Verordnung (EU) 2026/1881 des Europäischen Parlaments und des Rates vom 24. Juli 2026 über eine vorübergehende Ausnahme von bestimmten Vorschriften der Richtlinie 2002/58/EG hinsichtlich der Verwendung von Technologien durch Anbieter nummernunabhängiger interpersoneller Kommunikationsdienste zur Verarbeitung personenbezogener und anderer Daten zwecks Bekämpfung des sexuellen Missbrauchs von Kindern im Internet (Text von Bedeutung für den EWR)

Die Verordnung ist eine unmittelbar geltende EU-Verordnung und schafft als zeitlich befristete, eng begrenzte Sonderregelung eine Ausnahme von Artikel 5 Absatz 1 und Artikel 6 Absatz 1 der Richtlinie 2002/58/EG. Systematisch steht sie im Schnittfeld von ePrivacy-Recht, Datenschutz-Grundverordnung und unionsrechtlichem Kinderschutz und stützt sich auf Artikel 16 Absatz 2 und Artikel 114 Absatz 1 AEUV. Inhaltlich erlaubt sie Anbietern nummernunabhängiger interpersoneller Kommunikationsdienste unter strengen Voraussetzungen den Einsatz spezieller Technologien, um Online-Material über sexuellen Missbrauch von Kindern und Kontaktaufnahmen zu Kindern aufzudecken, zu melden und entsprechendes Material zu entfernen. Die Regelung gilt nur vorübergehend bis zum 3. April 2028 und soll die Zeit bis zu einem langfristigen unionsrechtlichen Rechtsrahmen überbrücken. • Der Anwendungsbereich erfasst Anbieter nummernunabhängiger interpersoneller Kommunikationsdienste wie Messaging, Internet-Sprachtelefonie und webgestützte E-Mail-Dienste, soweit sie freiwillig spezielle Technologien zur Erkennung von sexuellem Missbrauch von Kindern im Internet einsetzen. Erfasst sind außerdem Aufsichtsbehörden, die Kommission, nationale Strafverfolgungs- und Justizbehörden sowie mittelbar Organisationen, die im öffentlichen Interesse gegen sexuellen Missbrauch von Kindern vorgehen. Ausgenommen sind das Durchsuchen von Audiokommunikation sowie interpersonelle Kommunikation, bei der Ende-zu-Ende-Verschlüsselung verwendet wurde oder wird. Unberührt bleiben außerdem nationale Regeln zum Berufsgeheimnis, etwa für Ärzte, Journalisten und Rechtsanwälte, sowie sonstige Pflichten aus der Datenschutz-Grundverordnung. • In der Praxis dürfen betroffene Anbieter Kommunikationsinhalte und zugehörige Verkehrsdaten nicht frei, sondern nur unter eng begrenzten Voraussetzungen verarbeiten: erforderlich sind unter anderem datenschutzrechtliche Folgenabschätzung, vorherige Konsultation, möglichst eingriffsarme Technik, menschliche Überprüfung vor Meldungen, Beschwerdemechanismen, transparente Nutzerinformation und strikte Löschfristen. Die Verordnung schafft damit keine allgemeine Überwachungserlaubnis, sondern eine befristete Ausnahme mit Kontroll-, Dokumentations- und Berichtspflichten.

Stand: 21.10.2026

Anbieter nummernunabhängiger interpersoneller Kommunikationsdienste: • Pflicht: Spezielle Technologien nur einsetzen, soweit dies unbedingt erforderlich, verhältnismäßig und auf Inhaltsdaten sowie damit verbundene Verkehrsdaten beschränkt ist. • Pflicht: Vor Einsatz der Technologie grundsätzlich eine Datenschutz-Folgenabschätzung und eine vorherige Konsultation mit der zuständigen Aufsichtsbehörde durchführen; für bestimmte Alt- und neue Technologien gelten Übergangsregelungen bis zum 1. April 2027. • Pflicht: Menschliche Überprüfung, interne Schutzverfahren, Beschwerdemechanismen, Nutzerinformationen, sichere Speicherung bei Verdachtsfällen, unverzügliche Meldung begründeter Verdachtsfälle sowie jährliche Berichte an Aufsichtsbehörde und Kommission sicherstellen. • Empfehlung: Technologien und Prozesse so ausgestalten, dass Fehlerquoten minimiert, Löschfristen strikt eingehalten und Meldungen an Behörden oder einschlägige Organisationen nachvollziehbar dokumentiert werden. Aufsichtsbehörden: • Pflicht: Die in den Geltungsbereich der Verordnung fallende Verarbeitung im Rahmen der Zuständigkeiten und Befugnisse nach Kapitel VI Abschnitt 1 der Verordnung (EU) 2016/679 überwachen. • Pflicht: Im Rahmen der vorherigen Konsultation schriftliche Empfehlungen zu eingesetzten Technologien abgeben. • Empfehlung: Prüfmaßstäbe insbesondere auf Verhältnismäßigkeit, Datenschutz durch Technikgestaltung, Fehlerquoten und menschliche Kontrollmechanismen ausrichten. Mitgliedstaaten: • Pflicht: Sicherstellen, dass die zuständigen Aufsichtsbehörden über ausreichende personelle, technische und finanzielle Ressourcen verfügen. • Pflicht: Bis zum 1. August 2027 und danach jährlich Statistiken zu Meldungen, ermittelten Kindern und verurteilten Tätern veröffentlichen und der Kommission vorlegen. • Empfehlung: Nationale Erhebungs- und Meldeprozesse so organisieren, dass Mehrfachmeldungen, Anbieterarten und Folgewirkungen belastbar ausgewertet werden können. Europäische Kommission: • Pflicht: Bis zum 1. November 2026 Inhalt und Darstellung des Standardformulars für die Anbieterberichte durch Durchführungsrechtsakt festlegen. • Pflicht: Bis zum 1. Oktober 2026 eine öffentliche, aktuelle Liste der gemeldeten Organisationen veröffentlichen, die im öffentlichen Interesse gegen sexuellen Missbrauch von Kindern vorgehen. • Pflicht: Bis zum 1. Februar 2028 dem Europäischen Parlament und dem Rat einen Bericht über die Durchführung der Verordnung vorlegen. • Empfehlung: Leitlinienbedarf, technische Entwicklungen und die Verhältnismäßigkeit der Ausnahme fortlaufend auswerten, um den Übergang zu einem langfristigen Rechtsrahmen vorzubereiten.