Zeitleiste des Datenschutzes und der digitalen Cybersicherheit in der EU: Pflichten im Jahr 2026

Die digitale Regulierung in Europa schreitet nicht als einzelne Datenschutz-Zeitleiste voran. Die DSGVO schützt personenbezogene Daten; das Digitale-Märkte-Gesetz (DMA) auferlegt bestimmten als Gatekeeper benannten Plattformen spezifische Pflichten, und das Cyber-Resilience-Gesetz (CRA) legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest. Es handelt sich um verschiedene Rahmenwerke mit unterschiedlichen Verpflichteten und Kalendern.

Der Unterschied ist wichtig, um zu entscheiden, was jetzt zu tun ist. Ein Unternehmen, das identifizierbare Informationen verarbeitet, muss die Rechtsgrundlage, die Transparenz, die Sicherheit und die Rechte überprüfen, die die DSGVO verlangt. Ein Hersteller von vernetzten Geräten muss auch den Kalender des CRA beachten. Und ein Unternehmen, das eine große Plattform nutzt, ist nicht automatisch den DMA-Pflichten unterworfen, die den benannten Gatekeepern entsprechen.

In diesem Artikel bedeutet 'in Kraft', dass nicht alle Pflichten einer Verordnung bereits gelten. Das CRA ist beispielsweise als Norm in Kraft, hat aber gestaffelte Anwendungsdaten: die Meldung bestimmter Vorfälle ist bereits verpflichtend, während die meisten Produkterfordernisse 2027 gelten. Gesetzliche Vorschläge dürfen ihrerseits nicht als anwendbares Recht behandelt werden, bis sie angenommen und in Kraft treten.

Die Datenschutz-Grundverordnung, Verordnung (EU) 2016/679, wurde am 27. April 2016 angenommen und trat am 25. Mai 2018 in Anwendung. Sie legt Regeln für die Verarbeitung personenbezogener Daten fest und zielt darauf ab, die Rechte der Personen zu schützen, während sie die Zirkulation dieser Daten innerhalb der Union ermöglicht. Ihr Kern bleibt der Referenzpunkt für die Bewertung einer Verarbeitung, auch wenn neue Technologien eingesetzt werden.

Die DSGVO verbietet nicht, Daten standardmäßig zu sammeln, noch macht sie die Einwilligung zur einzigen möglichen Rechtsgrundlage. Sie verlangt, dass jede Verarbeitung eine gültige Grundlage, einen definierten Zweck und angemessene Garantien hat; sie erkennt auch Rechte wie Zugang, Berichtigung und Löschung an, die den Bedingungen der Verordnung unterliegen. Für Organisationen ist der praktische Ausgangspunkt, zu dokumentieren, welche Daten verwendet werden, wofür, mit wem sie geteilt werden und wie lange.

Das seit ihrer Annahme verstrichene Jahrzehnt sollte nicht mit einem neuen Inkrafttreten im Jahr 2026 verwechselt werden. Gedenkpublikationen aus diesem Jahr erinnern an die Entwicklung der Verordnung, aber sie ersetzen ihren Text nicht und ändern allein ihre Pflichten nicht. Auch kann nicht abgeleitet werden, dass eine Technologie die DSGVO einhält, nur weil sie in regulierten Sektoren verwendet wird: Die Konformität hängt von den Daten, den Zwecken, der Rechtsgrundlage und der konkreten Ausführung ab.

Die DMA, Verordnung (EU) 2022/1925, trat am 1. November 2022 in Kraft, und die Pflichten für benannte Gatekeeper begannen im März 2024 zu gelten. Ihr zentrales Ziel ist es, bestimmte digitale Märkte wettbewerbsfähiger und fairer zu machen. Es ist kein zweites allgemeines Datenschutzgesetz: Es reguliert Praktiken von Plattformen, die die Benennungskriterien erfüllen, und ersetzt nicht die DSGVO.

Für Nutzerunternehmen und Verbraucher kann die DMA die Zugangsbedingungen zu bestimmten Diensten und die Praktiken benannter Plattformen ändern. Aber es ist nicht korrekt, ihre Pflichten direkt auf jede Anwendung, jeden Online-Shop oder jeden digitalen Diensteanbieter zu übertragen. Die operative Frage ist, ob das Unternehmen einer spezifischen Pflicht der Verordnung unterliegt oder mit einer Plattform interagiert, die dies tut.

