Am 21. September 2026 hat noyb zwei interne Ratsdokumente zum Digital Omnibus veröffentlicht, die zuvor von Politico berichtet worden waren: den überarbeiteten Kompromisstext der irischen Ratspräsidentschaft sowie Formulierungsvorschläge der deutschen Bundesregierung. Beide Texte tragen den Vermerk „LIMITE“, sind also eigentlich nicht für die Öffentlichkeit bestimmt. Zusammen zeigen sie, wie weit die DSGVO-Reform inzwischen geht: KI-Training mit personenbezogenen Daten soll per Gesetz als berechtigtes Interesse gelten, ohne Einwilligung und ohne Abwägung im Einzelfall.
Wenn Sie in einer Verwaltung arbeiten, bei einem Dienstleister oder einfach ein Konto bei Meta haben, betrifft Sie das. Ich habe die Dokumente gelesen und mit der Berichterstattung verglichen. Was mich dabei am meisten beschäftigt hat, ist ein Detail, das mit dem Digital Omnibus auf den ersten Blick nichts zu tun hat. Dazu am Ende.
Was der Digital Omnibus ist und warum er die DSGVO-Reform bringt
Der Daten-Omnibus ist Teil einer größeren Vereinfachungs- und Deregulierungsagenda der EU-Kommission. Nachdem unter anderem bereits Umweltberichtspflichten gekappt und KI-Regeln aufgeweicht wurden, ist jetzt die Datenschutzgrundverordnung dran. Der Kommissionsvorschlag stammt vom 19. November 2025. Das Sammelgesetz soll zwar unter anderem auch mehrere Daten-Nutzungs-Gesetze der EU bündeln und Meldewege für Datenpannen vereinheitlichen, was weitgehend unumstritten ist. Der Omnibus soll allerdings auch erstmals weitgehende Änderungen an der DSGVO vornehmen.
Das sollte man sich merken, bevor man sich aufregt: Ein Großteil des Pakets ist technische Bereinigung, und manches davon ist sinnvoll. Der Streit dreht sich um wenige Artikel in einem Dokument von 158 Seiten. In so einem Umfang lässt sich viel verstecken.
Die Kommission hat den Omnibus als Paket kleiner Vereinfachungen verkauft, bei dem das Schutzniveau für Europäer erhalten bleibe. Deshalb wurde ein beschleunigtes Verfahren gewählt, ohne Grundrechtsprüfung und ohne direkte Einbindung der europäischen Datenschutz-Expertengruppe. Das Verfahren passt nicht zum Inhalt. Wer die Rechtsgrundlage für eine ganze Technologie neu schreibt, macht keine Detailkorrektur.
Artikel 88bis: KI-Training mit personenbezogenen Daten als berechtigtes Interesse
Im Zentrum steht ein neuer Artikel, der im Kommissionsvorschlag als Artikel 88c firmiert und im Ratstext nun als Artikel 88 bis geführt wird. Er soll regeln, auf welcher Rechtsgrundlage personenbezogene Daten „im Kontext der Entwicklung und des Betriebs“ von KI-Systemen und KI-Modellen verarbeitet werden dürfen.
Der Text der irischen Präsidentschaft (Ratsdokument 12535/26) formuliert, dass diese Verarbeitung auf das berechtigte Interesse nach Artikel 6 Absatz 1 lit. f DSGVO gestützt werden kann. Eine Abwägung mit den Grundrechten der Betroffenen bleibt im Text grundsätzlich vorgesehen, ebenso ein Verweis darauf, dass die Verantwortlichen weiterhin eine passende Rechtsgrundlage nach Artikel 6 wählen müssen.
Der Artikel war schon einmal weg. Die Kommission hatte ihn im November vorgeschlagen, Zypern hatte ihn während der Ratspräsidentschaft in der ersten Jahreshälfte gestrichen, jetzt ist er wieder da. Zurückgeholt hat ihn Irland, und Irland ist der EU-Sitz der meisten amerikanischen und chinesischen KI-Konzerne. Das muss kein Zusammenhang sein. Ein Zufall, den man einfach übergeht, ist es aber auch nicht.
