EU-Digital-Compliance 2026: Die Regeln, die jetzt bis in Ihren Code hineinreichen
Etwa sieben Jahre lang war die DSGVO die eine europäische Verordnung, die jedes Produktteam beim Namen kannte. Wer eine Website betrieb, die europäische Nutzer berührte, lernte etwas über Rechtsgrundlagen, baute ein Cookie-Banner, unterschrieb Auftragsverarbeitungsverträge und machte weiter.
Diese Zeit ist vorbei. Zwischen 2024 und 2028 bringt die Europäische Union einen ganzen Stapel digitaler Regulierungen auf den Weg, die einzeln betrachtet ähnlich anspruchsvoll sind wie die DSGVO und in der Summe deutlich tiefer eingreifen. Der Unterschied: Diese neuen Regeln enden nicht bei der Datenschutzerklärung. Sie reichen in Ihren Checkout, Ihre Komponentenbibliothek, Ihren Incident-Response-Prozess, Ihre Software-Stückliste und Ihr Produktdatenmodell.
Wir entwickeln und betreuen Software für Unternehmen, die in Europa tätig sind, und verbringen einen erheblichen Teil unserer Woche damit, diese Pflichten in Tickets zu übersetzen. Das hier ist unsere Arbeitskarte: was jetzt gilt, was als Nächstes kommt und was das für Menschen bedeutet, die Code schreiben.
Warum sich diese Welle anders anfühlt
Die DSGVO war weitgehend horizontal. Eine Verordnung, ein Prinzipienkatalog, gültig für alle, die personenbezogene Daten verarbeiten. Die Welle von 2024 bis 2028 ist vertikal und überlappend. Ein mittelständisches E-Commerce-Unternehmen, das vernetzte Haushaltsgeräte in Deutschland und Frankreich verkauft, kann heute gleichzeitig in den Anwendungsbereich von mindestens acht Rechtsakten fallen, jeder mit eigener Aufsichtsbehörde, eigener Frist und eigener Definition davon, wer verantwortlich ist.
Daraus folgen drei praktische Konsequenzen.
Erstens lässt sich Compliance nicht mehr kurz vor dem Launch aufsetzen. Mehrere dieser Regeln verlangen Designentscheidungen, und eine im zweiten Monat schlecht getroffene Designentscheidung kostet im zwanzigsten Monat einen Rebuild.
Zweitens zählen die technischen Artefakte mehr als die Aktenlage. Aufsichtsbehörden fragen zunehmend nach maschinenlesbaren Nachweisen: eine Software-Stückliste, eine Konformitätsbewertung, eine Barrierefreiheitserklärung, ein Einwilligungsnachweis, eine Incident-Chronologie. Ein Richtliniendokument, das eine Kontrolle beschreibt, die es im System nicht gibt, beeindruckt niemanden.
Drittens sind die Fristen gestaffelt, und einige haben sich verschoben. Nach dem im November 2025 vorgeschlagenen Digital-Omnibus-Paket wurden Teile der KI-Verordnung nach hinten geschoben, während andere Teile exakt dort blieben, wo sie waren. Teams, die eine Schlagzeile gelesen und dann aufgehört haben, planen jetzt gegen die falschen Daten.
Was gerade jetzt gilt
DSGVO, weiterhin das Fundament
Nichts in der neuen Welle ersetzt die Datenschutz-Grundverordnung. Sie bleibt die Basisschicht, und von dort kommen weiterhin die höchsten Bußgelder. Wenn Ihr Datenmodell, Ihre Löschroutinen und Ihr Prozess für Betroffenenanfragen schwach sind, erbt alles Darüberliegende diese Schwäche. Wir haben dazu einen separaten, technisch orientierten Leitfaden geschrieben: unser praktischer DSGVO-Guide für Websites.
Das europäische Barrierefreiheitsgesetz
Die Richtlinie 2019/882 gilt seit dem 28. Juni 2025, und die Durchsetzung nahm im Laufe des Jahres 2026 Fahrt auf. Sie erfasst verbrauchergerichteten E-Commerce, Bankdienstleistungen, Verkehrsticketing, Telekommunikation, E-Books und mehr. Technischer Maßstab ist die EN 301 549, die derzeit auf WCAG 2.1 Stufe AA abbildet, mit einer erwarteten Überarbeitung hin zu WCAG 2.2.
Das überrascht viele, weil es keine Dokumentationsübung ist. Es verlangt echte Änderungen an Markup, Fokusverwaltung, Farbkontrast, Formularfehlerbehandlung und Tastaturbedienung. Ein französisches Gericht hat Carrefour bereits unter Androhung eines täglichen Zwangsgelds zur Herstellung der Konformität verpflichtet. Details in unserem Leitfaden zum Barrierefreiheitsgesetz.