Die Zeitleiste hat somit zwei klare Meilensteine: Inkrafttreten 2022 und Beginn der Compliance durch benannte Gatekeeper 2024. Die Anzahl der benannten Unternehmen kann sich mit neuen Entscheidungen der Kommission ändern, daher ist es ratsam, aktualisierte offizielle Quellen zu konsultieren, bevor eine Zahl behauptet wird. Für eine Datenschutzbewertung beseitigt die DMA auch nicht die Notwendigkeit, separat zu bestimmen, ob eine Verarbeitung personenbezogener Daten der DSGVO unterliegt.

Das Cyber-Resilience-Gesetz, Verordnung (EU) 2024/2847, legt Cybersicherheitsanforderungen für Produkte mit digitalen Elementen fest und weist Herstellern, Importeuren und Händlern Pflichten zu, je nach ihrer Rolle. Die Kommission beschreibt es als einen Rahmen, der Design, Entwicklung, Wartung und Schwachstellenmanagement abdeckt. Es betrifft das Produkt und seinen Lebenszyklus, nicht jede Datenverarbeitung nur wegen der Verwendung von Software.

Der erste operative Meilenstein ist erreicht: Ab dem 11. September 2026 gelten die Pflichten des Artikels 14 zur Meldung aktiv ausgenutzter Schwachstellen und schwerer Vorfälle, die die Produktsicherheit betreffen. Laut der konsultierten Zusammenfassung haben die Meldungen differenzierte Fristen – 24 Stunden für eine Erstwarnung zu einer ausgenutzten Schwachstelle und 72 Stunden für die Meldung eines schweren Vorfalls – und müssen über die vorgesehenen Mechanismen, einschließlich des zentralen Meldepunkts, geleitet werden. Es ist keine allgemeine Pflicht, jeden Datenverstoß bei ENISA zu melden: Der Fall muss in das CRA und seine Kriterien passen.

Die meisten anderen Anforderungen der Verordnung, einschließlich der wesentlichen Cybersicherheitsanforderungen für Produkte, werden ab dem 11. Dezember 2027 gelten. Daher ist es im Oktober 2026 ratsam, die Vorbereitung der erforderlichen Compliance zu trennen: Produkt- und Funktionsinventar überprüfen, Verantwortliche für Schwachstellen und Vorfälle benennen und Support- und Aktualisierungsprozesse definieren, ohne alle zukünftigen Pflichten als vollständig anwendbar darzustellen.

Die Tabelle fasst allgemeine Daten zusammen, ersetzt aber keine Reichweitenanalyse. Das Produkt, die Rolle des Unternehmens in der Lieferkette, die anwendbaren Ausschlüsse und die Art des Vorfalls bestimmen, welche konkrete Pflicht zutrifft. Insbesondere dürfen die CRA-Pflichten nicht mit den DSGVO-Pflichten bei Verstößen gegen personenbezogene Daten verwechselt werden: Ein Vorfall kann eines, beide oder keines auslösen, je nach seinen Umständen und den jeweiligen Kriterien.

Der Europäische Datenschutzausschuss (EDPB) veröffentlichte am 13. Oktober 2026 eine Erklärung zu den Datenschutzherausforderungen im Zusammenhang mit Smart Glasses. Die auf seiner Website verfügbare Publikation belegt das Bestehen der Erklärung, aber das Forschungsmaterial erlaubt keine präzise Rekonstruktion jeder Empfehlung in ihrem Text. Daher ist es nicht angemessen, sie als umfassende Anleitung zu beschreiben oder ihr spezifische Anforderungen zuzuordnen, ohne das vollständige Dokument zu konsultieren.

Eine Erklärung oder Orientierung des EDPB entspricht nicht einem neuen autonomen Gesetz. Ihr Nutzen besteht darin, bei der Interpretation bestehender Datenschutzvorschriften in konkreten Situationen zu helfen; die DSGVO bleibt die Rechtsgrundlage. Bei Brillen mit Kamera, Mikrofon oder Analysefunktionen sollte ein Unternehmen bewerten, welche Informationen erfasst werden können, wer aufgezeichnet werden kann, welcher Zweck vorliegt und welche Maßnahmen zur Information, Minimierung, Sicherheit und Aufbewahrung angemessen sind.

Für ein Unternehmen, das diese Geräte am Arbeitsplatz bewertet, sollte die Entscheidung nicht darauf beschränkt sein, zu fragen, ob das Gerät eine Anzeigelampe oder eine Aufnahmefunktion hat. Es ist erforderlich, den Kontext, die Notwendigkeit und die Verhältnismäßigkeit der Nutzung sowie die Verantwortlichkeiten zwischen Organisation und Anbieter zu bestimmen. Die Bewertung muss sich auf die tatsächliche Verarbeitung konzentrieren, einschließlich der möglichen Übermittlung an Cloud-Dienste, und nicht nur auf das kommerzielle Etikett 'Smart Device'.

