Am 6. Mai 2026 stellte die scheidende Bundesbeauftragte für den Datenschutz und die Informationsfreiheit, Prof. Dr. Louisa Specht-Riemenschneider, ihren letzten Tätigkeitsbericht vor: 11.824 Eingaben, ein Plus von 36 Prozent gegenüber dem Vorjahr, und ein Bußgeld von 45 Millionen Euro gegen Vodafone, das höchste, das eine deutsche Aufsichtsbehörde je verhängt hat. Ihr Nachfolger Prof. Dr. Moritz Hennemann übernimmt das Amt zum 1. Oktober 2026, mitten in einem Jahr, in dem sich in Berlin und Brüssel gleichzeitig die Zuständigkeiten, die Prüfpraxis und die gesetzlichen Grundlagen selbst verschieben.
Wenn Ihr Unternehmen bislang dachte, "wir haben unsere DSGVO-Hausaufgaben gemacht, jetzt ist erst mal Ruhe", dann trifft das 2026 nicht zu. Zwischen August und Dezember laufen mindestens vier voneinander unabhängige Uhren gleichzeitig ab: die KI-Verordnung, eine neue deutsche KI-Aufsichtsbehörde, eine EU-weite Prüfaktion zu Transparenzpflichten und ein Reformpaket, das die DSGVO selbst verändern soll, noch bevor Ihr Compliance-Team die letzte Version durchgearbeitet hat.
Kurz zusammengefasst
- Seit dem 2. August 2026 gelten die Transparenzpflichten der KI-Verordnung (Kennzeichnung von Chatbots, KI-Inhalten und Deepfakes); die Bundesnetzagentur ist seit dem 29. Juli 2026 die zentrale deutsche Marktüberwachungsbehörde für KI-Systeme.
- 25 Datenschutzaufsichtsbehörden, darunter alle deutschen Landesbehörden, prüfen im Rahmen des EDPB-Koordinierungsverfahrens CEF 2026 gezielt, ob Unternehmen ihre Informationspflichten nach Art. 12 bis 14 DSGVO tatsächlich erfüllen.
- Der "Digital Omnibus" der EU-Kommission soll die DSGVO selbst vereinfachen: ein EU-weit einheitliches Verzeichnis DPIA-pflichtiger Verarbeitungen statt 27 nationaler Listen, ein erleichtertes Verarbeitungsverzeichnis für Unternehmen unter 250 Mitarbeitenden, das Gesetzgebungsverfahren läuft noch.
- Die BfDI meldete für 2025 einen Anstieg der Eingaben um 36 Prozent auf 11.824 (34. Tätigkeitsbericht), während die für Ende 2026 angekündigte Abschaffung der 20-Personen-Schwelle zur Pflicht eines Datenschutzbeauftragten noch nicht Gesetz ist.
Warum 2026 kein normales Nachjustierungsjahr ist
In den meisten Jahren seit 2018 ließ sich die deutsche Datenschutz-Compliance in einem Satz zusammenfassen: DSGVO umsetzen, BDSG-Öffnungsklauseln beachten, fertig. 2026 fallen drei strukturelle Veränderungen zusammen, die einzeln schon Beachtung verdienen und gemeinsam eine andere Kategorie von Jahr ergeben.
Erstens bekommt Deutschland mit der Bundesnetzagentur eine komplett neue KI-Aufsichtsstruktur, parallel zur bestehenden Datenschutzaufsicht, nicht als deren Ersatz. Zweitens verändert der Digital Omnibus zum ersten Mal seit 2018 den Text der DSGVO selbst, nicht nur ihre Auslegung. Drittens wechselt an der Spitze der BfDI die Person, die diese Übergänge in der Praxis moderieren muss, mitten in der heißen Phase. Für ein Unternehmen mit Sitz oder Kundschaft in Deutschland heißt das: Ein Compliance-Programm, das nur auf "die DSGVO" schaut, verpasst mindestens zwei der drei Ebenen, auf denen sich die eigentlichen Pflichten 2026 gerade neu sortieren.
