Quellen-Tabelle

Stand Juni 2026 hat die EU die dauerhafte CSA-Verordnung nicht beschlossen. Der Rat einigte sich am 26. November 2025 auf eine gemeinsame Position ohne verpflichtende Aufdeckungsanordnungen; das Parlament lehnte am 26. März 2026 eine Verlängerung der befristeten Übergangsregelung mit 228 zu 311 Stimmen ab.

Zusammenfassend und aktuell: Es gibt weiterhin kein beschlossenes Gesetz — aber die Lage hat sich verschärft, weil sogar die bisherige freiwillige Zwischenlösung ausgelaufen ist, ohne dass ein Nachfolger steht.

Am 11. Mai 2026 fand der vierte Trilog statt, ohne finale Einigung. Besonders weit liegen die Positionen bei der Aufdeckung auseinander: Der Rat fordert rein freiwillige Maßnahmen, das Parlament befürwortet als letztes Mittel verpflichtende Aufdeckungsanordnungen für Justizbehörden bei begründetem Verdacht.

Wichtige Korrektur eines verbreiteten Missverständnisses: Aktuell ist es das Parlament (nicht der Rat), das für eine — wenn auch eingeschränkte, richterlich kontrollierte — Aufdeckungsmöglichkeit eintritt, während der Rat nur freiwillige Maßnahmen will. Das dreht die öffentliche Wahrnehmung ("Rat will Überwachung, Parlament schützt") teilweise um und zeigt, wie wichtig es ist, bei jedem Update die aktuellen Fraktionspositionen zu prüfen statt alte Zuschreibungen fortzuschreiben.

Vollständige Dokumentenliste aller Trilog-Etappen 2025/2026 inkl. exakter Ratsdokumentnummern (z. B. "Outcome of the trilogue on 11 May 2026 and next steps", 13.05.2026, Dok. 9139/26).

Diese Seite ist die beste bekannte Fundgrube für exakte Ratsdokumentnummern zu diesem Verfahren — wichtig für Blackstones Zitationsstandard. WICHTIG zur Einordnung: Breyer war selbst Abgeordneter mit klarer Anti-Chatkontrolle-Position — die Dokumentenliste selbst ist trotzdem eine verlässliche Fundstelle, seine Einordnungen daneben sollten aber als Meinung, nicht als neutrale Quelle gekennzeichnet werden.

Der fünfte Trilog zur CSA-Verordnung endete am 29. Juni 2026 ohne Einigung — das EU-Parlament verteidigte seine Linie gegen anlasslose Chat-Scans. Rat und EVP arbeiten bereits an einem formal neuen, inhaltlich identischen Anlauf im Eilverfahren.

Aktuellster Stand zum Erfassungszeitpunkt: Fünf gescheiterte Trilog-Runden. Bemerkenswert und wichtig für Blackstones Function-Creep-Argument: Wenn eine Verhandlungsseite nach einer Niederlage plant, denselben Inhalt über ein anderes Verfahren (Eilverfahren) noch einmal einzubringen, ist das ein sehr konkretes Beispiel für den Function-Creep-Mechanismus, den der Masterplan beschreibt — hier nicht als abstrakte Sorge, sondern als dokumentiertes Verhalten.

Laut internem Protokoll wurde beim Trilog eine politische Einigung für große Teile des Texts erzielt; bei Audio-Inhalten bleiben Videos im Anwendungsbereich, Sprachnachrichten können gemeldet werden, unterliegen aber nicht der aktiven Aufdeckung, Anrufe sind ganz ausgenommen. Bei der Altersverifikation wollte der Rat eine Pflicht, das Parlament bestand auf "kann" — man rückte im Zuge eines Gesamtkompromisses davon ab, Altersverifikation explizit in den Risikominderungsmaßnahmen aufzuführen.

