DSGVO-Konformität: Was die jüngsten europäischen Sanktionen und Entscheidungen zeigen
Lesezeit: 7 min
Die DSGVO wird bald acht Jahre alt , ist aber nach wie vor ein heißes Thema. Die letzten drei Monate haben Marketing-, Produkt-, Daten- und Sicherheitsteams viele nützliche Informationen geliefert. Einerseits verfolgen die nationalen Behörden eine Sanktionspolitik , die sowohl große Unternehmen als auch Lösungsanbieter ins Visier nimmt. Andererseits präzisiert das europäische Recht weiterhin die Rolle von Plattformen , während Brüssel Anpassungen prüft, die die digitale Landschaft „vereinfachen“ sollen.
Dieser Artikel fasst die wichtigsten Ereignisse der letzten Monate zusammen und leitet daraus konkrete Lehren für Organisationen ab, die personenbezogene Daten verarbeiten.
Die Rückkehr zu einem einfachen Thema: Sicherheit
Ende 2025 und Anfang 2026 rückten mehrere Entscheidungen die Sicherheit wieder in den Mittelpunkt der Compliance. Die französische Datenschutzbehörde CNIL verhängte gegen NEXPUBLICA FRANCE, den Herausgeber eines CRM-Systems für den Sozialsektor, Sanktionen wegen unzureichender Sicherheitsmaßnahmen. Die Botschaft ist altbekannt, aber nach wie vor gültig: Wenn Daten in Software zirkulieren, die von zahlreichen Organisationen genutzt wird, ist Sicherheit nicht nur ein technischer Aspekt. Sie wird zu einer vertraglichen Verpflichtung , einem operationellen Risiko und letztlich zu einer Frage der Compliance.
Wenige Wochen später verhängte die französische Datenschutzbehörde CNIL nach einem Datenleck sehr hohe Bußgelder gegen Free Mobile und Free. Entscheidend ist dabei neben der Höhe des Bußgeldes die Bewertung der Angemessenheit der Sicherheitsmaßnahmen. Die DSGVO verlangt keine absolute Fehlerfreiheit. Sie erwartet einen kohärenten, risikobasierten Ansatz, der Kontrollen, Erkennung, Reaktion und Beweissicherung umfasst.
Dieser Hinweis gilt auch für Marketingabteilungen. Jede Datenaktivierung basiert auf einer Verarbeitungskette . Ein Vorfall bei einem Dienstleister oder Herausgeber kann zu einer Vertrauenskrise für die Marke führen. Die DSGVO unterscheidet in der öffentlichen Wahrnehmung nicht zwischen den verschiedenen Quellen der Datenschutzverletzung.
Plattformen: Die Grenze zwischen „einfachem Hosting-Anbieter“ und „einfachem Hoster“ verschwimmt.
Am 2. Dezember 2025 erließ der Gerichtshof der Europäischen Union ein Urteil, das für alle Marktplatzbetreiber und darüber hinaus für Plattformen, die von Dritten bereitgestellte Inhalte veröffentlichen, von Bedeutung ist. Der Kernpunkt lautet: Der Betreiber kann gemäß der DSGVO direkt verantwortlich gemacht werden, wenn Anzeigen personenbezogene Daten, einschließlich sensibler Daten, enthalten.
Die Auswirkungen auf den Betrieb sind für die Produktsteuerung erheblich. Eine Plattform muss technische und organisatorische Maßnahmen implementieren, um potenziell riskante Inhalte vor der Veröffentlichung zu erkennen oder zumindest deren Verbreitung zu reduzieren. Diese Anforderung geht über einen einfachen Meldebutton hinaus. Sie umfasst Formulargestaltung, Moderationsregeln, automatisierte Kontrollen und Dokumentationen, die die Einhaltung der Vorschriften belegen.
Diese Entwicklung verstärkt einen bereits erkennbaren Trend : Je stärker eine Plattform die Veröffentlichung gestaltet und Interaktionen monetarisiert, desto mehr verliert das Argument der einfachen Rolle des Vermittlers an Überzeugungskraft.
