Das Regelwerk wächst weiter. Ihr Team nicht.

Die DSGVO war der Anfang, nicht der Abschluss. Die KI-Verordnung, der DSA, der DMA, der Data Act, NIS2 — jeweils mit eigener Zeitschiene, eigener Aufsichtsbehörde und Leitlinien, die nach keinem erkennbaren Plan erscheinen. Und in den meisten Organisationen deckt eine Person das alles ab, meist neben einer zweiten Aufgabe.

Das Scheitern ist nicht dramatisch. Es besteht darin, im November zu erfahren, dass eine Pflicht im Juni begonnen hat — von jemandem außerhalb Ihres Teams.

Sie legen Ihre Gebiete fest — Datenschutz, KI und Medien, was Sie sonst noch tragen — und die Rechtsräume, in denen Ihre Organisation tätig ist.

Dann: EU-Gesetzgebung, sowohl verabschiedet als auch derzeit in Kraft; die digitalpolitischen Veröffentlichungen der Kommission; Urteile des Gerichtshofs und des Gerichts der Europäischen Union zur DSGVO und zum weiteren digitalen Regelwerk; nationale Gerichtsentscheidungen in Portugal und Deutschland; Leitlinien und Stellungnahmen europäischer und nationaler Datenschutzbehörden, sobald sie erscheinen; und die Presse.

Alles kommt kategorisiert und zusammengefasst an, sodass Sie eine echte Pflicht von einem Kommentar darüber unterscheiden können, ohne eines von beidem zu öffnen.

Übergangsfristen schleichen sich nicht mehr an, weil das Instrument, das sie setzt, bei der Verabschiedung vor Ihnen liegt und nicht erst, wenn es greift.

Wenn der Gerichtshof über Übermittlungen, berechtigtes Interesse oder automatisierte Entscheidungen befindet, steht es im Briefing von morgen — nicht sechs Monate später auf einer Konferenzfolie.

Ihre Notizen bauen einen Nachweis auf. Wenn jemand fragt, warum Sie im März eine Position bezogen haben, hängt die Begründung an dem, was Sie gelesen haben.

Und „was hat sich seit dem Frühjahr bei KI-Transparenz geändert" ist eine Frage, kein Projekt.