Fristenübersicht
Änderungen durch Digital-Omnibus und KI-Omnibus
1. Übersicht
Die EU-Kommission hat am 19. November 2025 den Digital-Omnibus vorgelegt. Dieses Gesetzespaket schlägt Änderungen an mehreren EU-Rechtsakten vor, darunter die KI-Verordnung (AI Act), die DSGVO, den Data Act und die ePrivacy-Richtlinie. Die nachfolgenden Tabellen zeigen die wichtigsten Fristen und deren geplante Änderungen.
Es sollten weiterhin die bisherigen Anforderungen im Blick beibehalten werden, auch wenn eine Verschiebung wahrscheinlich erscheint, da die finale Entscheidung noch aussteht.
Wichtiger Hinweis: Der KI-Omnibus wurde als Verordnung (EU) 2026/1744 am 27. Juli 2026 verbindlich in Kraft gesetzt (EP-Zustimmung 16.06.2026, Rats-Zustimmung 29.06.2026, Veröffentlichung im Amtsblatt 24.07.2026). Die nachfolgenden Fristen sind damit nicht mehr Verhandlungsstand, sondern geltendes Recht
Hinweis:
Der KI-Omnibus (Änderung der KI-Verordnung) ist seit 27.07.2026 in Kraft. Der breitere Digital-Omnibus (DSGVO, Data Act, ePrivacy, Datengesetze) befindet sich nach letztem Kenntnisstand weiterhin im Gesetzgebungsverfahren - hier bitte den aktuellen Stand bei eur-lex.europa.eu prüfen.
2. Fristenkaskade
KI-Verordnung (AI Act):
| Datum | Regelung / Pflicht | Bisherige Frist | Status / Änderung |
|---|---|---|---|
| 02.02.2025 | Verbotene KI-Praktiken (Art. 5) | Unverändert | Keine Änderung |
| 02.02.2025 | KI-Kompetenz / Schulungspflicht (Art. 4) | Neu (2025) | Final abgeschwächt, aber weiterhin verbindlich beibehalten (keine reine Empfehlung) |
| 02.08.2025 | GPAI-Pflichten (Transparenz, Dokumentation) | Unverändert | Keine Änderung |
| 02.08.2025 | Governance & Sanktionen | Unverändert | Keine Änderung |
| 02.12.2026 | Kennzeichnung / Wasserzeichen KI-generierter Inhalte (Art. 50 Abs. 2) | ursprgl. 6-Monats-Übergangsfrist | Final bestätigt: Übergangsfrist auf 3 Monate verkürzt; einheitlicher Stichtag 2. Dezember 2026 (ersetzt beide früher genannten, widersprüchlichen Daten 02.11.2026 und 02.02.2027) |
| 02.12.2026 | Neues Verbot: KI-Systeme zur Erzeugung von CSAM und nicht-einvernehmlichen intimen Darstellungen (Art. 5) | - | Final: neuer Verbotstatbestand, verbindlich ab 2. Dezember 2026 |
| 02.08.2026 → 02.12.2027 | Hochrisiko-KI Anhang III (Bildung, Personal, kritische Infrastruktur) | 02.08.2026 | Final bestätigt: Verschiebung um 16 Monate |
| 02.08.2027 | Übergangsfrist GPAI-Modelle (vor 02.08.2025 in Betrieb) | Unverändert | Keine Änderung |
| 02.08.2027 → 02.08.2028 | Hochrisiko-KI Anhang I (in regulierte Produkte eingebettet: Medizinprodukte, Maschinen, Kfz) | 02.08.2027 | Final bestätigt: Verschiebung um 12 Monate |
| 02.08.2028 | Hochrisiko-KI Anhang I - Konformitätsbewertung | - | Präzisierte Konformitätsbewertung für Produkte; Sonderweg für den Maschinensektor (Herausnahme aus dem AI Act bei gleichwertigem Schutzniveau nach Maschinenverordnung) |
| 01.01.2029 | Berichtspflichten | - | Erste umfassende Überprüfung der Wirksamkeit durch das KI-Amt |
Datenschutz-Grundverordnung (DSGVO):
| Datum | Regelung / Pflicht | Bisherige Frist | Änderung Omnibus |
|---|---|---|---|
| Bei Inkrafttreten | Definition personenbezogener Daten (Art. 4) | - | Präzisierung: empfängerbezogener Personenbezug |
| Bei Inkrafttreten | Meldepflicht Datenpannen (Art. 33) | 72 Stunden | 96 Stunden; nur bei hohem Risiko |
