Executive Summary: DSGVO-Änderungen im „Digital Omnibus“
Die EU-Kommission plant im Rahmen des Digital Omnibus Directive weitreichende Anpassungen der DSGVO, die vor allem zwei Bereiche betreffen: Tracking-Cookies + Consent-Banner und Datenverarbeitung für KI. Die vorgeschlagenen Änderungen würden die Verwendung von Cookies künftig stärker auf berechtigtes Interesse (Art. 6 Abs. 1, Bst. f DSGVO) stützen und die Einwilligungspflicht ( Art. 6 Abs. 1 Bst. a DSGVO) erheblich reduzieren. Zusätzlich sollen pseudonymisierte Daten leichter für KI-Training und Analyseprozesse nutzbar werden, was den EU AI Act betrifft. Für Unternehmen könnte dies eine operative Erleichterung bedeuten – für Datenschützer und Behörden eine deutliche Schwächung des bestehenden Schutzstandards.
Hintergrund: Was die EU im Digital-Omnibus anstrebt
Mit dem Digital Omnibus verfolgt die EU-Kommission das Ziel, mehrere digitale Rechtsbereiche – darunter DSGVO, ePrivacy-Regelungen und Teile der KI-Regulierung (EU AI Act) zu modernisieren und administrativ zu verschlanken. Das Paket enthält Vorschläge, die das bisherige Datenschutzmodell in mehreren Kernpunkten neu ausrichten würden:
- Tracking-Cookies könnten künftig häufiger auf „berechtigtes Interesse“ (Art. 6 Abs. 1, Bst. f DSGVO) gestützt werden, was die Notwendigkeit von Consent-Bannern deutlich reduzierten würde.
- Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sollen enger definiert werden – nur noch die Informationen, die „direkt“ sensible Merkmale offenbaren, (z.B. Ausweisdokumente) würden so privilegiert geschützt.
- Pseudonymisierte Daten sollen breiter für KI-Training und Analysezwecke nutzbar werden, ohne die bisherigen strengen Voraussetzungen.
- Datenverarbeitung für innovative digitale Dienste soll grundsätzlich erleichtert werden, um europaweit ein wettbewerbsfähiges Innovationsumfeld zu stärken.
Einer der wesentlichen Kritikpunkte vieler Datenschutzexperten ist die damit verbundene Absenkung des Grundrechtsschutzes zugunsten wirtschaftlicher Wettbewerbsfähigkeit, was langfristig sowohl gesellschaftliche als auch regulatorische Risiken schaffen könnte. Aber wie so oft steht am Ende doch das wirtschaftliche Interesse im Vordergrund.
Die wichtigsten DSGVO-Änderungen im Detail
1. Tracking-Cookies und Consent-Banner
Zentraler Punkt ist die Neugewichtung zwischen Einwilligung und berechtigtem Interesse (Art. 6 Abs. 1 Bst. a sowie Art. 6 Abs. 1, Bst. f DSGVO). Wenn Tracking- und Analyseverfahren künftig überwiegend auf berechtigtes Interesse gestützt werden dürfen, hätte das folgende Konsequenzen:
- Consent-Banner würden deutlicher seltener benötigt und eingeblendet.
- Tracking-Mechanismen (Analytics, Retargeting, Conversion-Messung) könnten mit weniger Reibungsverlusten eingesetzt werden.
- Betreiber müssten verstärkt Opt-out-Mechanismen bereitstellen und transparent darstellen & dokumentieren (z.B. als barrierefreier Link auf der Startseite)
Die Datenqualität von Web-Analytics würde steigen, während aber das Missbrauchspotenzial steigen dürfte.
Für Unternehmen wäre dies operativ eine klare Erleichterung; für Betroffene und Aufsichtsbehörden ein erheblicher Kontrollverlust (und vermutlich auch ein Verlust an Bußgeldern).
