Zuletzt aktualisiert: Juni 2025
Die EU Digital Omnibus DSGVO-Reform 2026 schreibt Ihr Compliance-Playbook neu: Das ändert sich tatsächlich
Das Omnibus-Vereinfachungspaket der Europäischen Kommission schlägt die bedeutendsten Änderungen an der DSGVO seit 2018 vor. Wenn Sie den Datenschutz über mehrere Einheiten oder Rechtsordnungen hinweg verantworten, werden einige dieser Änderungen Ihr Verarbeitungsverzeichnis, Ihre DSFA-Prozesse, Ihre Meldefristen bei Datenschutzverletzungen und Ihre Pflichten als Datenschutzbeauftragter unmittelbar betreffen. Diese Seite zeigt auf, was bestätigt ist, was vorgeschlagen wird und was Sie jetzt unternehmen sollten.
EU Digital Omnibus DSGVO-Auswirkungs-Checkliste herunterladenVon Datenschutzteams in Organisationen in über 15 Ländern genutzt, um die DSGVO-Compliance über mehrere Einheiten hinweg zu steuern.
Fünf Compliance-Bereiche, die Ihr Datenschutzprogramm vor 2027 neu beurteilen muss
Der Omnibus-Vorschlag schafft Pflichten nicht ab, sondern gestaltet sie neu. Jede dieser Änderungen erzeugt eine andere Art von Komplexität für Organisationen, die den Datenschutz über mehrere Einheiten und Rechtsordnungen hinweg steuern.
Das Verarbeitungsverzeichnis könnte bedingt werden
Die vorgeschlagene Reform führt neue Schwellenwerte ein, die bestimmte Einheiten (je nach Mitarbeiterzahl und Risikoniveau der Verarbeitung) von der Pflicht zur Führung eines vollständigen Verarbeitungsverzeichnisses befreien könnten. Für Konzerne mit mehreren Einheiten bedeutet dies, dass einige Tochtergesellschaften für eine Befreiung infrage kommen und andere nicht. Das erfordert eine Beurteilung pro Einheit statt einer pauschalen Konzernrichtlinie.
Ein Flugzeughersteller senkte den Verwaltungsaufwand für das Verarbeitungsverzeichnis mit automatisierter Rezertifizierung auf Einheitsebene um 60 %
Flugzeughersteller, gemessen über die ersten 6 Monate des Priverion-Einsatzes
Folgenabschätzungen werden gestrafft, nicht abgeschafft
Der Omnibus-Vorschlag kalibriert neu, welche Verarbeitungstätigkeiten eine vollständige DSFA und welche eine leichtere Prüfung auslösen. Organisationen mit umfangreichen DSFA-Workflows müssen jeden Auslöser einer Folgenabschätzung neu bewerten und festlegen, ob bestehende DSFA vereinfacht werden können oder unter dem neuen Rahmen beibehalten werden müssen.
Medtec sparte über 200 Stunden bei der Vorbereitung auf ISO 27001, einschliesslich der DSFA-Dokumentation
Medtec, Vorbereitung auf ISO 27001 mit den auditfertigen Nachweispaketen von Priverion
Das 72-Stunden-Fenster und die Wesentlichkeitsschwellen könnten sich verschieben
Vorgeschlagene Anpassungen der Meldefristen und Meldeschwellen bei Datenschutzverletzungen bedeuten, dass Ihre Incident-Response-Playbooks möglicherweise neu geschrieben werden müssen. Für Organisationen, die in mehreren Rechtsordnungen tätig sind, verschärft sich die Herausforderung: Der Meldeprozess jeder Tochtergesellschaft muss die aktualisierten Anforderungen widerspiegeln und zugleich eine auditfertige Dokumentation aufrechterhalten.
Tapeze steuert die rund um die Uhr verfügbare Incident-Response über mehrere Einheiten hinweg aus einem einzigen Priverion-Dashboard
Tapeze, Unterstützung des Datenschutzbeauftragten über mehrere Einheiten inklusive Workflows für das Incident-Management
Bestellungsregeln und Mandate des Datenschutzbeauftragten stehen auf dem Prüfstand
Der Vorschlag könnte anpassen, welche Organisationen gesetzlich verpflichtet sind, einen Datenschutzbeauftragten zu bestellen, und den formalen Geltungsbereich der Verantwortlichkeiten des Datenschutzbeauftragten neu definieren. Für Datenschutzbeauftragte auf Konzernebene, die Dutzende Tochtergesellschaften betreuen, könnte dies ein grundlegendes Überdenken der Ressourcenzuteilung, der Mandatsdokumentation und der operativen Werkzeuge bedeuten, auf die sie sich täglich verlassen.
