Im Juni 2025 verhängte die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) gegen die Vodafone GmbH zwei Bußgelder in Höhe von insgesamt 45 Millionen Euro, 15 Millionen wegen mangelhafter Kontrolle von Auftragsverarbeitern, 30 Millionen wegen unzureichender Authentifizierungsprozesse. Das ist bislang die höchste von einer deutschen Aufsichtsbehörde verhängte Einzelstrafe.
Wenn Ihr Unternehmen Kunden in Kalifornien betreut, Mitarbeitende in Deutschland beschäftigt und vielleicht noch nach Brasilien oder Großbritannien verkauft, reicht die Frage „Sind wir DSGVO-konform?" nicht mehr aus. Sie brauchen eine Antwort für jede Rechtsordnung, in der Ihre Daten tatsächlich fließen, und die Antworten unterscheiden sich stärker, als die meisten Compliance-Checklisten zugeben.
Kurz zusammengefasst
- Die deutschen Aufsichtsbehörden verhängten 2025 insgesamt 249 Bußgelder mit einer Gesamtsumme von rund 46,9 Millionen Euro (Datenschutzbericht 2025); EU-weit blieb die Gesamtsumme aller DSGVO-Bußgelder erstmals seit 2021 unter der Milliardengrenze.
- Für 2026 liegt die CCPA/CPRA-Umsatzschwelle inflationsbedingt bei 26.625.000 US-Dollar Jahresbruttoumsatz, nicht mehr bei den ursprünglichen 25 Millionen.
- Ab dem 2. August 2026 gelten die Transparenzpflichten des EU AI Act (Kennzeichnung von Chatbots und Deepfakes); die Pflichten für Hochrisiko-KI nach Anhang III wurden per „Digital Omnibus on AI" auf den 2. Dezember 2027 verschoben.
- Das BDSG ersetzt die DSGVO nicht, sondern füllt deren Öffnungsklauseln, etwa beim Beschäftigtendatenschutz nach § 26 BDSG und bei der Schwelle für die Pflicht zum Datenschutzbeauftragten.
Warum "DSGVO-konform" allein nicht reicht
Die DSGVO gilt extraterritorial: Ein Unternehmen mit Sitz in Ohio, das eine deutschsprachige Preisseite betreibt und Zahlungen in Euro akzeptiert, unterliegt Artikel 3 Absatz 2 DSGVO, sobald es Waren oder Dienstleistungen gezielt an Personen in der EU anbietet oder deren Verhalten beobachtet. Umgekehrt gilt: Ein deutsches SaaS-Unternehmen mit auch nur einem zahlenden Kunden in Kalifornien kann in den Anwendungsbereich der CCPA fallen, unabhängig vom eigenen Sitz, sofern die Umsatz- oder Datenmengen-Schwellen erreicht werden.
Diese Überlappung ist der eigentliche Kern des Problems. Die DSGVO verlangt eine Rechtsgrundlage für jede Verarbeitung, bevor sie beginnt (Opt-in-Logik). Die CCPA/CPRA verlangt primär ein durchsetzbares Widerspruchsrecht, nachdem die Verarbeitung bereits läuft (Opt-out-Logik). Ein Consent-Banner, das nur für Europa gebaut wurde, erfüllt californische Anforderungen nicht automatisch, und ein "Do Not Sell"-Link allein erfüllt keine DSGVO-Einwilligungspflicht. Unternehmen, die beide Märkte bedienen, brauchen zwei tatsächlich unterschiedliche Steuerungslogiken auf derselben Website.
DSGVO und BDSG: die deutsche Ebene, die viele Unternehmen unterschätzen
DSGVO: Die EU-Datenschutz-Grundverordnung, seit 25. Mai 2018 unmittelbar geltendes Recht in allen Mitgliedstaaten, das Verarbeitung personenbezogener Daten an sechs mögliche Rechtsgrundlagen bindet (Art. 6 DSGVO).
