The EU AI Act entered into force on 1 August 2024. As of October 2026, the implementation picture has clarified considerably — but the compliance obligation for many UK organisations with EU exposure is live, and the window for preparation has narrowed sharply.Der EU AI Act ist am 1. August 2024 in Kraft getreten. Im Oktober 2026 hat sich das Umsetzungsbild erheblich konkretisiert — doch die Compliance-Pflicht für viele britische Organisationen mit EU-Berührungspunkten ist bereits aktiv, und das Vorbereitungsfenster hat sich deutlich verengt.

What is already in forceWas bereits gilt

Since 2 February 2025, the Act's prohibitions have applied without qualification. Banned outright: AI systems that manipulate individuals using subliminal techniques; social scoring by public authorities; real-time remote biometric identification in public spaces by law enforcement (with narrow exceptions); and predictive policing based on profiling or protected characteristics. Any UK organisation deploying AI systems on the EU market in these categories is non-compliant and has been since that date.Seit dem 2. Februar 2025 gelten die Verbote der Verordnung ohne Einschränkung. Ausdrücklich verboten: KI-Systeme, die Personen durch unterschwellige Techniken manipulieren; soziales Scoring durch Behörden; Echtzeit-Fernüberwachung mittels Biometrie im öffentlichen Raum durch Strafverfolgungsbehörden (mit engen Ausnahmen); und prädiktive Polizeiarbeit auf der Grundlage von Profiling oder geschützten Merkmalen. Jede britische Organisation, die KI-Systeme dieser Kategorien auf dem EU-Markt einsetzt, ist seit diesem Datum nicht mehr compliant.

Since 2 August 2025, obligations for providers and deployers of General-Purpose AI (GPAI) models have been live. Transparency documentation, copyright policy, and technical documentation requirements now apply to any organisation placing a GPAI model on the EU market or building applications on top of one that reaches EU users.Seit dem 2. August 2025 gelten die Pflichten für Anbieter und Betreiber von KI-Modellen für allgemeine Zwecke (GPAI). Anforderungen an Transparenzdokumentation, Urheberrechtsrichtlinien und technische Dokumentation gelten nun für jede Organisation, die ein GPAI-Modell auf dem EU-Markt anbietet oder Anwendungen darauf aufbaut, die EU-Nutzer erreichen.

High-risk systems: the Omnibus deferral and where it now standsHochrisikosysteme: die Omnibus-Verschiebung und der aktuelle Stand

The original Act required compliance with high-risk AI system obligations from 2 August 2026. High-risk systems cover eight categories: biometrics; critical infrastructure; education; employment and HR; essential services; law enforcement; migration; and administration of justice.Die ursprüngliche Verordnung verlangte die Einhaltung der Anforderungen für Hochrisiko-KI-Systeme ab dem 2. August 2026. Hochrisikosysteme umfassen acht Kategorien: Biometrie; kritische Infrastruktur; Bildung; Beschäftigung und HR; wesentliche Dienste; Strafverfolgung; Migration; und Justiz.

Following the European Commission's Digital AI Omnibus proposal in late 2025 and a trilogue agreement reached in mid-2026, these obligations have been deferred: standalone Annex III high-risk systems (recruitment tools, credit scoring, education, law enforcement) now move to 2 December 2027, and AI systems embedded in regulated products to 2 August 2028. The deferral is now formally adopted. However, organisations that were already in scope for the August 2026 deadline and have not begun compliance work are not in a safe position — deferral of the deadline is not deferral of the governance work needed to meet it.Nach dem Digital-AI-Omnibus-Vorschlag der Europäischen Kommission Ende 2025 und einer im Trilog Mitte 2026 erzielten Einigung wurden diese Pflichten verschoben: Eigenständige Anhang-III-Hochrisikosysteme (Rekrutierungstools, Kreditscoring, Bildung, Strafverfolgung) werden nun auf den 2. Dezember 2027 verschoben, KI-Systeme in regulierten Produkten auf den 2. August 2028. Die Verschiebung ist formal beschlossen. Organisationen, die bereits in den Scope der August-2026-Frist fielen und noch keine Compliance-Arbeiten begonnen haben, sind jedoch nicht in einer sicheren Position — die Verschiebung der Frist ist keine Verschiebung der erforderlichen Governance-Arbeit.

Extraterritorial reach: why UK organisations remain in scopeExtraterritoriale Reichweite: warum britische Organisationen im Scope verbleiben

The UK left the EU, but the Act applies to any organisation whose AI system's output is used in the EU — regardless of where the provider is established. A UK recruitment technology firm whose software screens EU-based candidates is in scope. A UK financial services firm whose credit decisioning model affects EU customers is in scope. The UK's own domestic approach remains deliberately different — a principles-based framework enforced by existing regulators including the ICO, FCA, Ofcom, and CMA — creating a dual-track compliance design challenge for organisations operating across both markets.Das Vereinigte Königreich hat die EU verlassen, doch die Verordnung gilt für jede Organisation, deren KI-System-Output in der EU genutzt wird — unabhängig vom Sitz des Anbieters. Ein britisches Recruitment-Technologieunternehmen, dessen Software EU-Kandidaten scannt, fällt in den Scope. Ein britisches Finanzdienstleistungsunternehmen, dessen Kreditentscheidungsmodell EU-Kunden betrifft, fällt in den Scope. Der eigene britische Ansatz bleibt bewusst anders — ein prinzipienbasierter Rahmen, der von bestehenden Regulatoren wie ICO, FCA, Ofcom und CMA durchgesetzt wird — was für Organisationen auf beiden Märkten eine Dual-Track-Compliance-Herausforderung schafft.

Practical steps for October 2026Praktische Schritte für Oktober 2026

For organisations that have not yet started: the immediate priority is AI inventory and classification. Map every AI system that touches EU individuals or the EU market, and classify each against the Act's risk tiers. Many organisations discover that systems they did not categorise as AI — rules-based scoring tools, automated filtering, profiling engines — fall within the Act's broad definition. For organisations that have inventoried but not yet built documentation: technical documentation, records of conformity, and human oversight arrangements for high-risk systems take months to produce correctly. The December 2027 deadline is closer than it appears once implementation time is factored in. Start now.Für Organisationen, die noch nicht begonnen haben: Die unmittelbare Priorität ist die KI-Bestandsaufnahme und Klassifizierung. Erfassen Sie jedes KI-System, das EU-Personen oder den EU-Markt berührt, und klassifizieren Sie es nach den Risikostufen der Verordnung. Viele Organisationen stellen fest, dass Systeme, die sie nicht als KI eingestuft haben — regelbasierte Scoring-Tools, automatisierte Filter, Profiling-Engines — unter die breite Definition der Verordnung fallen. Für Organisationen, die die Bestandsaufnahme abgeschlossen, aber die Dokumentation noch nicht erstellt haben: Technische Dokumentation, Konformitätsnachweise und menschliche Überwachungsregelungen für Hochrisikosysteme brauchen Monate, bis sie korrekt vorliegen. Die Dezember-2027-Frist rückt schneller näher, als sie erscheint, wenn man die Umsetzungszeit einrechnet. Jetzt beginnen.

There is a question that every senior leadership team eventually confronts: what does privacy compliance actually return on investment? For organisations willing to look beyond the compliance lens, the answer is more substantial than most expect.Es gibt eine Frage, mit der sich jedes Führungsteam früher oder später auseinandersetzt: Was bringt Datenschutz-Compliance tatsächlich an Return on Investment? Für Organisationen, die bereit sind, über die reine Compliance-Perspektive hinauszublicken, ist die Antwort substanzieller als die meisten erwarten.

The compliance trapDie Compliance-Falle

The dominant mental model for data protection in most organisations is defensive. Compliance is a cost of doing business, a risk to be managed, a regulator to be satisfied. The ICO's record £14 million fine against Capita in October 2025 — for security failures exposing the data of 6.6 million people — is a reminder that non-compliance carries genuine financial consequence. The Data (Use and Access) Act 2025 raises the maximum PECR penalty from £500,000 to £17.5 million. The regulatory floor is rising.Das vorherrschende Denkmuster für Datenschutz ist in den meisten Organisationen defensiv. Compliance ist ein Geschäftskostenfaktor, ein zu managendes Risiko, ein zu befriedigender Regulator. Die Rekordstrafe der ICO von 14 Millionen Pfund gegen Capita im Oktober 2025 — für Sicherheitsversagen, das die Daten von 6,6 Millionen Menschen offenlegte — ist eine Erinnerung daran, dass Non-Compliance echte finanzielle Konsequenzen hat. Der Data (Use and Access) Act 2025 erhöht die maximale PECR-Strafe von 500.000 auf 17,5 Millionen Pfund. Die regulatorische Untergrenze steigt.

But the ceiling is what organisations miss. Privacy done well is not just risk mitigation. It is trust infrastructure — and trust, for organisations whose business depends on handling other people's data, is a source of competitive advantage that is genuinely difficult to replicate.Doch die Obergrenze ist das, was Organisationen verpassen. Gut umgesetzter Datenschutz ist nicht nur Risikominimierung. Er ist Vertrauensinfrastruktur — und Vertrauen ist für Organisationen, deren Geschäft auf dem Umgang mit Daten anderer beruht, ein Wettbewerbsvorteil, der sich tatsächlich schwer replizieren lässt.

