Die Termine, die die Regeln bereits verändert haben, und jene, die es gleich tun. Markierungen wechseln automatisch, sobald Fristen verstreichen.
21. März 2025
Erfolgt
Mexiko. Neues LFPDPPP in Kraft; SABG löst INAI als Aufsichtsbehörde ab.
30. März 2025
Erfolgt
Peru. Neu gefasste Datenschutzverordnung tritt in Kraft: Cookies, Biometrie, digitale Dienste.
1. Juni 2025
Erfolgt
Malaysia. Pflichten zur Meldung von Datenschutzverletzungen und zur Bestellung eines Datenschutzbeauftragten treten im Rahmen der Änderungen von 2024 in Kraft.
19. Juni 2025
Erfolgt
Vereinigtes Königreich. Der Data (Use and Access) Act 2025 erhält die königliche Zustimmung.
1. Juli 2025
Erfolgt
Vietnam. Das Datengesetz (Kern- und wichtige Daten) tritt in Kraft.
14. Aug. 2025
Erfolgt
Israel. Novelle 13 in Kraft: Bußgeldbefugnisse der PPA, moderne Begriffsbestimmungen, Pflichten zur Bestellung eines Datenschutzbeauftragten.
23. Aug. 2025
Erfolgt
Brasilien. Frist der ANPD zur Anpassung bestehender Verträge an die brasilianischen SCCs läuft ab.
14. Sept. 2025
Erfolgt
Nigeria. Allgemeiner Stichtag zur Einhaltung der GAID 2025 im Rahmen des NDPA.
13. Nov. 2025
Erfolgt
Indien. DPDP-Regeln werden bekannt gegeben; die Bestimmungen zur Einrichtung des Data Protection Board treten in Kraft, und die Phasenfrist beginnt zu laufen.
31. Dez. 2025
Erfolgt
Vereinigte Staaten. Nachbesserungsfrist in Delaware läuft aus.
1. Jan. 2026
Erfolgt
Brunei. Materielle Pflichten nach der Personal Data Protection Order 2025 treten in Kraft.
1. Jan. 2026
Erfolgt
Vereinigte Staaten. Gesetze in Indiana, Kentucky und Rhode Island treten in Kraft; Kaliforniens Vorschriften zu ADMT, Risikoabschätzungen und Cybersicherheits-Audits treten mit stufenweiser Umsetzung in Kraft; die Löschmechanismen für Datenmakler in Kalifornien werden schrittweise eingeführt.
1. Jan. 2026
Erfolgt
Vietnam. PDPL (Gesetz 91/2025) und Dekret 356/2025 in Kraft.
5. Feb. 2026
Erfolgt
Vereinigtes Königreich. Wesentliche datenschutzrechtliche Änderungen des DUAA und der PECR treten in Kraft (SI 2026/82).
17. März 2026
Erfolgt
Brasilien. ECA Digital in Kraft: Altersverifizierung, Instrumente für Eltern und ein Verbot profilbasierter Werbung gegenüber Minderjährigen.
1. Apr. 2026
Erfolgt
Vereinigte Staaten. Nachbesserungsfrist in Montana läuft aus.
19. Juni 2026
Erfolgt
Vereinigtes Königreich. Weitere Bestimmungen des DUAA treten in Kraft.
23. Juni 2026
Erfolgt
Kamerun. Gesetz Nr. 2024/017 tritt mit dem Ende der 18-monatigen Übergangsfrist vollständig in Kraft; die Aufsichtsbehörde wurde noch nicht eingerichtet.
1. Juli 2026
Erfolgt
Vereinigte Staaten. Änderungen in Connecticut, Utah und Arkansas treten in Kraft: Erweiterung des Anwendungsbereichs des CTDPA, Arkansas' ACTOPPA für Kinder und Jugendliche, Virginias Verbot des Verkaufs präziser Standortdaten.
1. Juli 2026
Erfolgt
Vietnam. Neues Cybersicherheitsgesetz in Kraft.
1. Aug. 2026
Erfolgt
Türkei. Änderungen der Werbeverordnung in Kraft: gezielte Werbung muss ihre Kriterien offenlegen, und profilbasiertes Targeting von Kindern ist verboten.
1. Aug. 2026
Erfolgt
Vereinigte Staaten. Kaliforniens Delete Act: Datenmakler müssen DROP-Löschanträge bearbeiten; die erweiterte Registrierungspflicht für Datenmakler gilt.
11. Sept. 2026
Erfolgt
Südkorea. PIPA-Novelle in Kraft: Bußgelder bis zu 10 % des Gesamtumsatzes bei wiederholten, groß angelegten oder anordnungswidrigen Verstößen.
27. Sept. 2026
Erfolgt
Vereinigte Staaten. Kalifornien: Der Gouverneur hat AB 1542 (Verbot des Verkaufs und der Weitergabe sensibler Daten) per Veto gestoppt und SB 923 (Löschung von Dritten erhaltener Daten) sowie AB 883 (Löschmechanismus für Datenhändler) unterzeichnet, beide wirksam ab 1. Januar 2027.