Sehr konkreter Blick in die Verhandlungsdetails, die sonst nicht öffentlich sind: Es geht nicht um "alles oder nichts", sondern um genaue Abstufungen (Anrufe raus, Sprachnachrichten teilweise drin, Videos drin). Für ein Blackstone-Update-Dossier extrem wertvoll, weil es zeigt, wie granular die eigentliche Debatte ist — viel komplexer als die Schlagzeilen vermuten lassen.

Der Rat verabschiedete sein Verhandlungsmandat unter dänischer Präsidentschaft am 19. Dezember 2025, das Parlament seine Position am 9. Juli 2026. Weitere Trilog-Runden sind nach der Sommerpause geplant, mit dem Ziel einer politischen Einigung vor Ende 2026 und einem operativen digitalen Euro bis 2029.

Der Trilog hat gerade erst richtig begonnen — vorher gab es zwar Vorschläge, aber keine formale Verhandlungsposition des Parlaments. Das ist ein deutlich weiter fortgeschrittener, aber immer noch offener Stand als bei der Ersterfassung.

Mit 416 zu 169 Stimmen bei 22 Enthaltungen hat das EU-Parlament seine Verhandlungsposition zum digitalen Euro beschlossen. Die Eckpunkte: Der digitale Euro soll Bargeld ergänzen, nicht ersetzen, online wie offline funktionieren; die Grundfunktionen bleiben für Verbraucher kostenlos. Noch offen: Obergrenzen (Holding Limits) und Datenschutz-Ausgestaltung.

Klare Bestätigung der bisherigen Blackstone-Einordnung (Bargeldergänzung, nicht -abschaffung) — jetzt mit einer sehr konkreten, breiten Mehrheit im Parlament untermauert. Die eigentlich spannenden Detailfragen (wie viel Geld darf man im digitalen Euro halten, wie genau funktioniert der Datenschutz) sind aber weiterhin ungeklärt.

Das EU-Parlament fordert eingebauten Datenschutz durch Privacy-by-Design und Privacy-by-Default; hierfür sollen modernste Technologien wie Zero-Knowledge-Proof für Transaktionen zum Einsatz kommen — auch die EZB soll die Identität der Nutzer nicht rückverfolgen können.

Bemerkenswert positiv für Blackstones Datenschutz-Perspektive: Das Parlament fordert nicht nur allgemein "Datenschutz", sondern eine sehr konkrete, kryptografisch anspruchsvolle Technologie (Zero-Knowledge-Proofs), mit der selbst die Zentralbank nicht nachvollziehen könnte, wer was bezahlt hat. Ob das am Ende auch im finalen Gesetzestext steht, ist die entscheidende Frage für ein späteres Update.

Das zuständige eIDAS-Committee traf am 18. Juni 2026 wichtige Entscheidungen zur EUDI-Wallet, nachdem eine vorherige Sitzung am 6. Mai an "fundamentalen Problemen" gescheitert war. Bei einem Streitthema ("relying parties") musste die Kommission nachgeben — zugunsten der Nutzer. Bei anderen Themen, darunter der verpflichtenden biometrischen Erfassung, konnte sich die Kommission größtenteils durchsetzen, was die Schutzrechte der Nutzer deutlich aushöhlt, obwohl der Gesetzestext diese explizit einfordert.

Wichtigstes Update im ganzen Projekt: Was im vorherigen Batch noch als Kommissions-*Versuch* dargestellt wurde, ist jetzt größtenteils *beschlossen* — die verpflichtende biometrische Gesichtserfassung kommt, trotz gegenteiliger Intention im ursprünglichen Gesetzestext. Nicht ganz einseitig: Bei einem anderen Streitpunkt (wer die Wallet-Anbieter kontrollieren darf) hat die Kommission nachgegeben.

Am 18. Juni 2026 wurden von der EU-Kommission Änderungen für Durchführungsrechtsakte vorgeschlagen, darunter die verpflichtende Aufnahme biometrischer Lichtbilder in die EUDI-Wallet. Die Bundesregierung erachtet nach Abstimmung mit BSI und BfDI eine "sichere Bereitstellung und datensparsame sowie selektive Nutzung" biometrischer Lichtbilder im deutschen Wallet-Ökosystem als grundsätzlich sinnvoll und setzte sich für Schutzmaßnahmen ein.