Die DSGVO ist eine Verordnung, das heißt sie gilt wortgleich in Warschau wie in München. Doch sie enthält bewusst rund 70 Öffnungsklauseln, an denen Mitgliedstaaten eigene Regeln setzen dürfen. Deutschland nutzt diese Klauseln intensiver als die meisten anderen Staaten, und genau hier entsteht die deutsche Besonderheit, die ein rein "pan-europäisch" gedachtes Compliance-Programm oft übersieht.
BDSG (Bundesdatenschutzgesetz): Das deutsche Ausführungsgesetz zur DSGVO, das die Öffnungsklauseln national konkretisiert, unter anderem beim Beschäftigtendatenschutz, bei der Pflicht zum Datenschutzbeauftragten und bei besonderen Kategorien personenbezogener Daten.
Zwei BDSG-Regelungen haben in der Praxis das größte Gewicht:
Beschäftigtendatenschutz nach § 26 BDSG: Artikel 88 DSGVO überlässt die Regelung der Datenverarbeitung im Beschäftigungskontext den Mitgliedstaaten, ohne selbst konkrete Vorgaben zu machen. § 26 BDSG füllt diese Lücke und erlaubt deutschen Arbeitgebern, Mitarbeiterdaten auf einer eigenen, engeren Rechtsgrundlage zu verarbeiten als die allgemeine DSGVO-Logik es vorsähe, etwa bei Bewerbungsunterlagen oder der Auswertung von Arbeitszeiten. Wer HR-Prozesse aus einem US-Konzernstandard einfach nach Deutschland kopiert, verstößt regelmäßig gegen diese Spezialregel, weil US-typische Monitoring-Praktiken (etwa lückenlose Keystroke-Protokolle) unter § 26 BDSG kaum rechtfertigbar sind.
Die Schwelle zum Datenschutzbeauftragten: Nach § 38 Abs. 1 BDSG müssen Unternehmen einen Datenschutzbeauftragten bestellen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, eine deutlich niedrigere Schwelle als in den meisten anderen EU-Staaten, die oft ganz auf eine Mitarbeiterzahl verzichten und stattdessen nur auf die Art der Verarbeitung abstellen. Die Bundesregierung hat in ihrer Modernisierungsagenda vom 4. Dezember 2025 angekündigt, diese Pflicht bis Ende 2026 abschaffen zu wollen, ein entsprechendes Gesetz ist zum jetzigen Stand aber noch nicht in Kraft. Unternehmen sollten sich nicht auf eine Reform verlassen, die noch nicht beschlossen ist.
Ergänzend regelt das TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz) die Cookie-Einwilligung in Deutschland als nationale Umsetzung der ePrivacy-Richtlinie: Für nicht-essenzielle Cookies und vergleichbare Tracking-Technologien ist eine Einwilligung erforderlich, bevor die Technologie auf dem Endgerät platziert wird, unabhängig davon, ob die eigentliche Datenverarbeitung dahinter überhaupt personenbezogene Daten betrifft. Mehr zu den Anforderungen des TTDSG im Detail haben wir in einem eigenen Leitfaden zusammengefasst.
Wie stark deutsche Behörden diese Regeln durchsetzen, zeigt der Vodafone-Fall vom Juni 2025: Beide Bußgelder trafen keine Kernverstöße gegen Artikel 6 DSGVO, sondern organisatorische Defizite, mangelhafte Auftragsverarbeiter-Kontrolle und schwache Authentifizierung. Das deckt sich mit dem bundesweiten Muster: Die häufigste Grundlage für ein DSGVO-Bußgeld in Deutschland ist nach wie vor eine fehlende oder unzureichend dokumentierte Rechtsgrundlage für die Verarbeitung, nicht ein spektakulärer Datenskandal.
CCPA und CPRA: die US-Antwort, ganz anders gedacht
CCPA/CPRA: Der California Consumer Privacy Act, verschärft durch die California Privacy Rights Act (CPRA), gibt kalifornischen Verbraucherinnen und Verbrauchern Rechte auf Auskunft, Löschung, Korrektur und Widerspruch gegen den Verkauf oder das "Sharing" ihrer Daten.
