Der Sommer 2026 hat keine Sommerpause gebracht — im Gegenteil: Vier Fristen und Entscheidungen aus Juli und August ziehen die Regulierungsschraube spürbar an. Die Nachfrist für die NIS2-Registrierung ist verstrichen, die Transparenzpflichten des AI Act sind scharfgeschaltet, ein sieben Jahre altes DSGVO-Verfahren ist endgültig entschieden — und in Berlin läuft die Debatte, ob die DSGVO für KMU aufgeweicht werden soll. Wir sortieren die Meldungen, die deutsche Betriebe jetzt einordnen müssen.
Vier Themen, vier Betroffenheitsgrade — hier die Schwellen, ab denen die jeweilige Regel greift.
Die vom Bundesamt für Sicherheit in der Informationstechnik gesetzte Nachfrist für die NIS2-Registrierung ist am 31. Juli 2026 abgelaufen. Das Ergebnis liegt vor und ist ernüchternd: Zum Stichtag waren beim BSI genau 18.845 Einrichtungen registriert — davon 6.490 besonders wichtige und 12.355 wichtige Einrichtungen. Bei geschätzt rund 29.500 betroffenen Unternehmen in Deutschland fehlen damit weiterhin über 10.000 Registrierungen — mehr als jeder dritte Betrieb hat die gesetzliche Pflicht noch nicht erfüllt.
Warum ist die Zahl nicht höher? Zwei Gründe. Erstens: Viele Betriebe sind sich ihrer Betroffenheit unsicher — vor allem in den erweiterten Sektoren (Chemie, Lebensmittel, Verwaltung von Informations- und Kommunikationstechnik-Diensten). Zweitens: Die Registrierung ist die einfache Übung. Der Aufbau der zehn Risikomanagement-Pflichten nach § 30 BSIG — Zugangskontrollen, Vorfallmeldungen, Lieferantenprüfung, Business Continuity — kostet Monate, nicht Wochen. Wer sich registriert, gerät sofort in die Sichtbarkeit der Aufsicht.
Das BSI reagiert bemerkenswert gelassen. In der offiziellen Bewertung heißt es, man sehe den Stand als „grundsätzlich zufriedenstellend, auch wenn ein Teil der betroffenen Einrichtungen den gesetzlichen Verpflichtungen bislang nicht oder nicht vollständig nachgekommen ist”. Ordnungsmaßnahmen bleiben vorerst aus; die Behörde beobachtet die Lage nach eigener Aussage „engmaschig”. Für Betroffene heißt das: Der Handlungsspielraum ist offen — aber nur, solange die eigene Registrierung nachgezogen wird. Wer diesen Sommer schweigt, hat im Herbst einen Verwaltungsakt in der Post.
„Grundsätzlich zufriedenstellend" ist kein Freibrief. Die Registrierung nach § 33 BSIG ist eine bußgeldbewehrte Pflicht — allein deren Versäumnis kann mit bis zu 500.000 Euro geahndet werden. Wer noch nicht im BSI-Portal registriert ist, sollte die Meldung in dieser Woche einleiten. Für die Registrierung selbst reichen Stammdaten, Ansprechperson und Sektor-Einordnung — der Nachweis der Risikomanagement-Pflichten läuft danach.
„Es trifft auch die kleineren Unternehmen — viele merken erst spät, dass NIS2 über die Lieferkette auch auf sie durchschlägt."
Nils OehmichenDatenschutzberater bei frag.hugo
Was KMU jetzt tun sollten: Klären Sie die Betroffenheit endgültig — Mitarbeiterzahl, Umsatz, Sektor und Kundenprofil. Falls betroffen: Registrierung im BSI-Portal noch im August absenden. Der Aufbau der Nachweise lässt sich mit Hugo Shield strukturiert dokumentieren und in einer Lieferantenübersicht bündeln, bevor die Aufsicht nachfragt.
