Am 28. Januar ist Europäischer Datenschutztag. Der Termin erinnert an die Unterzeichnung der Datenschutzkonvention des Europarats im Jahr 1981, und er ist für uns jedes Jahr ein guter Anlass, kurz innezuhalten. Denn auch wenn die DSGVO selbst seit 2018 unverändert gilt, hat sich um sie herum einiges bewegt. Welche Neuerungen für den Datenschutz 2026 wichtig sind, was bereits gilt und was erst geplant ist, fassen wir hier für kleine und mittlere Unternehmen zusammen.
Datenschutz 2026: Die wichtigsten Entwicklungen im Überblick
| Thema | Stand Januar 2026 | Relevanz für KMU |
|---|---|---|
| EU Data Act | gilt seit September 2025 | Hersteller vernetzter Produkte, Cloud-Kunden |
| KI-Verordnung (AI Act) | schrittweise in Kraft, erste Pflichten seit Februar 2025 | Alle, die KI einsetzen |
| NIS2-Umsetzungsgesetz | seit Dezember 2025 in Kraft | Betroffene Branchen ab mittlerer Größe, Lieferketten |
| EU-US Data Privacy Framework | vom EU-Gericht im September 2025 bestätigt | Nutzer von US-Diensten |
| „Digitaler Omnibus“ der EU-Kommission | Vorschlag vom November 2025, noch nicht beschlossen | Mittelfristig alle |
| Schadenersatz nach Datenpannen | Rechtsprechung zugunsten Betroffener | Alle mit Kundendaten |
Was bereits gilt
Data Act: Daten aus Geräten und Cloud-Wechsel
Seit dem 12. September 2025 gilt der europäische Data Act. Er ist kein Datenschutzgesetz im engeren Sinne, sondern regelt den Zugang zu Daten, die bei der Nutzung vernetzter Produkte entstehen, etwa bei Maschinen, Fahrzeugen oder Haushaltsgeräten. Nutzer bekommen Ansprüche auf diese Daten. Außerdem soll der Wechsel zwischen Cloud-Anbietern einfacher werden. Wo personenbezogene Daten betroffen sind, gilt die DSGVO weiterhin vorrangig. Für die meisten Büros ist der Data Act eher eine Chance als eine Pflicht, für Hersteller vernetzter Produkte dagegen ein großes Thema.
KI-Verordnung: KI-Kompetenz ist Pflicht
Seit Februar 2025 gelten die Verbote bestimmter KI-Praktiken und die Pflicht, für ausreichende KI-Kompetenz der Mitarbeitenden zu sorgen. Wer KI-Werkzeuge im Betrieb einsetzt, sollte also dokumentieren, wie das Team geschult wurde. Seit August 2025 gelten zudem Pflichten für Anbieter großer KI-Modelle. Weitere Regeln sollen nach bisherigem Zeitplan ab August 2026 folgen. Datenschutzrechtlich bleibt es bei der DSGVO: Wer personenbezogene Daten in ein KI-Werkzeug gibt, braucht eine Rechtsgrundlage und in der Regel einen Vertrag zur Auftragsverarbeitung.
NIS2: Informationssicherheit wird Pflicht für viele
Mit dem NIS2-Umsetzungsgesetz müssen deutlich mehr Unternehmen als bisher Maßnahmen zur Informationssicherheit umsetzen, sich beim BSI registrieren und Vorfälle melden. Datenschutz und Informationssicherheit wachsen damit noch enger zusammen. Wer nach einer Datenpanne an die Datenschutzbehörde meldet, muss unter Umständen nun auch an das BSI melden, mit eigenen Fristen.
US-Dienste: Rechtsgrundlage vorerst stabil
Das Gericht der Europäischen Union hat im September 2025 eine Klage gegen das Data Privacy Framework abgewiesen. Datenübermittlungen an zertifizierte US-Unternehmen stehen damit vorerst auf einer bestätigten Grundlage. Ein Rechtsmittel zum Europäischen Gerichtshof ist möglich, und die politische Lage in den USA bleibt ein Unsicherheitsfaktor. Prüfen Sie daher weiterhin, ob Ihre US-Dienstleister zertifiziert sind, und behalten Sie Alternativen im Hinterkopf.
Schadenersatz: Datenpannen werden teurer
Der Bundesgerichtshof hat Ende 2024 entschieden, dass schon der bloße Kontrollverlust über die eigenen Daten ein ersatzfähiger Schaden sein kann. Seitdem sind Schadenersatzforderungen nach Datenpannen leichter durchzusetzen. Die Beträge im Einzelfall sind oft klein, bei vielen Betroffenen summiert sich das aber schnell. Gute technische Schutzmaßnahmen sind damit auch eine wirtschaftliche Frage.
Nebenbei: Barrierefreiheit auf der Website
Kein Datenschutzthema, aber oft im selben Atemzug bei der Website-Prüfung: Seit Ende Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz. Es verpflichtet Anbieter bestimmter Produkte und Dienstleistungen für Verbraucher, etwa Online-Shops, zu barrierefreien Angeboten. Kleinstunternehmen bei Dienstleistungen sind ausgenommen. Wenn Sie ohnehin Datenschutzerklärung und Cookie-Banner überarbeiten, lohnt sich ein Blick darauf, ob Ihr Webauftritt betroffen ist.
Was geplant ist
Im November 2025 hat die EU-Kommission ein Paket vorgeschlagen, das unter dem Namen „Digitaler Omnibus“ diskutiert wird. Es soll Digitalregeln vereinfachen und betrifft auch die DSGVO, zum Beispiel bei der Frage, wann Daten als personenbezogen gelten, bei Cookie-Regeln und beim Training von KI. Die Vorschläge sind umstritten, und bis zu einer Einigung zwischen Parlament und Rat kann es dauern. Unser Rat: Beobachten, aber nichts vorschnell umstellen. Bis zur Verabschiedung gilt die DSGVO, wie sie ist.
Ebenfalls weiterhin offen ist ein eigenes Gesetz zum Beschäftigtendatenschutz in Deutschland. Es wird seit Jahren gefordert, ist aber bisher nicht verabschiedet.
Was sich nicht geändert hat
Bei aller Bewegung: Die Grundlagen sind dieselben geblieben, und sie sind es, die in Prüfungen und Beschwerdeverfahren immer wieder auffallen. Fehlt das Verzeichnis der Verarbeitungstätigkeiten, ist die Datenschutzerklärung veraltet oder gibt es keine Verträge mit Dienstleistern, hilft auch das modernste KI-Konzept nicht weiter.
Checkliste zum Datenschutztag
- Verzeichnis der Verarbeitungstätigkeiten auf aktuellen Stand bringen, auch für neue KI-Werkzeuge
- Verträge zur Auftragsverarbeitung für alle Dienstleister vorhanden?
- Datenschutzerklärung und Cookie-Banner der Website prüfen
- KI-Schulung der Mitarbeitenden durchführen und dokumentieren
- Prüfen, ob Ihr Unternehmen unter das NIS2-Umsetzungsgesetz fällt
- Meldeprozess für Datenpannen testen: Wer meldet was, an wen, in welcher Frist?
- Zertifizierung von US-Dienstleistern im Data Privacy Framework kontrollieren
- Löschfristen umsetzen, nicht nur aufschreiben
Wir helfen Ihnen gerne
Sie möchten wissen, wo Ihr Unternehmen beim Datenschutz 2026 steht? Die Datenschutzberatung der Mittelstandsoptimierer prüft Ihre Dokumentation, schult Ihr Team, auch zum Einsatz von KI, und übernimmt auf Wunsch die Rolle des externen Datenschutzbeauftragten. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