Ein Unternehmen unterliegt der CCPA/CPRA, wenn es mindestens eine der folgenden Schwellen erreicht: Jahresbruttoumsatz über 26.625.000 US-Dollar (der für 2026 inflationsangepasste Wert des ursprünglichen 25-Millionen-Schwellenwerts), Kauf, Verkauf oder gemeinsame Nutzung der personenbezogenen Daten von 100.000 oder mehr Verbrauchern oder Haushalten pro Jahr, oder mindestens 50 Prozent des Jahresumsatzes aus dem Verkauf oder Teilen personenbezogener Daten. Entscheidend: Der Firmensitz spielt keine Rolle. Ein Unternehmen mit Sitz in Frankfurt, das online an kalifornische Verbraucher verkauft und eine dieser Schwellen überschreitet, ist ebenso erfasst wie ein Unternehmen aus San Francisco.
Der strukturelle Unterschied zur DSGVO liegt im Ansatz: Die CCPA/CPRA verlangt kein durchgehendes Opt-in vor jeder Verarbeitung, sondern ein wirksames "Do Not Sell or Share My Personal Information"-Recht plus klare Offenlegungspflichten. Für 2026 kommen nach den seit dem 1. Januar geltenden Klarstellungsregeln zusätzliche Anforderungen an automatisierte Entscheidungsfindung und regelmäßige Cybersecurity-Audits für Unternehmen hinzu, die mit besonders sensiblen oder umfangreichen Datenmengen arbeiten. Wer aus Deutschland heraus beide Regime gleichzeitig bedienen muss, kommt selten mit einer einzigen Consent-Logik aus. Eine Consent-Management-Plattform, die Einwilligungs- und Opt-out-Signale regionsspezifisch steuert, ist an dieser Stelle keine Kür, sondern die technische Voraussetzung, um beide Logiken auf derselben Domain rechtssicher abzubilden.
DSGVO vs. CCPA/CPRA im direkten Vergleich
| Kriterium | DSGVO (EU) | CCPA/CPRA (Kalifornien) |
|---|---|---|
| Grundprinzip | Opt-in: Verarbeitung braucht vorab eine Rechtsgrundlage | Opt-out: Verarbeitung erlaubt, Widerspruchsrecht muss wirksam sein |
| Räumlicher Anwendungsbereich | Extraterritorial über Art. 3 Abs. 2 (Angebot an oder Beobachtung von Personen in der EU) | Extraterritorial über Umsatz-, Nutzer- oder Datenanteilsschwellen, unabhängig vom Sitz |
| Wer ist erfasst | Praktisch jedes Unternehmen, das Daten von EU-Personen verarbeitet, ohne Umsatzschwelle | Nur Unternehmen ab 26,625 Mio. USD Umsatz, 100.000+ Verbrauchern oder 50 %+ datenbasiertem Umsatz |
| Höchststrafe | 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist | Zivile Bußgelder bis 7.988 USD je vorsätzlichem Verstoß (CPPA-Durchsetzung, Stand 2026) |
| Zuständige Behörde | Nationale Aufsichtsbehörden (in Deutschland: BfDI und die 16 Landesdatenschutzbehörden) | California Privacy Protection Agency (CPPA) und California Attorney General |
| Besonderheit | Öffnungsklauseln erlauben nationale Zusatzregeln wie das deutsche BDSG | Kein bundesweites US-Pendant; einzelne Bundesstaaten regeln parallel und unterschiedlich |
Der Rest der Welt: PIPL, DPDP, LGPD, UK und mehr
Nach Zählung der IAPP gelten inzwischen in 144 Ländern eigenständige Datenschutzgesetze, zuletzt kamen unter anderem Vietnam, Südkorea und Malaysia mit umfassenden Regelwerken hinzu. Sobald ein drittes oder viertes Land ins Spiel kommt, wird die Logik nicht additiv, sondern multiplikativ, jede Rechtsordnung bringt eigene Fristen, Schwellen und Übermittlungsregeln mit.
