Supreme Court-Urteil gefährdet EU-US- Data Privacy Framework
Der US Supreme Court hat mit seiner Entscheidung in Trump v. Slaughter, No. 25-332 (2026) die Unabhängigkeit der Federal Trade Commission (FTC) faktisch beendet. Diese war jedoch Voraussetzung des transatlantischen Datenabkommen (EU-U.S.-Data Privacy Framework) zwischen der EU und den USA.
Am 29. Juni 2026 urteilte der US Supreme Court, dass unabhängige Behörden („Independent Agencies“) ihren Status der Unabhängigkeit vom Präsidenten weitgehend verloren haben, sofern sie exekutive Aufgaben wahrnehmen. Das Gericht entschied mit konservativer Mehrheit, dass die gesetzlichen Bestimmungen, die den Präsidenten daran hinderten, Kommissare der Federal Trade Commission (FTC) ohne triftigen Grund („for cause“) zu entlassen, gegen die in der Verfassung verankerte Gewaltenteilung verstoßen.
Das Urteil folgt der „Unitary Executive Theory“, wonach der US-Präsident die Kontrolle über alle US-Behörden haben muss. Damit sind alle US-Gesetze, die Behörden Unabhängigkeit verleihen, faktisch verfassungswidrig.
Das Problem für EU-US-Datentransfers
Die EU stützt sich seit dem Jahr 2000 auf die „unabhängige“ FTC als Aufsichtsbehörde für transatlantische Datenschutzabkommen. Im aktuellen Angemessenheitsbeschluss für personenbezogene Daten nach dem EU-US Data Privacy Framework (EU-US DPF) von 2023 verweist die Europäische Kommission vielfach auf die unabhängige FTC als zentrale „Datenschutzbehörde“ – ergänzt durch das U.S. Department of Transportation (DOT) für den Luftverkehrssektor. Genau diese Unabhängigkeit beider Behörden war wesentliche Voraussetzung für den Angemessenheitsbeschluss der EU-Kommission.
EU-Recht verlangt Unabhängigkeit
Drittländer müssen über ein angemessenes Datenschutzniveau verfügen, damit personenbezogene Daten rechtskonform dorthin übermittelt werden dürfen. Eine unabhängige Aufsicht ist hier unabdingbar (Artikel 16(2) AEUV, Artikel 8(3) der Grundrechtecharta). Mit dem Wegfall der Unabhängigkeit der FTC ist diese zentrale Voraussetzung für die USA nicht mehr erfüllt. Die gesamte Struktur des EU-US Data Privacy Framework steht damit auf dem Prüfstand.
Forderung nach Aufhebung des EU-US DPF
Max Schrems von der NGO noyb hat die EU-Kommission bereits in einem offenen Brief vom 30.06.2026 aufgefordert, das EU-US-Datenabkommen ordnungsgemäß aufzuheben. Schrems betont: „Da es in den USA keine unabhängigen Behörden mehr gibt, fordern wir die Kommission auf, die Angemessenheitsentscheidung für die USA in einem geordneten Prozess aufzuheben.“
Was bedeutet das für Unternehmen?
Auch diese Entscheidung zeigt wieder, wie wichtig europäische digitale Souveränität ist. Das EU-US DPF stand von Anfang an in der Kritik – nicht zuletzt, weil zentrale Garantien, insbesondere zu Überwachungsbeschränkungen und Rechtsschutz, lediglich auf der Executive Order des früheren US-Präsidenten Joe Biden basieren. Diese kann jederzeit durch den amtierenden Präsidenten aufgehoben werden. Durch die Entscheidung des US Supreme Courts muss Donald Trump die Executive Order jedoch gar nicht ändern – er erhält durch das Urteil automatisch vollständige Kontrolle über die vormals „unabhängige“ FTC.
Solange der Angemessenheitsbeschluss zum EU-US DPF nicht offiziell aufgehoben ist, besteht – zumindest rein formell – bei einer Datenübermittlung in die USA weiterhin ein angemessenes Datenschutzniveau. Unternehmen sind jedoch gut beraten, hier Vorsorge zu treffen, da künftig mit weiteren Rechtsunsicherheiten in diesem Zusammenhang gerechnet werden kann.
