- Zwischen dem 20. November 2026 und dem 12. Januar 2027 liegen sechs Stichtage: Scoring, KI-Verordnung, Produkthaftung, Rechnungen zum Jahreswechsel, E-Rechnung und Cloud-Wechsel.
- Fast alle Unternehmen betrifft das Ende der Übergangsregel für Papier- und PDF-Rechnungen; wer Scores über Personen nutzt, hat bis zum 20. November eine klare Aufgabe.
- Wer eigene Software oder KI-Funktionen anbietet, prüft zusätzlich Kennzeichnung und Produkthaftung.
Zwischen dem 20. November 2026 und dem 12. Januar 2027 liegen sechs Stichtage, die Unternehmen mit Bezug zu KI, Daten und Rechnungen betreffen. Einige gelten für fast alle, etwa das Ende der Übergangsregel für Papier- und PDF-Rechnungen. Andere betreffen nur, wer selbst Software anbietet oder Scores über Personen nutzt.
Dieser Beitrag ordnet die Stichtage in einen Kalender, zeigt, wen sie betreffen, und schlägt einen Fahrplan bis Januar vor. Zu mehreren Themen gibt es ausführliche Beiträge, die wir an der passenden Stelle verlinken. Die Angaben geben den Stand vom 16. Oktober 2026 wieder; bei Rechtsfragen im Einzelfall hilft Ihre Rechts- oder Steuerberatung.
Die Stichtage im Überblick
Die Tabelle zeigt alle sechs Stichtage in zeitlicher Reihenfolge. Für die meisten mittelständischen Unternehmen sind die Rechnungsthemen am Jahreswechsel die wichtigsten, gefolgt von der Scoring-Regel für alle, die Bonitäts- oder Betrugsscores einsetzen.
| Datum | Was gilt | Wen es betrifft |
|---|---|---|
| 20. November 2026 | Neue Regeln für Wahrscheinlichkeitswerte über Personen (§ 37a BDSG) | Alle, die Scores über natürliche Personen erstellen oder für Vertragsentscheidungen nutzen |
| 2. Dezember 2026 | Maschinenlesbare Markierung auch für generative KI, die vor dem 2. August 2026 auf dem Markt war; neue Verbote nach der KI-Verordnung | Anbieter generativer KI; Anbieter und Betreiber von Bild- und Videogeneratoren |
| 9. Dezember 2026 | Neues Produkthaftungsgesetz, Software gilt als Produkt (beschlossen, Verkündung ausstehend) | Hersteller von Software, Apps, KI-Systemen und Geräten mit Software |
| 31. Dezember 2026 | Ende der Übergangsregel für Papier- und PDF-Rechnungen über Umsätze aus 2025 und 2026 | Alle Unternehmen mit Rechnungen an Geschäftskunden im Inland |
| 1. Januar 2027 | E-Rechnung im Inland bei mehr als 800.000 Euro Gesamtumsatz 2026 | Unternehmen über dieser Umsatzgrenze |
| 12. Januar 2027 | Cloud-Anbieter dürfen für den Anbieterwechsel kein Entgelt mehr verlangen (Data Act) | Anbieter von Cloud- und SaaS-Diensten; Kunden profitieren |
Welche Stichtage betreffen Sie?
Vier Fragen genügen für eine erste Einordnung. Die Prüfung im Einzelfall übernimmt Ihre Rechts- oder Steuerberatung.
Ihre Antworten übernehmen wir in das Kontaktformular. Dort ergänzen Sie, was Ihnen wichtig ist. Das Erstgespräch ist kostenfrei.
Ergebnis besprechen20. November: neue Regeln für Scores über Personen
Am 20. November 2026 tritt § 37a Bundesdatenschutzgesetz in Kraft. Er ersetzt den bisherigen § 31 und regelt, wie Wahrscheinlichkeitswerte über natürliche Personen entstehen und verwendet werden dürfen. Beschlossen hat der Bundestag die Regel am 17. April 2026 als Teil des Gesetzes zur Umsetzung der Verbraucherkreditrichtlinie; verkündet wurde es im Bundesgesetzblatt 2026 I Nr. 139.
