DSGVO-Konformität: Was die jüngsten europäischen Sanktionen und Entscheidungen zeigen
Lesezeit: 7 min
Le DSGVO fast acht Jahre AnwendungDoch die Nachrichtenlage bleibt angespannt. Die letzten drei Monate haben eine Fülle nützlicher Signale für Marketing-, Produkt-, Daten- und Sicherheitsteams geliefert. Auf der einen Seite verfolgen die nationalen Behörden eine Sanktionspolitik Dies richtet sich sowohl an große Marktteilnehmer als auch an Lösungsanbieter. Andererseits wird das europäische Recht weiterhin … die Rolle der Plattformen festlegenwährend Brüssel die beabsichtigten Anpassungen wieder auf den Tisch bringt das digitale Arsenal "vereinfachen".
Dieser Artikel fasst die wichtigsten Ereignisse der letzten Monate zusammen und leitet daraus konkrete Lehren für Organisationen ab, die personenbezogene Daten verarbeiten.
Die Rückkehr zu einem einfachen Thema: Sicherheit
Ende 2025 und Anfang 2026 rückten mehrere Entscheidungen die Sicherheit wieder in den Mittelpunkt der Compliance. CNIL NEXPUBLICA FRANCE, Herausgeber eines CRM-Systems für den Sozialsektor, wurde wegen unzureichender Sicherheitsmaßnahmen sanktioniert. Die Botschaft ist altbekannt, aber nachvollziehbar: Wenn Daten in Software zirkulieren, die von zahlreichen Organisationen genutzt wird, ist Sicherheit nicht nur ein technischer Aspekt. Sie wird zu einem zentralen Thema. Engagement Vertraglich, ein operationelles Risiko, dann ein Compliance-Problem.
Wenige Wochen später verhängte die französische Datenschutzbehörde CNIL nach einem Datenleck sehr hohe Bußgelder gegen Free Mobile und Free. Entscheidend ist dabei neben der Höhe des Bußgeldes die Bewertung der Angemessenheit der Sicherheitsmaßnahmen. Die DSGVO verlangt keine absolute Fehlerfreiheit. Sie erwartet einen kohärenten, risikobasierten Ansatz, der Kontrollen, Erkennung, Reaktion und Beweissicherung umfasst.
Dieser Hinweis gilt auch für Marketingabteilungen. Die gesamte Datenaktivierung basiert auf einer VerarbeitungsketteEin Vorfall bei einem Dienstleister oder Verlag kann zu einer Vertrauenskrise für die Marke führen. Die DSGVO unterscheidet in der öffentlichen Wahrnehmung nicht zwischen der Quelle des Verstoßes und dem Ort des Verstoßes.
Plattformen: Die Grenze zwischen „einfachem Hosting-Anbieter“ und „einfachem Hoster“ verschwimmt.
Am 2. Dezember 2025 fällte der Gerichtshof der Europäischen Union folgendes Urteil: Eine Entscheidung, die alle Marktplatzbetreiber interessiert. und, allgemeiner gefasst, Plattformen, die von Dritten bereitgestellte Inhalte veröffentlichen. Der zugrunde liegende Gedanke ist folgender: Der Betreiber kann gemäß DSGVO direkt verantwortlich gemacht werden, wenn Werbeanzeigen personenbezogene Daten, einschließlich sensibler Daten, enthalten.
Die Auswirkungen auf den Betrieb sind für die Produktsteuerung erheblich. Eine Plattform muss technische und organisatorische Maßnahmen implementieren, um potenziell riskante Inhalte vor der Veröffentlichung zu erkennen oder zumindest deren Verbreitung zu reduzieren. Diese Anforderung geht über einen einfachen Meldebutton hinaus. Sie umfasst Formulargestaltung, Moderationsregeln, automatisierte Kontrollen und Dokumentationen, die die Einhaltung der Vorschriften belegen.
