Am 21.10.2026 hat sich der Rat der EU auf ein Verhandlungsmandat zum Digitalen Omnibus geeinigt. Die Bundesregierung hat neben Estland und Österreich gegen die Einigung gestimmt - konnte sich jedoch nicht durchsetzen. Zentrale Punkte des Widerspruchs waren u. a. die nicht Berücksichtigung der DSGVO-Ausnahmen für Ehrenamtliche und KMU oder ein stärkerer Schutz von Geschäftsgeheimnissen im Hinblick auf den Data Act. Grundsätzlich sieht der Kompromiss wenige, aber meist abschwächende Änderungen zum Entwurf der EU-Kommission vor.

Überprüfung der DSGVO auf Ausnahmen für KMU und Ehrenamt

Sechs Monate nach Inkrafttreten des Digitalen Omnibus soll die EU-Kommission einen Bericht mit Empfehlungen zur Verhältnismäßigkeit der Pflichten für KMU und ehrenamtliche Organisationen sowie zu möglichen Anpassungen vorlegen. Die Bundesregierung hatte zudem gefordert, die für 2028 vorgesehene Überprüfung der DSGVO im kommenden Jahr vorzuziehen.

Nutzung von personenbezogenen Daten zum KI-Training

Der Rat hält grundsätzlich am Ansatz der Kommission fest, wonach die Verarbeitung personenbezogener Daten für die Entwicklung und den Betrieb von KI-Systemen und -Modellen auf ein berechtigtes Interesse gestützt werden kann, sofern dessen Voraussetzungen im Einzelfall erfüllt sind. Zugleich sieht er zusätzliche Schutzvorkehrungen für Betroffene vor, darunter erhöhte Transparenz und ein unbedingtes Widerspruchsrecht. Für besondere Kategorien personenbezogener Daten gelten hingegen deutlich engere Voraussetzungen: Die Ausnahme vom grundsätzlichen Verarbeitungsverbot soll auf Fälle beschränkt werden, in denen solche Daten lediglich unbeabsichtigt und als Restdaten bei der Entwicklung oder dem technischen Betrieb von KI-Systemen oder -Modellen verarbeitet werden. Zudem müssen geeignete technische und organisatorische Maßnahmen getroffen werden, um eine solche Verarbeitung möglichst zu vermeiden.

Pseudonymisierte Daten

Der Rat konkretisiert den bereits im Kommissionsvorschlag angelegten relativen Personenbezug: Ob pseudonymisierte Daten für einen bestimmten Empfänger personenbezogene Daten sind, soll von dessen realistischen Identifizierungsmöglichkeiten abhängen. Kann der Empfänger die Person mit den ihm vernünftigerweise zur Verfügung stehenden Mitteln nicht identifizieren, sollen die Daten für ihn nicht als personenbezogen gelten. Des Weiteren wird präzisiert, dass personenbezogene Daten, die ein Auftragsverarbeiter im Auftrag eines Verantwortlichen verarbeitet, auch für den Auftragsverarbeiter als personenbezogene Daten gelten und dieser weiterhin den für ihn nach der DSGVO geltenden Pflichten unterliegt.

Die weitere Konkretisierung von Pseudonymisierung und Anonymisierung, einschließlich der relevanten technischen und organisatorischen Maßnahmen, soll durch eine Opinion des EDPB erfolgen.

ePrivacy

Abweichend vom Kommissionsvorschlag sollen Cookies und andere Online-Tracking-Technologien nach dem Ratsmandat weiterhin ausschließlich in der ePrivacy-Richtlinie geregelt werden. Der Rat hält grundsätzlich am Einwilligungserfordernis für Cookies und vergleichbare Technologien fest, erweitert aber die Ausnahmen, etwa für notwendige Funktionen, bestimmte Reichweitenmessungen oder Sicherheitszwecke. Einwilligungen sollen zudem einfach mit einem Klick abgelehnt werden können; nach einer Ablehnung darf für denselben Zweck grundsätzlich vier Monate lang nicht erneut gefragt werden. Gegenüber dem Kommissionsvorschlag streicht der Rat jedoch weitgehend die vorgesehenen Regelungen zu automatisierten und maschinenlesbaren Consent-Signalen.

National Entry Point statt EU-weiter Lösung

Die Position des Rates weicht vom Vorschlag der EU-Kommission zu einem EU-weiten Single Entry Point zur Erfüllung der Meldepflichten (u.a. NIS2 Richtlinie, die DSGVO oder DORA) ab. EU-Mitgliedstaaten sollen mehr Flexibilität erhalten und einen nationalen Single Entry Point aufbauen, der in ihre bestehenden Strukturen integriert werden kann. Die Interoperabilität mit anderen EU-Mitgliedstaaten soll gewährleistet bleiben. ENISA soll hierzu Empfehlungen veröffentlichen und eine Open-Source Lösung entwickeln.

Die EU-Kommission soll dem Europäischen Parlament und dem Rat einen Bericht vorlegen, der u. a. konkrete Schritte und einen Zeitplan für die weitere Harmonisierung des Incident-Reportings zu den verschiedenen EU-Rechtsakten beschreibt.

Ausblick

Sobald das EU-Parlament sein Verhandlungsmandat (nicht vor dem Frühjahr 2027) verabschiedet hat, beginnen die Trilogverhandlungen zum Digitalen Omnibus. Mit dem Abschluss des Gesetzgebungsverfahrens ist nicht vor Ende 2027 zu rechnen.

Quelle: DATEV eG Informationsbüro Brüssel