Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnungen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 und der Richtlinien 2002/58/EG, (EU) 2022/2555 und (EU) 2022/2557 hinsichtlich der Vereinfachung des digitalen Rechtsrahmens und zur Aufhebung der Verordnungen (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 und der Richtlinie (EU) 2019/1024 (Digital-Omnibus-Verordnung)

Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnungen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 und der Richtlinien 2002/58/EG, (EU) 2022/2555 und (EU) 2022/2557 hinsichtlich der Vereinfachung des digitalen Rechtsrahmens und zur Aufhebung der Verordnungen (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 und der Richtlinie (EU) 2019/1024 (Digital-Omnibus-Verordnung) Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.bundesanzeiger-verlag.de ISSN 0720-2946 Bundesrat Drucksache 34/26 (Beschluss) 27.03.26 Beschluss des Bundesrates Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnungen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 und der Richtlinien 2002/58/EG, (EU) 2022/2555 und (EU) 2022/2557 hinsichtlich der Vereinfachung des digitalen Rechtsrahmens und zur Aufhebung der Verordnungen (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 und der Richtlinie (EU) 2019/1024 (Digital-Omnibus-Verordnung) COM(2025) 837 final; Ratsdok. 15698/25 Der Bundesrat hat in seiner 1063. Sitzung am 27. März 2026 gemäß §§ 3 und 5 EUZBLG die folgende Stellungnahme beschlossen: - 3 - Drucksache 34/26 (Beschluss) Zu den vorgeschlagenen Änderungen in Artikel 3 des Vorschlags Der Bundesrat fordert dennoch die Kommission auf, den Artikel 15 DSGVO auf weitergehende Vereinfachungen hin zu überprüfen. Eine solche Möglichkeit könnte insbesondere darin bestehen, dass die Rechte aus Artikel 15 DSGVO innerhalb von zwei Jahren nur einmal kostenfrei geltend gemachten werden können. Zudem sollte erwogen werden, ob die vom Betroffenen zur Verfügung gestellten Daten und Kopien vom Auskunfts- und Kopienanspruch ausgenommen werden können. Es wird anerkannt, dass die Kommission mit ihren Vorschlägen zu Artikel 12 Absatz 5 und Artikel 13 Absatz 4 DSGVO Verantwortliche bei der Umsetzung der datenschutzrechtlichen Transparenzpflichten und insbesondere bei der Umsetzung des Auskunftsanspruches entlasten möchte. Gerade im Interesse von kleinen und mittleren Unternehmen (KMU), ehrenamtlich Tätigen und Behörden sollte die Kommission jedoch weitergehende Entlastungsmöglichkeiten in diesem Bereich prüfen. Gemäß Artikel 15 Absatz 1 DSGVO hat die betroffene Person das Recht, von dem Verantwortlichen eine Bestätigung darüber zu verlangen, ob sie betreffende personenbezogene Daten verarbeitet werden. Ist dies der Fall, so hat sie ein Recht auf Auskunft über diese personenbezogenen Daten und auf die in der Aufzählung Buchstaben a bis h aufgeführten Informationen. Nach Artikel 15 Absatz 3 Satz 1 DSGVO stellt der Verantwortliche eine Kopie der personenbezogenen Daten zur Verfügung, die Gegenstand der Verarbeitung sind. Gemäß Artikel 15 Absatz 4 DSGVO darf das Recht auf Erhalt einer Kopie gemäß Absatz 3 die Rechte und Freiheiten anderer Personen nicht beeinträchtigen. Eine weitere Möglichkeit zur Entlastung dürfte etwa darin bestehen, diejenigen Daten und Kopien von den Ansprüchen aus Artikel 15 DSGVO auszunehmen, die die betroffene Person dem Verantwortlichen selbst zur Verfügung gestellt hat. Schreiben, die von der betroffenen Person selbst übermittelt wurden, sollten der betroffenen Person im Rahmen der Auskunftserteilung nach Artikel 15 DSGVO nicht zur Verfügung gestellt werden. Die Daten Dritter müssten dadurch in diesen Schreiben auch nicht geschwärzt werden. Es wird davon ausgegangen, dass der betroffenen Person die eigenen Schreiben vorliegen und die damit übermittelten und beim Verantwortlichen verarbeiteten personenbezogenen Daten bekannt sind. Zudem könnte eine Steuerung über bestimmte Kostenregelungen erfolgen. Beispielsweise könnte eine zur Verfügungsstellung innerhalb von zwei Jahren kostenfrei sein. Alle Ansprüche darüber hinaus könnten kostenpflichtig gemacht werden. Darüber hinaus sollte der Ausnahmetatbestand des Artikels 13 Absatz 4 DSGVO über die vorgeschlagene Änderung hinaus dahingehend ergänzt werden, dass die Informationspflicht nicht besteht, soweit die Erteilung der Information sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde. Der Bundesrat empfiehlt, bezüglich Artikel 3 Nummer 7 des Verordnungsvorschlags Regelungen zu ergänzen, die den Grundrechte- und Diskriminierungsschutz sowie die Gleichstellung wirksam sicherstellen. Er misst der Beibehaltung der menschlichen Aufsicht über automatisierte Entscheidungen im Zusammenhang mit Verträgen gemäß Artikel 22 DSGVO eine hohe Bedeutung bei. Vollautomatisierte Entscheidungen sind nur dann für Verträge zulässig, wenn dies erforderlich ist, d. h., wenn eine Überprüfung durch Menschen keine sinnvolle Alternative darstellt. Der Bundesrat ersucht die Kommission daher, Vorschläge zu erarbeiten, wie die Aufsichtsstrukturen rechtsaktübergreifend stärker aus der Perspektive der betroffenen Unternehmen und Organisationen als Adressaten der Pflichten konsolidiert werden können. Digitale und praxisnahe One-Stop- Shop-Lösungen und digitale Meldeportale sollten dabei als Standard über die Rechtsakte hinweg etabliert werden. b) Der Bundesrat fordert die Kommission zudem auf, Vorschläge für weitergehende Vereinfachungen bei Dokumentations- und Transparenzpflichten bei risikoarmen Tätigkeiten vorzulegen. In der Praxis erschweren bürokratische Dokumentationspflichten und die Zersplitterung der Zuständigkeiten für die EU-Datenrechtsakte – insbesondere für KMU und ehrenamtlich tätige Organisationen – die Umsetzung der Vorgaben. c) Der Bundesrat bittet die Kommission, im Rahmen des Digital Omnibus einen Vorschlag aufzunehmen, der eine Regelung in der DSGVO zu räumlich und zeitlich beschränkten Reallaboren nach Vorbild von Artikel 57 KI- Verordnung schafft. Diese Regelung sollte Erleichterungen im Hinblick auf Einwilligungserfordernisse, den Grundsatz der Datensparsamkeit, die Zweckbindung, Betroffenenrechte sowie Informations- oder Dokumentationspflichten umfassen. d) Der Bundesrat erkennt an, dass die Kommission mit ihren Vorschlägen die wissenschaftliche Forschung spürbar entlasten möchte. Neben der vorgeschlagenen Privilegierung bei den zweckändernden Weiterverarbeitungen (Artikel 5 Absatz 1 Buchstabe b DSGVO – Artikel 3 Nummer 2 des Verordnungsvorschlags) und der Ausnahme von der Informationspflicht (Artikel 13 Absatz 5 DSGVO – Artikel 3 Nummer 6 des Verordnungsvorschlags) besteht jedoch ein grundlegender Bedarf für eine innovations- und forschungsorientierte Ausgestaltung der DSGVO. e) Daher fordert der Bundesrat die Kommission auf, für einen angemessenen Ausgleich zwischen Datenschutz und Innovation/Forschung durch einen Hinweis auf die Abwägungsoffenheit von Artikel 8 der Charta der Grundrechte in der Europäischen Union in der DSGVO zu sorgen. f) Der Bundesrat ersucht die Kommission weiter, im Digital Omnibus zu prüfen, ob durch eine Änderung von Artikel 58 DSGVO den Aufsichtsbehörden ermöglicht werden kann, Verfahren aus Opportunitätserwägungen einstellen zu können. Bislang bleibt den Aufsichtsbehörden nur eine Verwarnung als „mildeste Einstellungsmöglichkeit“ (Artikel 58 Absatz 2 Buchstabe a DSGVO). g) Abschließend fordert der Bundesrat die Kommission auf, einen Vorschlag vorzulegen, wie nach Vorbild des Cyber-Resilience-Acts und der KI- Verordnung auch die DSGVO die Hersteller und Anbieter von Standardlösungen künftig in die Verantwortung nehmen kann, damit die Anwender unkompliziert und rechtssicher Standardlösungen nutzen können. Bei der Erstellung der Listen zur Erforderlichkeit einer Datenschutz- Folgenabschätzung sollte aber berücksichtigt werden, dass der Einsatz neuer Technologien nicht allein als automatisch auslösendes Kriterium gelten kann. Dies wäre technikfeindlich und würde aufgrund der Unschärfe des Begriffs der neuen Technologie keine Rechtsklarheit schaffen. Der Bundesrat fordert daher die Kommission auf, in den Regelungsvorschlag eine praxistaugliche Rechtsgrundlage für die Anonymisierung aufzunehmen, um für mehr Rechtssicherheit zu Gunsten von privaten Akteuren und der Verwaltung zu sorgen. Um dieses Regelungsziel umzusetzen, sind Regelungsoptionen im Erwägungsgrund 26, in Artikel 4 DSGVO oder durch Schaffung einer entsprechenden Rechtsgrundlage zu erwägen. Des Weiteren sollte die Kommission in ihrem Vorschlag zu Artikel 41a DSGVO gegebenenfalls ergänzen, dass der Europäische Datenschutzausschuss (EDSA) nicht nur für den Bereich der Pseudonymisierung, sondern auch für die Anonymisierung klarstellende Listen von Verfahren