Erwartete KVKK-Entwicklungen zum Jahreswechsel 2026: Was sollten Unternehmen tun?

⏱️ Lesezeit: 13 min · 📁 Kategorie: KVKK & Gesetzgebung Entwicklungen

Erwartete KVKK-Entwicklungen zum Jahreswechsel 2026: Was sollten Unternehmen tun?

2025 war eines der geschäftigsten Jahre im KVKK-Ökosystem, sowohl in Bezug auf die Revision als auch die Umsetzung.
Die Datenschutzbehörde traf häufiger Entscheidungen, aktualisierte Branchenleitfäden und führte
strengere Verfahren für die Meldung von Datenschutzverletzungen ein.

Als wir uns 2026 näherten, wurde deutlich, dass strukturelle Veränderungen die Unternehmen direkt betreffen würden, sowohl im Gesetzesentwurf als auch in den Entscheidungsmustern des Ausschusses.

Schwerpunkte der KVKK-Praxis 2026: technische Nachweispflichten + Begrenzung digitaler Tracking-Technologien + Erneuerung ausdrücklicher Einwilligungen. 1. Erwartete Regelung: rechtlicher Status für den Leitfaden zu Cookies und Tracking-Technologien

2024–2025 näherte sich die Datenschutzbehörde bei Cookie-Entscheidungen dem EU-Ansatz an. Entwurfsarbeiten im Dezember 2025 signalisierten den Übergang vom Cookie-Leitfaden zu einem regulatorischen Instrument.

Erwartete Veränderungen im Jahr 2026:

• Ausdrückliche Einwilligung für Werbe- und Analyse-Cookies (der Anwendungsbereich berechtigter Interessen könnte stark eingeschränkt werden)
• Verbote manipulativer Gestaltungsmuster – Oberflächen, die den Akzeptieren-Button hervorheben, könnten sanktioniert werden
• Höchste Grenze für Cookie-Speicherzeiten
• Besondere Informationspflichten bei Datenweitergabe an Dritte

Branchenwirkung: E-Commerce-, Medien- und Werbetechnologieunternehmen müssen ihre Cookie-Infrastruktur neu gestalten. 2. Erwartete Regelung: neue Grenzen für Profiling

Im Laufe des Jahres 2025 traf der Vorstand zahlreiche Entscheidungen in den Bereichen Verhaltenswerbung und Profiling. Diese Entscheidungen legen den Grundstein für künftige Verordnungen im Jahr 2026.

Erwartete Ergebnisse:

• Profilerstellung ist nur mit ausdrücklicher Zustimmung möglich
• Detaillierung von Einwilligungstexten für "personalisierte Kampagne"
• Profiling-Aufzeichnungen prüfbar führen
• Transparenzverpflichtung für Profiling-Algorithmen

Alle Unternehmen, die Werbe-Targeting einsetzen, müssen ihre Einwilligungstexte im ersten Quartal 2026 aktualisieren. 3. Erwartete Regelung: Standardisierung der Prüfung berechtigter Interessen

2025 wurden die meisten Unternehmen, die Daten auf Grundlage berechtigter Interessen verarbeiteten, bei Prüfungen wegen fehlender Erforderlichkeits- und Abwägungstests als risikobehaftet eingestuft.

Erwartungen an die Entwürfe für 2026:

• Verbindliches Format für die Prüfung berechtigter Interessen (LIA)
• Viel engere Auslegung des berechtigten Interesses an Arbeitgeberpraktiken
• Möglichkeit der vollständigen Abschaffung des berechtigten Interesses an Vermarktungsprozessen

Berechtigte Interessen werden nur bei kurzfristiger Verarbeitung mit geringer Eingriffsintensität und ohne alternative Methode anerkannt. 4. Erwartete Regelung: strengere Verfahren zur Meldung von Datenschutzverletzungen

Das 2025 von der Datenschutzbehörde am stärksten kritisierte Thema war die verspätete Meldung von Datenschutzverletzungen.

Für 2026 diskutierte Änderungen:

• Strengere Auslegung der 72-Stunden-Meldepflicht
• Verpflichtendes Paket aus technischem Bericht, Ursachenanalyse und Nachweispflichten
• Branchenspezifische Formate zur Meldung von Datenschutzverletzungen
• Pflicht zu überprüfbaren Protokollaufzeichnungen

Für Finanzen, Gesundheit, Telekommunikation und E-Commerce könnten spezielle Meldeformulare eingeführt werden. 5. Erwartete Regelung: erweiterter Schutz von Beschäftigtendaten

Beschäftigtendaten gehörten 2024–2025 zu den KVKK-Themen mit den meisten Beschwerden. Der Ansatz der Datenschutzbehörde lässt für 2026 weitergehende Standards erwarten.

Mögliche Änderungen:

• Eine verdeckte Überwachung kann vollständig verboten werden.
• Die Proportionalitätsgrenze für GPS- und Produktivitäts-Tracking-Tools
• Zeitstempelpflicht für Zugriffsprotokolle zu Beschäftigtendaten
• Besondere Zustimmungsanforderung für die Leistungsanalyse

Im Jahr 2026 können Mitarbeiterdaten als "hohe Schutzkategorie" klassifiziert werden. 6. Erwartete Regelung: KI-Modelle und Datensätze

2025 traf die Datenschutzbehörde erstmals richtungsweisende Entscheidungen zu KI-Modellen. In den Entwürfen für 2026 wird eine systematische Regelung dieses Bereichs erwartet.

Mögliche Vorkehrungen:

• Anonymitätstests in Datensätzen, die für die Modellausbildung verwendet werden
• Transparenz in Entscheidungsprozessen von KI-Systemen
• ausdrückliche Einwilligung zur automatisierten Entscheidungsfindung
• DTIA-Anforderungen in KI-Diensten Dritter

Die Erkennung von Schattenprofilen in KI-Modellen wird 2026 ein Prüfungsschwerpunkt sein. 7. Vorbereitung auf 2026: Was sollten Unternehmen tun?

Maßnahmen, die Unternehmen dringend im Lichte der erwarteten Vorschriften umsetzen müssen:

1) Neugestaltung der Einwilligung + Cookie-Verwaltung

• expliziter Zustimmungsmechanismus für Kampagnen-Cookies
• Analyse und Werbung unterscheiden
• Aktualisierung der Cookie-Listen von Drittanbietern

2) Dokumentation von Tests mit berechtigtem Interesse

• LIA-Formulare erstellen
• Verhältnismäßigkeitsprüfungen in Arbeitgeberprozessen

3) Aktualisierung der Datenbestands- und Aufbewahrungspolitik

• Neuklassifizierung von Profilerstellungsprozessen
• Verkürzung der Aufbewahrungszeit in den Mitarbeiterdaten

4) Erstellung von Protokollverwaltungs- und Auditpfaden

• Technische Lösungen, die Log-Integrität gewährleisten
• Systeme zur Erkennung unbefugter Zugriffe

5) Durchführung von Risikobewertungen für KI-Prozesse

• Datensätze für das Modelltraining prüfen
• KI-Erklärbarkeitsmechanismen (Erklärbarkeit)

Der Schlüssel zur Konformität 2026: Einwilligungen stärken, berechtigte Interessen enger fassen und technische Nachweispflichten erhöhen.

KVKK-Vorbereitungsanalyse für 2026