EU-Digitalrecht: Diese neuen Anforderungen kommen auf Unternehmen ab August 2026 zu

Im August und September 2026 werden mehrere unionsrechtliche Regelungen wirksam, die für Unternehmen mit digitalen Produkten und Dienstleistungen unmittelbare praktische Bedeutung haben. Betroffen sind die Transparenzpflichten für KI-generierte Inhalte, die Geltung der E-Evidence-VO, die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle nach dem CRA sowie die Pflicht zum Datenzugang durch Design nach Art. 3 Abs. 1 Data Act für vernetzte Produkte und verbundene Dienste. Die Regelungswerke verfolgen unterschiedliche Zielsetzungen, betreffen in der Umsetzung aber vielfach dieselben Bereiche: Produktgestaltung, interne Prozesse und vertragliche Dokumentation. Zugleich sind zentrale Auslegungsfragen bislang weder gerichtlich geklärt noch abschließend durch behördliche Leitlinien konkretisiert, so dass Unternehmen ihre Compliance-Maßnahmen unter fortbestehender Rechtsunsicherheit aufsetzen müssen. Der vorliegende Beitrag gibt einen Überblick über die jeweiligen Neuerungen und ihre Auswirkungen und zeigt auf, welche Vorbereitungen Unternehmen kurzfristig treffen sollten.

I. Transparenzpflichten nach Art. 50 KI-VO

Ab dem 2. August 2026 gelten die Transparenzpflichten des Art. 50 KI-VO. Die Vorschrift setzt nicht wie die übrigen Regelungen der KI-VO bei der Risikoeinstufung des Systems an, sondern erfasst grundsätzlich KI-Systeme, die mit Menschen interagieren oder Inhalte für sie erzeugen. Verpflichtet werden sowohl Anbieter als auch Betreiber solcher Systeme.

Anbieter müssen KI-Systeme, die für die direkte Interaktion mit natürlichen Personen bestimmt sind, so gestalten, dass die Nutzer über die Interaktion mit einer KI informiert werden (Abs. 1). Erzeugt ein System synthetische Audio-, Bild-, Video- oder Textinhalte, ist zudem sicherzustellen, dass die Ausgaben maschinenlesbar gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind (Abs. 2). Betreiber trifft demgegenüber eine Offenlegungspflicht, wenn sie Deepfakes verbreiten oder KI-generierte Texte veröffentlichen, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren (Abs. 4). Die Offenlegung muss nach Abs. 5 klar und eindeutig erfolgen, und zwar spätestens zum Zeitpunkt der ersten Interaktion oder Aussetzung.

Als Umsetzungshilfe dient der Code of Practice on Transparency of AI-Generated Content der EU-Kommission. Für Anbieter sieht er grundsätzlich einen mehrschichtigen Kennzeichnungsansatz aus digital signierten Metadaten und einem nicht wahrnehmbaren Wasserzeichen vor, ergänzt um eine Detektionslösung, die Behörden, Medien und Forschungseinrichtungen unentgeltlich zur Verfügung zu stellen ist. Für Betreiber enthält er Vorgaben zu Gestaltung und Platzierung der Kennzeichnung; hierfür steht ein EU-Icon zur freien Verwendung bereit, das zwischen vollständig KI-generierten und lediglich KI-veränderten Inhalten unterscheidet. Der Kodex ist rechtlich nicht bindend und begründet auch bei vollständiger Einhaltung keinen abschließenden Konformitätsnachweis, dürfte in der Aufsichtspraxis aber als Maßstab herangezogen werden.

Zu beachten ist schließlich, dass die im Rahmen des Digital Omnibus vorgesehene Verschiebung von Anwendungsfristen der KI-VO die Transparenzpflichten des Art. 50 KI-VO in ihrer Substanz nicht erfasst (wir berichteten in Datenschutzupdate Nr. 256). Diese gelten unverändert ab dem 2. August 2026. Lediglich für Anbieter generativer KI-Systeme, die ihre Systeme bereits vor diesem Stichtag in Verkehr gebracht haben, ist ein Übergangszeitraum zur Umsetzung der technischen Kennzeichnungsmaßnahmen nach Abs. 2 vorgesehen. Das hierfür genannte Datum des 2. Dezember 2026 ist allerdings nicht endgültig festgelegt, sondern Teil der noch laufenden Digital-Omnibus-Verhandlungen, in denen auch der 2. November 2026 und der 2. Februar 2027 im Gespräch sind. Unternehmen sollten daher nicht darauf vertrauen, dass sich der Umsetzungsdruck durch den Omnibus allgemein entspannt.

II. Inkrafttreten E-Evidence-VO

Am 18. August 2026 werden die zentralen Vorschriften der Verordnung (EU) 2023/1543 („E-Evidence-VO") anwendbar. Die Verordnung ermöglicht es Strafverfolgungsbehörden erstmals, elektronische Beweismittel unmittelbar bei Diensteanbietern in anderen Mitgliedstaaten anzufordern, ohne den bislang üblichen Weg über Europäische Ermittlungsanordnungen oder sonstige Rechtshilfeersuchen zu beschreiten.

