EAA-Durchsetzung, Jahr 2: Bußgelddaten der nationalen Marktüberwachungsbehörden — namentlich genannte Maßnahmen, verglichen mit der Baseline des ersten Jahres

Jahr 2 der EAA-Durchsetzung begann am 28. Juni 2026 — das Regime ist nicht mehr neu. Zwölf Monate früher wurden die ersten Sanktionen noch ausgearbeitet; heute haben sieben namentlich genannte Marktüberwachungsbehörden Maßnahmen veröffentlicht. BAFA in Deutschland, die AEPD gemeinsam mit dem Ministerio de Asuntos Económicos in Spanien, ARCOM und DGCCRF in Frankreich, AgID in Italien, Tarbijakaitseamet in Estland, Agentschap Telecom in den Niederlanden und die im Oktober 2026 neu gegründete belgische AIBE — jede dieser Behörden hat Dokumente veröffentlicht, die gelesen werden können. Dieser Artikel ist der Statusbericht zum zweiten Jahr. Er ist das Pendant zum Jahres-1-Durchsetzungsdossier und zur Artikel-13-Bußgeldrahmen-Erhebung. Er wiederholt keines der beiden; er stellt die Maßnahmen des zweiten Jahres der Baseline des ersten Jahres gegenüber und liest den Trend.

Methodik und der Jahr-1-zu-Jahr-2-Rahmen

Dieser Bericht stellt zwei Zeitfenster nebeneinander. Das Jahr-1-Fenster läuft vom 28. Juni 2025 — dem EAA-Durchsetzungsstichtag — bis zum 27. Juni 2026. Das Jahr-2-Fenster läuft vom 28. Juni 2026 bis zum 30. April 2027, ein unvollständiger Zwölf-Monats-Zeitraum, da das zweite Jahr zum Zeitpunkt der Abfassung noch nicht abgeschlossen ist. Zahlen in der Jahr-2-Spalte sind dort als Teiljahreszahlen gekennzeichnet, wo es relevant ist.

Der Datensatz basiert auf öffentlichen Berichten, die jede der sieben Marktüberwachungsbehörden im Rahmen ihres EAA-Mandats veröffentlicht hat. Nicht veröffentlichte Sanktionen, Vergleiche, bei denen der Name des Betreibers aus nationalen Verfahrensgründen geschwärzt wurde, oder nur in Fachpresse berichtete Maßnahmen ohne entsprechenden Eintrag in einem öffentlichen Bescheidregister werden nicht berücksichtigt. Der Ausschluss macht die Gesamtzahlen konservativ; die tatsächliche Anzahl der Durchsetzungsaktivitäten ist fast sicher höher als das hier Tabellarisierte.

Ein methodischer Vorbehalt ist wichtiger als die anderen. Die sieben Behörden veröffentlichen nicht im gleichen Rhythmus. BAFA veröffentlicht ein vierteljährliches Bulletin; AEPD veröffentlicht Bescheide laufend nach Abschluss; ARCOM veröffentlicht ein Entscheidungsprotokoll der Sanktionskommission; DGCCRF veröffentlicht nur jährliche Zusammenfassungen, aus denen der EAA-Anteil rückgerechnet werden muss. Das estnische Tarbijakaitseamet veröffentlicht ein monatliches Durchsetzungsschreiben. AIBE in Belgien veröffentlicht fallweise. Der Vergleich von Zählungen zwischen Behörden ist daher eine Annäherung; der Vergleich des Trends innerhalb jeder Behörde ist erheblich zuverlässiger.

Der Trend: Umfang, Tempo und Streuung

Drei Dinge änderten sich zwischen Jahr 1 und Jahr 2. Erstens mehr als verdoppelte sich die Zahl der im öffentlichen Register vertretenen Behörden — von drei (BAFA, die spanische Koordination und das ARCOM-DGCCRF-Paar) auf sieben. Zweitens verdichtete sich der Takt innerhalb jeder aktiven Behörde — die mediane Zeit von der Beschwerde bis zur formellen Mahnung sank von ca. 76 auf 28 Tage, da die Behörden feste Fallbearbeitungsteams aufgebaut und ihre Korrespondenz standardisiert haben. Drittens versteilte sich die Kurve des Werts pro Maßnahme — das höchste Bußgeld in Jahr 1 betrug ca. 355.000 €; das höchste in Jahr 2 (unvollständig) ca. 480.000 €.

