Die DSGVO ist seit fast acht Jahren das weltweit am häufigsten zitierte Datenschutzgesetz, doch eine schnell voranschreitende Verhandlung im EU-Rat könnte still und leise neu schreiben, was sie tatsächlich schützt. Berichten über die laufenden Gespräche zufolge nähern sich die Diplomaten des EU-Rates einer Einigung über ein Digitales Omnibus-Paket, das Werbe-Tracking-IDs für bestimmte Verarbeiter aus dem Datenschutzrecht herausnehmen, KI-Entwicklern eine Zustimmungs-Abkürzung für Trainingsdaten verschaffen und ein automatisiertes Browser-Signal abschaffen würde, das es normalen Nutzern erleichtern sollte, Tracking zu widersprechen. Für die 450 Millionen EU-Bürger, die sich auf die DSGVO als rechtliches Rückgrat gegen Datensammlung verlassen, sind die dieswöchigen Verhandlungen wichtiger, als die meisten Menschen realisieren.

Was das Digitale-Omnibus-Abkommen in der DSGVO ändert

Der Digitale Omnibus wurde als Vereinfachungspaket angepriesen, als ein Weg, regulatorische Reibung für Unternehmen zu verringern, die sich durch überlappende EU-Digitalvorschriften navigieren. Doch die Version, die nun durch den Rat voranschreitet, geht über administrative Bereinigung hinaus. Basierend auf aktuellen Berichten würde das Abkommen Ausnahmen schaffen, die bestimmten Datenverarbeitern erlauben, Werbe-Tracking-IDs als außerhalb des Geltungsbereichs der DSGVO zu behandeln. Das ist eine bedeutende Verschiebung: Tracking-IDs sind das Rückgrat der verhaltensbasierten Werbung, und sie vom Datenschutzrecht auszunehmen entfernt eine Aufsichtsebene, die seit Inkrafttreten der DSGVO gegolten hat. Dieselben Verhandlungen sollen auch KI-Trainingsaktivitäten eine rechtliche Abkürzung verschaffen, die keine Nutzereinwilligung erfordert – ein weiteres Kernprinzip der DSGVO, das eingeengt statt gestärkt wird.

Durchsetzungszahlen zeigen, warum diese Unterscheidung wichtig ist. Die kumulierten DSGVO-Geldbußen haben bereits 4 Milliarden Euro überschritten, während Regulierungsbehörden weltweit ähnliche Datenschutzrahmen übernommen haben. Diese Durchsetzungsbilanz existiert, weil die Einwilligungs- und Verarbeitungsregeln der DSGVO den Regulierungsbehörden klare Verstöße lieferten, gegen die sie vorgehen konnten. Diese Definitionen zu lockern, betrifft nicht nur zukünftige Fälle, es ändert, was überhaupt als Verstoß gilt.

Wer profitiert: Ausnahmen für Ad-Tech und KI-Training

Die beiden größten Ausnahmen im berichteten Abkommen weisen in dieselbe Richtung: verringerte Reibung für Unternehmen, die personenbezogene Daten in großem Maßstab monetarisieren. Werbetechnologie-Unternehmen haben jahrelang gegen Einwilligungsanforderungen angekämpft, die Echtzeit-Auktionen und seitenübergreifendes Tracking verlangsamen. Wenn Tracking-IDs für einige Verarbeiter als ausgenommen eingestuft werden, gewinnen Ad-Tech-Unternehmen einen saubereren rechtlichen Weg, Identifikatoren zu sammeln und weiterzugeben, ohne denselben Einwilligungspflichten zu unterliegen, die derzeit gelten.

KI-Entwickler dürften ähnlich profitieren. Eine Zustimmungs-Abkürzung für Trainingsdaten adressiert eine der umstrittensten ungelösten Fragen in der KI-Regulierung: ob personenbezogene Daten, die für das Modelltraining gescrapt oder lizenziert werden, denselben Einwilligungsstandard wie andere Verarbeitungen erfordern. Diese Anforderung zu entfernen würde KI-Unternehmen erlauben, mit Daten von EU-Bürgern mit weniger rechtlichem Risiko zu trainieren, selbst während Debatten über KI-Transparenz und Datenherkunft an anderer Stelle in Brüssel weitergehen.

Keine dieser Ausnahmen schafft die DSGVO vollständig ab. Aber sie verengen ihre Reichweite genau in den beiden Bereichen, in denen die Sammlung personenbezogener Daten in den vergangenen Jahren am schnellsten gewachsen ist.

Das gestrichene Browser-Signal und was es für Opt-Outs bedeutete

Das vielleicht folgenreichste Detail im berichteten Abkommen ist das kleinste: die Streichung eines automatisierten Browser-Signals, das Nutzern ermöglichen sollte, Tracking-Widersprüche zu registrieren, ohne auf jeder besuchten Website durch Einwilligungsbanner klicken zu müssen. Solche Signale sollen die Last der Privatsphäre-Verwaltung von einzelnen Nutzern weg hin zu Browser-Standardeinstellungen verlagern, sodass eine einzige Einstellung die Präferenz einer Person im gesamten Web kommunizieren kann. Diesen Mechanismus aus dem Digitalen Omnibus-Paket zu entfernen bedeutet, dass Nutzer einen standardisierten, reibungsarmen Weg verlieren, Nein zum Tracking zu sagen, und zurück zum manuellen Verwalten von Einwilligungs-Pop-ups Seite für Seite gedrängt werden – ein Prozess, den die meisten Menschen durchklicken, ohne ihn zu lesen.

Was das für Sie bedeutet

Wenn dieses Abkommen wie berichtet voranschreitet, verlieren EU-Bürger nicht über Nacht die DSGVO, aber sie verlieren einige ihrer praktischen Zähne genau in den Bereichen, in denen Tracking am weitesten verbreitet ist: Werbung und KI. Ohne ein Browser-Signal zum Opt-out verschiebt sich die Verantwortung für die Begrenzung von Tracking weiter auf Individuen statt auf automatisierte Werkzeuge. Das macht persönliche Datenschutzgewohnheiten wichtiger, nicht weniger. Browser-Datenschutzeinstellungen anzupassen, Drittanbieter-Cookies einzuschränken und ein VPN zu nutzen, um Ihre IP-Adresse und Ihren Standort vor Werbenetzwerken zu verbergen, ersetzt nicht, was ein starker Regulierungsrahmen bietet, aber sie fügen eine Kontrollebene hinzu, die nicht davon abhängt, wie eine Brüsseler Verhandlung diese Woche endet.

Wichtigste Erkenntnisse

Beobachten Sie, wie diese Rat-Verhandlung ausgeht, da sich der endgültige Wortlaut zu Tracking-ID-Ausnahmen und KI-Einwilligungs-Abkürzungen vor der Annahme noch ändern könnte. Warten Sie in der Zwischenzeit nicht darauf, dass die Regulierung aufholt: Überprüfen Sie die Tracking-Schutzeinstellungen Ihres Browsers, beschränken Sie, welche Websites Werbe-Identifikatoren setzen dürfen, und erwägen Sie ein VPN als praktischen Weg, um die Exposition gegenüber seitenübergreifendem Tracking zu reduzieren, unabhängig davon, wie sich der Geltungsbereich der DSGVO entwickelt. Angesichts dessen, dass die DSGVO-Durchsetzung bereits Milliarden an Geldbußen hervorgebracht hat, ist der Kernwert des Gesetzes bewiesen – genau deshalb verdienen die dieswöchigen Rat-Entscheidungen zum Digitalen Omnibus öffentliche Aufmerksamkeit.