Die europäische Digitalregulierung befindet sich im Umbruch – und Unternehmen müssen sich auf ein komplexes Zusammenspiel neuer Vorschriften einstellen. Die Einführung der Digital-Omnibus-Reform, die vollständige Umsetzung des EU-AI-Acts sowie aktualisierte Leitlinien des Europäischen Datenschutzausschusses (EDSA) verändern die Rolle von Datenschutzbeauftragten grundlegend: Aus administrativen Compliance-Hütern werden strategische Risikomanager. Der Grund: Eine Reihe von Gesetzesnovellen und Gerichtsurteilen aus dem ersten Halbjahr 2026 präzisiert die Grenzen der Datenspeicherung – insbesondere in der Forschung, bei Künstlicher Intelligenz und im Arbeitsrecht.
Anzeige
Angesichts der neuen gesetzlichen Anforderungen durch den AI Act stehen viele Unternehmen vor großen Dokumentationshürden. Dieser kostenlose Umsetzungsleitfaden verschafft Ihnen den Überblick über Fristen, Pflichten und Risikoklassen, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen
Wissenschaftliche Forschung: Unbegrenzte Speicherung tabu
Mitte April 2026 verabschiedete der EDSA die Leitlinien 1/2026 zur Verarbeitung personenbezogener Daten für wissenschaftliche Zwecke. Die noch bis Ende Juni zur öffentlichen Konsultation stehenden Regeln führen einen strengen Sechs-Faktoren-Test ein, der bestimmt, ob eine Verarbeitung als legitime Forschung im Sinne der DSGVO gilt.
Die Botschaft ist eindeutig: Die Speicherung personenbezogener Daten auf unbestimmte Zeit ist strikt unzulässig. Zwar erlauben die Leitlinien eine Weiterverarbeitung für Forschungszwecke unter bestimmten Umständen – doch eine gültige Rechtsgrundlage bleibt Pflicht. Der EDSA stellt klar: Selbst breite oder dynamische Einwilligungsmodelle befreien nicht vom Grundsatz der Speicherbegrenzung. Forscher müssen konkrete Fristen für die Löschung oder Anonymisierung festlegen.
Digital Omnibus: Einheitliche Regeln für Europa
Die im November 2025 vorgeschlagene Digital-Omnibus-Reform soll die DSGVO mit dem Data Act, dem AI Act und verschiedenen Cybersicherheitsvorschriften harmonisieren. Zu den Kernpunkten zählen der Wechsel vom Cookie-Opt-in zum Opt-out sowie die Verlängerung der Meldefrist für Datenpannen von 72 auf 96 Stunden.
Zur Unterstützung dieser Harmonisierung startete der EDSA am 14. April 2026 eine Konsultation für eine standardisierte Datenschutz-Folgenabschätzung (DPIA). Diese Meta-Vorlage soll die derzeit in den EU-Mitgliedstaaten verwendeten unterschiedlichen Formate vereinheitlichen. Für Unternehmen bedeutet das: klarere Vorgaben zur Dokumentation der Speichernotwendigkeit und der rechtzeitigen Datenlöschung.
Der Druck steigt. Laut Bitkom haben zwar rund 41 Prozent der deutschen Unternehmen Künstliche Intelligenz im Einsatz, doch etwa 64 Prozent verfügen noch über keine formale KI-Strategie. Diese Lücke zwischen Nutzung und Governance ist brisant – angesichts der strengen Dokumentations- und Speicherpflichten des EU-AI-Acts.
Gerichtsurteile: Zugangsrechte und Beweisaufbewahrung
Auch die Rechtsprechung liefert wichtige Klarstellungen. Am 19. März 2026 entschied der Europäische Gerichtshof (EuGH) im Fall Brillen Rottler: Auskunftsersuchen nach Artikel 15 DSGVO können unter bestimmten Umständen rechtsmissbräuchlich sein. Zudem verlangen Schadensersatzklagen nach der DSGVO den Nachweis eines tatsächlichen Schadens – eine bloße Verletzung der Verordnung reicht nicht.
