Zwei Dokumente entstehen, wenn ein Unternehmen Bestandsdaten für eine neue KI-Funktion weiterverwendet: die Vereinbarkeitsprüfung nach Art. 6 Abs. 4 DSGVO und die Folgenabschätzung nach Art. 35. Beide bleiben im Haus. Art. 13 Abs. 3 verlangt einen dritten Schritt, und der geht hinaus: Der Verantwortliche stellt der betroffenen Person «vor dieser Weiterverarbeitung» Informationen über «diesen anderen Zweck» zur Verfügung. Eigener Adressat, eigener Termin.

«Zur Verfügung stellen» ist eine Handlung, kein Zustand. Die vom EDSA übernommenen Leitlinien WP260 rev.01 lesen das Verb in Art. 13 und 14 so, dass der Verantwortliche aktiv zustellt: Die betroffene Person soll die Information nicht suchen müssen, eine nur online abrufbare Datenschutzerklärung genügt dafür nicht. Beim Zeitpunkt gehen die Leitlinien über den Wortlaut hinaus: Zwischen Mitteilung und Bearbeitungsbeginn muss eine angemessene Frist liegen, und je eingriffsintensiver oder unerwarteter die Weiterverarbeitung für die betroffene Person ist, desto länger muss sie ausfallen. Beruht der neue Zweck weder auf Einwilligung noch auf einer Rechtsvorschrift, verlangen dieselben Leitlinien zudem, der betroffenen Person die Prüfung nach Art. 6 Abs. 4 zu erklären — welche Interessen abgewogen wurden und weshalb sie zugunsten der Weiterverarbeitung ausfielen. Die interne Prüfung ersetzt die Mitteilung damit nicht, sie liefert deren Inhalt.

Die verbreitete Praxis erledigt beides nicht. Die Datenschutzerklärung wird am Tag des Rollouts still aktualisiert, versehen mit dem Hinweis, man möge sie regelmässig prüfen. Genau diesen Hinweis hält WP260 rev.01 für ungenügend und überdies für unfair im Sinne von Art. 5 Abs. 1 Bst. a DSGVO. Änderungen brauchen einen eigenen Kanal, E-Mail oder Brief, dieser Änderung gewidmet und nicht der Werbung beigepackt.

Was das kostet, trennt Art. 83 DSGVO sauber. Verstösse gegen die Betroffenenrechte der Art. 12 bis 22 stehen nach Abs. 5 Bst. b im Rahmen von 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs. Die Folgenabschätzung nach Art. 35 fällt unter Abs. 4 Bst. a: 10 Mio. Euro oder 2 Prozent. Die Hälfte, die Ihr Team dokumentiert hat, ist die günstigere.

Schweizer Verantwortliche haben diesen Reparaturweg nicht. Art. 6 Abs. 3 DSG erlaubt die Beschaffung nur «zu einem bestimmten und für die betroffene Person erkennbaren Zweck», und Art. 19 DSG knüpft die Informationspflicht ebenfalls an die Beschaffung — nicht an eine spätere Mitteilung. Eine Aktualisierung der Datenschutzerklärung im Juli 2026 macht den KI-Zweck nicht rückwirkend erkennbar; wer die Grenze trotzdem überschreitet, braucht die Einwilligung der betroffenen Person oder einen Rechtfertigungsgrund nach Art. 31 DSG — ein überwiegendes privates oder öffentliches Interesse, das im Einzelfall zu belegen ist. Die Verletzung von Art. 19 ist nach Art. 60 Abs. 1 DSG auf Antrag mit Busse bis 250 000 Franken bedroht. Die Folgenabschätzung nach Art. 22 DSG steht in diesem Katalog nicht.

Für Montag ein Kalendereintrag. Nehmen Sie die KI-Vorhaben, die auf Bestandsdaten laufen, und setzen Sie neben das Go-Live-Datum ein zweites: den Tag, an dem die Mitteilung hinausgeht. Fehlt der Abstand, verschieben Sie das erste.

Bekannt ist der Text. Die Verordnung (EU) 2026/1744, seit heute in Kraft, ändert die KI-Verordnung und nicht die DSGVO, wie wir gestern festhielten. Offen ist die zweite Hälfte des Omnibus. Der vorgeschlagene Art. 88c DSGVO würde Entwicklung und Betrieb von KI-Systemen als berechtigtes Interesse im Sinne von Art. 6 Abs. 1 Bst. f qualifizieren — er schreibt aber, wie Osborne Clarke den Entwurf liest, kein gesetzlich vermutetes überwiegendes Interesse fest und nimmt der Interessenabwägung im Einzelfall nichts vorweg. Die Schutzmassnahmen für diese Abwägung stehen in einem eigenen Artikel, dem vorgeschlagenen Art. 88a DSGVO: Datenminimierung bei der Auswahl der Datenquellen und ein unbedingtes Widerspruchsrecht, das über Art. 21 hinausgeht, weil es ohne Angabe von Gründen wirkt. An Art. 6 Abs. 4 und an den Art. 13 und 14 rührt keiner der beiden Entwürfe, wie Osborne Clarke den Entwurf liest. Entschieden wird zuerst im Rat: Die zyprische Präsidentschaft zog ihren Kompromisstext Ende Juni aus dem COREPER-II-Verfahren zurück, weil die qualifizierte Mehrheit fehlte, und übergab am 1. Juli ohne Position an Irland. Das Datum für Ihren Kalender ist die allgemeine Ausrichtung des Rates unter irischem Vorsitz.