Digitaler Omnibus: Neuausrichtung der EU-Digitalpolitik

Am 19. November 2025 hat die Europäische Kommission ein umfassendes Maßnahmenpaket zur Anpassung der europäischen Digitalgesetzgebung vorgeschlagen. Ziel ist es, überholte Regelungen zu streichen, Doppelstrukturen zu beseitigen und bestehende Vorschriften zu vereinfachen. Allerdings sind auch neue Initiativen enthalten.  

Konkret umfasst das Digitalpaket folgende Bausteine:  

• Ein Omnibus zur Anpassung der Europäischen KI-Verordnung,  

• Ein Omnibus mit Änderungen u. a. der DSGVO und NIS-2,  

• sowie den Gesetzesvorschlag für eine Europäische „Business Wallet“.  

DER MITTELSTANDSVERBUND hat die zentralen Punkte für Sie zusammengefasst.  

Vereinfachung der KI-Regulierung: Erleichterungen vor allem für Entwickler  

Ein wesentlicher Bestandteil des Digitalen Omnibus ist die Europäische KI-Verordnung („AI Act“), die erst im vergangenen Jahr verabschiedet wurde. Die vorgeschlagenen Anpassungen zielen vor allem darauf ab,  Entwickler von Künstlicher Intelligenz  zu entlasten – insbesondere im Bereich der  Hochrisiko-KI.  

Darüber hinaus sollen die Änderungen auch den Nutzern von KI zugutekommen. Ein wichtiger Aspekt ist das Trainieren künstlicher Intelligenz: Die Europäische Kommission schlägt vor, dass die  Verarbeitung personenbezogener Daten  zur Entwicklung und Optimierung von KI-Systemen künftig unter bestimmten Voraussetzungen  auf das „berechtigte Interesse“ gemäß DSGVO  gestützt werden kann. Dies hiermit einhergehende Verbreiterung des verfügbaren Datenfundaments könnte es Unternehmen künftig erleichtern, die verwendete KI auf das eigene Firmenprofil zu optimieren.  

Auch das aktuell oftmals diskutierte Thema „Schulungen“ soll reformiert werden. Der Nachweis von KI-Kompetenz in den Unternehmen entfällt als rechtliche Pflicht, die Mitgliedstaaten sollen diese in Form von Qualifizierungsprogrammen lediglich fördern. Für Hochrisiko-KI entfällt die Verpflichtung hingegen nicht – die Anforderungen an die Vermittlung notwendiger Kompetenzen von Mitarbeitern gelten dort weiter.  

Diese Änderungen könnten nach Ansicht des MITTELSTANDSVERBUNDS einen breiten Einsatz von künstlicher Intelligenz in den Unternehmen fördern. Wichtig wäre nach Ansicht des Spitzenverbands des kooperierenden Mittelstands jedoch eine weitere Abgrenzung zwischen den Pflichten des KI-Entwicklers und des KI-Nutzers. Denn: Auch nach der geplanten Revision bleibt unklar, ab welchen Zeitpunkt eine Standard-KI-Anwendung – bspw. ChatGPT oder Copilot - derart verändert wird, dass auch für den Nutzer umfassende Pflichten bzgl. Risikoanalyse und entsprechender Dokumentation bestehen.   

Anpassungen an die DSGVO: Mehr Klarheit und weniger Pflichten für Unternehmen  

Die einschneidendsten Anpassungen im Kommissionsvorschlag zum digitalen Omnibus sind in der Datenschutzgrundverordnung (DSGVO) zu finden.  

So sollen künftig etwa nur noch solche Daten als personenbezogene Daten im Sinne der DSGVO gelten, wenn eine bestimmte Stelle selbst die betroffene Person identifizieren kann. Dies sorgt für ein zusätzliches Maß an Rechtssicherheit im Umgang mit Bewegungsdaten, die etwa erst durch die Verknüpfung von Informationen von Dritten (beispielsweise Datenvermittlungsdiensten) einen Personenbezug erhalten.  

Die geplante Entwicklung einer unionsweiten Methodik für die arbeitsaufwändige Datenschutz-Folgeabschätzung (DSFA) bei der Verarbeitung von personenbezogenen Daten mit hohem Risiko könnte insbesondere bei grenzüberschreitenden datenschutzrelevanten Vorgängen Rechtssicherheit schaffen. In diesem Zusammenhang ist von entscheidender Bedeutung, dass die zuständige europäische Behörde EDSA bürokratiearme Standards setzt.  

Darüber hinaus sollen künftig Auskunftsersuchen nach DSGVO, die in der Vergangenheit häufig missbräuchlich verwendet wurden, künftig entweder begründet abgelehnt oder mit einer Aufwandsentschädigung beantwortet werden können.  

