Datenschutz: Neue Regeln für Marketing und KI ab Juni

Ab Juni 2026 gelten verschärfte Regeln für Marketing, KI und Cloud-Nutzung. Unternehmen drohen bei Verstößen hohe Bußgelder.

Besonders Direktmarketing, Künstliche Intelligenz und Cloud-Sicherheit stehen im Fokus von Gesetzgebern und Gerichten. Wer nicht handelt, riskiert hohe Bußgelder.

Strengere Regeln für Werbung und Online-Handel

Ab Juni 2026 verschärfen sich die Anforderungen an Einwilligungen im digitalen Marketing. Die DSGVO verlangt für Werbe-Mails und SMS ein nachweisbares Double-Opt-in-Verfahren. Fehlt die rechtssichere Dokumentation, drohen Sanktionen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes.

Anzeige: Wer die neuen DSGVO-Anforderungen ab Juni 2026 ignoriert, riskiert Bußgelder bis 20 Millionen Euro. Der kostenlose Report zeigt, wie Sie Double-Opt-in, KI-Kompetenz und Cloud-Souveränität rechtssicher umsetzen. Jetzt Compliance-Report anfordern

Viele Unternehmen setzen daher verstärkt auf europäische CRM- und CDP-Systeme. Sie sollen eine DSGVO-konforme Datenspeicherung gewährleisten.

Parallel dazu kommt eine Neuerung im Online-Handel: Ab dem 19. Juni 2026 wird ein spezifischer elektronischer Widerrufsbutton Pflicht. Die Anpassung des Bürgerlichen Gesetzbuches (§ 356a BGB) basiert auf einer EU-Richtlinie. Webseiten und Apps müssen Funktionen mit Begriffen wie „Vertrag widerrufen“ und „Widerruf bestätigen“ vorhalten. Bestehende Widerrufsbelehrungen müssen angepasst werden.

KI-Kompetenz wird zur Pflicht

Die Umsetzung des europäischen KI-Gesetzes (AI Act) erreicht weitere Meilensteine. Bereits seit Februar 2025 müssen Unternehmen laut Artikel 4 die KI-Kompetenz ihrer Mitarbeitenden sicherstellen – unabhängig von Unternehmensgröße oder Risikoklasse der Technologie. Experten empfehlen rollenbasierte Curricula und verweisen auf die ISO 42001 als Zertifizierungsrahmen.

Ab August 2026 werden die Transparenzpflichten aus Artikel 50 des AI Acts bußgeldbewehrt. Verstöße können bis zu 15 Millionen Euro oder drei Prozent des Umsatzes kosten.

Im Fokus stehen auch Sicherheitsrisiken bei neuen Technologien wie MCP-Konnektoren für KI-Modelle. Die Gefahr von Prompt-Injection-Angriffen wächst. Für den Einsatz in professionellen Umgebungen wie SharePoint oder Google Workspace sind Auftragsverarbeitungsverträge nötig.

Digitale Souveränität als Schlüsselthema

Ein zentrales Problem bleibt der Zugriff auf Daten durch Drittstaaten. Der US CLOUD Act erlaubt amerikanischen Behörden unter bestimmten Bedingungen den Zugriff auf Daten bei US-Cloud-Anbietern. Diese kontrollieren rund 70 Prozent des europäischen Marktes. Ein Gutachten der Universität Köln aus dem Jahr 2025 bestätigte die Risiken.

Der EU Data Act verpflichtet Unternehmen seit September 2025 zu verstärktem Schutz vor solchen Zugriffen. Das im Juni 2026 vorgestellte „Tech Sovereignty Package“ der EU führt mit dem Cloud and AI Development Act (CADA) vier Sicherheitsstufen ein. Die Stufen UAL3 und UAL4 sind für sensible Regierungsdaten vorgesehen und verlangen volle europäische Kontrolle.

Branchenanalysten erwarten, dass der Markt für souveräne Cloud-Lösungen bis 2031 auf über 100 Milliarden Euro wächst. Google integriert ab Sommer 2026 Identitätsausweise in seine digitale Wallet. Dänemark hat mit „Altid“ bereits eine eigene EUDI-Wallet gestartet.

Aufsichtsbehörden verschärfen Kontrollen

Die Berliner Verkehrsbetriebe (BVG) bekamen die Konsequenzen mangelnder Kontrolle zu spüren. Die Berliner Datenschutzbeauftragte verwarnte das Unternehmen. Hintergrund: Ein Dienstleister hatte 180.000 Kundendatensätze über das Vertragsende im Januar 2025 hinaus gespeichert. Nach einem Cyberangriff im April 2025 kam es zum Datenabfluss.

Anzeige: Ihre Cloud-Daten sind durch den US CLOUD Act gefährdet – rund 70 Prozent des europäischen Marktes liegen bei US-Anbietern. Der Report liefert einen 5-Schritte-Plan zur EU-souveränen Migration und schützt Ihr Unternehmen vor Datenzugriff durch Drittstaaten. 5-Schritte-Plan jetzt sichern

Die Aufsichtsbehörde stellte klar: Rein vertragliche Löschpflichten reichen nicht. Regelmäßige Kontrollen und die Einhaltung von Meldefristen gemäß Artikel 33 DSGVO sind essenziell.

Auch Registrierungsprozesse stehen unter Beobachtung. Das Landgericht Berlin entschied bereits im März 2025, dass die Einwilligung bei der Registrierung von Google-Konten unwirksam war. Grund: mangelnde Freiwilligkeit und Intransparenz. Google hat Berufung eingelegt, das Verfahren läuft.

An der Spitze der deutschen Aufsichtsbehörden steht ein personeller Wechsel bevor. Die Koalitionsparteien haben sich auf den Freiburger Rechtswissenschaftler Moritz Hennemann als neuen Bundesdatenschutzbeauftragten geeinigt. Hennemann fordert eine ausgewogene Anwendung der DSGVO. Die Wahl im Bundestag steht noch aus.