#digitaleromnibus — Public Fediverse posts

5. Hamburger Datenschutzforum:
Sehr sympathisch moderiert und ebenso von der Aufsichtsbehörde herübergebracht.

Informationen zum Stand der Dinge bezüglich Anpassung der DSGVO und weiterer Entwicklungen im Datenschutz und viele interessante Gesichtspunkte zum Thema #digitaleromnibus
Drumherum viele Antworten von Kollegen und der Aufsichtsbehörde.

Ein Klasse(n)-Treffen, das jährlich mit ca. 222 Gästen stattfindet.

#dsgvo #kiverordnung #hmbBfDI #datenschutz #datenschutzbeauftragter

Bundesregierung sägt am Datenschutz

Verhandlungen in Brüssel

Deutschland setzt sich im EU-Rat offenbar dafür ein, dass pseudonymisierte Daten teilweise von der Datenschutzgrundverordnung ausgenommen werden. Zivilgesellschaft und Datenschutzbehörden warnen davor, auch andere Mitgliedstaaten sind dagegen.

Im Ringen um eine Reform der Datenschutzgrundverordnung (DSGVO) unterstützt die deutsche Bundesregierung offenbar den Vorschlag der EU-Kommission für eine weitergehende Aufweichung. Konkret setzt sich Deutschland im Rat der EU-Mitgliedstaaten dafür ein, personenbezogene Daten unter Umständen von der DSGVO auszunehmen. Das berichtet MLex [Paywall] unter Berufung auf einen Kompromissvorschlag der Deutschen.

Der Rat verhandelt derzeit über seine Position zu einem Gesetzespaket, mit dem die EU-Kommission Teile ihrer Digitalregulierung überarbeiten will, um Europas Wettbewerbsfähigkeit zu erhöhen. Das „Digitaler Omnibus“ genannte Sammelgesetz soll unter anderem sich überlappende Datennutzungsgesetze zusammenführen, die Anwendung von KI-Regeln aufschieben und die DSGVO reformieren.

Während die EU-Kommission behauptet, es handle sich dabei lediglich um Vereinfachungen und technische Anpassungen, gehen einzelne Vorschläge faktisch weit darüber hinaus.

Umkämpfte Definition

Besonders umstritten ist der Vorschlag, pseudonymisierte Daten teilweise von der DSGVO auszunehmen. Unter Pseudonymisierung versteht man das Ersetzen direkter Identifikationsmerkmale wie Namen oder Telefonnummern durch ein Pseudonym, etwa eine Buchstaben- oder Zahlenkombination. Bislang gelten unter der DSGVO in der Regel auch pseudonymisierte Daten als personenbezogen. Erst bei einer Anonymisierung fallen Daten aus dem Geltungsbereich der Verordnung, also wenn sie nicht mehr einer Person zuzuordnen sind.

Die Kommission will hier einen sogenannten relativen Personenbezug einführen. Vereinfacht gesagt bedeutet das: Daten sollen für Verarbeiter dann nicht mehr als personenbezogen gelten sollen, wenn es unwahrscheinlich ist, dass sie Personen hinter Pseudonymen re-identifizieren.

Der Europäische Datenschutzausschuss, in dem die nationalen Aufsichtsbehörden organisiert sind, und der Europäische Datenschutzbeauftragte, übten an dem Vorhaben scharfe Kritik. Sie sehen darin eine Schwächung des Schutzniveaus der DSGVO und fürchten Rechtsunsicherheiten.

Von Big Techs Wunschliste

Die Databroker-Files-Recherchen von netzpolitik.org und Bayerischem Rundfunk hatten erst kürzlich erneut gezeigt, dass unter anderem pseudonymisierte Standortdaten aus der Online-Werbung bei Datenhändlern angeboten werden und sich damit sehr leicht Personen re-identifizeren lassen – auch hochrangige Beamte der EU-Kommission. Solche vermeintlich durch Pseudonymisierung geschützten Daten können für Betroffene erhebliche Risiken bedeuten.

In ihrem Vorschlag beruft sich die EU-Kommission auf die jüngste Rechtsprechung des Europäischen Gerichtshofes. Kritiker:innen wie die Berliner Datenschutzbeauftragte Maike Kamp merkten jedoch an, dass dies auf einer selektiven Auslegung der EuGH-Rechtsprechung beruhe. Der Vorschlag der Kommission könne dazu führen, dass etwa Daten aus Online-Tracking nicht mehr der DSGVO unterliegen würden.

Der Datenschutzaktivist Max Schrems und die Organisation noyb warnen zudem davor, dass die Änderung die Arbeit von Aufsichtsbehörden weiter erschweren und kleine sowie mittlere Unternehmen ohne große Rechtsabteilungen überfordern könnte. Eine Aufweichung der Regeln zu pseudonymisierten Daten hatten unter anderem große Tech-Konzerne jahrelang gefordert.

Selbst Bundesregierung warnt vor Rechtsunsicherheiten

Nach ersten Verhandlungen in der Arbeitsgruppe Vereinfachung hatte die zypriotische Ratspräsidentschaft Ende Februar vorgeschlagen, den umstrittenen Passus und weitere Vorschläge der Kommission ganz zu streichen. Statt einer geänderten Definition sollten lieber Richtlinien des Europäischen Datenschutzausschusses klären, wann pseudonymisierte Daten möglicherweise nicht der DSGVO unterliegen.

MLex zufolge unterstützt eine Reihe von Staaten den Vorschlag der Ratspräsidentschaft, darunter Österreich, Belgien, Kroatien, Bulgarien und die Niederlande. Dagegen wendet sich dem Bericht zufolge Deutschland, unterstützt von Dänemark.

Die Bundesregierung, in der Arbeitsgruppe vertreten durch das CDU-geführte Digitalministerium, betone die Notwendigkeit eines relativen Personenbezugs beziehungsweise einer relativen Anonymisierung, so MLex. Sie schlage eine Änderung der Definition personenbezogener Daten unter Verweis auf den bereits bestehenden Erwägungsgrund 26 der DSGVO vor.

Dort heißt es: „Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern.“ Tatsächlich ist der relative Personenbezug in dieser Fußnote bereits angelegt, indem auf die Fähigkeiten und die Motivation des Verarbeiters zur Re-Identifizierung abgestellt wird.

Dass der Schritt, den Erwägungsgrund für die Definition personenbezogener Daten zu nutzen, ein Risiko für kleine und mittlere Unternehmen birgt, sieht allerdings offenbar auch die Bundesregierung. Laut MLex schreibt sie, der Text müsse „sorgfältig formuliert werden, damit er nicht zu weiteren Unsicherheiten führt und es für Verantwortliche, Auftragsverarbeiter und betroffene Personen schwieriger macht, ihre Rechte und Pflichten zu verstehen.“

Ingo Dachwitz ist Journalist und Kommunikationswissenschaftler. Seit 2016 ist er Redakteur bei netzpolitik.org und u.a. Ko-Host des Podcasts Off/On. Seine Themen sind Daten, Macht und die digitale Öffentlichkeit. Ingos Veröffentlichungen wurden mehrfach ausgezeichnet, unter anderem mit dem European Press Prize, dem Alternativen Medienpreis, dem Datenschutz-Medienpreis und zwei Grimme-Online-Awards. Sein Buch “Digitaler Kolonialismus: Wie Tech-Konzerne und Großmächte die Welt unter sich aufteilen” war für den Deutschen Sachbuchpreis nominiert und wurde als eines der Wissensbücher des Jahres 2025 geehrt. Ingo ist Mitglied des Vereins Digitale Gesellschaft, der Evangelischen Kirche und des Netzwerk Recherche. Kontakt: E-Mail (OpenPGP), Mastodon, Bluesky, FragDenStaat. Dieser Beitrag ist eine Übernahme von netzpolitik, gemäss Lizenz Creative Commons BY-NC-SA 4.0.

Der "Digitale Omnibus" der EU muss ordentlich entschärft werden.

Eine Umfrage von #noyb unter #Datenschutzbeauftragten ergibt deutliche Ansagen:

#GDPR funktioniert sagen die Experten in den Unternehmen. Das Problem sind überbordende Dokumentationspflichten und unscharfe Richtlinien. Weniger Flexibilität, dafür Eindeutigkeit wäre wünschenswert.

https://noyb.eu/de/gdpr-omnibus-eu-simplification-far-removed-real-business-needs

https://www.edpb.europa.eu/news/news/2026/digital-omnibus-edpb-and-edps-support-simplification-and-competitiveness-while_de

#Datenschutz #Europa #digitalerOmnibus

Digitaler Omnibus: Neuer Personenbezug & die Folgen

Die EU-Kommission hat am 19.11.2025 den „digitalen Omnibus“ vorgestellt, um Regelwerke wie die DSGVO zu vereinfachen und fit für das KI-Zeitalter zu machen. Erklärtes Ziel der Kommission ist mehr Wettbewerbsfähigkeit bei gleichbleibend hohen Grundrechts- und Datenschutzstandards. Das Vorhaben hat ei(...)
https://www.dr-datenschutz.de/digitaler-omnibus-neuer-personenbezug-die-folgen/

#Bitkom #DigitalerOmnibus #EU-Kommission #noyb

Gesundheitsdaten

Bundesgesundheitsministerium: So umfassend will Warken die Gesundheitsdaten aller Versicherten verknüpfen

Bundesgesundheitsministerin Nina Warken hat ihre Digitalisierungsstrategie vorgelegt. Darin betont die CDU-Ministerin, die Patient:innensouveränität stärken zu wollen. Tatsächlich aber will sie eine der umfassendsten Gesundheitsdateninfrastrukturen weltweit aufbauen. Nutznießer sind Forschung und Pharma-Unternehmen. Die Rechte der Patient:innen bleiben auf der Strecke.

Rund 75 Millionen gesetzlich Versicherte, ihre Gesundheitsdaten täglich übermittelt an ein nationales Forschungsdatenzentrum, verknüpfbar mit hunderten Medizinregistern und europaweit vernetzt – das ist die Vision von Bundesgesundheitsministerin Nina Warken (CDU).

Die Ministerin präsentierte in der vergangenen Woche ihre „Digitalisierungsstrategie für das Gesundheitswesen und die Pflege“. Darin verspricht Warken eine bessere medizinische Versorgung und mehr Patientensouveränität. Tatsächlich aber zielt ihre Strategie vor allem darauf ab, eine der umfassendsten Gesundheitsdateninfrastrukturen weltweit aufzubauen.

Das knapp 30-seitige Papier legt zugleich die Grundlage für ein umfangreiches „Digitalgesetz“. Den Entwurf will das Bundesgesundheitsministerium (BMG) noch im laufenden Quartal vorlegen. Die Rechte der Patient:innen drohen darin weitgehend auf der Strecke zu bleiben.

Die geplante Dateninfrastruktur ruht auf drei Säulen: die elektronische Patientenakte, das Forschungsdatenzentrum Gesundheit und das geplante Medizinregistergesetz. Das Zusammenspiel aller drei Vorhaben ebnet auch der EU-weiten Vernetzung der Gesundheitsdaten den Weg.

Die ePA soll zur „Gesundheits(daten)plattform“ werden

Alle Versicherten, die nicht widersprochen haben, besitzen seit Januar 2025 eine elektronische Patientenakte (ePA); seit Oktober 2025 sind Behandelnde dazu verpflichtet, sie zu verwenden. Gesundheitsministerin Warken will die ePA nicht nur zum „zentralen Dreh- und Angelpunkt“ der ärztlichen Versorgung machen, sondern auch zur „Gesundheits(daten)plattform“ ausbauen.

Dafür sollen erstens mehr strukturierte Daten in die ePA fließen, die dann „möglichst in Echtzeit für entsprechende Anwendungsfälle nachnutzbar“ sind. Derzeit sind dort vor allem noch PDF-Dateien hinterlegt, die nicht einmal durchsuchbar sind, was den Umgang mit der ePA aus Sicht von Behandelnden deutlich erschwert.

Zweitens soll die ePA weitere Funktionen wie eine digitale Terminvermittlung und elektronische Überweisungen erhalten. Die Patientenakte soll so „auch interessanter werden für diejenigen, die nicht krank sind“, kündigte Warken an. Derzeit nutzen gerade einmal rund 4 Millionen Menschen ihre ePA aktiv. Bis zum Jahr 2030 soll sich ihre Zahl, so das Ziel des BMG, auf 20 Millionen erhöhen.

„Künstliche Intelligenz“ soll Symptome auswerten

Wer sich krank fühlt, soll künftig auch über die ePA-App eine digitale Ersteinschätzung einholen können. Mit Hilfe eines Fragenkatalogs sollen Versicherte dann erfahren, ob ihre Symptome den Gang zur Hausärztin oder gar zur Notfallambulanz rechtfertigen.

Diese Auswertung soll offenbar auch mit Hilfe sogenannter Künstliche Intelligenz erfolgen. Ohnehin soll KI laut Warken „in Zukunft da eingesetzt werden können, wo sie die Qualität der Behandlung erhöht, beim Dokumentationsaufwand entlastet oder bei der Kommunikation unterstützt“. Bis 2028 sollen beispielsweise mehr als 70 Prozent der Einrichtungen in der Gesundheits- und Pflegeversorgung KI-gestützte Dokumentation nutzen – ungeachtet der hohen Risiken etwa für die Patientensicherheit oder die Autonomie der Leistungserbringer.

