Digitaler Omnibus: EDRi warnt, dass die Datenschutz-Grundverordnung ihre Reichweite verlieren könnte

Die Bürgerrechtsorganisation European Digital Rights (EDRi) warnt in einem offenen Brief vom 24. September, der Digitale Omnibus zu Daten verschiebe im Rat die Frage, wann die Datenschutz-Grundverordnung überhaupt gilt. Im Zentrum stehen Artikel 25a zu pseudonymisierten Daten und Artikel 88bis, der Entwicklung und Betrieb von künstlicher Intelligenz unter berechtigtem Interesse hervorhebt. Nach Ansicht von EDRi geht es um Substanz, nicht um kürzere Formulare.

Der Digitale Omnibus zu Daten hat im Rat eine kritische Phase erreicht

Der Digitale Omnibus zu Daten der Europäischen Kommission ist laut EDRi im Rat an einem Punkt angekommen, an dem sich seine Richtung entscheidet. Aus einem Vereinfachungspaket sei eine breitere Debatte geworden. Es geht darum, wie viel Schutz Daten und damit die Rechte von Menschen in der EU im Namen von künstlicher Intelligenz (KI), Innovation und Wettbewerbsfähigkeit noch behalten sollen.

Regierungen diskutieren demnach drei Punkte. Erstens, ob Daten situativ außerhalb der Datenschutz-Grundverordnung (DSGVO) fallen können, je nachdem, wer sie hält. Zweitens, ob KI eine Sonderbehandlung verdient, wenn Unternehmen personenbezogene Daten wiederverwenden wollen. Drittens, ob Menschen weniger darüber erfahren sollen, wie ihre Daten genutzt werden.

EDRi nennt dazu mehrere Stationen. Der Kompromissvorschlag der irischen Ratspräsidentschaft vom 3. September löste laut EDRi auf breiter Front Bedenken aus. Ein überarbeiteter Text vom 21. September habe Teile verbessert, lasse aber die grundlegenden Fragen ungelöst. Der offene Brief vom 24. September richtet sich an die Mitgliedstaaten und verlangt, den Schutz der DSGVO im Omnibus zu Daten aufrechtzuerhalten. Schon am 18. September hatte EDRi-Autorin Itxaso Domínguez de Olazábal ein Schreiben an Ratsvertretende geschickt, Betreff: „Urgent follow-up on the Digital Omnibus Council compromise“.

Beide Dokumente sind öffentlich. Den offenen Brief von EDRi und das Schreiben an den Rat als PDF sollten Datenschutzbeauftragte und Rechtsabteilungen parallel lesen. Das Schreiben ist knapper und pointierter, der offene Brief liefert die ausführliche Argumentation zu Pseudonymen, Tracking-Kennungen und KI. Ratsit Abrufdatum abzulegen, erleichtert später den Abgleich mit Anbieteraussagen.

EDRi spricht von Deregulierung der Substanz statt von weniger Papierkram und von besorgniserregenden Gesetzesformulierungen. Das ist die Position einer Bürgerrechtsorganisation, kein Ratsbeschluss und kein abgeschlossenes Gesetzgebungsverfahren. Dieser Artikel ersetzt keine Rechtsberatung. Der Omnibus berührt die übergreifende Datenregel, auf der viele Fragen des KI-Gesetzes ruhen. Wie in der Übersicht zur KI-Regulierung und dem EU AI Act beschrieben, müssen Rollen, Fristen und Dokumente getrennt bleiben.

Artikel 25a macht den Rechtsstatus pseudonymisierter Daten vom Akteur abhängig

Artikel 25a ist laut EDRi das größte Problem des Textes. Der Rat sei zwar davon abgerückt, die Definition personenbezogener Daten in Artikel 4 Absatz 1 der DSGVO direkt umzuschreiben. Das wirke beruhigend, sei es aber nicht. Artikel 25a samt den Erwägungsgründen 27 bis 27c schaffe ein stärker ausgearbeitetes akteursbezogenes Regime: Pseudonymisierte Daten könnten für manche Akteure als nicht personenbezogen gelten, für andere weiterhin als personenbezogen. Das verwische die Grenze zwischen Pseudonymisierung und Anonymisierung.

