Datenschutz-Trends 2026: Was Unternehmen jetzt wissen müssen

Am 4. Dezember 2025 beschlossen Bund und Länder im Rahmen der Ministerpräsidentenkonferenz (MPK) eine umfassende Agenda zur Modernisierung des Staates. Ziel ist es, Verwaltung und Regulierung schneller, digitaler und weniger bürokratisch zu gestalten.

Wichtige Eckpunkte für den Datenschutz 2026:

• Reform der Datenschutzaufsicht
  Für den nicht-öffentlichen Bereich soll bis Ende 2027 die Aufgabenverteilung in der Datenschutzaufsicht neu geregelt werden. Im Fokus steht eine stärkere Bündelung von Kompetenzen, etwa bei der BfDI oder ausgewählten Landesaufsichtsbehörden.
• Aufhebung der DSB-Bestellungspflicht nach § 38 Abs. 1 BDSG
  Bis zum 31.12.2026 ist eine Gesetzesinitiative vorgesehen, die die Pflicht zur Bestellung eines Datenschutzbeauftragten im nicht-öffentlichen Bereich auf die Vorgaben der DSGVO (Art. 37 DSGVO) beschränkt. Die bislang strengere deutsche Sonderregelung im BDSG würde damit entfallen.
• Anonymisierung und Pseudonymisierung im Kontext des KI-Trainings und –Einsatzes
  Bis spätestens Ende 2027 soll eine neue BDSG-Regelung vorgeschlagen werden, die öffentlichen Stellen die Anonymisierung oder Pseudonymisierung personenbezogener Daten für KI-Training und -Einsatz erlaubt – zumindest übergangsweise, bis entsprechende Anpassungen auf EU-Ebene erfolgen.

Hier finden Sie den Beschluss der MPK.

Der Vorschlag für eine digitale Omnibus-Verordnung befindet sich im fortgeschrittenen EU-Gesetzgebungsverfahren und wird derzeit von Parlament und Rat geprüft. Neben dem Data Act betrifft er insbesondere auch zentrale Regelungen der DSGVO.

Mögliche DSGVO-Änderungen mit Relevanz für die Unternehmenspraxis:

• Engere Definition personenbezogener Daten
  Daten sollen nur noch dann als personenbezogen gelten, wenn der jeweilige Verantwortliche Personen realistisch identifizieren kann und nicht mehr, wenn dies nur theoretisch durch Dritte möglich wäre.
• Erleichterte Verarbeitung sensibler Daten für KI
  Für die Entwicklung und den Betrieb von KI-Systemen sollen neue Ausnahmen geschaffen werden, die auch besondere Kategorien personenbezogener Daten betreffen.
• Einschränkungen von Betroffenenrechten (v. a. Auskunft)
  Auskunfts- und Zugangsrechte sollen begrenzt oder verweigert werden können, etwa bei missbräuchlicher Nutzung.
• Vereinfachte oder entfallende Informationspflichten
  In bestimmten Konstellationen sollen Datenschutzhinweise nicht mehr oder nur in vereinfachter Form bereitgestellt werden müssen.
• Lockerungen bei automatisierten Entscheidungen & Profiling
  Die bestehenden Schutzmechanismen sollen flexibler ausgestaltet werden, insbesondere im KI-Kontext.
• Änderung der Meldepflichten bei Datenschutzverletzungen
  Die Meldefrist soll auf 96 Stunden verlängert und ein zentraler „Single Entry Point“ für Meldungen aus mehreren Rechtsakten (NIS2, DSGVO, DORA, eIDAS, CRA) geschaffen werden.
• Erleichterungen bei Datenschutz-Folgenabschätzungen
  Black- und Whitelists für DSFA sollen künftig europaweit zentral durch den EDPB erstellt werden.

Eine detaillierte rechtliche Analyse der geplanten Änderungen bietet der englischsprachige Bericht von noyb.