Dafür will das BMG „unnötigen bürokratischen Aufwand“ für KI-Anbieter reduzieren. Das Ministerium strebt dafür mit Blick auf den Digitalen Omnibus der EU-Kommission „eine gezielte Anpassung der KI-Verordnung“ an. Das umstrittene Gesetzesvorhaben der Kommission zielt darauf ab, Regeln für risikoreiche KI-Systeme hinauszuzögern und den Datenschutz deutlich einzuschränken. Zivilgesellschaftliche Organisationen warnen eindringlich, dass mit dem Omnibus der „größte Rückschritt für digitale Grundrechte in der Geschichte der EU“ drohe.

Forschungsdatenzentrum soll als „Innovationsmotor“ wirken

Die in der ePA hinterlegten Daten sollen aber nicht nur der ärztlichen Versorgung dienen, sondern vor allem auch der Forschung zugutekommen. Sie sollen künftig – sofern Versicherte dem nicht aktiv widersprechen – täglich automatisch an das Forschungsdatenzentrum Gesundheit (FDZ) gehen. Während Warken die ePA als „Dreh- und Angelpunkt“ der Versorgung sieht, beschreibt sie das FDZ als „Innovationsmotor“ der Gesundheitsforschung.

Das FDZ wurde nach jahrelangen Verzögerungen im vergangenen Herbst erst handlungsfähig. Es ist beim Bundesamt für Arzneimittel und Medizinprodukte (BfArM) in Bonn angesiedelt. Forschende können sich bei dem Zentrum registrieren, um mit den dort hinterlegten Daten zu arbeiten. Auch Pharma-Unternehmen können sich bewerben. Eine Voraussetzung für eine Zusage ist, dass die Forschung einem nicht näher definierten „Gemeinwohl“ dient.

Die pseudonymisierten Gesundheitsdaten sollen das FDZ nicht verlassen. Stattdessen erhalten Forschende Zugriff auf einen Datenzuschnitt, der auf ihre Forschungsfrage abgestimmt ist. Die Analysen erfolgen in einer „sicheren Verarbeitungsumgebung“ auf einem virtuellen Desktop, das Forschende übers Internet aufrufen können.

Ob dabei tatsächlich angemessene Schutzstandards bestehen, muss indes bezweifelt werden. Denn das Forschungszentrum verfügte in den vergangenen Jahren nicht einmal über ein IT-Sicherheitskonzept, weshalb auch ein Gerichtsverfahren der Gesellschaft für Freiheitsrechte ruht.

Gemeinsam mit der netzpolitik.org-Redakteurin Constanze Kurz hatte die GFF gegen die zentrale Sammlung sensibler Gesundheitsdaten beim FDZ geklagt. Aus ihrer Sicht sind die gesetzlich vorgesehenen Schutzstandards unzureichend, um die sensiblen Gesundheitsdaten vor Missbrauch zu schützen. Sie verlangt daher für alle Versicherten ein voraussetzungsloses Widerspruchsrecht gegen die Sekundärnutzung der eigenen Gesundheitsdaten. Nachdem das FDZ seit Oktober den aktiven Betrieb aufgenommen hat, dürfte das ruhende Verfahren in Kürze fortgesetzt werden.

„Real-World-Überwachung“ ermöglichen

Dessen ungeachtet haben sich laut BfArM-Präsident Karl Broich bereits 80 Einrichtungen beim FDZ registriert. Die Antragsteller kommen zu gleichen Teilen aus Wirtschaft, Verwaltung und Forschung. Mehr als zwei Drittel von ihnen hätten bereits konkrete Forschungsanträge gestellt, bis zum Ende des Jahres will Warken diese Zahl über die Schwelle von 300 hieven. Alle positiv beschiedenen Anträge sollen künftig in einem öffentlichen Antragsregister einsehbar sein.

Zum Jahreswechsel wird das FDZ wohl auch über weit mehr Daten verfügen als derzeit. Bislang übermitteln die gesetzlichen Krankenkassen die Abrechnungsdaten all ihrer Versicherten an das Forschungszentrum. Diese geben bereits Auskunft darüber, welche Leistungen und Diagnosen die Versicherungen in Rechnung gestellt bekommen haben.

Ab dem vierten Quartal dieses Jahres sollen dann nach und nach die Behandlungsdaten aus der ePA hinzukommen. Den Anfang machen Daten aus der elektronischen Medikationsliste, anschließend folgen die Laborfunde, dann weitere Inhalte.

Der baldige Datenreichtum gibt dem FDZ aus Sicht von BfArM-Chef Broich gänzlich neue Möglichkeiten. Er geht davon aus, dass seine Behörde in zehn Jahren bundesweit „einer der großen Daten-Hubs“ ist. Mit den vorliegenden Daten könnten Forschende dann umfassende „Lifecycle-Beobachtungen“ durchführen – „eine Real-World-Überwachung also, die klassische klinische Prüfungen so nicht abdecken können“.

Auch im FDZ soll „Künstliche Intelligenz“ mitwirken. Zum einen in der Forschung selbst: „Dafür arbeiten wir an Konzepten, die Datenschutz, Sicherheit und wissenschaftliche Nutzbarkeit von Beginn an zusammendenken“, sagt Broich. Zum anderen soll das FDZ Datensätze etwa für das Training von Sprachmodellen bereitstellen, wie die Digitalisierungsstrategie des BMG ausführt und auch bereits gesetzlich festgeschrieben ist. Sowohl Training als auch Validierung und Testen von KI-Systemen sind eine zulässige Nutzungsmöglichkeiten. Das bedeutet konkret: Die sensiblen Gesundheitsdaten von Millionen Versicherten können zum Training von Sprachmodellen verwendet werden.

Warken will Medizinregister miteinander verknüpfen

Ab 2028 könnten Trainingsdaten dann auch detaillierte Daten zu Krebserkrankungen enthalten. Denn in knapp zwei Jahren sollen die FDZ-Datenbestände mit Krebsregistern sowie dem Projekt genomDE verknüpft werden, das Erbgutinformationen von Patient:innen sammelt.

Die Datenfülle beim FDZ dürfte damit noch einmal ordentlich zunehmen. Allein die Krebsregister der Länder Bayern, Nordrhein-Westfalen und Rheinland-Pfalz halten Daten von insgesamt mehr als drei Millionen Patient:innen vor. Wer nicht möchte, dass etwa die eigenen Krebsdaten mit den Genomdaten verknüpft werden, muss mindestens einem der Register komplett widersprechen.

Im Gegensatz etwa zu den Krebsregistern der Länder, die auf Basis spezieller rechtlicher Grundlagen arbeiten, bewegen sich die meisten anderen Medizinregister dem BMG zufolge derzeit „in einem heterogenen Normengeflecht von EU-, Bundes- und Landesrecht“, was „die Schaffung einer validen Datenbasis“ behindere.

Das Ministerium hat daher bereits im Oktober das „Gesetz zur Stärkung von Medizinregistern und zur Verbesserung der Medizinregisterdatennutzung“ auf den Weg gebracht. Der Referentenentwurf sieht vor, einheitliche rechtliche Vorgaben und Qualitätsstandards für Medizinregister zu schaffen.

Ein Zentrum für Medizinregister (ZMR), das ebenfalls am BfArM angesiedelt wäre, soll demnach bestehende Medizinregister nach festgelegten Vorgaben etwa hinsichtlich Datenschutz und Datenqualität bewerten. Qualifizierte Register werden dann in einem Verzeichnis aufgeführt, dürfen zu einem festgelegten Zweck kooperieren und auch anlassbezogen Daten zusammenführen. Die personenbezogenen Daten, die dort gespeichert sind, können für die Dauer von bis zu 100 Jahren in den Registern gespeichert werden.

Derzeit gibt es bundesweit rund 350 Medizinregister. Zu den größten zählen das „Deutsche Herzschrittmacher Register“, das die Daten von mehr als einer Million Patient:innen enthält, und das „TraumaRegister DGU“ mit Daten von mehr als 100.000 Patient:innen. Das Gesundheitsministerium geht davon aus, dass etwa drei Viertel der bestehenden Medizinregister Interesse daran haben könnten, in das Verzeichnis des ZMR aufgenommen zu werden.

Verbraucher- und Datenschützer:innen mahnen Schutzvorkehrungen an

Gesundheitsdaten, die dem ZMR vorliegen, sollen ebenfalls pseudonymisiert oder anonymisiert der Forschung bereitstehen. Das geplante Medizinregistergesetz sieht außerdem vor, dass die Daten qualifizierter Register ebenfalls miteinander verknüpft werden können.

Zu diesem Zweck sollen Betreiber von Medizinregistern und die meldenden Gesundheitseinrichtungen registerübergreifende Pseudonyme erstellen dürfen. Als Grundlage dafür soll der unveränderbare Teil der Krankenversichertennummer von Versicherten (KVNR) dienen.

Fachleute weisen darauf hin, dass eine Pseudonymisierung insbesondere bei Gesundheitsdaten keinen ausreichenden Schutz vor Re-Identifikation bietet. Das Risiko wächst zudem, wenn ein Datensatz mit weiteren Datensätzen zusammengeführt wird, wenn diese weitere personenbezogene Daten der gleichen Person enthält.

Das Netzwerk Datenschutzexpertise warnt zudem davor, die Krankenversichertennummer in einer Vielzahl von Registern vorzuhalten. Weil im Gesetzentwurf notwendige Schutzvorkehrungen fehlen würden, sei „das Risiko der Reidentifizierung bei derart pseudonymisierten Datensätzen massiv erhöht“.

Der Verbraucherzentrale Bundesverband kritisiert die Menge an personenbezogenen Daten, die laut Gesetzentwurf an qualifizierte Medizinregister übermittelt werden dürfen. Dazu zählen neben sozialdemographischen Informationen auch Angaben zu Lebensumständen und Gewohnheiten sowie „zu einem Migrationshintergrund oder einer ethnischen Zugehörigkeit, der Familienstand oder die Haushaltsgröße“.

Um die Patient:innendaten besser zu schützen, forderte der Verband bereits im November vergangenen Jahres, eindeutig identifizierende Daten vom Kerndatensatz eines Medizinregisters getrennt aufzubewahren.

Gesundheitsministerium schafft Schnittstellen in die EU

Das Gesundheitsministerium lässt sich davon jedoch nicht beirren und strebt weitere Datenverknüpfungen an. Laut seiner Digitalisierungsstrategie will das BMG das Forschungspseudonym auch dazu nutzen, um die Gesundheits- und Pflegedaten „mit Sozialdaten und Todesdaten zu Forschungszwecken“ sowie „mit Abrechnungs- und ePA-Daten“ zu verbinden. Ob Versicherte dieser umfangreichen Datenverknüpfung überhaupt noch effektiv und transparent widersprechen können, ist derzeit zweifelhaft. Sicher aber ist: Der Aufwand dürfte immens sein.

Die Digitalisierungsstrategie macht ebenfalls deutlich, dass das Ministerium die geplanten Maßnahmen auch in Vorbereitung auf den Europäischen Gesundheitsdatenraum (EHDS) ergreift. Der EHDS ist der erste sektorenspezifische Datenraum in der EU und soll als Blaupause für weitere sogenannte Datenräume dienen. Schon in wenigen Jahren sollen hier die Gesundheitsdaten von rund 450 Millionen EU-Bürger:innen zusammenlaufen und grenzüberschreitend ausgetauscht werden.

Konkret bedeutet das: In gut drei Jahren, ab Ende März 2029, können auch Forschende aus der EU beim FDZ Gesundheitsdaten beantragen. Und das Zentrum für Medizinregister soll dem BMG zufolge ebenfalls Teil der europäischen Gesundheitsdateninfrastruktur werden.

Der größte Brückenschlag in der Gesundheitsdateninfrastruktur steht also erst noch bevor. Und auch hier bleibt die Ministerin eine überzeugende Antwort schuldig, was die Versicherten davon haben.

Daniel Leisegang ist Politikwissenschaftler und Co-Chefredakteur bei netzpolitik.org. Zu seinen Schwerpunkten zählen die Gesundheitsdigitalisierung, Digital Public Infrastructure und die sogenannte Künstliche Intelligenz. Daniel war einst Redakteur bei den “Blättern”. 2014 erschien von ihm das Buch »Amazon – Das Buch als Beute«; 2016 erhielt er den Alternativen Medienpreis in der Rubrik “Medienkritik”. Er gehört dem Board of Trustees von Eurozine und dem Kuratorium der Stiftung Warentest an. Kontakt: E-Mail (OpenPGP), Mastodon, Bluesky, Threema ENU3SC7K, Telefon: +49-30-5771482-28‬ (Montag bis Freitag, jeweils 8 bis 18 Uhr). Dieser Beitrag ist eine Übernahme von netzpolitik, gemäss Lizenz Creative Commons BY-NC-SA 4.0.

Der baden-württembergische @lfdi Tobias Keber hat im Jahr 2026 den Vorsitz der Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder @dsk. Keber: „Wir müssen die Kooperationen über die Zusammenarbeit der Datenschutzaufsichtsbehörden hinaus stärken und mit Orientierungshilfen einfache und praxisnahe Unterstützung anbieten.“ https://www.baden-wuerttemberg.datenschutz.de/lfdi-vorsitz-dsk-2026-pm/

#DSK2026 #Datenschutz #DSK #DigitalerOmnibus

Direkt von Big Techs Wunschliste

Digitaler Omnibus: Um Europas Wirtschaft zu stärken, will die EU ihre Regeln für die digitale Welt teilweise aufweichen.