AXA erreichte eine vollständig automatisierte Rezertifizierungsquote von 100 % beim Verarbeitungsverzeichnis und schaffte so Kapazität des Datenschutzbeauftragten für strategische Arbeit
AXA, automatisierte Rezertifizierung über alle Einheiten hinweg mit Priverion
Die Bearbeitung von Betroffenenanfragen könnte neue Gebührenmodelle und Fristen umfassen
Vorgeschlagene Änderungen bei der Bearbeitung von Auskunftsanfragen betroffener Personen könnten Gebührenmechanismen für offensichtlich unbegründete oder exzessive Anfragen einführen und die Antwortfristen anpassen. Organisationen, die Auskunftsanfragen über mehrere Einheiten hinweg bearbeiten, benötigen aktualisierte Workflows, die diese neuen Parameter berücksichtigen und zugleich auditfertige Compliance-Nachweise bewahren.
Unsicher, welche Änderungen Ihren Konzern betreffen?
Unsere Auswirkungs-Checkliste auf Einheitsebene bildet jede vorgeschlagene Änderung auf Ihre konkrete Organisationsstruktur ab.
Auswirkungs-Checkliste herunterladenBasierend auf dem veröffentlichten Omnibus-Vorschlag der Europäischen Kommission mit Stand Juni 2025. Die endgültigen Bestimmungen können sich im Gesetzgebungsverfahren noch ändern. Diese Seite wird laufend aktualisiert, sobald neue Entwicklungen bekannt werden.
200+
Eingesparte Stunden im Management des Verarbeitungsverzeichnisses
Medtec gewann während der Vorbereitung auf ISO 27001 über 200 Stunden zurück, indem das Unternehmen die manuelle Pflege des Verarbeitungsverzeichnisses durch automatisierte Rezertifizierungs-Workflows ersetzte.
60%
Geringere Kosten im Vergleich zu OneTrust
Basierend auf veröffentlichten Preisvergleichen für mittelständische Organisationen, die mehr als 10 Einheiten verwalten. Keine Gebühren pro Nutzer, keine Kostenfallen durch modulare Erweiterungen.
3 Mt.
Dem Zeitplan bei ISO 27001 voraus
Medtec beschleunigte den Zeitplan für die ISO-27001-Zertifizierung um drei Monate, dank der auditfertigen Nachweispakete und der automatisierten Dokumentation von Priverion.
Warum mittelständische Teams OneTrust hinter sich lassen
OneTrust bediente ein breites Käuferprofil, einschliesslich Fortune-500-Organisationen mit grösseren, dedizierten GRC-Teams. Wenn Sie den Datenschutz über 5 bis 50 Tochtergesellschaften steuern, zahlen Sie für eine Komplexität, die Sie nicht brauchen, und kämpfen mit einer Oberfläche, die für jemand anderen entworfen wurde.
Das Erlebnis mit OneTrust
Preise pro Nutzer und pro Modul
Die Kosten steigen jedes Mal, wenn Sie eine Tochtergesellschaft, ein Teammitglied oder ein neues Modul hinzufügen. Die Planbarkeit des Budgets geht verloren.
US-Hauptsitz, globale Infrastruktur
Nach Schrems II erzeugt die Speicherung von Daten Ihres Datenschutzprogramms bei einem US-Anbieter genau das Risiko grenzüberschreitender Datentransfers, das Sie eigentlich vermeiden möchten.
Komplexe Enterprise-Oberfläche
Konzipiert für Teams mit 20 oder mehr Compliance-Fachleuten. Wenn Ihr Datenschutzbeauftragter mehrere Rollen gleichzeitig ausfüllt, kostet allein die Einarbeitung Monate an Produktivität.
Über 200 oberflächliche Integrationen
Beeindruckende Zahl an Konnektoren, doch die meisten erfordern individuelle Konfiguration und laufende Wartung, für die mittelständische Teams kein Personal haben.
Monatelange Implementierung
Enterprise-Einführungszeitpläne, die dedizierte Projektteams und externe Berater voraussetzen.
