正在发生的变化。
每天清晨汇总：改变企业处境的裁判、法律和监管决定。这不是新闻摘要——列于此处的内容，都会产生后果。
BaFin entzieht der Bank Saderat Iran Zweigniederlassung Hamburg die Erlaubnis und ordnet die Abwicklung an.
Die Maßnahme zeigt, dass die Aufsicht bei Iran-Bezügen im Bankgeschäft konsequent durchgreift; Unternehmen mit Geschäftsbeziehungen zu sanktionsnahen Instituten sollten ihre Sorgfaltspflichten überprüfen.
BaFin erhöht den sektoralen Systemrisikopuffer für österreichische Gewerbeimmobilienkredite stufenweise auf 3,5 Prozent.
Banken mit Engagements in österreichischen Gewerbeimmobilien müssen höhere Eigenmittel vorhalten, was Kreditvergabe und Kapitalplanung betrifft.
Die EU-Kommission leitet ein förmliches DSA-Verfahren gegen Booking.com wegen des Umgangs mit Betrug und Täuschung auf der Plattform ein.
Online-Plattformen mit vergleichbaren Vermittlungsmodellen sollten ihre Risikobewertung und Betrugsbekämpfung nach dem Digital Services Act auf den Prüfstand stellen, da die Kommission hier einen Enforcement-Schwerpunkt setzt.
Die BaFin konsultiert eine Mantelverordnung zur Abschaffung des Millionenkreditmeldewesens.
Banken und Finanzdienstleister müssen künftig mit einer reduzierten Meldepflicht für Großkredite rechnen, was interne Meldeprozesse und IT-Systeme betrifft; Unternehmen der Finanzbranche sollten die Konsultation im Blick behalten, bevor die Verordnung final wird.
Die BaFin konsultiert eine Änderungsverordnung, wonach Mitarbeitende auch bei der Vergabe von Allgemein-Verbraucherdarlehen eine Sachkunde nachweisen müssen.
Kreditinstitute müssen künftig Schulungs- und Nachweispflichten für Vertriebsmitarbeitende auf das gesamte Verbraucherkreditgeschäft ausweiten, nicht mehr nur auf Immobiliardarlehen; Stellungnahmen sind bis 27. Oktober 2026 möglich.
Die Bafin hat ihre Methodik zur risikoorientierten Festlegung von Eigenmittelempfehlungen präzisiert.
Beaufsichtigte Institute erhalten dadurch mehr Klarheit über die Berechnungsgrundlagen künftiger Eigenmittelempfehlungen, was die Kapitalplanung entsprechend beeinflussen kann.
Die BaFin übernimmt per Rundschreiben die EBA-Leitlinien zur CRR-Definition von Anbietern von Nebendienstleistungen und konkretisiert die Begriffe Abhängigkeit von der Banktätigkeit sowie Abhängigkeit von Finanzmitteln.
Unternehmen, die als Anbieter von Nebendienstleistungen für Institute eingestuft werden könnten, erhalten eine verbindlichere aufsichtliche Auslegung, anhand derer sich ihre regulatorische Einordnung und damit verbundene Pflichten neu bewerten lassen.
Die Bafin hat gegen die VW AG ein Bußgeld von 1,2 Mio. Euro wegen eines Verstoßes gegen die Marktmissbrauchsverordnung verhängt.
Die Entscheidung zeigt, dass die Bafin Verstöße gegen Ad-hoc- und Marktmissbrauchspflichten auch bei großen Emittenten konsequent sanktioniert; Unternehmen mit Kapitalmarktzugang sollten ihre Compliance-Prozesse zur MAR entsprechend prüfen.
Die BaFin stellt ihre Praxis zur Übernahme von ESA- und AMLA-Leitlinien um und verzichtet künftig auf eigene Rundschreiben, stattdessen gibt es eine laufend aktualisierte Übersicht.
Beaufsichtigte Unternehmen müssen ihre Compliance-Prozesse zur Beobachtung aufsichtsrechtlicher Vorgaben anpassen, da die bisherige Orientierung an Rundschreiben entfällt und stattdessen die neue Übersichtsliste maßgeblich wird.
BaFin ersetzt ihre Aufsichtsmitteilung zum Arbeitgeber-Sicherungsfall durch ein neues Rundschreiben mit konkretisierten Melde- und Informationspflichten für Pensionskassen und Pensionsfonds.
