25 EU-Aufsichtsbehörden prüfen bald Ihre Datenschutzhinweise – Das sollten Sie jetzt optimieren
Wichtige Erkenntnisse
- EDPB 2026 Enforcement fokussiert Transparenz. Rund 25 Datenschutzbehörden in der EU prüfen die DSGVO-Informationspflichten gemäß Artikel 5(1)(a), 12, 13 und 14 durch Fragebögen und Untersuchungen.
- Die meisten Datenschutzhinweise bestehen regulatorische Prüfungen nicht. Unternehmen fehlt es häufig an gestuften Hinweisen, Just-in-Time-Transparenz an Erhebungspunkten und dokumentierten Rechtsgrundlagen inklusive Interessenabwägungen.
- Durchsetzung verschärft sich mit Rekordbußgeldern. DSGVO-Bußgelder erreichten 2025 1,2 Milliarden €, bei einem Anstieg der Meldungen von Datenschutzverstößen um 22 %. Verstöße gegen Transparenzpflichten gehören zu den am häufigsten genannten Gründen.
- KI vergrößert Compliance-Lücken exponentiell. KI-Agenten, die personenbezogene Daten verarbeiten, schaffen neue Offenlegungs- und Erklärpflichten gemäß DSGVO und EU AI Act, die bislang kaum dokumentiert sind.
Stellen Sie sich vor, eine Aufsichtsbehörde kontaktiert Ihr Unternehmen mit einem strukturierten Fragebogen. Die Fragen sind konkret: Können Sie nachweisen, dass betroffene Personen klare, verständliche Informationen zu jedem Zweck der Datenverarbeitung erhalten? Decken Ihre Datenschutzhinweise alle Rechtsgrundlagen ab, einschließlich dokumentierter Interessenabwägungen? Können Sie belegen, dass an jedem Erhebungspunkt Just-in-Time-Transparenz erfolgt – nicht nur auf Ihrer Website, sondern auch in Apps, Formularen, E-Mail-Workflows und KI-gestützten Tools?
Die Prüfung kommt – und die meisten Unternehmen sind nicht vorbereitet
Das ist keine theoretische Annahme. Der Europäische Datenschutzausschuss (EDPB) kündigte im März 2026 an, dass die Coordinated Enforcement Framework-Initiative 2026 den Schwerpunkt auf Transparenz- und Informationspflichten gemäß DSGVO legt. Rund 25 Datenschutzbehörden in der EU und im EWR prüfen, wie Verantwortliche diese Pflichten erfüllen – mit Durchsetzungsmaßnahmen und Ermittlungen, deren Ergebnisse gezielte Folgemaßnahmen in verschiedenen Branchen steuern sollen.
Der DLA Piper GDPR Fines and Data Breach Survey (2026) dokumentierte 2025 Bußgelder in Höhe von 1,2 Milliarden € und einen jährlichen Anstieg der Meldungen von Datenschutzverstößen um 22 % (durchschnittlich 443 pro Tag). Der Fokus der Durchsetzung liegt aktuell auf Artikel 5(1)(a) – Rechtmäßigkeit, Fairness und Transparenz – sowie 5(1)(f) – Integrität und Vertraulichkeit. Die koordinierte Aktion des EDPB zielt direkt auf den ersten dieser beiden Schwerpunkte.
5 Wichtige Erkenntnisse
1. Die koordinierte Durchsetzungsmaßnahme des EDPB 2026 fokussiert Transparenz.
Rund 25 Datenschutzbehörden prüfen gleichzeitig, wie Verantwortliche die Informations- und Transparenzpflichten der DSGVO erfüllen – mittels Untersuchungen, Fragebögen und Erhebungen, die zu formalen Durchsetzungsmaßnahmen führen können. Der Umfang umfasst die Artikel 5(1)(a), 12, 13 und 14. Compliance-Teams, die ihr Unternehmen nicht explizit an diesen Artikeln gespiegelt haben, können ihr Risiko nicht einschätzen.