Im selben Text stecken zwei weitere Änderungen, die weniger Aufmerksamkeit bekommen. Bei der Definition personenbezogener Daten in Artikel 4 soll ergänzt werden, dass Informationen über eine Person nicht für jede andere Stelle personenbezogen sind, nur weil irgendeine Stelle die Person identifizieren könnte. Ob Daten personenbezogen sind, hinge dann von der jeweiligen Stelle und deren Mitteln ab. Und Artikel 12 Absatz 5 soll erlauben, Betroffenenanfragen abzulehnen, wenn jemand seine Rechte für andere Zwecke als den Schutz seiner Daten missbraucht. Wer entscheidet, ob eine Anfrage missbräuchlich ist? Das Unternehmen, das die Anfrage bekommt.
Die deutschen Formulierungsvorschläge: Was das Digitalministerium zusätzlich will
Jetzt zum deutschen Papier, Ratsdokument WK 11020/2026 ADD 4 vom 17. August 2026. LobbyControl zählt die Bundesregierung zu den treibenden Kräften hinter dem Vorhaben, weil sie den Entwurf der Ratspräsidentschaft mit einem eigenen Vorschlag unterstützt. Eine zentrale Rolle spielen dabei das zuständige Digitalministerium unter Karsten Wildberger sowie das Bundesinnenministerium.
Das deutsche Papier geht an mehreren Stellen über den Kompromisstext hinaus. Der zentrale Satz, den Deutschland in Absatz 1 einfügen will: Die Verarbeitung personenbezogener Daten für Training und technischen Betrieb eines KI-Systems oder KI-Modells soll als berechtigtes Interesse vermutet werden. Aus der Möglichkeit, sich auf ein berechtigtes Interesse zu stützen, würde damit eine gesetzliche Vermutung. Zugleich streicht der deutsche Vorschlag in diesem Absatz die Einschränkungen „where appropriate“ sowie den Verweis auf nationale Gesetze, die eine Einwilligung verlangen.
Der Unterschied zwischen „kann“ und „wird vermutet“ ist kein Wortklauberei. Bisher muss ein Unternehmen im Einzelfall abwägen, ob sein Interesse die Grundrechte der Betroffenen überwiegt. Diese Abwägung kann für KI-Training positiv ausgehen, das bestreitet niemand. Aber sie muss stattfinden, und sie ist angreifbar. Eine gesetzliche Vermutung dreht die Beweislast um. Nicht mehr das Unternehmen muss begründen, warum es Ihre Daten nutzen darf. Sie müssten darlegen, warum in Ihrem Fall die Vermutung nicht greift.
Es geht weiter. Eine zweite Vermutung betrifft die Zweckbindung: Daten, die ursprünglich zu ganz anderen Zwecken erhoben wurden, gälten für KI-Training also im Regelfall als zweckkompatibel. Wer vor zehn Jahren einem Onlineshop seine Adresse gegeben hat, dessen Daten wären damit für ein Sprachmodell „kompatibel“. Und dann Absatz 6: Die Pflichten und Rechte aus den Artikeln 14 und 16 bis 18 sollen nicht gelten, wenn die Einhaltung unmöglich ist oder einen unverhältnismäßigen Aufwand bedeuten würde. Betroffen wären damit die Informationspflicht bei nicht direkt erhobenen Daten (Artikel 14), das Recht auf Berichtigung (Artikel 16), das Recht auf Löschung (Artikel 17) und das Recht auf Einschränkung der Verarbeitung (Artikel 18). Als Ersatz sollen Unternehmen vor dem Training öffentlich bekanntgeben, dass Daten genutzt werden. Wer die Bekanntmachung verpasst, hat Pech gehabt.
Auffällig ist außerdem, was Deutschland streichen will: Im Schutzklausel-Absatz 4 entfällt die von der Präsidentschaft vorgesehene Liste an Garantien, darunter die Datenminimierung bei der Quellenauswahl und ausdrücklich das unbedingte Widerspruchsrecht der Betroffenen. Die Iren hatten diese Garantien immerhin vorgesehen. Berlin hält sie für verzichtbar.
