Ratsmandat zur DSGVO-Reform ändert geltendes Recht noch nicht

Der Rat der EU hat sein Verhandlungsmandat zur Reform der DSGVO beschlossen, doch bisher gilt davon nichts: Es handelt sich nur um die Position der Mitgliedstaaten, das Parlament hat noch keine eigene, und die Verhandlungen zwischen beiden Seiten haben nicht begonnen. Laut Mandatstext (ST 14756/26), den Veritome ausgewertet hat, soll KI-Entwicklung auf berechtigtes Interesse gestützt werden können (Art. 88 bis), mit Einzelfallabwägung. Die Meldefrist für Datenpannen soll von 72 auf 96 Stunden steigen, nur bei hohem Risiko.

Für Verantwortliche heißt das: Die 72-Stunden-Pflicht aus Art. 33 DSGVO bleibt in Kraft, und Rechtsgrundlagen für KI-Training ändern sich durch ein Ratsmandat nicht. Entscheidend ist, was am Ende eines Gesetzgebungsverfahrens steht, nicht, was ein einzelnes Organ als Ausgangspunkt festlegt. Geltendes Recht, Kommissionsentwurf und Mandat sind deshalb getrennt zu betrachten.

Beschlossen wurde ein Verhandlungsmandat, kein Recht

Laut Veritome hat der Ausschuss der Ständigen Vertreter (Coreper) am Mittwoch, 21. Oktober 2026, die Position des Rats festgelegt. Laut Pressemitteilung des Rats betrifft sie die DSGVO, die ePrivacy-Richtlinie, die P2B-Verordnung, den Daten-Acquis und eine zentrale Meldestelle für Vorfälle. Den Mandatstext ST 14756/26 hat der Rat am Donnerstag, 22. Oktober, nachgereicht. Die Mitteilung wurde damit aktualisiert.

Ein Mandat ist die Verhandlungsposition der Mitgliedstaaten für die Gespräche mit dem Parlament. Verhandelt wird erst, sobald das Parlament seine Position hat. Veritome fasst es in seinem Wochenbrief zur KW 44 knapp zusammen: „None of this is law.“ (deutsch: „Nichts davon ist Gesetz.“) Einen Zeitplan für die Verhandlungen nennen weder Rat noch Veritome; der Rat spricht nur von einer zügigen Einigung.

Inhaltlich hält der Rat laut seiner Mitteilung an der aktuellen Definition personenbezogener Daten fest. Diese Aussage ist für die Reichweite der Reform zentral, denn an der Definition hängt, welche Daten überhaupt unter die DSGVO fallen. Für pseudonymisierte Daten sieht das Mandat eine eigene Regel vor.

Die Cookie-Regeln bleiben nach der Ratsmitteilung in der ePrivacy-Richtlinie. Dort sollen zusätzliche Zwecke ohne Einwilligung hinzukommen, genannt werden etwa Reichweitenmessung und Sicherheit. Außerdem soll es je Mitgliedstaat eine nationale Meldestelle geben statt einer EU-Stelle. Für KI-Entwicklung nennt der Rat Schutzmaßnahmen bei der Verarbeitung sensibler Daten, für Datenpannen Unterstützung für eine längere Meldefrist.

Zwei Dinge stehen nicht in der Ratsmitteilung: die Zahl „96 Stunden“ und die Artikelnummer „Art. 88 bis“. Beides stammt aus der Veritome-Auswertung des Mandatstexts. Wer mit diesen Angaben arbeitet, sollte wissen, dass Artikelnummern in Verhandlungen noch wandern können; dass sie final sind, sagt weder der Rat noch Veritome. Der Entwurfsstand der Kommission, auf dem das Mandat aufbaut, ist im dm-Artikel vom 29. September zum Entwurfsstand beschrieben.

Das KI-Omnibus, das die KI-Verordnung (EU) 2024/1689 ändert, ist laut Veritome ein eigenes Rechtsinstrument. Der Rat hat es am 29. Juni 2026 angenommen, als Verordnung (EU) 2026/1744 vom 8. Juli 2026 unterzeichnet und am 24. Juli im Amtsblatt veröffentlicht. Seit dem 27. Juli 2026 ist es in Kraft. Das Ratsmandat vom 21. Oktober 2026 betrifft dagegen DSGVO, ePrivacy-Richtlinie, P2B-Verordnung und Daten-Acquis und ist nicht in Kraft. dm-Einordnung: Wer beide Pakete verwechselt, hält Vorschläge für geltendes Recht oder umgekehrt.

Berechtigtes Interesse für KI-Entwicklung

Der zentrale Artikel heißt im Mandat Art. 88 bis, im Kommissionsvorschlag war es Art. 88c. Er erlaubt laut Veritome, die Entwicklung und den Betrieb von KI auf das berechtigte Interesse nach Art. 6 Abs. 1 Buchst. f DSGVO zu stützen. dm-Einordnung: Damit entsteht keine neue Rechtsgrundlage; der Artikel stellt klar, dass die bestehende Grundlage für KI-Zwecke in Frage kommt. Dass der Artikel nicht 88a heißt, ist mehr als Pedanterie: Art. 88a und 88b waren die Cookie-Artikel, die der Rat gestrichen hat.

