EU blockiert Lockerung des Datenschutzes für Tech-Konzerne

Der EU-Ministerrat lehnte Pläne zur Neudefinition personenbezogener Daten ab. Damit bleiben die strengen Vorgaben für transatlantische Datenübermittlungen voll in Kraft.

Der EU-Ministerrat hat eine umstrittene Aufweichung der Datenschutz-Grundverordnung (GDPR) gestoppt. Damit bleiben die strengen Regeln für transatlantische Datenübermittlungen voll in Kraft – eine Schlappe für US-Tech-Konzerne.

Die Pläne der EU-Kommission, pseudonymisierte Daten teilweise vom strengen Datenschutz auszunehmen, sind gescheitert. Nach heftigem Widerstand von Datenschützern und nationalen Aufsichtsbehörden strich der Rat der Europäischen Union den entsprechenden Passus aus dem sogenannten Digital Omnibus. Diese Gesetzesinitiative sollte eigentlich Europas digitale Regeln verschlanken und die Wettbewerbsfähigkeit stärken. Doch der Versuch, die Definition von personenbezogenen Daten einzuengen, stieß auf massive Kritik.

Anzeige

Angesichts der strengen Auslegung der GDPR-Regeln durch den EU-Ministerrat wird die lückenlose Dokumentation aller Datenverarbeitungen für Unternehmen zur Pflicht. Diese kostenlose Excel-Vorlage unterstützt Sie dabei, Ihr Verarbeitungsverzeichnis gemäß Art. 30 DSGVO rechtssicher und zeitsparend zu erstellen. Verarbeitungsverzeichnis-Vorlage jetzt kostenlos herunterladen

Warum die geplante Neudefinition so umstritten war

Im Kern ging es um einen kleinen Satz mit großer Wirkung: Die Kommission wollte im Artikel 4 der GDPR festschreiben, dass Daten für ein Unternehmen nicht als „personenbezogen“ gelten, wenn dieses Unternehmen den dahinterstehenden Menschen nicht identifizieren kann – selbst wenn ein anderer Akteur den Schlüssel zur Identifizierung besitzt.

„Das hätte ein riesiges Schlupfloch geschaffen“, warnte der bekannte österreichische Datenschutzaktivist Max Schrems bereits im Vorfeld. In der Praxis hätten Konzerne Daten pseudonymisieren, als „nicht-personenbezogen“ deklarieren und so ohne weitere Prüfung in die USA übermitteln können. Damit wären die strengen Auflagen des Schrems-II-Urteils des Europäischen Gerichtshofs (EuGH) von 2020 umgangen worden. Dieses Urteil hatte den Privacy-Shield-Abkommen zwischen EU und USA wegen unzureichenden Schutzes vor US-Überwachung eine Absage erteilt.

Der Europäische Datenschutzausschuss (EDPB) und der Europäische Datenschutzbeauftragte (EDPS) kritisierten den Vorschlag scharf. Eine solche Negativdefinition würde massive Rechtsunsicherheit schaffen und grundlegende Schutzrechte aushöhlen, so ihr gemeinsames Gutachten.

Folgen: Keine Abkürzung für Datenexporte in die USA

Die Ablehnung durch den Ministerrat hat klare Konsequenzen. Für Unternehmen bedeutet es: Der mühsame, aber notwendige Weg der datenschutzkonformen Datenübermittlung bleibt bestehen.

Der primäre Mechanismus ist aktuell das EU-US Data Privacy Framework (DPF), das 2023 als Nachfolger des Privacy Shields eingeführt wurde. Zwar überstand dieses Abkommen im September 2025 eine erste Klage vor dem EU-Gericht. Doch die endgültige Rechtssicherheit steht noch aus. Der Kläger, der französische Abgeordnete Philippe Latombe, legte Berufung beim EuGH ein. Auch Max Schrems‘ Organisation NOYB hält die US-Überwachungsgesetze für unverändert problematisch.

Für Unternehmen heißt das: Sie müssen genau prüfen, ob ihr US-Partner unter das DPF fällt und zertifiziert ist. Falls nicht, kommen nur die bewährten, aber aufwändigen Standardvertragsklauseln (SCCs) infrage, ergänzt durch umfassende Transferfolgenabschätzungen. Ein einfacher Weg ist nicht in Sicht.

Anzeige

Da die Anforderungen an internationale Datentransfers hoch bleiben, müssen Verantwortliche bei jeder Übermittlung eine fundierte Risikoanalyse durchführen. Erfahren Sie in diesem kostenlosen E-Book, wie Sie eine rechtssichere Datenschutz-Folgenabschätzung erstellen und Bußgelder von bis zu 2% des Jahresumsatzes vermeiden. Kostenloses E-Book zur Datenschutz-Folgenabschätzung sichern

Analyse: Datenschutz bleibt europäische Kernkompetenz

Die Entscheidung des Rates sendet ein starkes Signal: Die Grundpfeiler der GDPR sind nicht verhandelbar. Die EU ist offenbar nicht bereit, hohe Privatsphären-Standards für vermeintliche Verwaltungsvereinfachung zu opfern.

„Die Weigerung, die Definition von personenbezogenen Daten aufzuweichen, ist eine hochpositive Entwicklung für die informationelle Selbstbestimmung“, kommentierte Paul Nemitz, einer der Architekten der GDPR. Für die Wirtschaft bleibt der Datenschutz damit eine komplexe Daueraufgabe, die in alle Geschäftsprozesse integriert werden muss – und nicht nur als lästiges Compliance-Kästchen abgehakt werden kann.

Die Rekordhöhe der GDPR-Bußgelder in den letzten Jahren ist oft auf Fehler bei grenzüberschreitenden Datenflüssen und unzureichende Meldepflichten bei Datenschutzverletzungen zurückzuführen. Der Fokus der Aufsichtsbehörden bleibt scharf.

Ausblick: Warten auf „Schrems III“

Formell soll der überarbeitete Text des Digital Omnibus am 27. Februar 2026 mit den EU-Botschaftern besprochen werden. Während andere Vereinfachungen im Gesetzespaket möglicherweise Bestand haben, bleibt die weite Definition personenbezogener Daten erhalten.

Für Compliance-Verantwortliche ist die Botschaft klar: Es gibt keine Abkürzungen. Sie müssen weiterhin die laufenden Klagen gegen das Data Privacy Framework vor dem EuGH im Blick behalten. Ein mögliches „Schrems-III“-Urteil könnte den transatlantischen Datenverkehr erneut ins Wanken bringen. Bis dahin gilt: Jeder Datenexport muss sorgfältig dokumentiert, bewertet und durch wirksame Garantien abgesichert sein – auch und gerade bei pseudonymisierten Daten.