EDPB Coordinated Enforcement Action 2026 — Transparenz im Fokus
Im Februar 2026 hat die EDPB beschlossen: 25 nationale Datenschutzbehörden prüfen 2026 koordiniert, wie Unternehmen die Informations-Pflichten aus Art. 12 bis 14 DSGVO umsetzen. Im Kern: Werden Verbraucher klar darüber informiert, welche Daten zu welchem Zweck verarbeitet werden — in verständlicher Sprache, leicht zugänglich?
Konkret geprüft werden:
- Datenschutzerklärungen: Sind sie für einen durchschnittlichen Nutzer verständlich, oder versteckt sich der Zweck in 50 Seiten Juristen-Deutsch?
- Cookie-Banner: Ist die Ablehnung genauso einfach wie die Annahme? "Accept-Only"-Banner ohne Reject-Button sind unzulässig (BfDI-Leitfaden).
- Rechtsgrundlage je Verarbeitung: Wird konkret benannt, ob Einwilligung, Vertragserfüllung oder berechtigtes Interesse die Grundlage ist?
- Kontaktdaten der Datenschutzbeauftragten: Sind sie tatsächlich auffindbar (nicht nur im Impressum versteckt)?
Quelle: EDPB-Pressemitteilung CEF 2026. Die Ergebnisse fließen Ende 2026 / Anfang 2027 in einen koordinierten EU-weiten Bericht, der die Enforcement-Praxis 2027 prägt.
EU-AI-Act Art. 50: KI-Transparenz ab 02.08.2026
Mit dem EU-AI-Act (VO 2024/1689) tritt am 02.08.2026 Art. 50 (Transparenz-Pflichten) in Kraft. Drei zentrale Pflichten betreffen Verbraucher direkt:
- Chatbots klar erkennbar: Wenn Sie mit einer KI interagieren (z. B. Customer-Service-Chatbot), muss das Unternehmen das deutlich machen — außer es ist offensichtlich oder Sie haben die Information bereits erhalten.
- Synthetische Inhalte kennzeichnen: Audio, Bild, Video und Text, die maßgeblich von KI erzeugt wurden, müssen maschinenlesbar als KI-Output erkennbar sein (Wasserzeichen, Metadaten-Tags). Für Deepfakes gilt zusätzlich eine sichtbare Kennzeichnung gegenüber dem Nutzer.
- Übergangsfrist für Bestandssysteme: KI-Systeme, die schon vor dem 02.08.2026 am Markt waren, haben bis 02.12.2026 Zeit, die technische Kennzeichnung nachzurüsten.
Sanktion bei Verstößen Art. 50: Bis 15 Mio. € oder 3 % des weltweiten Konzernumsatzes (der höhere Wert gilt). Zuständige Behörden in Deutschland: die Bundesnetzagentur als zentrale Anlaufstelle (KI Service Desk) plus die Datenschutz-Aufsichtsbehörden für die DSGVO-Schnittmenge.
EDPB Work Programme 2026-2027 — vier strategische Schwerpunkte
Am 12.02.2026 hat die EDPB ihr Work Programme 2026-2027 beschlossen. Vier Säulen:
- Harmonisierung & Compliance-Support: Templates für Datenschutz-Erklärungen, Verzeichnis von Verarbeitungstätigkeiten, Berechtigtes-Interesse-Test — damit kleinere Unternehmen die Pflichten leichter umsetzen können.
- Einheitliche Durchsetzung: CEF 2026 (Transparenz) ist der erste Schwerpunkt; folgen werden weitere koordinierte Aktionen über alle 27 Mitgliedstaaten.
- Digitaler Raum: Guidelines zu generativer KI (Schnittstelle zum AI Act), zu Data-Scraping und zu politischer Werbung sind in Vorbereitung.
- Internationale Kooperation: Weiterführung der Drittstaaten-Dialoge (USA, UK, Korea) und Updates zu Standard-Vertragsklauseln (SCC).
Art. 15 DSGVO in der Praxis: Was kann ich verlangen?
Das Auskunftsrecht aus Art. 15 DSGVO ist die wichtigste Hebelwirkung für Verbraucher. Sie können kostenlos eine vollständige Kopie aller über Sie gespeicherten Daten verlangen — innerhalb einer Frist von einem Monat (Art. 12 Abs. 3 DSGVO).
Wichtige Klarstellung 2026: Am 19.03.2026 hat der EuGH in Sachen Brillen Rottler (C-526/24) entschieden: Sie müssen keinen Grund für Ihre Auskunftsanfrage angeben. Unternehmen können eine Anfrage nur dann zurückweisen, wenn sie ein systematisches Missbrauchsmuster nachweisen können — die Beweislast liegt komplett bei ihnen. Für normale Verbraucher ändert sich nichts: Anfrage kostet nichts, kein Grund nötig, 1-Monats-Frist.
BfDI-Tätigkeitsbericht 2025 — wo der deutsche Datenschutz hinschaut
Im Juni 2026 hat die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) ihren 34. Tätigkeitsbericht veröffentlicht. Die deutschen Schwerpunkte 2025/2026:
- Gesundheitsdaten & ePA — elektronische Patientenakte, Datennutzung, Sicherheit
- KI in der öffentlichen Verwaltung — Datenschutz-Guidance für Bund und Länder
- Cookie-Banner-Konformität — laufende Beratung von Webseiten-Betreibern
- Data Act Aufsicht — neue Aufsichtszuständigkeit ab Juni 2026
Häufige Fallstricke
- "Cookie-Wall ohne Reject": Sie können den Zugang zur Webseite verweigern, wenn Sie nicht alle Cookies akzeptieren — nur dann erlaubt, wenn eine echte Alternative angeboten wird (z. B. Pur-Abo). "Accept-Only" allein ist unzulässig.
- Versteckte Datenschutzbeauftragten-Kontakte: Wenn Sie den DSB nicht in 2 Klicks finden, melden Sie das der zuständigen Landes-Datenschutz-Aufsicht.
- Pauschal-Begründung "berechtigtes Interesse": Ohne konkrete Abwägung ist diese Rechtsgrundlage angreifbar — verlangen Sie die Berechtigtes-Interesse-Prüfung.
- Chatbot ohne KI-Kennzeichnung (ab 02.08.2026): Wenn Sie nicht erkennen, ob Sie mit Mensch oder KI sprechen, ist das ein Verstoß gegen Art. 50 AI Act.
- Synthetisches Bild ohne Wasserzeichen: KI-erzeugte Werbung ohne Kennzeichnung verstößt gegen Art. 50 AI Act (zusätzlich UWG bei Irreführung).
Was Sie konkret tun können
- Auskunft anfordern: Formlose E-Mail an die Datenschutz-Adresse genügt — Vorlagen bei den Verbraucherzentralen.
- Cookie-Banner melden: Bei der zuständigen Landes-Datenschutz-Behörde, wenn keine Ablehnung möglich ist.
- KI-Verstöße melden: Ab 02.08.2026 bei der Bundesnetzagentur (KI Service Desk) plus bei der lokalen Datenschutz-Behörde.
- Verträge prüfen: Bevor Sie unterschreiben, AGB auf KI-Klauseln und Datennutzung scannen lassen.
- Beweise sichern: Screenshots von Banner-Texten, Anfrage-Verläufen und Antworten — wichtig für Beschwerden.