Worum geht's?

Der Digital Omnibus soll das europäische Digitalrecht vereinfachen. Die EU-Kommission will dafür mehrere Regelwerke zu Daten, Cybersicherheit, KI und Datenschutz besser aufeinander abstimmen. Für Unternehmen bedeutet das weniger Doppelaufwand, aber zugleich neue Fragen bei der praktischen Umsetzung. Noch handelt es sich um ein Gesetzgebungsvorhaben, das die Europäische Kommission eingereicht hat. Unternehmen sollten die Entwicklung dennoch weiterhin mit höchster Aufmerksamkeit verfolgen. Und genau aus diesem Grund, werfen wir in diesem Beitrag einen genaueren Blick auf die wichtigsten Punkte.

1. Was ist der Digital Omnibus?

Bei der Digital Omnibus Verordnung handelt es sich um ein komplettes Gesetzespaket der EU, das bestehende Vorschriften rund um Datenschutz, KI und Cybersicherheit harmonisieren soll. Das gesamte Paket besteht aus mehreren Regelungsbereichen.

Der sogenannte Daten-Omnibus betrifft unter anderem die DSGVO, den Data Act, den Data Governance Act, die ePrivacy-Richtlinie und weist einzelne Bezüge zur NIS-2-Richtlinie auf. Daneben gibt es den KI-Omnibus, der vor allem beim AI Act ansetzt und bestimmte Fristen sowie Anwendungsvorgaben flexibler gestalten soll.

Die EU plant mit dem Digital Omnibus,

die Vielzahl an Regelungen verständlicher zu machen,
Verfahren zu vereinfachen,
Doppelstrukturen zu bereinigen und
Gesetze wie die DSGVO zu straffen.

Nachfolgend geht es vor allem um den Daten-Omnibus. Geplant sind unter anderem eine neue Definition personenbezogener Daten, die Anpassungen im Rahmen der Informations- und Auskunftspflichten, Erleichterungen bei Datenschutz-Folgenabschätzungen, längere Fristen bei Datenschutzverletzungen und neue Regeln für den Einsatz von KI-Systemen. Besonders relevant ist dabei die Frage, ob Unternehmen künftig mehr Spielraum erhalten.

BEDENKEN SIE

Verbindlich gelten die Änderungen derzeit noch nicht. Der Daten-Omnibus befindet sich noch im Gesetzgebungsverfahren zwischen EU-Parlament und Rat. Unternehmen sollten die Entwicklung aber jetzt schon aufmerksam verfolgen, ihre bestehenden DSGVO-Prozesse aber weiter nach geltendem Recht ausrichten.

2. Ist der Digital Omnibus schon in Kraft?

Aktuell gilt: Nein, der Digital Omnibus ist noch ein Gesetzgebungsvorschlag der EU-Kommission und wurde bislang in keine geltenden Rechtsvorschriften überführt. Die bestehenden Regelungen der DSGVO, der KI Verordnung und aller Richtlinien bleiben daher weiterhin unverändert anwendbar.

Der Entwurf wurde Ende 2025 vorgestellt und befindet sich seitdem als politische Initiative rund um die Digitalisierung auf EU-Ebene. Erste Stellungnahmen von Behörden und Institutionen zur Richtung, Anwendung, Regulierung und Stärkung liegen bereits vor, konkrete Änderungen sind aber noch nicht beschlossen.

Aktueller Stand und wichtige Termine im Überblick:

November 2025: Veröffentlichung des Vorschlags für den Digital Omnibus durch die EU-Kommission
Februar 2026: EDSA und EDSB verabschieden ihre gemeinsame Stellungnahme zum Vorschlag.
Juni 2026: Im Europäischen Parlament wird der Entwurf des Ausschussberichts vorgelegt.
Juli 2026: Die Abgeordneten reichen Änderungsanträge zum Berichtsentwurf ein.

3. Die wichtigste Änderung: Neue Definition personenbezogener Daten

Die wohl wesentlichste Änderung, die der Digital Omnibus im Zusammenhang mit der DSGVO mitbringen soll, betrifft den Begriff der personenbezogenen Daten.

