Digitaler Omnibus
27.02.2026
Reform der DSGVO
(ESV-Redaktion Recht
Der sogenannte „Digitale Omnibus“ ist ein Maßnahmenpaket, dass die EU-Kommission im November 2025 vorgelegt hat. Es zielt darauf ab, Daten- und Digitalrechtsakte zu novellieren – unter anderem auch die DSGVO. Die Datenschutzkonferenz (DSK) hat nun eine Stellungnahme zum Änderungsentwurf der Kommission abgegeben.
Ein zentrales Vorhaben ist die Anpassung der Definition des Begriffs „personenbezogene Daten“ nach Artikel 4 DSGVO:
Demnach gelten in einer bestimmten Einrichtung Informationen dann nicht als personenbezogene Daten, wenn sie nach vernünftigem Ermessen nicht zur Identifizierung der natürlichen Person diesen können, auf die sie sich beziehen. Konkret bedeutet dies, dass Daten künftig nur dann als personenbezogen gelten, wenn die jeweilige datenverarbeitende Stelle tatsächlich über die Mittel zur Identifizierung einer Person verfügt.
Außerdem soll die Verarbeitung personenbezogener Daten zum Betrieb und zur Entwicklung von KI-Systemen künftig auf Basis berechtigter Interessen nach Artikel 6 DSGVO möglich sein.
Demnach gelten in einer bestimmten Einrichtung Informationen dann nicht als personenbezogene Daten, wenn sie nach vernünftigem Ermessen nicht zur Identifizierung der natürlichen Person diesen können, auf die sie sich beziehen. Konkret bedeutet dies, dass Daten künftig nur dann als personenbezogen gelten, wenn die jeweilige datenverarbeitende Stelle tatsächlich über die Mittel zur Identifizierung einer Person verfügt.
Außerdem soll die Verarbeitung personenbezogener Daten zum Betrieb und zur Entwicklung von KI-Systemen künftig auf Basis berechtigter Interessen nach Artikel 6 DSGVO möglich sein.
| Der kostenlose Newsletter Recht – Wir freuen uns auf Ihre Anmeldung! |
| Redaktionelle Meldungen zu neuen Entscheidungen und Rechtsentwicklungen, Interviews und Literaturtipps. |
Die Stellungnahme der DSK im Überblick
Die Stellungnahme des Gremiums lässt sich im Wesentlichen wie folgt zusammenfassen:
- Zurückhaltung bei Änderung der Definition „personenbezogenen Daten“: Nach Ansicht der DSK führt die Änderung der Begriffsdefinition nicht zu mehr Rechtssicherheit. Vielmehr drohen bestehende Schutzstandards geschwächt zu werden.
- Verlagerung datenschutzrechtlicher Verantwortung auf Hersteller und Anbieter von IT-Dienstleistungen: Die DSK hält es stattdessen für erforderlich, die datenschutzrechtliche Verantwortung fortzuentwickeln und so kleine und mittlere Unternehmen zu entlasten. Künftig sollten nach Ansicht der DSK Hersteller und Anbieter von IT-Diensten verpflichtet werden, die Grundsätze des Datenschutzes bereits bei der Gestaltung ihrer Produkte stärker zu berücksichtigen.
- Schaffung spezifischer Rechtsgrundlagen für KI sowie stärkere Berücksichtigung von Betroffenenrechten: Bei der Verarbeitung personenbezogener Daten durch KI-Systeme sieht die DSK zudem Bedarf für Reformen, die über die Vorschläge der EU-Kommission hinausgehen. Die DSK fordert, spezifische Rechtsgrundlagen für Entwicklung, Training und Betrieb von KI-Modellen und KI-Systemen gesetzlich festzulegen. Zudem fordert das Gremium, die Rechte von betroffenen Personen beim KI-Einsatz stärker zu berücksichtigen. Für Einzelfälle, in denen Betroffenenrechte technisch nur mit unverhältnismäßigem Aufwand umgesetzt werden können, sollen funktionsäquivalente bzw. kompensatorische Schutzmaßnahmen vorgesehen werden. Wer personenbezogene Daten in einem KI-System verarbeitet, soll die betroffenen Personen darüber ausdrücklich informieren müssen. Zudem sollen betroffene Personen das Recht erhalten, von Verantwortlichen Auskunft über den Einsatz eines KI-Systems zur Verarbeitung ihrer Daten zu erhalten, so die DSK.
| Die Änderung von Art 4 DSGVO im Entwurf (Auszug): |
Die Verordnung (EU) 2016/679 wird wie folgt geändert: 1. Artikel 4 wird wie folgt geändert: a) In Nummer 1 werden die folgenden Sätze angefügt: Angaben zu einer natürlichen Person sind nicht notwendigerweise personenbezogene Daten für jede andere Person oder Einrichtung, nur weil eine andere Einrichtung diese natürliche Person identifizieren kann; Angaben sind für eine bestimmte Einrichtung nicht personenbezogen, wenn diese Einrichtung die natürliche Person, auf die sich die Angaben beziehen, in Anbetracht der mit hinreichender Wahrscheinlichkeit von dieser Einrichtung genutzten Mittel, nicht identifizieren kann; derartige Angaben werden für diese Einrichtung nicht allein deshalb personenbezogen, weil ein potenzieller späterer Empfänger über Mittel verfügt, die mit hinreichender Wahrscheinlichkeit zur Identifizierung der natürlichen Person, auf die sich die Angaben beziehen, verwendet werden können; […] Der vollständige Änderungsentwurf |
 |
|
|
| Verlagsprogramm | Weitere Nachrichten aus dem Bereich Recht |
(ESV/cw)