Omnibus-Gesetze der EU und die Folgen für den Datenschutz

„KI ist nicht die Antwort auf alles“, sagte der baden-württembergische Landesdatenschutzbeauftragte Tobias Keber, als er die inzwischen fünfte KI-Woche seiner Behörde eröffnete. Die Leitfrage lautete: „Auf welche Frage ist KI die Antwort?“ Keber sieht in KI ein demokratisierendes Element. Es sei leichter geworden, sich mit KI-Hilfe an Behörden zu wenden. Für die Verwaltung hat das aber eine Kehrseite: Die Beschwerden bei seiner Behörde seien 2025 um rund 90 Prozent gestiegen.

Vom Wettbewerb zur Deregulierung

Ralf Bendrath ist Referent der Fraktion Grüne/EFA im Europäischen Parlament. Sein Vortrag hieß „Digitale Rechte vor den Bus geworfen“. Mit „Bus“ sind die Omnibus-Gesetze der EU-Kommission gemeint, die mehrere Rechtsakte auf einmal ändern. Bendrath beschrieb, wie sich dabei die Begriffe verschoben haben: Aus Wettbewerbsfähigkeit wurde Vereinfachung, inzwischen spricht die Kommission offen von Deregulierung. Das klinge nach Bürokratieabbau, sagte er. Tatsächlich gehe es um Regeln, die sich die EU in den vergangenen zehn Jahren zum Schutz von Grundrechten und Umwelt gegeben habe.

Am bereits ausverhandelten vierten Omnibus zeigt sich, wie klein die versprochene Entlastung teils ist. Unternehmen mit weniger als 1000 Beschäftigten und mit ungefähr bis zu 200 Millionen Euro Jahresumsatz, die sogenannten Small Mid-Caps, müssen kein Verzeichnis ihrer Verarbeitungstätigkeiten mehr führen. Das gilt nicht bei Verarbeitungen mit hohem Risiko, das hat das Parlament durchgesetzt.

Angriff auf den Kern der DSGVO

Viel weiter geht der digitale Omnibus vom November 2025. Seine Hauptkritikpunkte hatte Bendrath schon als Laudator bei den Big Brother Awards vorgetragen: die neue Definition personenbezogener Daten, das eingeschränkte Auskunftsrecht und den Freibrief für KI-Training. In Stuttgart nannte er zwei weitere Punkte. Die Kommission will künftig selbst per Durchführungsrechtsakt festlegen, wann pseudonymisierte Daten als anonym gelten. Außerdem soll eine neue Definition wissenschaftlicher Forschung schon die Anwendung vorhandener Erkenntnisse „auf neuartige Weise“ umfassen. Bendrath sieht darin vor allem eine Hintertür für KI-Training. Nach einer Umfrage von noyb wollen nur 7 Prozent der befragten Meta-Nutzer in Deutschland, dass ihre Daten dafür verwendet werden.

Nicht jede Vereinfachung lehnt Bendrath ab. Er begrüßt die geplante Ein-Klick-Ablehnung bei Cookie-Bannern. Danach dürfte laut Kommissionsvorschlag erst nach sechs Monaten wieder gefragt werden, der Rat will vier Monate. Ebenso begrüßt er verbindliche, maschinenlesbare Browsersignale, wie der einst gescheiterte Versuche für einen „Do Not Track“-Standard. Dagegen leistet Big Tech nach seinen Worten massiven Widerstand, und der Rat hat die Browsersignale bereits wieder gestrichen. Gut findet er auch europaweit einheitliche Listen dazu, wann eine Datenschutz-Folgenabschätzung nötig ist. Hier gab er sogar dem früheren EZB-Präsidenten Mario Draghi recht: Die DSGVO werde in den Mitgliedstaaten teils sehr unterschiedlich ausgelegt. Sinnvoll seien außerdem weniger Informationspflichten etwa für Sportvereine oder Handwerksbetriebe, deren Kunden ohnehin wissen, wer ihre Daten wofür nutzt.

Im KI-Omnibus wurden die Regeln für Hochrisiko-Systeme nach Anhang III auf Dezember 2027 verschoben, für Produkte nach Anhang I auf August 2028. Kritisch sieht Bendrath die Übergangsregel. Systeme, die schon auf dem Markt sind und nicht wesentlich verändert werden, bleiben von den Pflichten verschont. Als Erfolg verbucht er das Verbot sogenannter Nacktmacher-Apps, das in Artikel 5 der KI-Verordnung aufgenommen wurde und ab Ende 2026 gilt.

