Hier ist die deutsche Fassung mit juristisch passender Terminologie.
[KI / KI-Verordnung] Inkrafttreten des AI Omnibus
Datum: 27. Juli 2026
Quelle: Europäische Kommission
Der AI Omnibus ist am 27. Juli 2026 in der Europäischen Union in Kraft getreten. Der Rechtsakt ändert den Zeitplan und bestimmte Anwendungsmodalitäten der KI-Verordnung, mit dem erklärten Ziel, Verwaltungsaufwand zu reduzieren und Innovation zu fördern.
Die Fristen für Hochrisiko-KI-Systeme werden insbesondere verschoben: auf den 2. Dezember 2027 für Systeme nach Anhang III und auf den 2. August 2028 für bestimmte Systeme, die in physische Produkte integriert sind. Der Text erweitert außerdem bestimmte Unterstützungsmaßnahmen für kleine Mid-Cap-Unternehmen und stärkt die Rolle des AI Office bei bestimmten Systemen, insbesondere solchen, die auf KI-Modellen mit allgemeinem Verwendungszweck beruhen.
[KI / Transparenz] Leitlinien zu Artikel 50 der KI-Verordnung
Datum: 20. Juli 2026
Quelle: Europäische Kommission
Die Europäische Kommission hat Leitlinien zu den Transparenzpflichten veröffentlicht, die für bestimmte Anbieter und Betreiber von KI-Systemen gelten. Diese Pflichten gelten ab dem 2. August 2026.
Die Leitlinien konkretisieren die Anforderungen an interaktive Systeme, an durch KI erzeugte oder manipulierte Inhalte, an Deepfakes sowie an Systeme zur Emotionserkennung und biometrischen Kategorisierung. Für Compliance-Teams ist dies besonders relevant, da Schnittstellen, Kennzeichnungen, maschinenlesbare Markierungen und Nutzerinformationen operativ überprüft werden müssen.
[Generative KI / Personenbezogene Daten] EDSA zu Anonymisierung, Web Scraping und Blockchain
Datum: 8. Juli 2026
Quelle: EDSA / EDPB
Der Europäische Datenschutzausschuss hat Leitlinien zur Anonymisierung und zum Web Scraping im Kontext generativer KI angenommen, die bis zum 30. Oktober 2026 zur Konsultation stehen. Zudem hat der EDSA die endgültige Fassung seiner Leitlinien zu Verarbeitungen auf Basis von Blockchain-Technologien angenommen.
Zur Anonymisierung stellt der EDSA drei zentrale Kriterien heraus: keine Aussonderung, keine Verknüpfbarkeit und keine Inferenz. Beim Scraping erinnert der EDSA daran, dass die DSGVO Anwendung findet, sobald personenbezogene Daten erhoben oder weiterverwendet werden, insbesondere mit Blick auf Rechtsgrundlage, Zweckbindung, Transparenz, Datenminimierung und besondere Kategorien personenbezogener Daten.
[Agentische KI / Personenbezogene Daten] Explorative Stellungnahme der CNIL und des CIANum
Datum: 20. Juli 2026
Quelle: CNIL
Die CNIL und der Conseil de l’IA et du Numérique haben eine explorative Stellungnahme zu agentischer KI und dem Schutz personenbezogener Daten veröffentlicht. Die Stellungnahme hebt den qualitativen Wandel hervor, der mit Systemen verbunden ist, die in der Umgebung des Nutzers handeln, mehrere Dienste einbinden und persistente Speicherfunktionen nutzen können.
Die CNIL betont Risiken wie den Kontrollverlust des Nutzers, Hyperpersonalisierung, komplexe Datenflüsse und Schwierigkeiten bei der Zuweisung von Verantwortlichkeiten zwischen den beteiligten Akteuren. Die DSGVO und die KI-Verordnung sind bereits anwendbar, ihre praktische Umsetzung muss jedoch an diese autonomeren Architekturen angepasst werden.
[Cookies / Tracking-Technologien] Verbindlicher Beschluss des EDSA zu einer NOYB-Beschwerde gegen VRT
Datum: 14. Juli 2026
Quelle: EDSA / EDPB
Der EDSA hat einen verbindlichen Beschluss veröffentlicht, mit dem die belgische Datenschutzaufsichtsbehörde verpflichtet wird, eine von NOYB eingereichte Beschwerde zu den Cookie-Bannern des flämischen öffentlich-rechtlichen Rundfunks VRT in der Sache zu prüfen.
Die praktische Bedeutung liegt weniger im konkreten Cookie-Banner als in der Verfahrensfrage: Der EDSA begrenzt die Möglichkeit einer Aufsichtsbehörde, eine Beschwerde als missbräuchlich oder unzulässig zurückzuweisen, insbesondere wenn sie von einer repräsentativen Organisation eingereicht wird. Für Verantwortliche bestätigt dies, dass koordinierte Beschwerden zu Cookies weiterhin ein erhebliches Durchsetzungsinstrument bleiben.