Diese Entwicklung verstärkt einen bereits erkennbaren Trend: Je stärker eine Plattform die Veröffentlichung gestaltet und Interaktionen monetarisiert, desto mehr verliert das Argument der einfachen Rolle des Vermittlers an Überzeugungskraft.
Gezielte Werbung: Rechtsstreitigkeiten beschleunigen die Forderung nach Transparenz
Ein weiteres Signal ergab sich im Dezember 2025 mit einem Urteil des österreichischen Obersten Gerichtshofs zu Meta- und personalisierter Werbung. Die Urteilsbegründung betont zwei Punkte: die Erhebung sensibler Daten ohne ausdrückliche Einwilligung und das Recht des Nutzers, einen vollständigen Überblick über seine Daten, deren Quellen und Empfänger zu erhalten.
Für die Teams MartechDer Schwerpunkt der Lehre liegt auf dem Evidenzmanagement. Organisationen müssen mehr tun, als die Regeln lediglich einzuhalten. Sie müssen auf Anfrage die Quellen, Rechtsgrundlagen, Datenflüsse und Zwecke der Datenverarbeitung erläutern können. Datenarchitekturen, die Anreicherungen, Abgleiche und Segmentierungen überfrachten, verlieren schnell ihre Lesbarkeit. Doch gerade bei einer Zugriffsanfrage ist diese Lesbarkeit genauso wichtig wie die anfängliche Einhaltung der Regeln.
DSA und DSGVO: Die Aufsichtsbehörde strebt nach Einheitlichkeit
Die regulatorischen Rahmenbedingungen beschränken sich nicht mehr auf die DSGVO. Das Gesetz über digitale Dienste führt zu neuen Verpflichtungen zu zahlreichen Online-Diensten. Im November 2025 verabschiedete der Europäische Datenschutzausschuss Leitlinien zum Verhältnis zwischen DSA und DSGVO.
Diese Haltung hat konkrete Konsequenzen. Sie zielt darauf ab, einen „Doppelstandard“ zwischen zwei Texten zu vermeiden, die mitunter dieselben Maßnahmen aus unterschiedlichen Perspektiven fordern: Transparenz, Beschwerdemanagement, Protokollierung bestimmter Vorgänge und Zusammenarbeit mit Behörden. Für Organisationen besteht die Herausforderung darin, die Anforderungen miteinander zu verknüpfen. Ein Produktteam kann Kontrollen, Indikatoren und Prozesse konsolidieren, anstatt zwei parallele Compliance-Programme zu entwickeln.
Die DSGVO „vereinfachen“: Die Debatte flammt in Brüssel wieder auf.
Im November 2025 präsentierte die Europäische Kommission ein Paket mit dem Titel „ Digitaler Omnibus „Ziel ist die Anpassung mehrerer digitaler Regeln. Analysen und Presseartikel haben Wege aufgezeigt, die sich direkt auf den Datenschutz auswirken, wobei ein wiederkehrendes Argument lautet: die Belastung für Unternehmen, insbesondere kleine, zu verringern.“
Die Angelegenheit bleibt politisch. Jede Überarbeitung der DSGVO erfordert einen langwierigen institutionellen Prozess und ein sensibles Abwägen zwischen Wettbewerbsfähigkeit und Grundrechten. Für Fachleute bedeutet diese Debatte vor allem eine Phase der Unsicherheit. Die erfahrensten Akteure profitieren von einer soliden Compliance-Strategie. Eine mögliche Lockerung der Regeln wird weder die Kundenerwartungen noch Reputationsrisiken oder die in Ausschreibungen enthaltenen vertraglichen Anforderungen beseitigen.
Ein gemeinsamer Nenner: Die Qualität der Regierungsführung macht den Unterschied.
Diese Nachrichten weisen einen gemeinsamen Nenner auf. Sanktionen stellen als unzureichend erachtete Sicherheitsmaßnahmen infrage. Gerichte klären die Verantwortlichkeiten von Plattformen. Streitigkeiten um Werbung erfordern mehr Transparenz. Europäische Leitlinien streben eine Angleichung der Regulierungen an.