Quelle: heise online, Meldung vom 04.08.2026 mit BSI-Statistik zum 31.07.2026 · § 33 BSIG · abgerufen am 2026-08-15
Zwei Stichtage haben den Juli und August für die KI-Regulierung geprägt. Am 27. Juli 2026 ist die Verordnung (EU) 2026/1744 (Digital Omnibus on AI) in Kraft getreten — verabschiedet am 8. Juli 2026, veröffentlicht am 24. Juli. Fünf Tage später, am 2. August 2026, wurden die zentralen Transparenzpflichten des AI Act anwendbar.
Was seit dem 2. August konkret gilt: Anbieter interaktiver Systeme müssen offenlegen, dass Nutzer mit einer Maschine kommunizieren. Generative Systeme müssen ihre Audio-, Bild-, Video- und Textausgaben maschinenlesbar als KI-erzeugt markieren. Betreiber von Emotionserkennung und biometrischer Kategorisierung informieren die betroffenen Personen. Deepfakes und KI-generierte Texte zu öffentlichen Themen tragen künftig ein sichtbares Label. Für Systeme, die bereits vor dem 2. August 2026 im Markt waren, greift die Kennzeichnungspflicht erst ab dem 2. Dezember 2026 — vier Monate Übergang für die Nachrüstung von Wasserzeichen und Metadaten.
Der Digital Omnibus hat zwei relevante Änderungen gebracht. Erstens: Die KI-Kompetenzpflicht nach Art. 4 wurde von „sicherstellen” auf „fördern” abgeschwächt — Anbieter müssen kein garantiertes Kompetenzniveau ihrer Nutzer mehr nachweisen. Zweitens: Die Hochrisiko-Fristen werden verschoben. Anhang-III-Systeme werden erst am 2. Dezember 2027 anwendbar (Verschiebung um 16 Monate), Anhang-I-Systeme erst am 2. August 2028 (Verschiebung um ein Jahr). Nicht verschoben sind die Verbote nach Art. 5, die GPAI-Regeln (seit August 2025) und die eben besprochenen Transparenzpflichten.
Die Sanktionsstaffel wird mit Zähnen ausgestattet. Bei Verstößen gegen die Transparenzpflichten des Art. 50 drohen bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Bei verbotenen Praktiken nach Art. 5 sind bis zu 35 Millionen Euro oder 7 Prozent möglich. Zuständige Marktüberwachungs-, Anlauf- und Beschwerdestelle in Deutschland ist die Bundesnetzagentur — festgelegt im KI-Durchführungsgesetz, das am 10. Juli 2026 verabschiedet wurde.
Wenn Sie ChatGPT, Copilot oder Gemini im Betrieb einsetzen, deckt eine KI-Richtlinie für Ihr Unternehmen die Art.-50-Transparenzpflicht, die Art.-4-Kompetenzförderung und die DSGVO-Rechtsgrundlage in einem einzigen Dokument ab. Das ist der einfachste Weg, aus drei Regelwerken ein handhabbares Set aus Freigaben, Kennzeichnung und Nutzerhinweisen zu machen.
Was KMU jetzt tun sollten: Erstellen Sie eine schriftliche KI-Bestandsaufnahme — welche Systeme werden eingesetzt, welche interagieren mit Kunden, welche generieren Inhalte. Jeder Chatbot auf der Website braucht einen sichtbaren Hinweis („Sie chatten mit einer KI”), jede KI-Ausgabe braucht eine Kennzeichnung oder eine dokumentierte Ausnahme.
Quelle: Verordnung (EU) 2026/1744 auf EUR-Lex · veröffentlicht im Amtsblatt der EU vom 24.07.2026 · abgerufen am 2026-08-15
Am 16. Juli 2026 hat der österreichische Verwaltungsgerichtshof (VwGH) sein Erkenntnis vom 24. Juni 2026 öffentlich bekannt gegeben (Aktenzeichen Ro 2025/04/0007-7): Die Österreichische Post muss wegen unrechtmäßiger Verarbeitung sogenannter Partei-Affinitäten 13 Millionen Euro Geldbuße zahlen. Der Fall ist mit sieben Jahren Verfahrensdauer einer der langlebigsten DSGVO-Streitigkeiten Europas — und ein Lehrstück für Direktmarketing mit Profiling.
