Wenn Sie gehört haben, dass die DSGVO endlich einfacher wird, kennen Sie nur die halbe Geschichte. Das Digital-Omnibus-Paket der Europäischen Kommission verspricht spürbare Entlastung bei Regeln, die Compliance zu einem Tod durch tausend Nadelstiche gemacht haben: Cookie-Banner, Meldung von Datenpannen, sogar die Frage, was überhaupt als personenbezogene Daten gilt. Gleichzeitig war die Durchsetzung nie aktiver — und sie trifft längst nicht mehr nur Big Tech.
Für kleine und mittlere Unternehmen in ganz Europa ist 2026 das Jahr, in dem sich die Regeln zu ändern begannen und die Risiken trotzdem weiter stiegen — beides zugleich. Hier lesen Sie, was tatsächlich einfacher wird, was nur vorgeschlagen ist und was das für Ihre Compliance-Arbeit in diesem Herbst bedeutet.
Ein Omnibus, zwei völlig unterschiedliche Zeitpläne
Die meisten Berichte sprechen von „dem Omnibus“, als ginge ein einziges Paket durch Brüssel. Das stimmt nicht, und genau dieser Unterschied entscheidet, worauf Sie heute reagieren können.
- Der Digital Omnibus zur KI ist bereits geltendes Recht. Er ändert die EU-KI-Verordnung, wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli in Kraft getreten.
- Der DSGVO-Teil ist weiterhin nur ein Vorschlag. Der Teil, der DSGVO, ePrivacy-Regeln und NIS2 ändert, befindet sich noch in vorbereitenden Beratungen im Rat. Der federführende Ausschuss des Parlaments hat keine Verhandlungsposition beschlossen, Trilog-Verhandlungen zwischen den Institutionen haben nicht begonnen, und mit einer endgültigen Annahme ist frühestens Ende 2026 zu rechnen.
Alles, was unten zu Cookies, Datenpannen und der Definition personenbezogener Daten steht, beschreibt also, wohin sich das Recht entwickeln könnte. Alles zur KI-Verordnung beschreibt, wo es bereits steht.
Was der DSGVO-Vorschlag einfacher machen würde
Der Vorschlag der Kommission ist der größte Umbau des EU-Datenschutzrechts seit 2018 — und er zielt direkt auf den Verwaltungsaufwand, mit dem kleinere Organisationen am meisten kämpfen.
Cookie-Banner. Keine Einwilligung wäre mehr nötig für Cookies, die der Übertragung einer Kommunikation dienen, einen vom Nutzer angeforderten Dienst bereitstellen, die Reichweite der eigenen Website aggregiert messen oder den Dienst absichern — also genau die Kategorien, die den Großteil dessen ausmachen, was eine typische KMU-Website setzt. Wo weiterhin eine Einwilligung erforderlich ist, müsste die Ablehnung mit einem einzigen Klick möglich sein und sechs Monate lang respektiert werden, statt bei jedem Besuch erneut abzufragen. Browser könnten die Entscheidung des Nutzers zudem automatisch übermitteln.
Meldung von Datenpannen. Heute muss ein Verantwortlicher der Aufsichtsbehörde jede Datenpanne binnen 72 Stunden melden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko — eine Schwelle, die viele Organisationen aus Vorsicht auch Bagatellvorfälle melden lässt. Nach dem Vorschlag wäre eine Meldung nur noch nötig, wenn eine Panne voraussichtlich zu einem hohen Risiko führt; die Frist würde auf 96 Stunden verlängert, und Meldungen liefen über eine einzige EU-Anlaufstelle statt über getrennte Kanäle nach DSGVO, NIS2 und weiteren Regelwerken.
Was als personenbezogene Daten gilt. Der Vorschlag schreibt einen verantwortlichenbezogenen Maßstab ins Gesetz: Informationen wären für eine Organisation keine personenbezogenen Daten, wenn sie die Person dahinter nicht mit vernünftigem Aufwand identifizieren kann — selbst wenn ein Dritter es könnte. Für Unternehmen mit pseudonymisierten oder aggregierten Datensätzen könnte das den Anwendungsbereich der DSGVO von vornherein verkleinern.