Erfasst sind Werte über das künftige Verhalten einer Person, die für Entscheidungen über einen Vertrag mit ihr genutzt werden, und Bonitätswerte von Auskunfteien. Eine Größenschwelle gibt es nicht. Das betrifft also nicht nur Auskunfteien, sondern auch Händler mit Bonitätsprüfung im Bestellprozess, Zahlartensteuerung oder Betrugsscores.
- Diese Daten bleiben außen vor: besondere Kategorien nach Artikel 9 DSGVO, Alter, Geschlecht, Name, Daten aus sozialen Netzwerken, Zahlungsein- und -ausgänge auf Bankkonten und Anschriftendaten. Über Minderjährige werden keine Scores gebildet.
- Die genutzten Daten müssen nachweisbar erheblich sein, belegt mit einem wissenschaftlich anerkannten mathematisch-statistischen Verfahren.
- Auskunft auf Antrag: Betroffene erfahren, welche Daten und Kriterien eingeflossen sind, wie sie gewichtet wurden und wie aussagekräftig der Wert ist. Die Informationen dafür werden ein Jahr gespeichert.
- Ein Mensch entscheidet auf Wunsch: Betroffene können den Wert anfechten, ihren Standpunkt darlegen und eine Entscheidung durch einen Menschen verlangen.
Ob klassisches Lead-Scoring im Vertrieb unter die Regel fällt, ist eine Auslegungsfrage. Der Wortlaut zielt auf Entscheidungen über Verträge mit der bewerteten Person; wer im Geschäftskundenvertrieb Ansprechpartner bewertet, klärt das am besten mit der Datenschutzberatung. Wie KI im Vertrieb sauber arbeitet, beschreibt unser Beitrag KI im Vertrieb.
2. Dezember: KI-Verordnung, Kennzeichnung und neue Verbote
Die KI-Verordnung wurde durch die Verordnung (EU) 2026/1744, den sogenannten Digital Omnibus zur KI, im Juli 2026 angepasst. Für den 2. Dezember 2026 sind zwei Punkte wichtig.
Markierung für ältere generative Systeme. Anbieter generativer KI müssen erzeugte Texte, Bilder, Audio- und Videoinhalte maschinenlesbar als künstlich erzeugt markieren, etwa mit Wasserzeichen oder Metadaten (Artikel 50 Absatz 2). Für Systeme, die vor dem 2. August 2026 auf dem Markt waren, gilt nach der Änderungsverordnung eine Übergangsfrist von vier Monaten bis zum 2. Dezember 2026. Wer KI-Werkzeuge nur nutzt, findet diese Pflicht bei seinem Anbieter. Wer selbst eine generative Funktion unter eigenem Namen anbietet, etwa einen Bild- oder Textgenerator für Kunden, ist Anbieter und sorgt für die Markierung.
Neue Verbote. Ab dem 2. Dezember 2026 sind KI-Systeme verboten, die nicht einvernehmliche intime Darstellungen realer Personen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen. Erfasst sind auch allgemeine Bild- und Videogeneratoren, wenn eine solche Nutzung vorhersehbar ist und angemessene Schutzvorkehrungen fehlen. Für Unternehmen, die Bildgeneratoren in eigene Produkte einbauen, etwa für virtuelle Anproben oder Avatare, heißt das: Schutzvorkehrungen festlegen und dokumentieren.
Bereits seit dem 2. August 2026 gelten die Transparenzpflichten für Betreiber. Wer mit KI Deepfakes erzeugt, kennzeichnet sie als künstlich erzeugt, und KI-Texte zu Angelegenheiten von öffentlichem Interesse werden gekennzeichnet, sofern sie nicht von einem Menschen geprüft und redaktionell verantwortet sind. Als Orientierung hat die EU-Kommission im Juni 2026 einen Verhaltenskodex zur Kennzeichnung und im Juli 2026 Leitlinien zu Artikel 50 veröffentlicht. Zuständig für die Aufsicht ist in Deutschland seit dem 29. Juli 2026 die Bundesnetzagentur. Die Pflicht zur KI-Kompetenz nach Artikel 4 hat der Omnibus angepasst: Unternehmen fördern die KI-Kompetenz ihrer Beschäftigten mit geeigneten Maßnahmen. Wie Sie das mit einer KI-Richtlinie verbinden, steht in Baustein 16: KI-Richtlinie und KI-Kompetenz; den Hintergrund zur Kennzeichnung erklärt unser Beitrag AI Omnibus: was am 2. Dezember 2026 trotzdem gilt.