Sehr wichtig für Ausgewogenheit: Das ist die offizielle Position der Bundesregierung, direkt aus einer Bundestagsantwort — nicht Ablehnung, sondern bedingte Zustimmung mit Schutzauflagen, entwickelt gemeinsam mit dem BSI (Sicherheitsbehörde) und dem BfDI (Datenschutzbeauftragter). Zeigt: Es ist keine einfache "Bundesregierung gegen Datenschutz"-Geschichte — die zuständigen deutschen Fachbehörden waren eingebunden.

Die Kommission hat eine Empfehlung angenommen, die EU-Länder auffordert, den Rollout der EU-Altersverifikations-App zu beschleunigen, mit dem Ziel, sie bis Ende 2026 verfügbar zu machen. EU-Länder können sie als eigenständige App oder integriert in die EUDI-Wallets anbieten.

Wichtige Rechtsform-Feinheit: Das ist eine "Empfehlung" (Recommendation), kein verbindlicher Rechtsakt — die Kommission kann Länder drängen, aber nicht zwingen. Trotzdem hoher politischer Druck mit konkretem Datum (Ende 2026).

Dänemark, Frankreich, Griechenland, Irland, Italien, Spanien und Zypern wollen eine Vorreiterrolle einnehmen und preschen mit der Umsetzung bereits vor.

Bestätigt dieselbe Länderliste über eine seriösere, unabhängige Quelle — für Blackstone-Zitate diese oder eine ähnliche Quelle statt der oben genannten fragwürdigen Quelle verwenden.

Der Bundestag befasste sich am 24. Juni 2026 mit der IP-Adressspeicherung (Drucksachen 21/6581, 21/7154); die Vorlage wurde an die Ausschüsse überwiesen, Federführung beim Ausschuss für Recht und Verbraucherschutz. Der Bundesrat begrüßt den Entwurf als "wesentlichen Beitrag zur inneren Sicherheit" und plädiert zusätzlich dafür, den Datenzugriff auch für Landes-Gefahrenabwehrbehörden sowie die Verfassungsschutzbehörden der Länder zu öffnen.

Wichtige Verschärfung gegenüber dem ursprünglichen Entwurf: Der Bundesrat will den Kreis der zugriffsberechtigten Behörden noch erweitern — über Strafverfolgung hinaus auch auf Verfassungsschutz. Das ist ein sehr konkretes, aktuelles Beispiel für Function Creep bereits im laufenden Gesetzgebungsverfahren, nicht erst nach Verabschiedung.

Der Entwurf wurde gegenüber früheren Vorhaben deutlich eingeschränkt, lässt aber weiterhin rechtliche und praktische Fragen offen; die Dauer der Speicherfrist bleibt wesentlicher Streitpunkt. Der Entwurf versucht eine "schmale" IP-Vorratsdatenspeicherung, verwendet aber Formulierungen, die in der Praxis deutlich weitergehende Datenspeicherungen erforderlich machen könnten.

Wichtige juristische Einschätzung für Ausgewogenheit: Selbst Kritiker erkennen an, dass der aktuelle Entwurf enger gefasst ist als frühere Pläne — die Sorge liegt jetzt weniger im Prinzip als in der handwerklichen Präzision der Formulierungen, die in der Praxis mehr Daten erfassen könnten als offiziell beabsichtigt.

Die Studie selbst kommt zu dem Ergebnis, dass ein zentrales EU-Vermögensregister technisch und rechtlich problematisch wäre — unter anderem wegen der Schwere möglicher Grundrechtseingriffe bei Datenschutz, informationeller Selbstbestimmung und Eigentumsrechten der EU-Bürger.