[E-Mail-Tracking / Marketing] FAQ der CNIL zu Pixeln in elektronischer Post
Datum: 22. Juli 2026
Quelle: CNIL
Die CNIL hat eine FAQ zu ihrer Empfehlung über Tracking-Pixel in elektronischer Post veröffentlicht. Darin präzisiert sie insbesondere den Anwendungsbereich, den Umgang mit getrackten Links, Fälle einer Einwilligungsbefreiung sowie die Verantwortlichkeitsverteilung zwischen Absendern, Versanddienstleistern, technischen Dienstleistern und Anbietern von Adresslisten.
Die CNIL erinnert daran, dass Tracking-Technologien in E-Mails sowohl unter Artikel 82 des französischen Datenschutzgesetzes als auch unter die DSGVO fallen können. Zudem stellt sie klar, dass E-Mails im beruflichen Kontext, einschließlich E-Mails an Beschäftigte, nicht grundsätzlich ausgenommen sind.
[Vereinigtes Königreich / Betroffenenrechte] Aktualisierung der ICO-Leitlinien zum Auskunftsrecht
Datum: 16. Juli 2026
Quelle: ICO
Das ICO hat seinen Leitfaden zu Subject Access Requests aktualisiert, um die Änderungen durch den Data (Use and Access) Act 2025 abzubilden. Der Leitfaden erinnert an die Anforderungen an Auskunftsersuchen: Erkennen und Bestätigen von Anfragen, Einhaltung der Monatsfrist, angemessene und verhältnismäßige Recherchen, klare Mitteilung der Informationen und Bearbeitung von Anträgen über Dritte.
Für Organisationen mit Tätigkeiten im Vereinigten Königreich ist diese Aktualisierung Teil der breiteren Anpassung von Datenschutzrichtlinien, DSAR-Verfahren und Antwortvorlagen an den neuen britischen Datenschutzrahmen.
[KI / Minderjährige] Italienische Geldbuße gegen Character.AI
Datum: 9. Juli 2026
Quelle: Garante per la protezione dei dati personali
Die italienische Datenschutzaufsichtsbehörde Garante hat gegen Character Technologies Inc., Betreiberin von Character.AI, eine Geldbuße in Höhe von 158.000 Euro wegen mehrerer DSGVO-Verstöße im Zusammenhang mit einem für Minderjährige zugänglichen generativen KI-Dienst verhängt.
Die Behörde stellte insbesondere Mängel bei der Information der betroffenen Personen, eine verspätete Datenschutz-Folgenabschätzung, die verspätete Benennung eines Vertreters in der Europäischen Union sowie Defizite bei Altersverifikationsmechanismen und beim Schutz Minderjähriger fest. Das Unternehmen muss seine Alterskontrollen verstärken, Umgehungen nach Sperrung verhindern und Profile Minderjähriger standardmäßig auf privat setzen.
[EuGH / Justizielle Daten] Datenbanken zu strafrechtlichen Entscheidungen und journalistische Zwecke
Datum: 9. Juli 2026
Quelle: EuGH, Pressemitteilung Nr. 100/26
Der Gerichtshof der Europäischen Union hat in der Rechtssache C-199/24, Legal Newsdesk Sweden, entschieden, dass die bloße entgeltliche Online-Bereitstellung von Entscheidungen über strafrechtliche Verurteilungen grundsätzlich keine Verarbeitung zu journalistischen Zwecken im Sinne von Artikel 85 DSGVO darstellt.
Die Entscheidung ist wichtig für juristische Datenbanken, private Register, Informationsdienste und Akteure, die sich auf Meinungs- oder Informationsfreiheit berufen, um Betroffenenrechte einzuschränken. Sie erinnert daran, dass nationale Ausnahmen innerhalb der Grenzen der DSGVO bleiben müssen und betroffenen Personen die durch die DSGVO gewährleisteten Rechtsbehelfe nicht entziehen dürfen.
[Cybersicherheit / Cyber Resilience Act] ENISA-Reifegradmodell für KMU
Datum: 13. Juli 2026
Quelle: ENISA
ENISA hat ein Reifegradmodell veröffentlicht, mit dem Kleinstunternehmen sowie kleine und mittlere Unternehmen ihre Vorbereitung auf den Cyber Resilience Act bewerten können. Das Instrument richtet sich insbesondere an Organisationen, die Produkte mit digitalen Elementen herstellen oder in Verkehr bringen.
Das Dokument bietet einen strukturierten Ansatz zur Bewertung der Cyberresilienz, zur Identifikation von Verbesserungsprioritäten und zur schrittweisen Vorbereitung auf die Anforderungen des CRA. Für Rechts- und Compliance-Teams ist es ein praktisches Hilfsmittel, um Hersteller, Anbieter und Lieferketten vor den kommenden regulatorischen Fristen zu begleiten.