Die Unterscheidung ist grundlegend. Pseudonymisierung ersetzt offensichtliche Kennzeichen wie einen Namen durch einen Code oder eine Kennung. Das kann Daten sicherer machen, weil die Zuordnungsinformation getrennt gehalten wird. Die Person steckt aber weiterhin hinter dem Code, und die an die Daten geknüpften Rechte sollen bestehen bleiben. Anonym sind Daten erst, wenn eine Person auch durch Kombination mit anderen vernünftigerweise verfügbaren Informationen nicht mehr realistisch identifizierbar ist. Nur anonyme Daten fallen aus der DSGVO heraus.

Praktisch relevant ist das wegen des Online-Trackings. Ein großer Teil davon läuft laut EDRi bereits über pseudonyme Kennungen statt über Namen. Cookie-Kennungen, Werbekennungen, Gerätekennungen und ähnliche Codes dienen dazu, Menschen über die Zeit wiederzuerkennen, Verhalten über Dienste hinweg zu verknüpfen und Profile aufzubauen. Sie bestimmen auch, welche Inhalte, Preise oder Anzeigen jemand sieht. In vielen Kontexten sei „User 15051948“ für Tracking und gezielte Ansprache nützlicher als der Klarname.

Akteursbezogen heißt: Derselbe pseudonymisierte Datensatz könnte für Akteur A personenbezogen sein und für Akteur B nicht, weil B als unfähig gilt, die Person zu identifizieren. EDRi sieht darin etwas, das einer Einengung der Definition personenbezogener Daten sehr nahekommt. Daraus folgen zwei Probleme.

Das erste betrifft die Rechte. Behandelt ein Unternehmen Daten als außerhalb der DSGVO, können viele daran geknüpfte Schutzmechanismen entfallen. Dazu zählen die Pflicht, Daten sicher zu halten, das Recht zu erfahren, wie Daten genutzt werden, die Rechte auf Auskunft und Berichtigung sowie der Widerspruch gegen bestimmte Nutzungen.

Das zweite Problem ist die Rechtssicherheit. Digitale Daten liegen selten bei einem einzigen Unternehmen. Sie wandern durch lange Ketten aus Dienstleistern, Werbetreibenden, Analysefirmen, Cloud-Anbietern und Datenhändlern. Verschiedene Akteure halten verschiedene Informationsteile, oft alle pseudonymisiert, und verfügen über unterschiedliche technische Fähigkeiten. Der rechtliche Status eines Datensatzes könnte sich je nach Besitzer ändern. Unternehmen, Aufsichtsbehörden und Betroffene müssten dann erst klären, wer wen mit welchen Daten an welcher Stelle der Kette identifizieren kann.

Hinzu kommt laut EDRi ein Anreizproblem. Akteure argumentieren schon heute, sie seien nicht verantwortlich, weil sie die Person hinter der kennung nicht identifizieren könnten oder weil ein anderer die nötige Information halte. Artikel 25a riskiere, solchen Argumenten deutlich mehr Gewicht zu geben. In Deutschland, Österreich und der Schweiz könnten Antworten von Dienstleistern wie „bei uns nur Pseudonym, Anwendbarkeit unklar“ zunehmen.

Ein Beispiel verdeutlicht die Lage: ein Cookie der eigenen Website, ein weitergegebenes Pseudonym an ein Analysewerkzeug, eine Werbekennung in einem Werbesystem, ein Gerätesignal in einem Cloud-Protokoll und eine Anreicherung durch einen Datenhändler über eine Hash-Tabelle. Jeder Schritt kann denselben Menschen meinen. Stärkt Artikel 25a die akteursbezogene Lesart, muss die Frage, ob die DSGVO gilt, für jeden Akteur und jeden Zeitpunkt einzeln beantwortet werden. Das bedeutet mehr Unsicherheit, nicht weniger.

Artikel 88bis hebt KI-Entwicklung und KI-Betrieb gesetzlich hervor

Laut EDRi würde der Ratstext ausdrücklich festhalten, dass personenbezogene Daten für Entwicklung und Betrieb von KI unter berechtigtem Interesse verarbeitet werden dürfen (im Original „may be carried out“). Die DSGVO kennt dieses berechtigte Interesse bereits als mögliche Rechtsgrundlage. Ein Unternehmen darf aber nicht einfach behaupten, die Verarbeitung sei nützlich fürs Geschäft. Es muss ein berechtigtes Interesse benennen, die Verarbeitung muss dafür erforderlich sein, und das Interesse ist gegen die Rechte der betroffenen Person abzuwägen.