Mit dem bereits geltenden AI Act treten am 2. August 2026 die Pflichten für Hochrisiko-KI-Systeme nach Anhang III sowie die Transparenzpflichten nach Art. 50 in Kraft. Die geplante Omnibus-Verordnung zum AI Act könnte diese Zeitplanung jedoch noch verschieben.

Die EU-Kommission hat Ende 2025 erste Leitlinien veröffentlicht. Für 2026 werden weitere Konkretisierungen erwartet, insbesondere für Anbieter und Betreiber von Hochrisiko-KI.

Hinweis: bei caralegal halten wir für Sie umfangreiche Ressourcen wie Webinare zur Umsetzung des AI Acts und speziell für Hochrisiko-KI-Betreiber bereit.

caralegal unterstützt Sie auch 2026 dabei, datenrechtliche Anforderungen effizient und praxisnah umzusetzen.

Alle bestehenden Module der caralegal-Plattform – Privacy Flow, AI Flow, Risk Flow sowie Audit & Vendor Flow – werden kontinuierlich weiterentwickelt und funktional ausgebaut.

Auch 2026 sind zahlreiche Initiativen geplant, die unseren OneFlow-Ansatz weiter stärken. Unser Ziel ist es, Silos zwischen einzelnen Compliance-Themen weiter aufzulösen, End-to-End-Prozesse zu fördern und nachhaltige Effizienzgewinne für unsere Kunden zu realisieren. Dabei werden auch Regularien im Informationssicherheitsbereich verstärkt abgebildet.

Im Jahr 2026 legen wir einen klaren Fokus auf die noch engere Verzahnung von Fachbereichen und Regulatory Departments. Durch den gezielten Ausbau unserer Case-Management-Funktionalitäten schaffen wir eine zentrale, gemeinsame Arbeitsgrundlage für alle beteiligten Rollen entlang datenrechtlich relevanter Prozesse.

Fachbereiche und Rechtsexpert:innen erhalten strukturierte, kontextbezogene Informationen genau zum richtigen Zeitpunkt. Ergänzend dazu stellen wir für komplexe Sachverhalte einen KI-basierten Assistenten bereit, der insbesondere Fachbereiche unterstützt, etwa bei der Einordnung regulatorischer Fragestellungen, der Aufbereitung relevanter Informationen und der effizienten Vorbereitung rechtlicher Bewertungen.

Um caralegal noch besser in die bestehende IT-Landschaft unserer Kunden einzubetten, erweitern wir 2026 die Möglichkeiten zur individuellen Workflow-Orchestrierung. Intelligente Workflow-Engines ermöglichen eine flexible Abbildung unternehmensspezifischer Prozesse über Systeme, Abteilungen und Rollen hinweg.

Dadurch lassen sich regulatorische Anforderungen passgenau in operative Abläufe integrieren, manuelle Schnittstellen reduzieren und Automatisierungspotenziale gezielt nutzen.

Datenschutz bleibt auch 2026 ein zentraler Erfolgsfaktor für Unternehmen, jedoch unter veränderten Vorzeichen. Mit den geplanten Omnibus-Verordnungen auf EU-Ebene sowie der angekündigten Reform des BDSG in Deutschland verschiebt sich der regulatorische Fokus spürbar: weg von rein formalen Pflichten, hin zu stärker risikobasierten, differenzierten Anforderungen.

Für Unternehmen bedeutet das nicht weniger Verantwortung, sondern das Erschließen neuer Spielräume bei gleichzeitig höherer Komplexität. Wer die anstehenden Änderungen frühzeitig einordnet, Datenschutz- und KI-Governance zusammendenkt und seine Prozesse entsprechend anpasst, kann regulatorische Risiken reduzieren und sich zugleich strategische Vorteile sichern.

caralegal unterstützt Sie dabei, diese Entwicklungen einzuordnen und Datenschutz- sowie KI-Compliance effizient und praxisnah in Ihre Unternehmensabläufe zu integrieren.

Sie wollen keine spannenden Neuigkeiten mehr verpassen? Mit unserem caralegal Newsletter halten wir Sie stets  auf dem neuesten Stand in punkto datenrechtlicher Compliance.