Die Mitgliedstaaten der Europäischen Union haben Änderungen an der Datenschutz-Grundverordnung (DSGVO) gebilligt, die Technologiekonzernen wie OpenAI, Google und Meta die Verarbeitung personenbezogener Daten für die Entwicklung und den Einsatz von Systemen mit künstlicher Intelligenz erleichtern sollen.
Der Rat der EU beschloss dazu am 21. Oktober 2026 ein entsprechendes Verhandlungsmandat im Rahmen des sogenannten Digital-Omnibus-Pakets der EU-Kommission.
Im Zentrum der Neuregelung steht eine geplante Bestimmung, die als Artikel 88bis firmiert und ursprünglich als Artikel 88c vorgesehen war. Nach den Plänen der Mitgliedstaaten soll die Verarbeitung von Nutzerdaten für KI-Zwecke im Regelfall über ein überwiegendes berechtigtes Interesse als rechtmäßig eingestuft werden. Eine ausdrückliche Einwilligung der betroffenen Nutzer wäre demnach nicht mehr erforderlich.
Tragweite erfasst auch Altdaten und Nicht-Kunden
Die geplante Vorschrift beschränkt sich nach den Plänen des Rates nicht auf aktive Nutzerkonten: Sie erfasst auch Personen, die keine Kunden der jeweiligen Dienste sind, sowie Datenbestände aus zurückliegenden Jahrzehnten, darunter ältere Beiträge in sozialen Medien.
Zwar ergänzte der Rat Verweise auf bestehende Schutzmechanismen der DSGVO – namentlich das Widerspruchsrecht nach Artikel 21 sowie die Verantwortlichkeit des Verantwortlichen nach Artikel 24 –, doch sehen die Vorschläge der Staaten zugleich eine Verengung der Definition personenbezogener Daten vor. Dadurch könnten etwa pseudonymisierte Identifikatoren, IP-Adressen und Sozialversicherungsnummern künftig häufiger aus dem Anwendungsbereich der Verordnung herausfallen.
Die neuen Entwicklungen rund um den EU AI Act und die DSGVO stellen Unternehmen vor komplexe Herausforderungen bei der rechtssicheren Datenverarbeitung. Dieser kostenlose Download verschafft Ihnen den Überblick, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen: Fristen, Pflichten und Risikoklassen kompakt erklärt
Für die Neuregelung wurde keine vorherige Folgenabschätzung zu den Auswirkungen auf die Grundrechte vorgenommen. Zudem war der Europäische Datenschutzausschuss (EDPB) nicht direkt an der Ausarbeitung der Bestimmung beteiligt.
Kritik von Datenschützern und Verbraucherverbänden
Die Beschlüsse stoßen auf scharfe Gegenwehr bei Bürgerrechts- und Verbraucherorganisationen. Der Datenschutzaktivist Max Schrems kritisierte die geplante Änderung und bezeichnete das Vorhaben als eine Form der digitalen Enteignung.
Auch Verbraucherschützer äußerten deutliche Warnungen vor den Konsequenzen der Reform. Sie weisen darauf hin, dass die aktuelle Fassung des Gesetzespakets es Tech-Konzernen auf legalem Weg ermöglichen könnte, personenbezogene Daten europäischer Bürgerinnen und Bürger ohne deren ausdrückliche Zustimmung zum Training rein kommerzieller KI-Modelle heranzuziehen.
Wer sich mit der Verarbeitung sensibler Daten befasst, muss die neuen rechtlichen Pflichten und potenziellen Cyberrisiken genau kennen. Dieser kostenlose Report klärt auf, welche Anforderungen Unternehmer jetzt beim Einsatz moderner Technologien beachten müssen. Neue KI-Gesetze, neue Cyberrisiken: Was kommt wirklich auf Ihr Unternehmen zu?
Eine solche Regelungslücke würde nach Ansicht der Verbraucherorganisationen eine drastische Abkehr von den bisherigen, strikten Schutzstandards der europäischen Datenschutzgesetzgebung darstellen.
Weiteres Gesetzgebungsverfahren erforderlich
Bei dem Beschluss des Rates handelt es sich noch nicht um die endgültige Fassung des Gesetzestextes. Um die vorgeschlagenen Änderungen in geltendes Recht zu überführen, muss der Rat in den Trilog mit der Europäischen Kommission und dem Europäischen Parlament eintreten. Die offizielle Position des Parlaments zu den geplanten Erleichterungen für KI-Entwickler steht bislang noch aus.