DSGVO in Italien 2026: Datenschutz, Cookies, Whistleblowing

Die DSGVO gilt seit 2018, und doch haben 2026 viele italienische Unternehmen noch Datenschutzhinweise aus einer Vorlage, einen Cookie-Banner, der nichts blockiert, und keinen Kanal für Hinweisgeber. Die Grundregeln haben sich in diesem Jahr nicht geändert. Geändert haben sich die Vorgaben der Behörden, die Kontrollen laufen weiter, und in Brüssel wird über eine Reform verhandelt. Dieser Leitfaden zeigt, was heute nötig ist, Pflicht für Pflicht.

Die maßgeblichen Regeln

• DSGVO (Verordnung (EU) 2016/679): die Grundsätze, die Rechte der Betroffenen und die Pflichten aller, die personenbezogene Daten verarbeiten.
• Italienisches Datenschutzgesetz (Codice privacy, Gesetzesdekret 196/2003, geändert durch Gesetzesdekret 101/2018): die italienischen Regeln, unter anderem zu Marketing, Cookies und Beschäftigtendaten.
• Leitlinien der italienischen Datenschutzbehörde (Garante) zu Cookies und Tracking-Tools (10. Juni 2021), anwendbar seit Januar 2022 und weiterhin in Kraft.
• Whistleblowing-Dekret (Gesetzesdekret 24/2023) und die Leitlinien der ANAC, der italienischen Antikorruptionsbehörde.

1. Die Datenschutzhinweise

Wer personenbezogene Daten erhebt, muss den Betroffenen sagen, wer sie verarbeitet, warum und wie lange (Art. 13 und 14 DSGVO). Die Hinweise müssen enthalten:

• den Verantwortlichen mit Kontaktdaten und, falls benannt, den Datenschutzbeauftragten;
• die Zwecke und für jeden die Rechtsgrundlage: Vertrag, rechtliche Verpflichtung, Einwilligung oder berechtigtes Interesse (das erläutert werden muss);
• die Empfänger, einschließlich der Dienstleister, die Daten im Auftrag verarbeiten (Hosting, E-Mail, CRM, Verwaltungssoftware);
• etwaige Übermittlungen außerhalb der Europäischen Union und die getroffenen Garantien;
• die Speicherdauer, konkret und nicht mit einem allgemeinen „so lange wie nötig“;
• die Rechte der Betroffenen, einschließlich der Beschwerde beim Garante.

Hinweise auf der Website reichen nicht: Beschäftigte, Bewerber, Kunden und Lieferanten brauchen jeweils eigene Texte, eine Videoüberwachung ein Hinweisschild. Der häufigste Fehler ist die nie aktualisierte Vorlage, in der Dienstleister stehen, die nicht mehr genutzt werden, und neue fehlen.

2. Cookie-Banner und Cookie-Richtlinie

Technische Cookies, die für den Betrieb der Website nötig sind, brauchen keine Einwilligung, müssen aber in der Cookie-Richtlinie stehen. Alles andere (Werbepixel, Profiling, die meisten Statistikdienste von Drittanbietern, eingebettete Videos und Karten) darf erst nach der Einwilligung starten. Die Leitlinien des Garante legen genaue Regeln für den Banner fest:

• das Schließen des Banners mit dem X gilt als Ablehnung, und das X muss gut sichtbar sein;
• Annehmen und Ablehnen müssen gleich auffällig sein: kein hervorgehobener „Akzeptieren“-Button bei versteckter Ablehnung;
• Scrollen gilt nicht als Einwilligung;
• in der Detailauswahl sind nicht notwendige Kategorien zunächst deaktiviert;
• eine Cookie-Wall, die nur einlässt, wer zustimmt, ist in der Regel unzulässig;
• der Banner erscheint frühestens nach sechs Monaten wieder, außer die eingesetzten Cookies ändern sich;
• die Wahl muss gespeichert werden und jederzeit änderbar sein, etwa über einen Link im Footer.

Statistik-Cookies können technischen Cookies nur unter engen Bedingungen gleichgestellt werden: aggregierte Daten nur für diese Website, gekürzte IP-Adresse und ein Anbieter, der die Daten mit nichts anderem verknüpft. Bei vielen Drittanbieter-Tools ist das schwer nachzuweisen, und die Einwilligung bleibt die sicherere Wahl.

Der häufigste Mangel ist nicht der Text des Banners, sondern seine Funktion: Die Meldung erscheint, aber die Tracking-Skripte laufen beim ersten Seitenaufruf trotzdem. Das wird auch als Erstes geprüft, denn dafür genügen die Entwicklerwerkzeuge des Browsers.

Für US-Dienste (Statistik, Newsletter, Cloud) gilt das EU-US Data Privacy Framework, in Kraft seit Juli 2023: Übermittlungen an zertifizierte Unternehmen sind zulässig. Das Gericht der EU hat es im September 2025 bestätigt (Rechtssache T-553/23), das Rechtsmittel beim Gerichtshof (C-703/25 P) ist aber noch anhängig. Es lohnt sich zu wissen, welche Dienstleister zertifiziert sind, und die Standardvertragsklauseln als Rückfalllösung beizubehalten.

