Europäischen Datenschutztag: Schlachtet der "Digital Omnibus" die DSGVO?

Am heutigen 28. Januar 2026 ist der Europäische Datenschutztag, ein auf Initiative des Europarats ins Leben gerufener Aktionstag, der seit 2007 jährlich am 28. Januar begangen wird (weil am 28. Januar 1981 die Europäische Datenschutzkonvention unterzeichnet wurde). Aber der Datenschutz hat derzeit keinen guten Stand.

Jutta Horstmann von der der Heinlein Gruppe hat sich angesichts des Europäischen Datenschutztages besorgt um die Zukunft gezeigt:

Wir sehen, wie antidemokratische Kräfte am Abbau des Datenschutzes arbeiten und mit dem "Digital Omnibus" der EU eine Schwächung der DSGVO droht.

Dazu stellt die US-Regierung durch den US CLOUD Act Anspruch auf Datenzugriff in Europa.

Diese Entwicklungen zeigen, dass ein nachhaltiger Schutz unserer Daten und somit unserer Demokratie nur mit einer konsequenten Umsetzung der DSGVO und mit echter digitaler Souveränität ohne Schlupflöcher möglich ist.

Hintergrund Digital Omnibus

Die EU-Kommission setzt auf Bürokratieabbau und will auch die Digitalgesetze auf "Verschlankung" durchforsten. In diesem Rahmen hat die EU-Kommission zum 19. November 2025 ihre Revisionspläne in Sachen General Data Protection Rules (GDPR, oder DSGVO) sowie zur AI-Regulierung als "Digital Omnibus" offiziell vorgestellt.

Das Ziel der Initiative: Alles soll einfacher und verschlankt werden, was DSGVO und KI-Regulierung betrifft. Das digitale Paket zielt auch darauf ab, den Zugang zu Daten als Schlüsselfaktor für Innovationen zu verbessern, schreibt die EU-Kommission. Ich hatte u.a. im Beitrag EU: Digital Omnibus – Revision der GDPR, weniger AI-Regulierung über diesen Vorschlag berichtet, der nun mit dem EU-Parlament und den Institutionen abgestimmt wird, um das EU-Gesetzgebungsverfahren zu durchlaufen.

Die Gefahr, die Datenschützer sehen, liegt darin, dass viele DSGVO-Regeln abgebaut werden und Unternehmen einen Freifahrtschein bekommen, persönliche Daten umfassend auf Basis eines berechtigten Interesses zu bearbeiten.

US-Angriffe auf europäische Digitalgesetze

Es ist bekannt, dass der US-Regierung die europäischen Digitalgesetze (DSA, DMA, DSGVO) ein Dorn im Auge sind und sie diese als Handelshemmnis für deren US-Tech-Unternehmen betrachtet. Ich hatte hier im Blog mehrfach berichtet (siehe Links am Artikelende).

Hinzu kommt die technologische Abhängigkeit Europas von US-Software- und Cloud-Produkten, so dass persönliche Daten europäischer Nutzer in der US-Cloud landen. Die US-Unternehmen versuchen zwar ein "Souveränitäts-Washing", indem Cloud-Strukturen in europäische Rechenzentren verlagert werden. Aber der US Cloud Data Act gibt US-Behörden weltweit Zugriffsmöglichkeiten auf Daten, die auf US-Systemen weltweit liegen.

Europäische Alternativen und digitale Souveränität

Jutta Horstmann von der der Heinlein Gruppe weist darauf hin, dass die nötigen europäischen Alternativen längst bereit stehen. Die Heinlein Gruppe bietet beispielsweise mit mailbox, OpenTalk und OpenCloud DSGVO-konforme Produkte an, die Open Source sind.

Warnung vor KI-Risiken

Als kleine Ergänzung: Mir ist noch ein Statement von Jimmy Astle, Direktor für maschinelles Lernen bei Red Canary, im Kontext des Datenschutztags zugegangen. Astle sagt: "Agentische KI verlässt die Labore und hält Einzug in reale Unternehmenssysteme – sie wird zum Scannen von Dokumenten, zur Optimierung von Arbeitsabläufen und zur Ausführung von Aufgaben eingesetzt, die bisher Menschen vorbehalten waren. Diese Entwicklung hat erhebliche Auswirkungen auf den Datenschutz, insbesondere wenn KI-Tools ohne klare Governance, strenge Zugriffskontrollen und sorgfältige Überwachung eingesetzt werden."

Das Risiko ergibt sich laut Astle aus der zunehmenden Menge an Informationen, auf die Unternehmen ihren Agenten Zugriff gewähren müssen, damit diese autonom handeln können. Diese Daten sind oft sensibel oder persönlich und beziehen sich auf Mitarbeiter und Kunden, die von dem Unternehmen erwarten, dass es sie sicher aufbewahrt.

Aus diesem Grund müssen bei jeder KI-Initiative zunächst Sicherheitsvorkehrungen für den Datenzugriff getroffen werden, glaubt der Experte. Persönlich bin ich äußerst skeptisch, dass der oben skizzierte Ansatz der agentischen KI überhaupt vernünftig abgesichert werden kann – egal, was die Hersteller versprechen.

Astle erinnert daher daran: "Datenschutz im Zeitalter der Agenten beginnt damit, KI wie jeden anderen Benutzer zu behandeln, der auf Unternehmenssysteme zugreift – sie muss auf der Identitätsebene gesichert werden. Unternehmen sollten ihre Zugriffsrechte streng kontrollieren, einen klaren Überblick darüber behalten, auf welche Daten KI-Agenten zugreifen und mit welchen sie arbeiten können, und kontrollieren, welche Benutzer sie auffordern können. Darüber hinaus benötigen Mitarbeiter klare Nutzungsrichtlinien, und Sicherheitsteams sollten regelmäßig überprüfen, wie sich ihre KI-Systeme in der Praxis verhalten. Datenschutzprüfungen sollten von Anfang an direkt in die Arbeitsabläufe der Benutzer integriert werden, um eine konsistente und umfassende Compliance sicherzustellen. Mit robusten Datenschutzkontrollen bleibt KI eine Quelle für Effizienz und Erkenntnisse und wird nicht zu einer Quelle unbeabsichtigter Offenlegung."

Ich lasse das obige Statement mal so stehen – der Begriff "robuste Datenschutzkontrollen" erscheint mir im Zeitalter von autonomen KI-Agenten so etwas wie ein Oxymoron und segelt in der gleichen Klasse wie die Aussage "unsere Systeme sind sicher und enthalten keine Schwachstellen".

Ähnliche Artikel:
US-Administration unter Trump macht Druck auf EU wegen Digitalregeln
Trump will DSA, DMA, Digitalsteuer stoppen; Musks digitaler Staatsstreich
Sanktioniert die Trump-Administration bald EU-Vertreter wegen DSA?