Stand: 6. August 2026

Die europäische Digitalregulierung ist in den vergangenen Jahren erheblich gewachsen. DSGVO, Data Act, NIS2, DORA, Cyber Resilience Act und AI Act stellen Unternehmen vor neue Anforderungen – häufig mit unterschiedlichen Zuständigkeiten, Begriffen, Fristen und Meldewegen.

Mit dem im November 2025 vorgestellten Digitalpaket will die Europäische Kommission diese Regelungslandschaft vereinfachen. Bestehende Vorschriften sollen besser aufeinander abgestimmt, Doppelstrukturen reduziert und Unternehmen bei der praktischen Umsetzung entlastet werden.

Wichtig ist allerdings: Das Digitalpaket ist kein einzelnes neues Gesetz. Es umfasst mehrere Vorhaben mit unterschiedlichem Rechtsstand. Ein Teil ist bereits beschlossen, andere Änderungen befinden sich noch im europäischen Gesetzgebungsverfahren. Unternehmen sollten deshalb genau unterscheiden, was bereits gilt und was bislang lediglich vorgeschlagen ist.

Was gehört zum EU-Digitalpaket?

Zum Digitalpaket zählen insbesondere:

• • • • der allgemeine Digital Omnibus mit vorgeschlagenen Änderungen in den Bereichen Daten,
      • Datenschutz, Cookies und Cybersecurity-Meldungen,
      • der gesonderte Digital Omnibus zum AI Act, die Data Union Strategy,
      • der Vorschlag für European Business Wallets,
      • nicht bindende Musterbedingungen für Datennutzung und Cloud-Verträge
      • sowie der Digital Fitness Check zur Überprüfung der europäischen Digitalregulierung.

Die Europäische Kommission verfolgt damit das Ziel, den administrativen Aufwand für Unternehmen zu senken und zugleich Europas Wettbewerbsfähigkeit im Bereich Daten und künstliche Intelligenz zu stärken. Nach Darstellung der Kommission sollen dabei Datenschutz, Sicherheit und Grundrechte gewahrt bleiben.

Ob dieses Gleichgewicht in allen Punkten gelingt, ist allerdings Teil der politischen und rechtlichen Diskussion. Gerade die vorgeschlagenen Änderungen an der DSGVO greifen teilweise tiefer als eine rein redaktionelle Vereinfachung.

Entscheidend ist der aktuelle Rechtsstand

Beim Digitalpaket müssen derzeit zwei Ebenen auseinandergehalten werden.

Der allgemeine Digital Omnibus zu Daten, Datenschutz, Cookies und Cybersecurity-Meldungen ist noch nicht beschlossen. Das Europäische Parlament und der Rat beraten weiterhin über den Vorschlag. Die dort vorgesehenen Änderungen dürfen deshalb noch nicht wie geltendes Recht behandelt werden. Der aktuelle Stand lässt sich im Legislativfahrplan des Europäischen Parlaments verfolgen.

Anders sieht es beim AI Omnibus aus. Die entsprechenden Änderungen wurden als Verordnung (EU) 2026/1744 verabschiedet und sind am 27. Juli 2026 in Kraft getreten. Dieser Teil des Pakets ist daher keine bloße Planung mehr.

Datenschutz: Was sich durch den allgemeinen Digital Omnibus ändern könnte

Der allgemeine Digital Omnibus enthält mehrere Änderungen an der DSGVO. Sie sollen nach Auffassung der Kommission mehr Rechtssicherheit schaffen und bestimmte Nachweis- und Informationspflichten vereinfachen.

Pseudonymisierte Daten: keine pauschale Ausnahme von der DSGVO

Besonders relevant ist die vorgeschlagene Präzisierung des Begriffs der personenbezogenen Daten.