Fairerweise: Der deutsche Text enthält auch Einschränkungen zugunsten der Betroffenen. Die Vermutung soll nicht gelten, wenn die Verarbeitung gezielt auf bestimmte Personen gerichtet ist, wenn ein System zur Identifizierung, Überwachung oder Bewertung von Personen ausgelegt ist oder wenn es der synthetischen Erzeugung von Stimme, Bild oder anderen persönlichen Merkmalen einer bestimmten Person dient. Ausdrücklich ausgenommen ist zudem die Verarbeitung durch Behörden. Das sind sinnvolle Grenzen. Für den Normalfall, also das Training großer Modelle auf allem, was irgendwo gespeichert ist, gilt der Freifahrtschein trotzdem.
Wildberger verbirgt seine Linie nicht. Beim EU-Telekommunikationsrat im Juni ging es ihm laut Ministerium darum, wie man Daten besser nutzen könne, auch für KI-Training, und wie man die Wettbewerbsfähigkeit stärke. Man werde sich einbringen, das Ambitionsniveau hochzuhalten. Auf der Digitalministerkonferenz im Mai hatte er den Datenschutz als eines der Hindernisse benannt, die dem Einsatz von KI-Sprachmodellen in der Verwaltung im Weg stünden. Ganz oben auf der Liste: der Datenschutz.
Kritik von noyb und den Aufsichtsbehörden: „digitale Enteignung“
Max Schrems, Vorsitzender von noyb, widerspricht vehement: „Der Vorschlag macht klar, dass die Interessen von KI-Konzernen gegenüber dem Grundrecht auf Datenschutz zukünftig vorgezogen sollen.“ Das sei „nichts anderes als die digitale Enteignung der Europäer“.
Mich überzeugt weniger die Vokabel als der strukturelle Einwand dahinter. Die DSGVO erlaubt Verarbeitungen für bestimmte Zwecke. Der vorgeschlagene Artikel 88bis (früher: 88c) legitimiere jegliche Art von Künstlicher Intelligenz an sich, unabhängig davon, für welchen Zweck man sie einsetze. „Der Artikel könnte damit auch beispielsweise Training und Nutzung von KI für Manipulation, Desinformation oder Killer-Drohnen erlauben – und damit weit über die bisher legale Nutzung hinausgehen.“ Ein Beispiel aus dem Alltag: Personalisierte Werbung ohne Einwilligung ist in der EU derzeit illegal. Wird die Werbung mit KI personalisiert, wäre sie plötzlich legal. Gleiche Handlung, anderes Werkzeug, anderes Recht.
Das zweite Argument von noyb ist industriepolitisch, und das halte ich für das stärkste. Die meisten EU-Unternehmen haben weder Zugang zu vergleichbaren Datenmengen noch das Kapital, um mit US-Konzernen zu konkurrieren. In vielen Fällen könnte das auch bedeuten, dass Daten, die von EU-Unternehmen gesammelt, aber auf Plattformen oder Diensten in den USA verarbeitet werden, an Anbieter in den USA oder China abfließen. Wer die Daten schon hat, gewinnt. Und wer die Daten schon hat, sitzt nicht in Nordhessen.
Die Kritik kommt nicht nur von Aktivisten. Kritik an der Neudefinition personenbezogener Daten kommt auch vom Europäischen Datenschutzausschuss und vom Europäischen Datenschutzbeauftragten. Beide hatten in einer gemeinsamen Stellungnahme erhebliche Bedenken angemeldet, weil das Schutzniveau sinken könnte. EDPB-Vorsitzende Anu Talus forderte die beiden gesetzgebenden Organe nachdrücklich auf, die vorgeschlagenen Änderungen der Definition personenbezogener Daten nicht anzunehmen, da sie den Schutz personenbezogener Daten erheblich schwächen könnten. Dieselben Behörden begrüßen einige Vorschläge, die zu tatsächlichen Vereinfachungen führen, etwa eine Anhebung des Risikoschwellenwerts, ab dem eine Datenschutzverletzung der zuständigen Datenschutzbehörde gemeldet werden muss. Das ist also keine Fundamentalopposition. Es ist Kritik an genau den Punkten, die Berlin noch verschärfen will.
