DSGVO nach acht Jahren: Lehren und Ausblick

Acht Jahre des einflussreichsten Datenschutzgesetzes der Welt

Am 25. Mai 2018 trat die Datenschutz-Grundverordnung in der gesamten Europäischen Union in Kraft. Acht Jahre später ist die DSGVO das folgenreichste Technologiegesetz der Geschichte — nicht weil sie perfekt wäre, sondern weil sie die weltweite Debatte über Datenschutz, Unternehmensverantwortung und individuelle Rechte im digitalen Zeitalter grundlegend verändert hat.

Die Zahlen erzählen einen Teil der Geschichte. Bis zum 1. März 2026 hatten die europäischen Datenschutzbehörden laut dem CMS GDPR Enforcement Tracker Report 2026 Geldbußen von rund 6,1 Milliarden Euro in mehr als 2.600 erfassten Entscheidungen verhängt. Allein gegen Meta wurden wegen verschiedener Verstöße über 2,5 Milliarden Euro verhängt. Amazon, Google, TikTok und Dutzende weitere Unternehmen mussten Bußgelder zwischen einigen Tausend und Hunderten Millionen Euro zahlen. Doch die eigentliche Wirkung der DSGVO reicht weit über Geldbußen hinaus.

Was funktioniert hat

Globale Maßstäbe setzen: Die größte Errungenschaft der DSGVO ist womöglich ihre Wirkung über die EU hinaus. Brasiliens LGPD, die Novellen des japanischen APPI, die Aktualisierungen des südkoreanischen PIPA, Indiens DPDP Act und Dutzende weitere nationale Datenschutzgesetze wurden direkt nach den Grundsätzen der DSGVO gestaltet. Die Verordnung hat eine weltweite Grundlinie für den Datenschutz geschaffen, die es vorher nicht gab.

Verändertes Unternehmensverhalten: Vor der DSGVO behandelten die meisten Unternehmen personenbezogene Daten als kostenlose Ressource, die ohne nennenswerte Grenzen gesammelt, kombiniert und zu Geld gemacht werden konnte. Die DSGVO hat Rechenschaftspflicht zur gesetzlichen Vorgabe gemacht. Unternehmen beschäftigen heute Datenschutzbeauftragte, führen Datenschutz-Folgenabschätzungen durch und pflegen Verzeichnisse von Verarbeitungstätigkeiten — nicht aus gutem Willen, sondern weil das Gesetz es verlangt und die Sanktionen bei Verstößen spürbar sind.

Bewusstsein für individuelle Rechte: Das Auskunftsrecht, das Recht auf Löschung, das Recht auf Datenübertragbarkeit — vor der DSGVO waren das obskure juristische Abstraktionen. Heute nehmen europäische Bürger diese Rechte ganz selbstverständlich wahr. Auskunftsersuchen sind zu einem Standardwerkzeug geworden, mit dem Einzelne verstehen und kontrollieren, wie ihre Daten genutzt werden.

Privacy by Design: Die Vorgabe der DSGVO, Datenschutz von Anfang an in Systeme einzubauen — statt ihn nachträglich anzuflanschen —, hat weltweit beeinflusst, wie Produkte in der Tech-Branche gestaltet und entwickelt werden.

Was nicht funktioniert hat

Uneinheitliche Durchsetzung: Die größte strukturelle Schwäche der DSGVO ist ihre Abhängigkeit von nationalen Datenschutzbehörden mit sehr unterschiedlichen Ressourcen, Prioritäten und politischer Unabhängigkeit. Die irische Data Protection Commission, die wegen der EU-Hauptsitze in Dublin für die meisten großen US-Tech-Konzerne zuständig ist, wurde wiederholt für langsame Ermittlungen und nachsichtige Durchsetzung kritisiert. Der One-Stop-Shop-Mechanismus, der grenzüberschreitende Fälle straffen sollte, hat oft eher Engpässe als Effizienz erzeugt.

Ressourcenlücken bei den Behörden: Viele nationale Aufsichtsbehörden sind nach wie vor chronisch unterfinanziert. Die Lücke zwischen den ehrgeizigen Anforderungen der DSGVO und den Mitteln zu ihrer Durchsetzung gehört zu den hartnäckigsten Problemen der Verordnung. Kleine Behörden können es mit multinationalen Konzernen mit unbegrenzten Rechtsbudgets schlicht nicht aufnehmen.

Cookie-Einwilligungsmüdigkeit: Das Cookie-Banner ist zur sichtbarsten — und meistkritisierten — Erscheinungsform der DSGVO geworden. Die Einwilligungsanforderungen der Verordnung sind im Grundsatz richtig, doch ihre Umsetzung über Cookie-Pop-ups voller Dark Patterns hat Nutzer ermüdet und das öffentliche Bild der Datenschutzregulierung beschädigt. Das ist weitgehend ein Versagen der Durchsetzung gegen manipulative Einwilligungsgestaltung, nicht der Verordnung selbst.

