EU-Datenschutzverordnung 2026: Pflichten & Risiken für Unternehmen

Wenn ich mir die Datenschutz-Landschaft für 2026 anschaue, wird mir ganz schwindelig. Nicht wegen der DSGVO selbst, die ist ja inzwischen erwachsen geworden. Sondern wegen des ganzen Rundumschlags, der da auf uns zukommt. Der Data Act ist seit September 2025 voll anwendbar, die Diskussion um eine DSGVO-Reform läuft heiß, und im August 2026 kommt mit der Verpackungsverordnung (PPWR) noch ein ganz anderer Brocken dazu.

Klingt nach viel. Ist es auch.

Aber ich sehe in meiner Beratungspraxis etwas Beruhigendes: Wer die Grundlagen der DSGVO versteht und die neuen Regeln als das begreift, was sie sind – nämlich als logische Fortsetzung –, der muss nicht panisch werden. Er muss nur wissen, wo er hinschauen muss.

Deshalb schauen wir uns jetzt die vier größten datenschutzrelevanten Änderungen an, die 2026 für Unternehmen in Deutschland und Europa wirklich zählen. Und ich erzähle Ihnen gleich, wo ich selbst in den letzten Monaten die meisten Stolperfallen gesehen habe.

Der Data Act und sein Schatten auf der DSGVO

Der Data Act: Wenn Datenteilen auf Datenminimierung trifft

Der Data Act ist ja eigentlich kein Datenschutzgesetz im engeren Sinne. Sein Ziel ist fairer Zugang zu und faire Nutzung von Daten. Er gilt für vernetzte Produkte, also für so ziemlich alles, was heutzutage einen Chip hat: Smart-TVs, Autos, Industrieanlagen, Fitnesstracker.

Das klingt harmlos. Ist es aber nicht.

Ich habe einen Kunden, der industrielle Abfüllanlagen baut. Die Maschinen liefern Echtzeitdaten über Durchflussraten, Temperatur und Füllstände. Bisher waren diese Daten das Kronjuwel des Unternehmens. Man hat sie genutzt, um Wartungsarbeiten zu optimieren und den Kunden zusätzliche Services zu verkaufen.

Mit dem Data Act ist das vorbei. Die Nutzer dieser Maschinen – also die Fabrikbetreiber – haben jetzt das Recht, auf diese generierten Daten zuzugreifen. Und sie dürfen sie sogar an Dritte weitergeben, etwa an konkurrierende Wartungsdienstleister. Der Hersteller kann das nicht mehr verhindern.

Und jetzt kommt der Clou: Diese Daten sind oft personenbezogen. Nicht direkt, aber indirekt. Wenn ich die Daten einer einzelnen Abfüllanlage mit den Schichtplänen der Mitarbeiter abgleiche, komme ich schnell auf einzelne Personen.

Genau hier entsteht der Konflikt, den ich inzwischen fast wöchentlich in Workshops sehe.

Datenherausgabe vs. Datenminimierung

Die DSGVO sagt: Verarbeiten Sie nur so viele Daten, wie unbedingt nötig. Der Data Act sagt: Geben Sie alle generierten Daten an den Nutzer heraus.

Diese beiden Prinzipien beißen sich nicht direkt, aber in der Praxis entstehen Grauzonen. Wenn ein Hersteller zum Beispiel verpflichtet ist, die Maschinendaten an eine Drittanbieter-Wartungsfirma herauszugeben, die der Kunde beauftragt hat, muss er vorher prüfen: Sind in diesen Daten personenbezogene Informationen enthalten? Und wenn ja, braucht er eine Rechtsgrundlage nach Art. 6 DSGVO.

Ehrlich gesagt: Die meisten Unternehmen, die ich 2025 beraten habe, haben diese Schnittstelle schlicht übersehen. Sie haben den Data Act als reines Vertragsthema abgeheftet und die datenschutzrechtlichen Implikationen nicht mitgedacht.

Kurz gesagt: Wer 2026 vernetzte Produkte verkauft oder betreibt, sollte seine Datenflüsse komplett neu aufrollen. Und zwar nicht mit dem Vertrieb, sondern mit der Datenschutzabteilung. Wenn Sie so eine Abteilung haben.

Eine konkrete Checkliste, die ich meinen Kunden an die Hand gebe:

1. Inventur: Welche vernetzten Geräte verkaufen oder betreiben Sie? Welche Daten generieren sie?
2. Trennung: Können Sie personenbezogene von nicht-personenbezogenen Daten technisch trennen?
3. Rechtsgrundlage: Auf welcher Basis verarbeiten Sie die Daten bisher? Reicht das noch?
4. Verträge: Haben Ihre Kundenverträge Klauseln, die die Datenweitergabe an Dritte verbieten? Solche Klauseln sind nach dem Data Act in vielen Fällen unfair und damit unwirksam.
5. Schnittstellen: Sind Ihre Produkte technisch in der Lage, Datenherausgaben an Dritte zu ermöglichen?