erarbeiten sollte, die anschließend die Kommission prüfen und in einen Durchführungsrechtsakt überführen kann. Weitere Änderungen der DSGVO Aktuell liegt die datenschutzrechtliche Verantwortung bei der Nutzung von Software bei den Verantwortlichen und Auftragsverarbeitern. Dies greift zu kurz, die Hersteller sollten hier in die Verantwortung gezogen werden und gewährleisten müssen, dass jedenfalls die standardmäßig über ihre Produkte laufenden Verarbeitungstätigkeiten datenschutzkonform durchgeführt werden können. Drucksache 34/26 (Beschluss) - 12 - In Artikel 15 Absatz 3 DSGVO sollte ergänzt werden, dass die Kopie nur die verarbeiteten personenbezogenen Daten umfasst. Daneben sollte auch Artikel 15 Absatz 4 DSGVO ergänzt werden. Nicht nur bei dem Recht auf Erhalt einer Kopie, sondern auch bei dem Recht auf Auskunft gemäß Absatz 1 und 2 sollten die Rechte und Freiheiten anderer Personen nicht beeinträchtigt werden. Die Rechte und Freiheiten anderer Personen sollten auch die des Verantwortlichen umfassen. Durch eine Ergänzung von Artikel 15 Absatz 4 DSGVO sollte das Recht auf Kopie nach Absatz 3 ausgeschlossen sein, wenn und soweit die Erteilung der Kopie sich als unmöglich erweist oder einen unverhältnismäßigen Aufwand erfordern würde. Drucksache 34/26 (Beschluss) - 14 - Des Weiteren sollte eine Verjährungsfrist für Datenschutzverstöße und Beschwerden hierüber eingeführt werden. Jedenfalls sollte die Möglichkeit des Zurückstellens einer Beschwerde bei parallellaufenden gerichtlichen Verfahren eingeführt werden. Dies ist zur Vermeidung paralleler und sich widersprechender Entscheidungen notwendig. Gleichzeitig dient die Regelung der Entlastung der Aufsichtsbehörden in den Fällen, in denen der Betroffene seine Rechte bereits in einem anderen Verfahren geltend macht. Auswirkungen des Digital-Omnibus auf die Automobilindustrie a) Der aktuelle Verordnungsvorschlag sieht, mit wenigen Ausnahmen, eine Einwilligungspflicht beim Zugriff auf Daten in Endeinrichtungen vor. Dadurch gehen der Automobilindustrie eine Vielzahl relevanter Daten für die Entwicklung sicherheitskritischer und/oder autonomer Fahrsysteme verloren. Zur Ermöglichung zentraler Innovationen mit erheblichem gesellschaftlichem Mehrwert (bspw. autonomes Fahren/sicherheitsrelevante Assistenzsysteme) muss die Nutzung von personenbezogenen Daten aus Endeinrichtungen wie Fahrzeugen vereinfacht werden. Es sollte daher dringend geprüft werden, ob der Zugriff auf diese Daten für legitime Zwecke der Wirtschaft in Abwägung mit den Rechten Betroffener gestattet wird. b) Im Verordnungsvorschlag ist das Kriterium der „Direktheit“ im Kontext der Verarbeitung von besonderen Kategorien von Daten nach Artikel 9 DSGVO, insbesondere Gesundheitsdaten, nicht enthalten. Dieses muss aus Sicht des Bundesrates dringend aufgenommen werden, um eine Überdehnung des Anwendungsbereichs zu vermeiden, die Innovation im öffentlichen Interesse behindert. Die zu Entwicklungszwecken autonomer Fahrsysteme zwingend erforderliche Nutzung von Bild- und Videodaten muss rechtlich eindeutig geregelt werden. Übermäßige Auslegungserfordernisse oder de-facto nicht erfüllbare Anforderungen, wie etwa die Einholung von Einwilligungen von Personen außerhalb der Fahrzeuge, wie z. B. von Kindern oder Menschen mit Beeinträchtigungen, sind zu vermeiden. Ohne die Nutzung dieser Daten durch die Automobilindustrie können gerade diese vulnerablen Gruppen nicht zuverlässig von autonomen Fahrsystemen im Verkehr erkannt werden. c) Die vorgeschlagene Ausnahme zur Verarbeitung besonderer Kategorien für KI muss für Fälle, in denen es um die Erhebung großer Datenmengen geht, die für die Entwicklung und den Betrieb einer neuen Technologie zwingend erforderlich ist, technologieoffen ausgeweitet werden. Der Bundesrat bittet den Unionsgesetzgeber hier, die vorgeschlagene Ausnahme zur Verarbeitung besonderer Kategorien so zu formulieren, dass die Entwicklung von Technologien im gesamtgesellschaftlichen Interesse unter Beachtung der Betroffenenrechte erleichtert wird, unabhängig davon, ob diese als KI einzustufen sind oder nicht. Dies gilt beispielsweise für moderne Assistenzsysteme wie den Brems- oder Spurhalteassistenten in Fahrzeugen, die nicht als KI eingestuft werden können, jedoch entsprechende Daten für die Weiterentwicklung benötigen, um weitere Beiträge für die Verkehrssicherheit leisten zu können.