Die Datenschutz-Grundverordnung (DSGVO) gilt seit Mai 2018 und ist nach wie vor das zentrale Regelwerk für den Umgang mit personenbezogenen Daten in der EU (GDPR). Auch acht Jahre nach Inkrafttreten bleibt sie für Unternehmen eine der größten Compliance-Baustellen – nicht zuletzt, weil sich gerade jetzt eine Reform abzeichnet.
Die Grundprinzipien
Kernpunkt der DSGVO ist, dass personenbezogene Daten nur auf einer Rechtsgrundlage verarbeitet werden dürfen – etwa Einwilligung, Vertragserfüllung oder berechtigtes Interesse. Hinzu kommen Grundsätze wie Zweckbindung, Datenminimierung, Transparenz und die Pflicht, Verstöße innerhalb von 72 Stunden zu melden. Betroffene haben umfassende Rechte: Auskunft, Berichtigung, Löschung und Datenübertragbarkeit.
Bußgelder bleiben empfindlich
Verstöße können mit Bußgeldern bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher ist. Die Aufsichtsbehörden haben in den vergangenen Jahren gezeigt, dass sie auch bei mittelständischen Unternehmen konsequent durchgreifen.
Reform in Sicht: Der Digital Omnibus
Im November 2025 hat die EU-Kommission im Rahmen des sogenannten Digital-Omnibus-Pakets weitreichende Änderungsvorschläge zur DSGVO vorgelegt. Geplant sind unter anderem: eine engere Definition personenbezogener Daten bei pseudonymisierten Datensätzen, Erleichterungen bei der Zweckänderung für wissenschaftliche und statistische Zwecke, die Möglichkeit, KI-Modelle auf Basis berechtigter Interessen statt Einwilligung zu trainieren, gelockerte Cookie-Regeln mit Opt-out statt Opt-in sowie eine Beschränkung der Meldepflicht auf Fälle mit hohem Risiko für Betroffene.
Wichtig: Es handelt sich bislang nur um einen Gesetzesvorschlag. Bis zur endgültigen Verabschiedung durch Rat und Parlament gilt die DSGVO unverändert weiter. Unternehmen sollten die Entwicklung dennoch im Blick behalten, da sich insbesondere die Regeln zu KI-Training und Cookie-Consent direkt auf bestehende Prozesse auswirken könnten.
Was Unternehmen jetzt tun sollten
Auch ohne Reform lohnt sich eine regelmäßige Überprüfung der Datenschutz-Compliance: Verzeichnis von Verarbeitungstätigkeiten aktuell halten, Rechtsgrundlagen für Datenverarbeitungen dokumentieren, Auftragsverarbeiterverträge prüfen und Prozesse für Betroffenenanfragen sowie Meldepflichten bei Datenschutzverletzungen testen. Wer zusätzlich die Entwicklung des Digital Omnibus verfolgt, kann rechtzeitig reagieren, sobald aus dem Vorschlag geltendes Recht wird.
Hinweis: Der Digital Omnibus befindet sich noch im Gesetzgebungsverfahren und kann sich bis zur endgültigen Fassung noch ändern. Für verbindliche rechtliche Einschätzungen sollte fachkundiger Rat eingeholt werden.