Gezielte Werbung: Rechtsstreitigkeiten beschleunigen die Forderung nach Transparenz
Ein weiteres Signal ergab sich im Dezember 2025 mit einem Urteil des österreichischen Obersten Gerichtshofs zu Meta- und personalisierter Werbung. Die Urteilsbegründung betont zwei Punkte: die Erhebung sensibler Daten ohne ausdrückliche Einwilligung und das Recht des Nutzers, einen vollständigen Überblick über seine Daten, deren Quellen und Empfänger zu erhalten.
Für MarTech- Teams liegt die wichtigste Erkenntnis im Nachweismanagement. Unternehmen müssen die Regeln nicht nur einhalten, sondern auf Anfrage auch die Quellen, Rechtsgrundlagen, Datenflüsse und Zwecke der Datenverarbeitung erläutern können. Datenarchitekturen mit einer Vielzahl von Anreicherungen, Abgleichen und Segmentierungen verlieren schnell ihre Lesbarkeit. Bei einer Zugriffsanfrage ist diese Lesbarkeit jedoch genauso wichtig wie die anfängliche Einhaltung der Regeln.
DSA und DSGVO: Die Aufsichtsbehörde strebt nach Einheitlichkeit
Die regulatorischen Rahmenbedingungen beschränken sich nicht mehr allein auf die DSGVO. Das Gesetz über digitale Dienste (Digital Services Act, DSA) verpflichtet viele Online-Dienste zu neuen Maßnahmen . Im November 2025 verabschiedete der Europäische Datenschutzausschuss Leitlinien zum Verhältnis zwischen DSA und DSGVO.
Diese Haltung hat konkrete Konsequenzen. Sie zielt darauf ab, einen „Doppelstandard“ zwischen zwei Texten zu vermeiden, die mitunter dieselben Maßnahmen aus unterschiedlichen Perspektiven fordern: Transparenz, Beschwerdemanagement, Protokollierung bestimmter Vorgänge und Zusammenarbeit mit Behörden. Für Organisationen besteht die Herausforderung darin, die Anforderungen miteinander zu verknüpfen. Ein Produktteam kann Kontrollen, Indikatoren und Prozesse konsolidieren, anstatt zwei parallele Compliance-Programme zu entwickeln.
Die DSGVO „vereinfachen“: Die Debatte flammt in Brüssel wieder auf.
Im November 2025 legte die Europäische Kommission ein sogenanntes „ Digital Omnibus “-Paket vor, das auf die Anpassung verschiedener digitaler Vorschriften abzielt. Analysen und Presseartikel diskutierten Vorschläge, die den Datenschutz unmittelbar betreffen, wobei ein wiederkehrendes Argument die Entlastung von Unternehmen, insbesondere kleinen, zum Ziel hat.
Die Angelegenheit bleibt politisch. Jede Überarbeitung der DSGVO erfordert einen langwierigen institutionellen Prozess und ein sensibles Abwägen zwischen Wettbewerbsfähigkeit und Grundrechten. Für Fachleute bedeutet diese Debatte vor allem eine Phase der Unsicherheit. Die erfahrensten Akteure profitieren von einer soliden Compliance-Strategie. Eine mögliche Lockerung der Regeln wird weder die Kundenerwartungen noch Reputationsrisiken oder die in Ausschreibungen enthaltenen vertraglichen Anforderungen beseitigen.
Ein gemeinsamer Nenner: Die Qualität der Regierungsführung macht den Unterschied.
Diese Nachrichten weisen einen gemeinsamen Nenner auf. Sanktionen stellen als unzureichend erachtete Sicherheitsmaßnahmen infrage. Gerichte klären die Verantwortlichkeiten von Plattformen. Streitigkeiten um Werbung erfordern mehr Transparenz. Europäische Leitlinien streben eine Angleichung der Regulierungen an.
