Digital Omnibus: Welche DSGVO-Änderungen geplant sind und was bis dahin gilt

Stand des Gesetzgebungsverfahrens

Der Digital Omnibus durchläuft das ordentliche Gesetzgebungsverfahren, in dem sich das Parlament und der Rat auf einen gemeinsamen Text einigen müssen. Im Parlament sind der Industrieausschuss (ITRE) und der Innenausschuss (LIBE) gemeinsam federführend. Der gemeinsame Berichtsentwurf liegt seit dem 22. Juni 2026 vor, am 27. Juli 2026 folgten die Änderungsanträge der Ausschussmitglieder. Eine Abstimmung in den Ausschüssen ist bislang nicht erfolgt. In der Verfahrensübersicht des Parlaments wird das Verfahren gegenwärtig mit dem Stand „Awaiting committee decision“ geführt (Legislative Observatory, 2025/0360(COD)). Die Aufnahme der Trilogverhandlungen setzt voraus, dass das Parlament seine Verhandlungsposition festgelegt hat. In diesen Verhandlungen handeln Parlament, Rat und Kommission den endgültigen Text aus. Die Fassung des Rates ist folglich lediglich eine Verhandlungsposition, die sich im Trilog noch ändern kann.

Datenpannen: Meldepflicht erst bei hohem Risiko, Frist von 96 Stunden

Nach Art. 33 Abs. 1 DSGVO ist eine Datenpanne unverzüglich und möglichst binnen 72 Stunden der zuständigen Aufsichtsbehörde zu melden. Ausgenommen sind lediglich Datenpannen, die voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führen. Nach dem Vorschlag der Kommission soll die Meldepflicht erst bei einem voraussichtlich hohen Risiko bestehen. Dies ist dieselbe Schwelle, ab der die betroffenen Personen bereits heute zu benachrichtigen sind (Art. 34 Abs. 1 DSGVO). Die Frist soll auf 96 Stunden verlängert werden. Einer späteren Meldung wäre eine Begründung für die Verzögerung beizufügen. Der Rat übernimmt beide Änderungen.

Abweichungen bestehen beim Meldeweg. Die Kommission beabsichtigte, die Meldungen über eine zentrale Anlaufstelle zu leiten, die nach der NIS-2-Richtlinie eingerichtet werden soll. Nach dem Ratstext erfolgt die Meldung hingegen mit Unterstützung einer nationalen Anlaufstelle an die zuständige Aufsichtsbehörde. Bis zur Einrichtung dieser Stelle haben Unternehmen Datenpannen weiterhin unmittelbar der zuständigen Aufsichtsbehörde zu melden. Zudem soll der Europäische Datenschutzausschuss (EDSA) zwei Listen veröffentlichen. Die erste Liste soll die Fälle erfassen, in denen eine Datenpanne voraussichtlich zu einem hohen Risiko führt, die zweite die Fälle, in denen dies nicht zu erwarten ist. Nach dem Ratstext sollen die Änderungen an Art. 33 DSGVO erst 18 Monate nach Inkrafttreten der Verordnung anwendbar sein.

In beiden Fassungen bleibt die Pflicht, jede Datenpanne mit Sachverhalt, Auswirkungen und ergriffenen Abhilfemaßnahmen zu dokumentieren (Art. 33 Abs. 5 DSGVO), unverändert bestehen. Unternehmen wären somit auch nach der Reform verpflichtet, jeden Vorfall zu bewerten und zu dokumentieren, auch wenn eine Meldung an die Aufsichtsbehörde nicht erforderlich ist. Den Ablauf einer Meldung nach geltendem Recht erläutert der Beitrag Datenpanne: Was tun in den ersten 72 Stunden?

Auskunftsanträge: Ablehnung bei missbräuchlicher Absicht

Nach geltendem Recht findet Art. 12 Abs. 5 DSGVO auf alle Anträge betroffener Personen Anwendung, etwa auf Anträge auf Auskunft, Berichtigung oder Löschung. Ist ein solcher Antrag offenkundig unbegründet oder exzessiv, etwa im Fall häufiger Wiederholung, ist der Verantwortliche befugt, ein angemessenes Entgelt zu verlangen oder den Antrag abzulehnen. Dabei obliegt es dem Verantwortlichen, den offenkundig unbegründeten oder exzessiven Charakter des Antrags nachzuweisen. Für Auskunftsanträge nach Art. 15 DSGVO will die Kommission Entgelt oder Ablehnung zusätzlich zulassen, sofern die betroffene Person ihre Rechte zu Zwecken missbraucht, die nicht dem Schutz ihrer Daten dienen. Der Rat fasst diesen zusätzlichen Grund enger und setzt den Nachweis einer missbräuchlichen Absicht der antragstellenden Person voraus. Die Beweislast verbleibt beim Verantwortlichen. Lehnt er einen Antrag ab, ist er nach dem Ratstext verpflichtet, der betroffenen Person die Gründe mitzuteilen. Der Umgang mit Auskunftsanträgen nach geltendem Recht ist Gegenstand des Beitrags Auskunft nach Art. 15 DSGVO: Frist, Kopie, typische Fehler.