Pseudonymisierte Daten lassen sich nicht unmittelbar einer bestimmten Person zuordnen. Die Zuordnung kann jedoch mithilfe zusätzlicher, getrennt aufbewahrter Informationen wiederhergestellt werden. Erst wenn eine Person auch mit den verfügbaren Mitteln und einem vertretbaren Aufwand nicht mehr identifiziert werden kann, gelten die Daten als anonymisiert.

Nach dem Vorschlag der Kommission soll ausdrücklich berücksichtigt werden, welche Mittel einer konkreten Organisation realistischerweise zur Identifizierung zur Verfügung stehen. Bis zum Abschluss des Gesetzgebungsverfahrens sollten Unternehmen an ihrer bisherigen datenschutzrechtlichen Bewertung festhalten.

Weitere vorgeschlagene Änderungen der DSGVO

Der Digital Omnibus sieht darüber hinaus unter anderem vor:

• • • • die Meldefrist für bestimmte Datenschutzverletzungen von 72 auf 96 Stunden zu verlängern,
      • die Meldeschwelle gegenüber der Aufsichtsbehörde von einem voraussichtlichen Risiko auf ein voraussichtlich hohes Risiko anzuheben,
      • EU-weit einheitlichere Vorgaben für Datenschutz-Folgenabschätzungen zu schaffen, Informationspflichten in bestimmten Konstellationen zu vereinfachen,
      • und die Verarbeitung personenbezogener Daten für die Entwicklung und den Betrieb von KI-Systemen auf Grundlage berechtigter Interessen näher zu regeln.

Auch diese Änderungen sind bislang nicht geltendes Recht. Insbesondere wäre die Verarbeitung personenbezogener Daten für KI-Anwendungen selbst nach dem Vorschlag nicht pauschal erlaubt. Erforderlichkeit, Interessenabwägung, Transparenz, Betroffenenrechte und weitere Schutzmaßnahmen blieben zu berücksichtigen.

Weniger Cookie-Banner – aber nicht ohne Bedingungen

Ein weiterer Schwerpunkt des allgemeinen Digital Omnibus sind die Cookie- und Tracking-Regelungen.

Die Kommission möchte die bisher auf DSGVO und ePrivacy-Richtlinie verteilten Vorschriften neu ordnen. Bestimmte eng begrenzte Verarbeitungen sollen ohne Einwilligung möglich werden. Gleichzeitig sollen Nutzer ihre Präferenzen künftig maschinenlesbar über Browser oder Betriebssystem hinterlegen können. Webseiten müssten solche Einstellungen berücksichtigen, sobald die erforderlichen technischen Standards verfügbar sind.

Zudem soll verhindert werden, dass Nutzer nach einer Ablehnung ständig erneut um ihre Einwilligung gebeten werden. Damit reagiert die Kommission auf die weitverbreitete „Cookie-Banner-Müdigkeit“.

Für Unternehmen könnte dies langfristig zu einfacheren Einwilligungsprozessen führen. Eine generelle Abschaffung von Cookie-Bannern ist jedoch nicht vorgesehen. Insbesondere Tracking für personalisierte Werbung oder vergleichbare Zwecke dürfte weiterhin eine Einwilligung erfordern.

Da sich auch diese Änderungen noch im Gesetzgebungsverfahren befinden, sollten bestehende Consent-Management-Lösungen nicht vorschnell umgestellt werden.

Cybersecurity: ein gemeinsamer Meldeweg statt mehrerer Portale

Unternehmen können durch einen einzigen Vorfall gleichzeitig mehreren Meldepflichten unterliegen. Abhängig von Branche und Sachverhalt kommen beispielsweise NIS2, DORA, DSGVO, die CER-Richtlinie oder eIDAS in Betracht. Hinzu kommen die Meldungen nach dem Cyber Resilience Act für Hersteller von Produkten mit digitalen Elementen.

Der allgemeine Digital Omnibus sieht deshalb einen von ENISA betriebenen Single-Entry Point vor. Unternehmen sollen Meldungen über eine gemeinsame technische Oberfläche einreichen können. Das System würde die Angaben anschließend an die jeweils zuständigen Behörden und Aufsichtsstellen weiterleiten.

