DSGVO-Update im Digital-Omnibus: Droht die Vereinfachungswelle?

Das Omnibusverfahren ein zentrales Instrument für den Einsatz des Datenschutz

Die Europäische Kommission hat sich zum Ziel gesetzt, die Datenschutzvorschriften effizienter und zukunftssicherer zu gestalten. Der geplante Digital-Omnibus soll hierfür das zentrale Instrument sein. Anfang 2026 sind im Rahmen dieses Omnibus-Verfahrens bereits weitere digitale Gesetzesinitiativen (z.B. ein Digital Networks Act und die Überarbeitung des Cybersecurity Act) angekündigt. Diese geballte Gesetzgebungsinitiative zeigt den Willen, Europas digitale Souveränität und Wettbewerbsfähigkeit durch eine Modernisierung der Vorschriften zu stärken.

Bundesregierung drängt auf DSGVO-Vereinfachung

Die Bundesregierung hat kürzlich in einem Positionspapier zum „Digital-Omnibus” ihre Forderungen für eine praxisnähere DSGVO bekräftigt. Sie begrüßt zwar die Reformvorschläge der EU-Kommission (Omnibus IV-Paket vom Mai 2025), hält diese jedoch für unzureichend. Stattdessen skizziert sie ein zweistufiges Vorgehen: Zunächst sollen über den Digital-Omnibus kurzfristig gezielte Entlastungen umgesetzt werden, gefolgt von grundsätzlicheren Reformen im kommenden „Digital-Fitness-Check. Ziel ist es, Bürokratie abzubauen, ohne das hohe Datenschutzniveau aus den Augen zu verlieren.

Stufe 1 – Gezielte DSGVO-Änderungen im Digital-Omnibus

Im ersten Schritt schlägt die Bundesregierung eine Reihe konkreter Änderungen vor, um Unternehmen (insbesondere KMU) schnell zu entlasten:

• Digitale Informationspflichten: Datenschutzhinweise sollen Betroffenen künftig per URL oder QR-Code zugänglich gemacht werden dürfen, anstatt jedes Mal seitenlange Papiererklärungen auszuhändigen. So ließen sich überfrachtete Informationsschreiben entschlacken und nahtlos in digitale Prozesse integrieren – Datenschutz mit einem Klick, sozusagen.

• Auskunftsrecht bei Missbrauch: Unternehmen sollen offensichtlich unbegründete oder exzessive Auskunftsersuchen ablehnen dürfen. Damit können sie sich gegen Spam-Aktionen oder automatisierte Massenanfragen wehren, ohne berechtigte Anliegen zu ignorieren. Redliche Anfragen würden natürlich weiterhin bedient – die Neuregelung filtert nur diejenigen heraus, die das System vorsätzlich überlasten wollen.

• Meldepflicht bei Datenpannen: Die strikte 72-Stunden-Frist für Datenschutzverletzungen (Art. 33 DSGVO) soll auf drei Arbeitstage verlängert werden. Hintergrund: Fällt eine Panne etwa auf einen Freitag, müssten Unternehmen nicht mehr zwingend bis Montag melden. Sie gewännen etwas mehr Zeit für eine fundierte Ersteinschätzung, ohne in Verzug zu geraten. Die Bundesregierung betont, dass so Wochenenden und Feiertage einberechnet werden können.

Diese und weitere Vorschläge (z.B. Klarstellung beim Verhältnis von Einwilligung zu anderen Rechtsgrundlagen) sollen möglichst rasch via Digital-Omnibus umgesetzt werden, um „spürbare Entlastungen für KMUs und andere Organisationen” zu erreichen.

Stufe 2 – Strategische Reformansätze im Digital-Fitness-Check

Nach den kurzfristigen Anpassungen drängt Berlin auf einen umfassenderen „Fitness-Check” der DSGVO ab 2026. Im Zentrum stehen dabei strategische Weichenstellungen:

• Stärkung des risikobasierten Ansatzes: Datenschutz-Anforderungen sollen stärker nach tatsächlichem Risiko bemessen werden. Konkret regt die Regierung an, geringfügige oder nicht-kommerzielle Verarbeitungen von bestimmten Pflichten auszunehmen und insgesamt mehr Verhältnismäßigkeit zu verankern. So würden insbesondere kleine Unternehmen entlastet, ohne das Schutzniveau grundlegend zu gefährden.

