Wichtige Entwicklungen. Einfach erklärt.

Anwendbares europäisches Recht

Transparenzpflichten der KI-Verordnung gelten jetzt

Seit dem 2. August 2026 gelten die Transparenzpflichten aus Artikel 50 der europäischen KI-Verordnung. Damit sind die zuvor veröffentlichten Leitlinien nicht mehr nur Vorbereitung auf einen künftigen Stichtag. Anbieter und Betreiber betroffener KI-Systeme müssen die für ihre jeweilige Rolle geltenden Vorgaben nun umsetzen.

Menschen müssen in den vorgesehenen Fällen erkennen können, wenn sie unmittelbar mit einem KI-System interagieren. Weitere Pflichten können die maschinenlesbare Markierung KI-erzeugter oder KI-veränderter Inhalte, Hinweise bei Emotionserkennung oder biometrischer Kategorisierung sowie die Offenlegung von Deepfakes betreffen. Auch bestimmte KI-generierte Texte zu Themen von öffentlichem Interesse müssen gekennzeichnet werden, wenn keine menschliche Prüfung oder redaktionelle Verantwortung besteht.

Nicht jede Nutzung von KI führt damit automatisch zu einer sichtbaren Kennzeichnungspflicht. Entscheidend sind insbesondere die Rolle der Organisation, die Funktion des Systems, die Art des Inhalts und die konkrete Veröffentlichung. Für die technische Markierung durch Anbieter bestimmter bereits vor dem Stichtag bereitgestellter generativer KI-Systeme gilt eine begrenzte Übergangsfrist bis zum 2. Dezember 2026. Bereits zuvor veröffentlichte Inhalte müssen nicht rückwirkend gekennzeichnet werden.

Amtliche europäische Rechtsentwicklung

AI Omnibus tritt in Kraft und ändert Fristen der KI-Verordnung

Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744, der sogenannte „AI Omnibus“, in Kraft getreten. Damit ist aus der zuvor erzielten politischen Einigung verbindliches Recht geworden. Die Verordnung ändert einzelne Vorgaben und Anwendungszeitpunkte des EU AI Act, ohne dessen grundlegenden risikobasierten Ansatz aufzugeben.

Die Anforderungen für Hochrisiko-KI-Systeme nach Anhang III gelten nun grundsätzlich ab dem 2. Dezember 2027. Für Hochrisiko-KI, die als Sicherheitskomponente bestimmter Produkte nach Anhang I eingesetzt wird, gilt grundsätzlich der 2. August 2028. Daneben werden einzelne Erleichterungen auf kleine Unternehmen mit mittlerer Kapitalisierung ausgeweitet, Reallabore gestärkt und bestimmte Verwaltungs- und Registrierungspflichten vereinfacht.

Die Verschiebungen betreffen nicht sämtliche Anforderungen der KI-Verordnung. Insbesondere die Transparenzpflichten für bestimmte KI-Systeme und KI-generierte Inhalte gelten weiterhin ab dem 2. August 2026. Welche Frist und welche Pflicht einschlägig ist, hängt deshalb von der konkreten Funktion, Risikoklasse und Rolle der jeweiligen Organisation ab.

Offizielle europäische Quelle

EU-Kommission konkretisiert Transparenzpflichten für KI-Systeme

Die Europäische Kommission hat Leitlinien zu den Transparenzpflichten aus Artikel 50 der KI-Verordnung veröffentlicht. Sie erläutern, wann Anbieter und Betreiber von KI-Systemen Menschen über den Einsatz von KI informieren müssen und welche KI-erzeugten oder KI-veränderten Inhalte technisch erkennbar oder sichtbar zu kennzeichnen sind. Die betreffenden Pflichten gelten ab dem 2. August 2026.

