Rechtsanwältin & Expertin für IT-Recht und Datenschutz
T (+49) 040 / 7344 086-0
Rechtsanwältin, Fachanwältin für Informationstechnologierecht & Zertifizierte Datenschutzbeauftragte (TÜV)
T (+49) 040 / 7344 086-0
Rechtsanwältin für Arbeitsrecht & Wirtschaftsmediatorin
T (+49) 040 / 7344 086-0
Blog News
Die Datenschutz-Grundverordnung (DSGVO) ist seit dem 25. Mai 2018 anwendbar und gilt als das zentrale Regelwerk für das europäische Datenschutzrecht. Unternehmen, Behörden und Organisationen in der gesamten Europäischen Union müssen die umfangreichen Vorgaben der Verordnung beachten. Nun könnte die DSGVO erstmals umfassender angepasst werden. Die Europäische Kommission hat am 19. November 2025 mit dem sogenannten Digitalen Omnibus einen Verordnungsvorschlag vorgestellt, der unter anderem Änderungen im Datenschutzrecht vorsieht. Der Digitale Omnibus soll bestehende Regelungen modernisieren, Bürokratie abbauen und gleichzeitig den Schutz personenbezogener Daten gewährleisten. Ziel ist es, Unternehmen zu entlasten, Rechtssicherheit zu schaffen und die europäische Wirtschaft im internationalen Wettbewerb zu stärken.
Eine der wohl bedeutendsten geplanten Änderungen betrifft den Begriff der personenbezogenen Daten. Nach bisherigem Recht ist zu prüfen, ob eine Person unter Einsatz aller Mittel identifizierbar ist, die vom Verantwortlichen oder einer anderen Person vernünftigerweise wahrscheinlich genutzt werden. Nach dem Vorschlag des Digitalen Omnibus soll künftig stärker auf die konkrete Einrichtung oder das konkrete Unternehmen abgestellt werden, das die Daten verarbeitet. Entscheidend wäre dann die Frage, ob der jeweilige Empfänger die betroffene Person nach vernünftigem Ermessen tatsächlich identifizieren kann. Die vorgeschlagene Neuregelung würde den Anwendungsbereich der DSGVO in bestimmten Konstellationen spürbar einschränken. Daten wären nicht mehr automatisch für sämtliche Beteiligten personenbezogen, nur weil eine andere Stelle über zusätzliche Informationen verfügt, die eine Identifizierung ermöglichen könnte. Ein praktisches Beispiel verdeutlicht die Tragweite dieser Änderung: Erhält eine Reederei von einem externen Datenanbieter pseudonymisierte Betriebsdaten von Schiffsmotoren, könnten diese Informationen für die Reederei künftig möglicherweise nicht mehr als personenbezogene Daten gelten. Zwar könnte der Hersteller die hinterlegten Pseudonyme eventuell auflösen und einzelnen Personen zuordnen. Für die Reederei selbst wäre eine solche Identifizierung jedoch nicht möglich. Zusätzlich plant die EU-Kommission Kriterien festzulegen, die Unternehmen bei der Bewertung unterstützen sollen, wann pseudonymisierte Daten noch als personenbezogene Daten einzustufen sind und wann nicht mehr.
Ein weiterer Schwerpunkt des Digitalen Omnibus betrifft die Nutzung personenbezogener Daten im Zusammenhang mit Künstlicher Intelligenz. Die Entwicklung moderner KI-Systeme erfordert regelmäßig große Datenmengen. Gerade hier bestehen bislang häufig Unsicherheiten darüber, auf welche Rechtsgrundlage die Verarbeitung personenbezogener Daten gestützt werden kann. Der Verordnungsvorschlag sieht deshalb vor, ausdrücklich klarzustellen, dass die Verarbeitung personenbezogener Daten für die Entwicklung und den Betrieb von KI-Systemen grundsätzlich auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann. Voraussetzung sollen geeignete technische und organisatorische Maßnahmen sowie wirksame Schutzmechanismen für betroffene Personen sein. Darüber hinaus enthält der Digitale Omnibus Vorschläge für den Umgang mit besonderen Kategorien personenbezogener Daten. Hierzu gehören beispielsweise Informationen über die ethnische Herkunft, politische Meinungen, religiöse Überzeugungen oder Gesundheitsdaten. Unter bestimmten Voraussetzungen soll die Verarbeitung solcher Daten für die Entwicklung und den Betrieb von KI-Systemen ausdrücklich erlaubt werden. Diese Anpassungen könnten erhebliche Auswirkungen auf zahlreiche Branchen haben. Insbesondere datenintensive Wirtschaftszweige profitieren potenziell von einer größeren Rechtssicherheit bei der Entwicklung innovativer Technologien. Unternehmen, die bereits heute KI-Projekte planen oder umsetzen, sollten die weitere Entwicklung des Gesetzgebungsverfahrens aufmerksam verfolgen, da die Vorschläge noch geändert werden können.
