[KI / KI-Verordnung] Inkrafttreten des AI Omnibus
Datum: 27. Juli 2026
Quelle: Europäische Kommission
Der AI Omnibus ist am 27. Juli 2026 in der Europäischen Union in Kraft getreten. Der Rechtsakt ändert den Zeitplan und bestimmte Anwendungsmodalitäten der KI-Verordnung, mit dem erklärten Ziel, Verwaltungsaufwand zu reduzieren und Innovation zu fördern.
Die regulatorischen Fristen für Hochrisiko-KI-Systeme wurden verlängert. Systeme nach Anhang III müssen die Anforderungen nun bis zum 2. Dezember 2027 erfüllen, während für bestimmte in physische Produkte integrierte Systeme eine Frist bis zum 2. August 2028 gilt. Ferner werden die Unterstützungsmaßnahmen für kleine Mid-Cap-Unternehmen ausgebaut. Gleichzeitig wird die Rolle des AI Office bei bestimmten KI-Systemen gestärkt, insbesondere bei solchen, die auf KI-Modellen mit allgemeinem Verwendungszweck (General-Purpose AI) basieren.
[KI / Transparenz] Leitlinien zu Artikel 50 der KI-Verordnung
Datum: 20. Juli 2026
Quelle: Europäische Kommission
Die Europäische Kommission hat Leitlinien zu den Transparenzpflichten veröffentlicht, die für bestimmte Anbieter und Betreiber von KI-Systemen gelten. Diese Pflichten gelten ab dem 2. August 2026.
Die Leitlinien konkretisieren die Anforderungen an interaktive Systeme, an durch KI erzeugte oder manipulierte Inhalte, an Deepfakes sowie an Systeme zur Emotionserkennung und biometrischen Kategorisierung. Für Compliance-Teams ist dies besonders relevant, da Schnittstellen, Kennzeichnungen, maschinenlesbare Markierungen und Nutzerinformationen operativ überprüft werden müssen.
[Generative KI / Personenbezogene Daten] EDSA zu Anonymisierung, Web Scraping und Blockchain
Datum: 8. Juli 2026
Quelle: EDSA / EDPB
Der Europäische Datenschutzausschuss (EDSA) hat neue Leitlinien zur Anonymisierung sowie zum Web Scraping im Zusammenhang mit generativer KI verabschiedet. Beide Entwürfe stehen bis zum 30. Oktober 2026 zur öffentlichen Konsultation. Darüber hinaus hat der EDSA die endgültige Fassung seiner Leitlinien zur Verarbeitung personenbezogener Daten im Kontext von Blockchain-Technologien angenommen.
Zur Anonymisierung hebt der EDSA drei zentrale Anforderungen hervor: keine Aussonderung einzelner Personen, keine Verknüpfbarkeit von Datensätzen und keine Möglichkeit, zusätzliche Informationen über Betroffene abzuleiten. Beim Web Scraping erinnert der Ausschuss daran, dass die DSGVO greift, sobald personenbezogene Daten erhoben oder weiterverwendet werden. Besondere Bedeutung kommt dabei der Rechtsgrundlage, der Zweckbindung, der Transparenz, der Datenminimierung sowie dem Schutz besonderer Kategorien personenbezogener Daten zu.
[Agentische KI / Personenbezogene Daten] Explorative Stellungnahme der CNIL und des CIANum
Datum: 20. Juli 2026
Quelle: CNIL
Die CNIL und der Rat für Künstliche Intelligenz und Digitales (Conseil de l’IA et du Numérique) haben eine explorative Stellungnahme zu agentischer KI und dem Schutz personenbezogener Daten veröffentlicht. Darin betonen sie den grundlegenden Wandel, den KI-Systeme mit sich bringen, die eigenständig in der digitalen Umgebung von Nutzerinnen und Nutzern agieren, mehrere Dienste miteinander verknüpfen und auf dauerhafte Speicherfunktionen zurückgreifen können.
Die CNIL betont Risiken wie den Kontrollverlust des Nutzers, Hyperpersonalisierung, komplexe Datenflüsse und Schwierigkeiten bei der Zuweisung von Verantwortlichkeiten zwischen den beteiligten Akteuren. Die DSGVO und die KI-Verordnung sind bereits anwendbar, ihre praktische Umsetzung muss jedoch an diese autonomeren Architekturen angepasst werden.
[Cookies / Tracking-Technologien] Verbindlicher Beschluss des EDSA zu einer NOYB-Beschwerde gegen VRT
Datum: 14. Juli 2026
Quelle: EDSA / EDPB
Der EDSA hat einen verbindlichen Beschluss veröffentlicht, wonach die belgische Datenschutzaufsichtsbehörde die von NOYB eingereichte Beschwerde zu den Cookie-Bannern des flämischen öffentlich-rechtlichen Rundfunks VRT materiell prüfen muss.
Die Relevanz der Entscheidung reicht über den Einzelfall hinaus. Der EDSA stellt klar, dass Aufsichtsbehörden Beschwerden nicht ohne Weiteres als missbräuchlich oder unzulässig zurückweisen dürfen, insbesondere wenn sie von repräsentativen Organisationen erhoben werden. Für Verantwortliche bestätigt dies, dass koordinierte Beschwerdeverfahren im Bereich Cookies und Tracking auch künftig ein bedeutendes Mittel der datenschutzrechtlichen Durchsetzung bleiben.