Der Ansatz folgt dem Prinzip „report once, share many“. Er darf aber nicht mit einer vollständigen Harmonisierung der Meldepflichten verwechselt werden. Die unterschiedlichen Schwellenwerte, Fristen, Adressaten und Informationsanforderungen der einzelnen Regelwerke sollen grundsätzlich bestehen bleiben. Auch das Europäische Parlament weist in seiner Analyse zum Single-Entry Point auf diese Einschränkung hin.

Der größte Vorteil läge damit zunächst in einem einheitlichen Meldekanal – nicht automatisch in einer einzigen, für alle Regelwerke identischen Meldung. Zudem ist das Portal noch nicht verfügbar und seine Einführung politisch wie technisch weiterhin Gegenstand der Beratungen.

Unternehmen benötigen daher auch künftig eine belastbare Melde- und Eskalationsmatrix. Sie sollte je Regelwerk dokumentieren, welche Ereignisse meldepflichtig sind, wann die jeweilige Frist beginnt, welche Behörde zuständig ist und wer die Meldung intern freigibt.

AI Omnibus: Die Änderungen sind bereits in Kraft

Der AI Omnibus wurde im Gegensatz zum allgemeinen Digital Omnibus bereits verabschiedet. Seit dem 27. Juli 2026 gelten die Änderungen der Verordnung (EU) 2026/1744.

Zu den wichtigsten Anpassungen gehören:

• • • • vereinfachte Anforderungen für kleine und mittlere Unternehmen sowie bestimmte Small Mid-Caps,
      • vereinfachte technische Dokumentations- und Registrierungspflichten in ausgewählten Fällen,
      • ein erweiterter Zugang zu regulatorischen Sandboxes, die Einrichtung einer regulatorischen Sandbox auf EU-Ebene,
      • erweiterte Aufsichtsbefugnisse des europäischen AI Office,
      • sowie klarere Regeln für die Verarbeitung besonderer Kategorien personenbezogener Daten zur Erkennung und Korrektur von Verzerrungen in KI-Systemen.

Die übrigen Teile des AI Act sind dadurch nicht insgesamt verschoben worden. Weite Teile der Verordnung gelten seit dem 2. August 2026. Andere Pflichten, etwa zu verbotenen KI-Praktiken und zur KI-Kompetenz beziehungsweise AI Literacy, gelten bereits seit 2025. Die aktuellen Termine erläutert die Kommission in ihrer Übersicht zum AI Act.

Die verlängerten Fristen sind deshalb kein Grund, die Umsetzung aufzuschieben. Unternehmen sollten bereits jetzt ihre KI-Systeme inventarisieren, ihre jeweilige Rolle als Anbieter oder Betreiber bestimmen, mögliche Hochrisiko-Anwendungen identifizieren und Verantwortlichkeiten für Freigabe, Überwachung und Dokumentation festlegen.

Die Data Union Strategy: mehr Daten für KI und Innovation

Die Data Union Strategy soll den Zugang zu hochwertigen Daten erleichtern und damit KI sowie datenbasierte Innovationen fördern. Sie schafft selbst keine unmittelbaren Pflichten, kann Unternehmen aber neue Möglichkeiten zur Datennutzung eröffnen. Datenschutz, Geschäftsgeheimnisse, Urheberrechte und vertragliche Vorgaben bleiben dabei uneingeschränkt zu beachten.

Unterstützung bei der Umsetzung des Data Act

Der Data Act gilt bereits seit dem 12. September 2025. Unternehmen sollten ihn deshalb nicht erst im Zusammenhang mit dem Digitalpaket betrachten.

Zur Unterstützung hat die Kommission Musterbedingungen für den Datenzugang und die Datennutzung sowie Standardvertragsklauseln für Cloud-Verträge veröffentlicht. Diese behandeln unter anderem Datenzugangsrechte, die Weitergabe von Daten, Anbieterwechsel, Vertragsbeendigung, Sicherheit und Business Continuity.