Anzeige
Die rechtssichere Dokumentation von Verarbeitungstätigkeiten bleibt das Fundament jeder Compliance-Strategie, um Bußgelder von bis zu 2 % des Jahresumsatzes zu vermeiden. Mit dieser kostenlosen Excel-Vorlage und der zugehörigen Schritt-für-Schritt-Anleitung erstellen Sie Ihr Verarbeitungsverzeichnis zeitsparend und behördensicher. Kostenlose Muster-Vorlage für das Verarbeitungsverzeichnis herunterladen
Das Landesarbeitsgericht (LAG) München hatte bereits 2025 richtungsweisend entschieden: Arbeitnehmer haben keinen Anspruch auf eine vollständige Kopie eines Compliance-Berichts, da dieser oft Zeugenaussagen und Bewertungen enthält, die über die personenbezogenen Daten des Einzelnen hinausgehen. Wohl aber können sie die finale Version ihrer Personalakte einsehen – vorläufige Entwürfe oder Arbeitspapiere sind davon ausgenommen.
Rechtsexperten raten daher zu einer „Final-Version“-Politik für sensible Dokumente: Unternehmen sollten klare Löschfristen für Entwürfe und interne Korrespondenz festlegen, sobald ein Abschlussbericht archiviert ist. Das minimiert Datenbestände und schützt Dritte, die in Untersuchungen genannt werden.
KI und Cybersicherheit: Neue Speicherpflichten
Die vollständige Anwendung des EU-AI-Acts am 2. August 2026 bringt die bisher strengsten Anforderungen an die Datenverwaltung. Hochrisiko-KI-Systeme benötigen eine verbindliche menschliche Aufsicht, dokumentierte Risikomanagementprozesse und nachvollziehbare Entscheidungsprotokolle. Für viele Unternehmen bedeutet das: neue Speicherkategorien speziell für Trainingsdaten und Betriebsprotokolle von KI-Modellen.
Neue technische Lösungen helfen bei der Bewältigung dieser Herausforderungen. Am 27. April 2026 veröffentlichte Eye Security das Open-Source-Tool „complisec“, das KI-Agenten den nötigen Kontext liefert, um DSGVO- und NIS2-Anforderungen einzuhalten – inklusive Speichergrenzen.
Parallel dazu erzeugen Cybersicherheitsvorschriften eigene Speicherpflichten. In Deutschland sind seit Dezember 2025 rund 30.000 Unternehmen von der NIS2-Richtlinie betroffen, die robustes Incident-Management und Lieferkettensicherheit verlangt. Das Bundeskabinett hat zudem eine dreimonatige Speicherpflicht für IP-Adressen durch Internetdienstanbieter beschlossen – gedacht zur Strafverfolgung, aber verfassungsrechtlich umstritten.
Die Kosten der Nicht-Compliance
Die finanziellen Risiken unzureichender Datenverwaltung erreichen neue Dimensionen. Bei Verstößen gegen den EU-AI-Act drohen Bußgelder von bis zu 35 Millionen Euro oder 7 Prozent des weltweiten Jahresumsatzes. Auch die bestehende DSGVO-Durchsetzung bleibt aggressiv: Die britische ICO verhängte kürzlich eine Geldstrafe von über 14 Millionen Pfund gegen eine große Social-Media-Plattform wegen unzureichender Altersverifikation und Datenschutzmängeln.
Der Verwaltungsaufwand für die Aufsichtsbehörden steigt ebenfalls. Die österreichische Datenschutzbehörde (DSB) meldet, dass sich die Einzelfallbeschwerden zwischen 2023 und 2025 mehr als verdoppelt haben – auf rund 5.300 Fälle. Ein erheblicher Teil wird inzwischen von großen Sprachmodellen generiert, was die Ressourcen der Behörde belastet, deren Budget für 2026 leicht gekürzt wurde.
Ausblick: Was kommt auf Unternehmen zu?
Mit dem 2. August 2026 als Stichtag für den EU-AI-Act verschiebt sich der Fokus vieler Organisationen von der groben Klassifizierung hin zum operativen Governance-Betrieb. Bis Ende 2026 müssen die EU-Mitgliedstaaten zudem Lösungen für die EU Digital Identity Wallet bereitstellen – eine weitere Ebene in der digitalen Identitäts- und Speicherlandschaft.
Die Europäische Kommission und der EDSA kündigten am 28. April 2026 an, gemeinsame Leitlinien zu den Überschneidungen von Wettbewerbsrecht und Datenschutz zu erarbeiten. Diese sollen klären, wie dominante Plattformen mit Datenportabilität und Online-Werbung umgehen – mit wahrscheinlich noch spezifischeren Anforderungen an Datensilos und Löschprotokolle.
Für Unternehmen bedeutet das: Der Rest des Jahres 2026 erfordert ein rigoroses Audit der bestehenden Aufbewahrungsfristen. Nur wer jetzt handelt, bleibt in diesem sich rapide verschärfenden regulatorischen Umfeld auf der sicheren Seite.