Informationspflichten: Ausnahme bei vorhandener Kenntnis der betroffenen Person

Schon nach geltendem Recht entfallen die Informationspflichten, wenn und soweit die betroffene Person bereits über die Informationen verfügt (Art. 13 Abs. 4 DSGVO). Die Kommission beabsichtigt, diese Bestimmung neu zu fassen. Danach sollen die Informationspflichten bereits entfallen, wenn die Daten im Rahmen einer klaren und begrenzten Beziehung zu einem Verantwortlichen erhoben wurden, der keine datenintensive Tätigkeit ausübt. Darüber hinaus müssen hinreichende Gründe für die Annahme bestehen, dass der betroffenen Person die Identität des Verantwortlichen und die Zwecke der Verarbeitung bereits bekannt sind. Die Ausnahme sollte unter anderem keine Anwendung finden, wenn der Verantwortliche die Daten an Empfänger weitergibt, in ein Drittland übermittelt oder automatisierte Entscheidungen im Sinne des Art. 22 Abs. 1 DSGVO trifft.

Der Rat behält Art. 13 Abs. 4 DSGVO bei und fügt die neue Ausnahme als Absatz 5 an. Dabei streicht er sowohl die Voraussetzungen der begrenzten Beziehung und der nicht datenintensiven Tätigkeit als auch die Rückausnahmen für Empfänger, Drittlandübermittlungen und automatisierte Entscheidungen. Nach seiner Fassung entfallen die Informationspflichten, soweit der betroffenen Person Identität und Zwecke voraussichtlich bekannt sind und die Verarbeitung voraussichtlich kein hohes Risiko zur Folge hat. Bei komplexen Verarbeitungsvorgängen, bei der Verarbeitung großer Datenmengen sowie bei besonderen Kategorien personenbezogener Daten und Daten über strafrechtliche Verurteilungen und Straftaten (Art. 9 und 10 DSGVO) soll die Ausnahme hingegen ausgeschlossen sein.

Cookies: Regeln bleiben in der ePrivacy-Richtlinie

Für Cookies und andere Zugriffe auf Endgeräte findet in Deutschland derzeit § 25 TDDDG Anwendung, der Art. 5 Abs. 3 der ePrivacy-Richtlinie umsetzt. Nach dieser Bestimmung ist das Speichern von Informationen auf dem Endgerät des Nutzers und der Zugriff auf dort gespeicherte Informationen grundsätzlich nur mit Einwilligung zulässig. Ohne Einwilligung ist dies nur in engen Ausnahmefällen erlaubt, insbesondere wenn der Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann. Die Kommission beabsichtigte, für personenbezogene Daten eigene Regeln in die DSGVO aufzunehmen (Art. 88a und 88b des Entwurfs). Nutzer sollten die Möglichkeit erhalten, eine Einwilligungsanfrage mit einem Klick abzulehnen. In diesem Fall wäre eine erneute Anfrage zu demselben Zweck frühestens nach sechs Monaten zulässig gewesen. Darüber hinaus sollten Nutzer mittels automatisierter, maschinenlesbarer Signale ihre Einwilligung oder Ablehnung erklären können, etwa über den Browser.

Der Rat streicht beide Artikel und ändert stattdessen Art. 5 Abs. 3 der ePrivacy-Richtlinie. Am Erfordernis der Einwilligung hält er fest, erweitert jedoch den Umfang der Ausnahmen. Ohne Einwilligung soll danach etwa eine Reichweitenmessung unter Verwendung anonymer, zusammengefasster Nutzungsdaten zulässig sein. Diese Messung kann durch den Anbieter des Dienstes selbst oder durch einen Dritten im Auftrag des Anbieters erfolgen. Die erhobenen Daten dürfen jedoch nicht für andere Zwecke genutzt, an Dritte weitergegeben oder mit Daten Dritter verknüpft werden. Die Ablehnung einer Einwilligungsanfrage muss mit einem Klick oder auf vergleichbar einfache Weise möglich sein. Nach einer Ablehnung ist eine erneute Anfrage zu demselben Zweck frühestens nach Ablauf von vier Monaten zulässig. Die Mitgliedstaaten sollen die Datenschutzaufsichtsbehörden mit der Überwachung dieser Vorschriften betrauen, und für die Anpassung des nationalen Rechts wäre eine Frist von 24 Monaten vorgesehen. In Deutschland bedürfte es hierfür einer Änderung des § 25 TDDDG. Zur Beurteilung von Tracking ohne Cookies nach geltendem Recht siehe den Beitrag Tracking ohne Cookies: Was beim Fingerprinting gilt.