Diese Entwicklung sollte daher unbedingt im Auge behalten werden. Insbesondere sollte geprüft werden, ob bzw. welche weiteren Maßnahmen im Hinblick auf die Rechtsprechung des Europäischen Gerichtshofs erforderlich sind, um auch im Fall der Aufhebung des Angemessenheitsbeschlusses zum EU-US DPF weiterhin ein angemessenes Datenschutzniveau aufrechterhalten zu können. Sofern möglich sollten alternative Lösungen zumindest geprüft werden (z.B. EU-basierte Dienstleister oder getrennte Datenverarbeitung).
Autorin
Sarah Tavcer ist Rechtsanwältin und seit einigen Jahren als externe Datenschutzbeauftragte und Datenschutzberaterin tätig. Außerdem ist die zertifizierte KI-Compliance-Beauftragte.
Fünf Tage No Code Week in Frankfurt liegen hinter mir, und im Anschluss noch eine Keynote in Mainz. Ich war für VARY.FY vor Ort und habe mir vorgenommen, jeden Tag mitzuschreiben. Hier ist mein Rückblick, mit den Dingen, die wirklich hängen geblieben sind.
Tag 1: Erst einmal ankommen
Der erste Tag war bewusst entspannt. Nach der Ankunft gab es ein Meet and Greet am Main und eine kleine Stadttour, bei der man sich in Ruhe kennenlernen konnte. Beim Barbecue im Massif Central wurde es dann aber schnell fachlich. Wenn No-Coder und Automatisierer aufeinandertreffen, bleibt es eben nicht lange beim Smalltalk.
Wir waren insgesamt rund 130 Leute, die Sponsoren mitgezählt. Schön war das Wiedersehen mit ein paar bekannten Gesichtern aus unserer n8n Rhein-Main Community in Wiesbaden, etwa fünf Leute, die sich sonst bei AOE treffen. Genau dort sind die ersten guten Gespräche entstanden, locker und auf Augenhöhe.
Ich habe die Woche auch genutzt, um VARY.FY und unsere Haltung zu souveräner und verantwortungsvoller KI vorzustellen. Zum ersten Mal habe ich dabei unser Konzept gezeigt, wie wir Unternehmen künftig als Interim-AI-Manager begleiten wollen, damit sie europäische und lokale KI-Lösungen selbst und rechtssicher betreiben können. In den Gesprächen habe ich schnell gemerkt, wie groß der Bedarf danach ist.
Tag 2: Sovereign AI in der Praxis
Am zweiten Tag wurde es strategischer. Bart Veldhuizen von n8n sprach über den Aufbau echter Communities. Die Diskussion danach war so gut, dass am Ende sogar ein kostenfreies Ticket für das n8n Community Fest in Berlin am 16. Juli heraussprang, zu dem ich als Vertreter von VARY.FY eingeladen bin.
Florian Fürst hat anschließend gezeigt, wie man einen RAG-Agenten komplett auf quelloffener, deutscher Infrastruktur baut. Keine US-Cloud, keine Kompromisse. Das ist genau das Thema, an dem wir mit VARY.FY und unseren Partnern ohnehin arbeiten, und es ist schön zu sehen, wie erwachsen diese europäischen Lösungen inzwischen sind. Später hat Yulia Dmitrievna demonstriert, wie sich No-Code-Automatisierung mit KI zu einer selbstwachsenden Outreach-Datenbank verbinden lässt. Nebenbei habe ich meine erste App in Softr gebaut, einem deutschen Airtable-Mitbewerber, und war ehrlich überrascht, wie schnell ein kleines CRM stand.
Tag 3: Der Hackathon und FeierAbendKultur
Der Tag begann mit einer Live-Debatte über Data Ownership, also Souveränität und Autonomie. Danach haben wir in einem Silex Workshop in einer Stunde eine schnelle, barrierefreie Website gebaut, ohne Abo und ohne Lock-in.
Am Nachmittag kam mein persönliches Highlight, der n8n Hackathon. Die Aufgabe: in drei Stunden, im Dreierteam, ein echtes Problem für ein Frankfurter Business lösen und alles live in n8n bauen. Unser Team, die „Rhinos“, hat dabei „FeierAbendKultur Frankfurt“ auf die Beine gestellt, einen Ausgeh- und Kulturconcierge.