Dieses Bild wurde mit KI generiertProviderhiggsfieldModellgpt_image_2PromptClose photorealistic photo of blank sticky notes suggesting pseudonym IDs and legitimate interest questions beside a closed notebook, cool office light, no logos, no brand names, no readable text, 16:9

EDRi fragt, warum KI überhaupt eine Sondererwähnung braucht. Es gehe auch nicht allein um das Training großer Sprachmodelle. KI-Systeme stünden bereits hinter vielen Anwendungen, die Menschen online profilieren, einordnen, bewerten und gezielt ansprechen. Empfehlungssysteme formen, was in sozialen Medien erscheint, Werbesysteme entscheiden, wem was gezeigt wird, und automatisierte Werkzeuge halten Einzug in Arbeitsplätze und Finanzwesen. Eine breit gefasste KI-Bestimmung könne deshalb weit über die Debatte um das automatisierte Sammeln von Webdaten für Chatbots hinausreichen.

Genau darin liegt laut EDRi das Problem der Kategorie. Ein System zur Krebsdiagnose, gezielte Werbung, die Analyse von Beschäftigten, ein Empfehlungssystem und das Training eines Chatbots seien sehr verschiedene Tätigkeiten. „KI“ beschreibe die Technologie, sage aber wenig darüber, ob eine konkrete Datennutzung gerechtfertigt ist. Dennoch würde der Rat, der Führung der Kommission folgend, diese riesige Verarbeitungskategorie gesetzlich hervorheben.

Das erzeuge einen falschen Anreiz. Wenn der Verweis auf ein KI-System es erleichtert, berechtigtes Interesse geltend zu machen, könnten Unternehmen immer mehr Verarbeitung als KI-bezogen darstellen. EDRi nennt das das Gegenteil technologieneutraler Regulierung. Die Sorge gelte nicht der automatischen Legalisierung jeder KI-bezogenen Nutzung, denn der Rest der DSGVO bleibe anwendbar. Sie gelte der Richtung, die Unternehmen, Aufsicht und Gerichten vorgegeben werde. Wenn Datenzugang zu einer der wertvollsten Ressourcen der KI-Wirtschaft wird, sei das ein großes Signal.

Frühere Schutzvorkehrungen, darunter ein bedingungsloses Widerspruchsrecht, seien laut EDRi im Kompromiss der irischen Ratspräsidentschaft geschwächt worden. Das ist eine Aussage von EDRi zur Richtung der Schutzvorkehrungen; weitere Details nennt der Verband nicht, und sie sollten auch nicht ergänzt werden.

Was nach der überarbeiteten Fassung vom 21. September offen bleibt

Offen bleiben laut EDRi die akteursbezogene Logik von Artikel 25a und die gesetzliche Hervorhebung der KI-Entwicklung in Artikel 88bis. Verbesserte Formulierungen änderten nichts an der Substanz dieser Kernfragen. Mitgliedstaaten könnten Entwürfe verbessern, wenn sie Bedenken ernst nehmen, und sollten das weiter tun, statt auf Änderungen zuzueilen, die Fundamente des europäischen Datenschutzrechts berühren. EDRi verweist zudem auf die Antici-Gruppe zur Vereinfachung als Arbeitsstruktur im Ratsprozess, ohne daraus Beschlusslagen abzuleiten.

EDRi fordert, dass der Juristische Dienst des Rates und die Rechtsdienste der Mitgliedstaaten den Text gründlich prüfen. Dabei gehe es um die Vereinbarkeit mit den Artikeln 7 und 8 der Charta und mit der bisherigen Auslegung der DSGVO durch den Europäischen Gerichtshof. Das Europäische Parlament entwickle seine Position noch über Monate, es gebe laut EDRi keine offensichtliche Notwendigkeit zur Eile.

Weitere Punkte betreffen die Einwilligungsabfragen im Netz. Die Kommission hatte einen Mechanismus vorgeschlagen, mit dem Menschen manche Entscheidungen automatisiert mitteilen könnten, statt immer wieder dieselben Schaltflächen zu klicken. Der Rat streiche diese Bestimmung laut EDRi weiterhin. Gleichzeitig erwäge er mehr Ausnahmen für den Zugriff auf Informationen auf Telefonen, Computern und anderen Geräten ohne Einwilligung oder Information. Die neueste Fassung würde die Kommission sogar verpflichten, den Einsatz von Technologien zur Stärkung der Privatsphäre bei diesem Gerätezugriff zu prüfen, mit der Möglichkeit späterer Regeländerungen.

