DSGVO-Verfahrensverordnung (VO 2025/2518) – Neue Fristen für grenzüberschreitende Beschwerden ab 02.04.2027 In Kraft

Kernfakten

Geltungsbereich

Als Verordnung gilt die VO 2025/2518 unmittelbar in allen EU-/EWR-Staaten und bedarf keiner nationalen Umsetzung. Sie greift ausschließlich bei grenzüberschreitender Verarbeitung im Sinne von Art. 4 Nr. 23 DSGVO – also wenn ein Verantwortlicher oder Auftragsverarbeiter in mehreren Mitgliedstaaten niedergelassen ist oder die Verarbeitung Betroffene in mehreren Mitgliedstaaten erheblich beeinträchtigt. Rein nationale Sachverhalte, die von einer einzelnen Landesaufsichtsbehörde ohne Kohärenzverfahren bearbeitet werden, bleiben von der Verordnung unberührt und richten sich weiterhin nach dem nationalen Verfahrensrecht (in Deutschland u. a. § 20 BDSG, § 44 BDSG – siehe [[dsgvo-beschwerde-aufsichtsbehoerde-art-77-79]]).

Adressaten sind in erster Linie die Aufsichtsbehörden selbst, die künftig harmonisierte Zulässigkeits-, Beteiligungs- und Fristregeln anwenden müssen, sowie der EDSA, dem in Streitfällen weiterhin die verbindliche Streitbeilegung nach Art. 65 DSGVO obliegt. Für Unternehmen mit grenzüberschreitender Verarbeitung bedeutet die Verordnung mehr Verfahrensrechte (Anhörung, Akteneinsicht in wesentliche Aspekte des Verfahrens vor der Entscheidung) bei gleichzeitig schnelleren, klar terminierten Verfahren. Für betroffene Personen, die eine grenzüberschreitende Beschwerde einlegen, verbessert sich die Vorhersehbarkeit der Bearbeitungsdauer.

Hintergrund: Warum diese Verordnung?

Grenzüberschreitende DSGVO-Verfahren laufen über das One-Stop-Shop-Prinzip (Art. 56 DSGVO): Zuständig ist die Aufsichtsbehörde am Ort der Hauptniederlassung des Verantwortlichen, die im Kohärenzverfahren (Art. 60–63 DSGVO) mit den betroffenen Aufsichtsbehörden der anderen Mitgliedstaaten zusammenarbeiten muss. In der Praxis konzentrierten sich dadurch viele Verfahren gegen große Technologiekonzerne bei einzelnen Behörden – vor allem der irischen Data Protection Commission und der luxemburgischen CNPD – während die DSGVO selbst für dieses Zusammenarbeitsverfahren kaum konkrete Fristen vorsah. Das Europäische Parlament, mehrere Mitgliedstaaten und der EDSA kritisierten wiederholt, dass Verfahren dadurch mehrere Jahre dauern konnten, bevor eine endgültige, EDSA-bestätigte Entscheidung vorlag.

Die Europäische Kommission legte den Verordnungsvorschlag am 4. Juli 2023 vor (Verfahren 2023/0202/COD). Nach Trilog-Einigung zwischen Parlament und Rat im ersten Halbjahr 2025 nahm der Rat den Text am 17. November 2025 förmlich an; die endgültige Fassung wurde am 26. November 2025 unterzeichnet und am 12. Dezember 2025 veröffentlicht.

Die neuen Fristen im Überblick

Kernstück der Verordnung ist ein gestuftes Fristenregime für das Kohärenzverfahren:

• Zulässigkeitsprüfung (Art. 4 Abs. 2): Die empfangende Aufsichtsbehörde muss innerhalb von zwei Wochen prüfen, ob eine Beschwerde die formalen Mindestanforderungen (u. a. Identität des Beschwerdeführers, Bezeichnung des Verantwortlichen, Sachverhaltsschilderung) erfüllt, und eine unzulässige Beschwerde entsprechend zurückweisen.
• Weiterleitung an die federführende Behörde (Art. 4 Abs. 5): Ist ein anderer Mitgliedstaat betroffen, muss die Beschwerde spätestens sechs Wochen nach Eingang an die zuständige federführende Aufsichtsbehörde weitergeleitet werden.
• Bestätigung der Zuständigkeit (Art. 4 Abs. 6): Die federführende Behörde muss innerhalb von sechs Wochen ihre Zuständigkeit bestätigen oder die Frage dem EDSA vorlegen.
• Zusammenfassung der wesentlichen Aspekte (Art. 10 Abs. 3, 4): Nach spätestens drei Monaten muss die federführende Behörde den Beteiligten – Beschwerdeführer und untersuchtem Unternehmen – eine Zusammenfassung der wesentlichen Sach- und Rechtsfragen übermitteln; die Beteiligten haben dann vier Wochen Zeit für eine Stellungnahme.
• Beschlussentwurf (Art. 12 Abs. 1, 6): Im Regelverfahren muss der Beschlussentwurf innerhalb von 15 Monaten nach Zuständigkeitsbestätigung vorliegen; bei besonders komplexen Fällen ist eine einmalige Verlängerung möglich, wodurch sich die Gesamtdauer in der Spitze auf rund 27 Monate verlängern kann. Für einfach gelagerte Fälle sieht Art. 12 Abs. 6 ein vereinfachtes Verfahren mit einer 12-Monats-Frist vor.

