EU-Rat einigt sich auf Verhandlungsmandat für DSGVO-Reform

Der EU-Rat hat sich am 21. Oktober 2026 auf eine gemeinsame Position zum sogenannten Digital Omnibus geeinigt. Das Mandat sieht vor, dass Unternehmen künftig personenbezogene Daten für KI-Entwicklung und -Betrieb auf Grundlage des berechtigten Interesses nach Artikel 6 der DSGVO verarbeiten dürfen. Eine Einzelfallabwägung bleibt jedoch zwingend erforderlich.

Die Meldefrist für Datenschutzverletzungen soll von 72 auf 96 Stunden verlängert werden, allerdings nur bei hohem Risiko für Betroffene. Die Definition personenbezogener Daten bleibt unverändert, wird jedoch um Regelungen zu Dritten ergänzt, bei denen keine Identifizierung möglich ist. Automatisierte Entscheidungen nach Artikel 22 der DSGVO sollen im Kern erhalten bleiben.

Das Mandat umfasst zudem Vorgaben zu sensiblen Restdaten, die bei Entdeckung sofort zu löschen sind. Es verweist auf das bestehende Widerspruchsrecht der Betroffenen. Das Paket zielt darauf ab, die Nutzung von Daten für KI-Training und -Anwendungen für Unternehmen zu vereinfachen.

Die Position des Rates stellt lediglich eine Verhandlungsgrundlage dar. In den kommenden Trilog-Verhandlungen mit dem Europäischen Parlament muss noch eine finale Einigung erzielt werden. Bis dahin tritt keine der geplanten Änderungen in Kraft.

Die Datenschutzorganisation noyb und Max Schrems kritisierten den Vorrang wirtschaftlicher Interessen und die breite Anwendung der Neuregelungen. Parallel dazu gelten bereits Transparenzpflichten aus der KI-Verordnung seit August 2026. Ab Dezember 2026 treten zudem Verbote nicht-einvernehmlicher intimer KI-Inhalte in Kraft.

In Deutschland gilt seit Juli 2026 das nationale Durchführungsgesetz zur KI-Verordnung. Die Bundesnetzagentur fungiert dabei als zentrale Aufsichtsbehörde.