Die Idee ist einfach: Man wählt seine Persona, also Besucher, Frankfurter oder Student, dazu Budget, Tageszeit und Wochentag. Dann bekommt man in Sekunden einen kuratierten Abend aus Essen und Events, mit echten lokalen Tipps, auf Deutsch, Englisch oder Französisch. Wichtig war uns, dass alles live läuft und kein Mockup ist. Im Hintergrund arbeiten ein WebScraper, der die Frankfurter Eventszene täglich selbst einliest, eine Airtable-Datenbank mit Dublettencheck, ein Plakat-Scanner über Mistral OCR und ein kleiner Chatbot, der daraus den passenden Plan formuliert.
FeierAbendKultur Frankfurt, der Ausgeh- und Kulturconcierge des Teams Rhinos (nachgebaute Vorschau)
Gefühlt hatte die Hälfte der Teams Ideen rund um Frankfurt, Events und Ausgehen, entsprechend dicht war die Konkurrenz. Verdient gewonnen haben am Ende die Teams mit dem klarsten Nutzen und einer guten Portion Humor, etwa „Bears“ mit einem Meldesystem für kaputte Stellen in der Stadt und „Bulls“ mit ihrer „Frankfurt Pigeon Intelligence Agency“. Auf dem Papier lagen wir nicht vorne, aber das war an dem Tag fast egal. Was bleibt, ist der Beweis, wie schnell man mit No-Code und KI von der Idee zu etwas Lauffähigem kommt.
Tag 4: Keynotes und Systemdesign
Der Vormittag gehörte Sebastian Mertens von Make und der Keynote von Artur Mkrtchyan von Softr. Sein Punkt ist mir hängen geblieben: Kein Unternehmen will am Ende 8.000 Zeilen KI-generierten Spaghetti-Code besitzen oder Apps bauen, die unkontrolliert sensible Daten preisgeben. Was Unternehmen brauchen, ist visuelle Logik, klare Berechtigungen und Software, die sie selbst verstehen. KI ersetzt No-Code nicht, sie macht es schneller.
Danach wurde es technisch. Eine Session ist tief in das Zusammenspiel von n8n und Claude Code eingestiegen. Parallel lief ein Open Mic von Askan Schmeisser über Mattermost, den selbst hostbaren Open-Source-Zwilling zu Slack und Teams. Auf einem günstigen Hetzner-Server wird daraus eine gute Spielwiese für KI-Agenten wie Hermes oder OpenClaw, die sich als Bot in die Channels einklinken und in Threads mitlesen.
Mein eigenes n8n-Setup für die Orchestrierung ist über die Zeit ziemlich groß geworden, zu groß, um es in einer Stunde zu erklären. Deshalb habe ich mich am Abend hingesetzt und ein neues, schlankes Setup aufgebaut, das nur auf den nativen n8n-Skills und dem originalen n8n-MCP (Model Context Protocol) basiert. Das war meine Vorbereitung für den letzten Tag.
Tag 5: Open Mic und Abschluss
Der Finaltag startete mit einer schönen Überraschung, einem spontanen Ständchen für das Orga-Team. Auch wenn nur noch rund 40 Leute da waren, weil viele schon abgereist waren, war das ein richtig guter Moment.
Im Open Mic habe ich dann meinen umgebauten n8n Coworker vorgestellt, unter dem Titel „Automate your Automation“. Ich habe gezeigt, wie man mit dem Standard n8n-MCP und den n8n-Skills im Claude Setup arbeitet, als einfachen Einstieg ins Orchestrieren und Bauen von Workflows. Aus geplanten 45 Minuten wurden schnell zwei Stunden, und die Diskussionen danach waren das Wertvollste am ganzen Tag. Den Nachmittag haben wir genutzt, um das Gelernte zu sortieren, der Abend ist bei gutem Essen und kühlem Weißwein ausgeklungen. Der Termin für die nächste No Code Week steht übrigens schon: der 17. Mai 2027.
Abstecher: Keynote an der Hochschule Mainz
Direkt im Anschluss ging es für mich noch an die Hochschule Mainz, zur suMIT 2026, ausgerichtet vom IT Klub Mainz und Rheinhessen e.V. Dort durfte ich vor Studierenden meine Keynote „From Automation to Autonomy“ halten.
Ich habe zwei Use Cases aus der Praxis gegenübergestellt, einmal so, wie ich früher gearbeitet habe, und einmal so, wie moderne Systeme heute laufen. Mir ging es vor allem um einen Gedanken: Erst die Kombination aus einem deterministischen Rückgrat und probabilistischer KI macht ein System wirklich autonom. Die vielen Fragen der Studierenden im Anschluss waren ein schöner Abschluss, und ein gutes Zeichen, wie groß das Interesse an echter Praxis abseits der Theorie ist.