What the evidence showsWas die Belege zeigen

Organisations with mature privacy programmes consistently outperform peers on client retention, particularly in regulated sectors where procurement processes routinely include detailed privacy and data security questionnaires. A supplier that cannot produce an Article 30 Record of Processing Activities, cannot evidence its DPIA process, or cannot articulate its lawful basis for proposed processing, is increasingly unlikely to win the contract.Organisationen mit ausgereiften Datenschutzprogrammen übertreffen Mitbewerber konstant bei der Kundenbindung, insbesondere in regulierten Sektoren, in denen Beschaffungsprozesse routinemäßig detaillierte Datenschutz- und Datensicherheitsfragebögen enthalten. Ein Lieferant, der kein Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 vorlegen, seinen DSFA-Prozess nicht nachweisen oder die Rechtsgrundlage für die vorgeschlagene Verarbeitung nicht benennen kann, gewinnt den Auftrag zunehmend nicht.

This is particularly pronounced in financial services, healthcare, and professional services — sectors where clients carry liability for their supply chain's data handling. The AI dimension amplifies this dynamic: as organisations deploy AI systems that process personal data at scale, whether those systems are governed properly is becoming standard due diligence in M&A, partnership, and enterprise procurement contexts.Dies ist besonders ausgeprägt in Finanzdienstleistungen, Gesundheitswesen und Professional Services — Sektoren, in denen Kunden Haftung für den Datenschutz ihrer Lieferkette tragen. Die KI-Dimension verstärkt diese Dynamik: Während Organisationen KI-Systeme einsetzen, die personenbezogene Daten in großem Maßstab verarbeiten, wird die ordnungsgemäße Governance dieser Systeme zur Standard-Due-Diligence in M&A-, Partner- und Unternehmens-Beschaffungskontexten.

The three components of privacy advantageDie drei Komponenten des Datenschutzvorteils

Trust as a sales asset. Organisations that can credibly demonstrate their privacy governance — through evidenced programmes, independent audit, and transparent practice — win business that competitors lose. Customers take privacy more seriously than you might expect — brands should too. Up to 49% of customers will switch away from their first-choice brand to their second-choice brand because of a better privacy experience. (Customers want control over their data — and won’t hesitate to switch brands to get it, Google, 2023). Getting privacy governance right is a particularly powerful tool.Vertrauen als Vertriebsasset. Organisationen, die ihre Datenschutz-Governance glaubwürdig nachweisen können — durch belegte Programme, unabhängige Audits und transparente Praxis — gewinnen Aufträge, die Wettbewerber verlieren. Kunden nehmen Datenschutz ernster als erwartet — Marken sollten es ebenso tun. Bis zu 49 % der Kunden wechseln von ihrer Erstwahlmarke zur Zweitwahl, wenn letztere ein besseres Datenschutzerlebnis bietet. (Kunden wollen die Kontrolle über ihre Daten — und zögern nicht, die Marke dafür zu wechseln, Google, 2023). Datenschutz-Governance richtig zu gestalten ist ein besonders wirkungsvolles Instrument.

Operational efficiency. A privacy programme properly embedded in the organisation's processes reduces the cost of compliance over time. DPIAs conducted early in product development are orders of magnitude cheaper than privacy remediation conducted after launch. A well-maintained RoPA means subject access requests can be fulfilled accurately and efficiently, rather than triggering a crisis search across multiple systems.Betriebliche Effizienz. Ein Datenschutzprogramm, das ordnungsgemäß in die Prozesse der Organisation eingebettet ist, reduziert die Compliance-Kosten über die Zeit. DSFA, die früh in der Produktentwicklung durchgeführt werden, sind um Größenordnungen günstiger als Datenschutz-Remediation nach dem Launch. Ein gut gepflegtes VVT bedeutet, dass Auskunftsersuchen präzise und effizient bearbeitet werden können, anstatt eine krisenhafte Suche in mehreren Systemen auszulösen.

Resilience under scrutiny. The ICO's 2025 enforcement posture shifted markedly towards serious UK GDPR security failures. Organisations with documented security measures, tested incident response plans, and clear accountability structures consistently achieve materially better regulatory outcomes when something goes wrong. The Capita fine was reduced from a proposed £45 million to £14 million, in significant part because of cooperation and remediation. Having a tested incident response plan — and a trusted adviser who can guide you through notification decisions quickly — is one of the highest-return investments in your compliance programme.Resilienz unter Aufsicht. Die Durchsetzungshaltung der ICO verlagerte sich 2025 deutlich hin zu schwerwiegenden UK-DSGVO-Sicherheitsversagen. Organisationen mit dokumentierten Sicherheitsmaßnahmen, getesteten Incident-Response-Plänen und klaren Rechenschaftsstrukturen erzielen bei Vorfällen konstant wesentlich bessere regulatorische Ergebnisse. Die Capita-Strafe wurde von ursprünglich vorgeschlagenen 45 Millionen Pfund auf 14 Millionen Pfund reduziert, maßgeblich aufgrund von Kooperation und Abhilfemaßnahmen. Ein getesteter Incident-Response-Plan — und ein vertrauenswürdiger Berater, der Sie schnell durch Meldeentscheidungen führt — ist eine der renditestärksten Investitionen in Ihr Compliance-Programm.

Building towards the ceilingDen Weg zur Obergrenze gehen

The transition from compliance-floor to trust-ceiling requires a governance decision, not just a technical one. It requires leadership teams to reframe privacy from a legal function to a strategic capability — one that is resourced, measured, and connected to the organisation's broader business objectives. Practically, this means investing in a Data Protection Officer or privacy lead with genuine seniority and board access. It means conducting an honest assessment of the current programme to understand where the real gaps are and what they cost to address. And it means making privacy legible to clients and partners through clear, honest communication about what data is collected, why, and how it is protected.Der Übergang vom Compliance-Boden zur Vertrauensdecke erfordert eine Governance-Entscheidung, nicht nur eine technische. Er erfordert von Führungsteams, Datenschutz von einer Rechtsfunktion zu einer strategischen Fähigkeit umzugestalten — einer, die ressourciert, gemessen und mit den übergeordneten Geschäftszielen der Organisation verbunden ist. Praktisch bedeutet das: Investition in einen Datenschutzbeauftragten oder einen Datenschutz-Lead mit echter Seniorität und Vorstandszugang. Es bedeutet, das aktuelle Programm ehrlich zu bewerten, um zu verstehen, wo die echten Lücken sind und was ihre Behebung kostet. Und es bedeutet, Datenschutz für Kunden und Partner durch klare, ehrliche Kommunikation über erhobene Daten, Zweck und Schutz nachvollziehbar zu machen.

Subject Access Requests are, on paper, one of the more straightforward obligations in UK data protection law. In practice, they are among the most operationally disruptive — particularly for organisations that have never designed a process to handle them at scale.Auskunftsersuchen sind auf dem Papier eine der unkomplizierteren Pflichten des britischen Datenschutzrechts. In der Praxis gehören sie zu den operativ störendsten — insbesondere für Organisationen, die nie einen Prozess zur Bearbeitung in größerem Maßstab entwickelt haben.

The problem with most SAR processesDas Problem der meisten Prozesse für Auskunftsersuchen

The majority of organisations handle SARs reactively. A request arrives — often through a general inbox, or via a member of staff who does not recognise it as a formal SAR — and is escalated to whoever is perceived to own data protection. From there, the process typically involves an informal search across whatever systems that individual can access, followed by a manual review and a response that may not be complete, accurate, or on time.Die Mehrzahl der Organisationen bearbeitet Auskunftsersuchen reaktiv. Eine Anfrage geht ein — oft über einen allgemeinen Posteingang oder über einen Mitarbeiter, der sie nicht als formelles Auskunftsersuchen erkennt — und wird an denjenigen eskaliert, der als verantwortlich für den Datenschutz gilt. Von dort umfasst der Prozess typischerweise eine informelle Suche in den zugänglichen Systemen, gefolgt von einer manuellen Prüfung und einer Antwort, die möglicherweise unvollständig, ungenau oder verspätet ist.

The Data (Use and Access) Act 2025, in force from February 2026, introduces an important clarification: organisations are only required to make reasonable and proportionate searches when responding to SARs. This codifies existing good ICO guidance, but changes the practical calculus. The question shifts from "have we checked every system?" to "have we conducted a reasonable and proportionate search, and can we evidence that?"Der Data (Use and Access) Act 2025, in Kraft seit Februar 2026, bringt eine wichtige Klarstellung: Organisationen sind bei der Beantwortung von Auskunftsersuchen nur verpflichtet, angemessene und verhältnismäßige Suchen durchzuführen. Dies kodifiziert bestehende gute ICO-Leitlinien, verändert aber das praktische Kalkül. Die Frage verlagert sich von „Haben wir jedes System überprüft?" zu „Haben wir eine angemessene und verhältnismäßige Suche durchgeführt, und können wir das nachweisen?"