Der Data Act
Die Verordnung 2023/2854 gilt seit dem 12. September 2025. Sie gibt Nutzern ein Recht auf die Daten, die ihre vernetzten Produkte erzeugen, und zwingt Cloud-Anbieter dazu, einen Wechsel realistisch statt theoretisch zu machen. Ab dem 12. September 2026 müssen vernetzte Produkte und zugehörige Dienste, die neu in Verkehr gebracht werden, so gestaltet sein, dass Daten standardmäßig zugänglich sind. Das ist eine Architekturanforderung, keine juristische. Siehe unsere Data-Act-Analyse.
NIS2
Die Mitgliedstaaten haben NIS2 sehr unterschiedlich schnell umgesetzt. Deutschland öffnete sein Registrierungsportal am 6. Januar 2026, die Niederlande setzten ihr Gesetz am 15. August 2026 in Kraft, andere Länder holen noch auf. Wer betroffen ist, schuldet Meldungen an einer 24-Stunden-Uhr und schuldet seinen Kunden Nachweise über das Management von Lieferkettenrisiken. Unser NIS2-Praxisleitfaden behandelt die operative Seite.
Empfängerüberprüfung
Seit dem 9. Oktober 2025 müssen Zahlungsdienstleister im Euroraum kostenlos prüfen, ob der Name des Empfängers zur IBAN passt, bevor eine Überweisung bestätigt wird. Wer Zahlungs- oder Auszahlungsflüsse baut, hat damit einen neuen Schritt vor der Bestätigung und eine neue Menge von Beinahe-Treffer-Zuständen in der Oberfläche. Wir haben das in Echtzeitzahlungen und Empfängerüberprüfung beschrieben.
Was in den nächsten zwölf Monaten kommt
2. August 2026: Transparenz der KI-Verordnung
Die Pflichten aus Artikel 50 gelten jetzt. Wenn Ihr Produkt über einen Chatbot mit Nutzern spricht, müssen Sie ihnen sagen, dass sie mit einer Maschine sprechen. Wenn es synthetisches Audio, Bilder, Video oder Text erzeugt, muss die Ausgabe maschinenlesbar gekennzeichnet sein. Eine weitere Tranche, darunter Details zur Kennzeichnung und ein Verbot von Nudify-Anwendungen, folgt am 2. Dezember 2026.
Die schwereren Hochrisiko-Pflichten haben sich verschoben. Eigenständige Systeme nach Anhang III haben nun bis zum 2. Dezember 2027 Zeit, KI in regulierten Produkten bis zum 2. August 2028. Das ist eine echte Atempause, aber nur für die Hochrisiko-Stufe. Vollständige Aufschlüsselung in unserem Artikel zur KI-Transparenz.
11. September 2026: Meldepflichten des Cyber Resilience Act
Hersteller von Produkten mit digitalen Elementen müssen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über eine zentrale EU-Meldeplattform melden. Frühwarnung binnen 24 Stunden, vollständige Meldung binnen 72 Stunden, Abschlussbericht binnen 14 Tagen. Eine 24-Stunden-Uhr lässt sich nicht einhalten, ohne zu wissen, was im Produkt steckt. Deshalb bauen Teams SBOM-Pipelines ein Jahr vor der formalen SBOM-Pflicht. Siehe den CRA-Leitfaden.
12. September 2026: Designpflichten des Data Act
Die Anforderung, Datenzugang mitzudenken, greift für neu in Verkehr gebrachte Produkte.
27. September 2026: Richtlinie zur Stärkung der Verbraucher
Pauschale Umweltaussagen verlieren ihre rechtliche Deckung, Nachhaltigkeitssiegel brauchen eine Zertifizierung, und ein harmonisierter Hinweis samt Label zu Garantien muss im Kaufprozess erscheinen. Das ist eine Inhalts- und Template-Änderung über Produktseiten, Kategorieseiten und Checkout hinweg. Behandelt in Umweltaussagen und Produktdaten.
24. Dezember 2026: EU-Brieftasche für digitale Identität
Jeder Mitgliedstaat muss mindestens eine Wallet verfügbar machen. Verpflichtete vertrauende Beteiligte, darunter Banken, Verkehr, Energie, Gesundheit und Telekommunikation, müssen sie ab Dezember 2027 akzeptieren. Wer früh akzeptieren will, muss sich als vertrauender Beteiligter registrieren und die Nachweisformate der Wallet unterstützen. Unser EUDI-Wallet-Leitfaden erklärt, was dazugehört.
Was noch in Bewegung ist
Zwei Vorhaben lohnen die Beobachtung, ohne dass man schon darauf hin planen sollte.
Der Digital Omnibus würde die Regeln zur Cookie-Einwilligung in die DSGVO selbst überführen, über einen vorgeschlagenen Artikel 88a und Artikel 88b. Die wesentlichen Änderungen sind ein Ein-Klick-Annehmen oder Ablehnen, eine Regel gegen erneutes Nachfragen bei Ablehnung innerhalb von sechs Monaten und rechtlich bindende maschinenlesbare Einwilligungssignale. Die Trilogverhandlungen liefen bis Mitte 2026. Nichts ist endgültig, und wir würden keine Consent-Plattform auf der Annahme neu bauen, dass der Text unverändert durchgeht. Die Richtung ist aber klar genug, um die Architektur zu beeinflussen. Unsere Einschätzung steht in Cookie-Einwilligung nach dem Digital Omnibus.
