EU plant DSGVO-Reform: Was der „Digitale Omnibus“ für Unternehmen bedeutet

Die EU-Digitalgesetze auf dem Prüfstand

Die Europäische Kommission hat mit der Vorstellung ihres „Digitalen Omnibus“ eine umfassende Reform des europäischen Digitalrechts eingeleitet. Hinter diesem Gesetzespaket steht eine klare strategische Motivation: die Vereinfachung, Konsolidierung und Entbürokratisierung des bestehenden Rechtsrahmens. Ziel ist es, die administrativen Kosten für Unternehmen zu senken, die Rechtssicherheit zu erhöhen und letztlich die Wettbewerbsfähigkeit Europas im globalen digitalen Markt zu stärken. Diese Initiative ist mehr als nur eine kosmetische Anpassung; sie leitet eine grundlegende Überarbeitung zentraler Gesetze wie der Datenschutz-Grundverordnung (DSGVO), des Data Acts und des AI Acts ein. Für Unternehmen bedeutet dies eine Phase des Wandels, die sowohl Chancen als auch Herausforderungen birgt. Die folgenden Abschnitte analysieren die wichtigsten geplanten Änderungen und ihre strategischen Implikationen für die betriebliche Praxis.

Weniger Druck bei Datenpannen: Die Neuregelung der Meldepflichten

Die Meldepflicht bei Datenschutzvorfällen nach Art. 33 DSGVO stellt für Unternehmen eine der größten operativen Herausforderungen dar. Der immense Zeitdruck der 72-Stunden-Frist führt in der Praxis regelmäßig zu Hektik und potenziellen Fehlentscheidungen in kritischen Momenten. Die Vorschläge der EU-Kommission zielen darauf ab, diesen Druck zu reduzieren und mehr Klarheit zu schaffen.

Zwei zentrale Änderungen sind hierbei von strategischer Bedeutung:

1. Anhebung der Meldeschwelle: Die Schwelle, ab der ein Vorfall als meldepflichtig gilt, soll erhöht werden. Der Plan ist zweigeteilt: Neben der Fristverlängerung soll der Europäische Datenschutzausschuss (EDSA) eine verbindliche Liste meldepflichtiger Vorfälle erstellen. Diese Kombination zielt darauf ab, sowohl den Zeitdruck als auch die Rechtsunsicherheit zu reduzieren, die das Krisenmanagement derzeit belasten.
2. Verlängerung der Meldefrist: Die Frist für die Meldung einer Datenpanne soll von 72 auf 96 Stunden verlängert werden. Diese zusätzliche Zeit ist nicht nur ein Puffer, sondern eine strategische Chance: Sie ermöglicht den Wechsel von einer reaktiven, potenziell panischen Meldung zu einem kontrollierten, investigativen Krisenmanagement. Unternehmen gewinnen Zeit für eine erste interne Forensik, eine präzisere Risikobewertung für Betroffene und eine fundiertere, belastbarere Kommunikation mit der Aufsichtsbehörde.

Diese Neuregelungen versprechen eine spürbare Entlastung für die interne Organisation. Eine weitere zentrale Herausforderung in der Praxis, der Umgang mit Betroffenenrechten, wird ebenfalls adressiert.

Das neue Abwehrrecht: Schutz vor missbräuchlichen Betroffenenanfragen

Das Auskunftsrecht nach Art. 15 DSGVO ist ein Eckpfeiler des Datenschutzes, wird in der betrieblichen Praxis jedoch zunehmend als Instrument für rechtsmissbräuchliche Zwecke eingesetzt. Unternehmen sehen sich häufig mit exzessiven oder schikanösen Auskunftsersuchen konfrontiert, deren alleiniger Zweck darin besteht, internen Aufwand zu erzeugen und die Organisation zu belasten. Unsere Beratungspraxis bestätigt das Ausmaß dieses Problems: Wir haben für Mandanten unzählige, aufwendige Auskunftsersuchen bearbeitet, nur um festzustellen, dass mehr als zwei Drittel der bereitgestellten Datenpakete von den Anfragenden nicht einmal abgerufen werden. Das unterstreicht, dass das Ziel oft nicht die Information, sondern die Störung des Betriebsablaufs ist.

Die geplante Gesetzesänderung soll Unternehmen eine bessere rechtliche Handhabe gegen solche missbräuchlichen Anfragen geben. Hierbei bewegt sich der Gesetzgeber in einem Spannungsfeld:

• Einerseits sollen Unternehmen vor unverhältnismäßigem Aufwand und der strategischen Ausnutzung von Betroffenenrechten geschützt werden.
• Andererseits besteht die Gefahr, dass die Hürden für legitime Anfragen erhöht und die Rechte von tatsächlich betroffenen Personen eingeschränkt werden.