Das Erlebnis mit Priverion
Planbare, einheitenbasierte Preise
Ein Preis, der sich nach Unternehmen und Organisationsgrösse richtet. Fügen Sie Teammitglieder hinzu, ohne dass Ihre Rechnung wächst. Keine Kostenfallen durch modulare Erweiterungen.
In der Schweiz entwickelt, in der Schweiz gehostet
Europäische Datenhaltung ist kein Häkchen auf einer Liste, sondern unsere Identität. Alle Daten werden innerhalb der Schweizer Infrastruktur verarbeitet, mit Schweizer Datenhaltung.
Für den Datenschutzbeauftragten mit mehreren Rollen entwickelt
Eine aufgeräumte Oberfläche, entworfen für Teams mit 1 bis 5 Personen, nicht für 20. Der Datenschutzbeauftragte eines Flugzeugherstellers war in Wochen statt Monaten einsatzbereit und gewann in den ersten 6 Monaten 60 % der Verwaltungszeit zurück.
Fallstudie Flugzeughersteller, erste 6 Monate nach der Implementierung
Tiefe Integrationen dort, wo es zählt
Wir verbinden uns tief mit HR-, Beschaffungs- und IT-Asset-Management-Systemen, den Workflows, die Datenschutz-Compliance tatsächlich antreiben, statt Hunderte oberflächlicher Konnektoren zu pflegen.
In Wochen einsatzbereit
Kein Heer von Beratern erforderlich. AXA erreichte mit vollständig automatisierten Workflows eine Rezertifizierungsquote von 100 % beim Verarbeitungsverzeichnis. Medtec sparte über 200 Stunden bei der Vorbereitung auf ISO 27001.
Von AXA und Medtec berichtete Ergebnisse
Eine ehrliche Anmerkung: Wir decken weder ESG, Ethik-Hotlines noch Cookie-Einwilligung ab. Wenn Sie das benötigen, könnte OneTrust die richtige Wahl sein. Wir sind für eine Sache gebaut: das konzernweite Management von Datenschutzprogrammen. Und das beherrschen wir aussergewöhnlich gut.
30-minütige Übersicht buchenLaden Sie die EU Digital Omnibus DSGVO-Auswirkungs-Checkliste herunter
Bilden Sie jede vorgeschlagene DSGVO-Änderung auf Ihre konkrete Konzernstruktur ab. Diese Checkliste deckt Schwellenwerte für das Verarbeitungsverzeichnis, Auslöser für DSFA, Aktualisierungen bei der Meldung von Datenschutzverletzungen, Änderungen am Mandat des Datenschutzbeauftragten und Anpassungen der Workflows für Betroffenenanfragen ab, nach Einheitstyp geordnet, damit Sie genau wissen, welche Tochtergesellschaften betroffen sind.
The Privacy Compliance Briefing
Monatliche Einblicke in die Durchsetzung der DSGVO, Aktualisierungen zum revidierten Datenschutzgesetz (DSG) und Automatisierungsstrategien für Datenschutzbeauftragte und Compliance-Teams.
Kein Spam. Jederzeit abbestellbar.
▸ Über diese Seite: Quellen, Definitionen und häufige Fragen
Das Wichtigste auf einen Blick: EU Digital Omnibus DSGVO-Reform 2026
Das Digital-Omnibus-Vereinfachungspaket der Europäischen Kommission schlägt die bedeutendsten Änderungen an der DSGVO seit ihrer Verabschiedung im Jahr 2016 vor. Fünf zentrale Compliance-Bereiche (Verarbeitungsverzeichnis, DSFA, Meldung von Datenschutzverletzungen, Geltungsbereich des Datenschutzbeauftragten und Rechte betroffener Personen) werden neu gestaltet. Organisationen mit mehreren Einheiten müssen jetzt Folgenabschätzungen auf Einheitsebene durchführen, da einige Tochtergesellschaften für Befreiungen infrage kommen und andere nicht. Die endgültige Verabschiedung des Gesetzgebungsverfahrens wird bis 2027 erwartet.
Definitionen
Was ist der EU Digital Omnibus?
Der EU Digital Omnibus (formell das Omnibus-Vereinfachungspaket) ist ein Gesetzgebungsvorschlag der Europäischen Kommission, der den regulatorischen Aufwand für Unternehmen verringern soll, indem mehrere EU-Verordnungen, darunter die DSGVO, geändert werden. Er wurde im Rahmen der Vereinfachungsagenda 2025 der Kommission veröffentlicht. DSGVO-Volltext, EUR-Lex
Was ist ein Verarbeitungsverzeichnis?