Menschen sollen insbesondere erkennen können, wenn sie unmittelbar mit einem KI-System kommunizieren. Informationspflichten können außerdem bei Deepfakes, Emotionserkennung, biometrischer Kategorisierung und bestimmten KI-generierten Inhalten zu Themen von öffentlichem Interesse bestehen. Welche Vorgabe gilt, hängt von der Funktion des Systems, der Rolle der Organisation und der konkreten Verwendung ab.

Amtliche europäische Rechtsprechung

EuGH begrenzt die journalistische Ausnahme bei Online-Datenbanken

Der Europäische Gerichtshof hat über eine kostenpflichtige Internetdatenbank entschieden, in der nach Personen gesucht und strafrechtliche Verurteilungen abgerufen werden konnten. Die bloße entgeltliche Veröffentlichung solcher Entscheidungen stellt nach dem Urteil grundsätzlich noch keine Verarbeitung zu journalistischen Zwecken dar. Die datenschutzrechtlichen Schutzregeln und Rechtsbehelfe können deshalb weiterhin anwendbar sein.

Das Urteil ist kein allgemeines Verbot, Gerichtsentscheidungen online bereitzustellen. Entscheidend bleiben Zweck, redaktionelle Bearbeitung, Ausgestaltung des Angebots und die Abwägung mit der Meinungs- und Informationsfreiheit. Der konkrete Ausgangsfall muss nun anhand dieser Vorgaben weiter beurteilt werden.

Offizielle europäische Quelle

EU bestätigt Praxiskodex zur Kennzeichnung von KI-Inhalten

Die Europäische Kommission und der europäische KI-Ausschuss haben den freiwilligen Praxiskodex zur Kennzeichnung von KI-Inhalten als geeignet bewertet. Er soll Anbietern und Betreibern generativer KI helfen, die Transparenzpflichten aus Artikel 50 der KI-Verordnung umzusetzen. Dabei geht es insbesondere um maschinenlesbare Markierungen sowie um sichtbare Hinweise bei Deepfakes und bestimmten KI-erzeugten oder KI-veränderten Texten zu Themen von öffentlichem Interesse.

Die betreffenden Transparenzpflichten gelten ab dem 2. August 2026. Eine Teilnahme am Kodex ist freiwillig und erleichtert die Orientierung. Sie beweist aber nicht automatisch, dass jede einzelne Nutzung der KI rechtskonform ist. Entscheidend bleiben der konkrete Inhalt, die Rolle der Organisation und die Art der Veröffentlichung.

Offizielle europäische Quelle

EDSA veröffentlicht Leitlinien zu Anonymisierung und Web-Scraping für generative KI

Der Europäische Datenschutzausschuss (EDSA) hat neue Leitlinien zur Anonymisierung und zum automatisierten Sammeln von Internetdaten für generative KI beschlossen. Für anonyme Daten nennt der EDSA drei zentrale Prüfungen: Einzelne Personen dürfen nicht herausgegriffen, verschiedene Datensätze nicht miteinander verbunden und persönliche Informationen nicht wieder abgeleitet werden können. Sind diese Bedingungen nicht erfüllt, kann weiterhin die DSGVO gelten.

Beim sogenannten Web-Scraping dürfen öffentlich auffindbare Daten nicht einfach als frei verwendbar behandelt werden. Sobald personenbezogene Daten gesammelt, gespeichert oder für ein KI-Modell genutzt werden, müssen unter anderem Rechtsgrundlage, Zweck, Transparenz, Datenminimierung und Richtigkeit geprüft werden. Für besonders sensible Daten gelten zusätzliche Hürden. Die beiden Leitlinien befinden sich bis zum 30. Oktober 2026 in der öffentlichen Konsultation und sind deshalb noch nicht endgültig.

Offizielle europäische Quelle

EU legt Aktionsplan für Cybersicherheit bei fortgeschrittener KI vor

Die Europäische Kommission will die sichere Nutzung fortgeschrittener KI-Modelle stärker mit der europäischen Cybersicherheitsstrategie verbinden. Geplant sind unter anderem zusätzliche Möglichkeiten zur Bewertung von KI-Modellen, ein Konzept für den sicheren Zugang zu leistungsfähiger KI und eine Testumgebung für besonders wichtige Bereiche wie Energie, Verkehr, Gesundheit, Finanzwesen und öffentliche Verwaltung.