Ausgelöst wurde das Verfahren 2019, nachdem bekannt geworden war, dass die Post aus Adressdaten und statistischen Informationen politische Neigungen von Millionen Bürgern abgeleitet und diese Profile Werbekunden für zielgruppenbasierte Postwurfsendungen angeboten hatte. Die österreichische Datenschutzbehörde verhängte im Oktober 2019 zunächst ein Rekordbußgeld von 18 Millionen Euro. Das Bundesverwaltungsgericht hob den Bescheid 2020 auf; der VwGH kassierte diese Aufhebung 2024 und verwies zurück. Nun hat der VwGH selbst die Sanktion auf 13 Millionen Euro festgesetzt — die Verstöße als solche wurden bestätigt.
Warum diese Reduzierung? Die Kammer erkannte an, dass ein Teil der ursprünglich sanktionierten Vorwürfe entfallen war und dass Verfahrensdauer und Bemessungskriterien angepasst werden mussten. Materiell ändert das nichts: Die Verarbeitung besonderer Kategorien personenbezogener Daten — politische Meinung fällt unter Art. 9 DSGVO — ohne ausdrückliche Einwilligung und ohne einschlägige Ausnahme bleibt rechtswidrig. Für deutsche KMU liegt die Übertragbarkeit auf der Hand: Wer Kundenprofile für zielgruppenbasierte Werbung berechnet, muss die Rechtsgrundlage nach Art. 6 DSGVO sauber begründen — und bei besonderen Kategorien zusätzlich Art. 9 DSGVO erfüllen.
Was KMU jetzt tun sollten: Gehen Sie Ihre Direktmarketing-Prozesse durch. Welche Daten fließen in Zielgruppen-Selektionen ein? Ist Einwilligung oder berechtigtes Interesse dokumentiert? Wenn Sie Score-Modelle oder KI-basierte Profilbildung einsetzen, prüfen Sie zusätzlich, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist. Ein externer Datenschutzbeauftragter kann diesen Check in wenigen Terminen aufsetzen.
Quelle: Österreichische Datenschutzbehörde, Meldung zum VwGH-Erkenntnis · Az. Ro 2025/04/0007-7 · abgerufen am 2026-08-15
Parallel zur laufenden Regulierung tobt eine Debatte um das Grundgesetz des Datenschutzes selbst. Bereits am 18. Juni 2026 hatte die Datenschutzkonferenz (DSK) auf ihrer Tagung in Stuttgart einstimmig die „Stuttgarter Impulse zur Modernisierung des Datenschutzes” beschlossen. Wirksam entfaltet hat sich der Beschluss erst im Sommer: Am 23. Juli rief die Landesdatenschutzbehörde Mecklenburg-Vorpommern zu einer Beteiligung von Zivilgesellschaft und Wirtschaft auf; Ende Juli legte die Bundesregierung ein eigenes Reformpapier vor. Beide Vorstöße wollen die DSGVO modernisieren — aber in entgegengesetzte Richtungen.
Die DSK bleibt bei organisatorischen Reformen. Ihre Kernforderungen: gesetzliche Verankerung der Datenschutzkonferenz, verbindliche Mehrheitsentscheidungen statt Konsens, ein „single entry point” als digitales Portal, eine gemeinsame Entscheidungsdatenbank, das „Einer für Alle”-Prinzip bei länderübergreifenden Verfahren und eine gezielte Bündelung von Spezialkompetenzen. Das materielle Schutzniveau der DSGVO bleibt dabei unangetastet. Die Bundesregierung plant weitergehende Änderungen: einen risikobasierten Ansatz, Erleichterungen für KMU sowie Bereichsausnahmen für nicht-kommerzielle Tätigkeiten und „risikoarme Datenverarbeitungen”. Ein finaler Rechtsakt liegt noch nicht vor.
