Chat Control 1.0 bis zum 3. April 2028 verlängert: Was die Abstimmung vom 9. Juli für Boards bedeutet

Am 9. Juli 2026 hat die Abstimmung des Europäischen Parlaments in zweiter Lesung den Weg für die Verlängerung der Verordnung (EU) 2021/1232, der „Chat Control 1.0“-Ausnahme von der ePrivacy-Richtlinie, bis zum 3. April 2028 freigemacht. Der Antrag auf Ablehnung des Ratsstandpunkts erhielt 314 Stimmen gegen 276 bei 17 Enthaltungen: eine relative Mehrheit, unterhalb der absoluten Mehrheit von 361 Stimmen, die Artikel 294 Absatz 7 AEUV in zweiter Lesung verlangt. Anbieter nummernunabhängiger interpersoneller Kommunikationsdienste, WhatsApp, Messenger, Gmail, Microsoft Teams und vergleichbare Plattformen, erhalten damit erneut eine Rechtsgrundlage für das freiwillige Scannen privater Nachrichten nach bekanntem Material über sexuellen Kindesmissbrauch.

Was die Verordnung besagt

Die Verordnung (EU) 2021/1232 weicht von den Artikeln 5 Absatz 1 und 6 Absatz 1 der Richtlinie 2002/58/EG ab, den Regeln zur Vertraulichkeit der Kommunikation und zu Verkehrsdaten im ePrivacy-Rahmen. Innerhalb dieses Ausnahmebereichs dürfen Anbieter nummernunabhängiger interpersoneller Kommunikationsdienste freiwillig Technologien einsetzen, um bekanntes Material über sexuellen Kindesmissbrauch und die Kontaktaufnahme zu Kindern zu erkennen, die Inhalte zu entfernen und sie an Strafverfolgungsbehörden sowie an im öffentlichen Interesse tätige Organisationen zu melden. Artikel 3 der Verordnung knüpft die Ausnahme an strikte Bedingungen: eine dokumentierte Datenschutz-Folgenabschätzung, die vorherige Konsultation der Aufsichtsbehörden nach den Artikeln 35 und 36 DSGVO, den Einsatz der am wenigsten eingriffsintensiven verfügbaren Technologie, menschliche Aufsicht über die Verarbeitung, wirksame Beschwerde- und Rechtsschutzmechanismen, strenge Speicherfristen und eine jährliche öffentliche Transparenzberichterstattung.

Die Ausnahme lief am 3. August 2024 aus, erhielt mit der Verordnung (EU) 2024/1307 eine erste Verlängerung bis zum 3. April 2026 und erlosch an diesem Datum, nachdem die Verhandlungen über den dauerhaften Rahmen ins Stocken geraten waren. Der Kommissionsvorschlag vom 19. Dezember 2025, Verfahren 2025/0429(COD)belebt das Regime wieder und verlängert die Anwendung bis zum 3. April 2028, einen Zeitraum, den die Kommission als strikt erforderlich für den Abschluss des als Chat Control 2.0 bekannten Langfristrahmens bezeichnet. Der Europäische Datenschutzbeauftragte hat den Vorschlag in seiner Stellungnahme 7/2026 vom 16. Februar 2026 geprüft und den Ausnahmecharakter jeder Abweichung von der Vertraulichkeit der Kommunikation bekräftigt.

Die Verfahrensmechanik entschied den Ausgang. In zweiter Lesung lehnt das Parlament einen Ratsstandpunkt ab oder ändert ihn mit der absoluten Mehrheit seiner Mitglieder: 361 von 720 Stimmen. Der Ablehnungsantrag vom 9. Juli 2026 erreichte 314 Stimmen, mehr als die 276 zur Verteidigung des Textes abgegebenen, und dennoch unterhalb der Schwelle. Die Abgeordneten nahmen anschließend einen substanziellen Änderungsantrag an, der „Kommunikation, auf die Ende-zu-Ende-Verschlüsselung angewandt wird, wurde oder werden wird“ vom Anwendungsbereich des Gesetzes ausnimmt, und leiteten den geänderten Standpunkt an den Rat weiter. Eine relative Mehrheit des Plenums stimmte gegen die Verlängerung; die Verlängerung kam dennoch voran. Diese Asymmetrie ist die Governance-Geschichte: Die Arithmetik der zweiten Lesung verwandelt Enthaltungen und Abwesenheiten in Stimmen für den vom Rat geschriebenen Status quo.