Eine Überschreitung dieser Fristen führt nicht automatisch zur Rechtswidrigkeit eines später ergehenden Beschlusses. Sie ist aber als Untätigkeit relevant: Betroffene Personen können sich in diesem Fall weiterhin auf den bereits bestehenden Untätigkeitsrechtsbehelf nach Art. 78 Abs. 2 DSGVO stützen (siehe [[dsgvo-beschwerde-aufsichtsbehoerde-art-77-79]]) und die überschrittene Verfahrensfrist als Beleg dafür anführen, dass die Behörde sich nicht innerhalb angemessener Zeit mit der Sache befasst hat.

Vereinfachtes Verfahren und einvernehmliche Beilegung

Für unstreitige oder einfach gelagerte Fälle erlaubt die Verordnung den Aufsichtsbehörden, auf das volle Kohärenzverfahren zu verzichten und stattdessen ein leichtgewichtiges Kooperationsmodell mit verkürzter 12-Monats-Frist zu nutzen. Ergänzend sieht die Verordnung eine frühzeitige einvernehmliche Erledigung vor: Kommt es zwischen Beschwerdeführer und Verantwortlichem zu einer Einigung (etwa durch Abhilfemaßnahmen des Unternehmens), kann das Verfahren mit Zustimmung des Beschwerdeführers vorzeitig beendet werden. Wichtig für die Praxis: Eine solche einvernehmliche Erledigung berührt nicht die Befugnis der federführenden Behörde, unabhängig davon weiterhin nach Art. 58 DSGVO tätig zu werden – einschließlich der Möglichkeit, ein Bußgeld nach Art. 83 DSGVO zu verhängen, wenn sie dies für erforderlich hält.

Verhältnis zu Art. 58 DSGVO und den bestehenden Aufsichtsbehörden-Befugnissen

Die VO 2025/2518 ist eine reine Verfahrensverordnung. Sie verändert nicht den Katalog der Untersuchungsbefugnisse (u. a. Anordnung von Auskünften, Datenschutzüberprüfungen), der Abhilfebefugnisse (Warnung, Verwarnung, Anweisung, Verarbeitungsbeschränkung oder -verbot, Löschungsanordnung, Bußgeld) und der Genehmigungsbefugnisse (u. a. Genehmigung von Standardvertragsklauseln oder Verhaltensregeln) aus Art. 58 Abs. 1–3 DSGVO. Diese materiellen Befugnisse bestehen unverändert fort und werden in der Praxis weiterhin nach den von Gerichten entwickelten Grundsätzen ausgeübt – etwa dem vom EuGH in C-768/21 (Land Hessen) bestätigten Auswahlermessen der Behörde bei der Wahl der Abhilfemaßnahme.

Neu ist ausschließlich der verfahrensrechtliche Rahmen, innerhalb dessen diese Befugnisse in grenzüberschreitenden Fällen ausgeübt werden: harmonisierte Zulässigkeitskriterien, eine klare Rollenverteilung zwischen federführender Behörde und den übrigen betroffenen Behörden, verbindliche Fristen sowie Beteiligungsrechte für Beschwerdeführer und untersuchte Unternehmen (Anhörung, Zugang zu einer Zusammenfassung der wesentlichen Aspekte vor der Entscheidung). Die Verordnung ändert außerdem nicht das verbindliche Streitbeilegungsverfahren des EDSA nach Art. 65 DSGVO, das bei Uneinigkeit zwischen den beteiligten Aufsichtsbehörden weiterhin greift.

Gestaffeltes Inkrafttreten

Die Verordnung folgt einem zweistufigen Zeitplan: Sie ist bereits am 1. Januar 2026 als Rechtsakt in Kraft getreten (Inkrafttreten), ihre zentralen Verfahrenskapitel zu Zulässigkeit, Zuständigkeit, Fristen und Streitbeilegung werden aber erst 15 Monate später, also ab dem 2. April 2027, anwendbar (Geltungsbeginn) – und zwar auf amtswegige Untersuchungen und Beschwerden, die ab diesem Datum eingeleitet bzw. eingelegt werden. Für Verfahren, die bereits vor dem 2. April 2027 anhängig sind, gilt weiterhin das bisherige, in der DSGVO selbst nur rudimentär geregelte Kohärenzverfahren. Diese Übergangslogik entspricht dem in der Verordnung üblichen Muster, komplexen Verfahrensvorschriften eine ausreichend lange Vorlaufzeit für die Anpassung von IT-Systemen und internen Abläufen der Aufsichtsbehörden einzuräumen.