WUSSTEN SIE'S SCHON?

Zunächst aber die Frage: Was sind personenbezogene Daten? Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierbare und lebende natürliche Person beziehen. Dazu gehören jedwede Daten, die direkt oder indirekt einer Person zugeordnet werden oder zugeordnet werden können, etwa Name, Adresse, IP‑Adresse, Telefonnummer oder Kundennummer. Eine Definition der personenbezogenen Daten findet sich in Art. 4 Nr. 1 DSGVO.

Geplant ist ein sogenannter „subjektiver Ansatz“. Danach sollen Daten nur noch dann als personenbezogen gelten, wenn ein Unternehmen tatsächlich in der Lage ist, eine Person zu identifizieren.

Was würde das genau bedeuten? Unternehmen könnten ab Inkrafttreten argumentieren, dass ihnen die Mittel zur Identifizierung fehlen und bestimmte Daten deshalb gar nicht unter den Datenschutz fallen. Gleichzeitig entsteht ein neues Problem: Behörden und Gerichte müssten im Einzelfall prüfen, ob eine Identifizierung bei Datennutzung realistisch möglich ist.

Interessant ist, dass einige Datenschutzinstitutionen eine neue Definition personenbezogener Daten als sehr kritisch ansehen. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte begrüßen zwar grundsätzlich, dass der Digital-Omnibus Verfahren vereinfacht und die Hürden der Bürokratie abbauen soll.

Bei der geplanten neuen Begriffsbestimmung warnen sie jedoch vor einer deutlichen Schwächung des Datenschutzes. Aus ihrer Sicht könnte der Vorschlag den Schutz von Einzelpersonen einschränken und über die bisherige Rechtsprechung des EuGH hinausgehen. Andere Punkte wie die längeren Meldefristen bewerten die Datenschutzgremien weniger kritisch.

INTERESSANT

Besonders betroffen wären Bereiche wie Online-Tracking, Werbenetzwerke oder datenbasierte Geschäftsmodelle. Dort arbeiten viele Systeme mit IDs oder pseudonymisierten Daten. Unter dem Digital Omnibus könnten solche Daten außerhalb des Schutzbereichs der DSGVO liegen. Das würde wiederum den Umgang mit Cookies, Tracking-Tools und Nutzeranalysen aber auch dem KI Training nachhaltig verändern.

4. Sensible Daten nach Art. 9 DSGVO: Was soll sich ändern?

Art. 9 DSGVO regelt den Umgang mit besonders sensiblen personenbezogenen Daten. Dazu gehören Angaben

zur Gesundheit,
zur politischen Meinung,
zur religiösen Überzeugung oder
zur sexuellen Orientierung.

All diese Daten genießen im Zuge der Datenschutzgrundverordnung einen besonders hohen Schutz, da ihr Missbrauch gravierende Folgen für Betroffene haben kann. Grundsätzlich ist die Datenverarbeitung verboten, es sei denn, eine der engen Ausnahmen aus Art. 9 Abs. 2 DSGVO greift.

In einem ersten Entwurf wurde die Beschränkung des Schutzbereichs von Artikel 9 DSGVO überlegt. Stattdessen sind nun zwei spezifische Ausnahmetatbestände zur KI-Entwicklung und zum KI-Training sowie zur biometrischen Verifizierung unter Nutzerkontrolle geplant.

KOMMT DAS ENDE DER COOKIE-BANNER?

Ganz so weit geht der aktuelle Vorschlag nicht. Der Entwurf zielt vielmehr darauf ab, den Umgang mit Cookies zu vereinfachen, die Nutzererfahrung zu verbessern und weiterhin Rechtssicherheit zu gewährleisten.

Konkret spricht die EU davon, die bestehenden Regelungen für Verbraucher zu modernisieren und die sogenannte „Consent Fatigue“, zu Deutsch „Einwilligungsmüdigkeit“, zu reduzieren. Gemeint ist die Tatsache, dass Nutzer auf nahezu jeder Seite Cookie-Banner wegklicken müssen und dadurch die Einwilligung in den Rechtsakt ungeprüft geben, um schnell zum Inhalt rund um Newsletter und Co. zu gelangen.

