Mit dem Digital-Omnibus will die EU-Kommission das EU-Digitalrecht vereinfachen. Zwei Ausschüsse des EU-Parlaments wehren sich gegen die Beschneidung von Bürgerrechten.
Das europäische Datenschutzrecht steht vor einer größeren Reform. Mit dem sogenannten Digital-Omnibus beabsichtigt die EU-Kommission, das Regelungsgeflecht aus DSGVO, Data Act, E-Privacy-Richtlinie und weiteren Digitalgesetzen zu entwirren, bürokratische Hürden abzubauen und Rechtsunsicherheiten für Unternehmen zu beseitigen. Was als technisches Entlastungspaket gedacht war, hat sich im EU-Parlament zu einem Schauplatz netzpolitischer Debatten entwickelt. Im Zentrum der Auseinandersetzung steht die Frage, wie sich administrative Erleichterungen realisieren lassen, ohne das europäische Datenschutzniveau auszuhöhlen. Die vorliegenden Entwürfe und Änderungsanträge aus den federführenden Parlamentsausschüssen spiegeln das Ringen um eine praxistaugliche Balance zwischen digitaler Innovationsfähigkeit und dem Schutz von Grundrechten wider.
Den Ausgangspunkt bildet der gemeinsame Berichtsentwurf des Ausschusses für Industrie, Forschung und Energie (ITRE) unter Führung von Aura Salla (EPP) sowie des Ausschusses für bürgerliche Freiheiten, Justiz und Inneres (LIBE) unter der Federführung der Sozialdemokratin Marina Kaljurand. Dieser konsolidierte Entwurf deckt ein breites Spektrum ab – von Vereinfachungen bei Datenpannenmeldungen bis zum Schutz vor automatisierter Entscheidungsfindung. Während der Kommissionsentwurf an einigen Stellen Einschränkungen von Betroffenenrechten vorsah, setzen die Berichterstatterinnen Gegenakzente. Insbesondere beim Auskunftsrecht nach Artikel 15 DSGVO wehrt sich das Parlament gegen Versuche, diese Norm unter pauschalen Missbrauchsverdacht zu stellen.
Die Kommission wollte Anträge als exzessiv einstufen, wenn damit andere Ziele als der reine Datenschutz verfolgt werden. Die Berichterstatterinnen stellen klar, dass die Wahrnehmung von Bürgerrechten als Mittel zur Durchsetzung sonstiger rechtlicher Belange keineswegs missbräuchlich ist. Bei tatsächlich unbegründeten oder exzessiven Anträgen soll Betroffenen künftig das Wahlrecht eingeräumt werden, eine Gebühr zu zahlen oder auf die Ausführung zu verzichten.
Ein weiterer Schwerpunkt liegt auf der Verarbeitung biometrischer Daten zur Identitätsprüfung. Der Entwurf erlaubt Ausnahmen vom strikten Verarbeitungsverbot, sofern die Verifizierung für berechtigte Zwecke erforderlich ist und die Daten unter der alleinigen Kontrolle der betroffenen Person verbleiben. Die Parlamentsausschüsse betonen, diese Kontrolle bedeute, dass Nutzer effektiv selbst entscheiden könnten, wann und wie ihre biometrischen Daten verwendet werden. Unternehmen dürften technisch nicht in der Lage sein, im Klartext auf die Daten zuzugreifen oder sie außerhalb des strikten Abgleichs zu verarbeiten. Sichere Speicherorte auf dem Endgerät oder verschlüsselte Verfahren stehen im Mittelpunkt der Präzisierungen.
Auch bei der automatisierten Entscheidungsfindung nach Artikel 22 DSGVO dringt das Parlament auf Nachbesserungen. Zwar soll der Einsatz automatisierter Verfahren bei Verträgen erleichtert werden. Doch fordern die Abgeordneten ein echtes Recht auf menschliches Eingreifen. Eine bloß symbolische Durchsicht durch Mitarbeiter ohne reale Möglichkeit, ein Systemergebnis abzuändern, soll nicht ausreichen. Der menschliche Prüfer muss über die nötige Autonomie und Fachkompetenz verfügen, um Entscheidungen wirksam zu korrigieren.
Beim Bürokratieabbau rund um Datenpannen und Datenschutz-Folgenabschätzungen strebt die Kommission eine Vereinfachung an. Meldungen an Aufsichtsbehörden sollen künftig erst ab einer höheren Risikoschwelle verpflichtend sein. Um Firmen Orientierung zu bieten, soll der Europäische Datenschutzausschuss (EDSA) laut den Abgeordneten aber einheitliche Vorlagen und Kriterienlisten ausarbeiten. Sie weisen dem EDSA dabei die federführende Rolle zu und schützen dessen fachliche Unabhängigkeit gegenüber Versuchen der Kommission, die Hoheit über diese Dokumente per Durchführungsakt zu übernehmen.
Parallel zur parlamentarischen Debatte gewinnen die Verhandlungen im EU-Rat unter irischer Präsidentschaft an Dynamik. Nachdem ein Kompromissentwurf Zyperns am Widerstand mehrerer Mitgliedstaaten – darunter Deutschland, Dänemark, Italien, Polen und Schweden – gescheitert war, hat Irland die Beratungen über Cookie-Einwilligungen, Pseudonymisierung und KI-Datenverarbeitung neu aufgerollt. Auch der EDSA hat sich mit Leitlinien zur Anonymisierung zu Wort gemeldet und anerkannt, dass die Anonymität von Daten aus der Perspektive des jeweiligen Datenverarbeiters zu beurteilen ist. Wirtschaftsnahe US-Denkfabriken wie das International Center for Law & Economics (ICLE) begrüßen diesen Ansatz zwar prinzipiell. Sie drängen aber auf noch weitgehendere, rechtssichere Ausnahmen für KI-Training und Cookie-Banner. Die Abgeordneten stehen nun vor intensiven Beratungen über mehr als tausend Änderungsanträge, um die Verhandlungsposition des Parlaments für den Trilog zu schmieden.
Stefan Krempl