Datenschutz-Streit: EU-Kommission scheitert mit Entbürokratisierungs-Plänen

Eine Umfrage zeigt, dass die geplante DSGVO-Überarbeitung praktische Probleme ignoriert. Experten fordern mehr Klarheit statt weniger Rechte, während Aufsichtsbehörden Widerstand leisten.

Die geplante Reform der europäischen Datenschutz-Grundverordnung (DSGVO) droht zu scheitern. Eine aktuelle Umfrage unter Datenschutzbeauftragten zeigt: Die von der EU-Kommission vorgeschlagenen Vereinfachungen verfehlen die praktischen Probleme der Unternehmen komplett. Statt Grundrechte einzuschränken, fordern Experten mehr Klarheit im Gesetz.

Digital-Omnibus: Gesetzesvorlage stößt auf massive Kritik

Eigentlich sollte das Digital-Omnibus-Paket der EU-Kommission aus dem Spätjahr 2025 den digitalen Binnenmarkt entfesseln. Gezielte Änderungen an der DSGVO sollten Bürokratie abbauen – unter anderem durch eine engere Definition personenbezogener Daten und Einschränkungen bei Auskunftsersuchen nach Artikel 15.

Anzeige

Während die Politik über Bürokratieabbau debattiert, bleibt die rechtssichere Dokumentation der Verarbeitungstätigkeiten nach Artikel 30 für Unternehmen die größte Hürde. Diese kostenlose Excel-Vorlage mit Schritt-für-Schritt-Anleitung hilft Ihnen, Ihr Verzeichnis in unter einer Stunde lückenlos zu erstellen. Kostenlose Excel-Vorlage für das Verarbeitungsverzeichnis herunterladen

Doch eine am 5. März 2026 veröffentlichte Umfrage der österreichischen Datenschutz organisation noyb unter 510 Datenschutzbeauftragten aus 28 Ländern zeichnet ein anderes Bild. Demnach wünschen sich die Praktiker keineswegs weniger Verbraucherrechte. Über 70 Prozent der Befragten gaben an, dass die Bearbeitung von Betroffenenanfragen kaum zusätzlichen Aufwand verursacht.

Stattdessen fordern die Experten vor allem klarere gesetzliche Vorgaben. Konkret wünschen sie sich explizite Positiv- und Negativlisten für zulässige Datenverarbeitungen. Die eigentliche Bürokratielast entstehe woanders: bei der Dokumentationspflicht für Verarbeitungstätigkeiten gemäß Artikel 30 DSGVO, nicht bei der Umsetzung individueller Rechte.

DSGVO-Kernpflichten bleiben unverändert

Trotz der politischen Debatte gelten 2026 die bewährten Grundsätze weiter. Unternehmen müssen ihre Datenverarbeitung weiterhin auf eine der sechs Rechtsgrundlagen stützen – etwa Einwilligung, Vertragserfüllung oder berechtigtes Interesse. Privacy by Design and by Default verpflichtet dazu, Datenschutz von Beginn an in Produkte zu integrieren.

Besonderes Augenmerk liegt auf umfassenden Dateninventaren und Datenschutz-Folgenabschätzungen für risikobehaftete Verarbeitungen, besonders bei Künstlicher Intelligenz. Die Überwachung von Dienstleistern durch Standardvertragsklauseln und Audits bleibt Top-Priority.

Anzeige

Besonders bei risikobehafteten Datenverarbeitungen wie dem Einsatz von KI ist eine Datenschutz-Folgenabschätzung zwingend erforderlich, um Bußgelder von bis zu 2% des Jahresumsatzes zu vermeiden. Dieser Experten-Leitfaden bietet Ihnen bearbeitbare Muster-Vorlagen und Checklisten für eine rechtssichere Erstellung. Gratis E-Book: Datenschutz-Folgenabschätzung rechtssicher erstellen

Einzige Übereinstimmung mit der Industrie: Der Digital Omnibus will die Frist für die Meldung von Datenschutzverletzungen von 72 auf 96 Stunden verlängern und die Meldeschwelle anheben. Diese Atempause für Sicherheitsteams stößt auf Zustimmung.

EU-Aufsichtsbehörden stellen sich quer

Die Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte positionieren sich deutlich gegen die Kommission. In einer Stellungnahme vom Februar 2026 warnen sie vor der geplanten Neudefinition personenbezogener Daten. Eine subjektive Definition – Daten wären nur dann geschützt, wenn der konkrete Verantwortliche die Person identifizieren kann – würde massive Schlupflöcher schaffen und Grundrechte aushöhlen.

Pseudonymisierte Daten müssten unter dem Schutz der DSGVO bleiben. Dieser massive Widerstand zeigt Wirkung: Bereits kursierende Entwürfe des EU-Rates lassen erwarten, dass die umstrittene Definition aus dem finalen Text gestrichen wird.

Statt auf Gesetzesänderungen setzt der EDSA auf praktische Hilfen. Sein Arbeitsprogramm 2026-2027 sieht klare Leitlinien zu Pseudonymisierung, grenzüberschreitender Zusammenarbeit und dem Zusammenspiel von DSGVO und KI-Gesetz (AI Act) vor.

Analyse: Der wahre Bremsklotz ist Rechtsunsicherheit

Der Streit um den Digital Omnibus spiegelt die Reifung der europäischen Digitalwirtschaft wider. Während Lobbyverbände jahrelang die DSGVO als Innovationsbremse kritisierten – besonders in datenintensiven Bereichen wie maschinellem Lernen –, zeigt der Widerstand von Aufsichtsbehörden und NGOs: Europäische Datenschutzstandards sind tief verankert.

Die Umfrageergebnisse belegen, dass die eigentliche Hürde nicht die Strenge der Regeln, sondern deren Rechtsunsicherheit ist. Wo Gesetze interpretationsoffen sind, investieren Unternehmen enorme Summen in externe Rechtsberatung und Risikobewertungen.

Marktbeobachter erwarten einen Kompromiss. Bürokratische Lasten wie Meldepflichten könnten gelockert werden, während Kerndefinitionen und Verbraucherrechte unangetastet bleiben. So bliebe der 2018 etablierte Grundschutz erhalten – und der Wettbewerb würde weiter auf datenschutzfreundliche Technologien statt auf regulatorische Schlupflöcher setzen.

Strategie-Empfehlung: Auf Automatisierung setzen

Bis zur finalen Einigung des EU-Parlaments und -Rates sollten Unternehmen ihre derzeitige Compliance-Strategie beibehalten. Eine signifikante Aufweichung von Betroffenenrechten oder der Datendefinition ist nicht zu erwarten.

Stattdessen raten Experten, Budgets in Automatisierung und Privacy Engineering zu stecken. Durch die Automatisierung routinemäßiger Dokumentationsaufgaben und die Integration von Datenschutz in die IT-Infrastruktur lassen sich die identifizierten Bürokratielasten effektiv reduzieren.

Angesichts verschärfter Aufsicht bei KI und internationalen Datenübermittrungen wird die proaktive Auseinandersetzung mit den kommenden EDSA-Leitlinien entscheidend sein. Die Zukunft der DSGVO-Compliance liegt in resilienten, transparenten Datenarchitekturen, die sich kleinen gesetzlichen Anpassungen flexibel anpassen – ohne die Grundprinzipien des europäischen Datenschutzes zu opfern.