Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnungen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 und der Richtlinien 2002/58/EG, (EU) 2022/2555 und (EU) 2022/2557 hinsichtlich der Vereinfachung des digitalen Rechtsrahmens und zur Aufhebung der Verordnungen (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 und der Richtlinie (EU) 2019/1024 (Digital-Omnibus-Verordnung)

Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnungen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 und der Richtlinien 2002/58/EG, (EU) 2022/2555 und (EU) 2022/2557 hinsichtlich der Vereinfachung des digitalen Rechtsrahmens und zur Aufhebung der Verordnungen (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 und der Richtlinie (EU) 2019/1024 (Digital-Omnibus-Verordnung) Vertrieb: Bundesanzeiger Verlag GmbH, Postfach 10 05 34, 50445 Köln Telefon (02 21) 97 66 83 40, Fax (02 21) 97 66 83 44, www.bundesanzeiger-verlag.de ISSN 0720-2946 Bundesrat zu Drucksache 34/26 (Beschluss) 09.07.26 Unterrichtung durch die Europäische Kommission Stellungnahme der Europäischen Kommission zu dem Beschluss des Bundesrates zum Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnungen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 und der Richtlinien 2002/58/EG, (EU) 2022/2555 und (EU) 2022/2557 hinsichtlich der Vereinfachung des digitalen Rechtsrahmens und zur Aufhebung der Verordnungen (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 und der Richtlinie (EU) 2019/1024 (Digital-Omnibus-Verordnung) C(2026) 4715 final Herrn Dr. Andreas Bovenschulte Präsident des Bundesrates Leipziger Straße 3-4 10117 Berlin ALLEMAGNE/DUITSLAND EUROPÄISCHE KOMMISSION Brüssel, den 2.7.2026 C(2026) 4715 final Sehr geehrter Herr Bundesratspräsident, die Kommission dankt dem Bundesrat für seine Stellungnahme zum Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates zur Änderung der Verordnungen (EU) 2016/679, (EU) 2018/1724, (EU) 2018/1725, (EU) 2023/2854 und der Richtlinien 2002/58/EG, (EU) 2022/2555 und (EU) 2022/2557 hinsichtlich der Vereinfachung des digitalen Rechtsrahmens und zur Aufhebung der Verordnungen (EU) 2018/1807, (EU) 2019/1150, (EU) 2022/868 und der Richtlinie (EU) 2019/1024 (Digital-Omnibus- Verordnung) (COM(2025) 837 final). Mit dem Vorschlag dieser Maßnahmen bekräftigt die Kommission ihr Engagement für die Agenda zur Vereinfachung der Rechtsvorschriften sowie für eine wirksamere Durchsetzung des Unionsrechts. Diese Agenda ist tief in den Zielen für die Wettbewerbsfähigkeit verwurzelt, die im Draghi-Bericht 2024 hervorgehoben und vor Kurzem in den Schlussfolgerungen des Europäischen Rates vom 19. März 2026 bekräftigt wurden. Die Kommission begrüßt die vom Bundesrat bekundete Unterstützung für diese Agenda, nimmt aber auch zur Kenntnis, dass hinsichtlich des Umfangs der mit dem Vorschlag verbundenen Anpassungen einige Vorbehalte bestehen. Die Kommission möchte erneut darauf hinweisen, dass die vorgeschlagenen Maßnahmen ein ausgewogenes Paket technischer Änderungen darstellen, mit denen die Unternehmen unmittelbar entlastet werden sollen, während gleichzeitig ein hohes Maß an Schutz der Grundrechte aufrechterhalten und die Durchsetzung des Unionsrechts gestärkt wird. Die Kommission ist sich der Auswirkungen dieses Vorschlags bewusst, die in der dem Vorschlag beigefügten Arbeitsunterlage der Kommissionsdienststellen