Die KI-Verordnung wird ab August 2026 tatsächlich scharf, und Deutschland bekommt dafür eine eigene Behörde
KI-Verordnung (AI Act): Die Verordnung (EU) 2024/1689 regelt KI-Systeme risikobasiert und gilt unmittelbar in allen Mitgliedstaaten, mit gestaffelten Anwendungsdaten je Risikokategorie.
Seit dem 2. August 2026 gelten die Transparenzpflichten aus Art. 50: Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte und Deepfakes müssen gekennzeichnet werden. Der "Digital Omnibus on AI" hat diese Pflichten nicht verschoben, wohl aber die eigentlichen Hochrisiko-Pflichten nach Anhang III (etwa für KI-Systeme im Bewerbermanagement oder Kreditscoring), die nun erst am 2. Dezember 2027 greifen, ein Jahr später als ursprünglich geplant. Für in Produkte eingebettete Hochrisiko-KI gilt sogar erst der 2. August 2028. Wer glaubt, die Verschiebung bedeute "2026 ist noch nichts los", verwechselt die verschobenen Pflichten mit den nicht verschobenen.
Für Deutschland kommt eine zweite, oft übersehene Ebene hinzu: Am 11. Juni 2026 verabschiedete der Bundestag das KI-Marktüberwachungs- und Innovationsförderungsgesetz (KI-MIG), das am 29. Juli 2026 in Kraft trat. Es bündelt die nationale KI-Aufsicht bei der Bundesnetzagentur, die künftig als zentrale Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle fungiert, ergänzt um eine eigene KI-Marktüberwachungskammer für Hochrisikosysteme und ein zentrales Beschwerdeportal für Bürgerinnen und Bürger. Verstöße gegen bestimmte Mitwirkungs- und Auskunftspflichten gegenüber der Bundesnetzagentur können mit bis zu 50.000 Euro geahndet werden, unabhängig von den deutlich höheren Bußgeldern nach der KI-Verordnung selbst: bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene KI-Praktiken nach Art. 5, bis zu 15 Millionen Euro oder 3 Prozent für Hochrisiko-Verstöße (Art. 99 KI-VO). Für kleine und mittlere Unternehmen gilt dabei nicht der höhere, sondern der jeweils niedrigere der beiden Werte als Obergrenze.
Was das praktisch bedeutet: Ein KI-System, das personenbezogene Daten verarbeitet, braucht weiterhin eine eigenständige DSGVO-Rechtsgrundlage. Die KI-Verordnung ersetzt diese Pflicht nicht, sie kommt zusätzlich hinzu und wird künftig von einer eigenen Bundesbehörde beaufsichtigt, die von der Datenschutzaufsicht organisatorisch getrennt ist. Unternehmen, die ihre KI-Systeme bislang nur im Datenverzeichnis mitführen, ohne sie auch gegen die KI-VO-Risikoklassen zu prüfen, laufen ab jetzt zwei getrennten Prüfrisiken hinterher, nicht nur einem. Ein AI-Governance-Modul, das KI-Systeme direkt mit den zugehörigen Verarbeitungstätigkeiten verknüpft und automatisch auf einschlägige Regulierungen mappt, verhindert genau diese doppelte, unkoordinierte Pflege zweier paralleler Nachweisketten.
Die EDPB-Prüfaktion 2026: Transparenz ist kein Nice-to-have mehr, sondern das offizielle Jahresthema
Coordinated Enforcement Framework (CEF): Ein Verfahren, mit dem der Europäische Datenschutzausschuss (EDPB) jährlich ein Schwerpunktthema festlegt, das die nationalen Aufsichtsbehörden freiwillig, aber koordiniert in ihre reguläre Prüftätigkeit aufnehmen.