Der Aktionsplan ergänzt bestehende Regelwerke wie die KI-Verordnung, NIS2 und den Cyber Resilience Act. Er führt für einzelne Organisationen nicht unmittelbar neue Pflichten ein. Er zeigt jedoch, dass Sicherheit, Resilienz und kontrollierte Tests bei der Einführung von KI weiter an Bedeutung gewinnen.

Offizielle europäische Quelle

EDSA zeigt häufige Fehler bei Löschung und Widerspruch

Der Europäische Datenschutzausschuss hat seine europaweite Fallauswertung zu Löschungs- und Widerspruchsrechten aktualisiert. Sie fasst wichtige Entscheidungen der Aufsichtsbehörden zusammen und zeigt, wie interne Abläufe zur Bearbeitung dieser Rechte bewertet werden. Behandelt werden beispielsweise Widersprüche gegen Direktwerbung und die Löschung von Konten oder Onlineprofilen.

Die Auswertung beschreibt wiederkehrende Verstöße und die von Behörden angeordneten Maßnahmen. Sie ist keine neue Rechtsvorschrift, bietet aber eine praktische Orientierung dafür, welche organisatorischen Schwächen bei der Bearbeitung von Betroffenenrechten besonders häufig auffallen.

Offizielle deutsche Quelle

Datenschutzkonferenz legt „Stuttgarter Impulse“ zur Modernisierung des Datenschutzes vor

Die Datenschutzaufsichtsbehörden der Länder formulieren zehn Vorschläge zur Modernisierung der Aufsicht und fünf Kernthesen zum materiellen Datenschutzrecht. Vorgeschlagen werden unter anderem eine gesetzliche Verankerung der Datenschutzkonferenz, verbindlichere Abstimmungen, ein zentrales digitales Zugangsportal und gebündelte Spezialkompetenzen. Ziel sind mehr Orientierung, einheitlichere Verfahren und weniger Doppelarbeit.

Außerdem sprechen sich die Behörden für verständlichere Regeln, mehr Rechtssicherheit und eine stärkere Verantwortung der Hersteller digitaler Produkte aus. Die „Stuttgarter Impulse“ sind politische Vorschläge der Aufsichtsbehörden. Sie ändern die DSGVO oder das deutsche Datenschutzrecht nicht unmittelbar. Sie zeigen aber, in welche Richtung sich Aufsicht und Gesetzgebung aus Sicht der deutschen Behörden entwickeln sollten.

Offizielle europäische Quelle

Einheitliche EU-Vorlage für die Meldung von Datenschutzverletzungen

Der EDSA hat eine gemeinsame Vorlage für Meldungen nach Artikel 33 DSGVO veröffentlicht. Sie soll Organisationen helfen, Datenpannen strukturiert und vollständig an die zuständige Datenschutzaufsichtsbehörde zu melden. Die Vorlage enthält vorgegebene Auswahlmöglichkeiten und Erläuterungen zu den benötigten Angaben. Dadurch sollen Meldungen in Europa verständlicher und einheitlicher werden.

Die öffentliche Konsultation zur Vorlage endete am 5. August 2026. Der EDSA wird die eingegangenen Rückmeldungen auswerten und anschließend über den Zeitplan der praktischen Einführung durch die Datenschutzaufsichtsbehörden entscheiden. Ein verbindlicher Einführungstermin wurde bislang nicht veröffentlicht. Die bereits geltenden Regeln ändern sich dadurch nicht: Eine meldepflichtige Datenschutzverletzung muss grundsätzlich unverzüglich und möglichst innerhalb von 72 Stunden gemeldet werden.

