// HEISE ONLINE — HARDWARE & GADGET
Omnibus-Gesetze der EU und die Folgen für den Datenschutz
Die EU will den Datenschutz vereinfachen. Auf der KI-Woche zeigte sich: Gute Regeln brauchen Aufsicht, doch es drohen Kürzungen.
Ralf Bendrath referiert auf der KI-Woche der Datenschutzbehörde Baden-Württemberg.
„KI ist nicht die Antwort auf alles“, sagte der baden-württembergische Landesdatenschutzbeauftragte Tobias Keber, als er die inzwischen fünfte KI-Woche seiner Behörde eröffnete. Die Leitfrage lautete: „Auf welche Frage ist KI die Antwort?“ Keber sieht in KI ein demokratisierendes Element. Es sei leichter geworden, sich mit KI-Hilfe an Behörden zu wenden. Für die Verwaltung hat das aber eine Kehrseite: Die Beschwerden bei seiner Behörde seien 2025 um rund 90 Prozent gestiegen.
Ralf Bendrath ist Referent der Fraktion Grüne/EFA im Europäischen Parlament. Sein Vortrag hieß „Digitale Rechte vor den Bus geworfen“. Mit „Bus“ sind die Omnibus-Gesetze der EU-Kommission gemeint, die mehrere Rechtsakte auf einmal ändern. Bendrath beschrieb, wie sich dabei die Begriffe verschoben haben: Aus Wettbewerbsfähigkeit wurde Vereinfachung, inzwischen spricht die Kommission offen von Deregulierung. Das klinge nach Bürokratieabbau, sagte er. Tatsächlich gehe es um Regeln, die sich die EU in den vergangenen zehn Jahren zum Schutz von Grundrechten und Umwelt gegeben habe.
Am bereits ausverhandelten vierten Omnibus zeigt sich, wie klein die versprochene Entlastung teils ist. Unternehmen mit weniger als 1000 Beschäftigten und mit ungefähr bis zu 200 Millionen Euro Jahresumsatz, die sogenannten Small Mid-Caps, müssen kein Verzeichnis ihrer Verarbeitungstätigkeiten mehr führen. Das gilt nicht bei Verarbeitungen mit hohem Risiko, das hat das Parlament durchgesetzt.
Viel weiter geht der digitale Omnibus vom November 2025. Seine Hauptkritikpunkte hatte Bendrath schon als Laudator bei den Big Brother Awards vorgetragen: die neue Definition personenbezogener Daten, das eingeschränkte Auskunftsrecht und den Freibrief für KI-Training. In Stuttgart nannte er zwei weitere Punkte. Die Kommission will künftig selbst per Durchführungsrechtsakt festlegen, wann pseudonymisierte Daten als anonym gelten. Außerdem soll eine neue Definition wissenschaftlicher Forschung schon die Anwendung vorhandener Erkenntnisse „auf neuartige Weise“ umfassen. Bendrath sieht darin vor allem eine Hintertür für KI-Training. Nach einer Umfrage von noyb wollen nur 7 Prozent der befragten Meta-Nutzer in Deutschland, dass ihre Daten dafür verwendet werden.
Nicht jede Vereinfachung lehnt Bendrath ab. Er begrüßt die geplante Ein-Klick-Ablehnung bei Cookie-Bannern. Danach dürfte laut Kommissionsvorschlag erst nach sechs Monaten wieder gefragt werden, der Rat will vier Monate. Ebenso begrüßt er verbindliche, maschinenlesbare Browsersignale, wie der einst gescheiterte Versuche für einen „Do Not Track“-Standard. Dagegen leistet Big Tech nach seinen Worten massiven Widerstand, und der Rat hat die Browsersignale bereits wieder gestrichen. Gut findet er auch europaweit einheitliche Listen dazu, wann eine Datenschutz-Folgenabschätzung nötig ist. Hier gab er sogar dem früheren EZB-Präsidenten Mario Draghi recht: Die DSGVO werde in den Mitgliedstaaten teils sehr unterschiedlich ausgelegt. Sinnvoll seien außerdem weniger Informationspflichten etwa für Sportvereine oder Handwerksbetriebe, deren Kunden ohnehin wissen, wer ihre Daten wofür nutzt.
Im KI-Omnibus wurden die Regeln für Hochrisiko-Systeme nach Anhang III auf Dezember 2027 verschoben, für Produkte nach Anhang I auf August 2028. Kritisch sieht Bendrath die Übergangsregel. Systeme, die schon auf dem Markt sind und nicht wesentlich verändert werden, bleiben von den Pflichten verschont. Als Erfolg verbucht er das Verbot sogenannter Nacktmacher-Apps, das in Artikel 5 der KI-Verordnung aufgenommen wurde und ab Ende 2026 gilt.
Das Kräfteverhältnis ist ungleich. Nach Zahlen von LobbyControl und Corporate Europe Observatory gibt die Digitalindustrie inzwischen jährlich 151 Millionen Euro für Lobbyarbeit in der EU aus, Meta allein zehn Millio