DSGVO im Jahr 2026: was sich seit 2018 geändert hat.

Warum der Text stillstand und die Praxis sich bewegte

Die DSGVO wurde nicht neu geschrieben. Die Artikelnummern, die Sie 2018 gelernt haben, sind die Artikelnummern, die Sie 2026 anwenden. Was sich geändert hat, liegt eine Ebene tiefer: die Rechtsprechung, die den Text auslegt, die EDPB-Leitlinien, die ihn operationalisieren, die Standardvertragsklauseln, die Ihre Übermittlungen absichern, und die Angemessenheitsmechanik, die regelt, wo Daten rechtmäßig landen dürfen. Ein 2018 aufgebautes und seither nie angefasstes Datenschutzprogramm ist auf dem Papier nicht falsch. Es ist in der Praxis veraltet, und veraltet ist genau das, was die Durchsetzung heute findet.

Diese Seite richtet sich an die Person, die die Verordnung bereits versteht und wissen muss, was aufzufrischen ist. Sie setzt voraus, dass Sie personenbezogene Daten, einen Verantwortlichen und eine Rechtsgrundlage definieren können. Sie konzentriert sich auf die vier beweglichen Teile, die 2026 tatsächlich Feststellungen erzeugen: internationale Übermittlungen, das Transfer Impact Assessment, die Überschneidung mit dem AI Act und die Frage, ob Sie überhaupt verpflichtet sind, einen Data Protection Officer zu benennen.

Internationale Übermittlungen: der Entscheidungsbaum, nicht die Schlagzeile

Die meisten Teams kennen die Schlagzeilen. Schrems II hat 2020 den Privacy Shield für ungültig erklärt. Das EU-US Data Privacy Framework hat ihn 2023 ersetzt. Die SCC von 2021 haben die Versionen von 2010 ersetzt. Die Schlagzeilen sind wahr und für sich genommen fast nutzlos, denn die eigentliche Arbeit besteht darin, eine bestimmte Übermittlung einem bestimmten Instrument zuzuordnen und dann zu entscheiden, ob darüber hinaus ein Transfer Impact Assessment erforderlich ist. Das ist ein Entscheidungsbaum, und Sie durchlaufen ihn je Datenfluss, nicht einmalig für das gesamte Unternehmen.

Beginnen Sie beim Ziel. Wenn der Importeur in einem Land mit einem aktuellen EU-Angemessenheitsbeschluss sitzt, übermitteln Sie auf Grundlage des Angemessenheitsbeschlusses und benötigen für diesen Fluss weder SCC noch ein TIA. Liegt das Ziel in den Vereinigten Staaten und ist der Importeur für die betreffenden Datenkategorien selbst nach dem Data Privacy Framework zertifiziert, stützt sich dieser Fluss auf das DPF als eigene Angemessenheitsgrundlage: keine SCC, keine zusätzlichen Maßnahmen. In dem Moment, in dem Sie über beides hinausgehen, befinden Sie sich bei den Garantien nach Article 46, was in der Praxis die SCC von 2021 bedeutet, und die SCC bringen eine TIA-Pflicht mit sich, die Schrems II zur Pflicht gemacht hat.

Das Transfer Impact Assessment im Betrieb

Ein TIA ist das Dokument, das eine Frage beantwortet: Untergräbt das Recht und die Praxis des Zielstaats den Schutz, den Ihre SCC auf dem Papier versprechen? Es ist kein Kontrollkästchen. Es ist ein kleines Stück rechtlich-technischer Analyse, das Sie je Übermittlung (oder je Gruppe materiell identischer Übermittlungen) erstellen und für den Tag aufbewahren, an dem eine Aufsichtsbehörde danach fragt.

In der Praxis leistet ein belastbares TIA vier Dinge. Es beschreibt die Übermittlung konkret: wer exportiert, wer importiert, welche Daten, welches Volumen, welcher Zweck. Es bewertet das rechtliche Regime des Ziellandes, mit besonderem Augenmerk auf staatliche Zugriffsbefugnisse und darauf, ob eine betroffene Person über einen wirksamen Rechtsbehelf verfügt. Es identifiziert zusätzliche Maßnahmen, wo das rechtliche Regime schwach ist, und die Maßnahme, die tatsächlich etwas bewirkt, ist eine von Ihnen kontrollierte Verschlüsselung, bei der der Importeur die Schlüssel nie hält. Und es hält eine begründete Schlussfolgerung fest: durchführen, mit Maßnahmen durchführen oder nicht übermitteln.