2. Dies setzt eine Eskalationsreihe fort – keine bloße Orientierungshilfe.
Vorherige CEF-Zyklen behandelten das Auskunftsrecht (2022), die Rolle des DSB (2023) und das Recht auf Löschung (2025). Jeder Zyklus führte zu gezielten Durchsetzungsmaßnahmen. Der Transparenzfokus 2026 signalisiert, dass die Behörden weit verbreitete Lücken erwarten – und die Durchsetzungsdaten bestätigen das: Transparenzverstöße nach Artikel 5(1)(a) gehören zu den am häufigsten genannten Gründen in DSGVO-Entscheidungen.
3. DSGVO-Bußgelder erreichten 2025 1,2 Milliarden € bei 22 % mehr Meldungen.
Das Durchsetzungsumfeld ist so streng wie nie zuvor seit Inkrafttreten der Verordnung. Verstöße gegen Artikel 5(1)(a) und 5(1)(f) rücken immer stärker in den Fokus – genau hier setzt die koordinierte Aktion 2026 an. Unternehmen mit Transparenzlücken geraten in einen Prüfzyklus, der gezielt auf diese Defizite ausgerichtet ist.
4. Die meisten Datenschutzhinweise bestehen den Praxistest der Behörden nicht.
Die Lücke zwischen „wir haben eine Datenschutzerklärung“ und nachweisbarer Compliance mit gestuften Hinweisen, Just-in-Time-Transparenz und zweckbezogenen Rechtsgrundlagen ist der Ursprung vieler Durchsetzungsmaßnahmen. Der Thales Data Threat Report 2026 ergab, dass nur 33 % der Unternehmen genau wissen, wo ihre Daten gespeichert sind – und ohne diese Kenntnis lässt sich die Verarbeitung nicht korrekt beschreiben.
5. KI-Systeme verschärfen das Transparenzproblem exponentiell.
Jeder KI-Agent, der personenbezogene Daten verarbeitet, erzeugt Dokumentations-, Erklärungs- und Transparenzpflichten, die die meisten Unternehmen nicht abgedeckt haben. Die Lücke im KI-Datengovernance trifft direkt auf die Transparenzdurchsetzung des EDPB und die neuen Anforderungen des EU AI Act, die 2026 parallel in Kraft treten.
Welche Data Compliance Standards sind entscheidend?
Jetzt lesen
Was der EDPB tatsächlich prüft
Die Transparenzpflicht nach DSGVO ist keine einzelne Anforderung. Sie umfasst ein gestuftes Bündel von Pflichten aus den Artikeln 5(1)(a), 12, 13 und 14, die Verantwortliche verpflichten, Informationen prägnant, transparent, verständlich, leicht zugänglich und in klarer Sprache bereitzustellen.
In der Praxis prüft der EDPB mehrere Dimensionen: Verantwortliche müssen nachweisen, dass betroffene Personen über die Identität und Kontaktdaten des Verantwortlichen, die Zwecke und Rechtsgrundlagen der Verarbeitung (inklusive Interessenabwägung, falls zutreffend), die Kategorien der verarbeiteten Daten, Empfänger oder Empfängerkategorien, Aufbewahrungsfristen sowie Betroffenenrechte informiert werden. Diese Informationen müssen zum Zeitpunkt der Datenerhebung (Artikel 13) oder innerhalb einer angemessenen Frist bei indirekter Erhebung (Artikel 14) bereitgestellt werden.
Der Thales Data Threat Report 2026 zeigt: Nur 33 % der Unternehmen wissen genau, wo ihre Daten gespeichert sind, und nur 39 % können alle Daten klassifizieren. Wer Daten nicht lokalisieren oder klassifizieren kann, kann die Verarbeitung in Datenschutzhinweisen nicht korrekt beschreiben. Die Transparenzpflicht verlangt eine Spezifizität, die die meisten Data-Governance-Infrastrukturen nicht leisten.
Warum Sie die bisherigen CEF-Zyklen ernst nehmen sollten
Das Coordinated Enforcement Framework ist nicht neu. Der EDPB setzt es seit 2022 jährlich um, stets nach demselben Muster: koordinierte Prüfung, aggregierte Ergebnisse, veröffentlichte Leitlinien und gezielte Durchsetzung in den Folgejahren.