Im Umgang mit Datenschutzlecks wird ein zentrales Portal realisiert, welches bereits in der NIS-2-Richtlinie avisiert wurde und künftig als „single entry point“ für alle Vorfälle im digitalen Raum zur zentralen Meldestelle wird. In diesem Zusammenhang soll auch die Meldefrist für Datenlecks abgeschwächt werden, wonach künftig nur noch diejenigen Verstöße meldepflichtig sein sollen, bei denen mit hinreichender Wahrscheinlichkeit ein hohes Risiko für die betroffenen Personen besteht; zugleich soll die Meldefrist für Verstöße von bislang 72 auf 96 Stunden verlängert werden.  

Dies ist grundsätzlich zu begrüßen, da Unternehmen dadurch ein größerer Handlungsspielraum für die interne Bewertung und Aufbereitung des Vorfalls gewährt wird. Zugleich ist es jedoch nicht sinnvoll, divergierende Meldefristen bei Datenschutzverstößen und Cybersicherheitsvorfällen zu schaffen, da hierdurch Doppelstrukturen und unnötige Parallelmeldungen entstehen können.  

Neue Regelungen zu Cookies: Entlastung für Verbraucher, Belastung für Unternehmen  

Doch auch Verbraucher sind Adressat der Erleichterungen im digitalen Omnibus: Diese sollen künftig mittels eines einzigen Klicks Cookie-Trackings ablehnen dürfen, wobei diese Einstellung binnen sechs Monaten nicht erneut abgefragt werden darf. Die Ablehnung von Cookies soll zudem verpflichtenden über ein zentrales, maschinenlesbares Signal im Browser auslösbar sein: systemweit könnten Nutzer somit alle Cookie-Einwilligungen widerrufen - Mit weitreichenden Folgen für mittelständische Betriebe: Nicht nur wären hiermit anspruchsvolle Anpassungen an der Frontend-Infrastruktur von Website-Betreibern erforderlich. Eine systemweite Cookie-Default-Einstellung würde nach Einschätzung des MITTELSTANDSVERBUNDS potenziell zu einem deutlichen Rückgang der Nutzungsdaten führen. Das steht eindeutig im Widerspruch zur  eigentlichen Zielsetzung der Union, den Zugang an qualitativ hochwertigen Daten zu erweitern.   

Europäische Business Wallet  

Ein weiterer interessanter Baustein des digitalen Pakets, das die Kommission am Mittwoch schnürte, ist ein neues Gesetzesvorhaben: Die European Business Wallet (EBW), die an das bestehende Vorhaben der Schaffung einer europäischen digitalen Identität (EUDI) anknüpft.  

Die EBW lässt sich als digitales Portmonnaie begreifen, das einem einzigen Unternehmen zugeordnet wird und in dem sich unternehmensrelevanten Dokumente (Nachweise, Zeritfikate, Genehmigungen etc.) zentral und digital über ein Online-Interface verwalten lassen. Über die Wallet könnten Unternehmer künftig sowohl B2B als auch im Verhältnis B2G bezüglich einer Vielzahl unternehmerischer Aktivitäten rechtsverbindlich interagieren. Das betrifft unter anderem die Identifizierung und Authentifizierung des Unternehmens, das Unterzeichnen von Verträgen oder das Einreichen von Bescheinigungen.   

Die Verwendung und damit einhergehende Verknüpfung eines Unternehmens zu einer solchen Wallet ist – stand jetzt - freiwillig. Öffentliche Stellen hingegen werden dazu verpflichtet, eine Business Wallet für die Interaktion bereitzustellen. Fraglich ist, ob und inwiefern bestehende nationale Digital­lösungen mit vergleichbarer Funktionalität – wie in Deutschland das „Digitale Unternehmenskonto (MUK)“ – künftig in die europäische Business Wallet integriert werden können. Fest steht: Parallele Systeme würden im Unternehmensalltag eher zusätzliche Bürokratie und Verwirrung erzeugen, statt einen Mehrwert zu schaffen  

Fazit  

Es lässt sich festhalten, dass die Kommission im Bereich der Datenpolitik weitreichende Vereinfachungen für Unternehmen schaffen will – im Bereich der DSGVO könnten die Vorschläge echte Entlastung für Unternehmen realisierenAllerdings greift der Vorschlag zum Digitalen Omnibus an anderer Stelle zu kurz: So hat der MITTELSTANDSVERBUND in der Vergangenheit wiederholt kritisiert, dass die im DSA verankerte Plattformregulierung sowie damit einhergehende Pflichten entgegen der Intention des Gesetzgebers auch für mittelständische Online-Marktplätze von Verbundgruppen greift. Im Bereich der KI und Cybersicherheitsregulierung krankt es zudem weiterhin an Unklarheiten im Anwendungsbereich – hier hätte eine ambitioniertere Überarbeitung der jeweiligen Gesetze Abhilfe schaffen können.    

Sowohl der Rat als auch das Europäische Parlament haben nun Gelegenheit, eigene Positionen zum Vorschlag der Kommission zu entwickeln. Eine Einigung wird im weiteren Verfahren wird im Verlauf des kommenden Jahres erwartet.