Das Verarbeitungsverzeichnis ist das obligatorische Register aller Verarbeitungstätigkeiten personenbezogener Daten, das nach Artikel 30 DSGVO erforderlich ist. Der Omnibus-Vorschlag führt bedingte Schwellenwerte ein, die bestimmte kleinere Einheiten von der Pflicht zur Führung eines vollständigen Verarbeitungsverzeichnisses befreien könnten.
Was ist eine Datenschutz-Folgenabschätzung (DSFA)?
Eine DSFA ist eine Risikobeurteilung, die nach Artikel 35 DSGVO für Verarbeitungsvorgänge erforderlich ist, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen zur Folge haben. Der Omnibus-Vorschlag kalibriert die Auslöser einer DSFA neu, ohne die Pflicht abzuschaffen.
Was ist ein Datenschutzbeauftragter?
Ein Datenschutzbeauftragter ist eine unabhängige Compliance-Funktion, die nach Artikel 37 bis 39 DSGVO erforderlich ist. Der Omnibus könnte anpassen, welche Organisationen einen Datenschutzbeauftragten bestellen müssen, und den formalen Geltungsbereich der Verantwortlichkeiten des Datenschutzbeauftragten neu definieren.
Häufig gestellte Fragen
Was ist der EU Digital Omnibus und wie verändert er die DSGVO?
Der EU Digital Omnibus ist ein Vereinfachungspaket, das die Europäische Kommission Anfang 2025 vorgeschlagen hat und das die DSGVO erstmals seit ihrer ursprünglichen Verabschiedung ändert. Er gestaltet die Pflichten rund um das Verarbeitungsverzeichnis, die Datenschutz-Folgenabschätzung (DSFA), die Meldefristen bei Datenschutzverletzungen, die Bestellungsregeln für Datenschutzbeauftragte sowie die Bearbeitung von Betroffenenanfragen neu. Laut der Europäischen Kommission besteht das Ziel darin, den Verwaltungsaufwand (geschätzt um bis zu 25 % für KMU) zu verringern und gleichzeitig die zentralen Datenschutzstandards aufrechtzuerhalten. DSGVO, EUR-Lex
Wann treten die DSGVO-Änderungen des EU Digital Omnibus in Kraft?
Die Europäische Kommission hat den Omnibus-Vorschlag Anfang 2025 veröffentlicht. Er muss das ordentliche Gesetzgebungsverfahren durchlaufen: erste Lesung im Europäischen Parlament, Standpunkt des Rates und mögliche Trilog-Verhandlungen. Die meisten Fachleute rechnen mit einer endgültigen Verabschiedung und einer Übergangsfrist, die bis 2027 reicht. Organisationen sollten daher jetzt mit Gap-Analysen und der Aktualisierung von Workflows beginnen, statt auf den endgültigen Text zu warten.
Wie wirkt sich der EU Digital Omnibus auf die Anforderungen an das Verarbeitungsverzeichnis aus?
Der Vorschlag führt neue Schwellenwerte ein, die bestimmte Einheiten (je nach Mitarbeiterzahl und Risikoniveau der Verarbeitung) von der Pflicht zur Führung eines vollständigen Verarbeitungsverzeichnisses befreien könnten. Für Konzerngruppen mit mehreren Einheiten entsteht dadurch eine fragmentierte Compliance-Landschaft: Einige Tochtergesellschaften kommen für eine Befreiung vom Verarbeitungsverzeichnis infrage und andere nicht, was eine Beurteilung pro Einheit statt einer pauschalen Konzernrichtlinie erfordert. Laut der IAPP sollten Organisationen mit mehr als 10 Einheiten den Status jeder Tochtergesellschaft gegen die vorgeschlagenen Schwellenwerte abbilden.
Sind DSFA unter der reformierten DSGVO weiterhin erforderlich?
Ja. DSFA werden durch den Omnibus-Vorschlag nicht abgeschafft. Stattdessen kalibriert die Reform neu, welche Verarbeitungstätigkeiten eine vollständige DSFA und welche eine leichtere Prüfung auslösen. Organisationen mit umfangreichen DSFA-Workflows müssen jeden Auslöser einer Beurteilung neu bewerten und festlegen, ob bestehende DSFA vereinfacht werden können oder unter dem neuen Rahmen beibehalten werden müssen. Es wird erwartet, dass der EDSA aktualisierte Leitlinien herausgibt, sobald der endgültige Text verabschiedet ist.