A case study in rebuildEine Fallstudie zur Prozessneugestaltung

A professional services firm of approximately 400 people approached Halo after receiving an ICO complaint from a former employee who had submitted a SAR nine weeks earlier and received no response. The firm had no defined SAR process. The six-week rebuild focused on four elements: a single point of entry with auto-acknowledgement confirming the statutory deadline; a triage protocol establishing who receives, searches, and signs off each request; a system map identifying every repository that might hold relevant data and the person responsible for searching each; and response templates covering the most common scenarios, with appropriate redactions and exemptions documented. The rebuilt process also incorporated the stop-the-clock mechanism under the DUAA — pausing the response clock while awaiting clarification from the requester about a complex or wide-ranging request.Ein Professional-Services-Unternehmen mit rund 400 Mitarbeitern wandte sich an Halo, nachdem es eine ICO-Beschwerde eines ehemaligen Mitarbeiters erhalten hatte, der neun Wochen zuvor ein Auskunftsersuchen gestellt hatte und keine Antwort erhalten hatte. Das Unternehmen hatte keinen definierten Prozess für Auskunftsersuchen. Der sechswöchige Neuaufbau konzentrierte sich auf vier Elemente: einen einzigen Eingangskanal mit automatischer Empfangsbestätigung der gesetzlichen Frist; ein Triage-Protokoll, das festlegt, wer jede Anfrage empfängt, recherchiert und freigibt; eine Systemkarte, die jedes Repository mit möglicherweise relevanten Daten und den zuständigen Suchverantwortlichen identifiziert; sowie Antwortvorlagen für die häufigsten Szenarien mit dokumentierten Schwärzungen und Ausnahmen. Der neue Prozess beinhaltete auch den Fristunterbrechungsmechanismus nach dem DUAA — das Anhalten der Antwortfrist, während Klärungen vom Antragsteller zu einer komplexen oder weitreichenden Anfrage abgewartet werden.

What a good SAR process looks like in 2026Wie ein guter Prozess für Auskunftsersuchen im Jahr 2026 aussieht

A well-designed SAR process is documented, practised, and tested. It starts with a clear intake mechanism, assigns responsibility at each stage, maintains a log evidencing the search conducted and decisions made, and produces responses that are accurate, complete to the extent of a reasonable and proportionate search, and delivered within the statutory period. The log is critical. When the ICO investigates a SAR complaint — one of the most common triggers for ICO engagement with controllers — the first thing it asks for is evidence of the organisation's response process. A clear, time-stamped log showing when the request was received, what was searched, what was found, and when the response was dispatched is your primary defence against an adverse finding.Ein gut konzipierter Prozess für Auskunftsersuchen ist dokumentiert, eingeübt und getestet. Er beginnt mit einem klaren Eingangskanal, weist Verantwortung auf jeder Stufe zu, führt ein Protokoll über die durchgeführte Suche und getroffene Entscheidungen und produziert Antworten, die korrekt, im Umfang einer angemessenen und verhältnismäßigen Suche vollständig und innerhalb der gesetzlichen Frist zugestellt sind. Das Protokoll ist entscheidend. Wenn die ICO eine Beschwerde über ein Auskunftsersuchen untersucht — einer der häufigsten Auslöser für ICO-Engagement mit Verantwortlichen — ist das Erste, was sie anfordert, der Nachweis des Antwortvorgangs der Organisation. Ein klares, zeitgestempeltes Protokoll über den Eingang der Anfrage, was gesucht wurde, was gefunden wurde und wann die Antwort abgesandt wurde, ist Ihre primäre Verteidigung gegen eine nachteilige Feststellung.

Article 28 of the UK GDPR is clear: where a controller engages a processor to handle personal data on its behalf, the controller remains legally responsible for ensuring the processing complies with the law. The processor agreement does not transfer that responsibility — it only creates a contractual right of recourse if something goes wrong.Artikel 28 der UK-DSGVO ist eindeutig: Wenn ein Verantwortlicher einen Auftragsverarbeiter zur Verarbeitung personenbezogener Daten in seinem Auftrag einsetzt, bleibt der Verantwortliche rechtlich dafür verantwortlich, dass die Verarbeitung gesetzeskonform erfolgt. Der Auftragsverarbeitungsvertrag überträgt diese Verantwortung nicht — er schafft lediglich ein vertragliches Regressrecht, wenn etwas schiefläuft.

Where most organisations stopWo die meisten Organisationen aufhören

Most organisations treat vendor data protection compliance as a procurement-stage exercise. A questionnaire is completed — or a pre-completed SOC 2 report or ISO 27001 certificate is provided — and the question is considered answered. The processor agreement is signed. The data starts flowing. The relationship is reviewed, if at all, when the contract comes up for renewal.Die meisten Organisationen behandeln die Datenschutz-Compliance von Lieferanten als eine einmalige Beschaffungsübung. Ein Fragebogen wird ausgefüllt — oder ein vorab ausgefüllter SOC-2-Bericht oder ein ISO-27001-Zertifikat wird vorgelegt — und die Frage gilt als beantwortet. Der Auftragsverarbeitungsvertrag wird unterzeichnet. Die Daten fließen. Die Beziehung wird, wenn überhaupt, bei Vertragsverlängerung überprüft.

This approach is structurally insufficient — and became materially riskier in 2025. The ICO's record fine of £45 million against Capita (although it was later reduced to £14 million) arose from a cyber-attack on a processor handling data on behalf of numerous controllers. The Capita breach is the paradigm case: a processor failure creating regulatory exposure for controllers who had no direct involvement in the incident, but who were responsible for ensuring the processor's security measures were adequate.Dieser Ansatz ist strukturell unzureichend — und wurde 2025 wesentlich riskanter. Die Rekordstrafe der ICO von 45 Millionen Pfund gegen Capita (obwohl sie später auf 14 Millionen Pfund reduziert wurde) entstand aus einem Cyberangriff auf einen Auftragsverarbeiter, der Daten für zahlreiche Verantwortliche verarbeitete. Der Capita-Vorfall ist der Paradefall: ein Verarbeiterfehler, der regulatorische Risiken für Verantwortliche schafft, die nicht direkt am Vorfall beteiligt waren, aber dafür verantwortlich waren, sicherzustellen, dass die Sicherheitsmaßnahmen des Verarbeiters angemessen waren.

The DPIA question that organisations missDie DSFA-Frage, die Organisationen übersehen

When organisations conduct a DPIA for a new processing activity involving a third-party processor, they typically assess the risk of the processing itself. They less frequently assess the risk that the processor's own governance, security architecture, and subprocessor arrangements introduce. The questions worth asking are operational, not just contractual: Where, specifically, is the data stored? What are the security controls at that infrastructure layer? Who are the vendor's own subprocessors — and have you, as the controller, authorised each of them as required under Article 28(2)? What is the vendor's contractual obligation to notify you in the event of a breach? What happens to the data when the contract ends?Wenn Organisationen eine DSFA für eine neue Verarbeitungstätigkeit mit einem Drittanbieter-Auftragsverarbeiter durchführen, bewerten sie typischerweise das Risiko der Verarbeitung selbst. Seltener bewerten sie das Risiko, das die eigene Governance, Sicherheitsarchitektur und Unterauftragsverarbeiter-Arrangements des Verarbeiters einführen. Die lohnenswerten Fragen sind operationell, nicht nur vertraglich: Wo werden die Daten konkret gespeichert? Welche Sicherheitskontrollen gibt es auf dieser Infrastrukturebene? Wer sind die eigenen Unterauftragsverarbeiter des Lieferanten — und haben Sie als Verantwortlicher jeden von ihnen wie nach Artikel 28(2) gefordert genehmigt? Welche vertragliche Verpflichtung hat der Lieferant, Sie im Falle eines Vorfalls zu benachrichtigen? Was geschieht mit den Daten bei Vertragsende?

Continuous monitoring, not point-in-time assessmentKontinuierliche Überwachung statt Momentaufnahme-Bewertung

The most significant gap in most vendor risk programmes is temporal. A security questionnaire completed at procurement reflects the vendor's posture on the day it was completed. Twelve months later — after personnel changes, infrastructure migrations, or their own supply chain incidents — that assessment may be materially out of date. The EDPB's April 2025 guidance on large language model deployments crystallised a specific instance of this broader problem: controllers engaging third-party LLM providers must conduct continuous assessments, because the processing landscape changes with model updates and platform changes. For most controllers, continuous monitoring means a proportionate schedule of review combined with contractual triggers requiring vendors to notify you of material changes to their subprocessor arrangements, security architecture, or any incidents affecting your data.Die bedeutendste Lücke in den meisten Lieferantenrisikoprogrammen ist zeitlicher Natur. Ein bei der Beschaffung ausgefüllter Sicherheitsfragebogen spiegelt die Sicherheitslage des Lieferanten am Tag seiner Vervollständigung wider. Zwölf Monate später — nach Personalwechseln, Infrastrukturmigrationen oder eigenen Lieferkettenvorkommnissen — kann diese Bewertung wesentlich veraltet sein. Die EDPB-Leitlinien vom April 2025 zu Large-Language-Model-Bereitstellungen verdeutlichten eine spezifische Instanz dieses übergeordneten Problems: Verantwortliche, die Drittanbieter-LLM-Anbieter einsetzen, müssen kontinuierliche Bewertungen durchführen, da sich die Verarbeitungslandschaft mit Modellaktualisierungen und Plattformänderungen verändert. Für die meisten Verantwortlichen bedeutet kontinuierliche Überwachung einen verhältnismäßigen Überprüfungsplan kombiniert mit vertraglichen Auslösern, die Lieferanten verpflichten, Sie über wesentliche Änderungen ihrer Unterauftragsverarbeiter-Arrangements, Sicherheitsarchitektur oder Vorfälle zu informieren, die Ihre Daten betreffen.

