DSGVO und KI-Governance 2026: Die eine Hälfte der Reform ist Recht. Die andere steckt fest.

Wenn Ihr Unternehmen die letzten Jahre damit verbracht hat, ein DSGVO-Programm aufzubauen, ist 2026 das Jahr, in dem der Boden wieder ins Rutschen geraten ist. Zwischen dem Digital Omnibus der Europäischen Kommission und einer umfassenden Neufassung des Zeitplans der EU-KI-Verordnung wird das Regelwerk, das europäische KMU mühsam gelernt haben, in Echtzeit neu gezeichnet.

Eine Sache bekommt allerdings fast jede Zusammenfassung falsch, und sie wird Sie teuer zu stehen kommen, wenn Sie danach planen. Der Digital Omnibus ist kein einzelnes Gesetz. Es sind zwei getrennte Dossiers mit völlig unterschiedlichem Tempo — und nur eines davon ist tatsächlich angekommen.

Der Digital Omnibus besteht aus zwei Dossiers, nicht aus einem

Als die Kommission das Digital-Omnibus-Paket am 19. November 2025 veröffentlichte, teilte sie die Arbeit in zwei Teile:

• Der AI Omnibus — Änderungen an der EU-KI-Verordnung. Dieser Teil ist abgeschlossen. Der Rat erteilte am 29. Juni 2026 seine endgültige Zustimmung; die Verordnung wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und trat am 27. Juli 2026 in Kraft. Die folgenden Fristen sind geltendes Recht, keine Vorschläge.
• Der Data Omnibus — Änderungen an der DSGVO, der ePrivacy-Richtlinie, NIS2 und dem Data Act. Dieser Teil wird noch verhandelt, und mehrere seiner meistdiskutierten Bestimmungen wurden im Juni 2026 aus dem Arbeitstext des Rates gestrichen.

Nahezu jeder Artikel zum Thema „Was sich an der DSGVO ändert“ wirft beides in einen Topf. Die praktische Folge ist real: Unternehmen schieben KI-Verordnungs-Arbeit auf, die tatsächlich aufgeschoben ist (in Ordnung), und planen gleichzeitig den Umbau ihrer Cookie-Banner rund um einen Mechanismus, der derzeit überhaupt nicht im Text steht (nicht in Ordnung).

Was bereits Recht ist: die verschobenen Fristen der KI-Verordnung

Wenn Sie KI in der Personalauswahl, der Kreditwürdigkeitsprüfung, der Bildung, bei wesentlichen Diensten oder in ähnlichen Bereichen einsetzen, haben Sie auf den 2. August 2026 geschaut. Diese Frist ist weg.

Eigenständige Hochrisiko-Systeme nach Anhang III — Werkzeuge für Recruiting und Personalsteuerung, Kreditwürdigkeitsprüfung, Zugang zu wesentlichen öffentlichen und privaten Diensten, biometrische Kategorisierung, Bewertung im Bildungsbereich — haben jetzt bis zum 2. Dezember 2027 Zeit. Das ist eine Verlängerung um 16 Monate, gewährt vor allem deshalb, weil die harmonisierten technischen Normen, die Compliance überhaupt erst machbar machen sollten, zu spät kamen.

In regulierte Produkte eingebettete KI nach Anhang I rückt auf den 2. August 2028. KI-Systeme, die von Behörden genutzt werden, haben unabhängig von der Kategorie bis zum 2. August 2030 Zeit.

Zusammen mit der Verschiebung kam echte Vereinfachung, und zwei Punkte sind für kleinere Organisationen relevant:

• Die Definition der „Sicherheitskomponente“ wurde enger gefasst. Eine Komponente zieht ein System nur noch dann in den Hochrisiko-Bereich, wenn ihre Zweckbestimmung darin besteht, Risiken für Gesundheit und Sicherheit zu verhindern oder zu verringern. KI, die rein der Unterstützung von Nutzern, der Leistungsoptimierung oder dem Komfort dient, fällt heraus. Eine Empfehlungsmaschine, die den Durchsatz einer Produktionslinie justiert, wird nicht mehr automatisch miterfasst.
• KI-Kompetenz wurde von einer Garantie zu einer Bemühung abgeschwächt. Artikel 4 verlangte bisher, ein ausreichendes Niveau an KI-Kompetenz bei den Beschäftigten sicherzustellen. Nun müssen Sie deren Entwicklung unterstützen. Für ein Unternehmen mit zwölf Beschäftigten und ohne Schulungsabteilung ist das ein spürbarer Unterschied — beachten Sie aber, dass die Pflicht selbst seit Februar 2025 gilt und nicht verschwunden ist.