Was die Betroffenen selbst wollen, hat noyb gemessen: Nur 7 Prozent der deutschen Meta-Nutzer stimmen einer Nutzung ihrer Daten für KI-Training zu.
Die Gegenposition: Rechtssicherheit für europäische KI-Anbieter
Die Befürworter nur als Handlanger der Lobby darzustellen, wäre zu einfach. Ihre Argumente sollten Sie kennen, auch wenn ich sie am Ende nicht teile.
Die EU-Kommission begründet den Digital Omnibus damit, Unternehmen, Verwaltungen und Bürger rasch zu entlasten und die Wettbewerbsfähigkeit zu stärken. Aus Sicht der Kommission handelt es sich bei einem Großteil der Änderungen um Klarstellungen, die das Schutzniveau nicht absenken. Der Bitkom etwa fordert „gezielte und verhältnismäßige Anpassungen“, die praktische Reibungen im bestehenden Rechtsrahmen adressieren, ohne Grundrechte oder Schutzstandards zu schwächen. Branchenverbände verweisen darauf, dass europäische Anbieter derzeit im Unklaren darüber sind, auf welcher Rechtsgrundlage sie Modelle trainieren dürfen, während außereuropäische Wettbewerber ihre Modelle anderswo trainieren.
Auch aus der Anwaltschaft gab es zum Kommissionsvorschlag gelassene Stimmen. Auf LTO hieß es im November 2025, in der gelebten Datenschutzpraxis würde sich durch Artikel 88c erst recht nichts ändern, weil die Abwägungspflicht bestehen bleibe.
Das Argument mit der Rechtsunsicherheit ist berechtigt. Es gilt aber nur für die Fassung der Kommission und der Ratspräsidentschaft, denn die lassen die Abwägung stehen. Das deutsche Papier tut das nicht. Es ersetzt die Abwägung durch eine Vermutung und streicht das Widerspruchsrecht aus der Schutzklausel. Wer heute noch sagt, in der Praxis ändere sich nichts, hat den deutschen Vorschlag nicht gelesen. Der ist vom August, die LTO-Einschätzung vom November davor.
Bleibt die Behauptung, europäische Anbieter profitierten. Ein Mittelständler aus Kassel hat keine zwanzig Jahre Nutzerdaten im Archiv. Meta hat sie. Die Vermutungsregel macht aus diesem Archiv einen Rohstoff, und der liegt fast vollständig bei den Konzernen, von denen Europa angeblich unabhängiger werden will.
Die KI-Lobby in Brüssel: Wer den Text mitgeschrieben hat
Dass die Tech-Konzerne das Ergebnis vorgezeichnet haben, ist keine Vermutung mehr. Corporate Europe Observatory und LobbyControl haben in einer Analyse Big Techs Fingerabdrücke auf den Digital-Omnibus-Vorschlägen nachgezeichnet und dazu die Kommissionsvorschläge mit den Lobbypositionen von Big Tech und seinen Verbänden verglichen. Artikel für Artikel.
Google, Meta, Microsoft, Amazon und Apple zählen in Brüssel zu den mächtigsten Konzernen. Aktuell geben die Tech-Konzerne in Brüssel mehr als 39,5 Mio. € pro Jahr für Lobbyarbeit aus. Die rechtliche Anerkennung des Trainings von KI-Modellen mit personenbezogenen Daten als „berechtigtes Interesse“ ist eine zentrale Forderung der Tech-Lobby in Deutschland und Europa. Die Bundesregierung geht mit ihrer Vermutungsregel sogar noch einen Schritt weiter, als die Lobby gefordert hat.
Felix Duffy von LobbyControl benennt den Widerspruch: Von den Plänen würden vor allem die großen US-Tech-Konzerne profitieren. Anstatt Vorteile für europäische Unternehmen zu verschaffen, untergräbt die Bundesregierung damit ihr selbst gesetztes Ziel, unabhängiger von Big Tech und den USA zu werden.