The ICO's 2025 enforcement record is instructive not because it produced the largest number of fines in the regulator's history — it did not — but because of what the fines were for. The composition of penalties shifted dramatically, and the direction of travel in 2026 is likely to continue.Die Durchsetzungsbilanz der ICO aus dem Jahr 2025 ist lehrreich — nicht weil sie die größte Anzahl von Bußgeldern in der Geschichte des Regulators hervorgebracht hat — das tat sie nicht — sondern wegen der Gründe für die Bußgelder. Die Zusammensetzung der Sanktionen verschob sich dramatisch, und die Richtung im Jahr 2026 dürfte sich fortsetzen.

The numbersDie Zahlen

In 2024, UK GDPR breaches accounted for one sixth of all monetary penalties issued by the ICO. In the first half of 2025, that proportion rose to two thirds. The ICO issued six UK GDPR monetary penalty notices in 2025, totalling over £20 million — compared to an average of approximately £380,000 per fine in 2024, rising to just under £3 million per fine in 2025.Im Jahr 2024 machten UK-DSGVO-Verstöße ein Sechstel aller von der ICO verhängten Geldbußen aus. In der ersten Jahreshälfte 2025 stieg dieser Anteil auf zwei Drittel. Die ICO erließ 2025 sechs UK-DSGVO-Bußgeldbescheide in Höhe von insgesamt über 20 Millionen Pfund — verglichen mit einem Durchschnitt von rund 380.000 Pfund pro Bußgeld in 2024, der auf knapp 3 Millionen Pfund pro Bußgeld in 2025 stieg.

The headline case was Capita Group, fined £14 million in October 2025 for the cyber attack that exposed the personal data of 6.6 million individuals across multiple public sector clients. The original proposed fine was £45 million; the reduction reflected Capita's early settlement, cooperation with the ICO investigation, and remediation steps taken. Other significant 2025 enforcement included Advanced Computer Software (£3.07 million), 23andMe (£2.31 million), LastPass (£1.23 million), and DPP Law (£60,000) — all arising from security incidents.Der Leitfall war Capita Group, im Oktober 2025 mit 14 Millionen Pfund für den Cyberangriff bestraft, der die personenbezogenen Daten von 6,6 Millionen Personen bei mehreren öffentlichen Auftraggebern offenlegte. Die ursprünglich vorgeschlagene Strafe betrug 45 Millionen Pfund; die Reduzierung spiegelte die frühe Einigung, die Kooperation mit der ICO-Untersuchung und die ergriffenen Abhilfemaßnahmen wider. Weitere bedeutende Durchsetzungsmaßnahmen in 2025 umfassten Advanced Computer Software (3,07 Millionen Pfund), 23andMe (2,31 Millionen Pfund), LastPass (1,23 Millionen Pfund) und DPP Law (60.000 Pfund) — alle aus Sicherheitsvorfällen resultierend.

The theme: security failuresDas Muster: Sicherheitsversagen

The pattern is clear. Every significant 2025 GDPR fine arose from a security incident. The ICO is prioritising Article 32 obligations — the requirement for appropriate technical and organisational security measures — over PECR marketing and cookie consent violations that dominated enforcement in earlier years. The Data (Use and Access) Act 2025 raises the maximum PECR fine to £17.5 million, aligning it with UK GDPR maximums. The ICO's national cookies compliance check expanded to the top 1,000 UK websites in January 2025 but has so far produced corrective letters rather than fines. The warning is explicit: organisations that do not address non-compliant consent mechanisms risk escalation.Das Muster ist eindeutig. Jedes bedeutende DSGVO-Bußgeld in 2025 entstand aus einem Sicherheitsvorfall. Die ICO priorisiert Artikel-32-Pflichten — die Anforderung angemessener technischer und organisatorischer Sicherheitsmaßnahmen — gegenüber PECR-Marketing- und Cookie-Consent-Verstößen, die die Durchsetzung in früheren Jahren dominierten. Der Data (Use and Access) Act 2025 erhöht die maximale PECR-Strafe auf 17,5 Millionen Pfund, womit sie mit den UK-DSGVO-Höchstbeträgen gleichzieht. Die nationale Cookie-Compliance-Prüfung der ICO weitete sich im Januar 2025 auf die 1.000 größten britischen Websites aus, hat bisher jedoch Korrekturschreiben statt Bußgelder produziert. Die Warnung ist explizit: Organisationen, die nicht konforme Einwilligungsmechanismen nicht beheben, riskieren eine Eskalation.

What this means for your programmeWas das für Ihr Programm bedeutet

Before an incident: the ICO consistently finds that organisations subject to significant fines had identified the vulnerability that was exploited but had not remediated it. In the Capita case, unpatched systems and inadequate multi-factor authentication were known weaknesses. Article 32 requires not just security measures, but measures appropriate to the risk — which requires regular risk assessment, not a one-time implementation.Vor einem Vorfall: Die ICO stellt konsistent fest, dass Organisationen, die mit erheblichen Bußgeldern belegt wurden, die ausgenutzte Schwachstelle identifiziert, aber nicht behoben hatten. Im Capita-Fall waren ungepatchte Systeme und unzureichende Multi-Faktor-Authentifizierung bekannte Schwachstellen. Artikel 32 erfordert nicht nur Sicherheitsmaßnahmen, sondern Maßnahmen, die dem Risiko angemessen sind — was regelmäßige Risikobewertungen erfordert, keine einmalige Implementierung.

When an incident occurs: the difference between a £45 million proposed fine and a £14 million settled fine is, in significant part, about cooperation, transparency, and demonstrated remediation. Organisations that engage constructively with the ICO, notify promptly, and implement meaningful corrective action consistently achieve better outcomes. Having a tested incident response plan and a trusted adviser who can guide you through notification decisions quickly is one of the highest-return investments in your compliance programme.Bei einem Vorfall: Der Unterschied zwischen einem vorgeschlagenen Bußgeld von 45 Millionen Pfund und einem Vergleichsbußgeld von 14 Millionen Pfund besteht zu einem erheblichen Teil in Kooperation, Transparenz und nachgewiesener Abhilfe. Organisationen, die konstruktiv mit der ICO zusammenarbeiten, rechtzeitig melden und bedeutsame Korrekturmaßnahmen ergreifen, erzielen konsistent bessere Ergebnisse. Ein getesteter Incident-Response-Plan und ein vertrauenswürdiger Berater, der Sie schnell durch Meldeentscheidungen führt, ist eine der renditestärksten Investitionen in Ihr Compliance-Programm.

Legitimate interests under Article 6(1)(f) of the UK GDPR has always been the most flexible lawful basis — and the most frequently misunderstood. The Data (Use and Access) Act 2025, now in force in stages through 2026, introduces significant changes that every data protection practitioner needs to understand.Berechtigte Interessen nach Artikel 6(1)(f) der UK-DSGVO waren stets die flexibelste Rechtsgrundlage — und die am häufigsten missverstandene. Der Data (Use and Access) Act 2025, der nun stufenweise bis 2026 in Kraft tritt, bringt wesentliche Änderungen mit sich, die jeder Datenschutzpraktiker verstehen muss.

The pre-DUAA positionDie Rechtslage vor dem DUAA

Under the original UK GDPR framework, relying on legitimate interests required a three-part Legitimate Interests Assessment: identifying the legitimate interest being pursued; establishing that the processing is necessary for that purpose; and conducting a balancing test weighing the controller's interests against the rights and freedoms of the data subjects affected. The balancing test required genuine substantive analysis — evidenced in writing, and capable of being produced to the regulator if challenged.Im ursprünglichen UK-DSGVO-Rahmen erforderte die Berufung auf berechtigte Interessen eine dreiteilige Interessenabwägung: die Identifizierung des verfolgten berechtigten Interesses; die Feststellung, dass die Verarbeitung für diesen Zweck erforderlich ist; und die Durchführung eines Abwägungstests, der die Interessen des Verantwortlichen gegen die Rechte und Freiheiten der betroffenen Personen abwägt. Der Abwägungstest erforderte echte substanzielle Analyse — schriftlich nachgewiesen und im Falle einer Anfechtung dem Regulator vorzeigbar.

