DSGVO-Reform: 24 EU-Staaten stimmen für neue Regeln zum KI-Training

Der Ausschuss der Ständigen Vertreter der Mitgliedstaaten (Coreper) im Rat der Europäischen Union hat am 21. Oktober 2026 das Verhandlungsmandat für das Gesetzespaket zum Digital Omnibus gebilligt. Der 179 Seiten umfassende Text wurde am 22. Oktober 2026 als Ratsdokument 14756/26 veröffentlicht.

Die Einigung markiert die Position des Rates für die anstehenden Verhandlungen über gezielte Reformen des EU-Digital- und Datenschutzrechts, insbesondere im Hinblick auf den Einsatz von Daten für Künstliche Intelligenz. Insgesamt sprachen sich 24 der 27 Mitgliedstaaten für das Mandat aus.

Lockerungen für KI-Training und Berechtigtes Interesse

Kernbestandteil der Ratsfassung ist ein neuer Artikel 88bis der Datenschutz-Grundverordnung (DSGVO), der in manchen Entwürfen auch als Artikel 88a geführt wird. Die Vorschrift regelt die Verarbeitung personenbezogener Daten für die Entwicklung und den Betrieb von KI-Systemen und KI-Modellen.

Nach den Plänen der Mitgliedstaaten soll diese Datenverarbeitung künftig grundsätzlich auf das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO gestützt werden können, wodurch eine vorherige ausdrückliche Einwilligung der Betroffenen im Regelfall entfällt.

Behörden sollen sich dem Entwurf zufolge auf Artikel 6 Absatz 1 Buchstabe e DSGVO stützen. Erwägungsgrund 33a stellt klar, dass KI-Entwicklung und -Betrieb allein noch kein berechtigtes Interesse begründen, sondern eine zweckbezogene Einzelfallprüfung zwingend erforderlich bleibt.

Artikel 88bis umfasst drei Absätze, die neben der Rechtsgrundlage und deren Wahl auch technische und organisatorische Maßnahmen sowie das Widerspruchsrecht nach Artikel 21 DSGVO umfassen.

Die rechtssichere Entwicklung und Nutzung von KI-Systemen stellt Unternehmen vor komplexe neue Herausforderungen durch den EU AI Act. Dieser kostenlose Umsetzungsleitfaden bietet Ihnen einen kompakten Überblick über alle Anforderungen, Pflichten und Risikoklassen. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt

Gegenüber dem ursprünglichen Kommissionsvorschlag vom 19. November 2025 – der damals unter Artikel 88c ein bedingungsloses Widerspruchsrecht sowie eine Liste konkreter Schutzmaßnahmen wie Datenminimierung vorsah – strich der Rat das bedingungslose Widerspruchsrecht. Stattdessen soll der reguläre Interessenabwägungstest nach Artikel 21 DSGVO greifen.

Zudem wurden die konkreten Schutzvorgaben durch die Pflicht zu „geeigneten technischen und organisatorischen Maßnahmen“ ersetzt. Der besondere Schutz für Kinderdaten wurde aus den verbindlichen operativen Vorgaben entfernt und in einen unverbindlichen Erwägungsgrund überführt.

Für besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO sieht der Rat eine Ausnahme vor, wenn diese lediglich unbeabsichtigt und beiläufig in die Trainingsdaten gelangen. In solchen Fällen greift das Gebot, die Daten zu vermeiden, zu löschen und technisch zu schützen.

Die Ausnahme gilt jedoch ausdrücklich nicht für direkt eingegebene Informationen, etwa in Chatbots, oder die gezielte Nutzung von Stimme und Bild. Auch kommerzielle Forschung soll unter bestimmten Voraussetzungen möglich sein, sofern sie autonom, unabhängig und mit verifizierbaren sowie transparenten Ergebnissen betrieben wird.

Pseudonymisierung, Meldepflichten und Online-Dienste

Bei der Definition personenbezogener Daten lehnten die Mitgliedstaaten eine von der Kommission vorgeschlagene Änderung von Artikel 4 Absatz 1 ab und behielten die bestehende Definition bei. Gleichzeitig führten sie mit Artikel 25a eine Neuregelung zur Pseudonymisierung ein: Demnach gelten pseudonymisierte Daten für Dritte, die über keinerlei Mittel zur Identifizierung verfügen, nicht als personenbezogene Daten.