Personenbezug und Pseudonymisierung

Die Kommission strebt an, in Art. 4 Nr. 1 DSGVO festzuschreiben, dass Angaben für eine Einrichtung nicht als personenbezogen anzusehen sind, sofern diese die Person nicht identifizieren kann. Abzustellen ist dabei auf die Mittel, die die Einrichtung mit hinreichender Wahrscheinlichkeit nutzen würde. Der Rat lehnt diese Ergänzung der Begriffsbestimmung ab. Stattdessen regelt er den Gedanken in einem neuen Art. 25a lediglich für pseudonymisierte Daten. Danach sind pseudonymisierte Daten für einen Dritten nicht als personenbezogen anzusehen, sofern dieser die betreffende Person nicht identifizieren kann. Gibt der Dritte die Daten an einen Empfänger weiter, der über Mittel zur Identifizierung verfügt, sind sowohl die Weitergabe als auch die weitere Verarbeitung beim Empfänger als Verarbeitung personenbezogener Daten anzusehen. Für einen Auftragsverarbeiter bleiben die Daten nach dem Ratstext stets personenbezogen, und er unterliegt weiterhin den Pflichten der DSGVO.

Automatisierte Entscheidungen

Nach dem Entwurf der Kommission wäre eine Entscheidung, die ausschließlich auf automatisierter Verarbeitung beruht, zulässig, sofern sie für den Abschluss oder die Erfüllung eines Vertrags erforderlich ist. Die Frage, ob die Entscheidung auch ohne ausschließlich automatisierte Verarbeitung getroffen werden könnte, sollte dabei unerheblich sein. Der Rat streicht diesen Zusatz und kehrt zum Aufbau des heutigen Art. 22 DSGVO zurück. Die betroffene Person hat demnach weiterhin das Recht, keiner solchen Entscheidung unterworfen zu werden. Ist die Entscheidung ausnahmsweise zulässig, weil sie für einen Vertrag erforderlich ist oder die betroffene Person ausdrücklich eingewilligt hat, steht dieser das Recht zu, das Eingreifen einer Person seitens des Verantwortlichen zu erwirken. Der Europäische Gerichtshof prüft derzeit, wie eng die Ausnahme für Verträge nach geltendem Recht auszulegen ist. Generalanwältin Medina vertritt die Auffassung, dass eine automatisierte Bonitätsprüfung, nach der ein Versandhändler den Kauf auf Rechnung verweigert, nur dann als erforderlich anzusehen ist, wenn keine weniger einschneidende Alternative in Betracht kommt (Schlussanträge vom 15. Oktober 2026, C-568/25). Ein Urteil steht noch aus.

Der Entwurf sieht darüber hinaus Anpassungen für die Verarbeitung personenbezogener Daten bei der Entwicklung und dem Betrieb von KI-Systemen vor (Art. 9 Abs. 2 Buchst. k und Art. 88c des Entwurfs). Diese sind nicht Gegenstand dieses Beitrags.

Empfehlungen für Unternehmen

Bis zur Verabschiedung des Digital Omnibus bleibt es bei den Anforderungen des geltenden Rechts. Für Unternehmen ergeben sich daraus folgende Empfehlungen.

1. Datenpannen sind weiterhin unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde zu melden, sofern ein Risiko für die betroffenen Personen nicht ausgeschlossen ist, und unabhängig von einer Meldung zu dokumentieren.
2. Auskunftsanträge sind vollständig zu beantworten. Eine Ablehnung kommt nur unter den Voraussetzungen des Art. 12 Abs. 5 DSGVO in seiner geltenden Fassung in Betracht.
3. Die Datenschutzhinweise sollten unverändert bleiben, da die geplanten Ausnahmen von den Informationspflichten noch keine Anwendung finden.
4. Cookie-Banner sind weiterhin an § 25 TDDDG auszurichten. Für Tracking und Werbung ist eine Einwilligung einzuholen.
5. Interne Abläufe sollten erst angepasst werden, wenn der endgültige Text verabschiedet ist und sein Geltungsbeginn feststeht. Bis dahin empfiehlt es sich, das Gesetzgebungsverfahren zu verfolgen.