Laut Veritome sind Organisationen, die personenbezogene Daten verarbeiten, um KI-Systeme zu entwickeln, zu trainieren, feinabzustimmen oder zu testen, für diese Verarbeitung DSGVO-Verantwortliche. Das gilt unabhängig davon, welche Rolle sie nach der KI-Verordnung für dasselbe System haben, etwa als Anbieter nach Art. 3 Nr. 3 oder als Betreiber nach Art. 3 Nr. 4. Art. 88 bis würde also die Rechtsgrundlage dieser Verantwortlichen betreffen.

Die wichtigste Einschränkung steht in Erwägungsgrund 33a. Danach ist die Entwicklung oder der Betrieb von KI für sich genommen noch kein berechtigtes Interesse. Es bleibt bei der Einzelfallabwägung: Das Interesse des Verantwortlichen muss konkret benannt werden, die Verarbeitung muss erforderlich sein, und die Rechte der Betroffenen müssen im Einzelfall nicht überwiegen.

Für Behörden gilt eine andere Linie. Sie sollen sich laut Veritome auf Art. 6 Abs. 1 Buchst. e stützen, also die Wahrnehmung einer Aufgabe im öffentlichen Interesse. Das entspricht der Logik der DSGVO, die berechtigtes Interesse bei Behörden in ihrer Aufgabenerfüllung ohnehin ausschließt. Neu ist, dass es für KI-Vorhaben ausdrücklich so festgehalten wird.

Bei den Schutzmaßnahmen weicht das Mandat vom Kommissionsvorschlag ab. Dieser sah laut Veritome besondere Garantien vor, darunter ein unbedingtes Widerspruchsrecht. Der Rat ersetzt das durch allgemeine technische und organisatorische Maßnahmen und einen Verweis auf Art. 21 DSGVO. Das ist ein spürbarer Unterschied: Art. 21 verlangt, dass Verantwortliche bei einem Widerspruch zwingende schutzwürdige Gründe nachweisen können, um weiterzuverarbeiten. Ein unbedingtes Recht kennt er nicht.

Für sensible Daten wie Gesundheits- oder Religionsangaben sieht Art. 9 Abs. 2 Buchst. k laut Veritome eine Regel für Restdaten vor. Gemeint sind sensible Daten, die in Trainingsbeständen trotz aller Vorsicht verbleiben. Verantwortliche sollen sie möglichst vermeiden, sie löschen, wenn sie auftauchen, und sie andernfalls schützen. Die Ratsmitteilung spricht hier allgemein von Schutzmaßnahmen für die Verarbeitung sensibler Daten bei der KI-Entwicklung.

dm-Einordnung: Gegenüber dem Kommissionsentwurf ist das Mandat bei KI-Training zurückhaltender. Der Entwurf versprach mehr Rechtssicherheit durch eigene Garantien, das Mandat verschiebt die Last auf die Abwägung im Einzelfall und auf das Widerspruchsrecht. Ob das den Aufwand für Anbieter senkt, lässt sich aus dem Text allein nicht ablesen. Die Zahl der dokumentierten Abwägungen dürfte jedenfalls nicht sinken.

Meldefrist, Pseudonymisierung und Cookies

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptConference hall of a European council meeting with delegates at a round table, microphones and documents, out-of-focus people, natural light. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

Bei Datenpannen soll die Frist in Art. 33 DSGVO laut Veritome-Auswertung des Mandatstexts von 72 auf 96 Stunden steigen. Die Ratsmitteilung selbst spricht nur von Unterstützung für eine längere Frist und nennt keine Zahl. Die Verlängerung gilt nach der Auswertung nur bei voraussichtlich hohem Risiko für die Betroffenen.

Gemeldet werden soll laut Veritome über eine nationale Stelle nach einem neuen Art. 23b der NIS2-Richtlinie. Der Kommissionsvorschlag sah eine einzige Meldestelle auf EU-Ebene vor; der Rat setzt auf eine Stelle je Mitgliedstaat. Welche Behörde das in Deutschland wäre, nennen weder Rat noch Veritome. Wie die Datenschutzaufsicht auf Bundesebene aufgestellt ist, zeigt die Aufsicht beim BfDI.

dm-Rechnung: Laut Veritome soll die Meldefrist bei Datenpannen 96 Stunden betragen, bisher sind es 72 Stunden. 96 minus 72 ergibt 24 Stunden, also einen Tag mehr. 24 geteilt durch 72 ergibt rund 33 Prozent, um die die Frist länger wäre. Laut Veritome soll die längere Frist nur für Pannen mit voraussichtlich hohem Risiko gelten; für die übrigen Fälle beschreibt Veritome keine Änderung der Frist.