Am 19. März 2026 startete der EDPB die CEF-2026-Aktion zu Transparenz- und Informationspflichten nach Art. 12 bis 14 DSGVO. 25 Aufsichtsbehörden in ganz Europa, darunter die deutschen Landesbehörden, prüfen im Laufe des Jahres per Fragebogen und gezielten Untersuchungen, ob Datenschutzhinweise tatsächlich verständlich sind und ob betroffene Personen wirklich nachvollziehen können, wann und wie ihre Daten verarbeitet werden. In der zweiten Jahreshälfte tauschen die Behörden ihre nationalen Ergebnisse aus, ein konsolidierter Bericht soll bis Ende 2026 zur Verabschiedung durch den EDPB vorliegen.
Der Unterschied zu einer normalen Datenschutzerklärungs-Prüfung: CEF-Themen erhöhen die Wahrscheinlichkeit einer tatsächlichen behördlichen Anfrage bei Ihrem Unternehmen erheblich, weil die Behörden im ausgewählten Themenjahr systematisch und nicht nur anlassbezogen prüfen. Eine Datenschutzerklärung, die seit zwei Jahren nicht mehr an neue Verarbeitungszwecke angepasst wurde, oder ein Cookie-Banner, dessen Informationstext nicht mehr zur tatsächlich eingesetzten Tracking-Technologie passt, ist 2026 kein theoretisches Risiko mehr, sondern ein konkreter Prüfpunkt auf einer Liste, die 25 Behörden gleichzeitig abarbeiten.
Sprechen Sie mit Ihrem Compliance- oder Marketing-Team konkret darüber, ob Ihre Datenschutzhinweise noch zu Ihren tatsächlichen Verarbeitungstätigkeiten passen, denn genau diese Lücke zwischen Text und Realität ist der erste Punkt, den ein CEF-Fragebogen abfragt.
Der Digital Omnibus: Die DSGVO wird 2026 zum ersten Mal seit 2018 am Text selbst verändert
Digital Omnibus: Ein Reformpaket der EU-Kommission, das mehrere digitale Rechtsakte, darunter die DSGVO, die ePrivacy-Richtlinie und die KI-Verordnung, gleichzeitig vereinfachen soll.
Zwei Teilpakete laufen dabei auf unterschiedlichen Spuren: Der KI-Omnibus hat das Gesetzgebungsverfahren bereits durchlaufen und die oben beschriebene Fristverschiebung bei den Hochrisikopflichten ausgelöst. Der Daten-Omnibus, der die DSGVO, die ePrivacy-Richtlinie, NIS2 und DORA betrifft, befindet sich noch in Verhandlung. Zu den Vorschlägen zählen ein vereinfachtes Verarbeitungsverzeichnis für Unternehmen mit weniger als 250 Beschäftigten, sofern keine besonders sensiblen Datenkategorien betroffen sind, sowie eine einheitliche EU-Liste DPIA-pflichtiger Verarbeitungen mit gemeinsamem Muster und Methodik, entwickelt vom EDPB, statt der bisherigen 27 unterschiedlichen nationalen Listen.
Der EDPB und der Europäische Datenschutzbeauftragte (EDPS) haben in einer gemeinsamen Stellungnahme die Grundrichtung der Vereinfachung unterstützt, gleichzeitig aber zentrale Bedenken angemeldet, insbesondere zu Änderungen, die den Anwendungsbereich des Personenbezugs oder die Grundlagen der Zweckbindung berühren könnten. Die BfDI äußerte sich Anfang September 2026 in einer Kurzmeldung ähnlich kritisch und warnte, der Digital Omnibus greife bei zentralen Datenschutzfragen zu kurz. Für ein Unternehmen, das jetzt sein Compliance-Programm für die nächsten zwei bis drei Jahre plant, ist die wichtigste praktische Konsequenz: Kein Teil dieses Reformpakets ist bereits geltendes Recht. Wer heute schon so handelt, als gäbe es das vereinfachte Verarbeitungsverzeichnis oder die einheitliche DPIA-Liste bereits, unterläuft eine Pflicht, die formal weiterhin in ihrer bisherigen, strengeren Fassung gilt.