Derzeit handelt es sich um nicht bindende Vertragsmuster im Rahmen eines Empfehlungsentwurfs. Unternehmen können sie als Orientierung nutzen und an ihre Vertragsbeziehungen anpassen. Sie ersetzen jedoch weder eine rechtliche Einzelfallprüfung noch die Abstimmung mit bestehenden Einkaufs-, Datenschutz- und Informationssicherheitsanforderungen.

European Business Wallets: digitale Unternehmensidentitäten

Die geplanten European Business Wallets sollen Unternehmen ermöglichen, sich grenzüberschreitend digital zu identifizieren, Vertretungsbefugnisse nachzuweisen, geprüfte Dokumente auszutauschen sowie Unterlagen elektronisch zu signieren, zu siegeln und mit Zeitstempeln zu versehen.

Denkbare Anwendungsfälle sind Genehmigungen und Lizenzen, Register- und Unternehmensnachweise, Zertifikate, Vollmachten und Vertretungsrechte, Vertragsabschlüsse, sowie der Austausch von Nachweisen mit Behörden und Geschäftspartnern.

Für Unternehmen soll die Nutzung freiwillig bleiben. Öffentliche Stellen sollen dagegen verpflichtet werden, Business Wallets in den vorgesehenen Verfahren zu akzeptieren.

Auch hier ist der Rechtsrahmen noch nicht endgültig beschlossen. Der Rat der EU hat am 9. Juni 2026 seine Verhandlungsposition zu den European Business Wallets angenommen. Der endgültige Inhalt kann sich im weiteren Gesetzgebungsverfahren noch ändern.

Wo stehen Sie heute?

Statt einzelne Anforderungen isoliert umzusetzen, starten wir bei unseren Kunden gerne mit einer Gap-Analyse. Sie zeigt, welche Vorgaben aus DSGVO, NIS2, DORA, CRA, Data Act und AI Act für das Unternehmen relevant sind, welche Maßnahmen bereits existieren und wo noch konkreter Handlungsbedarf besteht.

Dabei sollten insbesondere Melde- und Eskalationswege, die vorhandene KI-Governance, Daten- und Cloud-Verträge sowie das Zusammenspiel von Datenschutz, Informationssicherheit, Risikomanagement und Compliance betrachtet werden. So lassen sich Überschneidungen frühzeitig erkennen, vorhandene Kontrollen mehrfach nutzen und Maßnahmen nach Dringlichkeit priorisieren. Das Ergebnis ist kein zusätzlicher Dokumentationsapparat, sondern eine belastbare Grundlage für eine strukturierte und wirtschaftliche Umsetzung.

Fazit

Mit dem Digital Package verfolgt die Europäische Union einen neuen Ansatz: Nicht zusätzliche Regulierung steht im Vordergrund, sondern die Vereinfachung und bessere Verzahnung bestehender Vorschriften.

Für Unternehmen ergeben sich daraus Chancen, administrative Aufwände zu reduzieren und digitale Innovationen schneller umzusetzen. Gleichzeitig bleiben Datenschutz, Informationssicherheit und Compliance zentrale Erfolgsfaktoren.

Wer die aktuellen Entwicklungen frühzeitig verfolgt und seine Governance-Strukturen entsprechend ausrichtet, kann von den geplanten Vereinfachungen profitieren und gleichzeitig regulatorische Risiken beherrschbar halten.

Sie möchten wissen, welche Auswirkungen das EU-Digital Package konkret auf Ihr Unternehmen hat? Wir unterstützen Sie bei der Bewertung regulatorischer Anforderungen, der Optimierung Ihrer GRC-Strukturen sowie der datenschutzkonformen Umsetzung digitaler Transformationsprojekte. Sprechen Sie uns gerne an.