| Bei Inkrafttreten | Single-Entry-Point für Meldungen | - | Neu: zentrale Meldestelle (ENISA) |
| Bei Inkrafttreten | Rechtsgrundlage KI-Training (neuer Art. 88c) | - | Neu: berechtigtes Interesse für KI-Training |
| Bei Inkrafttreten | Verarbeitung sensibler Daten für KI (Art. 9) | - | Neue Ausnahme unter strengen Auflagen |
| -->31.12.2026 | Wegfall DSB-Bestellungspflicht | - | NEU: Geplante Anhebung der Schwellenwerte für Datenschutzbeauftragte im nicht-öffentlichen Bereich (Anpassung § 38 BDSG an Art. 37 DSGVO). - diese Änderung ist noch nicht im Trilog vereinbart und politisch umstritten |
| 11.06.2026 (bereits in Kraft) | Aufsichtsstruktur (KI-MIG) | - | Final: Das KI-Marktüberwachungs- und Innovationsförderungsgesetz ist seit 11.06.2026 in Kraft und regelt die Zuständigkeit der Datenschutzbehörden für KI-Aufsicht (insb. bei Hochrisiko-Systemen) – unabhängig vom noch laufenden EU-Digital-Omnibus-Verfahren |
| -->01.01.2027 | Erleichterte KI-Verarbeitung | - | GEÄNDERT: Einführung neuer Rechtsgrundlagen für die Nutzung sensibler Daten (Art. 9 DSGVO) zur Korrektur von Bias (Verzerrungen) in KI-Modellen. |
| -->Ende 2027 | Zentralisierung der Aufsicht | - | NEU: Abschluss der Reform zur Zusammenführung der Datenschutzaufsicht bei grenzüberschreitenden KI-Verfahren. |
| --Laufend (2026+) | Pseudonymisierung vs. KI | PRÄZISIERT: Neue Leitlinien zur Anonymisierung von Trainingsdaten; bloße Pseudonymisierung reicht nicht mehr für die DSGVO-Freiheit aus. |
ePrivacy / Cookie-Regelungen:
| Datum | Regelung / Pflicht | Bisheriger Stand | Status / Änderung |
|---|---|---|---|
| Offen (Digital Omnibus, noch nicht verabschiedet) | Cookie-Einwilligung, neu in DSGVO (Art. 88a/88b) | Bisher in ePrivacy-Richtlinie Art. 5 Abs. 3 geregelt | Vorschlag: Ein-Klick-Ablehnung, weniger Banner-Pflicht für risikoarme Zwecke (z. B. reine Reichweitenmessung) |
| Offen (Digital Omnibus, noch nicht verabschiedet) | Erneute Cookie-Abfrage | - | Vorschlag: Websites müssen eine Ablehnung mindestens 6 Monate respektieren |
| 12.02.2025 (bereits erfolgt) | ePrivacy-Verordnung | In Verhandlung seit 2017 | Von der EU-Kommission offiziell zurückgezogen - ersetzt durch Überführung der Cookie-Regeln in die DSGVO via Digital Omnibus |
| Laufend | Third-Party-Cookies / Privacy Sandbox | Abschaffung in Chrome angekündigt | Nicht vollzogen: Google hat die Abschaffung in Chrome 2024 aufgegeben (Nutzer-Wahlmodell); nur Safari, Firefox, Edge blockieren standardmäßig |
Cybersicherheit (NIS-2, DORA, CER):
| Datum | Regelung / Pflicht | Bisherige Frist | Änderung Omnibus |
|---|---|---|---|
| Bei Inkrafttreten (Digital Omnibus) | Meldepflichten Sicherheitsvorfälle | Mehrfachmeldung | Vorschlag: Single-Entry-Point ("einmal melden, mehrfach teilen") – noch nicht verabschiedet |
| 06.12.2025 | NIS-2, deutsche Umsetzung | EU-Frist 18.10.2024 (verpasst) | NIS2UmsuCG in Kraft seit 6.12.2025 (Bundestag 13.11.2025, Bundesrat 20.11.2025); BSI-Registrierungsportal seit 6.1.2026, Registrierungsfrist am 6.3.2026 abgelaufen; ca. 29.500 betroffene Einrichtungen |
| 17.01.2025 | DORA (Finanzsektor) | Anwendbar seit 17.01.2025 | Unverändert in Kraft; TLPT-Resilienztests für systemrelevante Institute laufend |