Das Gesetzespaket bedient allerdings vor allem die Interessen US-amerikanischer Tech-Unternehmen, wie jetzt eine Analyse des Corporate Europe Observatory und von LobbyControl zeigt.

Die EU-Kommission soll sich bei ihren Deregulierungsplänen in den Bereichen Datenschutz und KI maßgeblich von Big Tech inspiriert haben lassen. Das geht aus einer Analyse der NGOs Corporate Europe Observatory (CEO) und LobbyControl zum sogenannten „Digitalen Omnibus“ hervor. Demnach entsprechen viele Pläne der Kommission für das Gesetzespaket den Wünschen der IT-Branche, die mit immer mehr Geld in Brüssel für möglichst wenig Regulierung lobbyiert.

Den digitalen Omnibus hatte die Kommission im Spätherbst vorgestellt. Mit dem Gesetzespaket will sie laut eigener Aussage Bürokratie abbauen, Regeln entschlacken und überlappende Gesetze harmonisieren. Im Blick hat sie dabei den Datenschutz, Regeln für die Datennutzung, Cyber-Sicherheit sowie die KI-Verordnung. Vereinfachte Regeln sollen die Wettbewerbsfähigkeit Europas und vor allem europäischer Unternehmen verbessern, so die EU-Kommission.

Doch vieles im Kommissionsentwurf lese sich wie eine Wunschliste ausgerechnet US-amerikanischer Tech-Konzerne, schreiben CEO und LobbyControl: „Ironischerweise wird diese Deregulierungsagenda von der Kommission als Mittel zur Steigerung der Wettbewerbsfähigkeit der EU verkauft – obwohl sie damit in Wirklichkeit die US-amerikanischen Big-Tech-Unternehmen aktiv stärkt, die den Markt dominieren.“

Zugleich baut dieser „beispiellose Angriff auf digitale Rechte“ den beiden Nichtregierungsorganisationen zufolge wichtige Schutzmechanismen für EU-Bürger:innen ab. Diese sorgten dafür, dass die Daten aller sicher sind, Regierungen und Unternehmen zur Rechenschaft gezogen werden können, und Menschen davor bewahrt werden, dass unkontrollierte KI-Systeme über ihre Lebenschancen entscheiden.

Akribische Detailanalyse

Diese Schlussfolgerungen untermauern die NGOs mit einem detaillierten Vergleich des Gesetzentwurfs mit öffentlich bekannten Lobby-Forderungen der Tech-Branche, darunter Konzernen wie Google, Microsoft und Meta. So will die Kommission beispielsweise pseudonymisierte Daten überwiegend nicht mehr als personenbezogene Daten behandelt wissen. Setzt sie sich im laufenden Gesetzgebungsprozess durch, würden solche Daten aus dem Geltungsbereich der Datenschutz-Grundverordnung (DSGVO) herausfallen.

Was wie ein unscheinbares Detail klingt, hätte weitreichende Folgen. Damit hätten es unter anderem Tracking-Firmen und Datenhändler einfacher, die digitalen Spuren von Internet-Nutzer:innen zusammenzuführen, auszuwerten und zu monetarisieren. Zudem lassen sich aus pseudonymisierten Daten relativ einfach Einzelpersonen re-identifizieren, wie nicht zuletzt unsere Databroker-Files-Recherche gezeigt hat.

Für eine derartige Änderung setzt sich die Digitalbranche schon seit langem ein. So forderte der Lobby-Verband Digital Europe in einem Empfehlungspapier, das Schutzniveau für pseudonymisierte Daten abzusenken. Von Google bis Meta sind praktisch alle führenden Tech-Unternehmen in der Organisation vertreten. In die gleiche Richtung argumentiert an anderer Stelle auch Microsoft Deutschland: Die Änderung „wäre besonders wichtig, um die Entwicklung neuer Technologien, einschließlich (generativer) KI, zu unterstützen“, heißt es in einer Stellungnahme des US-Unternehmens zum EU Data Act.

Auf Anfrage des Online-Mediums Euractiv (€) wies ein Sprecher der EU-Kommission die Vorwürfe zurück. „Der Digitale Omnibus ist das Ergebnis eines umfassenden und transparenten Prozesses, in dem Zivilgesellschaft, kleine und mittlere Betriebe sowie akademische Einrichtungen gleichermaßen die Möglichkeit hatten, sich einzubringen.“ Der Digitale Omnibus verfolge ein klares Ziel, so der Sprecher weiter: „Die Förderung eines sicheren und wettbewerbsfähigen digitalen Binnenmarktes, der allen europäischen Bürgerinnen und Bürgern sowie allen europäischen Unternehmen unabhängig von ihrer Größe dient“.

Warnungen bewahrheiten sich

Doch das von den NGOs dokumentierte Muster wiederholt sich an zahlreichen Stellen. Mit Industrieforderungen praktisch deckungsgleiche Vorschläge finden sich zum Beispiel in Abschnitten zur Beschneidung des Auskunftsrechts über bei Unternehmen gespeicherte Daten oder beim geplanten Wegfall von Schutzvorkehrungen bei automatisiert getroffenen Entscheidungen. Auch eine Klarstellung zur Nutzbarkeit personenbezogener Daten für das Training von KI-Systemen hatte sich die Industrie gewünscht.

Bereits im Vorfeld der Omnibus-Veröffentlichung warnten zivilgesellschaftliche NGOs, Gewerkschaften und Verbraucherschutzorganisationen vor einem „der größten Rückschritte für digitale Grundrechte in der Geschichte der EU“. Der als „technische Straffung“ der EU-Digitalgesetze verkaufte Vorstoß sei „in Wirklichkeit ein Versuch, heimlich Europas stärkste Schutzmaßnahmen gegen digitale Bedrohungen abzubauen“, hieß es in einem Brief, den über 120 Organisationen unterzeichnet haben, darunter European Digital Rights (EDRi), Amnesty International und Wikimedia Deutschland.

Die Befürchtungen haben sich bewahrheitet, wie schon erste Analysen nach der Vorstellung des Omnibusses offengelegt haben. Überraschend ist dies gleichwohl nicht: Die Verbesserung der Wettbewerbsfähigkeit der EU zählt zu einem der erklärten Ziele der Ende 2024 wiedergewählten EU-Kommission unter der konservativen Präsidentin Ursula von der Leyen. Zuvor schlugen zwei wegweisende, von der EU in Auftrag gegebene Berichte europäischer Spitzenpolitiker, der sogenannte Draghi– sowie der Letta-Bericht, einen teils drastischen Abbau von Regulierung vor.

Lobbyist:innen umgarnen Rechtsaußen-Parteien

Bei eher linksstehenden Parteien ist dieser Ruf nach Deregulierung auf ein überwiegend negatives Echo gestoßen. Ganz anders die Reaktion rechter und rechtsradikaler Parteien, die bei der letzten EU-Parlamentswahl zugelegt hatten und ihren Einfluss deutlich steigern konnten. Traditionell zeigen sich solche Parteien zum einen wirtschaftsliberalen Ansätzen gegenüber aufgeschlossen. Zum anderen lassen sie kaum eine Gelegenheit ungenutzt, Gesetzgebung aus Brüssel kurz und klein zu schlagen.

Dass sich die Berührungsängste der Europäischen Volkpartei (EVP), der auch von der Leyen angehört, zu Rechtsaußen-Fraktionen in Grenzen halten, hatte die Kommissionpräsidentin wiederholt ausgesprochen. Inzwischen ist daraus gelebte Praxis geworden: Bereits mehrfach machten moderate Konservative im EU-Parlament gemeinsame Sache mit der extremen Rechten, um beispielsweise das Lieferkettengesetz entscheidend zu schwächen. Eine Zusammenarbeit beim digitalen Omnibus zeichnet sich jetzt schon ab.

Die verschobenen Machtverhältnisse machen sich auch beim Lobbying bemerkbar, wie Corporate Europe Observatory und LobbyControl aufzeigen. Vor allem das Trump-freundliche Meta, das unter anderem Facebook, Instagram und WhatsApp betreibt, sucht offenbar gezielt die Nähe zu Rechtsaußen-Politiker:innen.

So hatten sich Meta-Lobbyist:innen laut der Analyse in der gesamten vorangegangenen Legislaturperiode nur ein einziges Mal mit einem Abgeordneten einer einschlägigen Fraktion getroffen. Seit im Sommer 2024 das Parlament neu bestellt wurde, lassen sich inzwischen 38 Treffen zwischen Meta und Abgeordneten der „Patrioten für Europa“ oder „Europäische Konservative und Reformer“ dokumentieren. Bei den Treffen sei der Digitale Omnibus eine „Schlüsselpriorität“ gewesen, so die NGOs.

„Die Lobbying-Strategie der großen Technologiekonzerne in den USA, wo sie sich mit der Trump-Administration verbündet haben, scheint nun auch auf das Europäische Parlament ausgeweitet worden zu sein“, schreiben die NGOs.

Tomas Rudl ist in Wien aufgewachsen, hat dort für diverse Provider gearbeitet und daneben Politikwissenschaft studiert. Seine journalistische Ausbildung erhielt er im Heise-Verlag, wo er für die Mac & i, c’t und Heise Online schrieb. Kontakt: E-Mail (OpenPGP), Bluesky. Dieser Beitrag ist eine Übernahme von netzpolitik, gemäss Lizenz Creative Commons BY-NC-SA 4.0.

Direkt von Big Techs Wunschliste #DigitalerOmnibus

Um Europas Wirtschaft zu stärken, will die EU ihre Regeln für die digitale Welt teilweise aufweichen. Das Gesetzespaket bedient allerdings vor allem die Interessen US-amerikanischer Tech-Unternehmen, wie jetzt eine Analyse des Corporate Europe Observatory und von LobbyControl zeigt.....

https://netzpolitik.org/2026/digitaler-omnibus-direkt-von-big-techs-wunschliste/

#BigTech #Überwachung #EU #Europe #Technology #USA #Trump #Antireport

Der Out in the Open Rückblick auf den Dezember ist da: https://codefor.de/blog/out-in-the-open-december-2025/

Über den Umgang mit Daten in den Bereichen Politik, Gesundheitswesen, Kultur, Umwelt, Klima, Energie, Mobilität.

Wollte unbedingt das Wort Schabrackentapir im Text verbauen, ist versehentlich dann Schrapnellentapir geworden, aber passt irgendwie trotzdem 😇

#LinkedOpenData #OpenData #DigitaleSouveränität #Statistik #Verwaltungsdigitalisierung #DigitalerOmnibus #Transparenz

Gutachten von Spirit Legal warnt: Der „digitale EU-Omnibus“ der EU-Kommission droht eine uferlose Sonderrechtszone für KI zu schaffen. Art. 88c würde die Logik der DSGVO aushebeln, Datensparsamkeit ins Gegenteil verkehren und Big Tech privilegieren. Verbraucherschutz, Rechte Minderjähriger, wirksame Opt-outs? Verwässert. Der vzbv warnt: Das ist kein Bürokratieabbau, das ist ein Blankoscheck fürs Datensaugen.

#KI #Datenschutz #DigitalerOmnibus #DSGVO #BigTech #DigitaleRechte

https://www.heise.de/news/Gutachter-EU-Kommission-will-eine-uferlose-Sonderrechtszone-fuer-KI-11122143.html

Dem Silicon Valley näher

„Beim Datenschutz ist Deutschland inzwischen dem Silicon Valley näher als dem Rest der EU“

Die Datenschutzgrundverordnung kann reformiert werden, sagt Max Schrems – aber ganz anders, als die EU es gerade plant. Im Interview erklärt der prominente Datenschützer, warum er keine Hoffnung mehr auf Aufsichtsbehörden setzt und wieso seine Reformvorschläge selbst von Konservativen unterstützt werden.

Max Schrems ist einer der bekanntesten Datenschützer Europas. Noch als Student hatte der junge Jurist den Milliardenkonzern Meta verklagt, später brachte er zwei transatlantische Datenschutzabkommen zu Fall. Inzwischen treibt er gemeinsam mit seiner Nichtregierungsorganisation noyb – kurz für „None of Your Business“ – Datenschutzsünder und Aufsichtsbehörden vor sich her.

Wir trafen den Österreicher zum Interview in einem Wiener Kaffeehaus, um über die Reform des europäischen Datenschutzes zu sprechen. Die bereits länger laufende Debatte hat kürzlich dramatisch an Fahrt aufgenommen, als die EU-Kommission überraschend weitgehende Änderungen an der Datenschutzgrundverordnung (DSGVO) vorschlug. Der sogenannte digitale Omnibus bekommt von Datenschützer:innen viel Kritik.

Dabei bräuchte es tatsächlich eine Reform der Datenschutzgrundverordnung, sagt Max Schrems. Sie müsste nur ganz anders ausfallen als das, was die EU nun plant. Im Interview legt der Jurist uns seine Ideen für eine Reform dar, die kleinere und mittlere Unternehmen entlastet, während sie Datenkonzerne strenger reguliert. Eine breite Einigung sei bei dem Thema möglich, sie müsse nur gesucht werden.

