DSGVO-Reform: EU-Staaten legen ihre Position zum Daten-Omnibus fest

Dieser Beitrag wurde mit KI-Unterstützung entworfen und von einer Person geprüft.

Was ist neu?

• Der Rat der EU hat am 21. Oktober 2026 seinen Standpunkt zum sogenannten Digital-Omnibus festgelegt. Den Vorschlag dazu hatte die EU-Kommission am 19. November 2025 vorgelegt. Ziel ist, Datenschutz-Grundverordnung (DSGVO), Cookie-Regeln und Meldepflichten bei Cybervorfällen zu vereinfachen. Es handelt sich um ein Verhandlungsmandat, nicht um ein Gesetz.
• DSGVO: Die Definition „personenbezogene Daten“ bleibt unverändert. Neu kommt eine Regel zur Pseudonymisierung hinzu. Erleichterungen soll es bei unbegründeten oder exzessiven Anfragen von Betroffenen geben und bei Informationspflichten in Fällen mit geringem Risiko.
• KI: Der Rat will die Rechtsgrundlage für die Verarbeitung personenbezogener Daten bei KI präzisieren. Für eine neue Ausnahme, die sensible Daten bei Entwicklung und Betrieb von KI-Systemen erlaubt, verlangt er zusätzliche Garantien. Laut netzpolitik.org soll KI-Training mit Personendaten auf ein „berechtigtes Interesse“ gestützt werden können; das Widerspruchsrecht bleibt.
• Datenpannen: Der Rat unterstützt eine längere Meldefrist. Die Kommission hatte nach der Zusammenfassung des EU-Parlaments 96 Stunden vorgeschlagen und die Meldepflicht stärker auf Fälle mit höherem Risiko ausrichten wollen. Heute gilt: Meldung möglichst binnen 72 Stunden (Art. 33 DSGVO).
• Cookies: Die Regeln bleiben in der ePrivacy-Richtlinie. Ohne Einwilligung sollen Cookies aber für mehr Zwecke erlaubt sein, etwa für das Bereitstellen eines Dienstes, die Reichweitenmessung oder die Gerätesicherheit. Laut netzpolitik.org soll nach einer Entscheidung vier Monate lang nicht erneut gefragt werden.
• Deutschland, Österreich und Estland stimmten laut netzpolitik.org dagegen. Das EU-Parlament soll seine Position im Februar 2027 festlegen, erst danach beginnen die Verhandlungen.

Was heißt das für Ihren Betrieb?

Vorerst ändert sich nichts. Die DSGVO gilt unverändert, auch die 72-Stunden-Regel bei Datenpannen und die heutigen Pflichten bei Cookie-Bannern. Der Rat ist nur eine von zwei Seiten; das Parlament kann andere Wünsche haben, der Endtext kann deutlich abweichen.

Für kleine Firmen zeichnen sich trotzdem Erleichterungen ab: weniger Einwilligungsabfragen auf der Website, mehr Zeit bei Datenpannen, weniger Aufwand bei unbegründeten oder exzessiven Anfragen. Ob KI-Werkzeuge künftig leichter mit Kundendaten arbeiten dürfen, ist politisch heftig umstritten und offen.

Das ist eine Einordnung, keine Rechtsauskunft.

Was Sie jetzt tun können

• Nichts vorschnell umstellen: Cookie-Banner, Meldeabläufe und Einwilligungen nach geltendem Recht beibehalten.
• Den eigenen Ablauf für Datenpannen prüfen: Wer erfährt davon, wer meldet innerhalb von 72 Stunden?
• KI-Werkzeuge nicht mit Kundendaten füttern, nur weil eine Lockerung diskutiert wird.
• Das Thema im Frühjahr 2027 wieder aufgreifen, wenn die Position des Parlaments vorliegt.

Quellen

• Rat der EU, Digitales Regelwerk: Rat legt Standpunkt zur Vereinfachung der Vorschriften zu Datenschutz, Privatsphäre und Cyberberichterstattung fest
• Europäisches Parlament, Legislative Observatory, Zusammenfassung des Kommissionsvorschlags 2025/0360(COD)
• netzpolitik.org, EU-Länder einig beim Daten-Omnibus: Mehr KI-Training, weniger Datenschutz
• Art. 33 DSGVO (Gesetzestext)

Zurück zur Übersicht