2022 lag der Fokus auf dem Auskunftsrecht (Artikel 15), 2023 auf der Rolle des Datenschutzbeauftragten, 2025 auf dem Recht auf Löschung (Artikel 17). Jeder Zyklus lieferte Einblicke, die die Behörden für künftige Durchsetzungsprioritäten und Entscheidungen nutzten.
Der Transparenzfokus 2026 signalisiert, dass die Behörden weit verbreitete Lücken erwarten – und die Durchsetzungsdaten bestätigen das. Eine Analyse von Aphaia zeigt: Transparenzverstöße gehören zu den am häufigsten genannten Gründen in DSGVO-Durchsetzungsentscheidungen, sind aber zugleich eine der am wenigsten konsequent umgesetzten Kontrollen in Compliance-Programmen.
Die Lücke im Datenschutzhinweis: Wo Unternehmen tatsächlich scheitern
Die Diskrepanz zwischen dem, was Unternehmen glauben zu haben, und dem, was die Behörden erwarten, ist strukturell. Die meisten Unternehmen haben eine Datenschutzerklärung auf ihrer Website. Nur wenige setzen das vollständige Transparenzpaket um, das die DSGVO verlangt.
Gestufte Hinweise fehlen oder sind unvollständig. Artikel 12 verlangt, dass Informationen prägnant, transparent und leicht zugänglich bereitgestellt werden. Für komplexe Verarbeitungen empfiehlt der EDPB seit Langem gestufte Hinweise – eine kurze erste Ebene mit den wichtigsten Infos, verlinkt mit detaillierten Ebenen. Die meisten Unternehmen bieten eine einzige, umfangreiche Datenschutzerklärung, die weder Prägnanz noch Zugänglichkeit erfüllt.
Just-in-Time-Transparenz fehlt. Werden personenbezogene Daten über Formulare, Apps, Chatbots oder KI-Tools erhoben, verlangt Transparenz, dass die relevanten Informationen direkt am Erhebungspunkt bereitgestellt werden – nicht versteckt in einer allgemeinen Datenschutzerklärung. Unternehmen tauschen heute sensible Daten über zahlreiche Kanäle aus – Secure Email, Filesharing, SFTP, Managed File Transfer, APIs, Web-Formulare und KI-Integrationen. Jeder Kanal bringt eigene Transparenzpflichten mit, die eine einzige Datenschutzerklärung nicht abdecken kann.
Rechtsgrundlagen sind unklar dokumentiert. Artikel 13(1)(c) verlangt die Angabe der Rechtsgrundlage für jede Verarbeitung. Viele Unternehmen berufen sich pauschal auf „berechtigtes Interesse“, ohne die Interessenabwägung zu dokumentieren, oder nennen „Einwilligung“ für Verarbeitungen, bei denen diese weder freiwillig noch widerruflich ist. Wird von der Behörde eine Interessenabwägung für eine konkrete Verarbeitung angefordert, ist fehlende Dokumentation bereits ein Befund.
Zweckangaben sind zu allgemein. Die Aussage, personenbezogene Daten würden „zur Verbesserung unserer Services“ verarbeitet, genügt nicht dem Spezifizitätsgebot. Jeder Zweck muss so konkret sein, dass Betroffene nachvollziehen können, was mit ihren Daten geschieht und warum. Der DTEX/Ponemon Insider Threat Report 2026 ergab, dass 92 % der Unternehmen angeben, GenAI habe das Teilen von Informationen verändert – doch die meisten Datenschutzhinweise wurden nicht an KI-gestützte Verarbeitungen angepasst.
KI verschärft das Transparenzproblem exponentiell
Die Transparenzdurchsetzung des EDPB trifft auf Unternehmen, die KI-Systeme einsetzen und damit ganz neue Transparenzpflichten schaffen – die bislang kaum dokumentiert sind.
Jeder KI-Agent, der personenbezogene Daten verarbeitet, löst Pflichten nach DSGVO und künftigem EU AI Act aus. Nach DSGVO müssen Unternehmen das Vorliegen automatisierter Entscheidungen (Artikel 13(2)(f)), wesentliche Informationen zur Logik und die Bedeutung sowie die voraussichtlichen Folgen für Betroffene offenlegen. Nach EU AI Act gelten für Hochrisiko-KI-Systeme ab August 2026 zusätzliche Transparenz- und Dokumentationspflichten.