• Klare Definition von „anonymen” Daten: Geplant ist eine rechtliche Klarstellung zur Anonymisierung. Pseudonymisierte Daten könnten unter bestimmten Bedingungen als „praktisch anonym” gelten, wenn der empfangende Verarbeiter keine Mittel zur Re-Identifizierung hat. Damit greift die Bundesregierung ein aktuelles EuGH-Konzept auf: Der Europäische Gerichtshof bestätigte erstmals in der Rechtssache EDPS v. SRB (C‑413/23 P), dass hinreichend stark pseudonymisierte Daten für den ursprünglichen Verantwortlichen personenbezogen bleiben, für einen Empfänger ohne Re-Identifizierungs-Möglichkeit jedoch kein Personenbezug besteht. Anonymisierte Daten fielen dann klar außerhalb der DSGVO, selbst wenn rein theoretisch eine Zusammenführung mit Zusatzwissen denkbar wäre. Diese relative Anonymität würde dringend benötigte Rechtssicherheit schaffen – und Investitionen in Privacy-Tech (z.B. Pseudonymisierungstools) fördern, da Unternehmen wüssten, wann Datenverarbeitung nicht mehr dem strengen DSGVO-Regime unterliegt.

• Privacy by Design – Hersteller in die Pflicht nehmen: Analog zu KI-Regulierung und Cyber Resilience Act schlägt die Bundesregierung vor, Software-Hersteller und -Anbieter stärker zur Verantwortung zu ziehen. Produkte und Dienste sollen datenschutzkonform ab Werk gestaltet sein. Nicht nur die datenverarbeitenden Firmen, auch die Anbieter der genutzten Plattformen müssten somit Datenschutz gewährleisten. Konkret steht eine Haftungserklärung der Hersteller im Raum, die Datenschutzverstöße durch ihre Produkte mit umfasst. Zudem soll die Verzahnung von Datenschutz und IT-Sicherheit verbessert werden – z.B. durch ein zentrales Meldesystem für Sicherheitsvorfälle, das mit dem Cybersecurity-Meldeportal (ENISA) kompatibel ist. Die Vision: Unternehmen könnten künftig Datenschutzverletzungen, Cyberangriffe und andere Incidents über einen einheitlichen „Single Entry Point” melden, der die Meldung dann an alle zuständigen Stellen verteilt. Doppelmeldungen und redundante Prüfungen würden so entfallen.

Praktische Auswirkungen für Unternehmen

Die vorgeschlagenen Änderungen zielen klar auf Entbürokratisierung und mehr Praxistauglichkeit der DSGVO ab. Sollten sie umgesetzt werden, dürften Datenschutz- und Compliance-Verantwortliche einige spürbare Erleichterungen erleben:

• Mehr Puffer bei Datenpannen: Die Verlängerung der Meldefrist auf drei Arbeitstage verschafft Unternehmen dringend benötigte Zeit, um Vorfälle sorgfältiger zu prüfen. Bislang musste oft übereilt gemeldet werden, selbst wenn viele Details noch unklar waren. Mit etwas mehr Luft lassen sich Datenlecks erst analysieren und dann melden – ohne gleich einen Verstoß zu riskieren.

• Digitale Info-Happen statt Papierflut: Die Möglichkeit, Betroffene per Link oder QR-Code auf aktuelle Datenschutzhinweise zu verweisen, wäre ein großer Schritt Richtung Digitaltauglichkeit. Unternehmen könnten ihre Datenschutzinformationen zentral online pflegen, statt bei jedem Formular seitenweise Text beizulegen. Für Nutzer wird der Prozess transparenter und moderner – Datenschutzerklärung abrufbar on demand, wann immer benötigt.

• Auskunfts-Workflows entlasten: Klare Regeln gegen missbräuchliche Auskunftsverlangen würden Rechtssicherheit schaffen. Unternehmen hätten einen legitimen Weg, sich gegen offensichtlich zweckfremde Massenanfragen zu wehren, anstatt jedes Ersuchen zeitaufwändig zu bearbeiten. Ernsthafte Anfragen Betroffener werden natürlich weiterhin beantwortet – nur „Trittbrettfahrer”, die das System ausreizen, blieben außen vor. Das dürfte Datenschutz-Teams deutlich entlasten und Ressourcen für die wirklich wichtigen Fälle freispielen.

