom 13. bis zum 22. Oktober im Portal der Behörde veröffentlicht. Die Frist für Stellungnahmen läuft vom 14. bis einschließlich 22. Oktober und umfasst laut Beschluss sieben Werktage. Es handelt sich um eine zusätzliche Runde zu einem Projekt, nicht um geltendes neues Recht. Die erste Beteiligung hatte vom 28. August bis zum 25. September 2025 stattgefunden.

So soll die Erkennung ablaufen

Der Entwurf sieht vor, dass die beaufsichtigten Anbieter jeden Monat in den ersten sieben Tagen einen gemeinsamen Mechanismus ausführen. Er betrachtet grundsätzlich die Aktivität der vorangegangenen 183 Kalendertage. Liegt für eine Person eine kürzere Historie vor, sollen die vorhandenen Daten verwendet werden.

Der Ablauf hat vier Stufen:

1. Gelegentliche Aktivität wird ausgesondert. Der Entwurf stuft bestimmte gelegentliche Spieler automatisch als nicht risikobehaftet ein. Dazu zählt zum Beispiel, wer weniger als zwei Einzahlungen oder weniger als zwei Aktivitätstage aufweist. Weitere Kriterien betreffen eine sehr geringe Zahl von Spielaktivitäten.
2. Direkte Risikokriterien werden geprüft. Werden festgelegte Bedingungen erfüllt, kann eine Einstufung ohne die anschließende Modellrechnung erfolgen.
3. Für die übrigen Nutzer werden Kennzahlen berechnet. Sie fassen etwa Häufigkeit, Dauer und zeitliche Verteilung der Aktivität sowie Ein- und Auszahlungen zusammen. Der Entwurf nennt insgesamt 48 quantitative Variablen.
4. Ein gemeinsames Modell wertet die Variablen aus. Dafür soll ein von der DGOJ bereitgestelltes Modell namens XGBoost eingesetzt werden. Das ist ein Verfahren, das viele Entscheidungsbäume kombiniert. Der Entwurf nennt einen technischen Schwellenwert von 0,3312868 für die regulatorische Risikoeinstufung.

Der Wert ist keine klinische Diagnose und auch keine Aussage, dass eine Person mit einer bestimmten Wahrscheinlichkeit eine Erkrankung hat. Er ist ein technischer Grenzwert innerhalb des vorgeschlagenen Modells.

Ein wichtiger Punkt für Spieler: Das Verfahren soll nach dem Entwurf zwar einheitlich sein, aber von jedem Anbieter auf den Daten seiner eigenen Plattform ausgeführt werden. Es soll also keine gemeinsame Auswertung der gesamten Aktivität einer Person über alle Anbieter hinweg darstellen.

Was eine Einstufung bedeuten könnte

Eine Einstufung würde nach dem Entwurf mindestens sechs Monate gelten. Sie soll aufgehoben werden, wenn eine spätere monatliche Anwendung nach Ablauf dieses Mindestzeitraums kein Risiko mehr erkennt. Ergibt die erneute Prüfung wieder einen Risikowert, beginnt eine weitere Mindestdauer.

Für Betroffene sieht der Entwurf eine verständliche Mitteilung vor. Darin sollen das Datum der Einstufung, der untersuchte Zeitraum und die Faktoren genannt werden, die maßgeblich zum Ergebnis beigetragen haben. Eine bloße Mitteilung der Punktzahl oder des Modellgrenzwerts soll nicht ausreichen.

Vorgesehen sind außerdem eine besondere Interaktion mit der betroffenen Person sowie Schutzmaßnahmen, die bereits im Königlichen Dekret 176/2023 geregelt sind: Einschränkungen für Werbung und Werbeaktionen, der Ausschluss aus VIP-Programmen und die Nutzung von Zahlungsmitteln, die der Person namentlich zugeordnet sind. Kreditkarten sollen ausgeschlossen sein.

Wer eine Einstufung für fehlerhaft hält, soll beim jeweiligen Anbieter eine Überprüfung beantragen können. Dabei sollen unter anderem die verwendeten Daten und die korrekte Ausführung des Verfahrens kontrolliert werden. Bleibt die betroffene Person mit dem Ergebnis unzufrieden, sieht der Entwurf eine Beschwerde bei der DGOJ vor. Wichtig: Eine Überprüfung oder Beschwerde soll die Einstufung und die Schutzmaßnahmen zunächst nicht aussetzen.