| 17.03.2026 | CER, deutsche Umsetzung | EU-Frist 18.10.2024 (verpasst) | KRITIS-Dachgesetz in Kraft seit 17.3.2026 - ergänzt NIS2UmsuCG um Anforderungen an physische Resilienz kritischer Anlagen |
| 11.09.2026 | Cyber Resilience Act - Meldepflichten | - | Korrigiert (war: „seit Ende 2025"): Ab 11.9.2026 Meldepflicht für aktiv ausgenutzte Schwachstellen (24 h Frühwarnung, 72 h Vollmeldung, 14 Tage Abschlussbericht) über die CRA Single Reporting Platform |
| 11.12.2026 | Cyber Resilience Act - notifizierte Stellen | - | Mitgliedstaaten müssen ausreichende Konformitätsbewertungskapazität sicherstellen (Art. 35 Abs. 2 CRA) |
| 11.12.2027 | Cyber Resilience Act – volle Geltung | - | Verbindliche CE-Kennzeichnung und alle CRA-Kernpflichten für vernetzte Produkte |
| Frühjahr 2026 | NIS-2-Revision | - | EU-Kommission hat erste Vorschläge zur Aktualisierung (u. a. Schwellenwerte) im Rahmen des "Cyber Security Act 2" vorgelegt |
Data Act / Datenrecht:
| Datum | Regelung / Pflicht | Bisherige Frist | Änderung Omnibus |
|---|---|---|---|
| Bei Inkrafttreten | Konsolidierung Datenrechtsakte | Separate Gesetze | Integration in Data Act: Open Data RL, DGA, FFoD-VO |
| 12.09.2025 (Stichtag) | Cloud-Switching & Interoperabilität (ältere Verträge) | Volle Anwendung | Bestandsschutz für Verträge vor diesem Datum. --> AKTUELL: Die meisten Pflichten zur Datenbereitstellung sind bereits in Kraft. |
| Bei Inkrafttreten | Datenvermittlungsdienste | Pflicht | Freiwilliges Regime |
| Bei Inkrafttreten | B2G-Datenzugang | Breiter Zugang | Beschränkung auf echte Notlagen |
| -->02.08.2026 | Interoperabilität | NEU: Harmonisierte Normen für den Datenaustausch zwischen Sektoren treten in Kraft. | |
| -->12.09.2026 | "Access by Design" | NEU: Neue Produkte müssen so konstruiert sein, dass Daten standardmäßig direkt zugänglich sind. | |
| -->12.09.2026 | Vertragsklauseln | NEU: Unfairness-Test für Datenzugangsverträge gilt nun auch für Bestandsverträge (KMU-Schutz). | |
| -->12.01.2027 | Cloud-Wechsel | Ermäßigte, kostenbasierte Gebühren bis dahin zulässig (Art. 29 Abs. 3) | Vollständiges Verbot von Wechsel- und Egress-Gebühren für Cloud-Dienste (Art. 29 Abs. 1 Data Act) |
3. Hinweise
- Die Fristverschiebungen für Hochrisiko-KI sind an die Verfügbarkeit harmonisierter Standards geknüpft. Bei früherer Verfügbarkeit können die Fristen vorgezogen werden.
- Die ursprüngliche Frist 02.08.2026 für Hochrisiko-KI ist hinfällig: Der Omnibus wurde rechtzeitig vor diesem Datum verabschiedet (in Kraft seit 27.07.2026). Es gelten die verschobenen Fristen (02.12.2027 bzw. 02.08.2028).
- Bereits geltende Verbote (verbotene KI-Praktiken seit 02.02.2025) und GPAI-Pflichten (seit 02.08.2025) bleiben unverändert. Durch die Trilog-Einigung wurde Art. 5 (verbotene Praktiken) um ein neues Verbot (Nudifier-Tools / CSAM-generierende Systeme) erweitert. Die bestehenden Verbote bleiben unverändert, aber der Katalog wurde ausgeweitet.
- Der KI-Omnibus (Verordnung (EU) 2026/1744) ist seit 27.07.2026 formell in Kraft. Für den breiteren Daten-Omnibus (COM 837) steht ein Trilog weiterhin aus; die dortigen DSGVO-Änderungen sind weiterhin unsicher.
- Die DSGVO-Änderungen sind politisch umstritten. Endgültige Fassung kann vom Vorschlag abweichen (weiterhin zutreffend, da der DSGVO-Teil des Digital Omnibus noch nicht verabschiedet ist.