KI-Training. Der Vorschlag würde bestätigen, dass berechtigtes Interesse die Rechtsgrundlage für die Verarbeitung personenbezogener Daten zur Entwicklung und zum Betrieb von KI-Systemen sein kann — sofern Schutzmaßnahmen wie Datenminimierung und ein Widerspruchsrecht bestehen.
| Bereich | Heutige Regel | Vorschlag |
|---|---|---|
| Cookies | Einwilligung für alles, was nicht unbedingt erforderlich ist | Keine Einwilligung für risikoarme Zwecke; Ablehnung per Klick gilt 6 Monate |
| Datenpannen | 72 Stunden, außer ein Risiko ist unwahrscheinlich | 96 Stunden, nur bei hohem Risiko, ein EU-Portal |
| Personenbezug | Weiter, objektiver Identifizierbarkeitstest | Beurteilt aus Sicht des Verantwortlichen |
| KI-Training | Berechtigtes Interesse im Einzelfall begründet | Berechtigtes Interesse bestätigt, mit Schutzmaßnahmen |
Nicht alles davon wird überleben. Der Arbeitstext des Rates hat die Cookie-Neuregelung und die KI-Klausel zum berechtigten Interesse im Juni 2026 gestrichen, und Datenschutzorganisationen kritisieren das Paket als Deregulierung im Gewand der Vereinfachung. Ein Compliance-Programm, das auf dem ursprünglichen Kommissionsentwurf aufbaut, muss womöglich neu aufgesetzt werden, sobald der endgültige Text vorliegt.
Die Änderungen an der KI-Verordnung, die bereits gelten
Der KI-Teil des Pakets ist beschlossen und verschafft Unternehmen, die KI entwickeln oder einsetzen, echten Spielraum:
- Hochrisiko-Fristen verschoben. Die Regeln für Hochrisiko-KI-Systeme nach Anhang III — Personalauswahl, Kreditwürdigkeitsprüfung, Bildung und ähnliche Einsatzfelder — gelten jetzt ab dem 2. Dezember 2027 statt ab dem 2. August 2026. Systeme, die unter EU-Produktsicherheitsrecht fallen (Anhang I), folgen am 2. August 2028.
- KI-Kompetenz abgeschwächt, nicht abgeschafft. Unternehmen müssen kein bestimmtes Kompetenzniveau für jede einzelne Person mehr gewährleisten, und Kommission und Mitgliedstaaten übernehmen eine größere Rolle bei der Förderung. Maßnahmen zur Unterstützung der KI-Kompetenz werden aber weiterhin erwartet — bewahren Sie Ihre Schulungsnachweise also auf.
- Erkennung von Verzerrungen. Organisationen dürfen besondere Kategorien personenbezogener Daten verarbeiten, soweit dies zur Erkennung und Korrektur von Bias erforderlich ist — unter strengen Schutzmaßnahmen.
Was sich nicht verschoben hat: die Verbote unzulässiger KI-Praktiken, die seit Februar 2025 gelten. Und nichts davon ändert die DSGVO. Ein KI-Tool, das Kunden- oder Beschäftigtendaten verarbeitet, braucht weiterhin eine Rechtsgrundlage, eine Datenschutzerklärung, die es erwähnt, und in vielen Fällen eine DSFA — heute, nicht erst 2027.
Was nicht einfacher wird: die Durchsetzung
Während das Regelwerk neu verhandelt wird, setzen die Aufsichtsbehörden das bestehende weiter durch — und die Zahlen gehen nicht zurück.
Die Schlagzeilen-Bußgelder tragen weiterhin bekannte Namen. TikTok musste 2025 530 Millionen Euro wegen der Übermittlung von Daten europäischer Nutzer nach China zahlen — nach Metas Rekordbußgeld von 1,2 Milliarden Euro im Jahr 2023 für Übermittlungen aus der EU in die USA. Wichtiger für kleinere Unternehmen ist aber, wohin sich die Durchsetzung ausbreitet.