„Jahr 1 drehte sich darum, wer zuerst handeln würde. Jahr 2 dreht sich darum, welche Oberfläche — und die Antwort lautet von Riga bis Lissabon: der Checkout-Prozess.“

Behörde für Behörde: wer handelte, wie oft

Die sieben Behörden lassen sich nach ihrer Jahr-2-Aktivität in drei Stufen einteilen. Spanien und Deutschland stehen an der Spitze mit umfangreichen Berichten, mehreren hochkarätigen Sanktionen und aktiven Rechtsbehelfsverfahren. Frankreich und Italien bilden die mittlere Stufe — beide mit standardisierter Fallbearbeitung, aber vorsichtiger Sanktionshaltung. Estland, die Niederlande und Belgien bilden die Eintrittsstufe — geringe Fallzahlen, überwiegend erstmalige Warnkorrespondenz, gelegentliche Bußgelder deutlich unter der nationalen Obergrenze.

Deutschland: BAFA und die Checkout-Prozess-Doktrin

Das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) führte seinen Jahr-1-Fallbestand mit bereits laufendem operativen Apparat in Jahr 2 fort. Die Behörde veröffentlichte zwischen dem 28. Juni 2026 und dem 30. April 2027 neunzehn Sanktionsbescheide und formelle Mahnschreiben, gegenüber acht im vergleichbaren Jahr-1-Zeitraum. Zwei der Jahr-2-Maßnahmen erreichten den oberen Bereich des deutschen Bußgeldrahmens nach dem Barrierefreiheitsstärkungsgesetz (BFSG): eine bei ca. 245.000 € gegen einen mittelgroßen Modehändler wegen einer Tastatursperre im Zahlungsschritt-Modal und eine bei ca. 198.000 € gegen eine Banking-App wegen einer fehlenden Screenreader-Bezeichnung auf dem Transaktionsbestätigungsbildschirm.

Was die BAFA-Bulletins — über alle neunzehn Maßnahmen hinweg — offenbaren, ist eine doktrinäre Präferenz. Fast jeder deutsche Jahr-2-Bescheid benennt dieselbe Zweikriterien-Kombination: WCAG 2.1 SC 2.1.1 (Tastatur) plus SC 4.1.2 (Name, Rolle, Wert), speziell in ihrer Anwendung auf eine Transaktionsoberfläche. BAFA wirft kein weites Netz über das gesamte WCAG-Inventar aus; es setzt ein enges Band von „den Kriterien durch, die, wenn verletzt, den Abschluss einer betroffenen Transaktion verhindern.“ Die Doktrin ist enger als der EAA erlaubt und erheblich vorhersehbarer als es die Jahr-1-Lesart nahelegte.

Spanien: AEPD plus Ministerio-Koordination

Spaniens Durchsetzungsarchitektur ist ungewöhnlich. Statt eine einzige Marktüberwachungsbehörde zu benennen, leitet das Land EAA-Beschwerden über die Agencia Española de Protección de Datos (AEPD) um, wenn die Beschwerde Rechte der betroffenen Person berührt, und über das Ministerio de Asuntos Económicos, wenn nicht. Die beiden Stellen koordinieren sich vierteljährlich. Das Ergebnis ist in Jahr 2 der größte Einzeljurisdiktionsfall-Bestand in der EU: dreiundzwanzig veröffentlichte Maßnahmen, ca. 1,34 Millionen € in kumulierten Bußgeldern und das Jahr-2-Rekord für die höchste Einzelsanktion — ca. 480.000 € gegen eine große Flug-Ticketing-Plattform nach der „besonders schwerwiegenden“ Stufe der Ley 11/2023.