Der Tech Stack der Woche
Wer es konkret mag, hier die Werkzeuge, mit denen ich gearbeitet habe:
Workflow-Steuerung und Modelle: n8n, self hosted auf Hetzner für maximale Datenhoheit. Open-Source- oder Vollmodelle auf Ionos. Supabase als Open-Source-Lösung zum selbst Hosten. T.5 (Tensorfive) als Datenbank aus Mainz. Mistral als europäisches Modell.
Schnittstellen und Protokolle: MCP, n8n Standard Skills, Make Standard Skills.
Infrastruktur und Frontend: Airtable, Softr, WebApps mit Claude Code.
Unsere Kompetenzfelder
So ordnen wir bei VARY.FY unsere Arbeit ein, von der Organisation bis zur Pipeline:
Diese fünf Felder greifen ineinander und ergeben einen durchgängigen Weg. Wir starten mit der Discovery und der Frage, wo sich KI im Unternehmen wirklich lohnt. In Plan und Design entwerfen wir darauf die passende Lösung. Danach folgt die Implementierung, also der Aufbau mit Daten, Pipelines und Orchestrierung. Im Enablement befähigen wir die Teams, sicher damit zu arbeiten. Und in der Organisationsentwicklung verankern wir KI dauerhaft in Strukturen, Rollen und Verantwortlichkeiten, sodass Mensch und KI verlässlich zusammenarbeiten.
Was ich mitnehme
Autonomie kommt nicht aus einem einzelnen Tool. Sie entsteht, wenn die Bausteine sauber zusammenspielen. Wer seine Workflows selbst hostet, behält die Kontrolle über die Daten. Wer auf offene Protokolle wie MCP setzt, bleibt unabhängig. Und wer KI orchestriert, statt nur einzelne Aufgaben zu automatisieren, kommt der Autonomie ein gutes Stück näher.
Das ist auch der Punkt, an dem wir mit VARY.FY ansetzen, an der Schnittstelle von Technologie, Recht und Ethik. Souveräne KI ist für mich die Voraussetzung dafür, dass Unternehmen KI rechtssicher und im Sinne des AI Act einsetzen können. Genau dabei unterstützen wir als Interim-AI-Manager.
Wenn Sie diesen Weg gehen wollen, ohne die Kontrolle abzugeben, sprechen Sie mich gerne an.
Autor
Sascha Scheffler ist diplomierter Maschinenbauingenieur und Experte für digitale Transformation. Er ist zertifizierter Lean Administration Expert, hat einen Master in Business with AI (MBAI®) und ist AI Integration Expert.
Künstliche Intelligenz rechnet nicht mit Wörtern, sondern mit Tokens. Wie viele Tokens ein Text erzeugt, entscheidet darüber, wie schnell ein Modell arbeitet und was eine Anfrage kostet. Mit unserem Token-Rechner sehen Sie beides auf einen Blick.
In drei Schritten zeigen wir Ihnen, wie das Werkzeug funktioniert.
Schritt 1: Text eingeben
Oben finden Sie das Eingabefeld. Tippen Sie Ihren eigenen Text hinein oder überschreiben Sie den Beispieltext. Wenn Sie schnell starten möchten, wählen Sie einen der Beispiel-Buttons, etwa eine DIN A4 Seite oder einen System-Prompt. Über den Schalter oben rechts wechseln Sie zwischen Deutsch und Englisch.
Direkt unter dem Feld sehen Sie sofort die wichtigsten Kennzahlen: Zeichen, Wörter und die geschätzte Anzahl an Tokens.
Schritt 2: Die passende Sektion öffnen
Alle Bereiche lassen sich einzeln auf und zuklappen, damit Sie sich auf das konzentrieren, was Sie gerade brauchen.
Tokenizer und Visualisierung: Hier wird Ihr Text farbig in einzelne Tokens zerlegt. So sehen Sie, dass lange deutsche Wörter in mehrere Teile zerfallen und dadurch mehr Tokens verbrauchen als kurze englische.
Vom Wort zur Zahl: Diese Sektion erklärt Schritt für Schritt, wie aus Text Mathematik wird, von der Tokenisierung über die Token-ID bis zum Zahlen-Vektor. Eine interaktive Tabelle übersetzt Ihren Text live in Zahlen.