What the DUAA introduced: recognised legitimate interestsWas der DUAA eingeführt hat: anerkannte berechtigte Interessen

The most significant change is the concept of recognised legitimate interests — a specific list of processing activities for which the balancing test is not required. The recognised legitimate interests currently specified include: processing necessary for national security, public security and defence; processing necessary for the detection, investigation or prevention of crime; responding to requests from bodies acting in the public interest; and processing necessary for the safeguarding of vulnerable individuals. The DUAA also codifies that direct marketing can constitute a legitimate interest.Die bedeutendste Änderung ist das Konzept der anerkannten berechtigten Interessen — eine spezifische Liste von Verarbeitungstätigkeiten, für die der Abwägungstest nicht erforderlich ist. Zu den derzeit anerkannten berechtigten Interessen gehören: Verarbeitung, die für die nationale Sicherheit, öffentliche Sicherheit und Verteidigung notwendig ist; Verarbeitung, die für die Aufdeckung, Untersuchung oder Verhinderung von Straftaten notwendig ist; die Beantwortung von Anfragen von im öffentlichen Interesse tätigen Stellen; sowie Verarbeitung zum Schutz gefährdeter Personen. Der DUAA kodifiziert auch, dass Direktmarketing ein berechtigtes Interesse darstellen kann.

The ICO published new guidance on recognised legitimate interests on 23 March 2026. The guidance emphasises that even where the balancing test is removed, controllers must still assess whether the processing is necessary for the recognised purpose. It draws a clear distinction between the new recognised legitimate interests basis and the general legitimate interests basis, which continues to require a full LIA.Die ICO veröffentlichte am 23. März 2026 neue Leitlinien zu anerkannten berechtigten Interessen. Diese betonen, dass Verantwortliche auch dort, wo der Abwägungstest entfällt, weiterhin prüfen müssen, ob die Verarbeitung für den anerkannten Zweck erforderlich ist. Die Leitlinien ziehen eine klare Grenze zwischen der neuen Grundlage der anerkannten berechtigten Interessen und der allgemeinen Grundlage der berechtigten Interessen, die weiterhin eine vollständige Interessenabwägung erfordert.

Automated decision-making and the DUAAAutomatisierte Entscheidungsfindung und der DUAA

The DUAA also amends the UK GDPR's automated decision-making provisions. Legitimate interests can now be used as a lawful basis for solely automated decisions that produce significant effects on individuals, provided they do not involve special category data and appropriate safeguards are implemented — including informing individuals about the decision and providing a right to challenge it. This is a meaningful change for organisations operating AI-driven decisioning systems in credit assessment, targeted marketing, and customer risk scoring.Der DUAA ändert auch die Vorschriften der UK-DSGVO zur automatisierten Entscheidungsfindung. Berechtigte Interessen können nun als Rechtsgrundlage für ausschließlich automatisierte Entscheidungen mit erheblichen Auswirkungen auf Personen herangezogen werden, sofern diese keine besonderen Kategorien personenbezogener Daten betreffen und angemessene Schutzmaßnahmen implementiert werden — einschließlich der Information der Betroffenen über die Entscheidung und der Einräumung eines Anfechtungsrechts. Dies ist eine bedeutsame Änderung für Organisationen, die KI-gesteuerte Entscheidungssysteme in der Kreditbewertung, im zielgerichteten Marketing und im Kundenrisiko-Scoring betreiben.

Practical implicationsPraktische Implikationen

If you currently rely on legitimate interests for any processing activity, your Article 30 RoPA and associated LIAs need to be reviewed in light of the DUAA changes. For activities that fall within a recognised legitimate interest, you may be able to simplify your documentation — removing the balancing test record whilst retaining the necessity assessment. Continuing to conduct unnecessary balancing tests for recognised legitimate interests is inefficient; but relying on recognised legitimate interests for processing that does not actually qualify creates a lawful basis gap that could be exposed in an ICO investigation or data subject challenge.Wenn Sie sich derzeit für Verarbeitungstätigkeiten auf berechtigte Interessen stützen, muss Ihr VVT nach Artikel 30 und die zugehörigen Interessenabwägungen im Lichte der DUAA-Änderungen überprüft werden. Bei Tätigkeiten, die unter ein anerkanntes berechtigtes Interesse fallen, können Sie Ihre Dokumentation vereinfachen — den Abwägungstestnachweis entfernen und dabei die Erforderlichkeitsprüfung beibehalten. Weiterhin unnötige Abwägungstests für anerkannte berechtigte Interessen durchzuführen ist ineffizient; sich jedoch auf anerkannte berechtigte Interessen für Verarbeitungen zu stützen, die tatsächlich nicht in Frage kommen, schafft eine Lücke in der Rechtsgrundlage, die in einer ICO-Untersuchung oder einem Widerspruch einer betroffenen Person aufgedeckt werden könnte.

Article 38(3) of the UK GDPR is explicit: the Data Protection Officer must report to the highest management level of the controller. Most organisations comply with the letter of that requirement. Very few comply with its spirit — and the difference between the two is visible in both regulatory outcomes and the commercial value the privacy function delivers.Artikel 38(3) der UK-DSGVO ist eindeutig: Der Datenschutzbeauftragte muss der höchsten Führungsebene des Verantwortlichen Bericht erstatten. Die meisten Organisationen erfüllen den Wortlaut dieser Anforderung. Sehr wenige erfüllen ihren Sinn — und der Unterschied zwischen beiden ist sowohl in regulatorischen Ergebnissen als auch im kommerziellen Wert der Datenschutzfunktion sichtbar.

Why the reporting line mattersWarum die Berichtslinie zählt

The independence requirement exists because the DPO's primary obligation is to the law, not to the organisation's commercial interests. A DPO who reports to the General Counsel is supervised by a legal function with its own conflicts: the GC advises the business on how to achieve its objectives and may face internal pressure to facilitate processing the DPO would otherwise advise against. Placing the DPO within IT creates a different problem — privacy becomes a technical function rather than a governance one, and board-level risk decisions about data are made by people who do not attend board meetings.Das Unabhängigkeitserfordernis besteht, weil die primäre Pflicht des DSB dem Gesetz gilt, nicht den kommerziellen Interessen der Organisation. Ein DSB, der dem Chefjuristen unterstellt ist, wird von einer Rechtsfunktion beaufsichtigt, die eigene Interessenkonflikte hat: Der Chefjurist berät das Unternehmen, wie es seine Ziele erreichen kann, und sieht sich möglicherweise internem Druck ausgesetzt, Verarbeitungen zu erleichtern, von denen der DSB andernfalls abrät. Die Eingliederung des DSB in die IT schafft ein anderes Problem — Datenschutz wird zu einer technischen statt einer Governance-Funktion, und Entscheidungen über Datenrisiken auf Vorstandsebene werden von Personen getroffen, die nicht an Vorstandssitzungen teilnehmen.

The ICO's position is unambiguous: the DPO must report to the highest level of management — the board, the CEO, or the equivalent. Failure to provide appropriate structural positioning is itself a breach of Article 38. More practically, a DPO who cannot get to the board without going through an intermediary function is a DPO whose advice can be filtered, delayed, or deprioritised before it reaches the people accountable for acting on it.Die Position der ICO ist eindeutig: Der DSB muss der höchsten Führungsebene Bericht erstatten — dem Vorstand, dem CEO oder dem Äquivalent. Das Versäumnis, eine angemessene strukturelle Positionierung sicherzustellen, ist selbst ein Verstoß gegen Artikel 38. Praktischer ausgedrückt: Ein DSB, der den Vorstand nicht erreichen kann, ohne eine Zwischenfunktion zu durchlaufen, ist ein DSB, dessen Rat gefiltert, verzögert oder zurückgestellt werden kann, bevor er die für seine Umsetzung Verantwortlichen erreicht.

What senior management actually gets from thisWas das Topmanagement davon hat

Organisations that structure DPO reporting correctly — direct line to the board or audit committee, quarterly standing agenda item, unfiltered access to the executive — consistently find that the privacy function delivers more commercial value, not just better compliance. The reasons are structural. When the DPO attends board meetings, board members understand what privacy risk looks like before it becomes a regulatory issue. When the DPO has direct access to the CFO and CEO, budget decisions about the privacy programme are made with full information about the risk trade-offs. When the DPO is part of the executive conversation about new products, AI initiatives, and partnerships, privacy is integrated into the design rather than bolted on at the end.Organisationen, die die DSB-Berichterstattung korrekt strukturieren — direkte Linie zum Vorstand oder Prüfungsausschuss, vierteljährlicher fester Tagesordnungspunkt, ungefilterter Zugang zur Geschäftsführung — stellen konsistent fest, dass die Datenschutzfunktion mehr kommerziellen Wert liefert, nicht nur bessere Compliance. Die Gründe sind strukturell. Wenn der DSB an Vorstandssitzungen teilnimmt, verstehen Vorstandsmitglieder, wie Datenschutzrisiken aussehen, bevor sie zu einem regulatorischen Problem werden. Wenn der DSB direkten Zugang zu CFO und CEO hat, werden Budgetentscheidungen über das Datenschutzprogramm mit vollständigen Informationen über die Risiko-Kompromisse getroffen. Wenn der DSB Teil des Führungsgesprächs über neue Produkte, KI-Initiativen und Partnerschaften ist, wird Datenschutz in das Design integriert statt nachträglich angehängt.