30. Sept. 2026
Anstehend
Vereinigte Staaten. Unterzeichnungsfrist in Kalifornien für die noch offenen Datenschutzgesetze: SB 690 (CIPA-Pen-Register-Reform) und AB 2561 (Datenschutzeinstellungen).
30. Sept. 2026
Anstehend
Vereinigtes Königreich. Die ICO wird zur Information Commission, einer vom Verwaltungsrat geführten Behörde nach dem Data (Use and Access) Act 2025; ihre Aufgaben und der im Alltag verwendete Name ICO bleiben unverändert.
1. Okt. 2026
Anstehend
Vereinigte Staaten. Connecticut SB 4 tritt in Kraft: Verbot des Verkaufs präziser Geolokalisierungsdaten und Transparenzpflichten für Gesichtserkennung, zusammen mit einem am selben Tag geltenden Verbot der Überwachungspreisbildung.
2. Nov. 2026
Anstehend
Ägypten. Die einjährige Übergangsfrist nach der Durchführungsverordnung zum PDPL läuft um dieses Datum herum aus. Lizenzen, unter anderem für direktes elektronisches Marketing und grenzüberschreitende Datenübermittlungen, werden durchsetzbar.
13. Nov. 2026
Anstehend
Indien. DPDP Phase zwei: Die Bestimmungen zu Einwilligungsverwaltern treten in Kraft, und Verwalter können sich beim Datenschutzausschuss registrieren.
30. Nov. 2026
Anstehend
Peru. Mittelgroße Unternehmen müssen nach der Verordnung von 2025 einen Datenschutzbeauftragten bestellt haben. Kleine und Kleinstunternehmen folgen 2027 und 2028.
1. Dez. 2026
Anstehend
Chile. Gesetzlicher Starttermin von Gesetz 21.719 für neue Rechte, Pflichten, die Behörde und umsatzabhängige Bußgelder, sofern nicht zuvor der anhängige Gesetzentwurf zur Verschiebung auf 1. Dezember 2027 verabschiedet wird.
10. Dez. 2026
Anstehend
Australien. Stichtag zur Registrierung des Children's Online Privacy Code; Datenschutzerklärungen müssen künftig automatisierte Entscheidungen offenlegen, die Einzelpersonen erheblich betreffen.
31. Dez. 2026
Anstehend
Europäische Union. Frühestmöglicher realistischer Zeitraum für die Annahme des Datenpakets des Digital Omnibus; die Ergebnisse des Trilogs sind zu beobachten.
1. Jan. 2027
Anstehend
Vereinigte Staaten. Umfassende Gesetze in Louisiana und Oklahoma treten in Kraft; die Registrierungspflicht für Datenmakler in Connecticut beginnt; Kaliforniens 2026 unterzeichnete Datenschutzgesetze und die Rechte der CCPA zu automatisierten Entscheidungen werden wirksam.
17. Jan. 2027
Anstehend
Japan. Strengere Strafvorschriften und ein neuer Straftatbestand der unrechtmäßigen Beschaffung aus der APPI-Novelle 2026 treten in Kraft.
1. Mai 2027
Anstehend
Vereinigte Staaten. Alabamas umfassendes Gesetz tritt in Kraft.
13. Mai 2027
Anstehend
Indien. DPDP Phase drei: Vorgaben zu Hinweisen, Einwilligung, Rechten, Sicherheit, Meldung von Datenschutzverletzungen und Kinderschutz gelten, ebenso die Durchsetzungsbefugnisse des Datenschutzausschusses und Bußgelder bis zu 2,5 Mrd. INR.
1. Jan. 2028
Anstehend
Vereinigte Staaten. Vermonts umfassendes Gesetz tritt in Kraft.
17. Juli 2028
Anstehend
Japan. Spätester Termin für den restlichen Teil der APPI-Novelle 2026 (genaues Datum per Kabinettsverordnung): Verwaltungszuschläge, Ausnahmen von der Einwilligungspflicht für KI und Statistik sowie Regeln zu biometrischen Daten und Personen unter 16 Jahren.
Zwei Termine sind für Werbetreibende am wichtigsten. 1. Januar 2027 bringt Louisiana und Oklahoma online, aktiviert Kaliforniens Rechte zu automatisierten Entscheidungen und setzt die Gesetze in Kraft, die Sacramento im September unterzeichnet hat, darunter die Pflicht aus SB 923 zur Löschung von Drittdaten. 13. Mai 2027 ist der Zeitpunkt, an dem Indiens DPDP-Pflichten und -Bußgelder endlich für die zweitgrößte Online-Bevölkerung der Welt gelten. Chiles Starttermin 1. Dezember 2026 ist am ehesten noch änderbar, da ein Gesetzentwurf anhängig ist, der ihn auf Dezember 2027 verschieben würde.
Diese Seite zitieren: „Der globale Compliance-Kalender für Datenschutzrecht.“ Digital Privacy Regulations, 28. September 2026, https://digitalprivacyregs.com/de/calendar.html. Abgerufen am [Datum].