Kostenrechner und Modellvergleich: Wählen Sie ein oder mehrere Modelle aus und vergleichen Sie die Kosten. Sie stellen ein, wie viele Anfragen pro Tag anfallen und wie sich Eingabe und Ausgabe verteilen.
Kosten über die Zeit: Ein Diagramm zeigt, wie sich die Kosten über zwölf Monate summieren. Bewegen Sie den Regler von einer Anfrage pro Tag nach oben und beobachten Sie, wie die Kurve steigt.
Schritt 3: Modelle und Preise vergleichen
Im Kostenrechner sind die aktuellen Modelle hinterlegt, von Anthropic über OpenAI und Google bis zu Moonshot und Mistral. Eine kleine Flagge zeigt das Herkunftsland. Das günstigste Modell für Ihre Auswahl wird automatisch hervorgehoben, sodass Sie auf einen Blick die wirtschaftlichste Option erkennen.
Gut zu wissen
Die Token-Zahl ist eine fundierte Schätzung und kein offizieller Wert eines bestimmten Anbieters. Für die Budgetplanung ist sie sehr gut geeignet. Für die centgenaue Abrechnung sollten Sie die offiziellen Werte des jeweiligen Anbieters heranziehen.
Fazit
Mit dem Token-Rechner verstehen Sie in wenigen Minuten, wie ein Sprachmodell Ihren Text verarbeitet und was der Einsatz kostet. Ein Sprachmodell ist im Kern ein mathematisches Modell, und genau dieses Verständnis ist die Grundlage für einen sicheren und wirtschaftlichen Einsatz. Wenn Sie KI rechtssicher nutzen möchten, begleitet VARY.FY Sie an der Schnittstelle von Technologie, Recht und Ethik.
Autor
Sascha Scheffler ist diplomierter Maschinenbauingenieur und Experte für digitale Transformation. Er ist zertifizierter Lean Administration Expert, hat einen Master in Business with AI (MBAI®) und ist AI Integration Expert.
Die spanische Datenschutzbehörde (AEPD) hat im Februar 2026 einen 71-seitigen Leitfaden zur Nutzung von KI-Agenten veröffentlicht. Darin beschreibt sie eine simple, aber äußerst wirksame Regel für den sicheren Einsatz von KI-Agenten:
die „Rule of Two“.
Was ist die Rule of Two?
Die Grundregel ist denkbar einfach
Ein KI-Agent sollte maximal 2 von 3 dieser Eigenschaften gleichzeitig haben:
Verarbeitung nicht-vertrauenswürdiger Eingaben z.B. User-Prompts, E-Mails von außen, Formulardaten aus dem Web
Zugriff auf sensible Daten z.B. Kundendatenbank, Gesundheitsdaten, Finanzdaten, Personaldaten
Autonome Aktionen mit Personenbezug z.B. automatisch E-Mails versenden, Zahlungen auslösen, Daten löschen, Verträge abschließen
Die Kombination aller drei ohne menschliche Aufsicht ist zu vernmeiden:
Vereintein KI-Agent alle drei Eigenschaften, werden weitere Maßnahmen las Minimum erforderlich:
Verpflichtende menschliche Aufsicht (Human-in-the-Loop) Kritische Aktionen müssen vor der Ausführung von Menschen geprüft und freigegeben werden
Erweiterte Dokumentation für DSGVO-Compliance Detaillierte Risikoanalyse, Datenschutz-Folgenabschätzung (DSFA), Aufzeichnung aller Entscheidungen
Die Rule of Two wird zwar für sich gesehen nicht allein ausreichen, um für eine DSGVO-konformität bei dem Einsatz von KI-Agenten zu sorgen, sie ist aber mindestens mehr als nur eine technische Empfehlung.
Unternehmen, die diese Regel bei der Entwicklung und dem Betrieb von KI-Agenten berücksichtigen, reduzieren nicht nur rechtliche Risiken, sondern schaffen auch vertrauenswürdigere Systeme für ihre Nutzer. Die „Rule of Two“ gehört zumindest für die Entwicklung von KI-Agenten, auch in zur KI-Kompetenz.
