Daten-Omnibus: Was sich für KI-Training und den Verkauf von Unternehmensdaten ändern könnte

Mit dem Daten-Omnibus will die EU unter anderem die DSGVO, die Cookie-Regeln der ePrivacy-Richtlinie und das Datenrecht vereinfachen. Den Vorschlag hat die Kommission am 19. November 2025 vorgelegt; am 21. Oktober 2026 hat der Rat seine Position beschlossen.^[1][2] Für den Verkauf von Unternehmensdaten an KI-Käufer sind vor allem drei Punkte wichtig: die Pseudonymisierung, die Rechtsgrundlage für KI-Training und der Umgang mit sensiblen Restdaten.

Was hat der Rat beschlossen?

Eine Verhandlungsposition, kein Gesetz. Der Text muss noch mit dem Europäischen Parlament abgestimmt werden.

Nach der Einigung im Rat beginnt die Präsidentschaft die Verhandlungen, sobald das Parlament seine eigene Position festgelegt hat.^[1] Das soll voraussichtlich im Februar 2027 geschehen.^[3] Rat, Parlament und Kommission haben sich vorgenommen, alle Vereinfachungspakete bis Ende 2027 abzuschließen.^[1] Das Bundesdigitalministerium nannte den besseren Schutz von Geschäftsgeheimnissen und Erleichterungen für kleine und mittlere Unternehmen als seine roten Linien.^[3]

Bleibt die Definition personenbezogener Daten?

Ja. Statt die Definition zu ändern, führt der Rat eine eigene Vorschrift zur Pseudonymisierung ein.

Die Kommission wollte die Definition in Art. 4 Nr. 1 DSGVO so ändern, dass pseudonymisierte Daten für Empfänger ohne Identifizierungsmöglichkeit nicht mehr unter die DSGVO fallen.^[3] Die Datenschutzbehörden hatten diese Änderung abgelehnt.^[5] Der Rat lässt die Definition unverändert und ergänzt stattdessen eine Vorschrift zur Pseudonymisierung und zur Identifizierung natürlicher Personen.^[1]

Im Mandat ist das Art. 25a. Danach dürfen Verantwortliche und Auftragsverarbeiter pseudonymisieren, um Risiken zu verringern, mit technischen und organisatorischen Maßnahmen gegen eine Identifizierung. Pseudonymisierte Daten gelten nicht als personenbezogen für einen Dritten, der die Person nicht identifizieren kann. Gibt dieser Dritte die Daten an jemanden weiter, der dazu in der Lage ist, sind Weitergabe und weitere Verarbeitung wieder Verarbeitung personenbezogener Daten. Der Europäische Datenschutzausschuss soll eine Stellungnahme zu Pseudonymisierung und Anonymisierung vorlegen.^[4] Inhaltlich entspricht das der Linie des EuGH, nach der es bei pseudonymisierten Daten darauf ankommt, ob der Empfänger Personen mit vertretbarem Aufwand identifizieren kann.^[6]

Darf KI mit personenbezogenen Daten trainiert werden?

Nach der Ratsposition ausdrücklich auf Grundlage berechtigter Interessen, mit Interessenabwägung und Widerspruchsrecht.

Der neue Art. 88c erlaubt die Verarbeitung personenbezogener Daten im Zusammenhang mit der Entwicklung und dem Betrieb von KI-Systemen und KI-Modellen auf Grundlage eines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO. Das gilt nicht, wenn andere Gesetze eine Einwilligung verlangen oder die Interessen der Betroffenen überwiegen, insbesondere bei Kindern. Unabhängig von der Rechtsgrundlage verlangt der Text technische und organisatorische Schutzmaßnahmen und das Widerspruchsrecht nach Art. 21 DSGVO.^[4] Nach netzpolitik.org wäre Training damit auch ohne Pseudonymisierung möglich.^[3]

Die Datenschutzbehörden hatten schon zum Kommissionsvorschlag angemerkt, dass die Vorschrift wenig klärt, weil Unternehmen weiterhin die dreistufige Prüfung des berechtigten Interesses durchführen müssen.^[5] Die Datenschutzorganisation noyb spricht von einer digitalen Enteignung.^[3]

Was gilt für sensible Daten in Trainingsdaten?

Für unbeabsichtigte Restdaten gäbe es eine eng begrenzte Ausnahme. Sie erlaubt nicht, Gesundheits- oder andere sensible Daten gezielt zu verwenden.

Art. 9 Abs. 2 DSGVO würde um einen Buchstaben k ergänzt: die beiläufige Verarbeitung von Restdaten, die der Verantwortliche nicht beabsichtigt, bei Entwicklung und technischem Betrieb eines KI-Systems oder KI-Modells. Ein neuer Absatz 5 knüpft daran Pflichten: Verantwortliche müssen Maßnahmen treffen, um solche Daten gar nicht erst zu erheben, gefundene Daten unverzüglich löschen und, wenn das technisch unmöglich oder unverhältnismäßig ist, verhindern, dass sie weiterverarbeitet, in Ausgaben verwendet oder Dritten zugänglich gemacht werden.^[4] Der Rat beschreibt diese Bedingungen als zusätzliche Schutzmaßnahmen gegenüber dem Kommissionsvorschlag.^[1]

Was ändert sich sonst?

Unter anderem längere Fristen für die Meldung von Datenpannen, eine EU-weite Liste riskanter Verarbeitungen und weniger Cookie-Banner.

Hinzu kommen nach der Pressemitteilung des Rates eine einheitliche EU-Liste von Verarbeitungen mit voraussichtlich hohem Risiko, gemeinsame Vorlagen für Pflichten wie die Meldung von Datenpannen, eine Definition der wissenschaftlichen Forschung und Erleichterungen bei unbegründeten oder exzessiven Auskunftsanträgen.^[1]

Was bedeutet das für den Verkauf von Unternehmensdaten?

Vorerst nichts. Kommt die Ratsfassung, würde sie den Weg bestätigen, den seriöse Verwertungen schon heute gehen: Käufer erhalten pseudonymisierte Daten ohne die Zuordnung.

• Pseudonymisierung: Nach Art. 25a wären Datensätze für einen Käufer ohne Zuordnungstabelle keine personenbezogenen Daten. Gibt er sie an jemanden weiter, der Personen identifizieren kann, gilt das nicht mehr. Der Lizenzvertrag muss Weitergabe und Re-Identifizierung deshalb weiterhin ausschließen.
• Käufer: KI-Labore hätten mit Art. 88c eine ausdrückliche Rechtsgrundlage für das Training, die Interessenabwägung bleibt aber. Ob sich auch der Verkäufer für die Weitergabe darauf stützen kann, ist offen. Anonymisierung vor der Übergabe bleibt der sichere Weg.
• Sensible Daten: Die neue Ausnahme in Art. 9 betrifft unbeabsichtigte Restdaten. Personalakten, Gesundheitsdaten und Berufsgeheimnisse werden weiter von vornherein ausgeschlossen.
• Unberührt bleiben Aufbewahrungspflichten nach HGB und AO, der Schutz von Berufsgeheimnissen nach § 203 StGB und das Insolvenzrecht.

Wie die Verwertung heute rechtssicher funktioniert, beschreibt der Artikel Datenverwertung im Insolvenzverfahren, das technische Vorgehen die Seite Anonymisierung.