„Die DSGVO liegt jetzt auf dem Tisch“

In der Debatte um eine europäische Datenschutzreform gibt es drei Lager: Die einen sagen, die Datenschutzgrundverordnung an sich sei super und müsse nur besser durchgesetzt werden. Andere sagen, die DSGVO sei das Schlimmste, was der europäischen Wirtschaft je passiert ist, und müsse massiv zurückgebaut werden. Und dann gibt es da noch ein relativ kleines Lager irgendwo dazwischen, das sagt: Reform ja, aber bitte richtig gemacht.

Zu diesem wirklich sehr kleinen Lager gehöre ich. Es gibt ja wenige, die sagen, die DSGVO soll nicht geändert werden, weil sie so perfekt ist. Das Argument basiert eher auf der Angst vor dem, was dann kommt. Denn dann hätten wir wieder den riesigen Lobby-Fight wie vor zehn Jahren bei der Einführung der DSGVO, aber unter ganz anderen Vorzeichen. Die Sorge ist auch völlig berechtigt, wenn wir schauen, was gerade mit dem digitalen Omnibus passiert. Der Damm ist aber leider bereits gebrochen. Nächstes Jahr soll es noch einen Digital-Fitness-Check geben. Das heißt, die DSGVO liegt jetzt auf jeden Fall auf dem Tisch. Und da müssen wir auf sinnvolle Verbesserungen statt auf einen Kahlschlag hinarbeiten.

Also, was tun?

Zuerst müssen wir auf den begrenzten Spielraum hinweisen, den der Artikel 8 zum Schutz personenbezogener Daten in der Europäischen Grundrechtecharta lässt. Dinge wie Zweckbindung, Einwilligung, Auskunftsrecht und weiteres sind dort einzeln aufgelistet. Man kann sie also gar nicht ohne weiteres abschaffen. Der Gesetzgeber kann sie besser oder schlechter ausgestalten und vielleicht bekommen wir ein ausgehöhltes Grundrecht. Aber die DSGVO ist heute schon eine ziemliche Mindestumsetzung. Man kann überlegen, welche administrativen Auflagen wirklich notwendig sind, aber bei den Rechten der Leute gibt es nicht viel „Goldplating“ obendrauf.

Deutschland und der Datenschutz

Wenn es so wenig „Edel-Regulierung“ über das benötigte Maß hinaus gibt, woher kommt dann das Image der DSGVO als dramatische Überregulierung?

Das schlechte Image der DSGVO ist ganz stark ein deutsches Phänomen, im Blick auf den Datenschutz ist Deutschland dem Silicon Valley näher als dem Rest der EU. Ich reise für Vorträge durch ganz Europa und dass man fast mit Tomaten beworfen wird, wenn man „Datenschutz“ sagt, das gibts nur in Deutschland. Findet die französische Wirtschaft die DSGVO besonders toll? Natürlich nicht. Aber einen Weltuntergang sieht sie darin auch nicht. In Deutschland ist der Datenschutz der Blitzableiter dafür geworden, dass man das mit der Digitalisierung nicht schafft. Ein ganz banales Beispiel: In Deutschland hat fast keiner eine eID, in Österreich sind wir viel weiter. Auch in Skandinavien funktioniert Digitalisierung, alles mit DSGVO.

Wie kommt es zu diesem Sonderweg? Datenschutz galt ja mal als deutsche Erfindung.

Ich glaube, das sind mehrere Faktoren. In Deutschland gibt es eine riesige Compliance-Industrie, die immer neue „Probleme“ zum Überleben braucht. Mir hat mal einer der großen Compliance-Anbieter gesagt: „Herr Schrems, Sie müssen verstehen, Compliance-Bedarf gibt es nicht – Compliance-Bedarf wird kreiert.“ Also hält man hunderte Vorträge, wie schlimm das alles ist mit dem Datenschutz, und dann müssen alle armen Unternehmen schnell in die Compliance-Beratung kommen. Mit der DSGVO ist ein riesiger Kropf an sehr schlechter Beratung entstanden – aus dieser Beratung kommt dann auch oft irgendein angebliches „Verbot“, das gar nicht in der DSGVO steht.

Hinzu kommt, dass die DSGVO dank der Cookie-Banner das einzige Digitalgesetz ist, das alle kennen. Mir kommt es so vor, dass sich in Deutschland schlussendlich eine Kultur entwickelt hat, dass man mehr Freude am Problem als an der Lösung hat – dafür eignet sich Datenschutz super. Zusammengenommen hat man damit einen perfekten Sturm im Wasserglas.

Von den Cookie-Bannern sind alle genervt, weil sie keine echte Selbstbestimmung ermöglichen und ständig weggeklickt werden müssen.

Beim Datenschutz ist das Narrativ, mit dem Nutzerinnen jeden Tag zu tun haben, leider komplett den Unternehmen überlassen. Es ist deren Entscheidung, dass sie das Design so scheiße machen, dass man am Ende genervt möglichst auf „Alles akzeptieren“ klickt. Die Industrie nennt das euphemistisch „Consent Optimization“. Aber verantwortlich gemacht wird der europäische Gesetzgeber. Genau wie bei den E-Mails, die damals zum Start der DSGVO alle Unternehmen geschickt haben. Da hieß es immer: „Wegen der DSGVO brauchen wir jetzt ihre Einwilligung“. Ehrlich wäre gewesen: „Wir verarbeiten seit Jahren illegal Ihre Daten ohne Einwilligung, aber jetzt haben wir Panik, deshalb brauchen wir jetzt schnell noch Ihre Einwilligung.“

Mehr Regulierung für Datenkonzerne, weniger für kleine Unternehmen

Wo müsste eine Reform ansetzen?

Das Wichtigste ist, dass wir die mangelnde Differenzierung durch den One-Size-Fits-All-Ansatz wegkriegen. Dass die DSGVO allen Akteuren die gleichen Anforderungen vorschreibt, hatte die Industrie damals in den Verhandlungen zur DSGVO durchgesetzt. Das Lobbying in Brüssel wird von den ganz Großen dominiert und die haben sich gedacht: Mittelschwere Regeln für alle sind besser als einfachere Regeln für kleine Player, aber Hardcore-Regeln für uns. Und dann war natürlich immer das Argument, dass der Bäcker an der Ecke nicht zu sehr leiden darf, weshalb diese einheitlichen Regeln lieber ein niedriges Niveau haben sollten. Am Ende ist es nun so, als gäbe es nur einen Führerschein, und den braucht man als LKW-Fahrer sowie als Fünfjähriger, der gerade Fahrradfahren lernt.

Wie sähe eine abgestufte Variante aus?

Ich denke an ein Drei-Stufen-Modell. Da hätte man härtere Regeln für die paar Unternehmen, deren Geschäft im Kern auf Daten basiert, von den großen Plattformen über Datenhändler bis zur Schufa. Für ein paar Prozent anderer großer Unternehmen, die einfach viele Daten oder sensible Daten haben, würde eine mittlere Variante gelten – so etwa die jetzige DSGVO. Und für 90 Prozent der Wirtschaft, die fast nichts mit Daten machen, außer ihren Betrieb aufrechtzuerhalten, könnte man den Verwaltungsaufwand im Großen und Ganzen abdrehen. Natürlich müssen die Kernregeln beibehalten werden, aber zum Beispiel bei Dokumentationspflicht ginge viel – da steckt auch die meiste sinnlose Arbeit für Unternehmen drin.

Wie würde die Entlastung konkret aussehen?

Wir haben eine Umfrage mit 500 betrieblichen Datenschutzbeauftragten gemacht und sie gefragt, welche Bereiche ihren Unternehmen viel Arbeit machen und welche viel Schutz bringen. Und da hat sich gezeigt, dass man unter anderem auf viele Dokumentationspflichten verzichten könnte. Die sind ohnehin eher als typischer Brüsseler Kompromiss entstanden: Wenn man schon keine strengen Regeln einführt, dann muss man wenigstens viel dokumentieren. Nur bringt das für Unternehmen viel Arbeit und für die Betroffenen keinen einklagbaren Schutz – beide verlieren.

Besser wäre die Einführung einer Beweispflichtumkehr, die gibt es in der DSGVO sogar schon so halb. Unternehmen müssten dann im Streitfall beweisen, dass sie sich an die Vorgaben gehalten haben. Aber wie sie das machen, ist egal. Da bin ich eher libertär: Wie die Unternehmen ihre Compliance intern gestalten, muss der Gesetzgeber nicht regulieren. Wir haben ja auch keine Dokumentationspflicht dafür, dass ich niemanden umbringe.

„Wer die Macht hat, muss die Verantwortung tragen“

Wie könnte man kleinere Unternehmen noch entlasten?

Die DSGVO ist oft sehr abstrakt, was alle ohne Rechtsabteilung überfordert. Da könnten Formblätter und standardisierte Prozesse helfen, um die Komplexität runterzubrechen. Also zum Beispiel ein Standardformular mit den Anforderungen, die man beim Betrieb einer Website erfüllen muss. In Österreich hat es früher Muster- und Standardverordnungen für Dinge gegeben, die jedes KMU macht. Da hat man gesagt: Wenn ihr euch ans Schema F haltet, dann seid ihr auf jeden Fall gesetzeskonform. Das hat kleinen Unternehmen extrem viel Rechtssicherheit gebracht und senkt den Verwaltungsaufwand massiv.

Wenn ich solche Reformideen vorschlage, gibt es übrigens immer eine Gruppe, die gar nichts davon hält: Anwälte und Compliance-Leute, denn die machen mit genau dieser Unsicherheit für Unternehmen sehr viel Geld. Diese Bürokratie wird oft viel mehr zwischen Unternehmen und ihren Beratern produziert als zwischen Betroffenen und Unternehmen.

Auch bei der Compliance zwischen Unternehmen siehst du Vereinfachungspotenzial, wenn zum Beispiel eine Firma Office-Produkte von Microsoft oder Cloud-Dienste von Amazon oder Google nutzt.

Genau, da hat die DSGVO nämlich ein ganz absurdes System, dass nicht Microsoft oder Google oder irgendwelche Cloud-Anbieter direkt unter das Gesetz fallen, sondern du als einzelner Unternehmer einen Vertrag mit ihnen schließt, dass sie sich an das Gesetz halten würden.

Die sogenannten Auftragsdatenverarbeitungsverträge.

In Europa gibt es Millionen dieser Verträge, die alle abgeschlossen, gemanagt und überprüft werden müssen. Der Effekt ist, dass wir zwar eine lokale Schule verklagen können, die illegale Office-Produkte von Microsoft einsetzt, aber Microsoft direkt angreifen können wir nicht. Die Schule hat aber natürlich null Kompetenz, de facto verantwortlich ist eigentlich Microsoft. Selbst Staaten haben aktuell keine Chance, die Verträge zu ändern – sollen aber dafür haften.

Und das ist ein Grundproblem der DSGVO: Schon im römischen Recht sagte man, dass derjenige die Verantwortung tragen soll, der die Macht darüber hat. Bei der DSGVO aber klaffen Macht und Verantwortung auseinander. Was wir bräuchten, wäre eine Datenschutzhaftung der großen Plattformunternehmen, dass sie gesetzeskonforme Produkte anbieten. Das würde extrem viel Druck von den normalen Unternehmen nehmen. Das sind genau die Dinge, wo alle in Europa von ganz konservativer Seite bis zu ganz linker Seite sagen können: Ja, das ergibt Sinn, dass Microsoft und nicht ein KMU dafür haftet. Eine solche Reform könnten wir mit wenig Aufwand umsetzen.

„Eine breite Einigung bei der Reform wäre möglich“

Auf der anderen Seite schlägst du Verschärfungen für Datenkonzerne vor. Wie sähen die aus?

Bei den ganz Großen funktioniert die DSGVO nicht. Da bräuchten wir zusätzliche Instrumente wie eine Gewinnabschöpfung. Die aktuelle Höchststrafe von vier Prozent für Datenschutzverstöße ist weit weniger als das, was Meta & Co. mit der illegalen Datenverarbeitung verdienen. Die sehen das einfach als 4-prozentige Steuer, nicht als Strafe. Die Gewinnabschöpfung bräuchte es schon allein aus Wettbewerbsgründen, damit man nicht mit illegal erwirtschafteten Gewinnen den anderen Wettbewerbern davonläuft.

Was bräuchte es noch?

Extrem wichtig wäre eine Art externe TÜV-Kontrolle. In anderen technisch hochkomplexen Bereichen haben wir Prüfungen an unabhängige Stellen ausgelagert. Wenn zum Beispiel eine Lift-Anlage oder auch nur ein Auto betrieben wird. Im Datenschutz gibt es aktuell praktisch nur interne Prüfungen, wo alles durchgewunken wird, was der Chef will. Theoretisch gibt es die Aufsichtsbehörden, die aber weder die nötige technische Fachkompetenz noch die Kapazitäten für umfangreiche Prüfungen haben. Zunehmend merkt man auch, dass einige Behörden politisch nicht prüfen wollen.