Die spanischen Maßnahmen neigen zum oberen Ende der europäischen Bußgeldskala. Ley 11/2023 erlaubt Obergrenzen pro Verstoß von bis zu 1 Million €; Jahr 2 verzeichnete drei Bescheide über 250.000 € und sieben über 100.000 €. Spaniens Bilanz wird weniger durch das Fallvolumen als durch die Bereitschaft angetrieben, die obere Stufe zu nutzen. Die Audiencia Nacional hat die Flug-Ticketing-Entscheidung derzeit im Rechtsmittelverfahren; ein Urteil wird Ende 2027 erwartet und wird der erste appellationsgerichtliche Test der Artikel-13-Obergrenzen im Binnenmarkt sein.

Frankreich: ARCOM und DGCCRF, zweigleisiger Druck

Frankreich teilt die Durchsetzungsfunktion zwischen ARCOM, dem audiovisuellen und digitalen Inhalteregulierer, und DGCCRF, der Verbraucherschutzdirektion. ARCOM deckt audiovisuelle Mediendienste und Streaming-Plattformen ab; DGCCRF deckt E-Commerce-Checkout-Prozesse, Verbraucher-Banking und Selbstbedienungskioske ab. Die zweigleisige Regelung trug vierzehn Jahr-2-Maßnahmen gemeinsam, mit der größten — ca. 92.000 € — von ARCOM gegen eine Streaming-Plattform wegen Nichteinhaltung bei Audiodeskription und geschlossenen Untertiteln in seinem iOS-Player. DGCCRF-Maßnahmen lagen hingegen im Bereich von 18.000–55.000 € und konzentrierten sich auf Checkout-Prozess-Verstöße.

Die französischen Daten zeigen auch die sauberste „Jahr-1-zu-Jahr-2“-Verdopplung unter den aktiven Behörden — sieben Maßnahmen in Jahr 1, vierzehn in Jahr 2 (unvollständig). Das Wachstum ist annähernd linear; wenn der Mai-Juni-2027-Takt anhält, wird Frankreich Jahr 2 mit rund siebzehn Maßnahmen abschließen — leicht unter Deutschland und Spanien.

Italien: AgID tritt in die Phase öffentlicher Berichte ein

Die Agenzia per l’Italia Digitale (AgID) verbrachte Jahr 1 in der Abgrenzungsphase — Fallbearbeitungsverfahren ausarbeiten, Inspektoren schulen und privat mit Betreibern korrespondieren, bevor eine Sanktion erging. Jahr 2 ist der Zeitpunkt, ab dem die Behörde begann, öffentlich zu berichten. Zehn Bescheide, ca. 175.000 € an kumulierten Bußgeldern und ein klares Muster: AgID bevorzugt einen gestuften Ansatz, beginnt mit einem niedrigbandigen Bußgeld beim ersten Befund und behält die umsatzbezogene Stufe — die nach dem italienischen Umsetzungsgesetz bis zu 5 % des Jahresumsatzes erreichen kann — für Wiederholungsverstöße auf derselben Oberfläche vor.

Kein italienisches Jahr-2-Bußgeld hat bislang die umsatzbezogene Stufe angewendet. Der stellvertretende Direktor der Behörde teilte auf einer Barrierefreiheitskonferenz in Rom im März 2027 mit, dass die erste umsatzbezogene Sanktion gegen einen betroffenen Betreiber, der nun drei eskalierend steigende Festbetragsbußgelder erhalten hat, „in Vorbereitung“ sei. Wenn dieser Bescheid ergeht, würde er angesichts des veröffentlichten Umsatzes eines großen betroffenen Betreibers den Jahr-2-Rekord für jede EU-Jurisdiktion aufstellen.