Für KMU ist die Bewegung zweischneidig. Bereichsausnahmen könnten spürbare Entlastung bei Verzeichnissen, Folgenabschätzungen und Meldepflichten bringen — die DSK warnt jedoch, dass eine pauschale Herausnahme kleiner Betriebe die Aufsichtspraxis destabilisiert und das Vertrauen der Betroffenen aushöhlt. Bevor die Reform kommt, gilt die DSGVO wie bisher. Wer jetzt auf ein „Es wird eh gelockert” wartet, hat in zwei Jahren zwei Jahre Dokumentationsrückstand.
Was KMU jetzt tun sollten: Beobachten Sie die Reformdebatte, aber verlassen Sie sich nicht darauf. Halten Sie Ihr Verarbeitungsverzeichnis, Ihre Löschkonzepte und Ihre Auftragsverarbeitungsverträge auf dem heutigen Stand — eine strukturierte Datenschutzberatung hilft, gerade wenn interne Kapazität knapp ist. Bereichsausnahmen wären ein Bonus, keine Grundlage der Planung.
Quelle: LfDI Baden-Württemberg, Pressemitteilung vom 19.06.2026 · DSK-Entschließung vom 19.06.2026 (PDF) · abgerufen am 2026-08-15
Der Roundup erscheint monatlich — hier die vorherigen Folgen zum Nachlesen.
Der Sommer 2026 markiert einen Wechsel im Ton. Was in den Vorjahren als Ankündigung galt, ist jetzt anwendbares Recht: NIS2-Registrierung ist Pflicht, nicht Optionalprogramm. Art. 50 AI Act ist keine Vorschau, sondern Rechtslage. Der VwGH-Fall Post zeigt, dass DSGVO-Verfahren zwar sieben Jahre dauern, aber ihre Sanktionen am Ende trotzdem greifen — und dass keine Verfahrensdauer die materielle Botschaft entkräftet. Und selbst die Reformdebatte um die DSGVO bewegt sich in eine Richtung, die für KMU mehr Klarheit bringen könnte, aber keine Entwarnung.
„Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden, die auch im Alltag funktioniert — nicht das maximale Bürokratie-Programm."
Nils OehmichenDatenschutzberater bei frag.hugo
Das gemeinsame Muster der vier Meldungen: Wer die Grundlagen jetzt sauber legt — Registrierung, Kennzeichnung, Rechtsgrundlage, Dokumentation — kann jede der nächsten Kurskorrekturen der Regulierung mitgehen. Wer wartet, holt drei Baustellen gleichzeitig ein, wenn die Aufsicht anklopft.
Welches dieser vier Themen betrifft Ihr Unternehmen zuerst?
Wir klären in 15 Minuten, wo Sie stehen — NIS2, KI-Kennzeichnung, Direktmarketing oder alles auf einmal — und was konkret bis wann zu tun ist.
Kostenlose Erstberatung →Zum Stichtag 31. Juli 2026 waren beim BSI genau 18.845 Einrichtungen registriert — davon 6.490 besonders wichtige und 12.355 wichtige Einrichtungen. Bei geschätzt rund 29.500 betroffenen Einrichtungen fehlen damit weiterhin über 10.000 Registrierungen. Das BSI bewertet den Stand als grundsätzlich zufriedenstellend und verzichtet vorerst auf Ordnungsmaßnahmen — die Registrierung nach § 33 BSIG bleibt aber bußgeldbewehrt und kann mit bis zu 500.000 Euro geahndet werden.
Seit dem 2. August 2026 gelten die Transparenzpflichten nach Art. 50 der KI-Verordnung. Chatbots müssen offenlegen, dass Nutzer mit einer Maschine kommunizieren; generative KI-Systeme müssen ihre Audio-, Bild-, Video- oder Textausgaben maschinenlesbar als KI-erzeugt markieren. Verstöße können mit bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes geahndet werden. Für Systeme, die bereits vor dem 2. August 2026 auf dem Markt waren, greift die Kennzeichnungspflicht erst ab dem 2. Dezember 2026.