Eigentlich müsste das so laufen wie bei der jährlichen Prüfung von Unternehmensfinanzen, selbst wenn das natürlich auch nicht immer perfekt funktioniert, siehe Wirecard. Aber dann gäbe es immerhin deutlich mehr Druck, etwa wenn man sicherstellt, dass die Zertifizierungsbude ihre Lizenz verliert, wenn sich später rausstellt, dass es bei einem geprüften Unternehmen doch massenhafte Rechtsverletzungen gab. So hätte man genug Druck auf allen Playern, dass sie ihre Arbeit vernünftig machen. Den meisten Menschen in Deutschland dürfte doch wichtiger sein, dass das Scoring-Modell der Schufa regelmäßig vernünftig geprüft wird, als dass deren interne Bilanzen geprüft werden.

Für die Großen müssten auch andere Transparenzpflichten gelten, die müssten viel detaillierter offenlegen, was sie mit unseren Daten machen.

Was du hier gerade skizziert hast, kursiert in der Datenschutzszene seit einiger Zeit manchmal als „Schrems-Voss-Vorschlag“. Der CDU-Digitalpolitiker Axel Vosshatte nämlich etwas in dieser Richtung auf LinkedIn gepostet. Habt ihr das zusammen ausgearbeitet?

Das sind alles Dinge, die ich schon seit zehn Jahren vorschlage, da ist eigentlich nichts Neues dran. Es gab neulich eine Diskussionsveranstaltung mit Axel Voss. Eigentlich stehen wir uns politisch eher nicht nahe, aber er hat bei diesen Punkten vieles ähnlich gesehen. Das freut mich natürlich, weil ich finde, dass das die Eleganz dieser Vorschläge gerade in Zeiten polarisierter Politik ist, dass sie eben soweit logisch und sinnvoll sind, dass sie auch von Konservativen geteilt werden. Es gibt sicher zehn oder zwanzig Prozent im Datenschutz, da kommen wir nicht zusammen. Aber konzentrieren wir uns doch erst mal auf die achtzig Prozent, bei denen eine schnelle und breite Einigung möglich ist. Über den Rest können für uns dann noch immer streiten.

„Mit KI wird zum ersten Mal Realität, wovor der Datenschutz uns schützen sollte“

Jetzt sieht die Realität ganz anders aus: Mit dem sogenannten „digitalen Omnibus“ will die EU-Kommission Teile der DSGVO in großer Eile und ohne Konsens-Suche ändern. Ihr bei noyb kritisiert die Pläne hart.

Viele Teile des digitalen Omnibusses wurde offenbar von Leuten geschrieben, die keine Ahnung von der DSGVO oder Praxis haben. Wir sehen hier wirklich einen teilweisen Zusammenbruch der Fachbeamtenschaft in Brüssel. Der Vorschlag erfüllt nicht mal den Zweck, für den er gemacht wurde, nämlich die Wirtschaft zu fördern. Die Logik der meisten Lobbyisten in Brüssel ist: Je schwammiger das Gesetz, desto besser für die Unternehmen. Für den Großteil der Wirtschaft wird das aber nichts bringen.

Unsere Umfragen unter betrieblichen Datenschutzbeauftragten zeigen, dass Unsicherheit genau das ist, was sie nicht brauchen. Sie brauchen klare Regeln. Von Schwammigkeit profitieren nur große Konzerne mit starken Rechtsabteilungen. Aber für die europäische Wirtschaft, die hauptsächlich aus Mittelständlern und kleinen Unternehmen besteht, ist das Gift. Das gilt auch für die vorgeschlagenen Regelungen zu KI und Datenschutz.

Die EU-Kommission will klarstellen, dass KI-Systeme mit personenbezogenen Daten trainiert und betrieben werden dürfen, ohne dass die Betroffenen eingewilligt haben. Rechtsgrundlage wäre dann das „berechtigte Interesse“, Nutzer:innen hätten die Möglichkeit zum Opt-Out.

Dabei bleiben aber die Anforderungen der DSGVO an die Interessenabwägung im Einzelfall bestehen – man weiß also weiterhin nicht, was jetzt legal ist und was nicht. Wenn man den kleinen und europäischen Unternehmen wirklich helfen will, dann würde man eine klare, neue Regelung einführen: Diese zehn Punkte müssen erfüllt werden, wenn man mit Kundendaten KI trainieren will. Wenn man die Anforderungen erfüllt, ist es legal – und wenn nicht, dann nicht.

Wie sähe das konkret aus?

Es bräuchte zum Beispiel Datenreinigung nach dem Stand der Technik. Es bräuchte Löschkonzepte. Es bräuchte eine Verpflichtung, das System zu re-trainieren, wenn es trotz Datenreinigung im Ausnahmefall problematische Daten ausspuckt, so wie neulich, als ein Chatbot eine Person als Mörder diffamiert hat. Das wäre wahrscheinlich machbar, wenn auch mit hohen Hürden. Aber wir haben mit KI zum ersten Mal eine Situation, in der Realität wird, wovor uns der Datenschutz ursprünglich schützen sollte.

Das musst du erklären. Inwiefern?

Die Grundprinzipien der DSGVO stammen aus den 70er- und 80er-Jahren. Damals gab es die Sorge, dass es irgendwann ein technisches System geben könnte, das viele Daten aufsaugt, darauf basierend Entscheidungen über uns trifft und niemand kann nachvollziehen, warum. Genau das macht KI. Um uns vor so etwas zu schützen, wurden damals Datenschutzrechte wie die Zweckbindung, Transparenz, Datenrichtigkeit oder Datenminimierung etabliert.

Daten, die man zu einem Zweck hergegeben hat, sollen nicht einfach für etwas anderes verwendet werden. Wenn am Ende etwas Falsches rauskommt, hat man ein Recht auf Berichtigung. Und man hat ein Auskunftsrecht, um herauszufinden, welche Daten eingeflossen sind. All diese Rechte ergeben bei KI-Systemen jetzt das erste Mal so richtig Sinn. Und genau jetzt sollen sie abgeräumt werden, weil sie KI im Weg stehen?! Das ist so, als hätten wir Geschwindigkeitsbegrenzungen festgelegt, als wir noch Pferdekutschen hatten, und jetzt, wo der Porsche da ist, schaffen wir sie einfach ab – weil sie der „Innovation“ im Weg stehen.

„Wir haben nahezu einen Totalausfall der Datenschutzbehörden“

Du sieht auch bei Rechtsdurchsetzung des Datenschutzes Reformbedarf. Wo liegt hier das Problem?

Eines der Probleme ist der nahezu Totalausfall der Datenschutzbehörden. Es gibt natürlich Ausnahmen, aber den meisten fehlt der politische Wille, es fehlen die budgetären Mittel oder das kompetente Personal. Die Leitungsposten der Behörden werden immer öfter nicht unabhängig, sondern politisch besetzt. Eine zweite Amtszeit gibt es nur bei einem wirtschaftsfreundlichen Kurs. Das führt dazu, dass es in Europa nicht mal bei 1,3 Prozent der DSGVO-Beschwerden überhaupt zu einem Bußgeld kommt. Inzwischen herrscht eine Logik des Rechtsbruches vor. In der juristischen Bubble interessiert die DSGVO keine Sau mehr, weil der Anwalt, der dich berät, mehr kostet als die potenzielle Strafe.

Die Gerichte sind auch ein Problem. Viele Richter bekommen erst mal Panik, wenn sie von Computern und DSGVO hören, denn das hatten sie nie an der Uni. Dann lesen sie die Zeitung und haben alle das Gefühl, dass die böse DSGVO viel zu hart für Unternehmen ist. Das führt dazu, dass man viele DSGVO-Verfahren verliert, nicht aus rechtlichen, sondern aus emotionalen Gründen. Immer wieder streichen Gerichte auch die Entscheidungen der Behörden und deren Bußgelder zusammen.

Den Unternehmen kommt zugute, dass Gerichtsverfahren in den meisten EU-Ländern teuer sind. Wenn die Aufsicht wegen einer Entscheidung vor Gericht gezerrt wird, dann fast ausschließlich von Unternehmen und fast nie von Betroffenen. Das hat einen Chilling-Effekt auf die Aufsichtsbehörden: Vor Bürgern brauchen sie sich nicht fürchten, vor Unternehmen schon. Ergo: Lieber mal nichts tun.

Hast du zum Schluss noch einen Lichtblick, was dir im Datenschutz gerade Hoffnung macht?

Erstens die Grundrechtecharta. Datenschutz ist in der EU ein Grundrecht und der Kernbereich kann nicht abgeschafft werden, sofern nicht plötzlich alle EU-Mitgliedstaaten einstimmig die Charta ändern.

Zweitens die Möglichkeit eines zivilrechtlichen Vorgehens bei Datenschutzverstößen und die neuen EU-Sammelklagen. Wir sind damit irgendwann nicht mehr auf die Datenschutzbehörden angewiesen. Ich finde das politisch nicht schön, hier auch mit Sammelklagen anzufangen. Lieber wäre mir, wenn alles von vorneherein rechtskonform ist und die Aufsichtsbehörden das auch sicherstellen, statt dass man im Nachhinein bei Problemen auf Schadenersatz klagt. Aber das ist leider eine Sprache, die auch die großen US-Konzerne verstehen. Selbst bei kleinen Schadensersatzsummen von wenigen hundert Euro kommt man bei Millionen Betroffenen schnell auf interessante Summen.

Wir haben das mit noyb in Österreich auch schon mal getestet, da haben uns viele gesagt: Ich will das Geld gar nicht, ich will nur, dass man mal was gegen die Konzerne macht. Das war also ein sehr anderes Bild als das der geldgierigen Kläger, das manche zeichnen. Das hat mich sehr ermutigt.

Vielen Dank für deine Arbeit und das Gespräch.

Ingo Dachwitz ist Journalist und Kommunikationswissenschaftler. Seit 2016 ist er Redakteur bei netzpolitik.org und u.a. Ko-Host des Podcasts Off/On. Er schreibt häufig über Datenmissbrauch und Datenschutz, Big Tech, Plattformregulierung, Transparenz, Lobbyismus, Online-Werbung, Wahlkämpfe und die Polizei. 2024 wurde er mit dem Alternativen Medienpreis und dem Grimme-Online-Award ausgezeichnet. Ingo ist Mitglied des Vereins Digitale Gesellschaft sowie der Evangelischen Kirche. Seit 02/2025 ist sein Buch erhältlich: “Digitaler Kolonialismus: Wie Tech-Konzerne und Großmächte die Welt unter sich aufteilen”. Kontakt: E-Mail (OpenPGP), Mastodon, Bluesky, FragDenStaat. Dieser Beitrag ist eine Übernahme von netzpolitik, gemäss Lizenz Creative Commons BY-NC-SA 4.0.

"Dank der Erfahrung mit Google, Meta, Microsoft & Co gehen die Menschen nicht ganz zu Unrecht davon aus, dass die Konzerne alle Daten über jeden sammeln und für alles nutzen, was dem eigenen Geschäft dient. „Privat“ ist daran nur, dass die Daten nicht veröffentlicht werden." Steffen Voß
#DigitalerOmnibus: #Datenschutz ist die Voraussetzung für Datennutzung! https://kaffeeringe.de/2025/12/03/datenschutz-ist-die-voraussetzung-fuer-datennutzung/

Falsche Richtung

Interview mit der Bundesdatenschutzbeauftragten: „Die aktuelle Debatte geht in die falsche Richtung“

Louisa Specht-Riemenschneider erklärt, warum KI und Datenschutz so schlecht zusammengehen und die Datenpolitik ein gesellschaftspolitisches Ziel braucht. Außerdem nennt sie eine überraschend niedrige Zahl neuer Mitarbeitender, falls ihre Behörde die zentrale Wirtschaftsaufsicht erhält.

Seit gut einem Jahr ist Louisa Specht-Riemenschneider Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI). Nicht nur die schwarz-rote Bundesregierung hat sich mittlerweile weitreichende Reformen beim Datenschutz vorgenommen, sondern auch die EU-Kommission will die Datenschutzgrundverordnung erstmalig schleifen.

Wir haben Specht-Riemenschneider in ihrem Berliner Büro getroffen und sie gefragt, wo sie in der hitzig geführten Reformdebatte steht. Sie kritisiert Teile der Pläne der EU-Kommission, spricht sich aber auch selbst entschieden für eine Reform aus. Der datenschutzrechtliche Rahmen erfülle seine Funktion nicht, allerdings laufe die aktuelle Debatte in die falsche Richtung. Vor Veränderungen in der Datenpolitik müsse eine gesellschaftspolitische Zielsetzung stehen, so die Forderung der Datenschutzbeauftragten.

Auch zu den umstrittenen Themen Gesundheitsdigitalisierung und Reform der Datenschutzaufsicht in Deutschland haben wir die Juristin befragt.

„An jeder Ecke fehlen Daten für gemeinwohlorientierte Zwecke“

Sie haben als Rechtswissenschaftlerin immer die Bedeutung von Daten für Innovation betont und einen Ausgleich zwischen Datennutzung und Datenschutz gesucht. Für viele bedeutet das momentan vor allem, den Datenschutz zurückzubauen. Auf dem Digitale-Souveränitäts-Gipfel in Berlin lautete die neue Leitlinie „Product First, Regulation Second“. Ihre Behörde soll den Zusatz „Beauftragte für Datennutzung“ erhalten. Geht die Entwicklung also in die richtige Richtung?