Der Data Act ist übrigens kein Einzelfall. Die EU hat mit dem Daten-Governance-Act und den geplanten Regeln für den europäischen Datenraum eine ganze Reihe von Regulierungen geschaffen, die aufeinander aufbauen. 2026 ist das Jahr, in dem diese verschiedenen Stränge erstmals wirklich zusammenlaufen.

Die DSGVO-Reform: Was wird aus dem Verzeichnis der Verarbeitungstätigkeiten?

Die DSGVO-Reform: Der große Wurf oder der große Wackelkandidat?

Die EU-Kommission hat im Herbst 2025 Pläne für eine umfassende Überarbeitung der DSGVO vorgelegt. Und ich muss sagen: Es ist komplizierter geworden, als ursprünglich gedacht.

Ursprünglich sollte es ja nur darum gehen, kleine Unternehmen zu entlasten. Konkret war geplant, die Pflicht zum Führen eines Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DSGVO für kleine Firmen abzuschaffen. Außerdem wollte man KMU bei Verhaltensregeln und Zertifizierungen stärker berücksichtigen.

Daraus ist ein richtig dickes Reformpaket geworden. Und ehrlich gesagt: Das führt jetzt zu Verunsicherung, nicht zu Erleichterung.

Was Unternehmen jetzt konkret tun sollten

Ich rate meinen Kunden inzwischen zu einer Mischung aus Abwarten und Vorbereiten. Klingt widersprüchlich, ist es aber nicht.

Was sicher ist: Der Data Act ist seit September 2025 anwendbar. Kein Wenn und Aber. Wer davon betroffen ist, muss handeln.

Was unsicher ist: Die DSGVO-Reform. Stand jetzt ist sie angekündigt, aber nicht beschlossen. Der Gesetzgebungsprozess in der EU ist notorisch langsam, und das Paket ist groß.

Entfällt die Pflicht zur Verzeichnisführung wirklich?

Das ist eine Frage, die mir in fast jeder Beratung begegnet. Und die Antwort ist: noch nicht.

Die ursprünglich geplante Abschaffung der Pflicht zum Führen eines Verzeichnisses der Verarbeitungstätigkeiten (Art. 30 DSGVO) für kleine Unternehmen ist einer umfassenden Änderung der DSGVO gewichen. Das bedeutet: Das Verzeichnis bleibt erstmal Pflicht, und es ist auch gar nicht sicher, ob es ganz abgeschafft wird oder ob nur die Anforderungen für KMU gelockert werden.

Meine Empfehlung: Führen Sie das Verzeichnis weiter. Es ist ohnehin ein gutes Instrument, um den Überblick über Ihre Datenverarbeitungen zu behalten. Wenn die Pflicht irgendwann entfällt, haben Sie nichts verloren. Wenn sie bleibt, sind Sie auf der sicheren Seite.

Die DSB-Pflicht: Abschaffung oder nicht?

Ähnlich sieht es bei der Frage des Datenschutzbeauftragten aus. Die Bundesregierung hat angekündigt, die Pflicht zur Bestellung eines DSB nach § 38 BDSG abzuschaffen. Das war im Dezember 2025 groß in den Nachrichten.

Aber Achtung: Zwischen Ankündigung und Gesetz liegen Welten. Zudem gibt es einen Haken: Selbst wenn die nationale Pflicht entfällt, greift die DSGVO-Pflicht nach Art. 37 weiterhin für Unternehmen, die eine umfangreiche oder systematische Überwachung betreiben oder besonders sensible Daten verarbeiten.

Ein kleiner Tipp aus der Praxis: Ich habe schon mehrfach erlebt, dass Unternehmen ihren langjährigen externen DSB gekündigt haben, weil sie dachten, die Pflicht entfällt ja sowieso. Und dann kam doch noch etwas dazwischen, und sie standen ohne Beratung da.

Mein Rat: Warten Sie die finale Gesetzgebung ab. Ein externer DSB kostet im Jahr vielleicht 3.000 bis 10.000 Euro. Eine Abmahnung oder ein Bußgeld kostet deutlich mehr. Die Kosten-Nutzen-Rechnung ist simpel.

Die Verpackungsverordnung PPWR: Nicht nur ein Fall für den Einkauf

Die unsichtbare Datenschutzfalle: PPWR ab August 2026

Die neue EU-Verpackungsverordnung (PPWR) tritt am 12. August 2026 in Kraft. Sie ist eine der größten Umwälzungen im europäischen Abfallrecht seit Jahren.

Die meisten Unternehmen denken bei PPWR an Mehrwegquoten, Recyclingfähigkeit und Verpackungssteuern. Was viele unterschätzen: Auch datenschutzrechtliche Fragen sind involviert.

Konkret geht es um Registrierungspflichten. Unternehmen müssen sich in nationalen Registern erfassen lassen, um ihre Verpackungen in Verkehr zu bringen. Sie müssen Daten über Mengen, Materialien und Recyclingfähigkeit melden.

Diese Meldungen sind nicht personenbezogen, solange sie nur das Unternehmen als juristische Person betreffen. Aber wehe, wenn natürliche Personen in die Meldepflicht geraten – etwa bei Kleinstunternehmen, wo der Inhaber zugleich der Melder ist. Dann kann das schnell personenbezogen werden.

