Der EU-Rat ist für weniger Tracking-Banner und vereinfachte Regeln für KI und Daten. Deutschland stimmte wegen Bedenken zum Geheimschutz dagegen.
Der EU-Ministerrat hat sich unter der irischen Präsidentschaft auf seine Position zum geplanten Digital-Omnibus verständigt. Das Gesetzespaket ist ein zentraler Baustein der EU-Vereinfachungsagenda,mit der Vorschriften zu Datenschutz, Privatsphäre und Cybersicherheit gestrafft und überlappende Regelungen harmonisiert werden sollen. Die Deregulierungspläne stoßen bei der Wirtschaft größtenteils auf Zustimmung. Gewerkschaften, Verbraucherschützer und Bürgerrechtsorganisationen sehen darin dagegen den bislang größten Rückschritt für digitale Grundrechte. Der EU-Rat behauptet nun, dass die Maßnahmen das digitale Regelwerk übersichtlicher machten, ohne den Schutz personenbezogener Daten aufzugeben.
Im Zentrum der Einigung stehen Erleichterungen für das Training von Systemen der Künstlichen Intelligenz. Zwar bleibt die Grunddefinition personenbezogener Daten in der Datenschutz-Grundverordnung (DSGVO) formal bestehen. Doch die Mitgliedsstaaten wollen neue Regeln zur Pseudonymisierung und Anonymisierung ein, die den Einsatz von Nutzerdaten für KI-Entwickler spürbar vereinfachen. Das KI-Training soll ferner auch ohne explizite Einwilligung unter Verweis auf das „berechtigte Interesse“ der Unternehmen zulässig sein. Das ist ein Punkt, den Datenschutzorganisationen wie Noyb scharf als Abschaffung europäischer Bürgerrechte kritisieren. Parallel dazu soll das Auskunftsrecht bei unbegründeten oder exzessiven Anfragen eingeschränkt werden. Nur für die wissenschaftliche Forschung sind gezielte Ausnahmen vorgesehen.
Bei den umstrittenen Cookie-Regeln erteilet der Rat den Plänen der EU-Kommission eine Absage. Sie hatte vorgeschlagen, die Cookie-Flut durch zentrale Einstellungen im Browser einzudämmen, um wiederkehrende Abfragen für mindestens ein halbes Jahr zu verhindern. Stattdessen behält der Rat den Rahmen der E-Privacy-Richtlinie prinzipiell bei. Er will aber die Liste der Ausnahmen erweitern, für die keine Zustimmung der Nutzer erforderlich ist – etwa für die Messung von Reichweiten, die Bereitstellung von Diensten oder die Endgerätesicherheit. Zudem sieht der Entwurf vor, dass Nutzer nach einer Entscheidung vier Monate lang nicht erneut nach ihrer Erlaubnis gefragt werden dürfen.
Auch der Schutz von Geschäftsgeheimnissen im Rahmen des Data Act war bis zuletzt Gegenstand harter Debatten. Der Rat sprach sich dafür aus, dass Geschäftsgeheimnisse in Datenflüssen im Internet der Dinge (IoT) erst nach einer ausdrücklichen Vertraulichkeitsvereinbarung aller Parteien offengelegt werden dürfen. Das soll ein Abfließen von Know-how in Drittstaaten verhindern helfen. Für datenhaltende Stellen des öffentlichen Sektors sowie Re-User werden die Abläufe zwar vereinfacht. Gegenüber marktbeherrschenden Gatekeepern können Behörden dem Entwurf nach aber strengere Auflagen und höhere Gebühren durchsetzen. Im Bereich der Cybersicherheit setzt das Ratsmandat auf nationale Einstiegspunkte zur Vorfallmeldung anstelle einer zentralen EU-Stelle.
Die finale Entscheidung im Rat fiel nicht einstimmig aus. Deutschland stimmte gemeinsam mit Österreich und Estland gegen die Position der Präsidentschaft, wurde aber überstimmt. Aus dem Bundesdigitalministerium hieß es, der Kompromiss werde den deutschen Ambitionen bei der Entlastung kleiner und mittlerer Unternehmen sowie beim Schutz von Geschäftsgeheimnissen nicht gerecht. Zudem hatte Berlin eine vorherige Folgenabschätzung zu den Cookie-Änderungen gefordert. Mit der Ratsvereinbarung ist der Weg frei für die Trilog-Verhandlungen mit der EU-Kommission und dem Parlament, das seine Position voraussichtlich im Februar festlegen wird. Bis zu einer angestrebten Verabschiedung Ende 2027 stehen dem Paket damit noch schwierige Verhandlungsrunden bevor.
Stefan Krempl