Die genaue Ausgestaltung dieser Regelung wird entscheidend dafür sein, ob ein fairer Ausgleich gelingt. Neben den operativen Prozessen soll auch der regulatorische Rahmen für das Online-Marketing neu geordnet werden.

Das Ende der ePrivacy-Verordnung: Cookie-Regeln direkt in der DSGVO

Die geplante ePrivacy-Verordnung, die die Regeln für Cookies und Tracking neu fassen sollte, gilt nach jahrelangen, festgefahrenen Verhandlungen als politisch gescheitert. Die EU-Kommission schlägt nun einen neuen Weg ein und plant, die ePrivacy-Richtlinie in diesem Bereich abzulösen und die entsprechenden Regelungen direkt in die DSGVO zu überführen.

Die Konsequenzen dieser strategischen Neuausrichtung sind weitreichend:

• Integration in die DSGVO: Die neuen Cookie-Regeln sollen in einem geplanten Art. 88a DSGVO verankert werden. Dies sorgt für eine Konsolidierung des Rechtsrahmens, löst aber nicht das eigentliche Problem.
• Cookie-Banner bleiben: Entgegen der Hoffnung vieler Website-Betreiber wird diese Änderung aller Voraussicht nach nicht das Ende der Cookie-Banner bedeuten. Das grundlegende Erfordernis einer Einwilligung für viele Tracking-Technologien bleibt bestehen; das Problem wird lediglich von einem Gesetz in ein anderes verlagert.

Für Unternehmen bedeutet dies, dass die Herausforderungen im Bereich des Einwilligungsmanagements bestehen bleiben. Die genaue Ausgestaltung des Art. 88a DSGVO wird darüber entscheiden, ob sich die praktische Handhabung vereinfacht oder verkompliziert. Angesichts dieser bevorstehenden Änderungen müssen Unternehmen ihre Strategie sorgfältig planen.

Strategische Handlungsempfehlungen für Unternehmen

Obwohl die geplanten Änderungen des „Digitalen Omnibus“ erst bis Dezember 2027 vollständig umgesetzt sein sollen, ist es für Unternehmen unerlässlich, sich bereits jetzt proaktiv vorzubereiten. Ein langer Zeithorizont darf nicht zu Untätigkeit verleiten. Wir empfehlen die folgenden vier strategischen Schritte:

1. Gesetzgebung aktiv beobachten Der vorgestellte Entwurf ist lediglich der Auftakt eines langen Gesetzgebungsprozesses. Die Details werden sich im Laufe der Verhandlungen zwischen Kommission, Rat und Parlament noch erheblich verändern. Unternehmen sollten den Prozess genau verfolgen, um frühzeitig auf finale Regelungen reagieren und ihre Compliance-Strategie anpassen zu können.
2. Prozesse für Datenpannen überprüfen Nutzen Sie die angekündigte Fristverlängerung als strategischen Anlass, um Ihre internen Melde- und Untersuchungsprozesse einem Stresstest zu unterziehen. Prüfen Sie, ob Ihre Abläufe robust und effizient genug sind, um die zusätzlichen 24 Stunden effektiv für eine qualitativ überlegene Analyse und Meldung zu nutzen, anstatt nur den Druck zu verschieben.
3. Dokumentation von Betroffenenanfragen schärfen Ein robuster Dokumentationsprozess verwandelt die Bearbeitung von Betroffenenanfragen von einer reinen Compliance-Last in einen strategischen Abwehrmechanismus. Er liefert die empirischen Beweise, um missbräuchliche Muster souverän zurückzuweisen, erhebliche Ressourcen zu sparen und künftige schikanöse Anfragen abzuschrecken. Beginnen Sie jetzt mit der Optimierung Ihrer Protokollierung.
4. Keine voreiligen Änderungen bei Cookie-Bannern Vermeiden Sie vorschnelle Änderungen an Ihren bestehenden Cookie-Banner-Lösungen. Da die genaue Ausgestaltung des neuen Art. 88a DSGVO noch unklar ist, wären Anpassungen zum jetzigen Zeitpunkt reine Spekulation und potenziell verschwendete Ressourcen. Warten Sie auf konkrete Entwürfe, bevor Sie Investitionen in die Umgestaltung Ihrer Einwilligungsmanagement-Plattform tätigen.

Der „Digitale Omnibus“ ist keine ferne legislative Übung; er ist der Entwurf für die nächsten fünf Jahre digitaler Compliance in Europa. Die Änderungen bei der Meldung von Datenschutzverletzungen und den Betroffenenrechten sind direkte Antworten auf reale betriebliche Schwachstellen. Die proaktive Anpassung interner Prozesse ist nicht nur empfehlenswert – sie ist für die Aufrechterhaltung der strategischen Agilität unerlässlich.