Geplant sind unter anderem einfachere Auswahlmöglichkeiten ohne Aufwand, etwa standardisierte Einwilligungen oder technische Lösungen, mit denen User ihre Präferenzen zentral festlegen können.

Ein vollständiges Ende der Einwilligungsverfahren bei Tracking-Cookies ist nach aktuellem Stand jedoch nicht vorgesehen. Damit besteht auch weiterhin das Risiko einer Abmahnung ohne Cookie-Consent-Banner.

5. Datenpannen: Weniger Meldepflichten für Unternehmen?

Schnell ist es passiert: In einem Unternehmen sendet eine Mitarbeiterin versehentlich eine E‑Mail mit einem Vertragsdokument an den falschen Empfänger, da sie die Autovervollständigung der Adresse nicht überprüft.

Das Dokument enthält Name, Anschrift, Geburtsdatum, Kundennummer und Bankverbindung des Kunden, sodass eine unbefugte Person Zugriff auf personenbezogene Daten erhält. Da diese Offenlegung ohne Rechtsgrundlage erfolgt und ein Risiko von Missbrauch besteht, gilt der Vorfall in der Regel als meldepflichtiger Datenschutzvorfall.

Auch bei solchen Datenpannen soll der Digital Omnibus Unternehmen entlasten und Rechtsunsicherheit beseitigen. Geplant ist mit dem Gesetzgebungsverfahren vor allem eine Anpassung der Meldepflichten. Aktuell müssen Datenschutzverletzungen gemeldet werden, sobald ein Risiko für Betroffene besteht. Künftig soll diese Schwelle höher gestuft sein. Eine Meldung an die Aufsichtsbehörde wäre dann nur noch erforderlich, wenn ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen vorliegt.

Zusätzlich soll sich die Frist für die Meldung verlängern. Statt wie bisher 72 Stunden hätten Unternehmen künftig bis zu 96 Stunden Zeit, um über eine Datenschutzpanne zu informieren. Damit würde die Meldepflicht stärker an die Anforderungen zur Information der Betroffenen angeglichen.

6. Wie sieht es mit KI und Datenschutz im Digital Omnibus aus?

Die KI‑Verordnung (EU AI Act) ist ein EU-Gesetz zur risikobasierten Regulierung künstlicher Intelligenz. Es soll Sicherheit, Grundrechte und Transparenz schützen und zugleich Innovation sowie Effizienz gewährleisten. Die Verordnung ist seit dem 1. August 2024 in Kraft und wird schrittweise ausgerollt.

ABER ACHTUNG

Während die DSGVO personenbezogene Daten und die Rechte betroffener Personen schützt, regelt die KI-Verordnung den sicheren und transparenten Einsatz von KI-Systemen. Das Regelwerk zur KI ergänzt den Datenschutz und beide greifen deshalb oft ineinander, haben aber dennoch eigene Schutzziele.

Zur Erklärung: Die KI-Verordnung gilt, wenn KI-Systeme oder KI-Modelle in der EU eingesetzt oder auf den Markt gebracht werden. Das kann auch dann der Fall sein, wenn dabei keine personenbezogenen Daten verarbeitet werden. Die DSGVO greift dagegen immer dann, wenn personenbezogene Daten verarbeitet werden. Ob dabei KI verwendet wird oder eine klassische Software, ist für die Anwendbarkeit der DSGVO zunächst unerheblich.

In der Praxis können daher beide Regelwerke parallel gelten. Nutzt ein Unternehmen ein KI-System mit personenbezogenen Daten, muss es sowohl die Vorgaben der DSGVO als auch die Anforderungen der KI-Verordnung beachten. Die DSGVO schützt die Daten und die betroffenen Personen. Die KI-Verordnung soll sicherstellen, dass das KI-System sicher, transparent und risikogerecht eingesetzt wird.