Ab dem 19.06.2026 werden für UK Unternehmen primäre Anlaufstelle für Datenschutzbeschwerden
Ab dem 19. Juni 2026 gilt für Unternehmen unter britischem Datenschutzrecht eine wichtige Neuerung: Sie müssen ein formelles und nachvollziehbares Beschwerdemanagementsystem einrichten, speziell für Anliegen, die die Nutzung personenbezogener Daten betreffen. Dieses System ist parallel zu den bereits etablierten Prozessen für Betroffenenrechte zu führen, etwa für Auskunfts- oder Löschanfragen.
Grundlage der Änderung ist der Data (Use and Access) Act 2025 (DUAA). Diese Vorschrift ergänz den britischen Data Protection Act 2018. Konkret geht es Section 164A des Data Protection Act 2018:
164AComplaints by data subjects to controllers
(1)A data subject may make a complaint to the controller if the data subject considers that, in connection with personal data relating to the data subject, there is an infringement of the UK GDPR or Part 3 of this Act.
(2)A controller must facilitate the making of complaints under this section by taking steps such as providing a complaint form which can be completed electronically and by other means.
(3)If a controller receives a complaint under this section, the controller must acknowledge receipt of the complaint within the period of 30 days beginning when the complaint is received.
(4)If a controller receives a complaint under this section, the controller must without undue delay—
(a)take appropriate steps to respond to the complaint, and
(b)inform the complainant of the outcome of the complaint.
(5)The reference in subsection (4)(a) to taking appropriate steps to respond to the complaint includes—
(a)making enquiries into the subject matter of the complaint, to the extent appropriate, and
(b)informing the complainant about progress on the complaint.
Damit werden Unternehmen zur ersten Anlaufstelle für datenschutzrechtliche Beschwerden in Großbritannien. Betroffene Personen können sich auch direkt die britische Aufsichtsbehörde, das Information Commissioner’s Office (ICO) wenden.
Wichtig: Die europäische Datenschutz-Grundverordnung (DSGVO) ist von dieser Änderung nicht betroffen
Für betroffene Unternehmen bedeutet dies:
Beschwerden müssen innerhalb festgelegter Fristen und Verfahren direkt von Unternehmen bearbeitet werden können
Das Beschwerderecht muss in Datenschutzinformationen und bei der Beantwortung von Betroffenenanfragen erwähnt werden
Die Bearbeitung von Beschwerden wird sichtbar, überprüfbar und somit für die Aufsichtsbehörde relevant
Unzureichende oder inkonsistente Bearbeitung erhöht die Wahrscheinlichkeit von aufsichtsbehördlichem, Handeln
Diese Anforderungen bauen auf bestehenden Rechenschafts- und Transparenzpflichten der UK GDPR auf. Dabei findet eine Erweiterung der operative Beschwerdebearbeitung statt.
Welche Unternehmen sind betroffen?
Die neue Pflicht Beschwerden entgegen zu nehmen, richtet sich an jedes Unternehmen, das als Verantwortlicher im Sinne der UK GDPR (https://www.gov.uk/data-protection) personenbezogene Daten verarbeitet und damit unter die Beschwerdepflichten des Data Protection Act 2018 fällt.
Konkret betroffen sind:
Verantwortliche – unabhängig von ihrem Standort –, die über Zweck und Mittel der Verarbeitung britischer personenbezogener Daten entscheiden
Nicht-britische Unternehmen, die Waren oder Dienstleistungen für Personen im Vereinigten Königreich anbieten oder deren Verhalten beobachten
Unternehmen in gemeinsamen Verantwortlichkeiten und Konzernstrukturen, in denen Entscheidungen zur Datenverarbeitung gemeinsam getroffen werden
Hinweis für Auftragsverarbeiter: Auftragsverarbeiter sind von der Pflicht nicht direkt betroffen. Allerdings können hier Unterstützungspflichten bei der Bearbeitung von Beschwerden bestehen.
Was ist neu?
Betroffene Unternehmen müssen ab dem Stichtag Mindeststandards für die Bearbeitung datenschutzrechtlicher Beschwerden erfüllen.
Kernpflichten
Sanktionen bei Nichteinhaltung
Bei Verstößen gegen das Beschwerdeverfahren drohen Geldbußen von bis zu £8,7 Millionen oder 2 % des weltweiten Jahresumsatzes (je nachdem, welcher Betrag höher ist). Bei schwerwiegenden Datenschutzverstößen, die im Rahmen der Untersuchung festgestellt werden, können Bußgelder sogar höher ausfallen.
Weitere Informationen
Das ICO bietet folgende offizielle Guidance (Stand Mai 2026):