Bisher noch nicht in der Datenbank: Die Machbarkeitsstudie selbst kommt zu einem eher skeptischen Ergebnis gegenüber einem zentralen Register — nicht nur "wurde nicht beschlossen", sondern die Studie warnt sogar selbst vor Grundrechtsproblemen. Das ist ein noch stärkerer Beleg gegen die Übertreibung "das Register kommt sicher" als bisher in der Datenbank vorhanden.

Das erste formelle DSA-Verfahren wurde im Dezember 2023 gegen X eröffnet; im Dezember 2025 folgte eine Geldbuße in Höhe von 120 Millionen Euro wegen Transparenzpflicht-Verstößen. Für Meta wurden im April 2024 formelle Verfahren zu Facebook und Instagram eingeleitet; bei Shein und Temu setzte die Kommission zunächst auf formelle Auskunftsverlangen.

Der DSA ist nicht mehr nur Theorie: Die erste konkrete Millionenstrafe (120 Mio. €) ist bereits verhängt. Für Blackstone wichtig, weil das zeigt, dass die im Dossier beschriebenen Overblocking-Anreize jetzt mit echtem finanziellem Druck unterlegt sind — Plattformen haben ein reales Bußgeldrisiko vor Augen, nicht nur ein theoretisches.

Am 17. Februar 2026 eröffnete die Kommission ein förmliches Verfahren gegen Shein unter dem DSA. Zudem wird im Rahmen des Aktionsplans gegen Cybermobbing angekündigt, dass die Kommission die DSA-Leitlinien zum Schutz Minderjähriger überarbeiten und neue Leitlinien zu Trusted Flaggern erlassen wird.

Wichtige Verbindung zu Dossier A3 und B2: Der Aktionsplan gegen Cybermobbing (siehe unten) bringt gleich mehrere Dossiers zusammen — DSA-Durchsetzung, Trusted-Flagger-Ausweitung und Jugendschutz sind nicht getrennte Baustellen, sondern werden politisch zusammen vorangetrieben.

Über 70 Trusted Flagger mit unterschiedlicher Fachexpertise wurden bereits EU-weit benannt, darunter die Bank of Ireland (spezialisiert auf Finanzbetrug), Someturva (Online-Belästigung, u. a. nicht-einvernehmliche Verbreitung intimer Inhalte) und Child Focus (Kindesmissbrauchsmaterial). Der Leitlinienentwurf präzisiert die Kriterien und das Verfahren, nach dem Digital Services Coordinators diesen Status verleihen.

Wichtige Größenordnung, die vorher fehlte: Es sind nicht nur die vier deutschen Organisationen, sondern über 70 EU-weit — mit sehr unterschiedlichen, teils spezialisierten Themenfeldern. Das zeigt: Das System ist inzwischen deutlich ausgebaut, nicht mehr im Anfangsstadium.

Nach Sammlung des Feedbacks plant die Kommission, die Leitlinien in der zweiten Jahreshälfte 2026 zu verabschieden.

Konkretes Datum für die Blackstone-Redaktion: Die finalen Trusted-Flagger-Leitlinien kommen voraussichtlich noch dieses Jahr — ein guter Anlass für einen Update-Artikel, sobald sie veröffentlicht sind.

Europas MiCA-Regime steht zur Überprüfung an, umgangssprachlich "MiCA 2.0" genannt, im Rahmen einer Konsultation, die etwa im September schließt. ESMA wird voraussichtlich zur zentralisierten Aufsichtsbehörde für den Kryptoregulierungsrahmen.

Neue Entwicklung, die noch nicht im Dossier stand: MiCA wird schon nach drei Jahren grundlegend überarbeitet — vor allem wegen der schnellen Entwicklung bei Stablecoins. Für den Masterplan-Bezug (Kapitel Finanzen) relevant: Es könnte sich an den regulatorischen Rahmenbedingungen für Krypto in absehbarer Zeit wieder etwas ändern.

Das Gericht der Europäischen Union hat mit Urteil vom 8. Juli 2026 drei Klagen von Apple im Zusammenhang mit dem DMA abgewiesen. Damit bleibt die Benennung von Apple als Torwächter für App Store und iOS bestehen; das Gericht bestätigte insbesondere, dass die fünf von Apple betriebenen App-Store-Versionen als ein einheitlicher zentraler Plattformdienst behandelt werden durften.