Parallel dazu bleibt eine kleinere, aber für den deutschen Mittelstand konkrete Reform in der Schwebe: Die Bundesregierung kündigte in ihrer Modernisierungsagenda vom 4. Dezember 2025 an, die Pflicht zur Bestellung eines Datenschutzbeauftragten nach § 38 Abs. 1 BDSG (aktuell ab 20 Personen, die ständig mit automatisierter Datenverarbeitung befasst sind) bis Ende 2026 abschaffen zu wollen, und legte dazu am 2. Juli 2026 ein konkretes Reformpaket vor, das auch eine Neuordnung der Aufsichtszuständigkeiten umfasst. Auch dieses Paket ist bislang eine politische Reforminitiative, kein verkündetes Gesetz. Unternehmen, die bereits jetzt ihre Datenschutzbeauftragten-Bestellung auflösen, weil sie eine Reform erwarten, handeln auf Grundlage eines Gesetzes, das noch nicht existiert.
2026 im Überblick: Wer prüft was, ab wann
| Änderung | Zuständige Stelle | Zeitpunkt 2026 | Was Unternehmen konkret betrifft |
|---|---|---|---|
| KI-VO-Transparenzpflichten (Art. 50) | Bundesnetzagentur, EU-KI-Büro | seit 2. August | Kennzeichnung von Chatbots, KI-Inhalten und Deepfakes |
| KI-MIG (deutsche KI-Marktüberwachung) | Bundesnetzagentur | in Kraft seit 29. Juli | Zentrale Anlauf- und Beschwerdestelle, Bußgelder bis 50.000 Euro für Mitwirkungspflichten |
| CEF 2026 Transparenzprüfung | 25 EU-Aufsichtsbehörden inkl. deutsche Landesbehörden | seit 19. März, Bericht Ende 2026 | Prüfung von Datenschutzhinweisen anhand Art. 12 bis 14 DSGVO |
| Digital Omnibus (Daten-Teil) | EU-Rat und Europäisches Parlament | noch in Verhandlung | Vereinfachtes ROPA, einheitliche DPIA-Liste, noch kein geltendes Recht |
| DSB-Schwellenreform (§ 38 BDSG) | Bundesregierung, Bundestag | angekündigt für Ende 2026 | Mögliche Abschaffung der 20-Personen-Schwelle, noch nicht beschlossen |
| Hochrisiko-Pflichten KI-VO (Anhang III) | Bundesnetzagentur, EU-KI-Büro | verschoben auf 2. Dezember 2027 | Betrifft u. a. Bewerbermanagement- und Scoring-Systeme, noch Vorlaufzeit |
Was das für Unternehmen mit Sitz oder Kundschaft in Deutschland konkret bedeutet
Wer nur eine Rechtsordnung im Blick hat, unterschätzt 2026 systematisch. Für die vollständige Übersicht über DSGVO, CCPA, BDSG, PIPL, LGPD und weitere internationale Regime samt jurisdiktionsspezifischer Bußgeldstruktur lohnt sich unser Praxisleitfaden zu DSGVO, CCPA und internationalem Datenschutz 2026; dieser Beitrag konzentriert sich bewusst auf das, was innerhalb Deutschlands und der EU 2026 tatsächlich neu ist, nicht auf die bereits bekannte Landkarte der Rechtsordnungen.
Drei Verschiebungen verdienen dabei besondere Aufmerksamkeit, weil sie leicht übersehen werden:
Die Zuständigkeit für KI-Systeme ist jetzt geteilt, nicht mehr datenschutzrechtlich allein. Vor dem KI-MIG war die Antwort auf "wer prüft unser KI-System" relativ klar: die zuständige Landesdatenschutzbehörde, sofern personenbezogene Daten verarbeitet wurden. Seit August 2026 gibt es mit der Bundesnetzagentur eine zweite, eigenständige Adresse, die eigene Auskunfts- und Mitwirkungspflichten mit eigenen Bußgeldern durchsetzt. Ein Unternehmen, das eine Anfrage der Bundesnetzagentur wie eine gewöhnliche Datenschutzanfrage behandelt und an die interne Datenschutzabteilung weiterleitet, ohne die KI-Governance-Verantwortlichen einzubeziehen, riskiert doppelte Reibungsverluste bei ohnehin knappen Fristen.