9. Dezember: Software haftet wie ein Produkt
Mit der europäischen Produkthaftungsrichtlinie 2024/2853 wird Software ausdrücklich zum Produkt, auch Apps und KI-Systeme. Der Bundestag hat das neue Produkthaftungsgesetz am 8. Oktober 2026 beschlossen. Es soll am 9. Dezember 2026 in Kraft treten und gilt für Produkte, die ab diesem Tag in Verkehr gebracht werden; für frühere Produkte bleibt das bisherige Recht maßgeblich. Die Verkündung im Bundesgesetzblatt stand am 16. Oktober 2026 noch aus.
Die Haftung ist verschuldensunabhängig und umfasst neben Personen- und Sachschäden auch den Verlust von Daten. Maßgeblich kann auch der Zeitraum nach dem Verkauf sein, etwa wenn ein Hersteller Software über Updates weiter kontrolliert. Für Unternehmen, die Software entwickeln oder Geräte mit Software verkaufen, heißt das: Update-Prozess und Dokumentation sauber halten, Verträge mit Zulieferern und den Versicherungsschutz prüfen. Worauf Sie beim Einkauf eines KI-Projekts vertraglich achten, beschreibt Baustein 7: Ein KI-Projekt einkaufen.
Jahreswechsel: E-Rechnung und Aufbewahrung
Am 31. Dezember 2026 endet die allgemeine Übergangsregel, nach der Rechnungen an Geschäftskunden im Inland noch auf Papier oder, mit Zustimmung des Empfängers, als PDF gestellt werden dürfen (§ 27 Absatz 38 Umsatzsteuergesetz). Ab dem 1. Januar 2027 stellen Unternehmen mit mehr als 800.000 Euro Gesamtumsatz im Jahr 2026 E-Rechnungen aus; ab 2028 gilt das für alle. Leistungen aus 2026 rechnen Sie am einfachsten noch im Dezember ab oder gleich als E-Rechnung. Den Fahrplan dafür beschreibt unser Beitrag E-Rechnung 2027, die Grundlagen stehen in Baustein 13: E-Rechnung und Belege.
Zum Jahreswechsel lohnt auch ein Blick ins Archiv. Seit 2025 gilt für Buchungsbelege eine Aufbewahrungsfrist von acht statt zehn Jahren. Zum Jahresende 2026 läuft damit nach den Darstellungen der Fachpresse die Frist für Belege aus dem Jahr 2018 ab. Prüfen Sie vor dem Löschen, ob eine Ausnahme greift, etwa eine laufende Außenprüfung oder ein offenes Verfahren. Bücher, Jahresabschlüsse und Inventare bleiben zehn Jahre aufbewahrt.
12. Januar: Cloud-Wechsel ohne Wechselentgelt
Ab dem 12. Januar 2027 dürfen Anbieter von Cloud- und anderen Datenverarbeitungsdiensten für den Wechsel zu einem anderen Anbieter kein Entgelt mehr verlangen (Artikel 29 Absatz 1 Data Act). Bis dahin waren nur ermäßigte Entgelte zulässig. Für Sie als Kunde ist das eine gute Gelegenheit, Verträge auf Wechselklauseln zu prüfen und die Abhängigkeit von einzelnen Plattformen zu verringern, etwa beim Betrieb von KI-Anwendungen oder Dokumentenablagen.
Was bereits gilt: NIS-2 und Cyber Resilience Act
Zwei Pflichten laufen schon und gehören auf die Liste, weil sie bis Jahresende geordnet sein sollten. Das NIS-2-Umsetzungsgesetz gilt seit dem 6. Dezember 2025. Wichtige und besonders wichtige Einrichtungen, grob ab 50 Beschäftigten oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme in den erfassten Sektoren, registrieren sich beim BSI, melden erhebliche Sicherheitsvorfälle binnen 24 Stunden und sorgen dafür, dass die Geschäftsleitung regelmäßig an Schulungen teilnimmt. Die Frist zur Registrierung ist abgelaufen, die Pflicht besteht weiter; wer betroffen ist, holt sie jetzt nach. Mehr dazu in unserem Beitrag NIS-2 und KI.