Für wachstumsorientierte Unternehmen besteht die Herausforderung darin, diesen Kontext in einen Vorteil zu verwandeln. Eine solide DSGVO-Governance vereinfacht Produktentscheidungen, sichert Datenpartnerschaften, reduziert Reibungsverluste bei der Einwilligung und schützt letztendlich die Marke.
Tatsächlich stechen drei Projekte besonders hervor.
- Die erste Aufgabe besteht in der eigentlichen Abbildung der Datenflüsse. Viele Teams verfügen über „theoretische“ Diagramme. Entscheidungen und Vorfälle legen jedoch die „realen“ Datenflüsse offen: Exporte, Synchronisierungen, Anreicherungen, technischer Zugriff und Subunternehmer.
- Der zweite Schwerpunkt liegt auf der Sicherheit im weitesten Sinne: Zugriffsrichtlinien, Protokollierung, Tests, Alarmierungsverfahren, Patch-Management und schließlich die Fähigkeit, alles nachzuweisen.
- Der dritte Schwerpunkt liegt auf handlungsorientierter Transparenz: verständliche Informationen, konsistente Auswahlmöglichkeiten in den Benutzeroberflächen und die Fähigkeit, ohne Improvisation auf die Wünsche der Nutzer zu reagieren.
Fazit
Die letzten drei Monate haben eine einfache Tatsache bestätigt: Die DSGVO schreitet in der Praxis voran, angetrieben durch Audits, Entscheidungen und Klarstellungen. Sicherheit bleibt ein Hauptgrund für Sanktionen. Plattformen sehen sich einer zunehmenden Verantwortung ausgesetzt. Gezielte Werbung führt weiterhin zu Rechtsstreitigkeiten, die mehr Transparenz fordern. Gleichzeitig strebt die Europäische Union eine Angleichung ihrer digitalen Vorschriften an und entfacht im Hintergrund die Debatte über „Vereinfachung“ neu.
Für Marketing- und Technologie-Teams bleibt die beste Strategie pragmatisch: Governance stärken, Sicherheit konsolidieren und Datenflüsse transparenter gestalten. In einem Umfeld, in dem Compliance auch an der Fähigkeit zur Erklärung und zum Nachweis gemessen wird, dienen diese Maßnahmen sowohl der Rechtssicherheit als auch der Investition in Vertrauen.
Einige rVerweise
- « Sanktion: FREE MOBILE und FREE wurden mit einer Geldstrafe von 42 Millionen Euro belegt. – CNIL – 14. Januar 2026
- « Datenschutzrecht | Regulierungsausblick für Großbritannien Januar 2026 » – Osborne Clarke – Osborne Clarke – 6. Januar 2026
- « Datensicherheit: NEXPUBLICA FRANCE muss 1,700,000 € Strafe zahlen – CNIL – 24. Dezember 2025
- « PRESSEMITTEILUNG Nr. 150/25 – EU-Recht verpflichtet den Betreiber eines Online-Marktplatzes… – Gerichtshof der Europäischen Union – CURIA – Dezember 2025
- « Hin zu einem zweistufigen Haftungsregime für Online-Plattformen: Analyse des EuGH-Urteils im Fall Russmedia – August Debouzy – 8. Dezember 2025
- « Zusammenspiel zwischen Datenschutzgesetz und DSGVO: Der Europäische Datenschutzausschuss verabschiedet Leitlinien » – EDPB – Europäischer Datenschutzausschuss – 2025
- « Österreichs oberstes Gericht erklärt Metas Werbemodell für illegal… – Reuters – Reuters – 18. Dezember 2025
- « Europäische Kommission schlägt Änderungen an der DSGVO vor… im Rahmen des Digitalen Omnibuspakets » – Inside Privacy – Covington & Burling – 20. November 2025
- « Europäische Kommission wegen „massiver Rücknahme“ digitaler Schutzmaßnahmen angeklagt » – The Guardian – The Guardian – 19. November 2025
