Der Daten-Omnibus stockt: welche DSGVO-Änderungen geplant sind, und warum Sie nicht darauf bauen sollten
Die EU-Kommission will die DSGVO für KI lockern. Ende Juni ist der Kompromiss im Rat gescheitert, seit 1. Juli verhandelt Irland neu. Was auf dem Tisch liegt, was davon schon wieder weg ist, und womit Sie heute rechnen müssen.
Seit November 2025 geistert ein Versprechen durch jede KI-Präsentation: „Die DSGVO wird bald lockerer, dann wird KI-Training mit Kundendaten einfacher." Die Grundlage ist der Digitale Omnibus der EU-Kommission. Zeit für einen nüchternen Blick darauf, was davon wirklich kommt, und wann.
Zwei Omnibusse, zwei Geschwindigkeiten
Die Kommission hat am 19. November 2025 zwei Pakete vorgelegt. Der KI-Omnibus ändert den EU AI Act und ist durch: Parlament und Rat haben ihn im Juni beschlossen, heute wurde er unterzeichnet, Veröffentlichung im Amtsblatt und Inkrafttreten folgen in den nächsten Wochen. Der Daten-Omnibus soll DSGVO, ePrivacy, NIS2 und DORA anfassen. Und der hängt.
Ende Juni hat die zypriotische Ratspräsidentschaft ihren Kompromisstext zurückgezogen, weil keine qualifizierte Mehrheit der Mitgliedstaaten dahinterstand. Seit 1. Juli sitzt Irland am Steuer und fängt in Teilen von vorn an. Im Parlament teilen sich zwei Ausschüsse die Federführung, und die Positionen liegen weit auseinander.
Was auf dem Tisch liegt
Drei Vorschläge betreffen KI-Projekte im Mittelstand direkt:
- Engere Definition personenbezogener Daten. Pseudonymisierte Daten sollen für den, der sie realistisch nicht zuordnen kann, nicht mehr als personenbezogen gelten. Klingt technisch, wäre aber die größte Änderung seit 2018.
- Berechtigtes Interesse für KI-Entwicklung. Training und Betrieb von KI sollen ausdrücklich als mögliches berechtigtes Interesse gelten, mit Widerspruchsrecht.
- Cookie-Regeln in die DSGVO. Ein-Klick-Ablehnung, sechs Monate Ruhe nach einem Nein, Browser-Signale als Einwilligung.
Der dritte Punkt ist im Rat schon wieder gestrichen worden. Die Mitgliedstaaten konnten sich nicht einigen, also flogen die Cookie-Artikel aus dem Verhandlungstext.
Was die Aufsicht dazu sagt
Der Europäische Datenschutzausschuss und der Datenschutzbeauftragte haben im Januar in einer gemeinsamen Stellungnahme vor einer Absenkung des Schutzniveaus gewarnt. Die deutschen Landesbehörden haben am 18. Juni in Stuttgart eigene „Impulse zur Modernisierung des Datenschutzes" beschlossen: mehr Koordination, eine gesetzlich abgesicherte Datenschutzkonferenz, transparentere Entscheidungen. Von einer Aufweichung des Personenbezugs steht dort nichts.
Das ist relevant, weil genau diese Behörden später prüfen, was Sie heute bauen.
Was das für Ihr KI-Projekt heißt
Die ehrliche Planungsgrundlage lautet: Die DSGVO gilt unverändert, mindestens bis weit ins Jahr 2027. Selbst bei einer Einigung Ende 2026 kommen Übergangsfristen dazu.
Drei Konsequenzen:
- Rechtsgrundlage jetzt sauber wählen. Wer KI auf Kundendaten trainieren oder betreiben will, braucht heute eine belastbare Grundlage nach Art. 6 DSGVO, meist Vertrag oder dokumentiertes berechtigtes Interesse mit Abwägung. „Kommt bald sowieso" ist keine Rechtsgrundlage.
- Pseudonymisierung bleibt Schutzmaßnahme, nicht Ausweg. Nach geltendem Recht sind pseudonymisierte Daten personenbezogen. Punkt. Die neuen Leitlinien des Europäischen Datenschutzausschusses zur Anonymisierung vom Juli setzen die Latte sogar hoch, mehr dazu in einem eigenen Artikel.
- Architektur so bauen, dass sie mit beidem lebt. Daten im Haus oder in einer EU-Cloud, klare Löschregeln, keine Trainingsnutzung ohne Vertrag. Das ist heute korrekt und wird durch keinen Omnibus falsch.
Kurz gesagt: Der KI-Omnibus ist Gesetz, der Daten-Omnibus ist ein Verhandlungsstand. Wer sein KI-Projekt auf die zweite Hälfte baut, baut auf Sand. Wer es auf die geltende DSGVO baut, braucht nichts zurückzubauen.
Wenn Sie wissen wollen, welche Rechtsgrundlage zu Ihrem konkreten Use-Case passt, ist das ein guter Anlass für ein unverbindliches Erstgespräch.