Datenschutz: Was die zweite Runde ergänzt

Die DGOJ legt die überarbeitete Fassung erneut vor, nachdem die spanische Datenschutzbehörde AEPD am 15. Juni 2026 eine Stellungnahme abgegeben hatte. Die Änderungen betreffen vor allem die Begründung und Begrenzung der Datenverarbeitung sowie Information und Überprüfung.

Nach der Erklärung der DGOJ zu den Änderungen soll eine Datenschutz-Folgenabschätzung die Risiken und Schutzmaßnahmen behandeln. Bei der laufenden Anwendung sollen nur Daten aus der Aktivität auf der jeweiligen Plattform herangezogen werden. Ausgeschlossen werden externe Quellen, klinische Daten, Fragebögen und persönliche Mitteilungen.

Auch die Zwecke sollen eng begrenzt sein: Daten, berechnete Kennzahlen und Einstufungen dürften laut Entwurf nicht für kommerzielle, werbliche, werbeaktionsbezogene oder Bonitätszwecke genutzt werden. Der Mechanismus soll ausschließlich Schutzmaßnahmen im Bereich des sicheren Spielens auslösen, begleiten oder beenden.

Eine Unterscheidung ist dabei wichtig: Die DGOJ-Begleitmemoria nennt für die Entwicklung des Modells einwilligungsbasierte klinische Diagnosedaten. Für die monatliche Anwendung durch die Anbieter sollen solche klinischen Angaben dem Entwurf zufolge dagegen nicht herangezogen werden. Die geplante Einstufung bleibt eine regulatorische Kategorie – sie ist weder eine medizinische Diagnose noch eine Feststellung über den Gesundheitszustand einer Person.

Verbände äußern Zweifel – und der Blick nach Deutschland

JDigital, ein Branchenverband, hatte bereits in der ersten Beteiligungsphase Einwände gegen Aufwand und Genauigkeit eines einheitlichen Modells vorgebracht. Der Verband befürchtet, dass gemeinsame Kriterien bei unterschiedlichen Spielverhalten und Spielformen zu Fehlklassifikationen führen könnten. Er kritisiert außerdem den technischen Umstellungsaufwand. Das sind Positionen des Verbands, keine von der DGOJ bestätigten Fehler oder Kostenfeststellungen. Die DGOJ begründet den gemeinsamen Ansatz mit der ihrer Ansicht nach großen Unterschiedlichkeit der bislang genutzten Verfahren und den daraus entstehenden Unterschieden beim Schutz.

In Deutschland gibt es ebenfalls zentrale Spielerschutz-Infrastruktur, aber mit anderen Aufgaben. LUGAS überwacht anbieterübergreifende Einzahlungslimits und soll paralleles Spielen bei mehreren Online-Anbietern verhindern. OASIS ist die bundesweite, spielformübergreifende Sperrdatei. Die Gemeinsame Glücksspielbehörde der Länder beschreibt beide Systeme auf ihren Seiten zu LUGAS und OASIS. Spaniens Entwurf setzt dagegen auf ein gemeinsames Erkennungsverfahren, das einzelne Anbieter jeweils auf ihren eigenen Plattformdaten ausführen sollen. Eine Übernahme von OASIS oder LUGAS ist damit nicht vorgesehen.

Für Spieler ist vorerst entscheidend: Das Verfahren ist noch ein Entwurf. Selbst wenn es später beschlossen wird, soll es laut Projekttext erst zwei Monate nach der Veröffentlichung im spanischen Staatsanzeiger wirksam werden. Bis dahin gilt die bestehende Regelung. Wenn du Warnzeichen für Kontrollverlust einordnen möchtest, findest du Informationen zu Warnzeichen und Hilfe sowie weitere Hinweise unter Risiken und Hilfe.

Quellen & Datenstand

Datenstand: 14.10.2026. Grundlage sind der Beschluss der DGOJ vom 9. Oktober zur zweiten Beteiligungsrunde, der Entwurf der Resolution, die Erläuterung der Datenschutzänderungen, das Königliche Dekret 176/2023 im spanischen Staatsanzeiger und die Stellungnahme von JDigital im EU-Notifizierungsverfahren.