Ich habe einen Mandanten, der einen Online-Shop für Naturkosmetik betreibt. Ein Einzelunternehmen. Er muss jetzt mehrere Millionen Verpackungen melden. Und plötzlich fragt ihn die Behörde, wer die Daten übermittelt hat und welche personenbezogenen Daten in den Lieferketten auftauchen.

„Ich habe doch gar keine Mitarbeiter", sagte er zu mir. „Doch", sagte ich, „Sie selbst. Und Ihre Zulieferer. Und die Logistikpartner."

Das klingt trivial, ist es aber nicht. Denn die PPWR verlangt nicht nur die Meldung, sondern auch die Speicherung und Archivierung dieser Daten über Jahre. Und das ist eine Datenverarbeitung, die nach der DSGVO bewertet werden muss.

Datenflüsse im Verpackungsbereich

Was ich damit sagen will: Die PPWR ist kein reines Umwelt- und Einkaufsthema. Sie erzeugt neue Datenströme, die Sie dokumentieren müssen.

1. Registrierungsdaten bei den nationalen Behörden.
2. Mengenmeldungen über Verpackungsmaterialien.
3. Vertragsdaten mit Entsorgern und Recyclern.
4. Lizenzdaten, die Sie an Systeme wie die dualen Systeme in Deutschland übermitteln.

Jeder dieser Datenströme braucht eine Rechtsgrundlage. Meist wird das Art. 6 Abs. 1 lit. c DSGVO sein, also die rechtliche Verpflichtung. Aber Sie müssen das dokumentieren und nachweisen können.

Ein ganz konkreter Tipp: Nehmen Sie sich einen Nachmittag Zeit, zeichnen Sie alle Datenflüsse rund um Ihre Verpackungsmeldungen auf und prüfen Sie, ob Sie eine klare Rechtsgrundlage benennen können. Das erspart Ihnen späteres Kopfzerbrechen.

Datenschutz als Daueraufgabe: Das ändert sich wirklich

Was ich aus 2026 mitnehme – und was Sie jetzt tun sollten

Wenn ich die Lage nüchtern betrachte, sehe ich drei große Verschiebungen:

Erstens: Datenschutz ist nicht mehr nur Vertrauenssache, sondern Marktzugangsbedingung. Der Data Act zwingt Unternehmen, Daten zu teilen. Und die DSGVO zwingt sie, dabei die Rechte der Personen zu wahren. Diese doppelte Anforderung ist neu und wird viele überfordern.

Zweitens: Die Reformen der DSGVO werden kommen, aber langsamer als erhofft. Die großen Würfe – Abschaffung von Art. 30, Befreiung von der DSB-Pflicht – sind noch nicht beschlossen. Unternehmen, die darauf warten, verlieren wertvolle Zeit.

Drittens: Die Kombination aus verschiedenen Regelwerken – DSGVO, Data Act, PPWR und weitere – erfordert eine neue Art des Datenmanagements. Es reicht nicht mehr, jedes Gesetz für sich zu betrachten. Sie müssen die Interaktionen verstehen.

Ich gebe Ihnen das ehrlich zu: Als ich vor einigen Jahren mit diesen Themen angefangen habe, hätte ich nicht gedacht, dass Datenschutz und Verpackungsrecht einmal in einem Atemzug genannt werden. Aber genau das passiert gerade. Und genau deswegen braucht es jetzt eine systematische Herangehensweise.

Prüfen Sie Ihre Datenflüsse. Dokumentieren Sie Ihre Rechtsgrundlagen. Und scheuen Sie sich nicht, bei Unsicherheiten einen Experten zu konsultieren. Ein Beratungstermin ist billiger als ein Bußgeldverfahren.

Und denken Sie daran: Die EU will mit diesen Regeln eine Datenwirtschaft schaffen, die fair und innovativ ist. Das ist keine leere Phrase, sondern das Leitmotiv aller neuen Gesetze. Wer das versteht und seine Prozesse danach ausrichtet, wird 2026 nicht nur Compliance-Probleme lösen, sondern auch Wettbewerbsvorteile gewinnen.

Die Zeiten, in denen man Datenschutz mit einer ordentlichen Datenschutzerklärung auf der Website abhaken konnte, sind endgültig vorbei. Die neue Ära beginnt jetzt. Und sie verlangt mehr als nur Formulare und Checkboxen. Sie verlangt ein echtes Verständnis dafür, wie Daten durch Ihr Unternehmen fließen – von der ersten Erhebung bis zur Löschung.

Ich weiß, das klingt nach viel Arbeit. Und es ist auch viel Arbeit. Aber es ist machbar, wenn man es Schritt für Schritt angeht. Und glauben Sie mir: Es ist deutlich angenehmer, das freiwillig zu tun, als nach einem Vorfall oder einer Prüfung dazu gezwungen zu werden.

Also: Fangen Sie an. Nicht nächste Woche. Jetzt.