Die Behörden warten nicht mehr auf Beschwerden. Sie prüfen Websites in eigenen Stichproben auf Cookie- und Transparenzmängel, und Bußgelder treffen zunehmend Organisationen aus Finanzwesen, Gesundheitswesen, Telekommunikation und öffentlichem Sektor. Im Fokus stehen grundlegende Verstöße: die Grundsätze aus Artikel 5 wie Datenminimierung, Zweckbindung und Speicherbegrenzung sowie die Transparenzpflichten der Artikel 12–14, die der EDSA zum Schwerpunkt seiner koordinierten Prüfaktion 2026 gemacht hat. Genau hier haben Organisationen ohne eigenes Compliance-Team typischerweise Lücken — angefangen damit, nicht zu wissen, wo all ihre personenbezogenen Daten tatsächlich liegen.
Fünf Dinge, die Sie jetzt tun sollten
Die ehrliche Zusammenfassung lautet weder „die DSGVO wird einfacher“ noch „die DSGVO wird strenger“. Sie wird konkreter, während die Durchsetzung breiter wird. Das verlangt jetzt ein paar Schritte statt Abwarten:
- Bauen Sie Ihr Cookie-Consent nicht zurück. Die geplanten Ausnahmen sind kein geltendes Recht, der Rat hat sie schon einmal aus seinem Arbeitstext gestrichen, und die Behörden prüfen Banner bereits heute. Die häufigsten Banner-Fehler zu beheben, zahlt sich nach alten wie nach neuen Regeln aus.
- Dokumentieren Sie Ihren Plan für Datenpannen. Ob die Frist am Ende 72 oder 96 Stunden beträgt: Sie reicht nicht, um erst dann zu klären, wer entscheidet, wer meldet und was protokolliert wird. Ein schriftlicher, geübter Plan macht beide Fristen einhaltbar.
- Erfassen Sie, wo Ihre personenbezogenen Daten liegen. Ein aktuelles Verarbeitungsverzeichnis und eine Datenlandkarte sind die Grundlage aller anderen Pflichten — und das Erste, was eine Behörde anfordert.
- Dokumentieren Sie Ihre Rechtsgrundlage für KI. Wenn Sie KI-Tools entwickeln oder einkaufen, halten Sie Ihre Rechtsgrundlage nach Artikel 6 und Ihre Interessenabwägung jetzt fest. Übersteht die geplante Klausel die Verhandlungen, werden die Behörden bald prüfen, wie „berechtigt“ dieses Interesse in der Praxis wirklich ist.
- Nutzen Sie den Aufschub der KI-Verordnung, statt sich darauf auszuruhen. Fallen Sie unter die Hochrisiko-Regeln, ist Dezember 2027 rund 15 Monate entfernt — etwa die Zeit, die ein ordentliches Risikomanagement- und Dokumentationsprogramm braucht.
Fazit
„Vereinfachung“ heißt nicht „weniger Kontrolle“. Die KI-Verordnung hat Unternehmen Zeit verschafft, doch die DSGVO-Änderungen werden noch verhandelt, und die Aufsichtsbehörden prüfen Websites, ohne dazu aufgefordert zu werden. Vorne liegen 2026 die Unternehmen, die beheben, was heute durchgesetzt wird, und gleichzeitig verfolgen, was sich morgen ändern könnte.
Für KMU ohne eigene Rechts- oder Compliance-Abteilung ist jetzt der Moment, in dem strukturierte, aktuelle Orientierung mehr wert ist als eine generische DSGVO-Checkliste — denn die Checkliste selbst wird gerade neu geschrieben. Kostenlosen GDPRGard-Website-Check starten →, um zu sehen, wo Ihre Website heute steht, oder ein kostenloses Beratungsgespräch buchen.
Quellen
- Europäische Kommission — AI Omnibus tritt in Kraft (Englisch)
- Europäisches Parlament — Legislative Train: Vorschlag zur Digital-Omnibus-Verordnung (Englisch)
- DLA Piper — GDPR Fines and Data Breach Survey, Januar 2026 (Englisch)
- DSGVO — Artikel 33, Meldung von Verletzungen des Schutzes personenbezogener Daten
- DSGVO — Artikel 5, Grundsätze für die Verarbeitung personenbezogener Daten
Ebenfalls lesenswert:
- Der EU Digital Omnibus im Detail: Was sich für die DSGVO wirklich ändert
- DSGVO 2026: Rekordbußgelder, eine Reform in Bewegung, und was Sie jetzt tun müssen
- Ihr KI-Chatbot anonymisiert gar nichts