Wie ändert der Omnibus-Vorschlag die Regeln zur Meldung von Datenschutzverletzungen?
Vorgeschlagene Anpassungen könnten das 72-Stunden-Meldefenster nach Artikel 33 DSGVO verschieben und aktualisierte Wesentlichkeitsschwellen dafür einführen, wann eine Datenschutzverletzung den Aufsichtsbehörden gemeldet werden muss. Organisationen, die in mehreren Rechtsordnungen tätig sind, müssen ihre Incident-Response-Playbooks für jede Tochtergesellschaft aktualisieren, um die geänderten Anforderungen widerzuspiegeln und zugleich eine auditfertige Dokumentation aufrechtzuerhalten.
Was sollten Organisationen mit mehreren Einheiten jetzt zur Vorbereitung tun?
Organisationen sollten: (1) eine Folgenabschätzung auf Einheitsebene durchführen, die jede vorgeschlagene Änderung auf ihre konkrete Konzernstruktur abbildet; (2) ihre Workflows für Verarbeitungsverzeichnis und DSFA auf mögliche Vereinfachungen unter den neuen Schwellenwerten prüfen; (3) ihre Playbooks zur Meldung von Datenschutzverletzungen aktualisieren, um die vorgeschlagenen Änderungen bei Fristen und Wesentlichkeit zu berücksichtigen; (4) die Dokumentation des Mandats des Datenschutzbeauftragten und die Ressourcenzuteilung bewerten; und (5) eine zentrale Plattform für das Datenschutzmanagement einführen, um während der Übergangsfrist eine einheitliche Compliance über alle Tochtergesellschaften hinweg sicherzustellen.
Statistiken und Kontext
Laut dem IAPP-EY 2023 Privacy Governance Report wendet die durchschnittliche Organisation jährlich über 1'000 Stunden für DSGVO-Compliance-Tätigkeiten auf. Die Europäische Kommission schätzt, dass das Omnibus-Vereinfachungspaket den Verwaltungsaufwand für kleine und mittlere Unternehmen um bis zu 25 % verringern könnte. Der Jahresbericht 2024 des EDSA hielt fest, dass die Aufsichtsbehörden im gesamten EWR seit Inkrafttreten der DSGVO im Mai 2018 über 160'000 Meldungen von Datenschutzverletzungen bearbeitet haben. Laut Artikel 30 DSGVO gelten die Pflichten zum Verarbeitungsverzeichnis derzeit für alle Verantwortlichen und Auftragsverarbeiter mit mehr als 250 Mitarbeitenden oder für solche, die unabhängig von ihrer Grösse besondere Datenkategorien verarbeiten.
Vergleich: Aktuelle DSGVO vs. vorgeschlagene Omnibus-Änderungen
| Compliance-Bereich | Aktuelle DSGVO (2018) | Vorgeschlagene Omnibus-Änderung |
|---|---|---|
| Verarbeitungsverzeichnis | Erforderlich für alle Verantwortlichen/Auftragsverarbeiter mit 250+ Mitarbeitenden oder Verarbeitung mit hohem Risiko (Art. 30) | Neue bedingte Schwellenwerte nach Mitarbeiterzahl und Risiko der Verarbeitung; einige Einheiten könnten befreit sein |
| DSFA | Erforderlich für Verarbeitung mit hohem Risiko (Art. 35) | Neu kalibrierte Auslöser; Option einer leichteren Prüfung für Tätigkeiten mit geringerem Risiko |
| Meldung von Datenschutzverletzungen | 72-Stunden-Fenster zur Meldung an die Aufsichtsbehörde (Art. 33) | Mögliche Anpassungen der Fristen und aktualisierte Wesentlichkeitsschwellen |
| Bestellung des Datenschutzbeauftragten | Erforderlich für öffentliche Stellen, umfangreiche Überwachung, besondere Kategorien (Art. 37) | Angepasste Bestellungskriterien und neu definierter Geltungsbereich der Verantwortlichkeiten |
| Rechte betroffener Personen | Kostenlos, Antwort innerhalb eines Monats (Art. 12) | Mögliche Gebührenmechanismen für offensichtlich unbegründete/exzessive Anfragen; angepasste Fristen |
