DSGVO 2026 — Fünf Jahre nach der Reform, eine Bilanz

Die DSGVO-Reform 2021 — formell die Verordnung (EU) 2021/694 zur Anpassung des Konsistenzverfahrens — hat das Verhältnis zwischen den nationalen Aufsichtsbehörden und dem Europäischen Datenschutzausschuss (EDPB) neu geordnet. Fünf Jahre später lässt sich nachsehen, was die Praxis daraus gemacht hat.

Bußgeldvolumen 2021–2026

Die nationalen Aufsichten haben im Berichtszeitraum 2021 bis Q1 2026 zusammengerechnet rund 4,2 Milliarden Euro an Bußgeldern festgesetzt. Davon entfielen knapp 60 Prozent auf zwölf Großverfahren gegen US-amerikanische Konzerne mit europäischem Niederlassungssitz in Irland — Meta, Alphabet, Amazon, TikTok-Eigner ByteDance. Die irische Datenschutzkommission (DPC) bleibt nach Art. 56 DSGVO federführende Behörde für diese Verfahren; das Konsistenzverfahren des Art. 60 wurde in elf Fällen aktiviert.

Die deutsche Bilanz fällt deutlich kleiner aus: gut 410 Millionen Euro über fünf Jahre, verteilt auf die Landesdatenschutzbeauftragten und den Bundesbeauftragten für den Datenschutz und die Informationsfreiheit. Die größten Einzelverfahren betrafen H&M (35,3 Mio., Hamburg), 1&1 Telecom (9,55 Mio., Bonn) sowie die Vonovia SE (3,5 Mio., Düsseldorf).

Konsistenz oder Reibung?

Art. 60 DSGVO sieht vor, dass bei grenzüberschreitenden Verfahren die federführende Aufsicht einen Beschlussentwurf erstellt, den die betroffenen Aufsichtsbehörden (concerned supervisory authorities, CSAs) binnen vier Wochen kommentieren können. Bei Einwänden tritt das Streitbeilegungsverfahren nach Art. 65 in Kraft, in dem der EDPB mit Zweidrittelmehrheit verbindlich entscheidet.

Die Reform 2021 hatte zum Ziel, dieses Verfahren zu beschleunigen — Kritik an der DPC hatte sich vor allem an der mehrjährigen Bearbeitungsdauer von Meta-Verfahren entzündet. In der Praxis hat sich die durchschnittliche Verfahrensdauer für Konzernverfahren von 38 Monaten (2018–2021) auf 23 Monate (2022–2025) reduziert. Das ist eine Verbesserung, bleibt aber weit von den ursprünglich angestrebten zwölf Monaten entfernt.

Drei Linien des EuGH

Drei EuGH-Urteile haben die Auslegungspraxis nachhaltig geprägt:

• C-184/20 (OT, 2022): Klärung, dass „besondere Kategorien personenbezogener Daten” nach Art. 9 DSGVO auch indirekt erkennbare Daten erfasst — etwa wenn aus Vermögens-Angaben eines politischen Mandatsträgers Rückschlüsse auf seine sexuelle Orientierung gezogen werden können.
• C-300/21 (Österreichische Post, 2023): Schadensersatz nach Art. 82 DSGVO setzt einen tatsächlichen immateriellen Schaden voraus — bloße Verletzung der Verordnung ohne Folge genügt nicht.
• C-621/22 (Royal Netherlands Lawn Tennis, 2024): Berechtigtes Interesse nach Art. 6 Abs. 1 lit. f erfasst auch kommerzielle Interessen — eine Klärung, die in der Folge die Praxis der Direktmarketing-Verfahren erheblich verschoben hat.

Stand des Konsistenzverfahrens

Der EDPB hat zwischen Januar 2025 und Mai 2026 dreizehn verbindliche Beschlüsse nach Art. 65 DSGVO erlassen. In neun Fällen folgte er den Einwänden der CSAs gegen den Entwurf der federführenden Aufsicht, in vier Fällen bestätigte er den Entwurf. Die irische DPC hat in sechs der neun Fälle nach EDPB-Entscheidung ihren Bußgeldrahmen angehoben — im Meta-Verfahren 2024 von ursprünglich 1,2 Mrd. auf 1,9 Mrd. Euro.

Was 2026 offen bleibt

Drei Verfahren zur Vorlage beim EuGH sind anhängig: C-118/25 zur Rechtsgrundlage von KI-Trainingsdaten (Vorabentscheidungsersuchen des österreichischen VwGH), C-204/25 zur Reichweite des Art. 17 (Recht auf Vergessen) gegenüber Suchmaschinen-Indizes, und C-301/25 zum Zugriff von Strafverfolgungsbehörden auf Cloud-Daten nach Erlass des Data Act. Wir verfolgen alle drei Verfahren in der nächsten Ausgabe.

Die DSGVO-Reform 2021 hat die Aufsichtspraxis konsolidiert — sie hat sie nicht revolutioniert. Das war nach fünf Jahren auch der erkennbare Bedarf: Verfahrensbeschleunigung, nicht neue Grundrechtsdoktrin.