China, PIPL (Personal Information Protection Law): Gilt seit November 2021 auch für Verarbeitung außerhalb Chinas, wenn diese der Erbringung von Produkten oder Dienstleistungen an Personen in China oder der Analyse ihres Verhaltens dient. Verstöße können mit Bußgeldern von bis zu 5 Prozent des Jahresumsatzes geahndet werden, deutlich strengere Datenlokalisierungspflichten kommen hinzu.
Indien, DPDP Act (Digital Personal Data Protection Act): 2023 verabschiedet, die Durchführungsverordnung wurde am 13. November 2025 notifiziert und löste einen gestuften Umsetzungszeitplan aus, der 2026 fortläuft. Das Bußgeldregister sieht Strafen von bis zu 250 Crore Rupien (umgerechnet rund 30 Millionen US-Dollar) für die schwersten Verstöße vor.
Brasilien, LGPD (Lei Geral de Proteção de Dados): Zehn zulässige Rechtsgrundlagen, strukturell der DSGVO ähnlich. Die Aufsichtsbehörde ANPD kann Bußgelder von bis zu 2 Prozent des brasilianischen Jahresumsatzes verhängen, gedeckelt auf 50 Millionen Real pro Verstoß.
Vereinigtes Königreich, UK GDPR und Data (Use and Access) Act 2025 (DUAA): Am 19. Juni 2025 verabschiedet, die bislang größte Reform des britischen Datenschutzrechts seit dem DPA 2018. Die EU-Kommission bestätigte am 19. Dezember 2025, dass die Angemessenheitsbeschlüsse für das UK trotz DUAA bestehen bleiben, verlängert bis 27. Dezember 2031. Wichtig für deutsche Unternehmen: Die DUAA ersetzt für britische Datenübermittlungen ins Ausland den Standard der "im Wesentlichen gleichwertigen" Schutzniveaus durch einen etwas weicheren "nicht wesentlich niedrigeren" Standard, das UK-Recht bleibt aber näher an der DSGVO als jede andere von der EU als angemessen anerkannte Rechtsordnung.
Weitere relevante Regime: Kanadas PIPEDA, Australiens Privacy Act, Südafrikas POPIA und der Personal Data Protection Act (PDPA) in Singapur folgen jeweils eigene Melde- und Einwilligungsfristen. Wer in mehr als drei bis vier Rechtsordnungen gleichzeitig aktiv ist, verwaltet diese Unterschiede in der Praxis kaum noch manuell in Tabellenform, sondern braucht ein zentrales Register, das Fristen, Rechtsgrundlagen und Übermittlungsmechanismen je Rechtsordnung nebeneinander abbildet.
Genau an diesem Punkt zeigt sich der Unterschied zwischen einzelnen Compliance-Checklisten und einem echten Governance-Programm. Ein zentrales Datenverzeichnis mit ROPA-Funktion (Data Map & Verarbeitungsverzeichnis), das Zwecke, Rechtsgrundlagen, Datenkategorien und Aufbewahrungsfristen je Verarbeitungsvorgang und je Rechtsordnung erfasst, macht diese Multiplikation erst auditierbar. Die Secure Privacy & AI Governance Platform bildet genau das ab, für über 60 Regulierungen gleichzeitig und über mehrere Rechtsträger oder Tochtergesellschaften hinweg von einem einzigen Dashboard aus verwaltbar, statt für jede neue Rechtsordnung eine neue Tabelle anzulegen.