Der Kiteworks Forecast Report 2026 ergab: 100 % der befragten Unternehmen planen agentenbasierte KI, aber 63 % können keine Zweckbindung für KI-Agenten durchsetzen. Wenn ein KI-Agent personenbezogene Daten ohne Zweckbindung verarbeitet, kann der Verantwortliche den Verarbeitungszweck im Datenschutzhinweis nicht korrekt angeben – eine Compliance-Lücke, die mit jeder nicht dokumentierten KI-Interaktion wächst.
Der Thales Data Threat Report 2026 zeigt: 70 % der Befragten sehen den schnellen Wandel im KI-Ökosystem als größtes KI-Risiko. Transparenzpflichten verlangen, dass Datenschutzhinweise aktuelle Verarbeitungen abbilden. Wenn sich die KI-Landschaft quartalsweise ändert, sind jährliche Überprüfungen strukturell unzureichend.
Das US-Bundesstaaten-Mosaik verschärft die Herausforderung
Die EDPB-Durchsetzung steht nicht isoliert. Unternehmen, die personenbezogene Daten grenzüberschreitend verarbeiten, sehen sich gleichzeitig mit Transparenzpflichten aus mehreren regulatorischen Systemen konfrontiert.
In den USA gelten inzwischen in 19 Bundesstaaten umfassende Datenschutzgesetze, darunter neue wie Indiana, Kentucky und Rhode Island (seit Januar 2026). Die kalifornische CPPA hat Vorschriften zu Automated Decision-Making Technology erlassen, deren Durchsetzung im Januar 2027 beginnt – mit KI-spezifischen Transparenzanforderungen für Unternehmen mit kalifornischen Kunden.
Für Unternehmen, die parallel in der EU und den USA agieren, besteht die Herausforderung darin, konsistente und korrekte Hinweise über verschiedene Rechtsräume hinweg zu gewährleisten – mit teils abweichenden Details, aber ähnlichen Prinzipien. Der Black Kite Third-Party Breach Report 2026 dokumentiert: Von den 50 wichtigsten Dienstleistern hatten 62 % Zugangsdaten in Stealer-Logs und 80 % waren Phishing-gefährdet – das heißt, gerade die Unternehmen mit erhöhtem Melderisiko stehen nach einem Vorfall besonders im Fokus der Transparenzprüfung.
Wie Kiteworks Unternehmen bei der Nachweisführung zur Transparenz-Compliance unterstützt
Jeder sensible Datenaustausch über das Private Data Network von Kiteworks – E-Mail, Filesharing, SFTP, Managed File Transfer, Web-Formulare, APIs und KI-Integrationen – wird in einem zentralen Audit-Trail protokolliert. Dieser Nachweis dokumentiert, wer auf welche Daten, wann, unter welcher Richtlinie und über welchen Kanal zugegriffen hat. Diese Chain-of-Custody-Dokumentation liefert die Beweisgrundlage, die Aufsichtsbehörden verlangen: Nicht nur ein Transparenzversprechen, sondern ein Nachweis jeder Verarbeitung, die ein Datenschutzhinweis beschreibt.
Kiteworks Compliance-Dashboards bieten kontinuierliche Transparenz zum regulatorischen Status über DSGVO, HIPAA, CMMC und weitere Standards hinweg. So können Unternehmen von reaktiver Audit-Vorbereitung auf proaktives Compliance-Management umstellen. Wenn der EDPB-Fragebogen kommt, liefert Kiteworks die Belege – kein Narrativ, sondern ein Protokoll.
Speziell für KI-Governance sorgen der Kiteworks Secure MCP Server und das AI Data Gateway dafür, dass jede KI-Interaktion mit personenbezogenen Daten gesteuert, protokolliert und revisionssicher ist – und damit die Transparenzpflichten aus DSGVO Artikel 13(2)(f) und den Dokumentationsanforderungen des EU AI Act erfüllt werden.
Was Unternehmen vor dem Eintreffen der Aufsichtsbehörde erledigen müssen
Erstens: Prüfen Sie Ihre Datenschutzhinweise anhand der Anforderungen aus Artikel 13 und 14 – nicht anhand Ihrer eigenen Vorlage, sondern am Gesetzestext. Für jede Verarbeitung muss der Hinweis Zweck, Rechtsgrundlage (mit dokumentierter Interessenabwägung), Datenkategorien, Empfänger, Aufbewahrungsfristen und Betroffenenrechte benennen.