Amtliches EU-Recht

Neue EU-Antikorruptionsrichtlinie stärkt den Bezug zum Hinweisgeberschutz

Die neue EU-Richtlinie zur Korruptionsbekämpfung ist am 31. Mai 2026 in Kraft getreten. Sie schafft gemeinsame Mindestregeln für Korruptionsdelikte in öffentlichen und privaten Bereichen. Erfasst werden unter anderem Bestechung, Veruntreuung, unerlaubte Einflussnahme, Behinderung der Justiz und bestimmte Formen der Verschleierung oder Bereicherung aus Korruption.

Die Richtlinie stellt außerdem klar, dass Meldungen über solche Delikte und der Schutz der meldenden Personen mit dem europäischen Hinweisgeberschutz zusammengedacht werden müssen. Als EU-Richtlinie muss sie zunächst in nationales Recht umgesetzt werden. Allein durch ihr Inkrafttreten ändern sich die Abläufe einer deutschen internen Meldestelle daher nicht sofort.

Offizielle europäische Quelle · politische Einigung

EU einigt sich auf geänderten Zeitplan für Hochrisiko-KI

Das Europäische Parlament und der Rat haben eine politische Einigung über Vereinfachungen der KI-Regeln und einen angepassten Zeitplan erzielt. Danach sollen Vorschriften für bestimmte Hochrisikobereiche – darunter Biometrie, kritische Infrastruktur, Bildung, Beschäftigung und Migration – ab dem 2. Dezember 2027 gelten. Für Hochrisiko-KI in bestimmten Produkten ist der 2. August 2028 vorgesehen.

Eine politische Einigung war zu diesem Zeitpunkt noch nicht dasselbe wie eine endgültig verkündete Gesetzesfassung. Das Gesetzgebungsverfahren ist inzwischen abgeschlossen: Seit dem 27. Juli 2026 ist die Verordnung (EU) 2026/1744 in Kraft. Die verbindliche Rechtslage und ihre praktische Bedeutung erläutert der aktualisierte Beitrag vom 27. Juli 2026.

Offizielle europäische Quelle

EDSA veröffentlicht einheitliche Vorlage für Datenschutz-Folgenabschätzungen

Der EDSA hat erstmals eine europaweit einheitlich gedachte Vorlage für Datenschutz-Folgenabschätzungen veröffentlicht. Eine solche Prüfung ist erforderlich, wenn eine Datenverarbeitung voraussichtlich ein hohes Risiko für Menschen verursacht. Die Vorlage führt schrittweise durch die Beschreibung der Verarbeitung, die Prüfung der Notwendigkeit und die Bewertung möglicher Folgen für die Rechte und Freiheiten betroffener Personen.

Ergänzt wird die Vorlage durch ein Erklärdokument in möglichst einfacher Sprache. Ihre Nutzung ist derzeit nicht verpflichtend. Nach Abschluss der Konsultation sollen die europäischen Aufsichtsbehörden die Vorlage als gemeinsamen Standard oder als Grundlage für nationale Vorlagen verwenden.

Offizielle deutsche Aufsichtsbehörde

Neue Orientierungshilfe für KI-Projekte in der öffentlichen Verwaltung

Der Bayerische Landesbeauftragte für den Datenschutz hat eine umfangreiche Orientierungshilfe für KI-Projekte in öffentlichen Stellen veröffentlicht. Sie verbindet Anforderungen der europäischen KI-Verordnung mit dem bereits geltenden Datenschutzrecht. Im Mittelpunkt stehen nachvollziehbare Entscheidungen, ein klarer Zweck, eine tragfähige Rechtsgrundlage und ein Schutzkonzept für personenbezogene Daten.

Die Veröffentlichung richtet sich unmittelbar an bayerische öffentliche Stellen. Viele Arbeitsschritte lassen sich aber auch auf andere Verwaltungen übertragen. Die Behörde kündigt außerdem kurze Ergänzungen zu konkreten KI-Einsatzfällen an. Die Orientierungshilfe ist keine Genehmigung für ein bestimmtes System; jedes Vorhaben muss weiterhin einzeln bewertet werden.