EU AI Act: die neue Schicht ab August 2026
Für Unternehmen, die personenbezogene Daten mit KI-Systemen verarbeiten, kommt 2026 eine weitere Ebene hinzu, unabhängig von DSGVO oder CCPA. Ab dem 2. August 2026 gelten die Transparenzpflichten der EU-Verordnung über künstliche Intelligenz (Verordnung (EU) 2024/1689): Chatbots müssen sich als KI zu erkennen geben, KI-generierte Inhalte und Deepfakes müssen gekennzeichnet werden. Die eigentlichen Hochrisiko-Pflichten nach Anhang III (etwa für KI-Systeme im Bewerbermanagement oder Kreditscoring) wurden über den "Digital Omnibus on AI" auf den 2. Dezember 2027 verschoben, für in Produkte eingebettete Hochrisiko-KI gilt der 2. August 2028.
Wichtig für die Datenschutz-Perspektive: Der AI Act ersetzt keine DSGVO-Pflicht, er ergänzt sie. Ein KI-System, das personenbezogene Daten verarbeitet, braucht weiterhin eine eigenständige Rechtsgrundlage nach Art. 6 DSGVO und in vielen Fällen eine Datenschutz-Folgenabschätzung, unabhängig davon, ob es zusätzlich als Hochrisiko-KI im Sinne des AI Act einzustufen ist. Unternehmen, die beides getrennt verwalten, verdoppeln unnötig den Dokumentationsaufwand. Ein AI-Governance-Modul, das KI-Systeme direkt mit den zugehörigen Verarbeitungstätigkeiten im Datenverzeichnis verknüpft und automatisch auf einschlägige Regulierungen wie den EU AI Act mappt, spart genau diese doppelte Pflege und hält beide Nachweisketten konsistent.
Bußgelder und Durchsetzung: was 2025/26 wirklich passiert ist
Die Zahlen für 2025 zeichnen ein differenziertes Bild. EU-weit blieb die Gesamtsumme aller verhängten DSGVO-Bußgelder erstmals seit 2021 unter der Milliardengrenze, ein Einschnitt in der europäischen Durchsetzungspraxis. Gleichzeitig meldeten die deutschen Aufsichtsbehörden für 2025 insgesamt 249 Bußgelder mit einer addierten Höhe von rund 46,9 Millionen Euro, während Beschwerden und behördliche Maßnahmen laut Datenschutzbericht 2025 insgesamt zunahmen. Weniger Gesamtsumme bedeutet also nicht weniger Durchsetzungsdruck, sondern eine Verschiebung von wenigen Rekordstrafen gegen Big-Tech-Konzerne hin zu einer breiteren Zahl kleinerer Verfahren gegen den Mittelstand.
Zum Vergleich, die bislang höchsten DSGVO-Bußgelder überhaupt kamen nicht aus Deutschland, sondern von der irischen Datenschutzbehörde: 1,2 Milliarden Euro gegen Meta (2023, wegen unrechtmäßiger EU-USA-Datenübermittlungen), 746 Millionen Euro gegen Amazon (2021, gerichtlich bestätigt im März 2025) und 530 Millionen Euro gegen TikTok (Mai 2025, wegen Datenübermittlung an chinesische Konzerneinheiten ohne ausreichende Informationspflichten). Acht der zehn höchsten Einzelstrafen weltweit stammen von der irischen Aufsichtsbehörde, ein Hinweis darauf, wie stark die Höhe eines Bußgelds vom Sitz der europäischen Hauptniederlassung abhängt, nicht nur vom Verstoß selbst.
Warum kleinere, dokumentierte Lücken teurer werden als der Fall vermuten lässt: Aufsichtsbehörden berechnen ein Bußgeld nicht isoliert am einzelnen Verstoß. Sie beginnen beim gesetzlichen Höchstrahmen für die jeweilige Verstoßkategorie und wenden dann mildernde und erschwerende Umstände an, dokumentierte Prüfprozesse, ein bestehendes Verarbeitungsverzeichnis oder eine durchgeführte Datenschutz-Folgenabschätzung wirken mildernd. Eine Organisation ohne diese Nachweise hat bei dieser Abwägung von vornherein keine mildernden Punkte, selbst wenn der eigentliche Verstoß vergleichsweise klein ist. Mehr dazu, wie Aufsichtsbehörden die Bußgeldhöhe konkret berechnen, zeigt unser vertiefender Beitrag zu DSGVO-Bußgeldern.