Neu ist außerdem eine Kategorie „kleine Mid-Caps“ — unter 750 Beschäftigte und 150 Mio. € Umsatz — die Zugang zu vereinfachten Compliance-Vorlagen und zu den Reallaboren erhält. Wenn Sie zwischen der KMU-Schwelle und dieser Obergrenze liegen, bietet Ihnen die KI-Verordnung damit zum ersten Mal überhaupt etwas.

Was sich nicht verschoben hat — und ein neues Verbot ganz ohne Übergangsfrist

Die Verschiebung ist enger, als die Schlagzeilen vermuten lassen. Drei Dinge sind genau dort geblieben, wo sie waren:

1. Die Transparenzpflichten aus Artikel 50 gelten weiterhin seit dem 2. August 2026. Wenn Ihr Chatbot mit Kundinnen und Kunden spricht oder Sie synthetische Medien erzeugen, müssen die Betroffenen das erfahren. Das war nie Teil des Hochrisiko-Pakets. Das einzige Zugeständnis: Anbieter generativer KI-Systeme, die vor dem 2. August 2026 bereits auf dem Markt waren, haben bis zum 2. Dezember 2026 Zeit für die maschinenlesbare Kennzeichnung nach Artikel 50 Absatz 2.
2. Die Verbote aus Artikel 5 bleiben in Kraft — sie gelten seit Februar 2025.
3. Zwei neue Verbote greifen am 2. Dezember 2026, und zwar ganz ohne Übergangszeit. KI-Systeme, die Darstellungen sexuellen Missbrauchs von Kindern erzeugen oder manipulieren, sowie Systeme, die realistische intime Aufnahmen einer identifizierbaren Person ohne deren ausdrückliche Einwilligung erzeugen, sind vollständig verboten.

Das zweite Verbot reicht weiter, als es zunächst scheint, und es ist dasjenige, das ein gewöhnliches Unternehmen am ehesten überrascht. Es zielt nicht nur auf eigens gebaute „Nudifier“-Apps. Es erfasst auch Anbieter generativer Bild-, Video- und Audiomodelle für allgemeine Zwecke, wenn solche Ausgaben ein vernünftigerweise vorhersehbares und reproduzierbares Ergebnis sind und der Anbieter keine angemessenen Schutzvorkehrungen getroffen hat. Wenn Sie auf einem generativen Modell aufbauen und es Nutzern zugänglich machen, lohnt sich die Frage, wessen Schutzvorkehrungen gelten — schriftlich, bei Ihrem Anbieter.

Die DSGVO-Hälfte: weiterhin ein Vorschlag, und teilweise blockiert

Nun zu dem Teil, der nicht entschieden ist — und bei dem Vorausplanen wirklich riskant ist.

Der Data Omnibus schlug mehrere Änderungen vor, die für KMU erheblich wären. Die Ausnahme von der Dokumentationspflicht nach Artikel 30 Absatz 5 würde von weniger als 250 auf weniger als 750 Beschäftigte steigen, begrenzt durch finanzielle Obergrenzen, und der pauschale Ausschluss bei jeder Verarbeitung besonderer Kategorien personenbezogener Daten würde durch einen risikobasierten Maßstab ersetzt. Dieser Teil hat institutionellen Rückhalt und wird am ehesten nahe an seiner jetzigen Form überleben.

Beim Rest sieht es anders aus:

• Die Cookie-Einwilligungsreform steht nicht mehr im Arbeitstext des Rates. Der Ablehnen-Button mit einem Klick, die sechsmonatige Sperrfrist nach einer Ablehnung und die Präferenzsignale auf Browser-Ebene wurden im Juni 2026 sämtlich aus dem Kompromisstext der Präsidentschaft gestrichen, nachdem sich die Mitgliedstaaten nicht einigen konnten. Selbst dieser abgespeckte Text erreichte keine qualifizierte Mehrheit.
• Die Klarstellung zum berechtigten Interesse bei KI ging mit. Die Formulierung, die ausdrücklich bestätigt hätte, dass Artikel 6 Absatz 1 Buchstabe f das KI-Training tragen kann, wurde in derselben Runde entfernt. Organisationen, die sich beim KI-Einsatz auf das berechtigte Interesse stützen, stehen genau dort, wo sie im November 2025 standen: Es trägt, wenn die Abwägung tatsächlich durchgeführt und dokumentiert wird — und es gibt weiterhin keine ausdrückliche Vorschrift, die das sagt.
• Die Verengung des Begriffs der personenbezogenen Daten stieß auf den stärksten Widerstand von allen. In ihrer Gemeinsamen Stellungnahme 2/2026 vom 10. Februar 2026 forderten EDSA und EDSB die Mitgesetzgeber auf, sie nicht zu beschließen, und warnten, sie gehe weit über eine gezielte oder technische Änderung hinaus und würde gefestigte Rechtsprechung schwächen.