EDRi nennt die Logik verkehrt: Eine Sicherheitsmaßnahme dürfe nicht zum Ausstiegsticket aus dem Gesetz werden. Pseudonymisierung könne eine solche Technik sein, andere minimieren, trennen oder schützen Informationen. Unternehmen sollten dort investieren, aber nicht in der Erwartung, dass dies die anwendbaren Regeln lockert.

Auch das Argument, große Technologiekonzerne täten das ohnehin, lässt EDRi nicht gelten. Dehnen, bestreiten oder ignorieren Unternehmen bestehende Regeln, müsse die Antwort bessere Durchsetzung sein. Ihr Verhalten dürfe nicht zur neuen rechtlichen Grundlinie werden. Lockerere Datenregeln gäben einem europäischen Start-up auch nicht plötzlich zwanzig Jahre an Suchverläufen, Standortdaten, Fotos, sozialen Verbindungen und Verhaltensdaten. Profitieren würden vor allem Akteure mit riesigen Datenbeständen und Infrastruktur.

EDRi sieht außerdem einen politischen Widerspruch. Regierungen sprächen über KI-Risiken, Cybersicherheit, suchterzeugendes Design und Kinderschutz im Netz, während sie horizontale Regeln schwächten, die genau diese Datenpraktiken steuern. Die Leitfrage des offenen Briefs, Vereinfachung für wen, trifft den Streit besser als jede Wettbewerbsüberschrift.

Was Datenschutzbeauftragte und Rechtsabteilungen jetzt klären sollten

Datenschutzbeauftragte und Rechtsabteilungen in Deutschland, Österreich und der Schweiz sollten Dokumentenstände mit Datum und Quelle getrennt führen. Dazu gehören der Kommissionsvorschlag, der Kompromiss vom 3. September, die überarbeitete Fassung vom 21. September und die Kritik von EDRi. Wer alles unter „Omnibus kommt irgendwann“ ablegt, verliert die Spur und kann spätere Aussagen von Anbietern nicht gegen öffentliche Texte halten.

Für die Arbeit in den Fachabteilungen bieten sich vier Prüfpunkte an:

• Kennungen und Akteure erfassen: Welche Cookie-, Werbe-, Geräte- und internen Pseudonym-Kennungen werden genutzt, und welche Akteure der Kette könnten sich auf fehlende Identifizierbarkeit berufen?
• Rechte und Sicherheit absichern: Klären, welche Auskunfts-, Berichtigungs- und Widerspruchswege brechen, wenn ein Partner die Geltung der DSGVO verneint. Sicherheitspflichten wie Zugriff, Protokollierung und Weitergabe sollten als Organisationsstandard unabhängig vom Anwendungsbereich gelten.
• KI-Zwecke trennen: Abwägungen zum berechtigten Interesse dokumentieren und Diagnose-KI, Beschäftigtenanalyse, Empfehlungssysteme, Werbung und Chatbot-Training einzeln führen, statt alles unter „KI“ zu verbuchen.
• Prozess beobachten: Ratsmeldungen und die Arbeit der Ausschüsse im Europäischen Parlament getrennt verfolgen und in interne Berichte ohne Alarmismus übersetzen.

Der Omnibus betrifft die horizontalen Datenregeln, das KI-Gesetz setzt produkt- und praxisbezogene Pflichten. Beides erzeugt Dokumentationsdruck, aber mit unterschiedlichen Dokumenten und Anbieteraussagen. Für die Ebene des KI-Gesetzes helfen die vier zentralen Fragen zum EU AI Act und die Hinweise zu den Transparenzpflichten ab dem 2. August. Der Omnibus ergänzt die Ebene von Anwendungsbereich und Rechtsgrundlagen, die viele Vorbereitungen zum KI-Gesetz voraussetzen.

Als Messlatte taugt nicht die Länge der Formulare. Entscheidend ist, ob Artikel 25a und Artikel 88bis verändern, wann die DSGVO gilt und worauf sich KI-Training stützt. Teams, die ihre Kennungsketten und Abwägungen jetzt schärfen, gewinnen Verhandlungsspielraum gegenüber Anbietern und gegenüber internen KI-Projekten, die den Omnibus als Abkürzung missverstehen könnten.