bewertet worden sind. Die Kommission nimmt ferner zur Kenntnis, dass der Bundesrat das Ziel der vorgeschlagenen Änderungen der Datenschutz-Grundverordnung (DSGVO) grundsätzlich begrüßt, aber auch mehrere weitere Änderungen fordert. Die Kommission ist gerne bereit zu erörtern, wie die Vorschläge im Hinblick auf das Ziel, die Anwendung der DSGVO zu vereinfachen und gleichzeitig ein hohes Datenschutzniveau zu gewährleisten, weiter präzisiert und verbessert werden könnten. Jegliche Anpassungen, die über die im Digital-Omnibus- Vorschlag enthaltenen gezielten Änderungen hinausgehen, würden jedoch weitere Überzu Drucksache 34/26 (Beschluss) legungen und Bewertungen erfordern, um sicherzustellen, dass die Grundprinzipien und Anforderungen der DSGVO erhalten bleiben. Die Rechte von Einzelpersonen auf Schutz ihrer Daten dürfen nicht beeinträchtigt werden. Nach dem Verständnis der Kommission wird dieser Ansatz auch von Interessenträgern, einschließlich Unternehmensverbänden, unterstützt, die ein allgemeines Aufschnüren des Regelwerks der DSGVO nicht befürworten. Die Rückmeldungen aus den Konsultationen der Kommission unterstreichen die Notwendigkeit rechtlicher Stabilität. Deswegen werden in der Digital-Omnibus-Verordnung nur gezielte Änderungen vorgeschlagen, mit denen die Anwendung der DSGVO weiter harmonisiert und die Pflichten bestimmter Verantwortlicher vereinfacht werden sollen. Was die Änderungsvorschläge der Digital-Omnibus-Verordnung im Einzelnen betrifft, so verweist die Kommission den Bundesrat auf den Anhang dieses Schreibens. Die Kommission nimmt ferner zur Kenntnis, dass der Bundesrat die Auswirkungen der Digital-Omnibus-Verordnung auf die deutsche Automobilindustrie positiv einschätzt. Das im Dezember 2025 vorgelegte Omnibus-Paket für die Automobilindustrie bringt eine weitere Vereinfachung der Fahrzeugvorschriften mit sich. Am 12. September 2025 veröffentlichte die Kommission zudem ihre Leitlinien zu Fahrzeugdaten, die die Interessenträger aus der Automobilindustrie bei der Umsetzung von Kapitel II der Datenverordnung unterstützen sollen. Die Kommission ist entschlossen, die europäische Automobilindustrie weiterhin zu unterstützen. Abschließend begrüßt die Kommission die Forderung des Bundesrates nach mehr digitaler Souveränität. Am 3. Juni 2026 hat die Kommission das Paket zur technologischen Souveränität angenommen, dessen Ziel es ist, kritische Abhängigkeiten zu verringern. Wie auch der Bundesrat in seiner Stellungnahme feststellt, sind quelloffene Lösungen in dieser Hinsicht von entscheidender Bedeutung. Die Open-Source-Strategie der EU, die Teil des Pakets zur technologischen Souveränität ist, zielt darauf ab, das breitere offene Ökosystem der EU für Lösungen und Produkte in kritischen digitalen Sektoren zu stärken und die Verwendung quelloffener Lösungen innerhalb der EU-Organe auszubauen. Die Förderung offener Standards, quelloffener Lösungen und der Interoperabilität – auch bei der Vergabe öffentlicher Aufträge – kann der EU einen Wettbewerbsvorteil verschaffen. Die Kommission hofft, dass die vom Bundesrat angesprochenen Punkte mit diesen Ausführungen geklärt werden können, und sieht der Fortsetzung des politischen Dialogs erwartungsvoll entgegen. Mit vorzüglicher Hochachtung Henna Virkkunen Maroš ŠEFČOVIČ Exekutiv-Vizepräsidentin Mitglied der Kommission Anhang Die Kommission begrüßt die ausführlichen