Digital Omnibus: EU-Staaten wollen KI-Training mit Personendaten erleichtern

Die Mitgliedstaaten der Europäischen Union haben sich am 21. Oktober 2026 im Ausschuss der Ständigen Vertreter auf eine gemeinsame Verhandlungsposition zum sogenannten Digital Omnibus geeinigt. Das am 22. Oktober 2026 veröffentlichte Dokument 14756/26 sieht vor, die Datenschutz-Grundverordnung um einen neuen Artikel 88bis zu ergänzen.

Danach sollen Entwicklung und Betrieb von KI-Systemen und KI-Modellen auf Basis personenbezogener Daten künftig auf ein berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f gestützt werden können, ohne dass hierfür eine vorherige Einwilligung der Betroffenen erforderlich ist.

Das Verhandlungsmandat fand breite Zustimmung: 24 der 27 EU-Staaten votierten dafür. Einzig Österreich, Estland und Deutschland leisteten Widerstand gegen den Entwurf.

Umbau der Datenschutzvorgaben für Algorithmen

Die Einigung sieht vor, dass die Entwicklung von KI allein noch kein berechtigtes Interesse begründet. Vielmehr soll stets eine Einzelfallprüfung nach Zweck erfolgen, kombiniert mit einem Abwägungstest und dem regulären Widerspruchsrecht nach Artikel 21 sowie Garantien wie der Datenminimierung bei der Quellenauswahl.

Gleichzeitig strich der Rat die von der EU-Kommission ursprünglich vorgeschlagenen Erwägungsgründe zu einem bedingungslosen Widerspruchsrecht und ersetzte dieses durch die reguläre Abwägung. Zudem wurde der Kinderschutz aus dem verbindlichen Artikeltext in eine unverbindliche Erwägung verschoben, während Anforderungen an Datenminimierung und Transparenz aus dem operativen Teil entfernt wurden.

Weitere Anpassungen betreffen Ausnahmen nach Artikel 9 für residuale sensible Daten in KI-Anwendungen sowie für die 1:1-Biometrieverifikation. Pseudonymisierte Daten sollen für Dritte unter bestimmten Umständen nicht mehr als personenbezogen eingestuft werden, für den Verantwortlichen hingegen weiterhin.

Die neuen EU-Regelungen stellen Unternehmen vor komplexe Herausforderungen bei der Klassifizierung ihrer Systeme. Dieser kostenlose Download verschafft Ihnen den Überblick über Fristen, Pflichten und Risikoklassen, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen

Die Definition personenbezogener Daten in Artikel 4 Absatz 1 bleibt formell unberührt, während die Pseudonymisierung künftig in Artikel 25a geregelt wird. Artikel 88a und 88b entfallen.

Das 179 Seiten umfassende Paket, das die EU-Kommission am 19. November 2025 vorgelegt hatte, ändert neben der Datenschutz-Grundverordnung auch Vorgaben für Cookies und Sicherheitsmeldungen.

Cookies verbleiben in der ePrivacy-Richtlinie, erhalten jedoch einwilligungsfreie Ausnahmen für Sicherheitsaspekte, Messungen und pseudonymisierte kontextuelle Werbung. Bei Datenschutzverletzungen greift eine Meldepflicht künftig nur noch bei hohem Risiko, wobei die Frist von 72 auf 96 Stunden verlängert wird.

Scharfe Kritik und Einflussnahme im Vorfeld

Datenschützer übten deutliche Kritik an dem Beschluss. Max Schrems von der Datenschutzorganisation noyb bezeichnete die Position des Rates am 23. Oktober 2026 als digitale Enteignung der Europäer. Er warnte davor, dass Technologiekonzerne nahezu alle in den vergangenen Jahrzehnten gesammelten Daten ohne Einschränkung für KI nutzen könnten, einschließlich Beständen von Nicht-Kunden sowie alten Chat- und Social-Media-Verläufen. Die Organisation erwäge diesbezüglich rechtliche Schritte vor dem Europäischen Gerichtshof.

Parallel dazu beleuchtete ein Bericht von LobbyControl und Corporate Europe Observatory vom 28. Oktober 2026 die intensive Einflussnahme auf das Gesetzesvorhaben.

Wer sich mit der neuen EU-KI-Verordnung befasst, muss die neuen rechtlichen Pflichten und potenziellen Bedrohungen genau kennen. Dieser kostenlose Report klärt auf, welche Anforderungen auf Unternehmer zukommen und wie Sie KI-Systeme rechtssicher einsetzen. Kostenlosen Umsetzungsleitfaden zum EU AI Act anfordern

Demnach gab es im Europäischen Parlament 655 Lobbytreffen, von denen 83 Prozent auf Wirtschaftsvertreter und 11 Prozent auf Zivilgesellschaft und Gewerkschaften entfielen. Google verzeichnete 21 Treffen, Meta 19, während Berichterstatterin Aura Salla 110 Kontakte zu Unternehmen zählte.

In Irland registrierte Meta seit Mai 2025 insgesamt 41 Kontakte zu Entscheidungsträgern, Google 30. In Deutschland gab es unter der Regierung von Bundeskanzler Merz zwischen Mai 2025 und September 2026 insgesamt 85 Termine beziehungsweise 103 Treffen mit elf außereuropäischen Technologieunternehmen, darunter 28 mit Google, 18 mit Microsoft, 16 mit Amazon und 11 mit OpenAI.

Als nächster Schritt stehen die Trilog-Verhandlungen mit dem Europäischen Parlament an, das seine Position noch festlegen muss. Während der Rat einen Abschluss des Pakets bis Ende 2026 anstrebt, wird die parlamentarische Abstimmung Anfang 2027 erwartet. Die eigentlichen Trilog-Gespräche dürften im Frühjahr 2027 unter litauischer Ratspräsidentschaft stattfinden.