Informationsfreiheitsgesetz-Reform: Berechtigtes Interesse, nur andersherum
Jetzt zu dem Detail, das mich nicht loslässt.
Am 2. Juli 2026 beschloss der Koalitionsausschuss der Bundesregierung, das Informationsfreiheitsgesetz (IFG) erheblich zu ändern. Zivilgesellschaft und Journalisten bekämen damit deutlich schwerer Zugang zu amtlichen Informationen über das, was Regierung und Behörden tun. Im Abschlusspapier heißt es: „Wir wollen die Auskunftsrechte künftig auf natürliche Personen fokussieren, die ein berechtigtes Interesse an einer Auskunft haben und diese nicht durch andere Regelungen erreichen können“. Weiterhin werde geprüft, ob der Kreis der betreffenden Personen auf in Deutschland lebende Deutsche und Unionsbürger beschränkt wird.
Lesen Sie den Satz noch einmal. Berechtigtes Interesse.
Ein KI-Konzern, der die Daten von Millionen Menschen ohne deren Wissen in ein Modell kippt, soll das berechtigte Interesse per Gesetz vermutet bekommen. Ein Bürger, der wissen will, was sein eigenes Innenministerium in seinem Namen tut, soll das berechtigte Interesse künftig nachweisen müssen. Derselbe Rechtsbegriff, entgegengesetzte Richtung. Für Konzerne die Vermutung, für Bürger die Hürde.
Das IFG gewährt seit 2006 einen voraussetzungslosen Anspruch auf Informationen der Behörden des Bundes, unabhängig davon, ob der Fragende ein besonderes Interesse nachweisen kann. Genau das würde umgekehrt. Wenn künftig nur noch Privatpersonen frageberechtigt seien, blieben Organisationen wie die Deutsche Umwelthilfe, Amnesty International und FragDenStaat außen vor, sagt Arne Semsrott von FragDenStaat. Die Recherchen zur gescheiterten Pkw-Maut und zur Maskenaffäre wären ohne IFG-Anfragen möglicherweise nie publik geworden.
Dass es um mehr geht als Bürokratieabbau, zeigt ein Vermerk aus dem Bundesinnenministerium. Der Vermerk stammt bereits aus dem Februar 2026, also von lange vor dem Koalitionsbeschluss, und benennt ein Ziel, das im öffentlichen „Bürokratieabbau“-Vokabular nicht vorkommt: Über FragDenStaat sollen künftig „keine Anfragen nach dem IFG an Bundesbehörden gestellt werden können“. Das Mittel dazu ist eine Identifizierungspflicht. Die Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider warnte vor einer „Abschaffung der seit zwanzig Jahren bestehenden Informationsfreiheit“. Selbst in der SPD-Fraktion regt sich Widerstand: Der zuständige Berichterstatter Johannes Schätzl bezeichnete das Vorhaben als „De-facto-Abschaffung des Informationsfreiheitsgesetzes“.
Es ist dasselbe Haus. Das Bundesinnenministerium schreibt den Gesetzentwurf zum IFG-Umbau und steht laut LobbyControl zugleich hinter dem deutschen Vorstoß beim Digital Omnibus. Weniger Kontrolle über den Staat, weniger Kontrolle über die eigenen Daten, beides unter dem Etikett „Vereinfachung“.
Was der Digital Omnibus für Kommunen und Verwaltungs-IT bedeutet
Ich schreibe hier als jemand, der Datenschutz in einer Kommunalverwaltung umsetzt und nicht nur darüber liest. Die DSGVO ist im Alltag unbequem. Sie kostet Zeit, zwingt zu Dokumentation, macht Projekte langsamer. Ich verstehe jeden, der sich Vereinfachungen wünscht, und einige im Omnibus sind welche. Artikel 88bis ist keine.