Offizielle europäische Quelle

Datenschutzaufsichten prüfen 2026 Informations- und Transparenzpflichten

25 europäische Datenschutzaufsichtsbehörden beteiligen sich 2026 an einer koordinierten Prüfung der Informationspflichten nach Artikel 12 bis 14 DSGVO. Untersucht wird, ob Verantwortliche verständlich, vollständig und rechtzeitig darüber informieren, wie personenbezogene Daten verarbeitet werden. Je nach Behörde erfolgen Befragungen, Sachverhaltsprüfungen oder Aufsichtsmaßnahmen.

Die europaweiten Ergebnisse sollen später zusammengeführt und ausgewertet werden. Die gesetzlichen Pflichten sind nicht neu. Der gemeinsame Prüfungsschwerpunkt erhöht aber die praktische Bedeutung aktueller und zur tatsächlichen Verarbeitung passender Datenschutzhinweise.

Offizielle europäische Quelle

Europaweite Prüfung zeigt Schwächen bei der Bearbeitung von Löschanträgen

32 europäische Datenschutzaufsichtsbehörden haben untersucht, wie 764 Unternehmen und öffentliche Stellen das Recht auf Löschung umsetzen. Dabei zeigten sich wiederkehrende Probleme: fehlende interne Abläufe, unvollständige Informationen für betroffene Personen und Unsicherheiten bei der Frage, wann Daten tatsächlich gelöscht werden müssen oder weiter gespeichert werden dürfen.

Weitere Schwierigkeiten betrafen Aufbewahrungsfristen, Daten in Sicherungskopien und den Versuch, Daten nur zu anonymisieren, obwohl die Anonymisierung nicht wirksam war. Das Recht auf Löschung gilt nicht ausnahmslos. Wird ein Antrag abgelehnt oder nur teilweise erfüllt, muss die Entscheidung aber nachvollziehbar geprüft, begründet und dokumentiert werden.

Offizielle deutsche Quelle

BfDI startet „ReguLab“ für frühe Datenschutzklärung bei Innovationen

Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit startet mit dem „ReguLab“ ein neues Beratungsformat für datenbasierte Innovationen. Ausgewählte reale Anwendungsfälle sollen früh gemeinsam mit der Aufsicht betrachtet werden. Ziel ist, offene Datenschutzfragen nicht erst nach Entwicklung oder Markteinführung zu klären, sondern bereits während der Planung einer technischen Lösung.

Handlungsempfehlungen und datenschutzgerechte Lösungswege aus den Projekten sollen auch öffentlich zugänglich gemacht werden. Das ReguLab ist nicht mit einem KI-Reallabor nach der KI-Verordnung gleichzusetzen und ersetzt weder die eigene Verantwortlichkeit noch eine erforderliche Datenschutzprüfung.

Offizielle europäische Quelle

Datenschutzbehörden ordnen geplante Vereinfachungen der KI-Verordnung ein

EDSA und Europäischer Datenschutzbeauftragter haben gemeinsam zum geplanten „Digital Omnibus on AI“ Stellung genommen. Die EU-Kommission möchte damit einzelne Abläufe der KI-Verordnung vereinfachen. Die Datenschutzbehörden unterstützen weniger Bürokratie und europäische Reallabore, warnen aber davor, Schutzrechte und nachvollziehbare Verantwortlichkeiten abzuschwächen.

Besonders wichtig sind aus ihrer Sicht die Beteiligung der Datenschutzaufsicht, eine enge Begrenzung der Verarbeitung sensibler Daten zur Erkennung von Verzerrungen, die Registrierung möglicherweise hochriskanter Systeme und die Pflicht zur KI-Kompetenz der Beschäftigten. Es handelt sich um eine Stellungnahme zu einem Gesetzgebungsvorschlag – nicht um bereits geltendes neues Recht.