Für mich stand nie zur Debatte, ob Datenschutz und Datennutzung zusammengehen. Die DSGVO soll genau das erreichen. Sie will ja nicht Datennutzung um jeden Preis verhindern, sondern gewährleisten, dass dabei Grundrechte gewahrt bleiben. Gleichzeitig gibt es andere Grundrechte wie den Schutz der Gesundheit, die es notwendig machen, dass Daten verarbeitet werden. Beides muss man in Einklang bringen.

In der öffentlichen Debatte wird derzeit allerdings versucht, diese zwei Positionen gegeneinander auszuspielen. Wir sind an einem Punkt, wo wir eine entscheidende Weichenstellung machen können. Und ich würde mir eine viel stärker gesellschaftspolitische Diskussion darüber wünschen, wo wir eigentlich hin wollen.

Also für welche Zwecke Daten genutzt werden sollen und für welche nicht?

Ja, wollen wir als Gesellschaft etwa Daten für verbesserte Krebstherapien nutzen? Oder wollen wir verbesserte Datennutzbarkeit für rein kommerzielle Interessen? Das beantwortet mir momentan politisch niemand.

Wir haben zwar 1.000 Strategien, aber es fehlt ein Leitbild, an dem wir die Datenpolitik und auch die Regulierung ausrichten. Gerade jetzt wäre die Gelegenheit, in der wir in Europa – anders als die USA oder China – eine Datennutzungsagenda entwickeln könnten, die Grundrechte, Demokratie und Freiheit mitdenkt.

Bei der Gesundheitsdigitalisierung heißt es, der Datenschutz gefährde Leben. In der Wirtschaft gefährde er Europas Wettbewerbsfähigkeit. Spüren Sie diesen Gegenwind?

Ja, und ich finde es unheimlich schade, dass die Diskussion in die falsche Richtung geht. Der Rechtsrahmen für Datenschutz und Datennutzung funktioniert offensichtlich nicht so, wie er eigentlich funktionieren sollte. Einerseits haben wir eine unglaubliche Masse an Daten, die rechtswidrig genutzt werden, wie etwa die „Databroker Files“ gezeigt haben. Andererseits fehlen an jeder Ecke Daten für gemeinwohlorientierte Zwecke.

Diese Gemengelage führt dazu, dass der Datenschutz zum Buhmann für alles gemacht wird. Vergangenes Jahr habe ich gelesen, dass in einem Seniorenheim keine Weckmänner verteilt werden konnten, wegen des Datenschutzes. Das ist natürlich großer Quatsch, aber diese Missverständnisse werden unter anderem dadurch hervorgerufen, dass der Rechtsrahmen sehr komplex ist.

„Es gibt im Omnibus auch Aspekte, die ich begrüße“

Mit ihrem „Digitalen Omnibus“ fährt die EU-Kommission aktuell in die andere Richtung. Sie schlägt erstmals weitreichende Änderungen an der DSGVO vor. Verbraucher- und Datenschutzorganisationen sowie Teile des EU-Parlaments sprechen von einem Angriff auf die Grundlagen des europäischen Datenschutzes.

Ich halte nichts davon, die Welt in Schwarz und Weiß einzuteilen. Die Kommission schlägt Regelungen vor, von denen einige datenschutzrechtlich ganz klar kritisch zu werten sind. Wenn ich zum Beispiel meine Betroffenenrechte nur noch für datenschutzrechtliche Zwecke ausüben darf, dann schränkt mich das in meinen Rechten elementar ein. Gegen einen Missbrauchseinwand spricht nichts, aber er muss richtig formuliert sein.

Es gibt im Omnibus jedoch auch Aspekte, die ich begrüße. Die Vereinheitlichung von Digitalrechtsakten zum Beispiel, also die Zusammenfassung von Datennutzungsgesetzen im Data Act. Auch die Vorschläge zu Cookie-Bannern sind in ihrer Grundrichtung zu begrüßen.

Für Kritik sorgt auch der Plan, die Definition personenbezogener Daten deutlich enger zu fassen und pseudonymisierte Daten unter bestimmten Umständen von der DSGVO auszunehmen. Man folge da nur der Rechtsprechung des Europäischen Gerichtshofs, heißt es von der Kommission. Der Jurist und Datenschutzexperte Max Schrems und andere sagen, das geht weit darüber hinaus. Wer hat Recht?

Man kann das Urteil so oder so lesen. Ich frage mich, ob die geplanten Änderungen – wenn man genau hinschaut – tatsächlich eine Abweichung vom derzeitigen Standard darstellen. Dazu berate ich mich gerade noch mit meinen Kolleg:innen in der Datenschutzkonferenz und möchte dem ungern vorgreifen.

Ein weiterer Streitpunkt sind KI-Systeme. Die Kommission will klarstellen, dass diese auch ohne Einwilligung, auf Basis des legitimen Interesses, mit personenbezogenen Daten trainiert und betrieben werden dürfen.

Die Kommission folgt hier einer Empfehlung des Europäischen Datenschutzausschusses, bei der jedoch leider nicht genau ausformuliert wurde, unter welchen Bedingungen KI auf das berechtigte Interesse gestützt werden kann. Der Omnibus unterscheidet hier leider auch nicht zwischen KI-Training zu kommerziellen oder zu gemeinwohlorientierten Zwecken oder zur Ausübung anderer Grundrechte.

Sie ist offenbar getrieben von der Sorge, Europa könne im sogenannten KI-Wettrennen verlieren. Gehen Datenschutz und KI einfach nicht zusammen?

Ja, der geltende Datenschutz-Rechtsrahmen und KI gehen ganz schlecht zusammen. Das Hauptproblem ist, dass unklar ist, wie man Betroffenenrechte geltend machen soll, wenn KI-Systeme sich einzelne Daten merken. Wie sollen Löschansprüche ausgeübt werden? Wie soll der Berichtigungsanspruch praktisch umgesetzt werden? Diese Fragen beantwortet auch der Digitale Omnibus nicht. Es wäre klug, wenn sich der europäische Gesetzgeber die Zeit nehmen würde, über diese Frage etwas intensiver nachzudenken.

Da sind wir auch wieder bei der Gretchenfrage: Für welche Zwecke wollen wir als Gesellschaft KI und für welche nicht? Das scheint mir wirklich eine Grundsatzdiskussion zu sein, die wir dringend führen und dann gesetzgeberisch entsprechend handeln müssen. Entwicklung und Einsatz von KI für gemeinwohlorientierte Zwecke oder zur Ausübung von Grundrechten würde ich gern gesetzlich privilegiert sehen, für andere Zwecke ist das meines Erachtens weniger erforderlich. Große Player, die kommerzielle KI-Modelle anbieten, können mit der Rechtsunsicherheit gut umgehen.

Wo eine Reform ansetzen sollte

Viele Datenschützer:innen warnen davor, im aktuellen politischen Klima solche Grundsatzfragen zu stellen und das große Fass DSGVO überhaupt aufzumachen.

Ich möchte eine Grundsatzdebatte sogar vehement einfordern. Der bestehende Rechtsrahmen funktioniert nicht so, wie er funktionieren soll. Natürlich will ich die DSGVO nicht insgesamt nochmal zur Abstimmung stellen. Aber wir sollten über Nachbesserungen im geltenden Rechtsrahmen sprechen. Das Interessante am Omnibus ist ja nicht nur das, was drinsteht, sondern vor allem das, was nicht drin steht.

Was fehlt Ihnen?

Wie bekomme ich zum Beispiel eine Databroker-Regelung in die DSGVO? Wie schaffen wir es, dass Selbstbestimmung nicht nur auf dem Papier existiert?

Das Grundproblem ist die Einwilligung. Wir hatten in den 1960er- und 1970er-Jahren eine ähnliche Diskussion zu Selbstbestimmung im Verbraucherschutzrecht. Schon damals war klar, dass Verbraucher:innen Entscheidungen treffen, die manchmal nicht selbstbestimmt sind, weil es Machtasymmetrien gibt. Also müssen wir dafür sorgen, dass wir die Vertragsparteien auf Augenhöhe bekommen, damit Verbraucher:innen gleichberechtigt entscheiden können.

Warum führen wir diese Diskussion nicht auch bei der DSGVO? Dafür müssen wir deren Grundsätze nicht anfassen, sondern an die Frage der Einwilligung ran. Und wir müssen dafür sorgen, dass die DSGVO besser in der Praxis umgesetzt wird. Das ist nur vordergründig eine Frage des Bürokratieabbaus.

Sondern?

Ich höre oft von Unternehmer:innen, dass sie Datenschutz beachten wollen, aber nicht wissen, wie sie dabei am besten vorgehen. Wenn wir also am Ende mehr Rechtsklarheit in die Verordnung hineinbekommen, dann ist das auch ein Weg, um Betroffene besser zu schützen, weil die Regeln besser umgesetzt können. Auch der risikobasierte Ansatz der DSGVO sollte weiter ausdifferenziert werden. Also dass nicht alle die gleichen Pflichten haben, sondern ähnlich wie bei der KI-Verordnung die Verantwortung größer ist, wenn das Risiko der Datenverarbeitung zunimmt.

Wie man das Problem der Databroker lösen könnte

Erst kürzlich konnten wir mit den gerade schon angesprochenen Databroker-Recherchen zeigen, wie sich selbst hochrangiges EU-Personal ausspionieren lässt – mit Daten aus dem Ökosystem der Online-Werbung, die wir kostenfrei von Databrokern bekommen haben. Wie löst man dieses Problem?

Das ist nicht trivial, weil Werbe-Tracking mit Einwilligung zulässig sein kann, in vielen Fällen wohl aber Zweifel an der Rechtsgültigkeit der Einwilligungen bestehen. Deshalb müssen wir uns zunächst anschauen, wie die Datenströme verlaufen: Ich habe ein Endgerät mit der Werbe-ID, von dem Daten an einen Databroker gehen, der häufig in einem Drittstaat sitzt, beispielsweise in den USA. Und dann habe ich einen Datenankäufer, der etwa in einem anderen europäischen Staat sitzt.

Den Databroker in den USA kriegt man aufsichtsrechtlich sehr schwer zu fassen, da bräuchte man Amtshilfe von US-Behörden. Beim Datenankäufer ist es einfacher, wenn er in einem EU-Mitgliedstaat sitzt. Er ist aber das letzte Glied in der Kette. Selbst wenn wir nachweisen können, dass er sich datenschutzwidrig verhält, beendet das noch nicht den Datenhandel.

Daher wäre es am sinnvollsten, die Apps ins Visier zu nehmen, die die Werbe-ID weitergeben. Wir sollten darüber nachdenken, ob die Ausleitung der Werbe-ID grundsätzlich beschränkt werden sollte – auch wenn Nutzer:innen „einwilligen“. Das könnte man übrigens auch in einem Omnibus regeln.

Um die Komplexität noch zu erhöhen, gibt es auch noch das Teilproblem der Datenmarktplätze. Das sind die Plattformen, auf denen Interessierte und Anbieter von Daten zusammenkommen. Der größte Marktplatz hat seinen Sitz in Berlin, die Berliner Datenschutzaufsicht kam zu dem Schluss, dass die DSGVO nicht anwendbar ist, weil er nur Kontakte vermittelt und selbst die Datensätze nicht verarbeitet.

Wir hatten eine ähnliche Situation schon mal beim geistigen Eigentum. Filesharing-Clients hatten einst auch argumentiert, dass sie nur den Kontakt zwischen Person A und Person B herstellen, die dann Musikstücke austauschen. Damals haben die Gerichte die Vermittlungsplattform mit dem Täter quasi gleichgestellt. Eine solche Störerhaftung könnte man auch im Datenschutzrecht vorsehen.

Ich weiß, dass es die Rechtsauffassung gibt, dass die Tätigkeiten von Datenmarktplätzen heute schon eine Verarbeitungstätigkeit sind. Aber selbst dann wäre es hilfreich, dies explizit ins Gesetz zu schreiben, um Rechtsklarheit zu schaffen. Das könnte man gegebenenfalls sogar auf nationaler Ebene lösen, ohne den Weg über die EU.

„Eine Verpflichtung wäre eine großer Schritt“

Überraschenderweise hat die EU-Kommission auch einen neuen Rechtsrahmen für Consent-Manager für Cookies in den Omnibus aufgenommen, obwohl dieser ja eigentlich nur eine technische Anpassung sein sollte. In Deutschland gibt es die Möglichkeit schon länger, Ihre Behörde hat neulich den ersten Cookie-Manager für Deutschland anerkannt. Würde das das Databroker-Problem lösen?

Nein, aber es löst ein anderes Problem.

Wenn ich das Ziel verfolge, Cookie-Banner zu reduzieren, dann habe ich dafür verschiedene Möglichkeiten. Eine besteht darin, den Verbraucher:innen die Möglichkeit zu geben, vorab generell zu erklären, für welche Zwecke Cookies bei ihnen gesetzt werden dürfen und für welche nicht. Und die Website-Betreiber zugleich dazu zu verpflichten, diese Entscheidung auch zu akzeptieren.

Das ist auch der Punkt, den ich beim Omnibus einigermaßen positiv sehe. Da steht drin, dass Website-Betreiber die Cookie-Einstellung akzeptieren sollten. Wenn die Vorgabe so zu lesen ist, dass sie dazu verpflichtet sind, dann wäre das ein großer Schritt. Denn diese Pflicht sieht die deutsche Rechtslage derzeit nicht vor. Das ist ja der große Kritikpunkt an den Einwilligungsmanagementsystemen, wie sie in Deutschland gegenwärtig vorgesehen sind.

