Am 21. Oktober 2026 stimmte Deutschland gegen den Digital Omnibus, weil ihm die Lockerungen nicht weit genug gingen: Die Bundesregierung wollte KMU und nicht-kommerzielle Verarbeitung aus der DSGVO ausnehmen, der Rat verweigerte das. KI-Training mit personenbezogenen Daten wird künftig ohne Einwilligung möglich, Cookie-Banner bleiben, Datenpannen müssen erst nach 96 Stunden gemeldet werden. Was setzt das Parlament dagegen?
Deutschland stimmt gegen den Ratskompromiss
Am 21. Oktober 2026 hat der Rat der Europäischen Union seine Position zum Digital Omnibus festgelegt. Nach Medienberichten stimmte Deutschland gemeinsam mit Österreich und Estland dagegen. Während die Mehrheit der Mitgliedstaaten den Kompromiss der irischen Ratspräsidentschaft trug, stand die Bundesregierung am Ende allein mit zwei kleineren Partnern. Das ist in Brüssel kein unbekanntes Bild. Neu ist die Richtung: Deutschland, das sich lange als Hüterin des Datenschutzes inszenierte, stimmte nicht gegen zu viel Lockerung, sondern gegen zu wenig.
Die deutsche Protokollerklärung, die dem Tagesspiegel Background vorliegt, zeigt, warum die Bundesregierung trotz aller Kompromissangebote mit Nein gestimmt hat. Das Bundesdigitalministerium erklärte, der Text bleibe hinter den eigenen Ambitionen zurück, und nannte als rote Linien einen besseren Schutz von Geschäftsgeheimnissen und Erleichterungen bei der DSGVO für KMU. Sie wollte Ausnahmen für kleine und mittlere Unternehmen, für Handwerksbetriebe mit Kundenlisten, für nicht-kommerzielle Verarbeitung. Der Rat hat ihr das verweigert.
Deutschland hält die DSGVO nun für zu streng
Das ist der eigentliche Bruch. Deutschland ist nicht mehr das Land, das in Brüssel die Datenschutzstandards verteidigt. Es ist das Land, das sie für zu streng hält. Die Bundesregierung hat in ihrem Koalitionsvertrag vereinbart, über den möglichen Ausschluss nicht-kommerzieller Aktivitäten, kleiner und mittlerer Unternehmen sowie risikoarmer Datenverarbeitung aus dem Anwendungsbereich der DSGVO zu diskutieren. In den Konsultationen kam sie zu dem Schluss, dass die Vorschläge im Omnibus IV zur Vereinfachung der DSGVO nicht weit genug gehen. Wer verstehen will, warum Deutschland am 21. Oktober mit Nein stimmte, muss diesen Satz lesen. Die Bundesregierung wollte die DSGVO nicht schützen. Sie wollte sie abschleifen.
KI-Training ohne Einwilligung wird möglich
Dabei enthält das Ratsmandat durchaus Substanz. Der umstrittenste Punkt betrifft das Training von KI-Systemen mit personenbezogenen Daten. Der Rat will mit einem neuen Artikel 88 bis verankern, dass die Verarbeitung personenbezogener Daten für das Training und den Betrieb von KI-Systemen grundsätzlich auf ein berechtigtes Interesse gestützt werden kann. Ursprünglich von der Kommission vorgesehene Einschränkungen bezüglich ausdrücklicher Einwilligungen oder spezifischer Kinderrechtsabwägungen wurden im Ratsmandat gestrichen. Das bedeutet: Ein Unternehmen, das ein KI-Modell trainieren will, braucht künftig keine Einwilligung der Betroffenen mehr. Es reicht, wenn es ein berechtigtes Interesse geltend macht. Die Datenschutzorganisation noyb kritisierte den Vorstoß des Rates als digitale Enteignung.
Die Rechtsgrundlage bleibt Artikel 6 der DSGVO, einschließlich eines Widerspruchsrechts. Außerdem soll das KI-Training mit personenbezogenen Daten auch ohne Pseudonymisierung erlaubt sein, wenn dies im berechtigten Interesse der Unternehmen liegt. Regierungskreisen zufolge hat sich Deutschland, das gemeinsam mit Österreich und Estland gegen die Rats-Position gestimmt hat, unter anderem eine Folgenabschätzung im Vorfeld gewünscht. Die Bundesregierung wollte also nicht etwa verhindern, dass KI-Training ohne Einwilligung möglich wird. Sie wollte lediglich, dass vorher geprüft wird, was das für die Betroffenen bedeutet.
Wie weit der Rat gegangen ist, zeigt der Blick in die Verhandlungsgeschichte. Der Kompromisstext der Ratspräsidentschaft vom 20. Februar 2026 ließ Artikel 88c noch unangetastet. Der Kompromisstext vom 21. Mai 2026 entfernte ihn aus dem verfügenden Teil und verschob eine abgeschwächte Version in einen neuen Erwägungsgrund 33a, der besagte, dass KI-bezogene Verarbeitung als im berechtigten Interesse des Verantwortlichen liegend angesehen werden kann. Was als Erwägungsgrund begann, wurde im Ratsmandat zum verbindlichen Artikel. Die Richtung ist eindeutig: weg von der Einwilligung, hin zum Interessenabwägungstest. Für Unternehmen ist das eine Erleichterung. Für Bürgerinnen und Bürger bedeutet es, dass ihre Daten künftig häufiger ohne ausdrückliche Zustimmung in KI-Modelle fließen können. Sie können widersprechen. Aber sie müssen es tun.