Das Kräfteverhältnis ist ungleich. Nach Zahlen von LobbyControl und Corporate Europe Observatory gibt die Digitalindustrie inzwischen jährlich 151 Millionen Euro für Lobbyarbeit in der EU aus, Meta allein zehn Millionen. Über den Datenschutzteil verhandelt das Parlament noch nicht. Der Trilog mit Rat und Kommission dürfte erst 2027 beginnen. Bendrath hat dafür eine Rückfallposition: Anders als bei neuen Gesetzen gebe es hier schon eine gültige Regelung. Wenn man sich nicht einige, bleibe eben alles, wie es ist.

Datenschutz, der wirklich schützt

Max von Grafenstein, Professor für digitale Selbstbestimmung an der Universität der Künste Berlin, setzte bei der Praxis an. Er nahm die Kritik der Wirtschaft ernst. Ein Review des Innovationsökonomen Nicholas Martin, an dem er beteiligt war, zeigt unter anderem, dass europäische Start-ups seit 2018 weniger Risikokapital erhalten. Von Grafenstein sieht die Ursache aber vor allem in Rechtsunsicherheit und Komplexität. Man hätte die Kosten senken können, ohne das Schutzniveau anzutasten. Die DSGVO müsse mit Prinzipien und unbestimmten Rechtsbegriffen arbeiten, weil kein Gesetzgeber jede künftige Datenverarbeitung vorhersehen kann. Umso wichtiger sei es, Unternehmen den Weg zu zeigen. Den Plan der Datenschutzbehörden, eine öffentliche Datenbank mit entschiedenen Fällen aufzubauen, nannte er den besten Vorschlag der vergangenen zehn Jahre.

Den größten Hebel sieht er im „Stand der Technik“ nach Artikel 25 Absatz 1 DSGVO. Im Umweltrecht ist der Begriff seit Jahrzehnten etabliert und bedeutet dort die wirksamste verfügbare Technik. Im Datenschutz spiele er bisher kaum eine Rolle. Datenschutzbehörden sollten deshalb Wirksamkeitsnachweise verlangen, etwa für Cookie-Banner. So entstünde ein Markt für bessere Lösungen, wie einst bei Rußpartikelfiltern. Ein Beispiel dafür ist der aus seinem Forschungsprojekt YourPrivacyLawyer hervorgegangene Consenter, ein Einwilligungsagent mit vorab gewählten Einstellungen. In Studien trafen Nutzer damit gezieltere Entscheidungen. Angebote mit erkennbar hohem Datenschutzniveau erhielten sogar mehr Einwilligungen. Datenschutz würde so zum Wettbewerbsvorteil. Dass die Werbeindustrie solche Agenten bekämpft, wundert von Grafenstein nicht. Harmlose Websites würden davon profitieren, hätten in Brüssel aber keine Lobby.

Keine eigene KI-Datenschutzverordnung

In der Diskussion fragte Keber, ob man das KI-Training nicht besser in einem eigenen Rechtsakt regeln sollte, statt es in die DSGVO einzubauen. Mit einem Sonderartikel für KI verliere die DSGVO nämlich ihre Technikneutralität. Bendrath hält einen eigenen Rechtsakt für politisch nicht durchsetzbar, sieht den Bruch mit der Technikneutralität aber ebenso. Von Grafenstein warnte, eine pauschale Erlaubnis für KI-Training ohne Risikoabwägung nütze vor allem den großen US-Plattformen. Kleine, spezialisierte Modelle aus der EU könnten sich wegen ihrer geringeren Risiken ohnehin meist auf berechtigte Interessen stützen. Bei den großen Modellen dagegen werde „gar nichts statistisch aggregiert“. „Alles, was wir uns dieser KI anvertrauen, ob wir nach Medikamenten fragen oder nach Reiseempfehlungen, das verschwindet nicht, das ist alles da.“ Als Beispiel nannte er die Werbung, die OpenAI seit Ende August 2026 auch in Deutschland in ChatGPT einblendet. Das mit berechtigten Interessen zu begründen, sei „Wahnsinn“. Die Verbraucherzentrale weist darauf hin, dass diese Werbung im Europäischen Wirtschaftsraum zum Start laut OpenAI zwar nicht personalisiert ist. Welche Anzeige erscheint, kann aber vom Inhalt des aktuellen Chats abhängen.