Auch bei den Meldepflichten für Datenpannen plant der Rat deutliche Erleichterungen. Die Frist zur Meldung soll von 72 auf 96 Stunden verlängert werden. Zudem wird eine Meldung nur noch dann vorgeschrieben, wenn voraussichtlich ein hohes Risiko für die Betroffenen besteht.

Während die Politik über neue Rahmenbedingungen berät, bleiben bestehende Dokumentationspflichten wie die Datenschutz-Folgenabschätzung für viele KI-Projekte zwingend erforderlich. Sichern Sie sich eine rechtssichere Muster-Vorlage und bewährte Checklisten, um Bußgelder wirksam zu vermeiden. Rechtssichere Datenschutzfolgenabschätzung in wenigen Schritten erstellen

Die Einreichung soll über nationale Stellen nach dem neuen Artikel 23b der NIS2-Richtlinie erfolgen. Eine zentrale Anlaufstelle bei der europäischen Cybersicherheitsagentur ENISA lehnte der Rat ab; stattdessen soll diese lediglich als Informationsstelle dienen, während die Meldungen über nationale Portale laufen.

Im Bereich der Online-Dienste strich der Rat die vorgeschlagenen Cookie-Artikel 88a und 88b aus der DSGVO; die ePrivacy-Richtlinie bleibt weiterhin zuständig. Für bestimmte Bereiche wie Reichweitenmessung, Gerätesicherheit und kontextuelle Werbung bei pseudonymisierten Daten sollen jedoch zusätzliche einwilligungsfreie Tatbestände geschaffen werden.

Reaktionen aus Politik, Verbänden und Zivilgesellschaft

Thomas Byrne, der für den irischen Ratsvorsitz sprach, erklärte, die Maßnahmen senkten Compliance-Kosten und stärkten die Wettbewerbsfähigkeit sowie die Innovationskraft in Europa.

Kritik äußerte der EDPS Wojciech Wiewiórowski, der warnte, dass Änderungen am Begriff der personenbezogenen Daten diesen deutlich einengen würden. Die Datenschutzorganisation noyb um Max Schrems kritisierte das Mandat scharf und sprach von einer digitalen Enteignung der europäischen Bürger zugunsten von KI-Unternehmen. Der bloße Verweis auf die bestehenden Artikel 21 und 24 DSGVO biete aus Sicht von Kritikern keine zusätzlichen Schutzmaßnahmen.

Aus der Wirtschaft kamen geteilte Signale. Dirk Freytag vom Bundesverband Digitale Wirtschaft (BVDW) begrüßte den Wegfall des Entwurfs für automatisierte Einwilligungssignale und die Klarstellungen für KI-Systeme, beanstandete jedoch Vorgaben zur Single-Klick-Ablehnung sowie eine viermonatige Wartefrist vor erneuten Einwilligungsabfragen.

Zahlen der zivilgesellschaftlichen Organisationen Corporate Europe Observatory und LobbyControl verdeutlichen den intensiven Einfluss der Wirtschaft: Seit Vorlage des Kommissionsentwurfs zählten sie 655 Lobbytreffen zum Digital Omnibus im Europäischen Parlament, davon 83 Prozent mit Wirtschaftsvertretern. Auf Google entfielen 21 und auf Meta 19 Treffen mit Abgeordneten; in Irland verzeichneten Meta 41 und Google 30 Abgeordnetenkontakte seit Mai 2025.

Weiteres Verfahren auf EU-Ebene

Bei der Position des Rates handelt es sich noch nicht um geltendes Recht. Das Europäische Parlament muss zunächst seine eigene Verhandlungsposition verabschieden, bevor Rat, Parlament und Kommission in die Trilog-Verhandlungen eintreten können. Zum verwandten Berichtsentwurf lagen im August 2026 bereits rund 1.840 Änderungsanträge vor.

Der Rat strebt an, alle Omnibus-Pakete bis Ende 2027 abzuschließen. Bis zur Verabschiedung eines finalen Rechtstextes bleibt die bisherige Rechtslage verbindlich, sodass betriebliche Sicherheitsteams weiterhin den etablierten Test zum berechtigten Interesse anwenden müssen.