Die EU hat in den vergangenen Jahren zahlreiche neue Vorschriften für die digitale Welt geschaffen. Dazu gehören beispielsweise die DSGVO, der Data Act, die NIS2-Richtlinie und der AI Act. Diese Regelungen sollen unter anderem personenbezogene Daten schützen, die IT-Sicherheit stärken und einen fairen digitalen Markt schaffen. Dadurch ist allerdings auch ein komplexes Regelwerk entstanden, das Unternehmen vor Herausforderungen stellt.
An dieser Stelle setzt der Digital Omnibus an. Die EU-Kommission möchte bestehende digitale Vorschriften vereinfachen, besser aufeinander abstimmen und den bürokratischen Aufwand für Unternehmen reduzieren. Es handelt sich nicht um ein völlig neues Datenschutzgesetz, sondern um ein Gesetzgebungspaket, mit dem bestehende Regelungen geändert und teilweise zusammengeführt werden sollen. Der ursprüngliche Vorschlag der EU-Kommission wurde am 19. November 2025 veröffentlicht. Inzwischen hat auch der Rat der Europäischen Union seine Verhandlungsposition beschlossen.
Ziele
- Weniger Bürokratie: Unternehmen sollen bestimmte Melde- und Informationspflichten einfacher erfüllen können.
- Einheitlichere Regeln: Vorschriften sollen besser aufeinander abgestimmt werden, damit Unternehmen nicht mehr mit mehreren ähnlichen Anforderungen konfrontiert sind.
- Bessere Nutzung von Daten: Die EU möchte Unternehmen mehr Möglichkeiten eröffnen, Daten für innovative Technologien und KI-Systeme zu nutzen.
Das Ziel ist, Unternehmen zu entlasten, ohne die grundlegenden Schutzziele der europäischen Digitalgesetzgebung aufzugeben.
Mögliche Auswirkungen auf den Datenschutz
Zum einen möchte die EU klarer regeln, unter welchen Voraussetzungen pseudonymisierte Daten für eine bestimmte Stelle als personenbezogene Daten gelten. Bei der Pseudonymisierung werden Daten so verarbeitet, dass sie ohne zusätzliche Informationen nicht mehr einer bestimmten Person zugeordnet werden können. Eine Zuordnung bleibt bei Vorliegen dieser zusätzlichen Informationen grundsätzlich möglich.
Der ursprüngliche Kommissionsvorschlag sieht vor, dass pseudonymisierte Daten für eine bestimmte Stelle unter bestimmten Voraussetzungen nicht als personenbezogen gelten, wenn diese Stelle nicht über Mittel verfügt, mit denen sie die betroffene Person identifizieren kann. Das könnte den Umgang mit bestimmten Daten für Unternehmen erleichtern. Dieser Vorschlag ist allerdings umstritten. Die europäischen Datenschutzbehörden sehen darin die Gefahr einer deutlichen Einschränkung des Begriffs der personenbezogenen Daten und damit des Anwendungsbereichs der DSGVO. Der Rat möchte die bestehende Definition personenbezogener Daten dagegen beibehalten und stattdessen durch eine ergänzende Regelung klarstellen, unter welchen Voraussetzungen pseudonymisierte Daten für einen bestimmten Empfänger nicht als personenbezogen gelten. Wie die endgültige Regelung aussehen wird, steht daher noch nicht fest.
Außerdem sind im Rahmen des Digital Omnibus Vereinfachungen bei der Meldung von Datenschutzverletzungen geplant. Nach derzeit geltendem Recht müssen Unternehmen eine Datenschutzverletzung grundsätzlich innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde melden, wenn die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt. Besteht voraussichtlich kein solches Risiko, ist keine Meldung erforderlich.
Nach dem Kommissionsvorschlag und der Verhandlungsposition des Rates soll eine Meldung künftig nur noch erforderlich sein, wenn die Datenschutzverletzung voraussichtlich zu einem hohen Risiko für die betroffenen Personen führt. Zugleich soll die Meldefrist auf 96 Stunden verlängert werden. Auch nicht meldepflichtige Datenschutzverletzungen müssten weiterhin intern dokumentiert werden. Das könnte Unternehmen entlasten und im Ernstfall mehr Zeit für die Bewertung und Meldung eines Vorfalls verschaffen.