That integration has a measurable commercial value. Data breaches are more expensive to remediate when privacy governance is weak — both in direct regulatory costs and in the reputational damage that follows. DPIAs that surface privacy risks early in a product development cycle cost a fraction of the remediation required when those risks are discovered by a regulator or an activist data subject. An organisation with a functioning DPO at board level is also better positioned in enterprise procurement and M&A due diligence, where data governance has become a standard assessment criteria.Diese Integration hat einen messbaren kommerziellen Wert. Datenschutzverletzungen sind teurer zu beheben, wenn die Datenschutz-Governance schwach ist — sowohl in direkten regulatorischen Kosten als auch im daraus folgenden Reputationsschaden. DSFA, die Datenschutzrisiken früh im Produktentwicklungszyklus aufdecken, kosten einen Bruchteil der Abhilfemaßnahmen, die erforderlich sind, wenn diese Risiken von einem Regulator oder einer aktivistischen betroffenen Person entdeckt werden. Eine Organisation mit einem funktionierenden DSB auf Vorstandsebene ist auch besser positioniert in der Unternehmens-Beschaffung und M&A-Due-Diligence, wo Daten-Governance zu einem Standard-Bewertungskriterium geworden ist.

Practical recommendationsPraktische Empfehlungen

1. Establish a quarterly board or audit committee report. The DPO should attend in person, not present through a proxy. The report should cover: the current state of the data protection programme against the annual plan; any significant new processing activities approved in the period; outstanding DPIA actions and their risk status; any ICO correspondence or data subject rights complaints; incident volumes, timeliness metrics, and any near-misses; and the DPO's view of the top three emerging privacy risks facing the organisation. This is not a compliance update — it is a risk management conversation, and it should be framed as one.1. Einen vierteljährlichen Vorstand- oder Prüfungsausschussbericht etablieren. Der DSB sollte persönlich teilnehmen, nicht durch einen Stellvertreter präsentieren. Der Bericht sollte abdecken: den aktuellen Stand des Datenschutzprogramms gegenüber dem Jahresplan; etwaige bedeutende neue Verarbeitungstätigkeiten, die im Berichtszeitraum genehmigt wurden; offene DSFA-Maßnahmen und deren Risikostatus; jegliche ICO-Korrespondenz oder Beschwerden über Betroffenenrechte; Vorfallsvolumina, Fristen-Kennzahlen und Fast-Vorfälle; sowie die Einschätzung des DSB zu den drei größten aufkommenden Datenschutzrisiken für die Organisation. Dies ist kein Compliance-Update — es ist ein Risikomanagement-Gespräch und sollte als solches gerahmt werden.

2. Give the DPO a seat at the product and technology governance table. Any new product, system, or AI initiative that processes personal data should require DPO sign-off at the design stage, not the launch stage. Build this into the organisation's change governance and project approval processes. The DPIA is not the DPO's only tool — their presence in early-stage decisions is more valuable than any document produced after the architecture is fixed.2. Dem DSB einen Platz am Produkt- und Technologie-Governance-Tisch geben. Jedes neue Produkt, System oder jede KI-Initiative, das personenbezogene Daten verarbeitet, sollte die Genehmigung des DSB in der Designphase erfordern, nicht in der Startphase. Integrieren Sie dies in die Change-Governance und Projektgenehmigungsprozesse der Organisation. Die DSFA ist nicht das einzige Instrument des DSB — ihre Präsenz bei frühen Entscheidungen ist wertvoller als jedes Dokument, das nach Festlegung der Architektur erstellt wird.

3. Tie DPO resource to risk, not budget cycles. One of the most consistent findings in ICO enforcement cases is that the organisation's privacy function was under-resourced relative to its processing footprint. The DPO should present an annual resource assessment to the board alongside the risk report — not to legal or compliance, but to the executive accountable for approving it. Boards that understand what the DPO does are far more likely to fund it adequately.3. DSB-Ressourcen am Risiko ausrichten, nicht an Budgetzyklen. Eines der konsistentesten Erkenntnisse in ICO-Durchsetzungsfällen ist, dass die Datenschutzfunktion der Organisation im Verhältnis zu ihrem Verarbeitungsumfang unterfinanziert war. Der DSB sollte dem Vorstand neben dem Risikobericht eine jährliche Ressourcenbewertung vorlegen — nicht der Rechts- oder Compliance-Abteilung, sondern dem für die Genehmigung verantwortlichen Führungsgremium. Vorstände, die verstehen, was der DSB tut, werden ihn mit weitaus größerer Wahrscheinlichkeit angemessen finanzieren.

4. Review the DPO's structural position now, not after an incident. If your DPO reports to the GC, to IT, or to a compliance function that does not have direct board access, the governance structure is creating risk that compounds over time. The restructuring conversation is straightforward — it is the conversation about why the current structure was chosen that is usually more revealing.4. Die strukturelle Position des DSB jetzt prüfen, nicht nach einem Vorfall. Wenn Ihr DSB dem Chefjuristen, der IT oder einer Compliance-Funktion ohne direkten Vorstandszugang unterstellt ist, schafft die Governance-Struktur Risiken, die sich über die Zeit kumulieren. Das Restrukturierungsgespräch ist unkompliziert — es ist das Gespräch darüber, warum die aktuelle Struktur gewählt wurde, das in der Regel aufschlussreicher ist.

International data transfers remain one of the most operationally complex areas of data protection compliance. The landscape in 2026 is materially different from 2018, and different again from 2022. Understanding where the law currently stands requires attention to three distinct frameworks: the UK position, the EU position, and the interaction between them.Internationale Datenübermittlungen bleiben einer der operativ komplexesten Bereiche der Datenschutz-Compliance. Die Lage im Jahr 2026 unterscheidet sich wesentlich von 2018 und erneut von 2022. Um den aktuellen Rechtsstand zu verstehen, sind drei unterschiedliche Rahmenwerke zu beachten: die britische Position, die EU-Position und das Wechselspiel zwischen ihnen.

The UK framework after the DUAADer britische Rahmen nach dem DUAA

The Data (Use and Access) Act 2025 codified the UK's risk-based, outcomes-focused approach to adequacy assessments, replacing the EU's test of essential equivalence with a new threshold: the third country must offer data protection safeguards not materially lower than those available in the UK. This is a deliberate liberalisation. In practice, the UK retains adequacy decisions for the EU, EEA, and a list of countries including the US via the UK–US Data Bridge, in force since October 2023. For transfers to countries without UK adequacy, International Data Transfer Agreements (IDTAs) remain the primary mechanism.Der Data (Use and Access) Act 2025 kodifizierte den risikobasierten, ergebnisorientierten britischen Ansatz bei Angemessenheitsbewertungen und ersetzte den EU-Test der wesentlichen Gleichwertigkeit durch einen neuen Maßstab: Das Drittland muss Datenschutzgarantien bieten, die nicht wesentlich niedriger sind als die im Vereinigten Königreich verfügbaren. Dies ist eine bewusste Liberalisierung. In der Praxis behält das Vereinigte Königreich Angemessenheitsentscheidungen für die EU, den EWR und eine Liste von Ländern einschließlich der USA über die UK–US Data Bridge bei, die seit Oktober 2023 in Kraft ist. Für Übermittlungen in Länder ohne britische Angemessenheit bleiben International Data Transfer Agreements (IDTAs) der primäre Mechanismus.

The EU-US Data Privacy FrameworkDas EU-US-Datenschutzrahmenwerk

The EU-US Data Privacy Framework (DPF) was upheld by the EU General Court in September 2025, following a legal challenge. The court found that the DPF's redress mechanism provides meaningful judicial redress for EU individuals — a significant decision providing medium-term stability for organisations relying on the DPF for EU-US transfers. However, experienced practitioners continue to maintain Standard Contractual Clauses as a backup alongside DPF reliance. The DPF remains politically exposed, and DPF certification covers only specific types of processing by certified US organisations — many US vendors are not DPF certified, and SCCs remain necessary for transfers to them.Das EU-US-Datenschutzrahmenwerk (DPF) wurde vom Gericht der Europäischen Union im September 2025 nach einer rechtlichen Anfechtung bestätigt. Das Gericht befand, dass der Rechtsbehelfsmechanismus des DPF EU-Personen einen wirksamen gerichtlichen Rechtsschutz bietet — eine bedeutsame Entscheidung, die mittelfristige Stabilität für Organisationen schafft, die das DPF für EU-US-Übermittlungen nutzen. Erfahrene Praktiker pflegen jedoch weiterhin Standardvertragsklauseln als Backup neben der DPF-Nutzung. Das DPF bleibt politisch exponiert, und die DPF-Zertifizierung deckt nur bestimmte Verarbeitungsarten durch zertifizierte US-Organisationen ab — viele US-Lieferanten sind nicht DPF-zertifiziert, und SCCs bleiben für Übermittlungen an diese notwendig.