Einig waren sich Bendrath und von Grafenstein, dass auch Softwarehersteller nach Artikel 25 in die Pflicht genommen werden sollten. Bisher trägt die Verantwortung etwa eine Schule, die Standardsoftware einkauft, aber nichts daran ändern kann. Der Rat hat inzwischen immerhin die Auftragsverarbeiter einbezogen. Die Hersteller selbst stehen nur in Änderungsanträgen des Parlaments.

Was die Wirtschaft von der Aufsicht will

Was Unternehmen tatsächlich brauchen, zeigt eine aktuelle Bitkom-Umfrage. 90 Prozent der Unternehmen halten eine gezielte Reform der DSGVO für notwendig. Das klingt nach Rückenwind für die Kommission. Bei genauerem Hinsehen deckt sich vieles aber mit von Grafensteins Analyse: 88 Prozent klagen über Unsicherheit bei den genauen Datenschutzvorgaben, 61 Prozent über mangelnde Beratung durch die Aufsichtsbehörden. Von den Unternehmen, die eine Reform der Aufsicht wollen, fordern 76 Prozent eine zentrale Datenbank mit Entscheidungen der Aufsichtsbehörden.

Die Wirtschaft verlangt also nicht weniger Aufsicht, sondern mehr: mehr Beratung, mehr Orientierung und mehr Entscheidungen, auf die sie sich verlassen kann. Das kostet Personal. Reallabore seien „sehr ressourcenintensiv“, sagte von Grafenstein. Bendrath warnte, dass dabei ein Teil der Kosten für die Einhaltung der Regeln auf den öffentlichen Sektor verlagert werde. Von Grafenstein fand es zudem absurd, dass die Bundesregierung Reallabore auf EU-Ebene fordert. Sie könne den Behörden ja einfach mehr Mitarbeiter geben, dafür brauche es kein Gesetz.

Stuttgart geht den umgekehrten Weg

In Baden-Württemberg geschieht derzeit das Gegenteil. Nach dem Haushaltsentwurf der grün-schwarzen Landesregierung soll Kebers Behörde bis 2029 schrittweise 40 Prozent ihrer Stellen einsparen, obwohl sie zusätzliche Aufgaben bekommen hat.

Vor kurzem hat sich ein breites Bündnis mit einem offenen Brief an die Landtagsfraktionen von Grünen und CDU gewandt. Dazu gehören das Netzwerk Datenschutzexpertise, der Chaos Computer Club Stuttgart, Digitalcourage, die Deutsche Vereinigung für Datenschutz, das FIfF und die Humanistische Union Baden-Württemberg. Sie fordern die Abgeordneten auf, der Kürzung nicht zuzustimmen. Ihre Begründung stützt sich auf Artikel 8 Absatz 3 der EU-Grundrechte-Charta und Artikel 52 Absatz 4 DSGVO. Danach muss jede Aufsichtsbehörde so ausgestattet sein, dass sie ihre Aufgaben „effektiv wahrnehmen“ kann. Die Unterzeichner verweisen zudem auf den geplanten Einsatz von Palantir-Software bei der Landespolizei. Dieser erfordere nach der Rechtsprechung des Bundesverfassungsgerichts eine besonders sorgfältige Kontrolle.

Wie wenig Personal die Aufsicht oft hat, kam schon in von Grafensteins Vortrag zur Sprache. Er nannte es das „Skalierungsproblem“ des Datenschutzes: Die Behörden können längst nicht alle Fälle prüfen. Ein Gesetzgeber könne die Kosten des Datenschutzes ganz einfach senken, indem er der Aufsicht Personal und Mittel nimmt. „Das ist Standortpolitik“, sagte von Grafenstein. Als Ausweg schlug er vor, dass die Behörden den Markt für sich arbeiten lassen. Sie sollten von Unternehmen Nachweise verlangen, dass deren Datenschutz tatsächlich wirkt. Dann hätten die Firmen selbst einen Anreiz, bessere Lösungen zu entwickeln. Doch auch solche Nachweise müsse jemand prüfen.