Auch die Vorschriften zu Datenschutzverletzungen sollen nach dem Willen der EU-Kommission vereinfacht werden. Nach der derzeitigen Rechtslage müssen Unternehmen Datenschutzverletzungen grundsätzlich melden, sofern ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht. Künftig soll eine Meldung nur noch erforderlich sein, wenn ein hohes Risiko für die betroffenen Personen vorliegt. Dadurch könnten insbesondere kleinere Vorfälle von der Meldepflicht ausgenommen werden. Dies würde den Verwaltungsaufwand für Unternehmen erheblich reduzieren. Zusätzlich sieht der Digitale Omnibus eine Verlängerung der Meldefristen vor. Gleichzeitig soll ein zentrales digitales Meldeportal geschaffen werden, über das Unternehmen Vorfälle nur noch einmal melden müssen. Die Informationen könnten abschließend automatisch mit anderen zuständigen Behörden geteilt werden. Dieses Konzept wird unter dem Schlagwort "report once, share many" diskutiert. Von einer solchen Bündelung können insbesondere Unternehmen profitieren, die neben der DSGVO auch weitere europäische Vorgaben wie die NIS2-Richtlinie oder die CER-Richtlinie beachten müssen.
BfDI-Tätigkeitsbericht 2025: Datenschutz, KI und Kontrollen
Die kurze Antwort lautet: Nein. Die Europäische Kommission betont ausdrücklich, dass sie die DSGVO weiterhin als ausgewogenes und grundsätzlich erfolgreiches Regelwerk betrachtet. Der Digitale Omnibus soll keine neue DSGVO schaffen, sondern gezielte Anpassungen vornehmen, um bestehende Unsicherheiten zu beseitigen und unnötige Belastungen für Unternehmen abzubauen. Die Grundprinzipien des europäischen Datenschutzrechts - insbesondere Transparenz, Datenminimierung, Zweckbindung und die Wahrung der Grundrechte - sollen weiterhin uneingeschränkt bestehen bleiben.
Der Vorschlag der EU-Kommission markiert lediglich den Beginn des europäischen Gesetzgebungsverfahrens. Nun müssen sich das Europäische Parlament und der Rat der Europäischen Union mit den vorgeschlagenen Änderungen befassen. Erfahrungsgemäß können sich einzelne Regelungen im Laufe der Verhandlungen noch erheblich verändern. Derzeit ist daher weder absehbar, wann der Digitale Omnibus endgültig verabschiedet wird, noch welche Vorschläge letztlich in Kraft treten werden.
Eine rechtliche Beratung im Einzelfall wird durch diesen Blogbeitrag nicht ersetzt.
Der Digitale Omnibus könnte die bislang größte Anpassung der DSGVO seit ihrem Inkrafttreten darstellen. Besonders die geplante Neudefinition personenbezogener Daten, die vorgesehenen Erleichterungen beim Einsatz von KI sowie die vereinfachten Meldepflichten bei Datenschutzverletzungen haben das Potenzial, die praktische Anwendung des Datenschutzrechts spürbar zu verändern. Auch wenn noch offen ist, welche Regelungen am Ende tatsächlich umgesetzt werden, sollten Unternehmen die Entwicklung frühzeitig beobachten. Wer sich bereits jetzt mit den geplanten Änderungen auseinandersetzt, kann künftige Anpassungen im Datenschutzmanagement rechtzeitig vorbereiten und mögliche Chancen für digitale Geschäftsmodelle nutzen.
Unsere Anwältinnen und Anwälte für Datenschutzrecht beraten Unternehmen umfassend zu DSGVO-Compliance, KI-Regulierung, Datenschutzverletzungen und den aktuellen Entwicklungen rund um den Digitalen Omnibus.
Für weitere Rückfragen stehen wir Ihnen jederzeit gerne auch telefonisch zur Verfügung. Wünschen Sie Rechtsberatung durch unser erfahrenes Team aus Fachanwälten und Spezialisten von SBS LEGAL?