1. Digital-Omnibus-Verordnung
Der Digital Omnibus ist ein Gesetzgebungspaket der Europäischen Kommission, das am 19.11.2025 vorgelegt wurde (COM(2025) 837 final). Ziel ist es, bestehende EU-Digitalgesetze zu vereinfachen, aufeinander abzustimmen und teilweise zu ändern. Dabei soll der Verwaltungsaufwand für Unternehmen gesenkt werden, ohne die grundlegenden Schutzziele – etwa bei Datenschutz, Cybersicherheit und KI – aufzugeben.
Das Paket umfasst zwei Teile: einen sogenannten „Digital Omnibus" (auch „Datenomnibus" genannt) für Daten, Cybersicherheit und Datenschutz, mit dem unter anderem die DSGVO, mehrere Datenschutz- und Datennutzungsgesetze und die Meldung von Datenschutzvorfällen geändert werden sollen, sowie den „Digital Omnibus für KI" mit gezielten Änderungen von KI-Vorschriften. Ergänzend enthält das Digitalpaket der Kommission die Einführung einer European Business Wallet, mit der Unternehmen mithilfe einer einzigen digitalen Identität weniger Verwaltungsaufwand haben und leichter digital und grenzüberschreitend tätig werden können sollen.
Aktueller Stand: Der „Digital Omnibus für KI" ist bereits geltendes Recht. Nach einer politischen Einigung zwischen Parlament und Rat Anfang Mai, der formellen Annahme durch das Parlament Mitte Juni und der abschließenden Zustimmung des Rates am 29.06.2026 wurde die Änderungsverordnung (EU) 2026/1744 am 24.07.2026 im Amtsblatt der EU veröffentlicht und ist am 27.07.2026 in Kraft getreten. Sie verschiebt insbesondere die Anwendungsfristen für Hochrisiko-KI-Systeme (auf den 02.12.2027 für eigenständige Systeme nach Anhang III bzw. den 02.08.2028 für in Produkte eingebettete Systeme nach Anhang I), ohne den risikobasierten Grundansatz der KI-Verordnung anzutasten.
Für den „Digital Omnibus" zu Daten und Datenschutz liegt dagegen noch keine Einigung zwischen Parlament und Rat vor; die Verhandlungen dauern an. Es handelt sich hierbei weiterhin um einen Kommissionsvorschlag, nicht um geltendes Recht.
2. Vorgesehene Änderungen der DSGVO durch den Digital Omnibus
Durch die gezielten Änderungen der DSGVO sollen bestimmte Vorschriften harmonisiert, präzisiert und vereinfacht werden, um Innovationen zu fördern und Organisationen bei der Einhaltung der Vorschriften zu unterstützen. Der Kern der DSGVO soll dabei erhalten bleiben und das hohe Schutzniveau für personenbezogene Daten gewahrt werden.
Der Begriff der „personenbezogenen Daten" gem. Art. 4 Nr. 1 DSGVO
Nach Art. 4 Nr. 1 DSGVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Eine Person gilt als identifizierbar, wenn sie direkt oder indirekt, etwa über einen Namen, eine Kennnummer oder andere Merkmale, bestimmt werden kann.
Der Digital Omnibus soll diesen Begriff erstmals ausdrücklich präzisieren. Nach dem Vorschlag sind pseudonymisierte Daten für den jeweiligen Empfänger nicht allein deshalb personenbezogene Daten, weil sie für den ursprünglichen Verantwortlichen einer Person zugeordnet werden können. Entscheidend soll vielmehr sein, ob der konkrete Empfänger mit den ihm vernünftigerweise zur Verfügung stehenden Mitteln eine Identifizierung tatsächlich vornehmen kann. Damit wird die Beurteilung stärker auf die Perspektive der jeweiligen datenverarbeitenden Stelle ausgerichtet und knüpft an die Rechtsprechung des EuGH in der Rechtssache C-413/23 P (EDSB/SRB) vom 04.09.2025 an.
Ergänzend soll ein neuer Art. 41a DSGVO die Europäische Kommission ermächtigen, technische Standards festzulegen, die die Wiederherstellung des Personenbezugs so weit wie möglich ausschließen. Der Verantwortliche, der die Daten pseudonymisiert, bliebe dabei grundsätzlich weiterhin an die DSGVO gebunden. Insgesamt würde der Vorschlag den Spielraum für die Verarbeitung pseudonymisierter Daten erweitern: Dieselben Daten könnten für ein Unternehmen personenbezogen sein, für ein anderes dagegen nicht. Der Rat hat sich in seinem Verhandlungsstand allerdings bereits kritisch zu diesem Ansatz geäußert, sodass sich der Text im weiteren Verfahren noch ändern kann.