Häufige Fehler

• „Die Verordnung ändert die Bußgeldhöhen nach Art. 83 DSGVO." Falsch – die Bußgeldvorschriften bleiben unverändert; die VO 2025/2518 regelt ausschließlich das Verfahren bei grenzüberschreitenden Fällen.
• „Ab sofort gelten die neuen Fristen für alle Beschwerden." Falsch – die zentralen Fristen- und Verfahrenskapitel sind erst ab dem 2. April 2027 anwendbar; bis dahin gilt das bisherige Recht.
• „Die Verordnung betrifft nur Beschwerden von Verbrauchern." Falsch – sie erfasst auch amtswegige Untersuchungen der Aufsichtsbehörden bei grenzüberschreitender Verarbeitung.
• „Rein nationale Datenschutzfälle sind ebenfalls betroffen." Falsch – die Verordnung gilt nur bei grenzüberschreitender Verarbeitung im Sinne von Art. 4 Nr. 23 DSGVO; rein nationale Sachverhalte richten sich weiterhin nach nationalem Verfahrensrecht.
• „Deutschland muss die Verordnung erst noch umsetzen." Falsch – als EU-Verordnung ist sie nach Art. 288 Abs. 2 AEUV unmittelbar anwendbar; ein nationales Umsetzungsgesetz ist nicht erforderlich.
• „Eine Fristüberschreitung macht den späteren Bußgeldbescheid automatisch unwirksam." Nicht belegt – die Verordnung sieht hierfür keine automatische Unwirksamkeitsfolge vor; Betroffene können eine Fristüberschreitung aber im Rahmen der Untätigkeitsklage nach Art. 78 Abs. 2 DSGVO geltend machen.
• „Die Verordnung schafft eine neue Aufsichtsbehörde auf EU-Ebene." Falsch – zuständig bleiben die nationalen Aufsichtsbehörden im One-Stop-Shop-Verfahren; der EDSA behält seine bisherige Rolle als Streitbeilegungsgremium nach Art. 65 DSGVO.

Änderungsverlauf

• 2026-09-27: Erstveröffentlichung der Faktenseite. Regelungsinhalt anhand des EUR-Lex-Volltextes (VO 2025/2518), der EUR-Lex-Verfahrensakte 2023/0202/COD sowie der Ratspressemitteilung vom 17.11.2025 recherchiert. Fristenkatalog (Art. 4, 10, 12) gegen mehrere unabhängige Fachquellen abgeglichen. factcheck_status auf „review_needed" gesetzt, weil der genaue Schlussartikel zum Inkrafttreten (Datum 01.01.2026 nach dem unionsrechtlichen 20-Tage-Regelmechanismus abgeleitet) sowie einzelne Detailformulierungen der Fristenartikel noch unmittelbar gegen den vollständigen, ungekürzten Amtsblatt-Text zu verifizieren sind. | change_type=initial_publication reviewed_by="Andreas Warkentin" field="topic_lifecycle" new="published"

Stand

• Stand: 2026-09-27
• Gültig ab (Inkrafttreten): 2026-01-01
• Anwendbar ab: 2027-04-02
• Status: aktuell
• Quellenautorität: A (EUR-Lex); ergänzend Rat der EU und Europäisches Parlament (Sekundärbestätigung)
• Lizenz: CC BY 4.0

Quellen

• Verordnung (EU) 2025/2518 des Europäischen Parlaments und des Rates vom 26. November 2025 zur Festlegung zusätzlicher Verfahrensregeln für die Durchsetzung der Verordnung (EU) 2016/679 – Volltext (EUR-Lex, deutsche Fassung): https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=OJ:L_202502518 A
• Dieselbe Verordnung, englische Fassung (EUR-Lex): https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:L_202502518 A
• EUR-Lex-Verfahrensakte 2023/0202/COD (Gesetzgebungshistorie, Trilog, Annahme): https://eur-lex.europa.eu/procedure/EN/2023_202 A
• Rat der Europäischen Union, Pressemitteilung vom 17.11.2025: „Council adopts new EU law to speed-up handling of cross-border data protection complaints": https://www.consilium.europa.eu/en/press/press-releases/2025/11/17/council-adopts-new-eu-law-to-speed-up-handling-cross-border-data-protection-complaints/ A
• Europäisches Parlament, Legislative-Train-Dossier zur Verfahrensverordnung: https://www.europarl.europa.eu/legislative-train/theme-protecting-our-democracy-upholding-our-values/file-specifying-procedural-rules-relating-to-the-enforcement-of-the-gdpr A
• Verordnung (EU) 2016/679 (DSGVO), Art. 56, 57, 58, 60–65, 78, 83 – Volltext (EUR-Lex): https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679 A