Compliance-Last für KMU: Kleine und mittlere Unternehmen tragen im Verhältnis zu ihrem tatsächlichen Verarbeitungsrisiko eine unverhältnismäßige Compliance-Last. Kritisiert wird, dass die Verordnung nach dem Prinzip „ein Rahmen für alle“ ein Zwei-Personen-Start-up genauso behandelt wie einen multinationalen Datenhändler.

Der Einfluss der DSGVO auf neuere Regulierung

Die DSGVO war die erste Welle. Ihre Grundsätze und ihr Durchsetzungsmodell haben die nachfolgende Digitalregulierung der EU direkt geprägt:

Der AI Act baut auf dem risikobasierten Ansatz der DSGVO auf und erweitert die Anforderungen an die Daten-Governance auf KI-Trainingsdatensätze. Der Digital Markets Act überträgt die Einwilligungsgrundsätze der DSGVO in die Wettbewerbsregeln für Plattformen und verbietet Gatekeepern, personenbezogene Daten ohne ausdrückliche Einwilligung dienstübergreifend zusammenzuführen. Der Data Act erweitert die Portabilitätsgrundsätze, die die DSGVO für personenbezogene Daten etabliert hat, auf nicht personenbezogene Industrie- und IoT-Daten.

Jede neue Verordnung bekräftigt und erweitert die Grundprinzipien der DSGVO und schafft so einen umfassenden europäischen Rahmen für digitale Governance, der weit kohärenter und ehrgeiziger ist als jeder vergleichbare Ansatz weltweit.

Wie eine DSGVO 2.0 aussehen könnte

Die Überarbeitung ist keine Zukunftsmusik mehr. Im November 2025 schlug die Europäische Kommission im Rahmen ihres Pakets „Digital Omnibus“ gezielte Änderungen der DSGVO vor, und im selben Monat verabschiedete die EU eine separate Verordnung, die die Verfahren der grenzüberschreitenden Durchsetzung harmonisiert. Stand Oktober 2026 verhandeln Europäisches Parlament und Rat noch über die Omnibus-Änderungen; einige davon — insbesondere eine engere Definition personenbezogener Daten — lehnen EDSA und EDSB ab. Die wichtigsten Themen:

Harmonisierte Durchsetzung: Die Verordnung (EU) 2025/2518 legt gemeinsame Verfahrensregeln für grenzüberschreitende Fälle fest: harmonisierte Zulässigkeit von Beschwerden, eine Frist von 15 Monaten (um 12 Monate verlängerbar) für den Beschlussentwurf der federführenden Behörde und ein vereinfachtes Verfahren für einfache Fälle. Sie gilt ab April 2027 und behält den One-Stop-Shop-Mechanismus bei, soll aber verhindern, dass er zum Flaschenhals wird.

Vereinfachte Compliance: Der Omnibus sieht geringere Verwaltungspflichten vor, darunter Vorlagen und Methoden der Kommission für Datenschutz-Folgenabschätzungen, eine zentrale Meldestelle für Sicherheitsvorfälle und eine Meldepflicht gegenüber Behörden nur noch für Datenpannen mit hohem Risiko, binnen 96 statt 72 Stunden.

Reform der Einwilligung: Der Omnibus würde die Cookie-Regeln in die DSGVO überführen, die Ablehnung mit einem Klick ermöglichen, Websites nach einer Entscheidung sechs Monate lang eine erneute Abfrage untersagen und den Weg für automatisierte, maschinenlesbare Browsersignale statt Pop-ups auf jeder einzelnen Website ebnen.

KI und automatisierte Entscheidungen: Der Vorschlag würde das berechtigte Interesse als mögliche Rechtsgrundlage für Entwicklung und Betrieb von KI-Systemen anerkennen und klarstellen, wann automatisierte Entscheidungen nach Artikel 22 zulässig sind — Änderungen, in denen Kritiker eine Schwächung von Schutzvorschriften sehen, die die Verfasser der DSGVO 2016 lange vor modernen KI-Systemen formuliert haben.

Die Bilanz nach acht Jahren

Die DSGVO ist unvollkommen. Ihre Durchsetzung ist uneinheitlich, ihre Compliance-Last für kleine Unternehmen überzogen, und ihre Umsetzung bei Cookie-Einwilligungen wird weithin verabscheut. Gemessen an ihren Kernzielen — grundlegende Rechte an personenbezogenen Daten zu verankern, Unternehmen für ihren Umgang mit Daten zur Rechenschaft zu ziehen und einen globalen Standard für den Datenschutz zu schaffen — war die DSGVO jedoch erfolgreicher, als die meisten Beobachter bei ihrem Inkrafttreten 2018 erwartet hatten.

Die Welt vor der DSGVO war eine, in der Unternehmen personenbezogene Daten grenzenlos sammelten, ohne Sicherheit speicherten, ohne Einwilligung weitergaben und keine nennenswerten Konsequenzen fürchten mussten, wenn etwas schiefging. Diese Welt gibt es in Europa nicht mehr — und zunehmend auch nirgendwo sonst. Das ist das Vermächtnis der DSGVO nach acht Jahren, und es ist ein Vermächtnis, auf dem es sich aufzubauen lohnt.