Transfer Impact Assessments in 2026Transfer-Folgenabschätzungen im Jahr 2026

Transfer Impact Assessments (TIAs) remain a live obligation for organisations relying on SCCs or IDTAs. The most common TIA gap in 2026 is not in the initial assessment but in maintenance. A TIA conducted two years ago may be materially out of date given changes in US privacy law, the DPF General Court judgment, and updates to EDPB guidance. The DUAA commencement regulations of February 2026 require organisations to refresh TIAs to reflect the new 'not materially lower' standard. The practical message: audit your international transfer inventory, confirm which mechanism covers each transfer, verify that your processors and sub-processors are covered, and ensure your TIAs are current.Transfer-Folgenabschätzungen (TIAs) bleiben eine lebendige Pflicht für Organisationen, die auf SCCs oder IDTAs angewiesen sind. Die häufigste TIA-Lücke im Jahr 2026 liegt nicht in der Erstbewertung, sondern in der Pflege. Eine vor zwei Jahren durchgeführte TIA kann angesichts von Änderungen im US-Datenschutzrecht, dem DPF-Urteil des EU-Gerichts und Updates der EDPB-Leitlinien wesentlich veraltet sein. Die DUAA-Durchführungsverordnungen vom Februar 2026 fordern Organisationen auf, TIAs zu aktualisieren, um dem neuen Standard „nicht wesentlich niedriger" zu entsprechen. Die praktische Botschaft: Prüfen Sie Ihr internationales Übermittlungsinventar, bestätigen Sie, welcher Mechanismus jede Übermittlung abdeckt, stellen Sie sicher, dass Ihre Auftragsverarbeiter und Unterauftragsverarbeiter erfasst sind, und gewährleisten Sie, dass Ihre TIAs aktuell sind.

Organisations are investing heavily in artificial intelligence. Most are getting incremental efficiency gains at best. The gap between deploying AI tools and building an AI-transformed organisation is not primarily a technology problem — it is a governance, culture, and strategy problem.Organisationen investieren massiv in Künstliche Intelligenz. Die meisten erzielen bestenfalls inkrementelle Effizienzgewinne. Die Lücke zwischen dem Einsatz von KI-Tools und dem Aufbau einer KI-transformierten Organisation ist primär kein Technologieproblem — es ist ein Governance-, Kultur- und Strategieproblem.

The programme vs. the projectDas Programm vs. das Projekt

The most common failure mode in enterprise AI adoption is treating it as a project rather than a programme. A project has a defined start, end, and deliverable. A transformation programme has evolving objectives, measurable business outcomes, and leadership accountability that extends far beyond the IT function. When AI is deployed as a standalone project — a new tool rolled out to a team, a model integrated into a single workflow — it is evaluated by whether it was delivered on time and on budget. The more important question — whether it changed how the organisation creates value — is rarely asked, because it was never set as the objective.Das häufigste Scheitermuster bei der Einführung von KI in Unternehmen ist die Behandlung als Projekt statt als Programm. Ein Projekt hat einen definierten Beginn, ein Ende und ein Ergebnis. Ein Transformationsprogramm hat sich entwickelnde Ziele, messbare Geschäftsergebnisse und Führungsverantwortung, die weit über die IT-Funktion hinausgeht. Wenn KI als eigenständiges Projekt eingesetzt wird — ein neues Tool, das einem Team ausgerollt wird, ein Modell, das in einen einzelnen Workflow integriert wird — wird es daran gemessen, ob es pünktlich und im Budget geliefert wurde. Die wichtigere Frage — ob es verändert hat, wie die Organisation Wert schafft — wird selten gestellt, weil sie nie als Ziel formuliert wurde.

This matters because the costs of AI adoption are real and immediate — licence fees, integration work, training time, process disruption — while the benefits are contingent on behaviour change that takes months to materialise. Organisations that cannot point to clear KPIs for their AI programmes at the outset will not be able to demonstrate return on investment when it matters: at the next budget cycle, or when a board asks whether the investment was justified.Das ist bedeutsam, weil die Kosten der KI-Einführung real und unmittelbar sind — Lizenzgebühren, Integrationsarbeit, Schulungszeit, Prozessunterbrechungen — während die Vorteile von Verhaltensänderungen abhängen, die Monate benötigen, um sich zu materialisieren. Organisationen, die für ihre KI-Programme von Anfang an keine klaren KPIs vorweisen können, werden bei Bedarf keinen Return on Investment nachweisen können: beim nächsten Budgetzyklus oder wenn ein Vorstand fragt, ob die Investition gerechtfertigt war.

Technology is the easy partDie Technologie ist der einfache Teil

Every organisation that has undertaken a significant AI implementation discovers the same thing: the technology works faster than the people. Deploying a model is an engineering task with a defined endpoint. Changing how a team works — redesigning workflows, building internal trust in AI-generated outputs, shifting professionals from routine tasks to higher-level strategic thinking — is a change management challenge that most organisations are not adequately resourced to handle.Jede Organisation, die eine bedeutende KI-Implementierung unternommen hat, entdeckt dasselbe: Die Technologie funktioniert schneller als die Menschen. Ein Modell einzusetzen ist eine Engineering-Aufgabe mit einem definierten Endpunkt. Die Arbeitsweise eines Teams zu verändern — Workflows neu zu gestalten, internes Vertrauen in KI-generierte Outputs aufzubauen, Fachleute von Routineaufgaben zu strategischerem Denken zu verlagern — ist eine Change-Management-Herausforderung, für die die meisten Organisationen nicht angemessen ressourciert sind.

The resistance is not irrational. A lawyer who has spent two decades drafting from scratch does not naturally trust a model to produce a reliable first draft without extensive review. A compliance analyst does not immediately believe that an AI-generated risk summary is as reliable as one they produced themselves. This scepticism is healthy — but it must be managed. Organisations that launch AI tools without an accompanying change programme, and without visible senior sponsorship, consistently find that adoption stalls at the enthusiast layer and never reaches the mainstream of the organisation.Der Widerstand ist nicht irrational. Ein Anwalt, der zwei Jahrzehnte lang von Grund auf neu verfasst hat, vertraut einem Modell nicht von Natur aus, einen verlässlichen Erstentwurf ohne umfangreiche Prüfung zu produzieren. Ein Compliance-Analyst glaubt nicht sofort, dass eine KI-generierte Risikoübersicht so verlässlich ist wie eine selbst erstellte. Diese Skepsis ist gesund — aber sie muss gemanagt werden. Organisationen, die KI-Tools ohne ein begleitendes Change-Programm und ohne sichtbare Senior-Sponsorship einführen, stellen konsistent fest, dass die Einführung auf der Ebene der Enthusiasten ins Stocken gerät und nie den Mainstream der Organisation erreicht.

Shallow implementation and the governance gapOberflächliche Implementierung und die Governance-Lücke

Most enterprise AI implementations remain operational rather than transformative. They automate existing tasks rather than redesigning the work itself. A document review tool that speeds up a process that was already inefficient produces a faster version of the same problem. The transformative question — should this process exist in this form at all, and if we were designing it for an AI-native organisation, what would it look like — is rarely asked at the point of implementation.Die meisten KI-Implementierungen in Unternehmen bleiben operationell statt transformativ. Sie automatisieren bestehende Aufgaben statt die Arbeit selbst neu zu gestalten. Ein Dokumentenprüfungstool, das einen bereits ineffizienten Prozess beschleunigt, produziert eine schnellere Version desselben Problems. Die transformative Frage — sollte dieser Prozess in dieser Form überhaupt existieren, und wenn wir ihn für eine KI-native Organisation gestalten würden, wie würde er aussehen — wird am Implementierungspunkt selten gestellt.

This shallowness is compounded by inadequate governance. AI systems deployed without proper oversight frameworks — without documented risk assessments, model cards, audit trails, and human review protocols — create liability exposure that grows with scale. The EU AI Act and the FCA's emerging AI governance expectations are making explicit what good organisations already understood: AI deployment is not a technology decision alone. It is a governance decision, and the organisations that treat it as such are building sustainable competitive advantage. Those that treat it as a procurement decision are accumulating technical and regulatory debt.Diese Oberflächlichkeit wird durch unzureichende Governance verstärkt. KI-Systeme, die ohne ordnungsgemäße Überwachungsrahmen eingesetzt werden — ohne dokumentierte Risikobewertungen, Modellkarten, Audit-Trails und menschliche Prüfprotokolle — schaffen Haftungsrisiken, die mit dem Maßstab wachsen. Der EU AI Act und die entstehenden KI-Governance-Erwartungen der FCA machen explizit, was gute Organisationen bereits verstanden haben: KI-Einsatz ist nicht allein eine Technologieentscheidung. Es ist eine Governance-Entscheidung, und die Organisationen, die sie als solche behandeln, bauen nachhaltigen Wettbewerbsvorteil auf. Jene, die sie als Beschaffungsentscheidung behandeln, häufen technische und regulatorische Schulden an.