Für wachstumsorientierte Unternehmen besteht die Herausforderung darin, diesen Kontext in einen Vorteil zu verwandeln. Eine solide DSGVO-Governance vereinfacht Produktentscheidungen, sichert Datenpartnerschaften, reduziert Reibungsverluste bei der Einwilligung und schützt letztendlich die Marke.
Tatsächlich stechen drei Projekte besonders hervor.
- Die erste Aufgabe besteht in der eigentlichen Abbildung der Datenflüsse. Viele Teams verfügen über „theoretische“ Diagramme. Entscheidungen und Vorfälle legen jedoch die „realen“ Datenflüsse offen: Exporte, Synchronisierungen, Anreicherungen, technischer Zugriff und Subunternehmer.
- Der zweite Schwerpunkt liegt auf der Sicherheit im weitesten Sinne: Zugriffsrichtlinien, Protokollierung, Tests, Alarmierungsverfahren, Patch-Management und schließlich die Fähigkeit, alles nachzuweisen.
- Der dritte Schwerpunkt liegt auf handlungsorientierter Transparenz: verständliche Informationen, konsistente Auswahlmöglichkeiten in den Benutzeroberflächen und die Fähigkeit, ohne Improvisation auf die Wünsche der Nutzer zu reagieren.
Fazit
Die letzten drei Monate haben eine einfache Tatsache bestätigt: Die DSGVO schreitet in der Praxis voran, angetrieben durch Audits, Entscheidungen und Klarstellungen. Sicherheit bleibt ein Hauptgrund für Sanktionen. Plattformen sehen sich einer zunehmenden Verantwortung ausgesetzt. Gezielte Werbung führt weiterhin zu Rechtsstreitigkeiten, die mehr Transparenz fordern. Gleichzeitig strebt die Europäische Union eine Angleichung ihrer digitalen Vorschriften an und entfacht im Hintergrund die Debatte über „Vereinfachung“ neu.
Für Marketing- und Technologie-Teams bleibt die beste Strategie pragmatisch: Governance stärken, Sicherheit konsolidieren und Datenflüsse transparenter gestalten. In einem Umfeld, in dem Compliance auch an der Fähigkeit zur Erklärung und zum Nachweis gemessen wird, dienen diese Maßnahmen sowohl der Rechtssicherheit als auch der Investition in Vertrauen.
Einige rVerweise
- « Sanktion: FREE MOBILE und FREE wurden mit einer Geldstrafe von 42 Millionen Euro belegt. – CNIL – 14. Januar 2026
- « Datenschutzrecht | Regulierungsausblick für Großbritannien Januar 2026 » – Osborne Clarke – Osborne Clarke – 6. Januar 2026
- « Datensicherheit: NEXPUBLICA FRANCE muss 1,700,000 € Strafe zahlen – CNIL – 24. Dezember 2025
- « PRESSEMITTEILUNG Nr. 150/25 – EU-Recht verpflichtet den Betreiber eines Online-Marktplatzes… – Gerichtshof der Europäischen Union – CURIA – Dezember 2025
- « Hin zu einem zweistufigen Haftungsregime für Online-Plattformen: Analyse des EuGH-Urteils im Fall Russmedia – August Debouzy – 8. Dezember 2025
- « Zusammenspiel zwischen Datenschutzgesetz und DSGVO: Der Europäische Datenschutzausschuss verabschiedet Leitlinien » – EDPB – Europäischer Datenschutzausschuss – 2025
- « Österreichs oberstes Gericht erklärt Metas Werbemodell für illegal… – Reuters – Reuters – 18. Dezember 2025
- « Europäische Kommission schlägt Änderungen an der DSGVO vor… im Rahmen des Digitalen Omnibuspakets » – Inside Privacy – Covington & Burling – 20. November 2025
- « Europäische Kommission wegen „massiver Rücknahme“ digitaler Schutzmaßnahmen angeklagt » – The Guardian – The Guardian – 19. November 2025