Für die Verwaltungs-IT hat die Sache eine praktische Seite, die in der Debatte kaum vorkommt. Behörden selbst sind im deutschen Vorschlag ausgenommen. Die Daten, die Behörden über ihre Bürger halten, liegen aber zunehmend bei Dienstleistern: in Cloud-Diensten, in Fachverfahren mit KI-Funktionen, bei Anbietern, die ihre Modelle mit dem trainieren, was sie verarbeiten. Auftragsverarbeiter sind keine Behörden. Wenn für sie das berechtigte Interesse vermutet wird und die Zweckbindung als kompatibel gilt, dann ist die Frage, ob Melderegister, Bauakten oder Sozialdaten in Trainingssets landen, keine juristische mehr, sondern eine technische.
Was ich daraus ziehe: Prüfen Sie Ihre Auftragsverarbeitungsverträge daraufhin, ob sie die Nutzung von Daten für Modelltraining ausdrücklich ausschließen. „Verarbeitung nur nach Weisung“ reicht nach geltendem Recht. Ob es nach einer Vermutungsregel noch reicht, weiß ich nicht, und ein Vertrag, der das Training explizit verbietet, ist in jedem Fall die sicherere Seite.
Der Omnibus ist außerdem ein weiteres Argument für On-Premises-Lösungen und europäische Anbieter. Nicht aus Prinzip, sondern weil sich die Rechtslage gerade unter den Füßen wegdreht. Was auf eigenen Servern liegt, landet in keinem fremden Trainingsset.
Und dann die Frage, ob das Ganze überhaupt hält. Offen ist auch, ob eine Regelung dieser Art vor dem Europäischen Gerichtshof Bestand hätte. Der EuGH hat in der Vergangenheit Eingriffe in das Grundrecht auf Datenschutz mehrfach gekippt, etwa bei der Vorratsdatenspeicherung und bei der Übermittlung von EU-Daten in die USA. Wer seine KI-Projekte auf Artikel 88bis aufbaut, baut auf Sand. Für Verwaltungen, die in Zehnjahreszyklen beschaffen, ist das kein theoretisches Risiko.
Wie es weitergeht: Zeitplan und Verfahrensstand
Der Kompromisstext der Präsidentschaft ist ein Verhandlungsdokument, die deutschen Anmerkungen sind Formulierungsvorschläge einer Delegation. Ob und in welcher Fassung Artikel 88 bis in die allgemeine Ausrichtung des Rates gelangt, ist offen. Der Digital Omnibus muss am Ende von Rat und EU-Parlament beschlossen werden, ein Abschluss gilt frühestens für Anfang 2027 als realistisch. Die Position des Parlaments ist noch offen: Teile der Europäischen Volkspartei unterstützen eine weitreichende Vereinfachung, während Abgeordnete der Mitte-links-Fraktionen sowie Teile der rechten Fraktionen dagegenhalten.
Beim IFG ist der Zeitplan enger. Den Gesetzentwurf schreiben soll das Bundesinnenministerium unter Alexander Dobrindt. Verabschiedet werden soll die Änderung von den Fraktionen von Union und SPD bis Ende 2026.
Beides ist also noch nicht entschieden. Und beim IFG hat öffentlicher Druck schon einmal gewirkt. Der Aufschrei über die geleakten Pläne der schwarz-roten Koalitionäre, das IFG abzuschaffen, war groß. Union und SPD nahmen daraufhin Abstand von dem Vorhaben. Das war 2025. Ein Jahr später versuchen sie es erneut, im Windschatten eines Reformpakets.
Fazit
Der Digital Omnibus ist im Kern keine Vereinfachung, sondern ein Tausch: Rechtssicherheit für KI-Konzerne gegen die Zweckbindung, also gegen das Prinzip, das seit den 1980er-Jahren den europäischen Datenschutz trägt. Der Ratstext lässt die Abwägung immerhin stehen. Der deutsche Vorschlag ersetzt sie durch eine Vermutung, streicht das Widerspruchsrecht und setzt Betroffenenrechte aus, sobald ihre Einhaltung aufwendig wird. Und dieselbe Regierung will Bürgern das Auskunftsrecht gegenüber dem Staat nur noch bei nachgewiesenem berechtigtem Interesse gewähren. Man muss beides nebeneinanderlegen, um zu sehen, was hier passiert.