Datenschutz hat in Unternehmen einen merkwürdigen Ruf. Die einen halten ihn für unverzichtbar, die anderen für das Geräusch, das entsteht, wenn ein Formular auf ein weiteres Formular fällt.
Nun soll Bewegung in das europäische Regelwerk kommen. Unter dem Stichwort „Digital Omnibus“ arbeitet die EU an Vereinfachungen im digitalen Recht. Betroffen sind unter anderem Datenschutz, KI-Regulierung, Datenzugang und elektronische Kommunikation.
Das Ziel klingt zunächst sympathisch: weniger Bürokratie, weniger Doppelregulierung, praxistauglichere Regeln.
Nur ist Datenschutz kein altes Kabel im Keller, das man einfach abschneidet, weil es unordentlich aussieht. Wer entlasten will, muss genau wissen, wo Bürokratie endet und Grundrechtsschutz beginnt.
Der Digital Omnibus ist ein Gesetzespaket, mit dem die EU-Kommission digitale Regelwerke vereinfachen und besser aufeinander abstimmen will. Im Fokus stehen unter anderem die Datenschutz-Grundverordnung, der AI Act, der Data Act und Regelungen zur elektronischen Kommunikation.
Der Hintergrund ist nachvollziehbar: In den vergangenen Jahren ist in Europa ein dichtes Netz digitaler Regulierung entstanden. DSGVO, AI Act, Data Act, Data Governance Act, DSA, DMA, NIS2 und weitere Vorgaben greifen teilweise ineinander, teilweise nebeneinander und gelegentlich so, dass Unternehmen sehr genau hinsehen müssen, welche Pflicht aus welcher Ecke winkt.
Für große Rechtsabteilungen ist das anspruchsvoll. Für kleinere und mittlere Unternehmen kann es schnell unübersichtlich werden.
Der Digital Omnibus soll hier entlasten: technische Unschärfen beseitigen, Dopplungen reduzieren und Verfahren vereinfachen.
Das ist die angenehme Zusammenfassung. Die weniger angenehme lautet: Es wird kompliziert bleiben.
Die DSGVO ist seit Jahren das zentrale Datenschutzregelwerk in Europa. Sie schützt personenbezogene Daten, gibt Betroffenen Rechte und verpflichtet Unternehmen zu Transparenz, Zweckbindung, Datensicherheit und Rechenschaft.
Gleichzeitig ist sie in der Unternehmenspraxis nicht immer leicht zu handhaben. Dokumentationspflichten, Informationspflichten, Datenschutz-Folgenabschätzungen, Meldepflichten und die Frage, wann genau welches berechtigte Interesse trägt, sorgen regelmäßig für Gesprächsbedarf.
Im Rahmen der Reformdiskussion stehen deshalb verschiedene Erleichterungen im Raum. Dazu gehören etwa praxistauglichere Regeln für kleine und mittlere Unternehmen, risikoorientierte Vereinfachungen und weniger Doppelaufwand bei digitalen Pflichten.
Für Unternehmen wäre das grundsätzlich eine gute Nachricht.
Wenn eine Pflicht keinen echten Schutzgewinn bringt, sondern nur Excel-Tabellen vermehrt, darf man sie prüfen. Datenschutz soll wirken. Er soll nicht bloß Papier erzeugen, das nach Ordnung aussieht und bei näherem Hinsehen nur sehr selbstbewusst gelocht wurde.
Besonders sensibel wird es dort, wo Datenschutz und Künstliche Intelligenz aufeinandertreffen.
KI-Systeme brauchen Daten. Datenschutz fragt: Welche Daten? Für welchen Zweck? Auf welcher Rechtsgrundlage? Wie transparent? Wie lange? Mit welchen Rechten für Betroffene?
Das passt nicht immer bequem zusammen.
Gerade beim Training von KI-Modellen, bei der Nutzung personenbezogener Daten, bei pseudonymisierten Daten und bei der Verarbeitung besonderer Kategorien personenbezogener Daten wird politisch und rechtlich intensiv diskutiert.