Sprechen Sie mit Ihrem Compliance-Team darüber, ob Ihr aktuelles Verarbeitungsverzeichnis überhaupt alle Rechtsordnungen abdeckt, in denen Sie tätig sind, denn genau diese Lücke prüfen Aufsichtsbehörden zuerst.
Der praktische Fahrplan für Unternehmen mit mehreren Rechtsordnungen
- Datenflüsse kartieren, nicht nur Richtlinien schreiben. Ein Data Map, das jede Verarbeitungstätigkeit mit Zweck, Rechtsgrundlage, Datenkategorie, Empfänger und tatsächlichem Speicherort verknüpft, ist die Voraussetzung für jede weitere Entscheidung, ohne dieses Fundament lässt sich weder die DSGVO- noch die CCPA-Pflicht seriös belegen.
- Jede Rechtsordnung einzeln gegen die eigenen Datenflüsse abgleichen, statt eine "generische" Datenschutzerklärung für alle Märkte zu verwenden. Ein Auskunftsersuchen aus Kalifornien folgt anderen Fristen als ein Betroffenenrecht nach Art. 15 DSGVO.
- Consent- und Opt-out-Logik technisch trennen. Ein Banner, das versucht, Opt-in (DSGVO) und Opt-out (CCPA) mit derselben Nutzerführung abzubilden, erfüllt in der Praxis meist keine der beiden Anforderungen vollständig.
- Auftragsverarbeiter und Drittlandtransfers dokumentieren, nicht nur vertraglich, sondern auch operativ, der Vodafone-Fall zeigt, dass genau diese Kontrolllücke eine der teuersten überhaupt ist.
- KI-Systeme, die personenbezogene Daten verarbeiten, getrennt registrieren und sowohl gegen die DSGVO-Rechtsgrundlage als auch gegen die einschlägige AI-Act-Einstufung prüfen, bevor sie produktiv gehen.
- Governance-Reife regelmäßig messen, nicht nur einmalig einführen. Ein Privacy-Governance-Framework, das Strategie, Prozesse, Kontrolle und Kultur als vier zusammenhängende Schichten behandelt, verhindert, dass Dokumente veralten, während sich die zugrunde liegenden Prozesse längst verändert haben.
Wer diese sechs Schritte für zwei Rechtsordnungen händisch abbildet, kommt meist noch mit Tabellen aus. Ab der dritten oder vierten Rechtsordnung wird das Verzeichnis selbst zum Risiko: Die Data Map & ROPA-Funktion der Secure Privacy & AI Governance Platform berechnet Risikostufen automatisch, verknüpft Vendor-Bewertungen, DPIAs und AI-Systeme mit denselben Verarbeitungstätigkeiten und exportiert auditfertige Berichte je Rechtsordnung, statt für jeden neuen Markt eine neue Excel-Tabelle zu pflegen.
Häufig gestellte Fragen
Muss ein deutsches Unternehmen ohne US-Niederlassung die CCPA überhaupt beachten?
Ja, wenn eine der drei Schwellen erreicht wird: mehr als 26.625.000 US-Dollar Jahresumsatz, Verarbeitung der Daten von 100.000 oder mehr kalifornischen Verbrauchern oder mindestens 50 Prozent Umsatzanteil aus dem Verkauf oder Teilen personenbezogener Daten. Der Unternehmenssitz spielt dabei keine Rolle, entscheidend ist, wessen Daten verarbeitet werden.
Was passiert, wenn DSGVO und CCPA bei derselben Verarbeitung widersprüchliche Anforderungen stellen?
In der Praxis widersprechen sich die Regime selten inhaltlich, sie setzen nur unterschiedliche Standardzustände. Die Lösung ist meist, die strengere Opt-in-Logik der DSGVO als technische Grundeinstellung zu verwenden und für kalifornische Nutzer zusätzlich ein wirksames Opt-out-Recht bereitzustellen, nicht umgekehrt.