Kernstück der Verordnung sind zwei Instrumente. Mit der Europäischen Herausgabeanordnung (EPOC) können Justizbehörden die Übermittlung elektronischer Daten verlangen; die Frist beträgt grundsätzlich zehn Tage, in Notfällen lediglich acht Stunden. Die Europäische Sicherungsanordnung (EPOC-PR) verpflichtet demgegenüber zur vorläufigen Sicherung der Daten für zunächst 60 Tage, um deren Löschung oder Veränderung bis zu einer späteren Herausgabe zu verhindern. Die materiellen Voraussetzungen richten sich nach der betroffenen Datenkategorie: Während Teilnehmerdaten grundsätzlich bei Verdacht jeder Straftat angefordert werden können, setzt der Zugriff auf Verkehrs- und Inhaltsdaten eine im Anordnungsstaat mit mindestens drei Jahren Freiheitsstrafe bedrohte Tat oder bestimmte internetbezogene Delikte voraus.

Der Adressatenkreis ist weit. Der Begriff des Diensteanbieters nach Art. 3 Nr. 3 E-Evidence-VO folgt einem funktionalen Ansatz und erfasst neben klassischen Telekommunikationsunternehmen auch Messenger- und E-Mail-Dienste, Anbieter von Domainnamen- und IP-Diensten sowie andere Dienste der Informationsgesellschaft. Zu letzteren zählen bereits Plattformen mit lediglich integrierter Kommunikationsfunktion, etwa Online-Marktplätze mit Nachrichtensystemen oder Gaming-Angebote, sowie Cloud- und Hosting-Dienste, bei denen Datenspeicherung oder -verarbeitung einen wesentlichen Bestandteil des Angebots bildet. Auch vermeintlich unentgeltliche Dienste fallen in den Anwendungsbereich, da datengetriebene Geschäftsmodelle dem Entgeltmerkmal genügen.

III. Meldepflichten nach Art. 14 CRA

Der Cyber Resilience Act („CRA") begründet erstmals verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen. Vollständig anwendbar wird die Verordnung erst ab dem 11. Dezember 2027 (wir berichteten in Datenschutzupdate Nr. 243). Die Meldepflichten des Art. 14 CRA gelten jedoch bereits ab dem 11. September 2026 und sind damit der erste Pflichtenkomplex, dem Hersteller in der Praxis nachkommen müssen.

Der CRA richtet sich an sämtliche Wirtschaftsakteure, die Produkte mit digitalen Elementen auf dem Unionsmarkt bereitstellen. Der Schwerpunkt der Regulierung liegt bei den Herstellern. Als solche gelten nicht nur klassische Hardwareproduzenten, sondern auch Anbieter von Software sowie Unternehmen, die Produkte unter eigener Marke vertreiben. Nach den FAQ der EU-Kommission können sowohl Standalone-Software als auch Firmware und zahlreiche Hardwareprodukte erfasst sein, während reine Websites und eigenständige SaaS-Angebote regelmäßig nicht unter den CRA fallen, sofern sie nicht als Datenfernverarbeitungslösung Bestandteil eines Produkts mit digitalen Elementen sind. Die Meldepflichten des Art. 14 CRA treffen ausschließlich Hersteller.

Inhaltlich verlangt Art. 14 CRA die Meldung zweier Ereignistypen: aktiv ausgenutzter Schwachstellen in einem Produkt mit digitalen Elementen sowie schwerwiegender Sicherheitsvorfälle, die sich auf dessen Sicherheit auswirken. Die Meldung erfolgt gestuft und über eine einheitliche Meldeplattform an das jeweils zuständige CSIRT und die ENISA. Zunächst ist binnen 24 Stunden nach Kenntniserlangung eine Frühwarnung abzugeben, innerhalb von 72 Stunden folgt eine Schwachstellen- beziehungsweise Vorfallmeldung mit näheren Angaben zu Art, Auswirkungen und ergriffenen Abhilfemaßnahmen; ein Abschlussbericht ist bei Schwachstellen binnen eines Monats nach der Meldung, bei Sicherheitsvorfällen binnen eines Monats nach der 72-Stunden-Meldung vorzulegen. Ergänzend sind die betroffenen Nutzer über den Vorfall und erforderliche Korrekturmaßnahmen zu unterrichten.

Für die praktische Umsetzung sind neben den CRA-FAQ, die als fortlaufend ergänztes Dokument geführt werden, insbesondere die Durchführungsvorschriften zur technischen Ausgestaltung des Meldeverfahrens heranzuziehen.

IV. Pflicht der Zugänglichmachung gem. Art. 3 Abs. 1 Data Act

Der Data Act gilt bereits seit dem 12. September 2025. Die Pflicht zum Datenzugang durch Design nach Art. 3 Abs. 1 DA greift jedoch gemäß Art. 50 Abs. 3 DA erst für vernetzte Produkte und die mit ihnen verbundenen Dienste, die nach dem 12. September 2026 in Verkehr gebracht werden. Bestandsprodukte bleiben insoweit unberührt; der Zugangsanspruch des Nutzers gegen den Dateninhaber nach Art. 4 Abs. 1 DA konnte demgegenüber schon seit September 2025 geltend gemacht werden.