Für Unternehmen wäre mehr Klarheit hilfreich. Denn viele KI-Projekte scheitern nicht am fehlenden Interesse, sondern an Unsicherheit: Dürfen wir diese Daten verwenden? Reicht eine Anonymisierung? Ist das noch derselbe Zweck? Brauchen wir eine Einwilligung? Oder ein berechtigtes Interesse? Und was passiert, wenn ein KI-System später anders genutzt wird als ursprünglich geplant?
Hier könnte ein gut gemachter Digital Omnibus tatsächlich helfen.
Aber nur, wenn Vereinfachung nicht bedeutet: Wir nennen es Innovation und hoffen, dass niemand nach den Daten fragt.
Die Reformpläne werden unterschiedlich bewertet.
Wirtschaftsverbände und viele Unternehmen begrüßen den Ansatz, digitale Regulierung übersichtlicher und praktikabler zu machen. Gerade für KMU, Vereine, nicht-kommerzielle Tätigkeiten oder risikoarme Datenverarbeitungen können Erleichterungen sinnvoll sein.
Datenschützer und Bürgerrechtsorganisationen warnen dagegen vor einer möglichen Aufweichung des Datenschutzes. Ihre Sorge: Unter dem freundlichen Wort „Vereinfachung“ könnten Regeln abgeschwächt werden, die bisher Grundrechte schützen.
Beide Seiten haben einen Punkt.
Die Kunst liegt in der Mitte: weniger unnötiger Aufwand, aber kein Rabatt auf Grundrechte.
Für Unternehmen ist wichtig: Der Digital Omnibus ist kein Freifahrtschein und kein Grund, bestehende Datenschutzprozesse einzustellen.
Solange Reformen nicht final beschlossen und anwendbar sind, gelten die bestehenden Pflichten weiter. Und selbst wenn Vereinfachungen kommen, werden zentrale Prinzipien bleiben: Rechtmäßigkeit, Transparenz, Zweckbindung, Datenminimierung, Speicherbegrenzung, Sicherheit und Rechenschaft.
Unternehmen sollten deshalb nicht auf „weniger Datenschutz“ hoffen, sondern auf bessere Struktur setzen.
Sinnvoll ist jetzt vor allem:
Ein gutes Monitoring ist hier wichtiger als hektischer Aktionismus.
Der Digital Omnibus zeigt auch: Datenschutz und KI-Governance werden künftig noch enger zusammenrücken.
Unternehmen können KI nicht isoliert betrachten. Wer KI einsetzt, berührt oft Datenschutz, Informationssicherheit, Arbeitsrecht, Urheberrecht, Produktsicherheit und den AI Act zugleich.
Deshalb braucht es klare Zuständigkeiten. Nicht zwingend immer eine neue Abteilung mit drei Bindestrichen im Namen, aber eine Funktion, die den Überblick hält.
Genau hier wird Governance praktisch.
Der Digital Omnibus kann eine Chance sein. Wenn er digitale Regulierung verständlicher macht, Doppelpflichten reduziert und Unternehmen bei risikoarmen Tätigkeiten entlastet, wäre viel gewonnen.
Aber Vereinfachung ist kein Selbstzweck.
Gute Regulierung muss praktikabel sein. Schlechte Vereinfachung macht nur so lange Freude, bis das erste Grundrecht unter die Räder kommt.
Für Unternehmen bedeutet das: beobachten, einordnen, vorbereiten. Die DSGVO verschwindet nicht. Der AI Act auch nicht. Aber beide könnten sich in einzelnen Punkten verändern.
Wer jetzt seine Datenschutz- und KI-Governance sauber aufstellt, ist unabhängig vom finalen Gesetzestext besser vorbereitet.
Denn am Ende geht es nicht darum, Bürokratie schön zu finden.
Es geht darum, Ordnung zu schaffen, ohne den Schutz zu verlieren.