„Hundertprozentige Sicherheit gibt es nicht“

Sie sprachen eingangs das Grundrecht auf Schutz der Gesundheit an. Die elektronische Patientenakte hat ein ereignisreiches Jahr hinter sich. Auf Sicherheitslücken in der ePA angesprochen, haben Sie mal den Vergleich gezogen, dass in ein Haus auch eingebrochen werden kann – „ganz gleich, wie gut die Alarmanlage ist“. Ist das nicht eine schräge Analogie?

Was ich damit sagen wollte, ist, dass wir nie eine hundertprozentige Sicherheit im technischen System haben können. Eine solche Sicherheit gibt es nicht.

Wir müssen allerdings alles tun, um Sicherheitslücken so früh wie möglich zu erkennen, zu schließen und deren Zahl so gering wie möglich zu halten. Das sind die drei Dinge, die wahnsinnig wichtig sind.

Allerdings ist bei der Sicherheit der ePA das Bundesamt für Sicherheit in der Informationstechnik (BSI) der primäre Ansprechpartner. Wir als Datenschutzaufsicht schauen uns vor allem die Datenverarbeitung an, die in der ePA stattfindet. Das BSI ist dafür zuständig, im Dialog mit dem Bundesgesundheitsministerium und der Gematik, die Sicherheitslücken zu schließen. Wir werden dann darüber informiert und dürfen uns dazu äußern.

Das war ja mal anders.

Früher mussten Spezifikation der Gematik von uns „freigeben“ werden, sie musste also Einvernehmen mit uns herstellen. Jetzt muss sie uns nur noch ins Benehmen setzen. Ich darf jetzt zwar etwas sagen, aber man muss mir theoretisch nicht mehr zuhören.

In ihren Vorversionen verfügte die ePA noch über zahlreiche Möglichkeiten, mit denen Versicherte genauer einstellen konnten, welche Dokumente Behandelnde sehen dürfen und welche nicht. Davon ist heute nicht mehr viel übrig. Ist das Versprechen einer patientenzenterierten ePA überhaupt noch zu halten?

Es kommt darauf an, was man als patientenzentriert definiert. Die Einstellungen in der ePA 2.0 waren dokumentengenauer. Das wurde ein Stück weit zurückgeschraubt. Wir werden allerdings mit dem Europäischen Gesundheitsdatenraum (EHDS) bald eine Rechtslage bekommen, die möglicherweise wieder feinere Einstellungen vorsieht. Die Details dazu werden derzeit noch ausgearbeitet.

Ein großes Problem in der ePA war, dass Leistungserbringer immer auch die Abrechnungsdaten zu sehen bekamen, die die Krankenkasse in die Patientenakte einstellt. Selbst wenn ich eingestellt hatte, dass bestimmte Leistungserbringer Dokumente nicht sehen sollen. Ärzte hätten dann trotzdem sehen können, dass man schon bei einem anderen Arzt war und wie die Diagnose lautete. Das ist zumindest abgestellt worden und das ist ein Fortschritt.

„Für eine patientenztentrierte ePA ist es noch nicht zu spät“

Dennoch bleibt die Frage, ob die Chance vertan wurde, ein großes Digitalisierungsprojekt datenschutzorientiert auf die Beine zu stellen?

Ich muss selbst entscheiden können, welche Daten in meine ePA hineinkommen. Das kann ich aber nur tun, wenn ich vernünftig informiert werde. Bislang wird äußerst wenig dafür getan, dass Informationen auch bei den Menschen ankommen.

Und das vor allem deswegen, weil das Gesetz überall Informationserteilungspflichten vorsieht, aber nicht fordert, dass die Information von den Patient:innen auch wahrgenommen wird. Erst jetzt startet eine breit angelegte Werbekampagne des BMG. Insgesamt wurde aus meiner Sicht viel zu spät und mit viel zu geringer Priorität informiert. Wir haben dazu gerade eine große Umfrage durchgeführt und veröffentlichen die Ergebnisse bald in unserem Datenschutzbarometer.

Wir haben unzählige Beratungsschreiben an die Krankenkassen geschrieben, damit die Informationen möglichst gut verstanden werden. Damit Menschen sich wirklich befähigt fühlen, informierte Entscheidungen zu treffen, muss ich anders informieren als in einem fünfseitigen Brief, den Versicherte bekommen und dann achtlos in den Müll schmeißen, weil sie denken, das es eine weitere Beitragsanpassung ist. Ich sehe die Verantwortung aber hier wie gesagt auch beim Gesetzgeber.

Ist die Chance vertan, dass die ePA dem Anspruch an Information und Selbstbestimmung gerecht wird? Ich glaube nicht. Aber es ist verdammt spät.

„Das würde meine Behörde und mich sehr schmerzen“

Lassen Sie uns zum Schluss über eine weitere Datenschutz-Baustelle sprechen: die Verteilung der Aufsichtskompetenz in Deutschland. Ihre Behörde könnte die Aufsicht über die Geheimdienste verlieren.

Das ist für mich eine ganz schwierige Situation. Der Verlust der Aufsicht über die Nachrichtendienste würde meine Behörde und mich sehr schmerzen. Nicht weil wir dann zwanzig Mitarbeiter weniger hätten. Sondern weil wir die einzige Stelle sind, die eine komplette Übersicht über die Sicherheitsbehörden insgesamt hat und darüber, wie sie Daten von Bürgerinnen und Bürgern nutzen.

Die aktuelle politische Diskussion geht klar in die Richtung, dass Nachrichtendienste mehr Befugnisse erhalten sollen. Ein solcher Machtzuwachs lässt sich aber nur dann rechtfertigen, wenn gleichzeitig ein vernünftiges Aufsichtsregime gewährleistet wird.

Die Pläne kämen einer Entmachtung Ihrer Behörde gleich.

Teile der Aufsicht, die wir bisher ausgeübt haben, sollen in einen unabhängigen Kontrollrat verlagert werden. Das wäre eine Zerfaserung der Aufsicht, die Gesamtübersicht über die Sicherheitsbehörden wäre nicht mehr gegeben. Das finde ich bedenklich. Wir sind nämlich auch die einzige Stelle, die die Gesamtheit des Überwachungsdrucks im Blick behalten kann.

Wir haben derzeit eine Haushaltssituation, wo alle sparen sollen. Ich frage mich, wieso da eine neue Stelle geschaffen werden soll, die Aufgaben übernimmt, für die eine andere Behörde jahrelang Kompetenz aufgebaut hat. Haben wir vielleicht zu genau hingeschaut in den vergangenen Jahren?

An anderer Stelle könnte Ihre Behörde an Bedeutung gewinnen. Der Koalitionsvertrag sieht eine Bündelung der Zuständigkeiten und Kompetenzen bei der Aufsicht über Wirtschaft und Vereine bei Ihnen vor. Dafür kursieren unterschiedliche Modelle.

Auch diese Situation ist für mich persönlich nicht ganz leicht, weil ich meine Kolleg:innen aus der Datenschutzkonferenz (DSK) sehr schätze. Die Landesdatenschutzaufsichtsbehörden machen hervorragende Arbeit.

Gleichwohl glaube ich, dass 18 Aufsichtsbehörden zwangsläufig auch mal unterschiedliche Rechtsauffassungen vertreten. Wir können nicht alles auf DSK-Ebene diskutieren und gemeinsam entscheiden. Es gibt daher gute Argumente für eine Bündelung. Ich glaube auch, dass man Aufsicht und Beratung dann besser skalieren könnte.

Unabhängig davon, welches Modell es am Ende wird, muss die Datenschutzkonferenz für die Aufsicht über öffentliche Stellen eine eigene Geschäftsstelle bekommen, weil durch den wechselnden Vorsitz zu viele Kapazitäten in Organisationsfragen gebunden werden.

Zum Abschluss die Preisfrage: Wie viele neue Stellen bräuchten Sie, wenn es zu einer Zentralisierung kommen sollte, also einer vollständigen Verlagerung der Wirtschaftsaufsicht von den Länderbehörden zu Ihnen?

Wir gehen je nach Ausgestaltung von einer hohen zweistelligen bis niedrigen dreistelligen Zahl aus.

Ihre Länderkolleg:innen rechnen mit deutlich höheren Zahlen.

Wir haben das intern durchgerechnet und gehen von Skalierungseffekten aus. Insofern kommen wir mit deutlich weniger Stellen aus, als derzeit in der öffentlichen Diskussion angenommen wird.

Ingo  Dachwitz ist Journalist und Kommunikationswissenschaftler. Seit 2016 ist er Redakteur bei netzpolitik.org und u.a. Ko-Host des Podcasts Off/On. Er schreibt häufig über Datenmissbrauch und Datenschutz, Big Tech, Plattformregulierung, Transparenz, Lobbyismus, Online-Werbung, Wahlkämpfe und die Polizei. 2024 wurde er mit dem Alternativen Medienpreis und dem Grimme-Online-Award ausgezeichnet. Ingo ist Mitglied des Vereins Digitale Gesellschaft sowie der Evangelischen Kirche. Seit 02/2025 ist sein Buch erhältlich: “Digitaler Kolonialismus: Wie Tech-Konzerne und Großmächte die Welt unter sich aufteilen”. Kontakt: E-Mail (OpenPGP), Mastodon, Bluesky, FragDenStaat

Daniel Leisegang ist Politikwissenschaftler und Co-Chefredakteur bei netzpolitik.org. Zu seinen Schwerpunkten zählen die Gesundheitsdigitalisierung, Digital Public Infrastructure und die sogenannte Künstliche Intelligenz. Daniel war einst Redakteur bei den »Blättern für deutsche und internationale Politik«. 2014 erschien von ihm das Buch »Amazon – Das Buch als Beute«; 2016 erhielt er den Alternativen Medienpreis in der Rubrik »Medienkritik«. Er gehört dem Board of Trustees von Eurozine an. Kontakt: E-Mail (OpenPGP), Mastodon, Bluesky, Threema ENU3SC7K, Telefon: +49-‭30-5771482-28‬ (Montag bis Freitag, jeweils 8 bis 18 Uhr). Dieser Beitrag ist eine Übernahme von netzpolitik, gemäss Lizenz Creative Commons BY-NC-SA 4.0.

Niko Härting zum #DigitalOmnibus in der #LTO:
🔗 https://www.lto.de/recht/hintergruende/h/vorschlaege-der-kommission-zum-digitalen-omnibus («Vorschläge der Kommission zum Digitalen Omnibus: Kein Kahl­schlag im Daten­schutz»)

#Datenschutz #DSGVO #GDPR #DigitalerOmnibus #Härting #NikoHärting

Je mehr man gerade Nachrichten liest und gerade die digitalen von #Chatkontrolle über #GoingDark bis zum #DigitalerOmnibus, desto mehr landet man wieder bei Enzensberger:

https://signaturen-magazin.de/hans-magnus-enzensberger--ins-lesebuch-fuer-die-oberstufe.html

Datenschutz ist ein Grundrecht, kein Luxus. Die Balance zwischen Innovation und Datenschutz zu finden ist wichtig, aber sie darf nicht einseitig zulasten unserer Privatsphäre gehen.
Als Bürger können wir uns einmischen. Schreibt euren Europaabgeordneten, macht euch kundig, diskutiert mit. Der Digitale Omnibus wird kommen – aber wie er am Ende aussieht, ist noch nicht in Stein gemeißelt. - Jörg Schieb | #Datenschutz #DigitalerOmnibus https://www.schieb.de/eu-kommission-will-datenschutz-lockern-was-der-digitale-omnibus-fuer-uns-bedeutet

„Digitaler Omnibus“ der EU bringt Ihre Daten in Gefahr.

Am 19. November entscheidet die EU-Kommission über den umfassenden Gesetzesvorschlag, der zahlreiche Änderungen an den Artikeln der DSGVO enthält.

Wird mit dem „Digitalen Omnibus“ die DSGVO im Dienste der Interessen von KI-Giganten ausgehöhlt?

➡️ mailbox setzt alles daran, Ihre Kommunikation und Ihre Informationen bestmöglich zu schützen: https://mailbox.org/de/sicherheit/

#DigitalerOmnibus #EU #Datenschutz #DSGVO #mailbox

Offener Brief zum Digitalen Omnibus: „Die EU muss hart erkämpften Schutz für digitale Menschenrechte bewahren“
Am 19. November stellt die Kommission zwei „Digital Omnibus“-Pakete vor. Mit ihnen droht die Aushöhlung eines ganzen Jahrzehnts von digitalem Datenschutz in Europa.

https://digitalcourage.de/blog/2025/offener-brief-digitaler-omnibus

#DigitalerOmnibus #EU #Menschenrechte #Kommission #Europa #Datenschutz

Größter Rückschritt

Digitaler Omnibus: „Größter Rückschritt für digitale Grundrechte in der Geschichte der EU“

Die Europäische Kommission arbeitet an Plänen für einen Kahlschlag bei ihren Regeln für die digitale Welt. Das belegen unter anderem Dokumente, die wir veröffentlicht haben. Im Europäischen Parlament und in der Zivilgesellschaft formiert sich dagegen massiver Widerstand.