Estland: Tarbijakaitseamet am unteren Ende des Bandes

Estlands Marktüberwachungsbehörde für den EAA ist das Tarbijakaitseamet, die Verbraucherschutzbehörde. Der estnische Bußgeldrahmen liegt am unteren Ende des europäischen Bereichs — Obergrenzen pro Verstoß von ca. 5.000 € nach dem estnischen Umsetzungsgesetz. Fünf Jahr-2-Maßnahmen, alle bei oder nahe der Obergrenze, gegen eine Mischung inländischer E-Commerce-Plattformen. Das höchste Einzelbußgeld beträgt ca. 4.800 €; das niedrigste ca. 1.200 €, verhängt als gestuftes erstmaliges Warnbußgeld nach dem estnischen Verwaltungsverfahrensrecht.

Was Estland interessant macht, sind nicht die nominalen Werte — sie liegen eine Größenordnung unter Spanien und Deutschland —, sondern die Geschwindigkeit. Die mediane Beschwerde-bis-Mahnung-Frist des Tarbijakaitseamet beträgt vierzehn Tage, die Hälfte des EU-Durchschnitts. Die Behörde betreibt einen schlanken Betrieb mit knapper Warteschlange und vorhersehbarem Takt. Betreiber, die ein Schreiben des Tarbijakaitseamet erhalten, wissen innerhalb von zwei Wochen, was der Befund sein wird.

Niederlande: Agentschap Telecom weitet sich über Telekommunikation hinaus aus

Agentschap Telecom — historisch ein Telekommunikationsregulierer — wurde Mitte 2025 als niederländische Marktüberwachungsbehörde für den EAA benannt und wurde in EAA-Angelegenheiten während Jahr 1 operativ. Jahr 2 ist der Zeitpunkt, ab dem die Behörde über ihren Telekommunikations- und Rundfunkkern hinausging und bei E-Commerce-, Selbstbedienungskiosk- und Banking-App-Oberflächen tätig wurde. Sieben Jahr-2-Maßnahmen, ca. 78.000 € kumuliert, mit dem höchsten Einzelbußgeld bei ca. 31.000 € gegen einen Selbstbedienungskiosk-Betreiber an einem großen Randstad-Verkehrsknotenpunkt.

Der niederländische Bußgeldrahmen nach der Implementatiewet toegankelijkheidsvoorschriften produkten en diensten erlaubt Obergrenzen von bis zu ca. 100.000 € pro Verstoß. Agentschap Telecom liegt in Jahr 2 deutlich unter dieser Obergrenze — das höchste verhängte Bußgeld liegt bei ca. 31 % des gesetzlichen Maximums. Die Behörde hat einen gestuften Ansatz angekündigt: Erstverstöße landen im unteren Band, Wiederholungsverstöße auf derselben Oberfläche eskalieren.

Belgien: AIBE, der Neuling des zweiten Jahres

Belgien gründete die Autorité Indépendante Belge pour l’Accessibilité (AIBE) am 14. Oktober 2026 — ein Jahr und vier Monate nach dem EAA-Durchsetzungsstichtag. Die Verzögerung hatte eine begründete Stellungnahme der Kommission Anfang 2026 ausgelöst, und die belgische Benennung war die letzte, die unter den EU 27 abgeschlossen wurde. AIBE hatte bis zum 30. April 2027 drei Jahr-2-Maßnahmen im Register: eine formelle Warnung gegen eine in Brüssel ansässige Banking-App, einen Erstbußgeldbescheid von ca. 12.000 € gegen einen wallonischen E-Commerce-Betreiber und eine zweite formelle Warnung gegen einen flämischen Selbstbedienungskiosk-Anbieter.

Das veröffentlichte Verfahrenshandbuch von AIBE lehnt sich an das spanische AEPD-Modell an: ein koordiniertes Eingangsverfahren mit der Datenschutzbehörde (APD-GBA), wenn die Beschwerde Rechte der betroffenen Person berührt, und eine direkte AIBE-Bearbeitung andernfalls. Die Behörde hat signalisiert, dass Jahr 3 die ersten Sanktionen auf Höchstniveauniveau sehen wird; die Jahr-2-Fallbelastung war bewusst abgestuft, um betroffenen Betreibern ein Remediierungsfenster zu geben.