Erleichterung bei der Pflicht zum Führen eines Verzeichnisses von Verarbeitungstätigkeiten (Art. 30 DSGVO)
Nach geltendem Recht gilt die Ausnahme von der Pflicht zur Führung eines Verzeichnisses grundsätzlich nur für Unternehmen mit weniger als 250 Beschäftigten, sofern eine Verarbeitung personenbezogener Daten nicht regelmäßig erfolgt oder risikobehaftet ist. Der Vorschlag sieht vor, die Schwelle auf 750 Beschäftigte anzuheben; die Pflicht soll aber unabhängig von der Beschäftigtenzahl bestehen bleiben, wenn ein Unternehmen Verarbeitungen mit hohem Risiko im Sinne von Art. 35 DSGVO durchführt.
Erleichterte Nutzung personenbezogener Daten für KI-Training
Der Digital Omnibus stellt klar, dass die Verarbeitung personenbezogener Daten zum Training, Testen und Validieren von KI-Systemen und -Modellen grundsätzlich auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann. Die übrigen Anforderungen der DSGVO – insbesondere Interessenabwägung, Datenminimierung und Transparenz – bleiben dabei bestehen. Für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sollen zudem neue, eng gefasste Erlaubnistatbestände geschaffen werden: Sie sollen greifen, wenn sensible Daten nicht gezielt, sondern nur als unvermeidbarer Bestandteil von Trainingsdaten verarbeitet werden und der Verantwortliche geeignete technische und organisatorische Maßnahmen trifft, um deren Erhebung und Verarbeitung so weit wie möglich zu vermeiden.
3. Reformpaket der Bundesregierung
Die Regierungskoalition aus CDU/CSU und SPD hat am 02.07.2026 das Reformpaket „Ein Programm für Aufschwung und Beschäftigung“ vorgestellt. Darin hat sich die Koalition auf 34 Maßnahmen verständigt, mit denen Bürgerinnen und Bürger sowie Unternehmen von Bürokratie entlastet und die Wettbewerbsfähigkeit erhöht werden sollen.
Maßnahme Nr. 14 des Gesamtpakets trägt den Titel „Moderner Datenschutz für mehr Wachstum" und betrifft den Datenschutz:
Vereinfachung des Datenschutzrechts: Der nationale Datenschutz soll vereinfacht und die vorhandenen Spielräume der DSGVO konsequent genutzt werden.
Ausnahmen für bestimmte Bereiche auf EU-Ebene: Die Koalition will auf europäischer Ebene erreichen, dass nicht-kommerzielle Tätigkeiten (z.B. in Vereinen), kleine und mittelständische Unternehmen sowie risikoarme Datenverarbeitungen (z.B. einfache Kundenlisten von Handwerkern) vom Anwendungsbereich der DSGVO ausgenommen werden können.
Neues Datengesetzbuch: Für mehr Rechtsklarheit und eine einheitliche Auslegung soll ein Datengesetzbuch geschaffen werden, das als kohärentes Regelwerk das Datenrecht harmonisiert und vereinfacht, soweit dies sachgemäß ist, dabei aber den Datenschutz sichert und die Datennutzung fördert.
Reform der Datenschutzaufsicht: Verfahren rund um den Datenschutz sollen deutlich verschlankt und die Aufsichtsstrukturen vereinfacht und gebündelt werden, unter anderem durch eine Zuständigkeitskonzentration bei der Bundesbeauftragten für den Datenschutz und die Informationsfreiheit (BfDI).
Stärkung gemeinsamer Standards: Die Datenschutzkonferenz (DSK) der unabhängigen Datenschutzaufsichtsbehörden von Bund und Ländern soll gesetzlich verankert werden, um gemeinsame Standards zu erarbeiten.
Weniger betriebliche Datenschutzbeauftragte in KMU: In kleineren und mittleren Unternehmen soll die Zahl der betrieblichen Datenschutzbeauftragten reduziert werden.
Das Gesamtpaket soll bis Ende 2026 in einem Gesetzespaket umgesetzt werden; für die Datenschutz-Maßnahmen gilt zudem, dass ein Teil davon – etwa die Ausnahmen vom Anwendungsbereich der DSGVO – von den parallelen Verhandlungen auf EU-Ebene abhängt, da Deutschland die DSGVO nicht einseitig ändern kann.