Seit dem 11. September 2026 melden Hersteller von Produkten mit digitalen Elementen aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die Meldeplattform der ENISA (Cyber Resilience Act, Artikel 14). Die übrigen Pflichten dieser Verordnung, bis hin zur CE-Kennzeichnung, gelten ab dem 11. Dezember 2027. Wie sich KI-Systeme selbst schützen lassen, beschreibt Baustein 10: Sicherheit von KI-Systemen.
Was noch Zeit hat
Nicht jede Ankündigung ist schon eine Frist. Drei Themen haben noch Zeit:
- Hochrisiko-KI. Die Pflichten für Hochrisiko-Systeme nach Anhang III der KI-Verordnung, etwa in der Personalauswahl, gelten nach dem Omnibus ab dem 2. Dezember 2027, für KI in regulierten Produkten nach Anhang I ab dem 2. August 2028.
- Änderungen an der DSGVO. Das Digital-Omnibus-Paket zur DSGVO und zu Cookies wird noch verhandelt. Es gilt die DSGVO in ihrer heutigen Fassung; Termine, die im Netz für einzelne Änderungen kursieren, sind keine Fristen.
- E-Rechnung für alle. Unternehmen bis 800.000 Euro Gesamtumsatz 2026 stellen E-Rechnungen ab dem 1. Januar 2028 aus. Ein früher Start lohnt trotzdem, weil viele Kunden schon 2027 danach fragen.
Ihr Fahrplan bis Januar
Die meisten Punkte lassen sich mit einer kurzen Bestandsaufnahme im Oktober einordnen. Danach bleibt Zeit für die Umsetzung in der richtigen Reihenfolge.
| Zeitraum | Aufgabe | Ergebnis |
|---|---|---|
| Oktober | Bestandsaufnahme: Wo nutzen Sie Scores über Personen, wo setzen Sie KI für Texte, Bilder oder Videos ein, welche Software liefern Sie aus, wie hoch ist der Gesamtumsatz 2026? | Klarheit, welche Stichtage für Sie gelten |
| November | Scoring-Merkmale gegen die neue Liste prüfen und den Auskunftsprozess einrichten; Testrechnungen als E-Rechnung prüfen | Bereit für den 20. November und den Jahreswechsel |
| November | Kennzeichnung von KI-Inhalten in Website, Newsletter und Kundenservice festlegen; Verträge mit KI-Anbietern auf Markierung und Schutzvorkehrungen prüfen | Eine klare Regel für alle Teams |
| Dezember | Leistungen aus 2026 abrechnen; bei eigener Software Update-Prozess, Dokumentation und Versicherungsschutz mit Blick auf die Produkthaftung prüfen | Ein ruhiger Jahreswechsel |
| Januar | Cloud- und SaaS-Verträge auf Wechselklauseln prüfen; KI-Schulungen für 2027 planen | Freie Wahl beim Anbieter, Kompetenz im Team |
Unsere Einschätzung
Der Kalender wirkt dicht, für die meisten Unternehmen reduziert er sich aber auf zwei oder drei Punkte. Fast alle betrifft das Ende der Übergangsregel für Rechnungen. Wer Scores über Personen nutzt, hat bis zum 20. November eine klare Aufgabe. Und wer eigene Software oder KI-Funktionen anbietet, prüft Kennzeichnung und Produkthaftung.
Unsere Empfehlung: Nehmen Sie sich im Oktober eine Stunde für die Bestandsaufnahme mit den Fragen aus dem Fahrplan. Dann wissen Sie, welche Stichtage für Sie zählen, und können die Wochen bis Januar ruhig planen. Wenn Sie dabei Unterstützung möchten, von der Bestandsaufnahme bis zur Umsetzung, sprechen wir gern in einem kostenfreien Erstgespräch darüber.