Ab wann braucht ein deutsches Unternehmen einen Datenschutzbeauftragten?
Nach § 38 Abs. 1 BDSG grundsätzlich, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Eine für Ende 2026 angekündigte Reform zur Abschaffung dieser Pflicht ist bislang nicht in Kraft, Unternehmen sollten sich nicht darauf verlassen.
Gilt die DSGVO auch für ein US-Unternehmen ohne Niederlassung in der EU?
Ja, über den extraterritorialen Anwendungsbereich nach Art. 3 Abs. 2 DSGVO, sobald das Unternehmen gezielt Waren oder Dienstleistungen an Personen in der EU anbietet oder deren Verhalten innerhalb der EU beobachtet, unabhängig vom Firmensitz.
Wie unterscheidet sich das BDSG konkret von der DSGVO im Arbeitsverhältnis?
§ 26 BDSG konkretisiert die von Art. 88 DSGVO offen gelassene Regelung des Beschäftigtendatenschutzes und erlaubt eine eigene, engere Rechtsgrundlage für die Verarbeitung von Mitarbeiterdaten. US-typische Monitoring-Praktiken, die auf einer weiten Einwilligungslogik beruhen, lassen sich darüber häufig nicht rechtfertigen.
Betrifft der EU AI Act auch Unternehmen, die keine eigene KI entwickeln?
Ja. Wer ein KI-System einsetzt, etwa einen Chatbot eines Drittanbieters oder ein KI-gestütztes Bewerber-Screening-Tool, gilt in vielen Fällen selbst als Betreiber im Sinne des AI Act und trägt eigene Pflichten, unabhängig davon, wer das System entwickelt hat.
Reicht ein einziges globales Cookie-Banner für DSGVO, TTDSG und CCPA gleichzeitig?
Technisch möglich, praktisch riskant. Ein Banner muss je Region unterschiedliche Rechtsgrundlagen abbilden, Opt-in für EU- und deutsche Besucher nach TTDSG, ein durchsetzbares Opt-out für kalifornische Besucher. Ohne regionale Steuerungslogik entsteht meist eine Lösung, die keine der beiden Anforderungen vollständig erfüllt.
Welche Rechtsordnung verhängt aktuell die höchsten Einzelstrafen?
Bislang die irische Datenschutzbehörde innerhalb der EU, mit 1,2 Milliarden Euro gegen Meta (2023), 746 Millionen Euro gegen Amazon (2021) und 530 Millionen Euro gegen TikTok (2025). Das hängt auch damit zusammen, dass viele globale Tech-Konzerne ihre europäische Hauptniederlassung in Irland führen.
Die Governance-Frage, die am Ende zählt
Keine der oben beschriebenen Rechtsordnungen wird 2026 einfacher, jede von ihnen wird granularer, während die BfDI-Statistik zeigt, dass Durchsetzung sich vom Einzelfall gegen Big Tech hin zu einer breiten Prüfung des Mittelstands verschiebt. Wer DSGVO, CCPA, BDSG, PIPL, LGPD und den EU AI Act weiterhin in getrennten Tabellen, Ordnern und Zuständigkeiten verwaltet, verliert genau in dem Moment den Überblick, in dem eine Aufsichtsbehörde nachfragt, welche Rechtsgrundlage für welchen Datenfluss dokumentiert war. Die Secure Privacy & AI Governance Platform bündelt Data Map & ROPA, DSAR-Bearbeitung, Risikomanagement, Vendor-Bewertung und ein eigenes KI-Governance-Modul für über 60 Regulierungen in einem Dashboard, mehrere Rechtsträger und Rechtsordnungen eingeschlossen. Vereinbaren Sie eine 45-minütige Demo, um zu sehen, wie sich Ihre eigenen internationalen Datenflüsse darin abbilden lassen.