3. Die übrigen DSGVO-Pflichten

Verzeichnis von Verarbeitungstätigkeiten

Ab 250 Beschäftigten ist es Pflicht. Darunter wird es Pflicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, besondere Kategorien von Daten (etwa Gesundheitsdaten) oder Daten über Straftaten betrifft oder ein Risiko birgt. In der Praxis braucht es fast jedes Unternehmen mit Beschäftigten, weil die Personalverwaltung laufend stattfindet. Der Garante empfiehlt es ohnehin allen, als Nachweis, dass man weiß, welche Daten man verarbeitet.

Dienstleister, Befugnisse und Sicherheit

Wer Daten im Auftrag verarbeitet (Lohnbuchhaltung, Softwarehaus, Cloud-Anbieter, Webagentur), muss per Vertrag als Auftragsverarbeiter bestellt werden (Art. 28). Mitarbeitende müssen befugt und angewiesen werden. Die Sicherheit muss dem Risiko entsprechen (Art. 32): persönliche Zugänge, Zwei-Faktor-Authentifizierung, Updates und geprüfte Backups.

Datenpannen

Eine Verletzung, die ein Risiko für Personen darstellt, ist dem Garante binnen 72 Stunden nach Bekanntwerden zu melden. Ist das Risiko hoch, müssen auch die Betroffenen informiert werden. Jede Verletzung, auch eine nicht gemeldete, wird in einem internen Register dokumentiert.

DSFA und Datenschutzbeauftragter

Eine Datenschutz-Folgenabschätzung (DSFA) ist bei Verarbeitungen mit hohem Risiko nötig: umfangreiche Videoüberwachung, Ortung von Beschäftigten, Profiling in großem Umfang. Ein Datenschutzbeauftragter ist Pflicht für öffentliche Stellen und für Organisationen, deren Kerntätigkeit in der umfangreichen Überwachung von Personen oder der umfangreichen Verarbeitung besonderer Kategorien von Daten oder von Daten über Straftaten besteht. Für andere KMU ist er freiwillig.

Beschäftigte

Kameras und Werkzeuge, die eine Fernkontrolle ermöglichen, erfordern eine Vereinbarung mit der Arbeitnehmervertretung oder eine Genehmigung der Arbeitsaufsicht (Art. 4 des italienischen Arbeitnehmerstatuts). Für die dienstliche E-Mail nennt der Garante 21 Tage als Frist, nach der die Speicherung der Metadaten der E-Mails von Beschäftigten in der Regel dieselben Garantien erfordert.

Marketing

Werbe-E-Mails erfordern eine Einwilligung. Die Ausnahme ist der sogenannte Soft Spam: Bestandskunden darf man zu ähnlichen Produkten schreiben, sofern sie jederzeit widersprechen können. Vor Telefonanrufen ist das italienische Widerspruchsregister (Registro pubblico delle opposizioni) abzufragen, das seit 2022 auch Mobilnummern umfasst. Gekaufte Adresslisten müssen geprüft werden, denn Telemarketing gehört auch 2026 zu den am häufigsten sanktionierten Bereichen.

DSGVO-Bußgelder reichen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Für KMU ist das realistischste Risiko eine Prüfung nach einer Beschwerde: ein ehemaliger Mitarbeiter, ein verärgerter Kunde, ein Newsletter, den niemand abonniert hat.

4. Whistleblowing: Wer einen Meldekanal braucht

Das Gesetzesdekret 24/2023 verpflichtet zu einem internen Kanal für Hinweise auf Rechtsverstöße:

• Unternehmen, die im letzten Jahr durchschnittlich mindestens 50 Beschäftigte mit unbefristeten oder befristeten Verträgen hatten;
• Unternehmen mit einem Organisationsmodell nach Gesetzesdekret 231/2001, unabhängig von ihrer Größe;
• bestimmte Sektoren, die unter die vom Dekret genannten EU-Vorschriften fallen, etwa Finanzdienstleistungen, Geldwäscheprävention und Verkehrssicherheit, auch unter 50 Beschäftigten.

Der Kanal muss schriftliche Meldungen, auch über eine Online-Plattform, und mündliche per Telefon oder Sprachnachricht ermöglichen. Auf Wunsch muss ein persönliches Treffen möglich sein. Er wird nach Anhörung der Arbeitnehmervertretung eingerichtet und einer unabhängigen, geschulten Person oder Stelle oder einem externen Dienstleister übertragen. Unternehmen mit bis zu 249 Beschäftigten können ihn gemeinsam nutzen. Wer ihn betreibt, muss:

• den Eingang binnen 7 Tagen bestätigen;
• binnen 3 Monaten eine Rückmeldung geben;
• die Identität des Hinweisgebers, der betroffenen Personen und die Inhalte vertraulich halten, auch durch Verschlüsselung;
• klare Informationen zum Kanal in einem eigenen Bereich der Website veröffentlichen und am Arbeitsplatz sichtbar machen.

