Es war ein Paukenschlag aus Brüssel: Mit dem „Digital Omnibus“ hat die Europäische Kommission gestern ein umfassendes Reformpaket vorgelegt, das zahlreiche EU-Verordnungen im digitalen Raum anfasst – darunter die DSGVO, die ePrivacy-Richtlinie, die KI-Verordnung und Regelwerke zur Cybersicherheit. Ziel: Weniger Bürokratie, mehr Klarheit – ohne beim Datenschutz zurückzurudern.
Doch genau dort liegt auch der juristische Zündstoff. Denn während die Kommission auf Effizienz und Vereinheitlichung setzt, dürften manche Neuregelungen nicht ohne Diskussion bleiben. Vor allem das Auskunftsrecht, der Umgang mit pseudonymisierten Daten und die Verarbeitung sensibler Daten in KI-Anwendungen bieten Angriffsfläche.
Was steckt hinter dem „Digital Omnibus“?
Mit dem Digital Omnibus will die EU gleich mehrere digitale Gesetzeswerke harmonisieren, überflüssige Regelungen abschaffen und damit nach eigenen Angaben Einsparungen von fünf Milliarden Euro bis 2029 erzielen. Betroffen sind unter anderem:
-
DSGVO (Datenschutz-Grundverordnung)
-
KI-Verordnung
-
ePrivacy-Richtlinie
-
DORA, NIS2, Data Act und weitere.
Die wichtigste Änderung? Brüssel schafft einen zentralen Meldemechanismus („One-Stop-Reporting“) für Sicherheitsvorfälle, der die Meldepflichten aus Datenschutz, IT-Sicherheit und Finanzregulierung bündelt. Das spart nicht nur Zeit – es stärkt auch die Rechtssicherheit für Unternehmen.
Datenschutz im Wandel: Neue Regeln für alte Rechte
Gerade die DSGVO soll an entscheidenden Stellen modernisiert werden. Hier einige zentrale Neuerungen im Überblick:
Relativität personenbezogener Daten
Was für den einen „personenbezogen“ ist, kann für den anderen anonym sein – so das neue Konzept „relativer personenbezogener Daten“. Hintergrund ist ein Urteil des EuGH vom September 2025. Praktisch bedeutet das: Unternehmen müssen noch genauer prüfen, für wen Daten identifizierbar sind.
Automatisierte Entscheidungen
Die Kommission stellt klar: Entscheidungen durch Algorithmen sind zulässig, wenn sie auf Vertrag, Gesetz oder Einwilligung beruhen – selbst wenn ein Mensch theoretisch hätte eingreifen können. Das stärkt automatisierte Geschäftsmodelle, wirft aber Fragen zum „ob“ und „wie“ der Einwilligung auf.
Rechtsmissbrauch beim Auskunftsrecht
Neu ist ein expliziter Ablehnungsgrund: Wenn Betroffene ihr Auskunftsrecht rechtsmissbräuchlich nutzen, dürfen Unternehmen Anfragen ablehnen. Wo genau „Missbrauch“ beginnt, bleibt jedoch unklar – und dürfte für juristische Auseinandersetzungen sorgen.
Mehr Zeit bei Datenschutzpannen
Die Frist zur Meldung schwerwiegender Datenschutzverletzungen wird von 72 auf 96 Stunden verlängert – eine kleine, aber willkommene Entlastung für Compliance-Abteilungen.
Vereinheitlichung von Datenschutz-Folgenabschätzungen
Das EDPB soll künftig verbindliche Vorlagen für Datenschutz-Folgenabschätzungen (DPIAs) erstellen – ein Schritt hin zu mehr Rechtssicherheit.
Forschung wird einfacher
Zweckänderungen für wissenschaftliche Zwecke gelten künftig automatisch als kompatibel. Und: Informationspflichten entfallen, wenn sie „unverhältnismäßig“ wären – ein Türöffner für datengestützte Forschungsvorhaben.
Cookie-Banner: Weniger Nerv, mehr Kontrolle?
Auch die leidige Cookie-Frage geht Brüssel an: Nach einer Ablehnung darf erst nach sechs Monaten erneut gefragt werden. Zusätzlich soll die Einwilligung künftig per Browser- oder System-Einstellung steuerbar sein. Medienanbieter dürfen dennoch weiterhin direkt um Zustimmung bitten – ein klares Signal zugunsten der Verlage.
KI-Verordnung: Klare Regeln für sensible Daten
Die Änderungen an der KI-Verordnung zielen auf Praktikabilität – insbesondere für kleine und mittlere Unternehmen:
-
Besondere Datenkategorien dürfen bei der Entwicklung von KI verwendet werden – allerdings nur unter strengen Bedingungen und wenn eine Erhebung eigentlich vermieden werden sollte.
-
Biometrische Verifizierung ist erlaubt, sofern die Kontrolle bei den Nutzern liegt.
-
Legitimes Interesse wird ausdrücklich als Rechtsgrundlage für KI-Entwicklung anerkannt.
-
KMU profitieren von längeren Fristen und vereinfachter Dokumentation.
Fazit: Entlastung mit Fallstricken
Der Digital Omnibus ist ein pragmatischer Vorstoß zur Vereinfachung des europäischen Digitalrechts – aber keiner ohne juristische Fallstricke. Besonders im Datenschutz bleibt der Spagat zwischen Innovation und Grundrechtsschutz heikel. Unternehmen, insbesondere datengetriebene und KI-gestützte Geschäftsmodelle, sollten die Entwicklungen eng begleiten und ihre Prozesse frühzeitig anpassen.
Die politische Entscheidung fällt frühestens 2026 – Inkrafttreten je nach Bereich ab 2027 oder später. Für die Cookie-Neuregelungen ist eine Übergangsfrist von sechs Monaten vorgesehen.
Alle Informationen im Überblick: Digital Omnibus Regulation Proposal | Shaping Europe’s digital future