Die operativen Vorschläge — die Verlängerung der Meldefrist bei Datenpannen von 72 auf 96 Stunden, die Vereinheitlichung der DSFA-Leitlinien zwischen den Mitgliedstaaten — liegen weiter auf dem Tisch, sind aber ungeklärt. EDSA und EDSB standen diesen offener gegenüber, bestanden aber darauf, dass unabhängige Aufsichtsbehörden und nicht die Kommission die technischen Details wie Meldevorlagen und DSFA-Methodik verantworten sollten.

Die ehrliche Zusammenfassung für ein KMU: Nichts aus der DSGVO-Hälfte ist etwas, worauf Sie schon bauen können. Die eigene Folgenabschätzung des Parlaments war für Oktober 2026 angekündigt, und eine endgültige Annahme vor Ende 2026 erscheint unwahrscheinlich — womit die tatsächliche Umsetzung frühestens ein Thema für 2027 ist.

Diese Hälfte haben wir ausführlich in Der EU Digital Omnibus im Detail behandelt, samt der Frage, welche Artikel wann gestrichen wurden.

Wo das finanzielle Risiko tatsächlich liegt

Eine verschobene Frist ist kein verschobenes Risiko. Die Bußgeldstruktur der KI-Verordnung nach Artikel 99 ist unverändert, und sie tritt neben die DSGVO, statt sie zu ersetzen:

• Bis zu 35 Mio. € oder 7 % des weltweiten Jahresumsatzes für verbotene Praktiken nach Artikel 5 — die Stufe, in die auch die beiden neuen Verbote ab Dezember 2026 fallen
• Bis zu 15 Mio. € oder 3 % für Verstöße gegen Pflichten von Anbietern, Betreibern, Einführern und Händlern — einschließlich der Pflichten in der Wertschöpfungskette nach Artikel 25, die regeln, welche Informationen zwischen Ihnen und Ihren Partnern fließen müssen
• Bis zu 7,5 Mio. € oder 1 % für falsche oder irreführende Angaben gegenüber Behörden

Die mittlere Stufe ist diejenige, über die die meisten KMU tatsächlich nachdenken sollten, und dort werden externe KI-Anbieter zu Ihrem Problem. Wenn Sie das Modell eines anderen einsetzen, regelt Artikel 25, welche Informationen zwischen Ihnen fließen müssen — und „unser Anbieter kümmert sich um die Compliance“ ist keine dokumentierte Position. Es ist eine Annahme. Fordern Sie die technische Dokumentation, die Beschreibung der Zweckbestimmung und die Betriebsanleitung an und heben Sie sie auf.

Unterdessen hat die DSGVO-Durchsetzung für all das keine Pause gemacht. Die kumulierten Bußgelder haben 7,1 Milliarden Euro überschritten, die täglichen Meldungen von Datenpannen liegen zum ersten Mal seit 2018 über 400, und die Durchsetzung hat Big Tech vor Jahren hinter sich gelassen — seit Januar 2023 haben mehr Bußgelder kleine und mittlere Unternehmen getroffen als in den fünf Jahren davor.