Cookie-Banner bleiben, Datenpannen später melden
Auch bei den Cookie-Regeln hat der Rat eine Entscheidung getroffen, die den Alltag der Internetnutzer betrifft. Die EU-Kommission hatte vorgeschlagen, dass Nutzerinnen und Nutzer ihre Tracking-Auswahl an einer zentralen Stelle, etwa im Browser, aktivieren und sich damit wiederkehrende Cookie-Abfragen für mindestens ein halbes Jahr ersparen können. Diesen Ansatz lehnt der EU-Rat jetzt jedoch ab. Stattdessen will er die ePrivacy-Regeln beibehalten und nur die Liste der zustimmungsfreien Zwecke erweitern. Im Positionspapier des Rates vom 18. Juni 2026 wurde Artikel 88b vollständig aus dem Digital Omnibus entfernt. Die Idee, Cookie-Banner durch eine einmalige Browser-Einstellung zu ersetzen, ist damit vom Tisch. Wer sich auf weniger Klickerei im Netz gefreut hatte, wird enttäuscht. Die Cookie-Banner bleiben. Sie werden nur an einigen Stellen etwas seltener, weil mehr Zwecke ohne Zustimmung erlaubt sind.
Eine weitere Änderung betrifft die Meldepflicht bei Datenpannen. Der Rat der Europäischen Union will die Meldefrist von 72 auf 96 Stunden verlängern. Gemeldet werden sollen nur noch Pannen, die voraussichtlich ein hohes Risiko für die Betroffenen bergen. Für Unternehmen bedeutet das mehr Zeit und weniger Meldungen. Für Betroffene bedeutet es, dass sie von manchen Datenpannen gar nicht mehr erfahren. Die Frage, ob ein Risiko hoch ist oder nicht, entscheidet das Unternehmen selbst. Das ist eine Verlagerung der Definitionsmacht.
Wirtschaft fordert weniger Bürokratie beim Datenschutz
Die deutsche Wirtschaft hatte sich genau solche Erleichterungen gewünscht. 69 Prozent der deutschen Unternehmen geben an, dass der Datenschutz das KI-Training erschwert. 85 Prozent der deutschen Unternehmen fordern weniger Bürokratie bei Datenschutzvorfällen. Diese Zahlen stammen aus einer Bitkom-Umfrage vom Februar 2026. Sie zeigen, dass der Druck aus der Wirtschaft groß ist. Der Digital Omnibus ist auch eine Antwort auf diesen Druck. Er soll Unternehmen entlasten, Innovation ermöglichen, Bürokratie abbauen. Die Frage ist, zu welchem Preis.
Das Parlament kann im Trilog nachschärfen
Der Preis wird in den kommenden Monaten verhandelt. Der Rat hat am 21. Oktober 2026 seine Position festgelegt. Die irische Ratspräsidentschaft verkündete die Einigung der Mitgliedstaaten. Nun beginnt der Trilog mit dem Europäischen Parlament und der Kommission. Das Parlament hat seine Position noch nicht final festgelegt. Es ist gut möglich, dass es bei einigen Punkten nachschärft, etwa beim KI-Training oder bei der Meldefrist. Es ist auch möglich, dass es die deutsche Forderung nach KMU-Erleichterungen aufgreift. Die Bundesregierung hat im Rat verloren. Im Trilog kann sie über das Parlament indirekt Einfluss nehmen. Ob sie das will, ist eine andere Frage. Ihr Nein im Rat war kein Nein zum Digital Omnibus insgesamt. Es war ein Nein zu einem Text, der ihr nicht weit genug ging.
Für Betroffene bedeutet das weniger Kontrolle
Was bedeutet das für die Menschen in Deutschland? Zunächst einmal: noch nichts. Er ist ein Verhandlungsgegenstand. Aber die Richtung ist klar. Wenn das Ratsmandat sich im Trilog durchsetzt, wird KI-Training mit personenbezogenen Daten künftig ohne Einwilligung möglich sein, solange ein berechtigtes Interesse besteht und kein Widerspruch eingelegt wird. Cookie-Banner bleiben, aber mehr Datenverarbeitung wird ohne Zustimmung erlaubt. Datenpannen müssen später gemeldet werden und nur noch bei hohem Risiko. Für Arbeitnehmerinnen und Arbeitnehmer, deren Arbeitgeber KI-Systeme einsetzen, für Verbraucherinnen und Verbraucher, deren Daten in Trainingsdatensätzen landen, für Bürgerinnen und Bürger, deren Daten bei einem Hackerangriff abfließen, ändert sich die Rechtslage. Sie verlieren an Kontrolle. Sie gewinnen an Ungewissheit.
Wer schützt den Datenschutz, wenn Deutschland es nicht mehr tut?
Die offenen Fragen sind zahlreich. Wird das Europäische Parlament die Position des Rates übernehmen oder nachschärfen? Wird die Bundesregierung im Trilog für ihre KMU-Forderungen kämpfen oder sich mit dem Erreichten zufriedengeben? Was bedeutet die Abkehr von der Einwilligung für das Vertrauen in KI-Systeme? Wie werden Unternehmen das berechtigte Interesse konkret begründen, und wie werden Aufsichtsbehörden es prüfen? Und schließlich: Wenn Deutschland nicht mehr der Anwalt des Datenschutzes in Europa ist, wer ist es dann?