Digitalrecht 2026 und 2027: der Fristenkalender

Zwischen August 2026 und August 2028 treten mehrere EU-Rechtsakte in Kraft, die Websites, Onlineshops und gehostete Anwendungen betreffen. Dieser Kalender führt die Termine mit Quelle, damit man sie nachschlagen kann statt sie zu suchen.

Er nennt zu jedem Datum, was an diesem Tag gilt und wen der Rechtsakt nach seinem Wortlaut betrifft. Was er nicht tut: einen Einzelfall beurteilen. Ob ein Betrieb unter eine Vorschrift fällt, hängt an Größe, Tätigkeit und Vertragslage. Das beurteilt eine Rechtsanwaltskanzlei. Wir prüfen das auch nicht vorab.

Der Kalender führt EU-Recht und die österreichische Umsetzung. Für Projekte in Deutschland gelten teilweise eigene Termine. Die Begriffe dahinter stehen ausführlicher im Glossar, etwa zur NIS2-Richtlinie und zum EU AI Act.

Zwei Dinge gehören in einen Fristenkalender, obwohl sie keinen Termin haben.

Das erste ist der Angemessenheitsbeschluss für Datenübermittlungen in die USA. Er ist in Kraft. Er deckt aber nicht die USA als Ganzes ab, sondern nur Empfänger, die im Data Privacy Framework zertifiziert sind und auf der Liste des US-Handelsministeriums stehen. Eine Klage dagegen hat das Gericht der Europäischen Union am 3. September 2025 abgewiesen, ein Rechtsmittel ist beim Gerichtshof anhängig. Die Datenschutz-Grundverordnung kennt neben dem Angemessenheitsbeschluss weitere Grundlagen für Übermittlungen in Drittländer, darunter die Standardvertragsklauseln. Welche davon für eine bestimmte Übermittlung in Betracht kommt, beurteilt eine Rechtsanwaltskanzlei.

Das zweite ist das Digital-Omnibus-Paket der Kommission. Der Teil zur KI-Verordnung ist beschlossen und hat die Fristen für Hochrisiko-Systeme verschoben. Der Teil zum Datenschutzrecht ist es nicht. Solange er nicht beschlossen ist, bleibt die Rechtslage unverändert. Für Einwilligungsbanner ist in Österreich neben der Datenschutz-Grundverordnung auch § 165 des Telekommunikationsgesetzes maßgeblich. Wer auf ein Ende der Einwilligungsbanner plant, plant auf einem Entwurf.

Jede Tabelle trägt den Rechtsstand als Beschriftung. Das Feld „Aktualisiert am“ setzen wir nur, wenn sich inhaltlich etwas geändert hat. Dass damit nichts fehlt und nichts veraltet ist, können wir trotzdem nicht zusagen.

Ein Eintrag steht bewusst auf „Termin offen“. Bei der Norm EN 301 549 nennen die Quellen unterschiedliche Daten für die Veröffentlichung im Amtsblatt. Solange das so ist, steht hier keines davon.

Dass Termine sich verschieben, ist keine theoretische Möglichkeit. Für Hochrisiko-Systeme galt der 2. August 2026, bis die Verordnung (EU) 2026/1744 ihn auf den 2. Dezember 2027 verlegt hat.

Dieser Beitrag ist keine Rechtsberatung. Er gibt den Stand vom 20. August 2026 wieder.