Was Sie zwischen heute und Dezember 2027 tun sollten

Sechzehn zusätzliche Monate sind keine sechzehn Monate Nichtstun. Es ist Zeit, die Arbeit ordentlich zu erledigen statt in Panik. In dieser Reihenfolge:

1. Erfassen Sie Ihre KI — auch die Tools, die niemand freigegeben hat. Sie können nicht einstufen, was Sie nicht aufgelistet haben. Schatten-KI — das Transkriptions-Tool, das sich ein Team selbst geholt hat, das Modell, in das jemand Kundendaten kopiert hat — ist der Ort, an dem das Risiko eines KMU tatsächlich sitzt, und im Organigramm ist sie unsichtbar.
2. Stufen Sie jedes System anhand von Anhang III ein und dokumentieren Sie die Begründung, auch wenn die Antwort „nicht hochriskant“ lautet. Die Einstufung selbst müssen Sie vorzeigen können. Durch die engere Definition der Sicherheitskomponente fallen manche Systeme, die 2025 noch im Anwendungsbereich schienen, nun heraus — halten Sie fest, warum.
3. Tragen Sie die Dezember-2026-Termine jetzt in den Kalender ein. Die neuen Verbote nach Artikel 5 und die Kennzeichnungspflichten für synthetische Medien nach Artikel 50 Absatz 2 kommen ohne Anlauf. Wenn Sie Bilder, Video oder Audio in irgendeiner kundenseitigen Form erzeugen oder bearbeiten, ist das eine Frage für dieses Quartal, nicht für 2027.
4. Holen Sie sich Anbieterdokumentation schriftlich, bevor Sie sie brauchen. Die Pflichten aus Artikel 25 warten nicht auf die Hochrisiko-Frist, und die Anbieter, die am besten antworten könnten, werden mit näher rückendem Dezember 2027 langsamer, nicht schneller.
5. Machen Sie Ihren DSFA-Prozess real, denn die Grundrechte-Folgenabschätzung setzt darauf auf. Eine Grundrechte-Folgenabschätzung lässt sich auf leerem Fundament kaum erstellen. Wenn Sie keinen funktionierenden DSFA-Prozess haben, fangen Sie dort an.
6. Lassen Sie das Cookie-Banner in Ruhe — bis auf den Teil, der heute schon durchsetzbar ist. Bauen Sie nichts um Ein-Klick-Ablehnung oder Browser-Signale herum; beides ist derzeit aus dem Verhandlungstext gestrichen. Sorgen Sie aber dafür, dass „Ablehnen“ wirklich genauso leicht zu finden und zu klicken ist wie „Akzeptieren“ — denn das erwarten die Aufsichtsbehörden schon heute nach der DSGVO, Omnibus hin oder her.
7. Halten Sie Ihr Verarbeitungsverzeichnis nach Artikel 30 in Ordnung und notieren Sie einfach, wo Sie landen würden, falls die 750-Beschäftigten-Schwelle überlebt. Bauen Sie nichts auf Grundlage eines Vorschlags ab.

Fazit

Compliance wird an manchen Stellen einfacher und an anderen strenger, und vorne liegen werden die Unternehmen, die beides verfolgen, statt sich die Hälfte auszusuchen, die ihnen besser gefällt.

Die KI-Hälfte ist fertig: echte Termine, echte Entlastung und echte neue Verbote, die im Dezember ohne Übergangsfrist kommen. Die DSGVO-Hälfte ist unfertig und teilweise blockiert — wer Ihnen also einen dringenden, vom Omnibus getriebenen Umbau Ihres Cookie-Banners verkaufen will, verkauft Ihnen den Umbau von etwas, das derzeit gar nicht im Text steht.

Wenn Sie nicht sicher sind, auf welcher Seite der Anhang-III-Linie Ihre Systeme stehen oder ob Ihre vorhandene DSGVO-Dokumentation den ersten Kontakt mit einer Aufsichtsbehörde überstehen würde, ist das die Frage, die zuerst eine Antwort verdient. Kostenloses Beratungsgespräch mit GDPRGard buchen →

Quellen

• Gemeinsame Stellungnahme 2/2026 von EDSA und EDSB zum Digital Omnibus (10. Februar 2026, Englisch)
• EDSA — Digital Omnibus: Unterstützung für Vereinfachung bei gleichzeitigen Bedenken (Englisch)
• EU-KI-Verordnung — Artikel 99, Sanktionen (Englisch)
• EU-KI-Verordnung — Anhang III, Hochrisiko-KI-Systeme (Englisch)
• Europäische Kommission — Zeitplan zur Umsetzung der KI-Verordnung (Englisch)
• CMS GDPR Enforcement Tracker (Englisch)

Ebenfalls lesenswert:

• Der EU Digital Omnibus im Detail: Was sich für die DSGVO wirklich ändert
• Die Verschiebung der KI-Verordnung gilt nicht für Ihren Chatbot
• Warum jedes SaaS-Unternehmen vor KI-Funktionen eine DSFA braucht