Im Oktober 2026 bestimmt das Datum allein nicht, welche Norm ein Unternehmen verpflichtet. Das praktische Kriterium ist, die ausgeübte Rolle und den regulierten Gegenstand zu identifizieren: Verarbeitung personenbezogener Daten unter der DSGVO, Dienstleistungserbringung durch eine benannte Plattform unter der DMA oder Inverkehrbringen und Wartung digitaler Produkte unter dem CRA.

Eine erste Überprüfung kann in diesen Schritten organisiert werden:

1. Verarbeitungen personenbezogener Daten kartieren und Zwecke, Rechtsgrundlagen, bereitgestellte Informationen, Aufbewahrungsfristen und Verfahren zur Bearbeitung von Rechten gemäß der DSGVO überprüfen.
2. Die Rolle gegenüber der DMA überprüfen: zwischen einem benannten Gatekeeper, einem Anbieter, der mit einem interagiert, oder einem Nutzerunternehmen seiner Dienste unterscheiden.
3. Produkte mit digitalen Elementen inventarisieren und bestimmen, ob das Unternehmen Hersteller, Importeur oder Händler im Sinne des CRA ist.
4. Den Prozess des Artikels 14 aktivieren, wenn das Produkt und der Vorfall in seinen Geltungsbereich fallen, einschließlich Erkennung, Eskalation und Meldung innerhalb der ab September 2026 anwendbaren Fristen.
5. Die allgemeine Anwendung 2027 vorbereiten: Design, Schwachstellenmanagement, Aktualisierungen und relevante Dokumentation für die betroffenen Produkte überprüfen.
6. Erfassungsgeräte separat bewerten — wie Smart Glasses — mit Aufmerksamkeit für den Nutzungskontext und die Daten Dritter, die möglicherweise gesammelt werden.

Diese Liste ist ein Ausgangspunkt, keine rechtliche Schlussfolgerung für alle Sektoren. Ein einzelner Anbieter kann Pflichten unter mehreren Rahmenwerken haben, aber jede hängt von konkreten Tatsachen ab. Zum Beispiel kann der Hersteller eines Geräts CRA-Pflichten haben und, wenn er auch die Zwecke und Mittel einer Verarbeitung personenbezogener Daten bestimmt, Verantwortlichkeiten unter der DSGVO. Das Nebeneinander von Normen erfordert eine Analyse nach Aktivität, nicht ein globales 'digitale Compliance'-Etikett.

Die solideste Zeitleiste für 2026 ist die der in den Verordnungen selbst festgelegten Daten: Die DSGVO gilt seit 2018; die DMA-Pflichten für benannte Gatekeeper seit 2024; und die Meldungen des Artikels 14 des CRA ab dem 11. September 2026, mit der allgemeinen Anwendung der meisten Pflichten für den 11. Dezember 2027 vorgesehen. Diese Daten sind nicht austauschbar und müssen mit dem Geltungsbereich jeder Norm verknüpft werden.

Im Gegensatz dazu kann ein vorgeschlagener Reform des KI-Regelwerks nicht als bereits bestehende Pflicht dargestellt werden. Die bereitgestellte rechtliche Abdeckung beschreibt Änderungsvorschläge im Jahr 2026, beweist aber nicht, dass sie genehmigt oder in Kraft getreten sind. Außerdem ist das KI-Gesetz keine Datenschutznorm: Es kann mit der DSGVO interagieren, wenn ein KI-System personenbezogene Daten verarbeitet, aber jede Verordnung behält ihren eigenen Gegenstand und ihre Anforderungen bei.

Die EDPB-Erklärung zu Smart Glasses erscheint als eine Publikation aus Oktober 2026, obwohl die in der Recherche enthaltene Primärquelle nur die Bestätigung ihrer Ankündigung und ihres Datums erlaubt, nicht aber die Detaillierung ihres vollständigen Inhalts. Dies ist eine Reichweitenbeschränkung, kein Grund, Empfehlungen zu erfinden. Für Compliance-Entscheidungen ist die sichere Regel, den geltenden offiziellen Text und die Entscheidungen der zuständigen Behörden zu überprüfen, bevor konkrete Pflichten festgelegt werden.