Anmerkungen des Bundesrates zu den einzelnen Änderungen der Datenschutz-Grundverordnung (DSGVO) und möchte dazu einige Klarstellungen anbieten. In Bezug auf den Vorschlag zur Definition des Begriffs „personenbezogene Daten“ in der DSGVO möchte die Kommission daran erinnern, dass der Begriff „personenbezogene Daten“ durch die vorgeschlagenen Vorschriften nicht geändert wird und die Kommission eine solche Änderung auch nicht beabsichtigt. Ziel ist es, die Fragmentierung bei der Anwendung der DSGVO in den Mitgliedstaaten zu verringern, eine einheitliche Auslegung der Vorschriften zu gewährleisten und mehrere Urteile des Gerichtshofs der Europäischen Union zu kodifizieren, insbesondere das Urteil in der Rechtssache Breyer und das vor Kurzem ergangene Urteil in der Rechtssache Einheitlicher Abwicklungsausschuss/Europäischer Datenschutzbeauftragter. Dies wird den europäischen Akteuren mehr Rechtssicherheit bieten und eine stärker zukunftsorientierte und harmonisierte Rechtsvorschrift zum Datenschutz schaffen, die einen wirksamen Schutz gewährleistet. Die Kommission nimmt zur Kenntnis, dass der Bundesrat den damit verbundenen Punkt zu Artikel 41a positiv anerkennt. Die Kommission möchte erneut auf ihre Absicht hinweisen, technische Leitlinien bereitzustellen, um Unternehmen bei einer wirksamen Pseudonymisierung zu unterstützen, was die Einhaltung der Vorschriften erleichtern würde, insbesondere für kleinere Unternehmen im gesamten Binnenmarkt, wie auch der Bundesrat in seiner Stellungnahme fordert. Was die Bedeutung der Anonymisierung (neben der Pseudonymisierung) betrifft, so weist die Kommission darauf hin, dass der Europäische Datenschutzausschuss seine Arbeit an Leitlinien zur Anonymisierung und Pseudonymisierung fortsetzt. In Bezug auf den in Artikel 5 Absatz 1 Buchstabe b DSGVO verankerten Grundsatz der Zweckbindung teilt die Kommission die Auffassung des Bundesrates, dass dies ein wesentliches Element eines wirksamen Datenschutzrechts ist, das gewahrt werden muss. Mit der vorgeschlagenen Änderung in Artikel 5 Absatz 1 Buchstabe b DSGVO (Artikel 3 Absatz 2 des Vorschlags) soll lediglich klargestellt werden, dass die Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke keine gesonderte Rechtsgrundlage erfordert, da sie als mit den Zwecken der Erstverarbeitung vereinbar anzusehen ist. Die Kommission ist der Auffassung, dass dies bereits aus Artikel 5 Absatz 1 Buchstabe b DSGVO und Erwägungsgrund 50 DSGVO hervorgeht, jedoch hat die Tatsache, dass Artikel 5 Absatz 1 Buchstabe b DSGVO eine doppelte Verneinung verwendet (gilt „nicht als unvereinbar“), zu unterschiedlichen Auslegungen und damit zu einer Fragmentierung in der EU geführt. Angesichts der Beiträge der Interessenträger hält es die Kommission daher für erforderlich, im verfügenden Teil der DSGVO die Rechtsgrundlage für eine mit den Vorschriften vereinbare Weiterverarbeitung zu präzisieren. Die Kommission teilt die Auffassung des Bundesrates, dass die DSGVO kein Hindernis für Forschung und Innovation darstellen darf und dass ein angemessenes Gleichgewicht zwischen Datenschutz und dem Bedarf an Forschung und Innovation sichergestellt werden sollte. Dieses Gleichgewicht spiegelt sich in der von der Kommission vorgeschlagenen Definition des Begriffs „wissenschaftliche Forschung“ in Artikel 3 Absatz 1 Buchstabe b Nummer 38 des Vorschlags wider, die ein