1. Bilden Sie den Fluss präzise ab, einschließlich aller Weiterübermittlungen, die Ihr Auftragsverarbeiter an Unterauftragsverarbeiter vornimmt. Die Flüsse, die Sie vergessen, sind die, die bei einer Datenpanne ans Licht kommen.
2. Bewerten Sie das Recht des Ziellandes anhand der EDPB-Kriterien, nicht anhand Ihres Bauchgefühls über das Land.
3. Wenden Sie zusätzliche Maßnahmen an, wo nötig, und behandeln Sie eine starke, schlüsselverwaltete Verschlüsselung als technische Standardmaßnahme statt allein auf vertragliche Zusagen zu setzen.
4. Dokumentieren und datieren Sie die Schlussfolgerung und legen Sie dann einen Überprüfungsauslöser fest, damit sie nicht stillschweigend abläuft.

Wo die DSGVO auf den AI Act trifft

Der AI Act ersetzt die DSGVO nicht und lockert sie nicht. Wo ein KI-System personenbezogene Daten verarbeitet, gelten beide in vollem Umfang und Sie erfüllen beide. Die Überschneidung lässt sich am klarsten anhand des Artefakts erkennen, das jedes Regime erwartet. Die DSGVO verlangt ein Data Protection Impact Assessment, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für Personen darstellt. Der AI Act verlangt für Hochrisiko-KI eine Konformitätsbewertung, technische Dokumentation und (für einige Systeme) eine Grundrechte-Folgenabschätzung. Das sind unterschiedliche Dokumente, die unterschiedliche Fragen beantworten, und ein Hochrisiko-KI-System, das personenbezogene Daten berührt, benötigt beide, in sich stimmig zueinander.

Die Reibungspunkte sind vertraute DSGVO-Probleme in neuem Gewand. Automatisierte Entscheidungsfindung mit rechtlicher oder ähnlich erheblicher Wirkung löste bereits die Pflichten nach Article 22 aus; der AI Act legt Transparenz- und Aufsichtspflichten obendrauf. Trainingsdaten werfen Fragen zur Rechtsgrundlage und zur Zweckbindung auf, die nicht verschwinden, weil das Ergebnis ein Modell ist. Profiling und Inferenz waren immer im Anwendungsbereich. Die praktische Regel für 2026: Betreiben Sie keinen KI-Governance-Arbeitsstrang, der Ihren DPO ignoriert, und betreiben Sie kein Datenschutzprogramm, das so tut, als wäre das Modelltraining das Problem von jemand anderem. Die beiden Bewertungen sollten aufeinander verweisen.

Privacy Engineers, die diese Regime in Build-Entscheidungen überbrücken müssen, sind genau die Zielgruppe für die CDPSE-Zertifizierung, die sich um Governance, Architektur und Datenlebenszyklus statt allein um Gesetzestext gliedert. Um Datenschutz als Managementsystem zu operationalisieren, das sauber neben einem ISMS steht, behandelt der ISO 27701 Foundation-Kurs das PIMS-Modell, und der ISO 27701 Lead Implementer-Kurs führt Sie durch dessen Aufbau und Betrieb.

Durchsetzung ist ein Signal, nicht nur ein Risiko

Lesen Sie aktuelle Durchsetzungsmaßnahmen als Landkarte dafür, wohin die Behörden schauen, denn sie sagen Ihnen, wo Ihre eigene Exposition wahrscheinlich liegt. Das Muster von 2023 bis 2025 ist konsistent. Internationale Übermittlungen brachten die höchsten Einzelstrafen hervor, wobei die Meta-Entscheidung (1,2 Milliarden Euro) sich um EU-US-Datenflüsse drehte. Verhaltensbasierte Werbung und die Rechtsgrundlage für Ad-Targeting führten zur LinkedIn-Entscheidung (310 Millionen Euro). Gescrapte biometrische Daten lösten wiederholte Maßnahmen gegen Clearview AI bei mehreren Behörden aus. Die aktiven Behörden sind die, die Sie erwarten würden: die CNIL in Frankreich, die DPC in Irland für die großen Plattformen, die AEPD in Spanien.