Eine KI-Anwendung kann deshalb datenschutzrechtlich korrekt aufgesetzt sein und trotzdem gegen Vorgaben der KI-Verordnung verstoßen. Umgekehrt kann ein KI-System die KI-Verordnung erfüllen, aber datenschutzrechtlich problematisch sein, wenn personenbezogene Daten ohne passende Rechtsgrundlage verarbeitet werden.

Sören SiebertRechtsanwalt

7. Was ist rund um das Zusammenspiel von DSGVO und KI geplant?

Die geplanten Änderungen sollen es Unternehmen erleichtern, personenbezogene Daten für die Entwicklung und den Betrieb von KI-Systemen zu nutzen. Der Entwurf sieht vor, dass die Verarbeitung personenbezogener Daten zum Betrieb und zur Entwicklung von KI‑Systemen künftig explizit auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) gestützt werden kann, sofern die üblichen Prüfungen wie die Interessen‑Abwägung, die Datenminimierung und auch die Transparenz erfüllt sind. Dadurch könnte die Nutzung vorhandener Datenbestände für Trainings‑ und Test‑Zwecke erleichtert werden.

Zudem werden neue Ausnahmeregelungen für Art. 9 DSGVO vorgeschlagen, die die Verarbeitung besonderer Kategorien personenbezogener Daten im Zusammenhang mit KI‑Entwicklung und ‑Betrieb erlauben, wenn sie „zufällig“ oder „residuell“ im Datenbestand enthalten sind und geeignete Schutzmaßnahmen garantiert werden.

Die Datenschutzkonferenz fordert allerdings auch, dass die DSGVO bei KI-Verarbeitungen transparenter wird. Verantwortliche sollen Betroffene klarer darüber informieren, wenn ihre Daten in KI-Systemen verarbeitet werden. Das betrifft vor allem die Informationspflichten nach Art. 13 und 14 DSGVO sowie das Auskunftsrecht nach Art. 15 DSGVO.

Im Zusammenhang mit dem Digital-Omnibus wird deshalb diskutiert, diese Lücke zu schließen. Unternehmen könnten künftig ausdrücklich angeben müssen, ob und wie personenbezogene Daten in KI-Systemen genutzt werden. Für Betroffene würde das mehr Klarheit schaffen. Für Unternehmen bedeutet es zugleich, dass sie KI-Prozesse umfassend dokumentieren und verständlich erklären müssen.

Geplant ist außerdem ein weitreichendes Widerspruchsrecht für Betroffene. Personen sollen der Verarbeitung ihrer personenbezogenen Daten für KI-Zwecke jederzeit widersprechen können. In der Praxis dürfte die Umsetzung allerdings schwierig werden. Gerade bei großen KI-Systemen und stark verdichteten Datensätzen lässt sich oft kaum noch nachvollziehen, welche konkreten Daten welcher Person zugeordnet werden können.

8. Fazit: Weniger Bürokratie – aber mehr Unsicherheit?

Der Digital Omnibus rund um die DSGVO zeigt, wohin die Reise geht. Prozesse sollen schlanker werden, Hürden sinken und datengetriebene Geschäftsmodelle mehr Spielraum bekommen. Gerade bei Themen wie Meldepflichten, Informationspflichten oder KI eröffnet der Entwurf neue Möglichkeiten für Unternehmen.

Gleichzeitig werfen die Lockerungen neue Fragen auf. Viele Regelungen arbeiten künftig stärker mit unbestimmten Begriffen wie einer faktischen Identifizierbarkeit. Das schafft auf der einen Seite Interpretationsfreiheit, aber auf der anderen Seite auch Unsicherheit in der praktischen Umsetzung.

Immer bestens informiert

Der eRecht24 Newsletter

Bleiben Sie mit unseren regelmäßigen und kostenlosen Updates zum Internetrecht auf dem neuesten Stand. Infos, Urteile, Checklisten & Sonderangebote.

Sie können den Newsletter jederzeit kostenlos abbestellen. Details entnehmen Sie unserer Datenschutzerklärung.

Vielen Dank für Ihr Interesse!