Gleichgewicht zwischen den Interessen datengesteuerter Unternehmen, die unter anderem im Bereich Forschung und Innovation tätig sind, einerseits und den Interessen der betroffenen Personen andererseits herstellt. Insbesondere durch die ausdrückliche Bezugnahme auf „Innovation“ und „gewerbliches Interesse“ in der vorgeschlagenen Begriffsbestimmung möchte die Kommission klarstellen, dass die bloße Tatsache, dass Forschung durch ein solches Interesse motiviert ist, nicht bedeutet, dass sie nicht als wissenschaftliche Forschung im Sinne der DSGVO gelten sollte, sofern sie eindeutig alle in der Begriffsbestimmung festgelegten Kriterien erfüllt, wie etwa den Beitrag zu wissenschaftlichen Erkenntnissen oder die neuartige Anwendung vorhandener Erkenntnisse, den Beitrag zur Entwicklung des allgemeinen Wohlergehens der Gesellschaft und die Einhaltung ethischer Standards. Diese Klarstellung ist erforderlich, da es nicht immer möglich ist, wissenschaftliche Forschung von gewerblich motivierter Forschung zu trennen, da diese sich tatsächlich häufig überschneiden und gegenseitig unterstützen. Dies bedeutet jedoch nicht, dass jede Art von Forschung unter die vorgeschlagene Definition fallen kann. Die in der Definition festgelegten Kriterien setzen bestimmte Grenzen, um den Missbrauch der in der DSGVO für die wissenschaftliche Forschung vorgesehenen Sonderregelung zu verhindern. Ob eine Datenverarbeitungstätigkeit als wissenschaftliche Forschung einzustufen ist, wird im Einzelfall sorgfältig zu prüfen sein. Was die Änderung in Bezug auf die restliche Verarbeitung besonderer Kategorien personenbezogener Daten im Zusammenhang mit der Entwicklung und dem Betrieb von KI betrifft, so enthält der Vorschlag eine Reihe von Bedingungen, um eine ungerechtfertigte Berufung auf diese Regelung zu verhindern. Der Verantwortliche muss geeignete Maßnahmen ergreifen, um sicherzustellen, dass besondere Kategorien personenbezogener Daten nicht in den Datensätzen, dem Modell oder dem System enthalten sind oder daraus gelöscht werden. Wenn diese Löschung mit unverhältnismäßigem Aufwand verbunden wäre, z. B. mit der Neugestaltung des Modells, muss der Verantwortliche andere Maßnahmen ergreifen, um sicherzustellen, dass die gespeicherten Daten nicht offengelegt oder für andere Zwecke verarbeitet werden. Sollen gezielt besondere Kategorien personenbezogener Daten verarbeitet werden, fällt die Verarbeitung nicht unter die vorgeschlagene Ausnahme – der Verantwortliche muss sich auf die anderen Ausnahmen nach Artikel 9 Absatz 2 DSGVO berufen, wenn eine solche Verarbeitung beabsichtigt ist. In Bezug auf die beabsichtigte Erkennung und Beseitigung von Verzerrungen sieht der vorgeschlagene Artikel 4a der KI-Verordnung eine besondere Bestimmung vor, die mit dem EU-Datenschutzrecht im Einklang steht. In Bezug auf die Änderung, mit der klargestellt wird, dass sich die Entwicklung und der Einsatz von KI-Modellen und -Systemen auf die Rechtsgrundlage des „berechtigten Interesses“ stützen können, bedeutet die vorgeschlagene Änderung nicht, dass die Verarbeitung personenbezogener Daten für diese Zwecke an sich ein berechtigtes Interesse darstellen würde; es müssen stets alle in Artikel 6 Absatz 1 Buchstabe f DSGVO festgelegten Anforderungen erfüllt sein. Die vorgeschlagene Änderung enthält auch die Anforderung zusätzlicher organisatorischer und technischer