Zweitens: Setzen Sie gestufte und Just-in-Time-Transparenz um. Die Website-Datenschutzerklärung ist notwendig, aber nicht ausreichend. Jeder Erhebungspunkt – Web-Formulare, Chatbots, E-Mail-Workflows, Filesharing-Portale, KI-Tools – braucht eine kontextbezogene Information zum Zeitpunkt der Datenerhebung. Die meisten Unternehmen tauschen sensible Daten über sieben oder mehr Kanäle aus; jeder ist eine Transparenzpflicht.
Drittens: Spiegeln Sie Ihre KI-Verarbeitungen an den Transparenzanforderungen. Wenn KI-Agenten personenbezogene Daten verarbeiten, müssen Ihre Datenschutzhinweise das Vorliegen automatisierter Entscheidungen, die Logik und die Folgen offenlegen. Die Transparenzdurchsetzung des EDPB und die Dokumentationspflichten des EU AI Act verlangen: Erklären Sie, was Ihre Systeme mit personenbezogenen Daten tun – gegenüber Behörden und Betroffenen.
Viertens: Stellen Sie Ihre Nachweispakete jetzt zusammen. Wenn der Fragebogen kommt, müssen Sie Verarbeitungsverzeichnisse (ROPA), Interessenabwägungen, Einwilligungsnachweise, Datenschutz-Folgenabschätzungen und Audit-Trails vorlegen können – und nicht erst erstellen. Der Thales-Report zeigt: Nur 6 % der Unternehmen, die eine Prüfung nicht bestanden haben, hatten keine Datenschutzverletzung, gegenüber 30 % der bestandenen. Audit-Bereitschaft ist Prävention.
Fünftens: Etablieren Sie einen Überprüfungsrhythmus, der zu Ihren Verarbeitungsänderungen passt. Wenn Ihr KI-Entwicklungsplan quartalsweise neue Verarbeitungen vorsieht, schaffen jährliche Datenschutzhinweis-Reviews eine strukturelle Transparenzlücke. Integrieren Sie die Überprüfung in Ihr KI-Governance, damit keine neue Verarbeitung ohne Transparenz-Update live geht.
Die koordinierte Durchsetzungsmaßnahme des EDPB ist keine Überraschung – sie ist angekündigt, der Umfang ist veröffentlicht und die Methoden entsprechen den bisherigen CEF-Zyklen. Wer sich jetzt vorbereitet, weist Compliance nach. Wer es nicht tut, liefert die Zahlen für die nächste DLA Piper-Statistik.
Erfahren Sie mehr über den Schutz Ihrer Daten und den Nachweis von Transparenz-Compliance – vereinbaren Sie jetzt eine individuelle Demo.
Häufig gestellte Fragen
Nein. Die koordinierte Durchsetzungsmaßnahme 2026 des EDPB prüft, ob Verantwortliche gestufte Hinweise, Just-in-Time-Transparenz an jedem Erhebungspunkt und zweckbezogene Dokumentation der Rechtsgrundlage bieten. Eine einzelne Datenschutzerklärung genügt nicht für die kontextbezogenen Transparenzpflichten aus Formularen, Apps, E-Mail-Workflows und KI-Tools – jeder Erhebungskanal bringt eigene Pflichten nach Artikel 13 mit sich.
Die DSGVO gilt für jedes Unternehmen, das EU-Personendaten verarbeitet, unabhängig vom Sitz. US-Unternehmen sollten ihre Compliance mit Artikel 13 und 14 prüfen, sicherstellen, dass Datenschutzhinweise alle Zwecke und Rechtsgrundlagen abdecken, und Nachweispakete inklusive ROPA und Interessenabwägungen vorbereiten. Nur 39 % der Unternehmen können laut Thales-Report 2026 alle Daten klassifizieren – eine Lücke, die Transparenz-Compliance direkt untergräbt.