2. KI-Training und pseudonymisierte Daten
Die vorgeschlagenen Änderungen würden es erlauben, pseudonymisierte Daten deutlich breiter für das Training von KI-Modellen zu nutzen. Dies betrifft insbesondere:
- KI-Startups (LLM-Entwickler und Provider)
- SaaS-Unternehmen mit großen Datenpools (Nutzung von KI-APIs)
- Plattformanbieter bzw. Plattformbetreiber
- Forschung & öffentliche Stellen
Mehr Spielraum bedeutet stärkere Innovationsfähigkeit, gleichzeitig steigt aber auch das Risiko der Re-Identifizierung, wenn Qualität und Integrität der Pseudonymisierung nicht gewährleistet sind.
3. Neue Definition sensibler Daten
Der Vorschlag der Kommission sieht vor, nur solche Informationen als „besonders schützenswert“ einzustufen, die unmittelbar Rückschlüsse auf Merkmale wie Gesundheit, ethnische Herkunft oder Religion zulassen (vgl. Art. 9 DSGV). Daten, die lediglich nur sensible Merkmale vermuten lassen, etwa das Einkaufsverhalten, Standortprofile oder Nutzungsdaten, würden künftig nicht mehr automatisch unter die hohen Schutzstandards fallen.
Ist das also ein Freifahrtsschein für ungebremstes Tracking? Jedenfalls hätte dies weitreichende Auswirkungen auf Prozesse wie personenbezogenes Profiling, Scoring (mit Personenbezug), Risikobewertungen, Zielgruppenanalysen oder auch KI-gestützte Verhaltensmodelle.
Auswirkungen auf Unternehmen, Behörden und Datenschutzbeauftragte
Für Unternehmen ergeben sich potenziell deutliche Arbeitserleichterungen und bürokratische „Entschlackungen“:
- weniger Abhängigkeit von Consent-Banner-Logiken
- größere Datengrundlage für Analytics und KI
- weniger Komplexität im Cookie-Management
- bessere Planbarkeit bei Marketing- und Produktanalyseprozessen
Für Behörden und Datenschutzbeauftragte entsteht jedoch zusätzlicher Druck, während in Prüfprozessen einige Anpassungen erforderlich werden:
- Schutzmechanismen müssten stärker über Governance statt über Einwilligung organisiert werden
- neue Prüfroutinen wären erforderlich
- die Rechtslage würde kurzfristig unübersichtlicher
- der gesellschaftliche Diskurs über Datenschutzstandards würde neu entfacht
Einschätzung und GRC-Einordnung
Die geplanten Anpassungen deuten auf eine strategische Verschiebung hin: von einem schutzorientierten Datenschutzmodell hin zu einem wirtschaftlich getriebenen datenpolitischen Framework, das zunehmend versucht, Wettbewerbsnachteile in Europa im rasenden „KI-Zug“ zu verhindern. Unternehmen sollten diese Entwicklung aber nicht als „Freifahrtschein” verstehen, sondern als Signal, eigene Governance-Strukturen zu professionalisieren – insbesondere in Bereichen, in denen Einwilligungspflichten entfallen könnten, aber Transparenz- und Rechenschaftspflichten bestehen bleiben.
Was bedeutet das für Ihren GRC Prozes??
- Governance: Unternehmen müssen klare Verantwortlichkeiten definieren, insbesondere für Opt-out-Management, Datenkategorien und KI-Datenflüsse.
- Risk: Risiken liegen vor allem im Profiling, in Diskriminierungspotenzialen und in der Gefahr der Re-Identifizierung pseudonymisierter Daten.
- Compliance: Verarbeitungsverzeichnisse, DPAs, Datenschutzerklärungen und DSFAs müssen aktualisiert und an die neuen Rechtsgrundlagen angepasst werden.
Die meisten Unternehmen profitieren, wenn sie frühzeitig ihre Datenschutz- und KI-Governance modernisieren, statt nur auf die Erleichterungen zu reagieren. Gerne berate ich Sie dabei.
Bild: Vyshnavi Bisani – Unsplash.com
Quellen:
