Zwei Dinge stimmen 2026 gleichzeitig für die DSGVO. Der Vollzug war noch nie so intensiv — Behörden verhängen Bußgelder schneller, breiter und bei kleineren Unternehmen als zu jedem Zeitpunkt seit Geltungsbeginn 2018. Und das Gesetz selbst steht zum ersten Mal wirklich zur Überarbeitung, mit einem Brüsseler Reformpaket, das Cookie-Einwilligung, Meldepflichten und Datenschutz-Folgenabschätzungen neu regeln könnte.
Keines von beidem ist bereits abgeschlossen. Genau diese Kombination — Rekordvollzug gegen die heute geltenden Regeln, überlagert von einer noch nicht finalisierten Reform — ist die Situation, die unvorbereitete Unternehmen kalt erwischt. Hier ist, was sich dieses Jahr wirklich geändert hat, und was noch reiner Vorschlag ist.
Der Vollzug wird zur Hochvolumen-Maschine
DSGVO-Bußgelder haben seit 2018 kumuliert 7,1 Mrd. € überschritten, davon allein im ersten Halbjahr 2026 mehr als 600 Mio. €. Das ist längst keine Geschichte mehr über eine Handvoll schlagzeilenträchtiger Strafen gegen Big Tech — es ist ein anhaltendes Vollzugsmuster mit hohem Volumen, das tief in kleine und mittlere Unternehmen hineinreicht.
Die letzte Zahl lohnt einen zweiten Blick. Die täglichen Meldungen von Datenschutzverletzungen in der EU sind auf 443 pro Tag gestiegen — ein Plus von 22 % im Jahresvergleich, und das erste Mal, dass dieser Wert seit Geltungsbeginn der DSGVO über 400 liegt. Jede dieser Meldungen ist ein Unternehmen, das gerade eine schlechte Woche hatte — und eine Aufsichtsbehörde, die nun entscheidet, ob es auch fahrlässig war.
Auch die Geografie des Vollzugs hat sich verschoben. Frankreich hat Luxemburg 2025 überholt und ist damit nach Irland die Nummer zwei bei den insgesamt verhängten Bußgeldern in der EU — die einzigen zwei Länder, die bei den kumulierten DSGVO-Strafen die Marke von 1 Mrd. € überschritten haben. Auch Spaniens AEPD ist von ihrem alten Muster hochvolumiger, geringwertiger Verbraucherbeschwerden zu gezielten, hochwertigen strategischen Fällen übergegangen.
Ein aktueller Fall erinnert nützlich daran, wie gewöhnlich der Auslöser für ein Bußgeld inzwischen ist: Yoti Ltd wurde im März 2026 mit 950.000 € belegt — wegen drei getrennter Verstöße, darunter die Verarbeitung biometrischer Daten ohne gültige Rechtsgrundlage und unzureichende Transparenz über deren Nutzung. Kein Mega-Datenleck, kein Dark-Pattern-Skandal — nur biometrische Verarbeitung und ein Hinweis, der nicht genug sagte. Genau die Art von Lücke, die eine Routineprüfung findet.
Der Schwerpunkt des EDSA für 2026: Ihr Transparenzhinweis, nicht nur Ihre Meldepflicht
Jedes Jahr wählt der Europäische Datenschutzausschuss (EDSA) ein gemeinsames Thema für seinen koordinierten Vollzugsrahmen — ein Thema, das jede nationale Aufsichtsbehörde parallel untersucht. Für 2026 lautet dieses Thema Transparenz- und Informationspflichten nach Art. 12–14: ob Ihre Datenschutzhinweise Menschen tatsächlich in klarer Sprache sagen, was Sie mit ihren Daten tun.
Ein bewusst unspektakuläres Ziel, und genau das ist der Punkt. Transparenzhinweise sind das DSGVO-Dokument, das die meisten Unternehmen 2018 einmal geschrieben und nie wieder angefasst haben — und das inzwischen nicht mehr zu dem passt, was ihre Website, ihre Tools oder ihre KI-Funktionen tatsächlich tun. Wenn Ihr Datenschutzhinweis zuletzt für Cookies und Newsletter aktualisiert wurde und mit Ihrem CRM, Ihrem Analytics-Stack oder allem KI-Bezogenen nicht Schritt gehalten hat, ist dies das Jahr, in dem eine Behörde das eher bemerkt als sonst.
Der Digital Omnibus: Die erste echte DSGVO-Überarbeitung seit 2018
Im November 2025 hat die Europäische Kommission den „Digital Omnibus" vorgeschlagen — ein Paket, das sowohl die DSGVO als auch die ePrivacy-Richtlinie ändern würde. Er ist noch kein geltendes Recht. Stand Mitte 2026 sind die Verhandlungen im Rat weiterhin ungeklärt: Die zypriotische Ratspräsidentschaft hat ihren Kompromisstext Ende Juni von der COREPER-II-Billigung zurückgezogen, nachdem klar wurde, dass er keine qualifizierte Mehrheit der Mitgliedstaaten fand. Rechnen Sie damit, dass sich das über den Rest von 2026 weiter bewegt, statt auf einen Schlag zu landen.
Fünf Compliance-Bereiche stehen zur Debatte: Verzeichnis von Verarbeitungstätigkeiten (VVT), DSFA, Meldepflichten, der Anwendungsbereich der DSB-Pflicht und die Rechte betroffener Personen. Die am weitesten fortgeschrittenen Vorschläge:
| Bereich | Heute | Vorschlag im Digital Omnibus |
|---|---|---|
| Cookie-Einwilligung | Einwilligung für praktisch alle nicht notwendigen Cookies erforderlich | Schätzungsweise 60 % der Cookies bräuchten keine Einwilligung mehr; ein verpflichtender Ein-Klick-Button „Alle akzeptieren/ablehnen" wäre überall dort vorgeschrieben, wo weiterhin Einwilligung verlangt wird |
| Personenbezogene Daten | Grundsätzlich jede Angabe, mit der sich eine Person identifizieren ließe — aus jeder beliebigen Perspektive | Eingeengt auf Daten, bei denen eine bestimmte Stelle über „vernünftigerweise wahrscheinlich einzusetzende Mittel" zur Identifizierung verfügt — ein relativer, kein absoluter Maßstab |
| Meldepflicht bei Verletzungen | 72-Stunden-Frist zur Meldung an die Aufsichtsbehörde für praktisch jede Verletzung | Mögliche Änderungen an der 72-Stunden-Frist plus neue Erheblichkeitsschwellen, sodass geringfügige Verletzungen künftig keine formale Meldung mehr auslösen müssten |
| Anwendungsbereich VVT / DSFA / DSB | Schwellenwerte aus 2018, seither weitgehend unverändert | Gegenstand aktiver Neuverhandlung — dürfte verschieben, wer formale Verzeichnisse führen, Folgenabschätzungen durchführen oder einen DSB benennen muss |
Nichts davon gilt bereits. Ihr Cookie-Banner oder Ihren Meldeprozess schon jetzt an einem Vorschlag auszurichten, der sich in den Ratsverhandlungen noch ändern kann, ist verfrüht — aber ihn gar nicht zu verfolgen bedeutet, dass eine echte Regeländerung auf ein Compliance-Programm treffen könnte, das noch für 2018 gebaut ist.
Editierbares DPA-Paket, SAR-Toolkit für Auskunftsersuchen und Verzeichnis von Verarbeitungstätigkeiten (VVT) nach Art. 30 — die Dokumente, nach denen Behörden zuerst fragen. 39–59 € pro Stück oder 99 € für alle drei, sofortiger Download.
Was jetzt wirklich zu tun ist
Die zwei Handlungsstränge — schärferer Vollzug der heutigen Regeln und eine Reform, die für morgen noch in Bewegung ist — laufen auf dieselbe praktische Antwort hinaus.
- Prüfen Sie Ihren Datenschutzhinweis dieses Jahr gezielt gegen Art. 12–14. Das ist die erklärte Vollzugspriorität des EDSA für 2026, und zugleich die Lücke, die man am leichtesten hat, ohne es zu wissen — der Hinweis wirkt meist richtig, bis man ihn mit dem abgleicht, was die Website heute tatsächlich tut.
- Bauen Sie nicht auf Vorrat für den Digital Omnibus. Wenn Ihr Cookie-Banner, Ihr Meldeprozess oder Ihre DSFA-Schwellenwerte heute konform sind, lassen Sie sie so, wie sie sind. Reagieren Sie auf den finalen Text, sobald sich Rat und Parlament auf einen geeinigt haben — nicht auf einen Vorschlag, der schon einen gescheiterten Kompromiss hinter sich hat.
- Prüfen Sie jede biometrische, KI-gestützte oder automatisierte Verarbeitung auf eine dokumentierte Rechtsgrundlage und eine verständliche Erklärung. Der Fall Yoti zeigt das Muster, auf das zu achten ist: kein katastrophales Datenleck, sondern gewöhnliche Verarbeitung ohne die passende Dokumentation dahinter.
- Wenn Sie noch keine regelmäßige DSGVO-Selbstprüfung durchführen, beginnen Sie jetzt damit — nicht erst nach einer eingegangenen Meldung. Unser kostenloser 30-Sekunden-Check prüft die zehn am häufigsten übersehenen Anforderungen — dieselben Kategorien, die 2026 in den Vollzugsmaßnahmen immer wieder auftauchen.
Fazit
Reform-Schlagzeilen können den Eindruck erwecken, die DSGVO sei ein bewegliches Ziel — doch die Vollzugsdaten sagen das Gegenteil: Behörden werden schneller und konsistenter darin, die Regeln genau so anzuwenden, wie sie heute geschrieben stehen. Konformität mit der aktuell geltenden DSGVO — nicht eine Wette darauf, was der Digital Omnibus am Ende sagen wird — ist das, was Sie 2026 schützt. Behandeln Sie die Reform als etwas, das Sie beobachten, und die diesjährigen Vollzugszahlen als etwas, auf das Sie handeln.
Kostenlose Beratung mit GDPRGard buchen →
Quellen
- CMS GDPR Enforcement Tracker
- Europäischer Datenschutzausschuss (EDSA) — News & Coordinated Enforcement Framework
- Kiteworks — GDPR Fines Hit €7.1 Billion: Enforcement Trends in 2026
- Uniconsent — GDPR Enforcement and Fines 2026
- Privacy Next — Digital Omnibus Negotiations (GDPR), July 2026 Update
Auch lesenswert:
- Die KI-Verordnung gilt jetzt für Hochrisiko-Systeme — jetzt haben Sie zwei Aufsichtsbehörden
- Die 5 häufigsten Cookie-Banner-Fehler — und wie man sie behebt
- Warum jedes SaaS-Unternehmen vor KI-Funktionen eine DSFA braucht