Die EU-Botschafter der 27 Mitgliedstaaten im Ausschuss der Ständigen Vertreter haben am 21. Oktober 2026 ihre gemeinsame Verhandlungsposition zum datenschutzrechtlichen Teil des Gesetzespakets „Digital Omnibus“ gebilligt. Der offizielle Text wurde am 22. Oktober 2026 als Dokument 14756/26 veröffentlicht.
Im Zentrum des Mandats steht eine weitreichende Neuregelung der Datenschutz-Grundverordnung (DSGVO): Die Verarbeitung personenbezogener Daten im Rahmen der Entwicklung und des Betriebs von Systemen künstlicher Intelligenz soll künftig auf das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f der DSGVO gestützt werden können, ohne dass hierfür eine Einwilligung der Betroffenen erforderlich ist.
Geändertes Widerspruchsrecht und neue Schutzvorgaben
Gegenüber dem ursprünglichen Vorschlag der Europäischen Kommission aus dem November 2025 enthält die Einigung deutliche Anpassungen. Das ursprünglich in Artikel 88c vorgesehene unbedingte Widerspruchsrecht wurde gestrichen. Stattdessen verweist die Ratsversion auf das bedingte Widerspruchsrecht nach Artikel 21 der DSGVO, womit Unternehmen ein Widerspruchsgesuch ablehnen können, sofern sie zwingende berechtigte Gründe nachweisen.
Zugleich stellt ein neuer Erwägungsgrund klar, dass die Entwicklung von KI-Modellen nicht per se ein berechtigtes Interesse darstellt, sondern stets eine Einzelfallprüfung erfordert.
Die Interessen der Betroffenen überwiegen laut Text insbesondere dann, wenn es sich um Daten von Kindern handelt. Für sensible Daten wie Gesundheitsdaten, ethnische Herkunft oder politische Meinungen gilt, dass diese in Trainingsdatensätzen nur inzidentell und residual vorhanden sein dürfen und unverzüglich gelöscht werden müssen.
Sollte eine Entfernung technisch unmöglich sein, etwa weil die Daten bereits in Modellgewichten verankert sind, muss deren Nutzung für Inferenzen sowie die Weitergabe untersagt werden. Für Behörden sieht die Einigung vor, dass sich die KI-Verarbeitung auf die Erfüllung öffentlicher Aufgaben oder das öffentliche Interesse nach Artikel 6 Absatz 1 Buchstabe e stützen darf.
Weitere Bestimmungen des Mandats betreffen die Datenminimierung ab der Quellenauswahl sowie Regelungen zu pseudonymisierten Daten: Diese gelten für Empfänger, die über keine Mittel zur Reidentifizierung verfügen, nicht als personenbezogen, wozu ein Gutachten des Europäischen Datenschutzausschusses (EDPB) vorgesehen ist.
Wer KI-Systeme entwickelt oder einsetzt, muss die neuen rechtlichen Rahmenbedingungen und Risikoklassen genau kennen. Dieser kostenlose Download verschafft Ihnen den Überblick über Fristen und Pflichten, den Ihre Rechts- und IT-Abteilung jetzt dringend braucht. EU AI Act in 5 Schritten verstehen
Die grundlegende Definition personenbezogener Daten in der DSGVO bleibt jedoch erhalten. Zudem können Anträge auf Auskunftsrechte bei missbräuchlicher oder exzessiver Ausübung, einschließlich solcher durch KI-Agenten, künftig abgelehnt oder mit Kosten belegt werden.
Kontroverse und Abstimmungsergebnis
Der Beschluss kam mit breiter Mehrheit zustande, stieß jedoch auf Widerstand einzelner Regierungen. Deutschland, Österreich und Estland stimmten am 21. Oktober 2026 gegen die Position.
Die deutsche Seite kündigte an, im anstehenden Trilog Nachverhandlungen anzustreben. Der Kompromiss wurde nach zehn vergeblichen Anläufen, neun Monaten Verhandlungsdauer, zwei wechselnden Präsidentschaften und zwei vertagten Abstimmungen besiegelt.
Irland hatte das Dossier übernommen, nachdem ein Anlauf Zyperns im ersten Halbjahr 2026 gescheitert war. Die irische Außenministerin Helen McEntee erklärte zur Ratspräsidentschaft, der Entwurf vereinfache und straffe das digitale Regelwerk.
Scharfe Kritik formulierten zivilgesellschaftliche Organisationen und Gewerkschaften. Max Schrems von der Datenschutzorganisation noyb bezeichnete die Reformpläne am 21. Oktober 2026 als digitale Enteignung und sprach von einem beispiellosen Geschenk an große US-amerikanische Technologiekonzerne.
Was in herkömmlichen Tabellenformaten rechtswidrig bleibe, solle nach dieser Logik für KI-Systeme legalisiert werden. noyb monierte zudem, dass die verbliebenen Verweise auf bestehende Artikel der DSGVO keinen materiellen Schutz böten und die Kommission ein beschleunigtes Verfahren ohne Grundrechtsprüfung gewählt habe.
Auch die Organisation Eurocadres, die rund sechs Millionen Fach- und Führungskräfte vertritt, warnte am 22. Oktober 2026 vor einem Blankoscheck für die KI-Entwicklung und mahnte an, dass Anpassungen bei pseudonymisierten Daten die klare Abgrenzung zu anonymen Daten verwischten.
Die neuen Vorschriften der EU-KI-Verordnung stellen Regeln auf, die weitreichende Auswirkungen auf die unternehmerische Praxis haben. Dieser kostenlose Report klärt auf, welche KI-Systeme als Hochrisiko gelten und was Verantwortliche jetzt konkret tun müssen. Kostenlosen KI-Umsetzungsleitfaden herunterladen
Weitere Beschlüsse und nächster Verfahrensschritt
Neben dem KI-Schwerpunkt umfasst das Ratsmandat Anpassungen bei Datenschutzvorfällen und Nachverfolgungstechnologien. Meldepflichten für Datenpannen sollen nur noch bei hohem Risiko greifen, während die Frist zur Meldung von 72 auf möglichst 96 Stunden verlängert wird.
Zuständig bleiben nationale statt zentraler europäischer Meldestellen. Für Cookies und Trackingtechnologien sieht die Ratsposition Ausnahmen von der Einwilligungspflicht für die eigentliche Diensterbringung, Reichweitenmessungen und Gerätesicherheit vor; eine Pflicht zur Berücksichtigung automatisierter Browser-Signale wurde gestrichen.
Die Neuregelungen beanspruchen Gültigkeit für die Daten aller Betroffenen aus der Europäischen Union und dem Europäischen Wirtschaftsraum, unabhängig vom Sitz des verarbeitenden Unternehmens, und erfassen auch jahrzehntealte Bestandsdaten sowie Personen ohne direkte Kundenbeziehung. Mit dem Ratsbeschluss ist das Gesetzgebungsverfahren noch nicht abgeschlossen.
Eine finale Positionierung des Europäischen Parlaments wird für Februar erwartet. Erst nach den anschließenden Trilogverhandlungen zwischen Parlament, Rat und Kommission entscheidet sich die endgültige Fassung, die im weiteren Verlauf auch Gegenstand gerichtlicher Prüfungen vor dem Europäischen Gerichtshof werden könnte.