Transparenzpflichten sind 2026 kein Dokumentationsdetail, sondern ein aktiver Prüfschwerpunkt. Die CEF-2026-Aktion verändert nichts am Gesetzestext der Art. 12 bis 14 DSGVO, sie verändert die Wahrscheinlichkeit, dass eine Behörde tatsächlich nachfragt. Ein Cookie-Banner oder eine Consent-Management-Plattform, die Einwilligungssignale korrekt protokolliert und Rechtsgrundlagen nachvollziehbar dokumentiert, ist in diesem Jahr kein Komfortfeature, sondern die erste Verteidigungslinie gegen eine reale, terminierte Prüfwelle.
Angekündigte Erleichterungen sind noch keine geltenden Erleichterungen. Sowohl die vereinfachte ROPA-Pflicht des Digital Omnibus als auch die mögliche Abschaffung der Datenschutzbeauftragten-Schwelle befinden sich im Gesetzgebungsverfahren, nicht im geltenden Recht. Ein Compliance-Programm, das jetzt schon auf diese Erleichterungen vorgreift, tauscht ein reales Bußgeldrisiko gegen die Hoffnung auf eine noch nicht beschlossene Reform.
Der praktische Fahrplan für die zweite Jahreshälfte 2026
- KI-Systeme und Datenschutz-Rechtsgrundlagen getrennt, aber verknüpft dokumentieren. Jedes KI-System braucht eine eigenständige DSGVO-Rechtsgrundlage und eine KI-VO-Risikoklassifizierung, beides muss im selben Datenverzeichnis auffindbar sein, nicht in zwei getrennten Excel-Tabellen, die niemand synchron hält.
- Datenschutzhinweise jetzt gegen die tatsächlichen Verarbeitungstätigkeiten abgleichen, nicht erst, wenn ein Fragebogen einer Landesbehörde eintrifft. Ein CEF-Jahr ist keine Ankündigung, sondern eine terminierte Prüfaktion mit Bericht zum Jahresende.
- Zuständigkeiten für KI-Anfragen klar zuordnen. Definieren Sie schriftlich, wer eine Anfrage der Bundesnetzagentur bearbeitet und wer eine Anfrage der Landesdatenschutzbehörde, bevor beide gleichzeitig eintreffen.
- Reformankündigungen von geltendem Recht trennen. Weder das vereinfachte Verarbeitungsverzeichnis noch die mögliche DSB-Schwellenreform sind 2026 bereits umsetzbar; planen Sie mit dem aktuell geltenden Recht, nicht mit dem erwarteten.
- Governance-Reife nicht nur einmal messen, sondern über das Jahr verfolgen, weil sich die Prüfschwerpunkte selbst innerhalb eines Jahres verschieben können, ein CEF-Thema für 2027 wird typischerweise bereits im Herbst des Vorjahres angekündigt.
Wer diese fünf Punkte händisch über verteilte Dokumente verfolgt, verliert in genau dem Moment den Überblick, in dem eine Behörde nachfragt, welche Rechtsgrundlage für welches KI-System oder welche Verarbeitungstätigkeit dokumentiert war. Die Data Map & ROPA-Funktion der Secure Privacy & AI Governance Platform verknüpft Verarbeitungstätigkeiten, KI-Systeme, Risikobewertungen und DSAR-Bearbeitung in einem Dashboard, über mehrere Rechtsträger und mehr als 60 Regulierungen hinweg, statt für jede neue Prüfaktion eine neue Tabelle anzulegen.
Häufig gestellte Fragen
Muss unser Unternehmen ab August 2026 wirklich etwas Neues tun, oder betrifft das nur große KI-Anbieter?
Ja, wenn Sie einen Chatbot, ein Content-Generierungstool oder ein anderes System einsetzen, das unter Art. 50 KI-VO fällt, auch als reiner Nutzer eines Drittanbieter-Systems. Die Transparenzpflicht zur Kennzeichnung von KI-Interaktionen und KI-generierten Inhalten trifft Betreiber, nicht nur Entwickler von KI-Systemen.