Das erklärte Ziel von Ursula von der Leyen ist es, die Europäische Union in ihrer zweiten Amtszeit als Präsidentin der EU-Kommission wirtschaftlich und geopolitisch zu stärken. Erreichen will sie das offenbar auch durch einen weitgehenden Rückbau des Regelwerkes für die digitale Welt, welches die EU in den vergangenen zehn Jahren gestrickt hat. Davon zeugen Entwürfe für ein geplantes Gesetzespaket, die wir am vergangenen Freitag veröffentlicht haben.

Vier Regulierungsbereiche stehen im Fokus des sogenannten „digitalen Omnibus“: der Datenschutz, Regeln für die Datennutzung, Cyber-Sicherheit und die KI-Verordnung. Der Begriff Omnibus („für alle“) wird in der Gesetzgebung verwendet, wenn mehrere Rechtsakte zeitgeich geändert werden. Offizielles Ziel des umfangreichen Reformvorhabens ist die Vereinfachung und Vereinheitlichung unterschiedlicher Digitalgesetze.

Diese stehen derzeit nicht nur durch Tech-Konzerne und die US-Regierung unter Druck. Auch europäische Unternehmen und mächtige Politiker:innen wie der deutsche Bundeskanzler Friedrich Merz fordern lauthals den Abbau vermeintlich überbordender Bürokratie.

Am 19. November sollen die Pläne für den digitalen Omnibus offiziell vorgestellt werden. Nun wenden sich zahlreiche zivilgesellschaftliche Organisationen gegen die geleakten Pläne und auch mehrere Fraktionen im EU-Parlament kündigen Widerstand an.

Zivilgesellschaft warnt vor historischem Rückschritt

„Das wäre der größte Rückschritt für digitale Grundrechte in der Geschichte der EU“, heißt es in einem heute veröffentlichten Brief von mehr als 120 zivilgesellschaftlichen Organisationen. Was als „technische Straffung“ der EU-Digitalgesetze präsentiert werde, sei „in Wirklichkeit ein Versuch, heimlich Europas stärkste Schutzmaßnahmen gegen digitale Bedrohungen abzubauen“.

Zu den Unterzeichner:innen gehören Organisationen der digitalen Zivilgesellschaft, Gewerkschaften und Verbraucherschutzorganisationen aus ganz Europa, darunter European Digital Rights (EDRi), Amnesty International und Access Now. Aus Deutschland haben unter anderem der Chaos Computer Club, AlgorithmWatch, die Digitale Gesellschaft, D64, HateAid, das Zentrum für Digitalrechte und Demokratie, der Berufsverband der Datenschutzbeauftragten, die Deutsche Vereinigung für Datenschutz und Wikimedia Deutschland mitgezeichnet.

Konkret kritisieren sie unter anderem, dass die Kommission die gerade erst verabschiedeten Regeln für Künstliche Intelligenz in der EU aufweichen will. Eine Registrierungspflicht für hochriskante KI-Systeme müsse ebenso beibehalten werden wie Strafen für ihren unautorisierten Vertrieb. Die EU müsse zudem sicherstellen, dass KI sicher und diskriminierungsfrei entwickelt und demokratisch kontrolliert werde.

Ferner kritisieren die NGOs auch die Pläne zum Rückbau der Datenschutzgrundverordnung (DSGVO). Sie sei nicht nur eine der stolzesten Errungenschaften der EU, sondern auch eines der wenigen Gesetze, das allen Menschen die Kontrolle über ihre sensiblen Daten gebe – seien es Arbeiter:innen, Kinder oder Personen ohne gültige Papiere. Der Brief verweist in diesem Zusammenhang auch auf die Databroker Files, in denen netzpolitik.org zusammen mit internationalen Partnern gerade erst aufgedeckt hatte, wie leicht sich mit kommerziell gehandelten Daten auch Spitzenpersonal der EU ausspionieren lässt.

„Überstürzt und undurchsichtig“

Zwar gebe es dringenden Nachholbedarf bei der Durchsetzung der DSGVO, doch die Digitalgesetze der EU seien „die beste Verteidigung, die wir gegen digitale Ausbeutung und Überwachung durch in- und ausländische Akteure haben“. Wenn die Kommission der Wirtschaft das Leben leichter machen wolle, solle sie diese lieber durch konkrete Leitlinien und Werkzeuge bei der Umsetzung der Regeln unterstützen, statt diese über Bord zu werfen.

Das zivilgesellschaftliche Bündnis kritisiert dabei auch das „überstürzte und undurchsichtige Verfahren“, das demokratische Kontrolle umgehen solle. Getarnt als „Vereinfachung“ mit angeblich nur minimalen Änderungen würde nicht nur der digitale Omnibus soziale Rechte und den Umweltschutz abbauen. Ein anderes Vereinfachungspaket droht gerade parallel die neue EU-Lieferkettenrichtlinie auszuhöhlen, welche Konzerne für Menschenrechtsverletzungen im Ausland zur Verantwortung ziehen sollte.

Bereits Anfang der Woche hatte der österreichische Datenschutzaktivist Max Schrems vor einem Kahlschlag für die Grundrechte in Europa gewarnt und das Vorgehen der EU-Kommission mit „Trumpschen Gesetzgebungspraktiken“ verglichen. In einem ersten Brief hatten die von ihm gegründete Organisation noyb, der Irish Council for Civil Liberties und EDRi schon am Montag nicht mit Kritik gespart.

Sozialdemokrat:innen kündigen Widerstand an

Auch im demokratischen und pro-europäischen Lager des EU-Parlaments formiert sich parteiübergreifender Widerstand gegen die Pläne der Kommission. In offenen Briefe lehnen die Fraktionen von Sozialdemokraten, Liberalen und Grünen die Kommissionspläne sehr weitgehend ab.

Am Dienstag wandten sich führende sozialdemokratische Abgeordnete im Namen der Fraktion der Socialists & Democrats (S&D) gegen die Pläne der Kommission. In einem Schreiben an die zuständige Vizepräsidentin Henna Virkkunen heißt es: „Die S&D-Fraktion wird sich entschieden gegen jeden Versuch stellen, das Schutzniveau für unsere Bürger:innen zu senken.“

Auf vier Seiten zerpflücken die sozialdemokratischen Abgeordneten die einzelnen Vorschläge der Kommission, Schwerpunkte bilden auch hier Datenschutz- und KI-Regulierung. „Wir sind zutiefst besorgt über die vorgeschlagene Aushöhlung der Kernprinzipien der DSGVO, insbesondere über die Verwässerung der Definition von personenbezogenen Daten“, so die Parlamentarier:innen. Sie kritisieren zudem den angedachten Rückbau von Betroffenenrechten, einen geschwächten Schutz vor Werbe-Tracking und von sensiblen Daten.

„Zutiefst beunruhigt“ sind die Sozialdemokrat:innen auch über den Plan, die erst kürzlich verabschiedete KI-Verordnung zu schwächen, bevor diese überhaupt Wirkung entfalten könne. „Anstatt das Gesetz wieder zu öffnen, muss die Priorität auf der raschen Fertigstellung harmonisierter Standards und Leitlinien durch das KI-Büro liegen, um die Wechselwirkungen mit anderen Rechtsvorschriften zu klären.“

Die Abgeordneten stellen ihre Kritik zudem in einen geopolitischen Kontext: „Die globale Führungsrolle der EU im Bereich Regulierung“ werde momentan durch große Tech-Konzerne offen herausgefordert. Mit ihren Vorschlägen setze die EU-Kommission die Vorbildfunktion Europas aufs Spiel. Jetzt nachzugeben und auf Deregulierung zu setzen, schwäche die Position der EU. Der digitale Omnibus müsse „die Integrität der digitalen Rechtsordnung stärken und nicht schwächen“.

Liberale: Vereinfachung ja, aber nicht so

Auch die liberale Fraktion Renew Europe äußert sich kritisch zu den geleakten Reformplänen der Kommission. Man unterstütze das Anliegen, die europäische Wettbewerbsfähigkeit durch bessere Regulierung zu erhöhen, heißt es am Mittwochabend in einem Schreiben an Kommissionspräsidentin von der Leyen. „Wir werden uns jedoch entschieden gegen Maßnahmen wehren, die vorgeben, die Rechtslage zu vereinfachen, aber unsere Datenschutzstandards untergraben und den Schutz der Grundrechte schwächen würden.“

Konkret wenden sich die Liberalen gegen einige Maßnahmen, die die Datenschutzgrundverordnung und die KI-Verordnung aushöhlen würden. So etwa den abgeschwächten Schutz für sensible Daten und die Neudefinition personenbezogener Daten, die auf einer falschen Auslegung der Rechtsprechung des Europäischen Gerichtshofes basiere.

„Wir fordern die Kommission auf, dafür zu sorgen, dass wesentliche Änderungen am digitalen Regelwerk der EU evidenzbasiert und auf Basis angemessener Konsultation und Folgenabschätzung beruhen, insbesondere wenn es um Grundrechte geht“, so der Brief weiter. Die Kommission müsse ihren Vorschlag ändern, bevor sie ihn der Öffentlichkeit präsentiere. Europa müsse beides gemeinsam erreichen: eine wirtschaftliche Führungsrolle und die als Vorreiter für Grundrechte.

Grüne sehen Rückschritt für digitale Souveränität

Mit „großer Sorge“ habe man den kürzlich durchgesickerten Ansatz zum Digital Omnibus wahrgenommen, schreibt am Mittwochabend auch die Fraktion der Grünen im EU-Parlament an Vizepräsidentin Virkkunen. Er zeige, dass die Kommission „weit über technische Klarstellungen hinausgehen und stattdessen Gesetze aufweichen will, die den Grundstein der digitalpolitischen Errungenschaften der EU bilden“.

Neben konkreten Forderungen zum Erhalt von KI-Verordnung, DSGVO und weiteren Gesetzen betonen die Grünen, dass die Reformpläne Europas Streben nach digitaler Souveränität konterkarierten. „Durch die Priorisierung von Deregulierung und Wettbewerbsfähigkeit gegenüber strategischer Autonomie birgt der Omnibus die Gefahr, genau die Schutzmaßnahmen zu schwächen, die die EU zu einem globalen Vorreiter in der Digitalpolitik gemacht haben.“ Unter dem Druck von Big Tech und Lobbyismus der USA sowie einiger Mitgliedstaaten drohe die EU, sich in weitere Abhängigkeit zu deregulieren.

Digitale Gesellschaft kritisiert Bundesregierung

Der Verein Digitale Gesellschaft hebt in einer heute veröffentlichten Pressemitteilung auch die negative Rolle hervor, die die deutsche Regierung in der Sache spielt. Sie hatte dem Vernehmen nach mit einem Positionspapier erheblichen Einfluss auf den Anti-Regulierungskurs der EU. „Statt die Probleme der Digitalisierung in Deutschland endlich effektiv anzugehen, wird mal wieder alle Schuld auf den Datenschutz geschoben“, kritisiert Geschäftsführer Tom Jennissen.

Er erinnert daran, dass die Bundesregierung demnächst einen „europäischen Gipfel zur digitalen Souveränität“ veranstalte. „Doch statt sich endlich aus der Abhängigkeit von Big Tech zu lösen, schleift sie hinter den Kulissen den Rechtsrahmen, der genau diese Tech-Unternehmen unter Kontrolle halten soll.“

Ingo Dachwitz ist Journalist und Kommunikationswissenschaftler. Seit 2016 ist er Redakteur bei netzpolitik.org und u.a. Ko-Host des Podcasts Off/On. Er schreibt häufig über Datenmissbrauch und Datenschutz, Big Tech, Plattformregulierung, Transparenz, Lobbyismus, Online-Werbung, Wahlkämpfe und die Polizei. 2024 wurde er mit dem Alternativen Medienpreis und dem Grimme-Online-Award ausgezeichnet. Ingo ist Mitglied des Vereins Digitale Gesellschaft sowie der Evangelischen Kirche. Seit 02/2025 ist sein Buch erhältlich: “Digitaler Kolonialismus: Wie Tech-Konzerne und Großmächte die Welt unter sich aufteilen”. Kontakt: E-Mail (OpenPGP), Mastodon, Bluesky, FragDenStaat. Dieser Beitrag ist eine Übernahme von netzpolitik, gemäss Lizenz Creative Commons BY-NC-SA 4.0.

Über Ingo Dachwitz - netzpolitik:

Unter der Kennung "Gastautor:innen" fassen wir die unterschiedlichsten Beiträge externer Quellen zusammen, die wir dankbar im Beueler-Extradienst (wieder-)veröffentlichen dürfen. Die Autor*innen, Quellen und ggf. Lizenzen sind, soweit bekannt, jeweils im Beitrag vermerkt und/oder verlinkt.

Die Sache mit dem #Datenschutz kann dann jetzt doch auch weg, oder? Und Freifahrt für KIs - denn der Datenschatz will gehoben und ausgebeutet sein. Und wenn die EU schon mal dabei ist: Urheber:innenRecht gleich mitkassieren. Stört nur...

https://netzpolitik.org/2025/digitaler-omnibus-eu-kommission-strebt-offenbar-kahlschlag-beim-datenschutz-an/

Und wer denkt sich eigentlich die Projektbezeichnung "DigitalerOmnibus" aus?

#DSGVO #DigitalerOmnibus #KI #AI