Der Digital Fairness Act ist noch im Vorschlagsstadium, erwartet gegen Ende 2026, und zielt direkt auf Dark Patterns, personalisierte Preise und suchterzeugendes Design. Realistisch gilt er irgendwann zwischen 2028 und 2030. Wichtig ist er jetzt nur, weil er zeigt, welche Interface-Muster auf geliehener Zeit leben.
Die Zahlungsschicht, mit der niemand geplant hat
Es gibt noch eine Verschiebung, die gar keine Regulierung ist, sich aber wie eine verhält, weil sie sich so schnell durch europäische Checkout-Seiten zieht.
Wero, die Wallet der European Payments Initiative, wechselte 2025 und 2026 von Überweisungen zwischen Privatpersonen in den E-Commerce. Sie wickelt über SEPA Instant Credit Transfer in rund zehn Sekunden ab und umgeht die Kartensysteme vollständig. Lidl kündigte im Juli 2026 die Unterstützung auf lidl.de an, mit Akzeptanz im Laden und den belgischen und französischen Shops im weiteren Jahresverlauf. Decathlon, Rossmann, Hornbach, Eventim und andere sind bereits live.
Niemand ist rechtlich verpflichtet, Wero zu akzeptieren. Aber wenn ein Discounter mit Lidls Reichweite eine Zahlart hinzufügt, folgt der Rest des Marktes meist nach, und die Integration ist keine geschenkte Arbeit: Sie landet in Ihrem Checkout, Ihrer Bestellzustandsmaschine, Ihrer Erstattungslogik und Ihrer Abstimmung. Wir haben das in dem Wero-Integrationsleitfaden aufgeschrieben.
Wie Sie das sequenzieren, ohne ein Quartal zu verlieren
Der Reflex ist, einen Compliance-Strang zu eröffnen und alles gleichzeitig schließen zu wollen. Das produziert meist eine Tabelle und sehr wenig ausgelieferten Code. Was nach unserer Erfahrung besser funktioniert:
Beginnen Sie ehrlich mit dem Anwendungsbereich. Die meisten dieser Regeln haben Schwellenwerte, Ausnahmen und Definitionen, die wesentlich verändern, was Sie schulden. Ein Kleinstunternehmen, das Dienstleistungen erbringt, liegt außerhalb weiter Teile des Barrierefreiheitsgesetzes. Wer keine Produkte mit digitalen Elementen herstellt, liegt außerhalb des CRA. Eine halbe Stunde mit den tatsächlichen Anwendungsbereichsartikeln spart Monate.
Finden Sie die Überschneidungen und bauen Sie einmal. Barrierefreiheitsarbeit nach dem EAA verbessert auch die Klarheitsanforderungen der KI-Transparenzregeln. Für die DSGVO gebaute Consent-Infrastruktur trägt den Großteil der Änderungen des Digital Omnibus. Eine für den CRA gebaute SBOM-Pipeline beantwortet einen großen Teil der NIS2-Lieferkettenfragen. Behandeln Sie das als gemeinsame Plattformarbeit, nicht als zwölf getrennte Projekte.
Reparieren Sie zuerst, was Designentscheidungen braucht. Datenzugang by default, Akzeptanz von Nachweisen, barrierefreie Semantik und Consent-Architektur sind teuer nachzurüsten. Meldeworkflows und Dokumentation nicht. Sequenzieren Sie entsprechend.
Schreiben Sie auf, was Sie entschieden haben und warum. Die meisten dieser Regime erwarten, dass Sie Ihre Begründung erklären können, nicht nur einen grünen Haken zeigen. Ein kurzer Architecture Decision Record schlägt ein langes Richtlinien-PDF.
Wo wir hineinpassen
Wir sind ein Softwareunternehmen, keine Kanzlei, und das sagen wir jedem Kunden offen. Wir erteilen keine Rechtsauskünfte. Was wir tun: Wir nehmen die Auslegung, auf die sich Ihr Rechtsteam festgelegt hat, und machen daraus funktionierende Systeme. Consent-Plattformen, barrierefreie Komponentenbibliotheken, Datenzugangs-APIs, SBOM-Pipelines, Wallet-Integrationen, Zahlungsflüsse und die langweilige Infrastruktur darunter.
Unsere Teams arbeiten aus Ljubljana und Novi Sad, also innerhalb genau des Regulierungsumfelds, das wir hier beschreiben. Das heißt, wir haben diese Fristen auch bei unseren eigenen Produkten auf dem Tisch.
Wenn Sie herausfinden wollen, was davon tatsächlich auf Sie zutrifft, oder wenn ein Datum im Kalender steht und kein Plan dahinter, schreiben Sie an office@c9group.dev. Mehr darüber, wie wir Unternehmen beim Eintritt in den europäischen Markt und beim Wachstum dort begleiten, finden Sie auf unserer Seite zum EU-Markteintritt.