Building for transformation, not just adoptionAuf Transformation ausrichten, nicht nur auf Einführung

Transformative AI implementation requires four things that most organisations underinvest in: clear business outcome KPIs agreed before deployment; executive sponsorship that creates visible accountability at senior level; a change management programme that runs alongside the technical implementation; and a governance framework that scales with the organisation's AI footprint. None of these is complicated in principle. All of them require resources, discipline, and leadership commitment that goes beyond the initial enthusiasm of the business case. The organisations that get this right do not just deploy AI. They become different organisations — faster, more analytically capable, and better positioned for the regulatory environment that is being built around them.Transformative KI-Implementierung erfordert vier Dinge, in die die meisten Organisationen zu wenig investieren: klare Geschäftsergebnis-KPIs, die vor dem Einsatz vereinbart werden; Executive-Sponsorship, das auf Führungsebene sichtbare Rechenschaftspflicht schafft; ein Change-Management-Programm, das parallel zur technischen Implementierung läuft; und einen Governance-Rahmen, der mit dem KI-Fußabdruck der Organisation skaliert. Keines davon ist grundsätzlich kompliziert. Alle erfordern Ressourcen, Disziplin und Führungsengagement, das über die anfängliche Begeisterung des Business Case hinausgeht. Die Organisationen, die das richtig machen, setzen nicht nur KI ein. Sie werden andere Organisationen — schneller, analytisch leistungsfähiger und besser positioniert für die regulatorische Umgebung, die um sie herum aufgebaut wird.

In 2023, a leading health technology company achieved what had not previously been accomplished in the UK: UKCA marking for a multi-condition AI-powered digital health platform regulated as a Class IIb medical device. The approval was not merely a commercial milestone for the organisation concerned. It was a proof of concept for the regulatory pathway — and a signal to the broader health technology sector about the governance standards now required for AI-enabled clinical software.Im Jahr 2023 erreichte ein führendes Gesundheitstechnologieunternehmen, was im Vereinigten Königreich zuvor nicht gelungen war: die UKCA-Kennzeichnung für eine multiindikative, KI-gestützte digitale Gesundheitsplattform, die als Medizinprodukt der Klasse IIb reguliert wird. Die Zulassung war nicht nur ein kommerzieller Meilenstein für die betreffende Organisation. Sie war ein Proof of Concept für den Regulierungsweg — und ein Signal an den breiteren Gesundheitstechnologiesektor bezüglich der nun erforderlichen Governance-Standards für KI-gestützte klinische Software.

What the approval requiredWas die Zulassung erforderte

Software as a Medical Device (SaMD) regulation in the UK is governed by the Medical Devices Regulations 2002, as retained and amended post-Brexit, with UKCA marking replacing CE marking for devices placed on the UK market. Class IIb represents a medium-to-high risk classification — one step below the highest risk tier — and carries correspondingly rigorous conformity assessment requirements, including involvement of a UK Approved Body.Die Regulierung von Software als Medizinprodukt (SaMD) im Vereinigten Königreich unterliegt den Medical Devices Regulations 2002 in ihrer nach dem Brexit beibehaltenen und geänderten Fassung, wobei die UKCA-Kennzeichnung die CE-Kennzeichnung für auf dem britischen Markt bereitgestellte Geräte ersetzt. Klasse IIb stellt eine mittlere bis hohe Risikoklassifizierung dar — eine Stufe unterhalb des höchsten Risikosegments — und trägt entsprechend strenge Konformitätsbewertungsanforderungen, einschließlich der Einbeziehung einer britischen anerkannten Stelle.

For an AI-powered platform managing clinical data across multiple health conditions, the technical documentation requirements are substantial. Clinical evidence must demonstrate safety and performance. The software lifecycle processes must satisfy IEC 62304. The risk management framework must meet ISO 14971. And uniquely for AI systems — which can change their behaviour as they process new data — the organisation must demonstrate how it will maintain conformity after deployment: the ongoing monitoring obligations, the change control processes, and the point at which a model update constitutes a change requiring regulatory notification.Für eine KI-gestützte Plattform, die klinische Daten über mehrere Gesundheitszustände hinweg verwaltet, sind die Anforderungen an die technische Dokumentation erheblich. Klinische Belege müssen Sicherheit und Leistung nachweisen. Die Software-Lebenszyklusvorgänge müssen IEC 62304 erfüllen. Das Risikomanagement-Rahmenwerk muss ISO 14971 entsprechen. Und einzigartig für KI-Systeme — die ihr Verhalten ändern können, wenn sie neue Daten verarbeiten — muss die Organisation nachweisen, wie sie die Konformität nach der Bereitstellung aufrechterhalten wird: die laufenden Überwachungspflichten, die Änderungskontrollprozesse und den Punkt, an dem ein Modell-Update eine regulierungsnotifizierungspflichtige Änderung darstellt.

The data governance dimensionDie Datenschutz-Governance-Dimension

What regulators and health system partners increasingly recognise — and what this approval made concrete — is that the data governance obligations of a regulated AI medical device extend well beyond the device itself. The training data on which a clinical AI model is built determines its behaviour. The data governance framework that governs how patient data is collected, processed, and used to retrain the model is therefore a regulatory matter, not merely a compliance one.Was Regulatoren und Gesundheitssystempartner zunehmend erkennen — und was diese Zulassung konkret gemacht hat — ist, dass die Datenschutz-Governance-Pflichten eines regulierten KI-Medizinprodukts weit über das Gerät selbst hinausgehen. Die Trainingsdaten, auf denen ein klinisches KI-Modell aufgebaut wird, bestimmen sein Verhalten. Der Datenschutz-Governance-Rahmen, der regelt, wie Patientendaten für das Nachtraining des Modells gesammelt, verarbeitet und genutzt werden, ist daher eine regulatorische Angelegenheit, nicht nur eine Compliance-Frage.

UK GDPR obligations apply to the processing of special category health data used in model training. The NHS Data Security and Protection Toolkit sets requirements for organisations accessing NHS patient data. HIPAA obligations apply to health data involving US individuals. For a platform operating internationally, the data governance architecture must simultaneously satisfy multiple overlapping frameworks — and must be documented in a form that regulators, health system partners, and patients can interrogate.UK-DSGVO-Pflichten gelten für die Verarbeitung besonderer Kategorien von Gesundheitsdaten, die im Modelltraining verwendet werden. Das NHS Data Security and Protection Toolkit stellt Anforderungen an Organisationen, die auf NHS-Patientendaten zugreifen. HIPAA-Pflichten gelten für Gesundheitsdaten, die US-Personen betreffen. Für eine international tätige Plattform muss die Datenschutz-Governance-Architektur gleichzeitig mehrere überlappende Rahmenwerke erfüllen — und muss in einer Form dokumentiert sein, die Regulatoren, Gesundheitssystempartner und Patienten überprüfen können.

What this means for health technology businessesWas das für Gesundheitstechnologieunternehmen bedeutet

The approval demonstrated that the regulatory pathway exists and is navigable — but it also demonstrated the investment required. Organisations that approach medical device regulation as a compliance overhead to be minimised will find it is neither efficient nor achievable at the standard required. Organisations that build data governance and regulatory compliance into their engineering and product lifecycle from the outset — treating these as architecture principles rather than late-stage additions — will find that the pathway, while demanding, produces a defensible product and a competitive differentiator.Die Zulassung hat gezeigt, dass der Regulierungsweg existiert und gangbar ist — aber auch, welche Investitionen erforderlich sind. Organisationen, die die Medizinprodukteregulierung als zu minimierenden Compliance-Overhead behandeln, werden feststellen, dass sie weder effizient noch auf dem erforderlichen Standard erreichbar ist. Organisationen, die Datenschutz-Governance und regulatorische Compliance von Beginn an in ihre Engineering- und Produktlebenszyklen einbauen — diese als Architekturprinzipien statt als Ergänzungen im Spätstadium behandeln — werden feststellen, dass der Weg, obwohl anspruchsvoll, ein vertretbares Produkt und einen Wettbewerbsvorteil hervorbringt.

For health technology businesses operating in the UK that are considering whether their AI-enabled software may constitute a medical device, the first question is not the regulatory classification itself but the data and governance infrastructure on which a regulatory submission would rest. Building that infrastructure requires both privacy expertise and an understanding of the specific demands of product regulation in clinical environments — and it requires both to work in concert, not in sequence.Für im Vereinigten Königreich tätige Gesundheitstechnologieunternehmen, die erwägen, ob ihre KI-gestützte Software ein Medizinprodukt darstellen könnte, ist die erste Frage nicht die regulatorische Klassifizierung selbst, sondern die Daten- und Governance-Infrastruktur, auf der eine regulatorische Einreichung beruhen würde. Der Aufbau dieser Infrastruktur erfordert sowohl Datenschutzexpertise als auch ein Verständnis für die spezifischen Anforderungen der Produktregulierung in klinischen Umgebungen — und beides muss im Gleichklang, nicht nacheinander funktionieren.