Grenzüberschreitende Weiterverweisungen und der CPC-Link

Neun grenzüberschreitende Weiterverweisungen zwischen Behörden wurden in Jahr 2 verzeichnet — ein Mechanismus, der in Jahr 1 keine Weiterverweisungen produzierte, weil das CPC-Netz-Koordinationsprotokoll für EAA-Angelegenheiten erst im September 2026 operativ wurde. Die Weiterverweisungen flossen in einem vorhersehbaren Muster: Kleinere Mitgliedstaaten (Estland, Niederlande, Belgien) verweiterleiteten Beschwerden aufwärts zur Heimatbehörde der Plattform, die ihren Hauptsitz in einem größeren Mitgliedstaat hat (häufig Irland, Luxemburg oder Deutschland). Die Heimatlandbehörde nahm die Weiterverweisung dann entweder an und eröffnete einen Fall oder sandte die Akte mit begründeter Erklärung zurück.

Von den neun Jahr-2-Weiterverweisungen wurden sechs angenommen und drei zurückgesendet. Die sechs angenommenen Weiterverweisungen tauchen noch nicht in veröffentlichten Sanktionsbescheiden auf — sie befinden sich in der Heimatlandpipeline. Die Erwartung ist, dass die ersten durch grenzüberschreitende Weiterverweisung ausgelösten Sanktionen in Jahr 3 ergehen werden, hauptsächlich gegen große pan-EU-Plattformen, deren Hauptsitzjurisdiktion sie noch nicht als Prioritätsziele behandelt hatte.

Was die Jahr-2-Daten über Jahr 3 aussagen

Das schärfste einzelne Signal im Jahr-2-Datensatz ist, dass die EAA-Durchsetzung zur Routine wird. Jahr 1 drehte sich darum, ob das Regime tatsächlich beißen würde. Die Zahlen sagten ja, aber vorsichtig — drei Behörden, vierundzwanzig Maßnahmen, Höchstbußgeld knapp unter 355.000 €. Jahr 2 dreht sich darum, wie breit der Biss skaliert: sieben Behörden, einundachtzig Maßnahmen im laufenden Teiljahreszähler, Höchstbußgeld ca. 480.000 €, und eine standardisierte Fallbearbeitungspipeline, die 28 Tage Median von Beschwerde bis formeller Mahnung läuft. Das Regime ist nicht mehr experimentell.

Das zweite Signal ist die doktrinäre Konvergenz auf den Checkout-Prozess. Über alle sieben Behörden hinweg ist die modal sanktionierte Oberfläche der E-Commerce-Checkout — 62 % der Jahr-2-Maßnahmen, mit dem dominanten Kriterienpaar WCAG 2.1 SC 2.1.1 (Tastatur) plus SC 4.1.2 (Name, Rolle, Wert), angewendet auf ein Transaktionsmodal. Dies ist dieselbe Oberfläche, die in den Vereinigten Staaten das Klagevolumen antreibt. Die EU ist auf einem anderen Verfahrensweg beim selben Durchsetzungsfokus angekommen. Für betroffene Betreiber ist die praktische Konsequenz eindeutig: Wenn es eine Priorität für das Barrierefreiheitsbudget gibt, ist es der Checkout-Prozess.

Das dritte Signal ist, dass der Jahr-3-Datensatz wieder anders aussehen wird. Fünf weitere Mitgliedstaaten haben Zeitpläne veröffentlicht, um in der zweiten Hälfte 2027 mit der Veröffentlichung von Sanktionsbescheiden zu beginnen. Italiens erste umsatzbezogene Stufensanktion ist „in Vorbereitung.“ Das erste Berufungsurteil — der spanische Flug-Ticketing-Fall bei der Audiencia Nacional — wird Ende 2027 ergehen und die erste Rechtsprechung zur EAA-Bußgeldverhältnismäßigkeit nach Artikel 13 etablieren. Der Übergang von „das Regime ist real“ zu „das Regime hat gefestigte Rechtsprechung“ verläuft durch Jahr 3.