Wir nehmen es mit dem Schutz Ihrer Daten genau und halten uns an die rechtlichen Vorgaben des Double-Opt-In. Bitte schauen Sie nun in Ihr E-Mail-Postfach und bestätigen Sie Ihre E-Mail-Adresse! Schauen Sie auch im Spam-Ordner nach.

Tipp: In unseren Premium Paketen erhalten Sie Experten-News und Knowhow zum Thema Datenschutz und rechtssichere Website. Hier erhalten Sie Zugang zu Live-Webinaren und Praxis Guides zu aktuellen Themen von und mit unseren Rechtsanwälten.

9. FAQ: Digital Omnibus

Ist der Digital Omnibus schon in Kraft?

Der Digital Omnibus befindet sich aktuell noch im Entwurfsstadium. Erste Inhalte sind bekannt geworden, eine finale Fassung wurde jedoch noch nicht verabschiedet. Unternehmen sollten die diskutierten Änderungen im Blick behalten, aber ihre bestehenden Prozesse weiterhin an der aktuell geltenden DSGVO ausrichten.

Was ändert sich durch den Digital Omnibus konkret für meine Webseite?

Für Webseitenbetreiber zeichnet sich eine spürbare Vereinfachung in mehreren Bereichen ab. Besonders relevant sind mögliche Anpassungen bei der Definition personenbezogener Daten, bei den Informationspflichten und im Umgang mit Tracking-Technologien. Datenschutzerklärungen könnten in bestimmten Fällen schlanker werden, während gleichzeitig mehr Eigenverantwortung bei der rechtlichen Bewertung entsteht. Auch beim Einsatz von KI und datengetriebenen Tools ergeben sich aller Voraussicht nach neue Spielräume.

Werden Cookies und Tracking durch den Digital Omnibus einfacher?

Der Entwurf zielt darauf ab, den Umgang mit Cookies nutzerfreundlicher zu gestalten. Hintergrund ist die hohe Anzahl an Einwilligungsabfragen, die viele Nutzer in ihrem Browser als störend empfinden. Künftig könnten standardisierte Lösungen oder vereinfachte Einwilligungsprozesse stärker in den Fokus rücken. Für Webseitenbetreiber kann das zu weniger komplexen Cookie-Bannern führen. Gleichzeitig bleibt das Ziel bestehen, Nutzern Transparenz und Kontrolle über ihre Daten zu geben.

Wird die DSGVO durch den Digital Omnibus abgeschwächt?

Der Digital Omnibus verändert die DSGVO in einigen zentralen Punkten und verschiebt die Balance zwischen Datenschutz und wirtschaftlicher Nutzung von Daten. In bestimmten Bereichen, etwa bei der Definition personenbezogener Daten oder bei Meldepflichten, deutet sich eine Lockerung an. Gleichzeitig bleibt der grundsätzliche Schutzgedanke, ob analog oder im Umfeld “Cyber” bestehen. Der EDSA sieht einige der Änderung wie die neue Begriffserklärung der personenbezogenen Daten sehr kritisch, da sie den Schutzbereich der DSGVO spürbar einschränken könnte.

Anders bewertet der EDSA die geplanten Anpassungen bei Datenschutzverletzungen. Die Erhöhung der Risikoschwelle und die längere Meldefrist werden eher positiv gesehen. Sie schaffen eine wirkliche Entlastung für Unternehmen und können unnötige Meldungen reduzieren.

Muss ich meine Datenschutzerklärung jetzt ändern?

Aktuell besteht kein Anpassungsbedarf, da der Digital Omnibus für die DSGVO noch nicht in Kraft ist. Es empfiehlt sich jedoch, die Entwicklung aufmerksam zu verfolgen. Sobald die finalen Regelungen feststehen, kann eine Überarbeitung sinnvoll sein, insbesondere wenn sich Informationspflichten oder der Einsatz von Tracking-Tools ändern. Wir von eRecht24 informieren Sie über alle weiteren Entwicklungen und halten Sie auf dem Laufenden, wenn Sie Ihre Rechtstexte anpassen müssen.