Wer handeln muss, und bis wann

Der Rat verfügt nun über ein Zeitfenster von drei Monaten, um den geänderten Standpunkt des Parlaments zu billigen; die Billigung setzt die Verlängerung mit der Veröffentlichung im Amtsblatt in Kraft, was den Herbst 2026 als Planungshorizont markiert. Eine Ablehnung der Änderungen würde das Vermittlungsverfahren nach Artikel 294 Absatz 10 AEUV auslösen, ein Szenario, das Boards einpreisen sollten, da die Verschlüsselungsausnahme den Kernstandpunkt des Rates berührt.

Direkt regulierte Akteure: Anbieter nummernunabhängiger interpersoneller Kommunikationsdienste in der EU, Verbraucher-Messenger ebenso wie Unternehmenskanäle wie Microsoft Teams und WhatsApp Business. Das Scannen bleibt freiwillig; ein Anbieter, der sich dafür entscheidet, muss vor dem Einsatz sämtliche Bedingungen des Artikels 3 erfüllen. Der vom Parlament beschlossene Ausschluss der Ende-zu-Ende-Verschlüsselung entfernt E2EE-Kanäle vollständig aus dem Anwendungsbereich der Ausnahme, eine Linie, die der Rat in seiner dreimonatigen Prüfung anfechten könnte. Eine Verarbeitung ohne Rechtsgrundlage setzt Anbieter zudem den Sanktionen des Artikels 83 DSGVO aus, bis zu 4 % des weltweiten Jahresumsatzes.

Die Übergangslücke verdient gesonderte Aufmerksamkeit. Zwischen dem 3. April 2026 und dem Inkrafttreten der Verlängerung fehlte dem freiwilligen Scannen eine Rechtsgrundlage auf EU-Ebene: Die Artikel 5 Absatz 1 und 6 Absatz 1 der ePrivacy-Richtlinie galten in vollem Umfang. Anbieter, die ihre Erkennungssysteme in diesen Monaten weiterbetrieben, bewegten sich in einer Zone rechtlicher Exposition, die je nach mitgliedstaatlicher Umsetzung variiert. Rechtsabteilungen sollten das Anbieterverhalten in diesem Zeitfenster prüfen und das Ergebnis dokumentieren, Aufsichtsbehörden und Prozessparteien können darauf zurückgreifen.

Indirekt exponiert: jedes Unternehmen, dessen Beschäftigte, Anwälte oder Kunden über erfasste Plattformen kommunizieren. Anbieterseitiges Scannen gehosteter Geschäftskommunikation wirft Vertraulichkeitsfragen für privilegierte Korrespondenz, Geschäftsgeheimnisse und regulierte Daten auf. Das Abstimmungsergebnis, eine relative Plenarmehrheit, die gegen einen Text protokolliert ist, der dennoch Gesetz wird, signalisiert zudem dauerhaften politischen Streit: Weitere Änderungen des Anwendungsbereichs sind wahrscheinlich, sobald die Verhandlungen über Chat Control 2.0 mit Blick auf das Ablaufdatum 2028 wieder aufgenommen werden.

Die Entscheidung auf Board-Ebene

Eine Maßnahme gehört auf die Agenda des nächsten Risikoausschusses: eine vom Board ratifizierte Prüfung der Exposition der Kommunikationskanäle. Die Prüfung sollte erfassen, welche Unternehmens-Messaging-Kanäle in den Anwendungsbereich der Ausnahme fallen, festhalten, ob der jeweilige Anbieter sich für die freiwillige Erkennung nach Artikel 3 entschieden hat, den Verschlüsselungsstatus der Kanäle mit privilegierten Inhalten oder Geschäftsgeheimnissen verifizieren und die Routing-Richtlinie entsprechend festlegen. Der General Counsel sollte zwei Auslöser verankern: Erstens aktualisiert die Entscheidung des Rates innerhalb der Dreimonatsfrist die Prüfung automatisch; zweitens löst das Inkrafttreten der Verlängerung eine Auffrischung der Datenschutz-Folgenabschätzung für jede erfasste interne Plattform aus. Unternehmen, die diese Entscheidungskette vor der Veröffentlichung im Amtsblatt abschließen, begegnen aufsichtlicher und prozessualer Kontrolle aus einer Position nachweisbarer Sorgfalt, und halten eine dokumentierte Antwort bereit, wenn der dauerhafte Rahmen mit Pflichten eintrifft, die über die freiwillige Teilnahme hinausgehen.