Unternehmen, die eine eigene Pensionskasse oder einen Pensionsfonds unterhalten, müssen bei einer Insolvenz als Trägerunternehmen künftig umfangreichere und genauer spezifizierte Angaben liefern; interne Melde- und Dokumentationsprozesse für den Sicherungsfall sollten entsprechend angepasst werden.
Das europäische Verbraucherschutznetzwerk CPC leitet koordinierte Durchsetzungsmaßnahmen gegen Videospielanbieter zum Schutz von Spielerrechten ein.
Für Anbieter digitaler Spiele und In-App-Käufe steigt das Risiko behördlicher Prüfungen zu Mechanismen wie Lootboxen, Preisgestaltung und Transparenzpflichten; bestehende Verbraucherschutz-Compliance in diesem Bereich sollte überprüft werden.
Ab 27. September gelten strengere Regeln für Umweltwerbung (EmpCo-Umsetzung im UWG).
Pauschale Aussagen wie „klimaneutral“ oder „umweltfreundlich“ ohne Nachweis sind unzulässig; Nachhaltigkeitssiegel nur noch mit Zertifizierung oder staatlicher Grundlage. Werbe- und Produkttexte sollten vorher geprüft sein.
Die irische Datenschutzbehörde verhängt gegen Google eine Geldbuße von 403 Millionen Euro wegen rechtswidriger Verarbeitung von Standortdaten.
Die Entscheidung zeigt, dass Aufsichtsbehörden Standortdatenverarbeitung streng an Transparenz- und Rechtsgrundlagenpflichten der DSGVO messen; Unternehmen mit Geolocation-Funktionen in Apps oder Werbeprodukten sollten ihre Einwilligungs- und Informationsprozesse dagegen spiegeln.
Bundeskabinett beschließt das Jahressteuergesetz 2026.
Unter anderem: Forschungszulage bis 25 Mio. Euro je Unternehmen und Vorhaben, eine neu geregelte, per Erklärung wählbare umsatzsteuerliche Organschaft und ein geändertes Erstattungsverfahren für die Kapitalertragsteuer bei ausländischen Anteilseignern.
BSI warnt vor kritischen PHP-Schwachstellen und fordert zeitnahes Einspielen der am Nachmittag erwarteten Sicherheitsupdates.
Unternehmen mit PHP-basierten Webanwendungen müssen kurzfristig patchen, um Haftungs- und NIS-2-Meldepflichten im Fall eines Sicherheitsvorfalls zu vermeiden.
Der Bundestag hat das Durchführungsgesetz zum Cyber Resilience Act verabschiedet, mit dem die EU-Verordnung auf nationaler Ebene vollzogen wird.
Hersteller, Importeure und Händler vernetzter Produkte mit digitalen Elementen erhalten damit erstmals konkrete nationale Zuständigkeits- und Vollzugsregeln, auf die sich ihre CRA-Compliance-Prozesse einstellen müssen.
BMI, BMDS und BSI veröffentlichen eine gemeinsame Leitlinie zur nationalen Umsetzung der EU-Roadmap für den Übergang zu Post-Quanten-Kryptografie.
Betreiber kritischer Infrastrukturen und andere Unternehmen erhalten erstmals eine konkrete nationale Orientierung, bis wann und wie quantensichere Verschlüsselung in IT-Systemen einzuführen ist, was mittelfristig Anpassungen in der IT-Sicherheitsarchitektur und bei Beschaffungsvorgaben erfordert.
Data Act: Vernetzte Produkte, die ab dem 12. September 2026 in Verkehr kommen, müssen Datenzugang von Anfang an ermöglichen.
Hersteller müssen Produkte und verbundene Dienste so gestalten, dass Nutzer ihre Daten einfach und sicher erhalten können. Das betrifft Konstruktion, Verträge und Datenschutzkonzept neuer Produktlinien.
Cyber Resilience Act: Meldepflicht für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gilt.
Hersteller von Produkten mit digitalen Elementen melden über die EU-Plattform (CRA-SRP) an CERT-Bund beim BSI und ENISA. Meldewege und Zuständigkeiten sollten jetzt intern feststehen.
BGH: Sampling kann als „Pastiche“ zulässig sein (I ZR 74/22, „Metall auf Metall“).
Die Übernahme kurzer Tonfolgen kann erlaubt sein, wenn eine erkennbare künstlerische Auseinandersetzung mit dem Original vorliegt. Relevant für Medien-, Werbe- und Content-Produktion.