Zudem möchte die EU die Regeln für Cookies und ähnliche Technologien vereinfachen. Für bestimmte Zwecke, beispielsweise für eine anonyme Reichweitenmessung durch den Anbieter einer Website oder eines digitalen Dienstes, sollen Ausnahmen von der Einwilligungspflicht möglich werden. Außerdem sollen Nutzer ihre Cookie-Entscheidungen einfacher treffen und technisch übermitteln können. Der ursprüngliche Kommissionsvorschlag sah vor, die entsprechenden Vorgaben teilweise in die DSGVO zu überführen und Auswahlentscheidungen beispielsweise über Browser- oder Systemeinstellungen zu ermöglichen. Der Rat möchte die Cookie-Regelungen dagegen grundsätzlich in der ePrivacy-Richtlinie belassen. Die genaue Ausgestaltung ist daher noch Gegenstand des Gesetzgebungsverfahrens.
Weitere Vorschläge betreffen unter anderem einheitlichere Vorgaben für Datenschutz-Folgenabschätzungen, Erleichterungen bei bestimmten Informationspflichten sowie den Umgang mit missbräuchlichen oder exzessiven Auskunftsersuchen. Für die Entwicklung und den Betrieb von KI-Systemen soll außerdem klargestellt werden, unter welchen Voraussetzungen personenbezogene Daten auf der Grundlage berechtigter Interessen verarbeitet werden können. Eine pauschale Erlaubnis zur Nutzung personenbezogener Daten für KI ist damit jedoch nicht verbunden. Erforderlich bleiben eine Prüfung des Einzelfalls und die Einhaltung der weiteren Vorgaben der DSGVO.
Warum sind die geplanten Änderungen umstritten?
Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte begrüßen zwar einzelne Entlastungen, warnen aber gleichzeitig vor möglichen Einschränkungen des Datenschutzes. Besonders kritisch sehen sie die im Kommissionsvorschlag vorgesehene Änderung der Definition personenbezogener Daten. Diese könne den Anwendungsbereich der DSGVO deutlich verengen und zu Rechtsunsicherheit führen.
Auch bei der Nutzung personenbezogener Daten für die Entwicklung und den Betrieb von KI-Systemen sehen die Datenschutzbehörden Klärungsbedarf. Das betrifft unter anderem die Verarbeitung besonderer Kategorien personenbezogener Daten, beispielsweise Gesundheitsdaten oder Angaben zur ethnischen Herkunft, zur Erkennung und Korrektur unerwünschter Verzerrungen in KI-Systemen.
Hier zeigt sich der grundsätzliche Konflikt. Wie lassen sich wirtschaftliche Innovation, eine praxistaugliche Regulierung und ein hohes Datenschutzniveau miteinander vereinbaren?
Was bedeutet das nun für Unternehmen?
Unternehmen sollten nicht davon ausgehen, dass sich ihre datenschutzrechtlichen Pflichten durch den Digital Omnibus bereits geändert haben. Der Rat hat zwar inzwischen seine Verhandlungsposition beschlossen. Das Europäische Parlament muss jedoch noch seine eigene Position festlegen. Anschließend müssen sich Parlament und Rat auf einen gemeinsamen Text einigen. Erst nach Abschluss des Gesetzgebungsverfahrens und dem Inkrafttreten der jeweiligen Änderungen entstehen neue verbindliche Vorgaben.
Unternehmen müssen ihre Datenschutzmaßnahmen daher weiterhin nach den derzeit geltenden Vorschriften ausrichten. Dazu gehören beispielsweise die aktuell geltende Meldefrist von 72 Stunden bei meldepflichtigen Datenschutzverletzungen und die derzeitigen Anforderungen an den Einsatz von Cookies und ähnlichen Technologien.
Es ist dennoch sinnvoll, die weitere Entwicklung zu verfolgen. Unternehmen können bereits prüfen, welche internen Prozesse von den möglichen Änderungen betroffen wären. Dazu gehören vor allem das Verfahren zur Bewertung und Meldung von Datenschutzverletzungen, der Umgang mit pseudonymisierten Daten, das Cookie- und Einwilligungsmanagement, Datenschutz-Folgenabschätzungen sowie die Entwicklung und der Einsatz von KI-Systemen. Eine vorschnelle Umstellung bestehender Prozesse ist zum jetzigen Zeitpunkt jedoch nicht erforderlich.