Artikel 13(2)(f) der DSGVO verlangt die Offenlegung automatisierter Entscheidungen und wesentliche Informationen zur Logik. KI-Chatbots, Copilots und Agenten, die personenbezogene Daten verarbeiten, lösen diese Pflicht aus. Der Kiteworks Forecast 2026 ergab, dass 63 % der Unternehmen keine Zweckbindung für KI-Agenten durchsetzen können – die meisten können KI-Verarbeitungen also nicht korrekt im Datenschutzhinweis beschreiben. Das AI Data Gateway und der Secure MCP Server liefern die Governance- und Audit-Infrastruktur, um diese Lücke zu schließen.
Beide verlangen: Erklären Sie, was Ihre Systeme mit personenbezogenen Daten tun. Die DSGVO fordert Transparenz zu Zwecken, Rechtsgrundlagen und automatisierten Entscheidungen. Der EU AI Act verlangt zusätzlich Dokumentation, Konformitätsbewertung und menschliche Aufsicht. Spiegeln Sie KI-Use Cases an beiden Regelwerken mit einem zentralen Audit-Trail und Compliance-Dashboard – getrennte Nachweispakete führen zu doppeltem Aufwand und Inkonsistenzen, die Behörden aufdecken.
Behörden fordern in der Regel Verarbeitungsverzeichnisse (ROPA), Datenschutzhinweise für alle Verarbeitungen, Interessenabwägungen, DPIAs, Einwilligungsnachweise und Belege, dass Transparenzmaßnahmen an jedem Erhebungspunkt umgesetzt sind. Bereiten Sie diese proaktiv vor – die DLA Piper GDPR-Studie zeigt: Prüfungsversagen korreliert direkt mit Datenschutzverletzungen, und das Private Data Network von Kiteworks liefert die konsolidierten, exportierbaren Nachweispakete, die eine Behördenanfrage zur Dokumentationsaufgabe machen – statt zum Notfall.
Weitere Ressourcen
- Blogbeitrag Der Kampf um Ihre Daten: Wie CLOUD- und SHIELD-Acts Sicherheit und Datenschutz gegeneinander ausspielen
- Blogbeitrag Sensible Daten schützen, indem Sie DSPM auf Ihre Compliance-Ziele abstimmen
- Kurzbericht Die 3 häufigsten FERPA-Verstöße und wie Sie sie vermeiden
- Blogbeitrag Executive Order 14117: Schutz sensibler personenbezogener Massendaten von US-Bürgern
- Blogbeitrag Sie brauchen NIS2-Compliance? Beginnen Sie mit ISO 27001
Häufig gestellte Fragen
Der CEF 2026 fokussiert Transparenz- und Informationspflichten gemäß DSGVO-Artikel 5(1)(a), 12, 13 und 14. Rund 25 Datenschutzbehörden in der EU und im EWR nutzen Untersuchungen, Fragebögen und Erhebungen zur Compliance-Prüfung, deren Ergebnisse gezielte Durchsetzungsmaßnahmen steuern.
Die meisten Unternehmen verlassen sich auf eine einzige, umfangreiche Datenschutzerklärung, die gestufte Hinweise, Just-in-Time-Transparenz an jedem Erhebungspunkt (Formulare, Apps, E-Mail, KI-Tools) und spezifische Dokumentation der Rechtsgrundlagen inklusive Interessenabwägung vermissen lässt. Behörden verlangen prägnante, verständliche und zweckbezogene Informationen gemäß Artikel 12.
KI-Agenten, die personenbezogene Daten verarbeiten, lösen nach Artikel 13(2)(f) die Pflicht zur Offenlegung automatisierter Entscheidungen, der Logik und der Folgen aus. Viele Unternehmen haben diese Aktivitäten nicht dokumentiert, und der EU AI Act bringt ab August 2026 zusätzliche Dokumentationspflichten – das verschärft die Herausforderung.
Verantwortliche sollten Verarbeitungsverzeichnisse (ROPA), Datenschutzhinweise für alle Kanäle, Interessenabwägungen, DPIAs, Einwilligungsnachweise und Audit-Trails mit Just-in-Time-Transparenz vorhalten. Proaktive Vorbereitung mit zentralem Logging und Compliance-Dashboards hilft, Durchsetzungsmaßnahmen zu vermeiden.