Digitaler Omnibus: Zwischen Vereinfachung und Aufweichung

Wirtschaftsverbände: Änderungen greifen zu kurz

Für die Wirtschaft gehen die geplanten Änderungen an der DSGVO teils nicht weit genug. So ist aus Sicht des Digitalverbands Bitkom eine grundsätzliche Überarbeitung der Datenschutz-Grundverordnung geboten. Mit den Vorschlägen der EU-Kommission würden zwar eine Reihe von Alltagsproblemen der Unternehmen angegangen, etwa beim KI-Training oder bei Informations- und Meldepflichten. Doch die Reformvorschläge greifen für Bitkom an den entscheidenden Stellen noch zu kurz. Grundlegende strukturelle Probleme würden nicht konsequent adressiert, wie etwa der hohe Aufwand bei Auskunftsrechten und Auftragsverarbeitung.

Die geplante Überarbeitung der DSGVO bewertet der Verband der Internetwirtschaft eco positiv, betont jedoch die Notwendigkeit einer einheitlichen, praktikablen Anwendung. Forschung, Industrie und KI-Entwicklung benötigen aus Sicht von eco verlässliche und klar handhabbare Rahmenbedingungen.

Die geplanten Änderungen an der DSGVO werden auch an anderer Stelle nicht nur positiv bewertet.

Verbraucherschützer: Datenschutzniveau muss erhalten bleiben

„Das Herzstück der DSGVO, nämlich das höchste Schutzniveau in Bezug auf personenbezogene Daten, bleibt bestehen“, sagt die EU-Kommission. Aus Sicht der Verbraucherschützer stellt sich dies aber anders dar.

„Der Digital Omnibus verspricht Vereinfachung und Klarheit im Datenschutz. Stattdessen bringen die Vorschläge der Europäischen Kommission hauptsächlich eines: Rechtsunsicherheit“, sagt Ramona Pop, Vorständin des Verbraucherzentrale Bundesverbands. Die könne vor allem von Big Tech-Unternehmen ausgenutzt werden. „Am Ende profitieren die großen Plattformen, während europäische Unternehmen und auch die Verbraucherinnen und Verbraucher in die Röhre schauen. Der europäische Gesetzgeber darf jetzt nicht klein beigeben: keine weitreichenden Ausnahmen, keine Schutzlücken“, so Ramona Pop weiter.

Ein hohes Datenschutzniveau sei ein Wettbewerbsvorteil für die europäische digitale Wirtschaft, erklären die Verbraucherschützer (PDF). 87 Prozent der befragten Verbraucher sei es sehr oder eher wichtig, dass sie Unternehmen im Umgang mit ihren persönlichen Daten vertrauen können, bevor sie deren Angebote nutzen. „Die Menschen wollen wissen, dass ihre persönlichen Daten bei den Unternehmen gut aufgehoben sind. Klare Regeln wie die Datenschutz-Grundverordnung sorgen für dieses Vertrauen. Wenn die Europäische Kommission diese nun lockert, schadet sie langfristig dem Wirtschaftsstandort Europa“, sagte Pop.

Auch Frederick Richter, Vorstand der Stiftung Datenschutz, sieht nicht alles positiv an den geplanten Datenschutz-Änderungen: „Wir hoffen auf eine ausgewogene Initiative, die nur solche Anpassungen an der DSGVO vornehmen will, die einen effektiven Grundrechtsschutz nicht schwächen. Zwar braucht es mehr Klarheit über Rechtsgrundlagen für das KI-Training und ohne Frage mehr Praktikabilität bei Cookies und Einwilligungsverwaltung. Das sollte aber nicht damit bezahlt werden, dass der Schutzstandard merklich sinkt“, betonte Richter.

Datenschutzaufsichtsbehörden: Änderungen der DSGVO stellenweise nicht zielführend

Nun haben auch die Datenschutzaufsichtsbehörden auf der Ebene der Datenschutzkonferenz (DSK) und des Europäischen Datenschutzausschusses (EDSA) eine Stellungnahme dazu abgegeben. Zahlreiche Vorschläge im Digitalen Omnibus vor allem in Bezug auf Vereinfachungen der Vorschriften werden in der gemeinsamen Stellungnahme als sinnvolles Ziel grundsätzlich unterstützt, gleichzeitig führten andere Vorschläge des Digitalen Omnibus aber zu einer Schwächung der Grundrechte und schafften Rechtsunsicherheit.

Dazu Prof. Dr. Tobias Keber, Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg und 2026 Vorsitzender der DSK: „Es ist grundsätzlich zu begrüßen, wenn die zahlreichen Digital- und Datenakte besser aufeinander abgestimmt werden. Das würde tatsächlich Rechtssicherheit schaffen und die Anwendung in der Praxis vereinfachen. Die mit dem Digitalen Omnibus vorgeschlagenen Änderungen der DSGVO sind aber stellenweise nicht zielführend“.

Prof. Dr. Tobias Keber sieht Änderungsbedarf an anderer Stelle: „Als Datenschutzkonferenz unterstützen wir grundsätzlich zielführende Anpassungen der DSGVO. Wir haben beispielsweise vorgeschlagen, die Anbieter oder Hersteller von Standard-Hard- und Software in das etablierte System datenschutzrechtlicher Pflichten stärker einzubeziehen und die Rechte von Kindern in der DSGVO zu stärken. Hier sehen wir Handlungsbedarf und haben aus unserer aufsichtsbehördlichen Praxis heraus ganz konkrete Änderungen vorgeschlagen.“

Insbesondere schaffe man Rechtssicherheit nicht durch das Verändern zentraler Begriffsbestimmungen. Der Europäische Datenschutzausschuss (EDPB) und der Europäische Datenschutzbeauftragte (EDPS) appellieren demnach an die Gesetzgeber, die vorgeschlagenen Änderungen der Definition personenbezogener Daten nicht anzunehmen, da diese weit über eine gezielte oder technische Änderung der DSGVO hinausgehen.

Darüber hinaus spiegeln sie aus Sicht der Datenschützer die Rechtsprechung des Europäischen Gerichtshofs (EuGH) nicht korrekt wider und gehen eindeutig darüber hinaus. Sie würden demnach den Begriff der personenbezogenen Daten erheblich einschränken. Es sollte der Europäischen Kommission nicht übertragen werden, per Durchführungsrechtsakt festzulegen, was nach der Pseudonymisierung keine personenbezogenen Daten mehr sind, da dies den Anwendungsbereich des EU-Datenschutzrechts unmittelbar beeinträchtigt, so die Datenschutzaufsichtsbehörden. 

„Vereinfachungen sind unerlässlich, um Bürokratie abzubauen und die Wettbewerbsfähigkeit der EU zu stärken – jedoch nicht auf Kosten der Grundrechte“, betonte die Vorsitzende des Europäischen Datenschutzausschusses, Anu Talus.

Offensichtlich sehen auch die Datenschutzaufsichtsbehörden den Bedarf an Vereinfachung, warnen aber vor einer Aufweichung des Datenschutzes, wenn durch Neudefinitionen bestimmte Daten aus dem Anwendungsbereich der DSGVO entzogen werden. Ziel muss es also sein, genau das zu erreichen, was die EU-Kommission zugesagt hat, das höchste Schutzniveau in Bezug auf personenbezogene Daten bestehen zu lassen, aber ohne die Definition zu ändern, was personenbezogene Daten sind.