Art. 3 Abs. 1 DA verlangt, dass Konzeption, Herstellung und Erbringung vernetzter Produkte und verbundener Dienste so erfolgen, dass die bei der Nutzung erzeugten Daten für den Nutzer standardmäßig einfach, sicher, unentgeltlich sowie in einem umfassenden, strukturierten, gängigen und maschinenlesbaren Format zugänglich sind. Soweit relevant und technisch durchführbar, muss der Zugang unmittelbar aus dem Produkt oder Dienst heraus möglich sein. Adressat ist der Hersteller. Da die Anforderung bereits in der Produktentwicklung zu berücksichtigen ist, betrifft sie Produktarchitektur, Schnittstellen und Datenformate und lässt sich nachträglich regelmäßig nicht ohne erheblichen Aufwand abbilden. Ergänzt wird sie durch die vorvertraglichen Informationspflichten nach Art. 3 Abs. 2 und 3 DA, die unter anderem Angaben zu Art, Umfang und Format der erzeugten Daten sowie zur Inhaberschaft von Geschäftsgeheimnissen verlangen.

V. Handlungsempfehlungen für Unternehmen

1. Betroffenheit klären

Die neuen Pflichten knüpfen an Rollen an, die sich nicht immer mit der bisherigen Selbsteinordnung eines Unternehmens decken. Wer einen Chatbot lediglich entwickeln lässt und unter eigenem Namen einsetzt, kann als Anbieter nach der KI-VO gelten; eine Plattform mit bloßer Nachrichtenfunktion kann Diensteanbieter sein (E-Evidence); auch reine Softwareanbieter sind Hersteller (CRA). Unternehmen sollten daher ihr Produkt- und Leistungsportfolio durchgehen und für jedes Angebot festhalten, welche Pflichten greifen. In Konzernstrukturen ist zusätzlich zu klären, welche Gesellschaft die Pflicht trifft und wer sie operativ umsetzt.

2. Technische und organisatorische Umsetzung rechtzeitig anstoßen

Ein Großteil der Anforderungen lässt sich nicht kurzfristig nachholen. Kennzeichnungslösungen für KI-generierte Inhalte, Datenzugangsschnittstellen in vernetzten Produkten oder Prozesse zur Schwachstellenerkennung müssen entwickelt, getestet und in bestehende Systeme eingebunden werden. Ebenso sollten Muster und Textbausteine für Hinweise und Meldungen vorbereitet und Vertragswerke sowie Produktinformationen angepasst werden. Wo Fristen kurz sind – etwa acht Stunden für Herausgabeanordnungen in Notfällen oder 24 Stunden für die Frühwarnung bei aktiv ausgenutzten Schwachstellen – ist ein eingespielter Ablauf wichtiger als eine ausführliche Verfahrensbeschreibung.

3. Zuständigkeiten benennen und Umsetzung dokumentieren

Die Pflichten verteilen sich über Produktentwicklung, IT-Sicherheit, Recht, Marketing und Kommunikation. Unternehmen sollten festlegen, welche Funktion für welche Anforderung verantwortlich ist und wer im Anordnungs- oder Vorfallsfall kurzfristig erreichbar und entscheidungsbefugt ist; für die E-Evidence-VO ist die Benennung eines Adressaten ohnehin gesetzlich vorgeschrieben. Getroffene Maßnahmen und die zugrunde liegenden Erwägungen sollten nachvollziehbar festgehalten werden, um sie gegenüber Behörden und Vertragspartnern belegen zu können. Da Leitlinien, Verhaltenskodizes und FAQ der Kommission fortlaufend ergänzt werden und mit dem Digital Omnibus weitere Änderungen absehbar sind, empfiehlt sich eine regelmäßige Überprüfung des Umsetzungsstands.

VI. Fazit und Ausblick

Der August und September 2026 bringen für Unternehmen mit digitalen Produkten und Dienstleistungen eine Reihe unmittelbar wirksamer Pflichten. Trotz unterschiedlicher Regelungsziele überschneiden sich die Umsetzungsanforderungen: Sie betreffen die Produktgestaltung, technische Schnittstellen und Kennzeichnungslösungen, interne Melde- und Reaktionsprozesse sowie die begleitende Dokumentation. Wer diese Themen bislang getrennt bearbeitet hat, sollte prüfen, ob sich Aufwand durch eine gemeinsame Betrachtung reduzieren lässt.

Zugleich bleibt die Rechtslage in Bewegung. Zentrale Begriffe sind bislang weder gerichtlich geklärt noch abschließend durch behördliche Leitlinien konkretisiert, und mit dem Digital Omnibus stehen weitere Änderungen im Raum, deren endgültiger Zuschnitt derzeit nicht absehbar ist. Für die Praxis bedeutet dies, dass Compliance-Konzepte anpassungsfähig ausgestaltet und in regelmäßigen Abständen überprüft werden sollten. 

Dieser Beitrag wurde in Zusammenarbeit mit unserer stud. Mitarbeiterin Emily Bernklau erstellt.