Der VwGH hat mit Erkenntnis Ro 2025/04/0007-7 die Verarbeitung sogenannter Partei-Affinitäten durch die Österreichische Post als DSGVO-widrig bestätigt und die Geldbuße auf 13 Millionen Euro festgesetzt. Die österreichische Datenschutzbehörde hatte 2019 ursprünglich 18 Millionen Euro verhängt. Öffentlich bekannt gegeben wurde das Erkenntnis am 16. Juli 2026. Für deutsche Unternehmen ist die Botschaft eindeutig: Profilbildung zu Werbezwecken ohne saubere Rechtsgrundlage ist ein Sanktionsrisiko, das die Behörden über Jahre hinweg verfolgen.
Nein. Die am 27. Juli 2026 in Kraft getretene Verordnung (EU) 2026/1744 verschiebt nur die Hochrisiko-Fristen: Anhang-III-Systeme werden erst ab 2. Dezember 2027 anwendbar (statt August 2026), Anhang-I-Systeme erst ab 2. August 2028. Die KI-Kompetenzpflicht nach Art. 4 wurde von sicherstellen auf fördern abgeschwächt. Nicht verschoben sind die Transparenzpflichten nach Art. 50, die Verbote nach Art. 5 und die Regeln für generative KI-Modelle — sie gelten seit dem 2. August 2026 beziehungsweise seit August 2025.
Drei Prioritäten stehen an. Erstens: NIS2-Registrierung diese Woche nachholen, falls sie noch aussteht — das BSI beobachtet die Lage aktuell nur, die Pflicht bleibt aber bußgeldbewehrt. Zweitens: KI-Nutzung im Betrieb schriftlich inventarisieren, Chatbots sichtbar als KI kennzeichnen und generative Ausgaben markieren — Art. 50 AI Act gilt. Drittens: Direktmarketing-Prozesse auf Einwilligungen prüfen. Der Fall Österreichische Post zeigt: Profilbezogene Werbung ohne saubere Rechtsgrundlage wird von Behörden auch über sieben Jahre hinweg verfolgt.
Inhaltsverzeichnis
Deutsche Wohnen: LG Berlin senkt Bußgeld auf 900.000 €. NIS2-Nachfrist beim BSI bis 31. Juli. EuGH: DSGVO-Verstoß kein Beweisverbot. AI Act verschoben — KI-Schulung bleibt Pflicht.
Weiterlesen: Datenschutz-Roundup Juli 2026: Deutsche Wohnen, NIS2-Nachfrist, AI Act
Datenschutz-Roundup Juni 2026: 5 Mio. € CNIL-Bußgeld gegen IQVIA, das neue Data-Act-Durchführungsgesetz (DADG), die NIS2/KRITIS-Frist 17. Juli — nur 38,5 % registriert — und was der AI Act jetzt von KMU verlangt.
Weiterlesen: Datenschutz-Roundup Juni 2026: 5-Mio-Bußgeld, das Datengesetz mit Zähnen und der KRITIS-Endspurt
Datenschutz-Roundup Mai 2026: 120.000 Patientendaten nach Dienstleister-Hack, 100 Mio. € DSGVO-Bußgeld, KRITIS-Frist 17. Juli und der AI-Act-Fahrplan für KMU.
Weiterlesen: Datenschutz-Roundup Mai 2026: Uniklinik-Datenleck, 100-Mio-Bußgeld und der KRITIS-CountdownÜber den Autor
Datenschutzberater & Geschäftsführer
Nils ist TÜV-zertifizierter Datenschutzbeauftragter. Seit über 13 Jahren betreut er Mittelständler bei DSGVO, NIS2 und dem EU AI Act. Geschäftsführer der frag.hugo Informationssicherheit GmbH und der datuno GmbH, leitet außerdem die BVMID-Geschäftsstelle Hamburg Süd/Ost.
Vier Klicks zum schriftlichen Festpreis-Angebot — oder direkt anrufen. Wir hören zu, sortieren Ihr Thema und sagen Ihnen ehrlich, ob wir helfen können.
Lieber erstmal schreiben? Kontaktformular