Maßnahmen sowie von Schutzmaßnahmen zur Bewältigung konkreter Risiken, die im Zusammenhang mit KI von Bedeutung sind. Der Schwerpunkt liegt auf der Rechtsgrundlage des berechtigten Interesses, da vernünftigerweise davon ausgegangen werden kann, dass sich private Parteien als Verantwortliche eher auf diese Rechtsgrundlage berufen würden als auf eine vertragliche Rechtsgrundlage, die einen viel engeren Anwendungsbereich hat. Die Änderung hindert öffentliche Stellen nicht daran, sich bei der Verarbeitung personenbezogener Daten im Zusammenhang mit der Entwicklung und dem Betrieb von KI auf andere Rechtsgrundlagen, insbesondere Artikel 6 Absatz 1 Buchstabe e DSGVO, zu stützen. Die Kommission begrüßt die Unterstützung des Bundesrates für das Ziel, das den vorgeschlagenen Änderungen der Artikel 12 und 13 DSGVO zugrunde liegt. Mit der Änderung von Artikel 12 soll der Missbrauch des Auskunftsrechts bekämpft werden. Mit der Änderung von Artikel 13 sollen die Informationspflichten für Verantwortliche vereinfacht werden, wenn berechtigterweise davon auszugehen ist, dass die betroffene Person bereits über diese Informationen verfügt, und wenn es nicht um eine Verarbeitung der personenbezogenen Daten „mit hohem Risiko“ geht. Wie der Bundesrat feststellt, soll diese Bestimmung für Verantwortliche wie Handwerker und Sportverbände gelten, d. h. für kleine Betriebe, bei denen es um Verarbeitungstätigkeiten mit geringem Risiko geht. In Bezug auf Artikel 22 DSGVO wünscht der Bundesrat nach dem Verständnis der Kommission daran zu erinnern, dass Einzelpersonen vor nachteiligen Auswirkungen geschützt werden müssen, die sich aus einer automatisierten Entscheidungsfindung mit rechtlichen oder ähnlich erheblichen Auswirkungen ergeben. In diesem Zusammenhang erinnert die Kommission daran, dass Artikel 22 DSGVO bereits besondere Anforderungen zum Schutz der Rechte, Freiheiten und berechtigten Interessen natürlicher Personen bei der automatisierten Entscheidungsfindung enthält und ein Recht auf ein zweckmäßiges menschliches Eingreifen vorsieht. Mit dem Digital-Omnibus-Vorschlag werden diese Anforderungen nicht geändert. Die Kommission begrüßt ferner die Unterstützung des Bundesrates für ihren Vorschlag zu Artikel 33 bezüglich der Vereinheitlichung der Meldewege. Dieses Ziel wird im Rahmen des Digital-Omnibus-Pakets mit dem Vorschlag der Kommission für eine zentrale Anlaufstelle für die Meldung von Cybersicherheitsvorfällen weiterentwickelt. Abschließend teilt die Kommission die Auffassung des Bundesrates, dass auf EU-Ebene harmonisierte Listen für notwendige Datenschutz-Folgenabschätzungen sowie eine einheitliche Vorlage für die Durchführung solcher Bewertungen angenommen werden müssen. Wie in Artikel 35 Absatz 1 DSGVO festgelegt und in den Leitlinien des Europäischen Datenschutzausschusses zum Begriff „hohes Risiko“ weiter präzisiert, führt der Einsatz neuer Technologien allein nicht automatisch dazu, dass eine Datenschutz- Folgenabschätzung durchgeführt werden muss, sondern die Notwendigkeit einer solchen Bewertung muss unter Berücksichtigung der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung bestimmt werden. Eine solche Bewertung könnte jedoch nützlich oder sogar notwendig sein, wenn die Auswirkungen des Einsatzes einer neuen Technologie auf die betroffenen Personen noch nicht bekannt sind. zu Drucksache 34/26 (Beschluss) - 6 -