Ist die Bundesnetzagentur jetzt für alle KI-Fragen zuständig, auch wenn personenbezogene Daten verarbeitet werden?
Nein. Die Bundesnetzagentur überwacht die Einhaltung der KI-Verordnung als solche, die Datenschutzaufsichtsbehörden bleiben zuständig für die DSGVO-Rechtsgrundlage der Verarbeitung. Beide Zuständigkeiten bestehen parallel und unabhängig voneinander.
Was genau prüfen die Behörden bei der CEF-2026-Aktion konkret?
Ob Datenschutzhinweise die Anforderungen der Art. 12 bis 14 DSGVO erfüllen, also ob betroffene Personen verständlich, vollständig und zeitgerecht darüber informiert werden, wie ihre Daten verarbeitet werden. Das erfolgt über Fragebögen und gezielte Untersuchungen durch die jeweils zuständige nationale Behörde.
Gilt die vereinfachte Verarbeitungsverzeichnis-Pflicht aus dem Digital Omnibus schon für kleinere Unternehmen?
Nein, der Vorschlag befindet sich noch im EU-Gesetzgebungsverfahren und ist nicht in Kraft. Bis zu einer förmlichen Verabschiedung gilt die bisherige, umfassendere ROPA-Pflicht unverändert für alle betroffenen Unternehmen unabhängig von der Größe.
Fällt die Pflicht zum Datenschutzbeauftragten in Deutschland jetzt tatsächlich weg?
Noch nicht. Die Bundesregierung hat eine Abschaffung der 20-Personen-Schwelle nach § 38 Abs. 1 BDSG bis Ende 2026 angekündigt, ein entsprechendes Gesetz ist zum aktuellen Stand aber nicht verkündet. Unternehmen sollten die bestehende Pflicht bis zu einer förmlichen Gesetzesänderung weiter beachten.
Wie hoch können Bußgelder nach der KI-Verordnung tatsächlich ausfallen?
Bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes für verbotene KI-Praktiken, bis zu 15 Millionen Euro oder 3 Prozent für Verstöße gegen Hochrisiko-Pflichten, und bis zu 7,5 Millionen Euro oder 1 Prozent für falsche Angaben gegenüber Behörden. Bei kleinen und mittleren Unternehmen gilt jeweils der niedrigere, nicht der höhere Betrag als Obergrenze.
Ändert der Führungswechsel an der Spitze der BfDI etwas an der Durchsetzungspraxis?
Unmittelbar nicht, da die Aufsichtsbehörde als Institution unabhängig vom Amtsinhaber weiterarbeitet und laufende Verfahren fortführt. Mittelfristig kann sich die Schwerpunktsetzung ändern, sobald der neue Amtsinhaber Prof. Dr. Moritz Hennemann ab Oktober 2026 eigene Prioritäten setzt.
Die eine Frage, die sich Ihr Unternehmen jetzt stellen sollte
Keine der hier beschriebenen Änderungen wird 2026 einfacher, jede von ihnen wird konkreter: eine neue Behörde mit eigenen Fristen, eine terminierte EU-weite Prüfaktion, ein Reformpaket, das noch nicht gilt, aber schon Erwartungen weckt. Die eigentliche Frage lautet nicht, ob Ihr Unternehmen "DSGVO-konform" ist, sondern ob Sie heute belegen könnten, welche Rechtsgrundlage, welche KI-Risikoklasse und welcher Transparenzhinweis zu welcher Verarbeitungstätigkeit gehört, wenn eine der 25 CEF-Behörden oder die Bundesnetzagentur morgen anfragt. Die Secure Privacy & AI Governance Platform bündelt Data Map & ROPA, DSAR-Bearbeitung, Risikomanagement, Vendor-Bewertung und ein eigenes KI-Governance-Modul für über 60 Regulierungen in einem Dashboard, mehrere Rechtsträger eingeschlossen. Vereinbaren Sie eine 45-minütige Demo, um zu sehen, wie sich Ihre eigenen Fristen aus diesem Jahr darin abbilden lassen.