Quellen
- Deutscher Bundestag: Beschlussempfehlung zur Umsetzung der Verbraucherkreditrichtlinie mit § 37a BDSG, Drucksache 21/5381, 15. April 2026
- KPMG: Gesetz zur Umsetzung der Verbraucherkreditrichtlinie im Bundesgesetzblatt veröffentlicht
- Amtsblatt der EU: Verordnung (EU) 2026/1744 zur Änderung der KI-Verordnung
- FGS: EU AI Act, was ab dem 2. August 2026 gilt und was verschoben wurde, 4. August 2026
- Otto Schmidt: Wann gilt die KI-VO infolge der Änderungen durch die Digital-Omnibus-VO, 14. August 2026
- Jones Day: Kommission veröffentlicht den Verhaltenskodex zur Kennzeichnung KI-erzeugter Inhalte, Juni 2026
- Deutscher Bundestag: Beschlussempfehlung zum Gesetz zur Modernisierung des Produkthaftungsrechts, Drucksache 21/8429, 7. Oktober 2026
- IHK Frankfurt am Main: Modernisierung des Produkthaftungsrechts beschlossen
- Umsatzsteuergesetz: § 27 Absatz 38 (Übergangsregelung zur E-Rechnung)
- Bundesministerium der Finanzen: Fragen und Antworten zur Einführung der obligatorischen E-Rechnung
- Lexware: Bürokratieentlastungsgesetz, verkürzte Aufbewahrungsfristen
- Amtsblatt der EU: Verordnung (EU) 2023/2854 (Data Act), Artikel 29
- ZfK: NIS-2, Registrierung beim BSI, 4. August 2026
- Cyber Resilience Act: Artikel 71, Geltungsbeginn; ENISA: Merkblatt zur Meldeplattform, September 2026
- acompli: Stand des Digital Omnibus zu DSGVO und Cookies, September 2026
Dieser Beitrag gibt den Stand der genannten Quellen vom 16. Oktober 2026 wieder und ersetzt keine Rechts- oder Steuerberatung im Einzelfall.
Häufige Fragen
Welche Fristen gelten für Unternehmen bis Ende 2026?
Am 20. November 2026 treten neue Regeln für Scores über Personen in Kraft (§ 37a BDSG). Am 2. Dezember 2026 endet die Übergangsfrist für die maschinenlesbare Markierung älterer generativer KI, und neue Verbote der KI-Verordnung gelten. Am 9. Dezember 2026 soll das neue Produkthaftungsgesetz in Kraft treten. Am 31. Dezember 2026 endet die Übergangsregel für Papier- und PDF-Rechnungen, am 1. Januar 2027 beginnt die E-Rechnungspflicht bei mehr als 800.000 Euro Gesamtumsatz 2026.
Betrifft § 37a BDSG auch normale Unternehmen?
Ja, wenn sie Wahrscheinlichkeitswerte über natürliche Personen für Entscheidungen über einen Vertrag mit dieser Person erstellen oder nutzen, etwa eine Bonitätsprüfung im Bestellprozess oder einen Betrugsscore. Eine Größenschwelle gibt es nicht. Anschriftendaten, Name, Alter und Geschlecht dürfen dann nicht mehr in den Wert einfließen, und Betroffene haben einen Anspruch auf Auskunft.
Müssen wir KI-Texte und KI-Bilder kennzeichnen?
Seit dem 2. August 2026 kennzeichnen Betreiber Deepfakes und KI-Texte zu Angelegenheiten von öffentlichem Interesse, sofern diese Texte nicht von einem Menschen geprüft und redaktionell verantwortet sind. Die maschinenlesbare Markierung ist eine Pflicht der Anbieter generativer KI; für Systeme, die vor dem 2. August 2026 auf dem Markt waren, gilt sie ab dem 2. Dezember 2026.
Was ändert das neue Produkthaftungsgesetz für Softwareanbieter?
Software, Apps und KI-Systeme gelten als Produkt. Hersteller haften verschuldensunabhängig für Schäden, auch für den Verlust von Daten. Das Gesetz soll am 9. Dezember 2026 in Kraft treten und gilt für Produkte, die ab diesem Tag in Verkehr gebracht werden. Die Verkündung im Bundesgesetzblatt stand am 16. Oktober 2026 noch aus.
Was sollten wir als Erstes tun?
Eine kurze Bestandsaufnahme: Nutzen Sie Scores über Personen, setzen Sie KI für Texte, Bilder oder Videos ein, liefern Sie eigene Software aus, und wie hoch ist Ihr Gesamtumsatz 2026? Mit diesen vier Antworten wissen Sie, welche Stichtage für Sie zählen.