Die operative Erkenntnis lautet, die Durchsetzung nicht länger als die Schlagzeile eines anderen zu behandeln. Wenn Übermittlungen, Ad-Tech-Einwilligung und biometrische oder KI-nahe Verarbeitung dort liegen, wo die Bußgelder fallen, sind das die drei Akten, nach denen eine Aufsichtsbehörde Sie statistisch am wahrscheinlichsten fragt. Ein Programm, das ein aktuelles TIA, einen belastbaren Einwilligungsnachweis und eine DPIA für seine risikoreichste Verarbeitung vorlegen kann, ist ein Programm, das die tatsächlich gestellten Fragen übersteht.

Benötigen Sie wirklich einen DPO?

Die DPO-Frage wird am häufigsten reflexartig statt anhand des Textes beantwortet. Article 37 macht einen DPO in drei Situationen verpflichtend: Sie sind eine Behörde oder öffentliche Stelle; Ihre Kerntätigkeiten bestehen in einer umfangreichen regelmäßigen und systematischen Überwachung betroffener Personen; oder Ihre Kerntätigkeiten bestehen in der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von Daten über strafrechtliche Verurteilungen. Trifft keine davon zu, erzwingt die DSGVO die Benennung nicht, auch wenn einige nationale Gesetze eigene Auslöser hinzufügen und ein freiwilliger DPO oft die kluge Wahl ist.

Der Begriff, der die meisten realen Fälle entscheidet, ist "Kerntätigkeiten". Ein Krankenhaus überwacht Gesundheitsdaten als seine Kerntätigkeit und benötigt daher einen DPO. Ein Hersteller, der eine Gehaltsabrechnung betreibt, verarbeitet personenbezogene Daten, aber das ist eine unterstützende Funktion, keine Kerntätigkeit, sodass die Gehaltsabrechnung allein die Pflicht nicht auslöst. Die Fehler häufen sich an den Rändern: jemanden zu benennen, dem die von Article 38 geforderte Unabhängigkeit und Berichtslinie fehlt, einen DPO zu benennen, der einen Interessenkonflikt hat, weil er auch die Verarbeitung verantwortet, die er beaufsichtigen soll, oder auf dem Papier zu benennen und der Rolle dabei keine Autorität zu geben. Ein DPO, der den Vorstand nicht erreichen und nicht nein sagen kann, ist eine Feststellung, die nur darauf wartet, geschrieben zu werden.

Wenn die Rolle von Ihnen zu besetzen oder zu beaufsichtigen ist, kommt es auf die Tiefe an. Der GDPR Foundation-Kurs ist der richtige Ausgangspunkt für das Team rund um die Rolle, und der GDPR Certified Data Protection Officer-Kurs ist für die Person gemacht, die den Titel trägt, und behandelt die Unabhängigkeit, die Aufgaben und die Rechenschaftspflicht, die die Verordnung tatsächlich verlangt.

Was Sie vor Ihrem nächsten Audit auffrischen sollten

Bringen Sie die beweglichen Teile auf den aktuellen Stand, und der Rest des Programms regelt sich weitgehend von selbst. Vergewissern Sie sich, dass jede Übermittlung auf den SCC von 2021 beruht, nicht auf dem zurückgezogenen Satz von 2010, denn Altklauseln sind eine sofortige Feststellung. Prüfen Sie, dass jede nicht angemessene Übermittlung ein datiertes TIA hat, das aus Ihrem RoPA verlinkt ist. Überprüfen Sie, dass jeder US-Anbieter, auf den Sie sich verlassen, derzeit für die Daten, die Sie senden, DPF-zertifiziert ist, und dass Sie eine SCC-Rückfalloption haben, falls nicht. Stellen Sie sicher, dass Ihre risikoreichste Verarbeitung eine DPIA hat und dass alles KI-Getriebene die AI-Act-Artefakte daneben liegen hat. Testen Sie schließlich die DPO-Frage erneut anhand Ihrer tatsächlichen Kerntätigkeiten statt anhand der Antwort, die Sie 2018 gegeben haben.