[E-Mail-Tracking / Marketing] FAQ der CNIL zu Pixeln in elektronischer Post
Datum: 22. Juli 2026
Quelle: CNIL
Die CNIL hat eine FAQ zu ihrer Empfehlung betreffs Tracking-Pixel in elektronischer Post veröffentlicht. Darin präzisiert sie insbesondere den Anwendungsbereich, den Umgang mit getrackten Links, Fälle einer Einwilligungsbefreiung sowie die Verantwortlichkeitsverteilung zwischen Absendern, Versanddienstleistern, technischen Dienstleistern und Anbietern von Adresslisten.
Die CNIL weist darauf hin, dass Tracking-Technologien in E-Mails sowohl den Vorgaben von Artikel 82 des französischen Datenschutzgesetzes als auch denen der DSGVO unterliegen können. Zugleich stellt sie klar, dass weder E-Mails im beruflichen Kontext noch an Beschäftigte versandte E-Mails grundsätzlich von diesen Anforderungen ausgenommen sind.
[Vereinigtes Königreich / Betroffenenrechte] Aktualisierung der ICO-Leitlinien zum Auskunftsrecht
Datum: 16. Juli 2026
Quelle: ICO
Das ICO hat seinen Leitfaden zu Subject Access Requests (SARs) an die Vorgaben des Data (Use and Access) Act 2025 angepasst. Dabei erinnert die Aufsichtsbehörde an die zentralen Anforderungen bei der Bearbeitung von Auskunftsersuchen: das Erkennen und Validieren von Anfragen, die Einhaltung der Monatsfrist, angemessene und verhältnismäßige Recherchen, eine klare Kommunikation der bereitgestellten Informationen sowie den Umgang mit Anträgen, die über Dritte eingereicht werden.
Für Organisationen, die im Vereinigten Königreich tätig sind, verdeutlicht die Aktualisierung den Bedarf, Datenschutzrichtlinien, DSAR-Prozesse und Standardantworten an den neuen britischen Datenschutzrahmen anzupassen.
[KI / Minderjährige] Italienische Geldbuße gegen Character.AI
Datum: 9. Juli 2026
Quelle: Garante per la protezione dei dati personali
Die italienische Datenschutzaufsichtsbehörde Garante hat gegen Character Technologies Inc., Betreiberin von Character.AI, eine Geldbuße in Höhe von 158.000 Euro wegen mehrerer DSGVO-Verstöße im Zusammenhang mit einem für Minderjährige zugänglichen generativen KI-Dienst verhängt.
Nach den Feststellungen der Behörde bestanden Verstöße insbesondere hinsichtlich der Transparenzpflichten gegenüber betroffenen Personen, der rechtzeitigen Durchführung einer Datenschutz-Folgenabschätzung, der Benennung eines EU-Vertreters sowie der Ausgestaltung von Altersverifikations- und Jugendschutzmaßnahmen. Das Unternehmen wurde aufgefordert, seine Alterskontrollen zu verschärfen, die Umgehung von Kontosperrungen zu unterbinden und Profile Minderjähriger standardmäßig mit restriktiven Privatsphäre-Einstellungen zu versehen.
[EuGH / Justizielle Daten] Datenbanken zu strafrechtlichen Entscheidungen und journalistische Zwecke
Datum: 9. Juli 2026
Quelle: EuGH, Pressemitteilung Nr. 100/26
Der Gerichtshof der Europäischen Union (EuGH) hat in der Rechtssache C-199/24 (Legal Newsdesk Sweden) entschieden, dass die bloße entgeltliche Bereitstellung von Gerichtsentscheidungen über strafrechtliche Verurteilungen im Internet grundsätzlich keine Verarbeitung zu journalistischen Zwecken im Sinne von Artikel 85 DSGVO darstellt.
Die Entscheidung ist insbesondere für Betreiber juristischer Datenbanken, privater Register und kommerzieller Informationsdienste von Bedeutung. Sie verdeutlicht, dass Ausnahmen zum Schutz der Meinungs- und Informationsfreiheit nur innerhalb der durch die DSGVO gesetzten Grenzen zulässig sind und nicht dazu führen dürfen, dass betroffenen Personen die in der Verordnung vorgesehenen Rechte und Rechtsbehelfe vorenthalten werden.
[Cybersicherheit / Cyber Resilience Act] ENISA-Reifegradmodell für KMU
Datum: 13. Juli 2026
Quelle: ENISA
ENISA hat ein Reifegradmodell veröffentlicht, mit dem Kleinstunternehmen sowie kleine und mittlere Unternehmen (KMU) ihren Vorbereitungsstand im Hinblick auf die Anforderungen des Cyber Resilience Act (CRA) bewerten können. Das Instrument richtet sich insbesondere an Unternehmen, die Produkte mit digitalen Elementen entwickeln, herstellen oder in der Europäischen Union in Verkehr bringen.
Das Dokument bietet einen strukturierten Ansatz zur Bewertung der Cyberresilienz, zur Identifizierung von Verbesserungspotenzialen und zur schrittweisen Vorbereitung auf die Anforderungen des Cyber Resilience Act (CRA). Für Rechts-, Compliance- und Governance-Teams stellt es ein praxisnahes Instrument dar, um Hersteller, Anbieter und Lieferketten bei der Umsetzung der regulatorischen Anforderungen und der Vorbereitung auf die bevorstehenden Compliance-Fristen zu unterstützen.