Vorsicht: Bei aller berechtigten Vereinfachung darf die Rechenschaftspflicht (Accountability) nicht unter die Räder kommen. Viele interne Dokumentationen und Nachweise sind nicht bloße Bürokratie, sondern essenziell, um die DSGVO-Compliance zu belegen. Beispielsweise dienen ausführliche Verfahrensbeschreibungen und technische-organisatorische Maßnahme-Dokumentationen intern als Beweis dafür, wie der Datenschutz praktisch umgesetzt wird. Werden solche Nachweise im Eifer des Bürokratieabbaus zu sehr ausgedünnt, verliert das Unternehmen im Ernstfall wichtige Verteidigungsmittel. Bei einer Prüfung durch die Aufsicht oder einem Datenschutzvorfall stünde man schlimmstenfalls ohne schriftliche Belege da, um die Rechtmäßigkeit der Datenverarbeitung ad hoc nachzuweisen. Die Reformbemühungen müssen hier einen Balanceakt schaffen: Vereinfachung ja – aber ohne das Gedächtnis der Compliance zu verlieren. Weniger Papierkrieg darf nicht zu blinden Flecken bei der Nachweispflicht führen, sonst wird es am Ende teurer als die ursprüngliche Bürokratie.

Kontroverse: Wirtschaft begrüßt Entlastung, Datenschützer schlagen Alarm

In der Datenschutz-Community werden die Vorstöße ambivalent aufgenommen. Auf der einen Seite loben viele Unternehmen und Verbände die praxisnahen Korrekturen. Die DSGVO sei bislang oft ein „Einheitsanzug“ für alle gewesen – nun bestehe die Chance, die Regeln passgenauer und risikogerechter zu machen. Die breite Beteiligung an der EU-Konsultation hat gezeigt, dass Industrie und Mitgliedstaaten bereit sind, Überschneidungen abzubauen und den Datenschutz effizienter zu gestalten. Kurzum: Weniger Bürokratie, ohne den Datenschutzwert an sich infrage zu stellen, ist das erklärte Ziel vieler Praktiker.

Andererseits melden sich Bürgerrechtler und Datenschützer mit deutlicher Kritik. Sie warnen davor, bei der Vereinfachung die Grundrechte zu verwässern. So kritisiert etwa der Dachverband European Digital Rights (EDRi) Pläne, die ePrivacy-Richtlinie (Cookie-Regeln) in die DSGVO zu überführen und dort neue Ausnahmen zuzulassen. Nutzer könnten dadurch an Kontrolle über Tracking und Gerätezugriffe verlieren. Besonders heftig fällt die Reaktion der NGO noyb von Max Schrems aus: Die Vielzahl der Änderungen am Datenschutzrecht käme einem „Tod durch tausend Einschnitte“ gleich, so noyb, Max Schrems. Man fürchtet einen schleichenden Substanzverlust der DSGVO zehn Jahre nach ihrem Inkrafttreten.

Konkret steht in der Kritik, dass z.B. das Training von KI-Modellen mit personenbezogenen Daten künftig auf die Rechtsgrundlage „berechtigtes Interesse“ gestützt werden dürfte. Was als Bürokratieabbau gedacht ist, würde hier einen echten Paradigmenwechsel einläuten – bislang braucht es in solchen Fällen meist die ausdrückliche Einwilligung der Betroffenen. Datenschützer sehen darin den Ausverkauf bewährter Prinzipien. Sie laufen Sturm gegen jedes Detail, das das Schutzniveau senken könnte, und appellieren an die EU-Kommission, bei aller Modernisierung den Kern der DSGVO unangetastet zu lassen.

Expertenstimmen: Einheitsanzug vs. Maßschneiderei

Die Vorschläge der Bundesregierung spiegeln teilweise die langjährige Kritik aus der Wirtschaft wider. Unternehmensverbände monieren seit Jahren, die DSGVO sei oft ein starrer „Einheitsanzug”, der allen übergestülpt wird – unabhängig vom Risiko der konkreten Datenverarbeitung. Entsprechend groß war die Zustimmung in der öffentlichen Konsultation zum Digital-Omnibus für einen maßgeschneiderteren Ansatz: Weniger Überschneidungen und weniger Bürokratie standen ganz oben auf der Wunschliste der Teilnehmer. Viele Stakeholder fordern, Doppelregelungen abzubauen, Meldepflichten zu harmonisieren und KMU gezielt zu entlasten.