In ihren Leitlinien zu internen Kanälen (Beschluss Nr. 478 vom 26. November 2025) hat die ANAC klargestellt, dass gewöhnliche E-Mail und zertifizierte E-Mail (PEC) für sich allein nicht geeignet sind. Zulässig sind sie nur mit zusätzlichen Sicherheitsmaßnahmen, die auf Grundlage einer Risikobewertung gewählt werden. Meist ist eine eigene Plattform mit Verschlüsselung die am einfachsten nachweisbare Lösung.

Whistleblowing ist auch eine Verarbeitung personenbezogener Daten. Das Verfahren muss auf einer DSFA beruhen, Hinweisgeber und Betroffene sind zu informieren, und Meldungen werden höchstens fünf Jahre nach Abschluss des Verfahrens aufbewahrt. Die ANAC kann Bußgelder von 10.000 bis 50.000 Euro verhängen, wenn der Kanal fehlt, die Verfahren nicht konform sind, Repressalien vorkommen oder die Vertraulichkeit verletzt wird.

5. Neben der DSGVO: NIS2 und Barrierefreiheit

NIS2 (Gesetzesdekret 138/2024). Sie betrifft Unternehmen der im Dekret genannten Sektoren und Größen, die sich bei der Nationalen Agentur für Cybersicherheit (ACN) registrieren müssen; die Registrierung wird jedes Jahr vom 1. Januar bis 28. Februar aktualisiert. Für die 2025 in die Liste aufgenommenen Unternehmen gilt die Meldepflicht für Vorfälle seit Januar 2026: Frühwarnung binnen 24 Stunden, Meldung binnen 72. Die grundlegenden Sicherheitsmaßnahmen sind binnen 18 Monaten nach der Mitteilung der Agentur umzusetzen, für die meisten bis Oktober 2026.

Barrierefreiheit (Gesetzesdekret 82/2022, European Accessibility Act). Seit dem 28. Juni 2025 müssen der Online-Handel und die anderen im Dekret genannten Dienste für Verbraucher, etwa Bank- und Verkehrsdienste, auch für Menschen mit Behinderungen zugänglich sein. Kleinstunternehmen, die Dienstleistungen erbringen, sind ausgenommen; zuständige Aufsicht ist die AgID, die italienische Digitalagentur.

Was sich ändern könnte

Im November 2025 hat die Europäische Kommission den „Digital Omnibus“ vorgeschlagen, der die Cookie-Regeln in die DSGVO verlagern, bestimmte Reichweitenmessungen von der Einwilligung befreien und die Ablehnung mit einem Klick einführen würde. Im Oktober 2026 liegt der Vorschlag noch bei den Ausschüssen des Europäischen Parlaments: Heute ändert sich nichts, und der Banner bleibt notwendig.

Weiter ist der „Omnibus IV“ für kleine Unternehmen mittlerer Kapitalisierung. Der Vorschlag der Kommission weitet die Befreiung vom Verarbeitungsverzeichnis auf Organisationen mit bis zu 750 Beschäftigten aus und beschränkt die Pflicht auf Verarbeitungen mit hohem Risiko. Der im Juni 2026 vereinbarte Text wartet auf die Abstimmung im Parlament, die für November erwartet wird. Bis zur Veröffentlichung im EU-Amtsblatt gilt die bisherige Regel.

Compliance, die einer Prüfung standhält, entspricht dem, was das Unternehmen tatsächlich tut: Tadellose Datenschutzhinweise nützen nichts, wenn der Banner die Tracker vor der Einwilligung starten lässt.

Checkliste

• Aktuelle Datenschutzhinweise für Website, Kunden, Beschäftigte und Bewerber
• Ein Cookie-Banner, der Tracker bis zur Einwilligung blockiert, mit „Ablehnen“ so sichtbar wie „Akzeptieren“
• Eine Cookie-Richtlinie mit den tatsächlich eingesetzten Cookies, abgestimmt auf den Banner
• Ein Verarbeitungsverzeichnis und Verträge mit den Dienstleistern, die Daten verarbeiten
• Ein Verfahren für Datenpannen und ein Register der Verletzungen
• Ein Hinweisgeberkanal, wo vorgeschrieben, mit sicherer Plattform, DSFA und eigener Seite auf der Website
• Dokumentierte Einwilligungen für Newsletter und Marketing
• Eine Prüfung der Pflichten aus NIS2 und zur Barrierefreiheit

Fazit

DSGVO-Konformität ist kein Dokument, das man einmal unterschreibt: Sie besteht aus Texten, Einstellungen und Abläufen, die zur Arbeitsweise des Unternehmens passen müssen. Der Teil, der die Website betrifft (Datenschutzhinweise, Banner, Cookie-Richtlinie, Kontaktformulare), ist auch der sichtbarste und wird oft als Erstes geprüft.

Dieser Artikel dient nur der Information, hat den Stand vom 12. Oktober 2026 und stellt keine Rechtsberatung dar.