Ganz aktuelles, gerichtlich bestätigtes Ergebnis (nur wenige Wochen alt): Apple ist rechtskräftig (vorbehaltlich Berufung) als "Torwächter" eingestuft — der Versuch, sich dieser Einstufung durch getrennte Betrachtung der App-Stores zu entziehen, ist gescheitert. Wichtig: Die inhaltliche Angemessenheit der Interoperabilitätspflicht selbst wurde vom Gericht nicht geprüft, nur als unzulässig zurückgewiesen — die eigentliche Sachfrage bleibt also offen.

Eine Gruppe technischer Sachverständiger führte im Rahmen der DMA-Evaluierung eine gründliche technische Analyse der Interoperabilität durch — sowohl horizontal (Verbindung zwischen Nutzern verschiedener sozialer Netzwerke) als auch vertikal (Drittanbieter-Zusatzdienste). Die Kommission zieht insgesamt eine positive Bilanz und sieht mehr Auswahl für europäische Verbraucher.

Das ist der offizielle Zwischenbericht der Kommission nach zwei Jahren DMA — Primärquelle für die Selbsteinschätzung der Behörde. Wichtig: horizontale Interoperabilität zwischen verschiedenen sozialen Netzwerken wird technisch sogar als grundsätzlich möglich eingeschätzt — das wäre ein großer Schritt (z. B. Nachrichten zwischen verschiedenen Messenger-Apps austauschen können).

Eine Analyse der Free Software Foundation Europe zeigt, dass Apple systematisch 56 formelle Interoperabilitäts-Anfragen von Entwicklern blockiert hat — eine Strategie "böswilliger Compliance", die die Interoperabilitäts-Vorgaben des DMA faktisch neutralisiert, trotz der strengen Vorgaben der Kommission.

Gegenposition zum positiven Kommissions-Bericht: Eine Bürgerrechtsorganisation für freie Software dokumentiert konkret 56 Fälle, in denen Apple formale Anfragen zur Zusammenarbeit zwar formal beantwortet, aber praktisch ins Leere laufen lässt — "Dienst nach Vorschrift" statt echter Öffnung. Genau die Art von Beleg, die für Blackstones Function-Creep- bzw. "Gesetz vs. Praxis"-Argumentation wichtig ist.

Apple nennt als konkretes Beispiel den Zugriff auf die WLAN-Historie: Wenn Drittanbieter wie Meta Zugriff auf bestimmte iOS-Daten erhielten, ließen sich daraus Profile ableiten, die deutlich mehr verraten als die Verbindungsdaten selbst. Apple habe diese Bedenken der Kommission mehrfach vorgelegt, sie seien aber ignoriert worden.

Wichtig für echte Ausgewogenheit im Dossier: Apples Kritik ist nicht nur "wir wollen unser Geschäftsmodell schützen", sondern enthält ein konkretes, technisch nachvollziehbares Datenschutz-Argument — mehr Interoperabilität kann in bestimmten Fällen auch neue Datenschutz-Risiken schaffen (hier: Standort-/Bewegungsprofile über WLAN-Zugangsdaten). Das ist ein echter Zielkonflikt zwischen Wettbewerbsrecht und Datenschutz, kein reines Lobbying-Argument.

66% der befragten Softwarehersteller sind laut dem Report nach wie vor nicht mit der Verordnung vertraut — ein Anstieg gegenüber dem Vorjahr, nicht ein Rückgang.

Bemerkenswert kontraintuitiv: Statt sich der näher rückenden Frist anzupassen, ist die Unkenntnis über den CRA sogar noch gestiegen. Das ist ein starker Beleg für das Masterplan-Argument, dass Meldepflichten zwar auf dem Papier gut klingen, in der Praxis aber riesige Umsetzungslücken haben können.