Art. 25a soll laut Veritome festlegen, dass pseudonymisierte Daten für Dritte keine personenbezogenen Daten sind, wenn diese keine Mittel zur Identifizierung haben. Der Bezug liegt also beim Empfänger. Für den Verantwortlichen, der den Schlüssel besitzt, bleiben die Daten personenbezogen. Art. 4 Abs. 1 mit der Definition bleibt laut Veritome unverändert; die von der Kommission vorgeschlagene Änderung hat der Rat gestrichen. dm-Einordnung: Die Regel betrifft damit vor allem Weitergaben an Empfangende ohne Schlüssel.

Bei den Cookies verfolgt der Rat einen anderen Weg als die Kommission. Die im Entwurf vorgesehenen Art. 88a und 88b, die Cookie-Regeln in die DSGVO holen sollten, hat er laut Veritome gestrichen. Stattdessen bleibt die ePrivacy-Richtlinie zuständig, mit zusätzlichen einwilligungsfreien Zwecken. Die Ratsmitteilung nennt Reichweitenmessung und Sicherheit als Beispiele. Wie eng diese Zwecke gefasst werden, geht aus der Ratsmitteilung nicht hervor.

dm-Einordnung: Die Kombination aus längerer Frist und zentraler Meldestelle verändert den Ablauf im Ernstfall stärker als die Zahl. Vier statt drei Tage helfen bei der Analyse, aber nur, wenn klar ist, an wen gemeldet wird. Solange die Reform nicht in Kraft ist, gilt für beides das geltende Recht. Das gilt auch für Cookies, wo bis dahin die bestehende Rechtslage maßgeblich bleibt.

Was Datenschutzbeauftragte tun können

Veritome rät in seiner Einschätzung dazu, Rechtsgrundlagen nicht wegen des Mandats zu ändern. dm-Einordnung: Ein Verhandlungsmandat bindet weder Parlament noch Aufsichtsbehörden, und Wortlaut und Nummerierung können sich noch verschieben. Wer ein KI-Projekt von Einwilligung auf berechtigtes Interesse umstellt, weil Art. 88 bis in einem Ratsdokument steht, baut auf einem Text, der nicht in Kraft ist.

Sinnvoll ist stattdessen Vorarbeit, die unabhängig vom Ausgang trägt. dm-Einordnung: Eine Interessenabwägung nach Art. 6 Abs. 1 Buchst. f lässt sich bereits dokumentieren, mit konkretem Zweck, Erforderlichkeitsprüfung und Gegenüberstellung der Betroffeneninteressen. Erwägungsgrund 33a deutet an, dass genau diese Einzelfallabwägung im Zentrum bleibt. Ein solches Dokument ist sofort nützlich und bleibt es, wenn das Mandat umgesetzt wird.

Veritome-Einschätzung: Wer KI-Modelle auf großen, gemischten Datensätzen trainiert, sollte nach Ansicht von Veritome die Pipeline auf zufällig enthaltene sensible Daten prüfen und den Umgang damit dokumentieren. Die bestehenden Pflichten zur Datenminimierung wiesen bereits in dieselbe Richtung. Nach Art. 9 Abs. 2 Buchst. k müssten solche Daten vermieden, nach Erkennen gelöscht und, wo Löschen unmöglich oder unverhältnismäßig ist, geschützt und in der Weiterverarbeitung eingeschränkt werden. dm-Einordnung: Wer Erkennungs- und Löschschritte beschreiben kann, ist für beide Rechtslagen besser aufgestellt.

Beim Widerspruchsrecht lohnt ein Blick auf die Abläufe. Da der Rat das unbedingte Recht des Kommissionsentwurfs durch den Verweis auf Art. 21 ersetzt, kommt es darauf an, Widersprüche systematisch zu erfassen und die Gründe für eine Weiterverarbeitung nachvollziehbar festzuhalten. dm-Einordnung: Das ist ohnehin geltende Praxis, ein Verfahren mit klarer Zuständigkeit und Fristen erleichtert sie. Die Technik dahinter, etwa das Herausnehmen einzelner Personen aus Trainingsbeständen, sollte früh mit den Entwicklungsteams besprochen werden.

Für Datenpannen gilt nach Veritome weiter die 72-Stunden-Frist. dm-Einordnung: Meldeprozesse auf die laut Veritome geplanten 96 Stunden umzustellen, wäre verfrüht. Interne Fristen, Eskalationsstufen und Vorlagen sollten sich weiter an den 72 Stunden orientieren, bis eine Änderung tatsächlich in Kraft ist. dm-Einordnung: Die Einstufung, ob ein hohes Risiko vorliegt, ist ohnehin die schwierigere Frage, und ihre Dokumentation ändert sich mit der Frist nicht.

Ein letzter Punkt betrifft die Wirkung auf bestehende Verträge. Veritome hält fest, dass weder die 96-Stunden-Frist noch die Pseudonymisierungsregel gelten und die geltende 72-Stunden-Pflicht bleibt. Das betrifft auch Auftragsverarbeitungsverträge, in denen Meldefristen von Dienstleistern an Verantwortliche vereinbart sind. dm-Einordnung: Solche vertraglichen Fristen hängen nicht am Mandat; eine Anpassung käme erst mit einem verabschiedeten Text in Betracht.