Digital Omnibus: Rat legt Verhandlungsmandat fest

Zwei geplatzte Termine im Oktober

Die irische Ratspräsidentschaft wollte das Mandat noch im Oktober beschließen. Am 7. Oktober sollte der Ausschuss der Ständigen Vertreter (AStV) über den Kompromisstext vom 5. Oktober abstimmen. Daraus wurde nur eine Aussprache. Die Abstimmung wurde auf Druck Deutschlands verschoben, das dabei nach Berichten von Frankreich unterstützt wurde. Auch beim nächsten Termin, am Sonntag, dem 11. Oktober, wurde der Text weder beraten noch abgestimmt.

Streitpunkt war vor allem der Schutz von Geschäftsgeheimnissen im Data Act. Schon der Kompromisstext vom 5. Oktober hatte den sogenannten „Handbremse“-Mechanismus deutlich zugunsten der Dateninhaber verschoben:

Geschäftsgeheimnisse müssen nur offengelegt werden, wenn Dateninhaber und Nutzer (bzw. Dritter) vorher alle erforderlichen Maßnahmen zur Wahrung der Vertraulichkeit getroffen haben (Art. 4 Abs. 6, Art. 5 Abs. 9 Data Act).

Die Verweigerung ist nicht mehr auf „außergewöhnliche Umstände“ beschränkt. Es genügt, dass ein schwerer wirtschaftlicher Schaden wahrscheinlich ist oder ein erhebliches statt eines hohen Risikos besteht, dass Geschäftsgeheimnisse an Stellen in Drittstaaten mit schwächerem Schutzniveau abfließen (Art. 4 Abs. 8, Art. 5 Abs. 11 Data Act).

Die Kommission soll in Leitlinien klären, welche Sektoren als kritisch gelten, welche Daten dort typischerweise zu schweren wirtschaftlichen Schäden führen können und wie die Kontrolle durch Drittstaatsunternehmen zu beurteilen ist.

Der Bundesregierung reichte das nicht. Sie forderte nach Berichten unter anderem, dass die Weitergabe geschützter Daten eine ausdrückliche Vereinbarung zwischen Dateninhaber und Nutzer voraussetzt. Die Präsidentschaft ergänzte daraufhin einen Verweis auf industrielles Fertigungs-Know-how von Unternehmen in den Sektoren der NIS2-Richtlinie. Eine Vermutungsregel für bestimmte Daten aus kritischen Sektoren hat sie nach Berichten dagegen nicht aufgenommen.

Einigung am 21. Oktober ohne Deutschland

Mit dieser Fassung hat der AStV das Mandat am 21. Oktober beschlossen. Nach Medienberichten stimmte Deutschland zusammen mit Österreich und Estland dagegen. Das Bundesdigitalministerium erklärte, der Text bleibe hinter den eigenen Ambitionen zurück. Als rote Linien nannte es einen besseren Schutz von Geschäftsgeheimnissen und Erleichterungen bei der DSGVO für KMU.

Was das Mandat in der DSGVO ändern würde

Der Rat übernimmt die Grundrichtung der Kommission, nimmt aber mehrere ihrer weitreichendsten Vorschläge zurück.

• Personenbezug: Die Definition in Art. 4 Nr. 1 DSGVO bleibt unverändert. Hinzu tritt Art. 25a DSGVO: Für einen Dritten, der die betroffene Person nicht identifizieren kann, sind sie keine personenbezogenen Daten. Gibt er sie an jemanden weiter, der über Mittel zur Identifizierung verfügt, sind Übermittlung und weitere Verarbeitung wieder Verarbeitung personenbezogener Daten. Für Auftragsverarbeiter bleiben die Daten stets personenbezogen. Statt Durchführungsrechtsakten der Kommission soll der EDSA Stellung nehmen.
• KI: Die Kommission wollte ursprünglich die Verarbeitung für Entwicklung und Betrieb von KI weitgehend als berechtigtes Interesse festschreiben. Der Rat stellt in einem neuen Artikel, voraussichtlich Artikel 88a DSGVO, nur klar, dass die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO gestützt werden kann. Nach den Erwägungsgründen ist die Entwicklung oder der Betrieb eines KI-Systems für sich genommen kein berechtigtes Interesse, es bleibt bei der Prüfung im Einzelfall. Statt eines bedingungslosen Widerspruchsrechts verweist der Text auf Art. 21 DSGVO. Die neue Ausnahme für sensible Daten ist auf beiläufig und ungewollt verarbeitete Restdaten begrenzt. Werden solche Daten entdeckt, sind sie unverzüglich zu löschen.
• Automatisierte Entscheidungen: Art. 22 DSGVO bleibt als Recht der betroffenen Person ausgestaltet. Die von der Kommission vorgesehene Klarstellung zur Erforderlichkeit für einen Vertrag steht nur noch in den Erwägungsgründen.
• Betroffenenrechte und Information: Auskunftsanträge können künftig auch abgelehnt oder gebührenpflichtig gemacht werden, wenn der Verantwortliche eine missbräuchliche Absicht nachweist. Die Beweislast liegt bei ihm. Informationspflichten entfallen, wenn die betroffene Person die wesentlichen Informationen vernünftigerweise schon hat und die Verarbeitung kein hohes Risiko birgt. Bei komplexen Verarbeitungen, großen Datenmengen und Daten nach Art. 9 und 10 DSGVO gilt das nicht.
• Datenpannen und DSFA: Gemeldet werden muss nur noch bei voraussichtlich hohem Risiko, dann innerhalb von 96 Stunden. Die Meldung soll über eine nationale Meldestelle unterstützt werden. EU-weite Listen der DSFA-pflichtigen und DSFA-freien Verarbeitungen sollen die nationalen Listen ersetzen. Erstellt werden sie vom EDSA, nicht von der Kommission.
• Forschung: Es gibt eine eigene Definition wissenschaftlicher Forschung, die auch kommerzielle Interessen zulässt. Die Weiterverarbeitung zu Forschungszwecken gilt bei geeigneten Garantien als vereinbar.
• Cookies: Die Regeln bleiben doch wieder in Art. 5 Abs. 3 der ePrivacy-Richtlinie. Der Katalog der einwilligungsfreien Zwecke wird erweitert, unter anderem um anonyme Reichweitenmessung und die Messung kontextueller Werbung. Die Ablehnung muss mit einem Klick möglich sein. Danach darf für denselben Zweck mindestens vier Monate lang nicht erneut gefragt werden. Die verpflichtenden Browsersignale aus dem Kommissionsvorschlag entfallen. Zuständig für die Aufsicht werden die Datenschutzbehörden.
• Ausblick auf eine zweite Runde: Die Kommission soll binnen sechs Monaten nach Inkrafttreten berichten, ob die Pflichten der Verantwortlichen und Auftragsverarbeiter für KMU und nichtkommerzielle Organisationen mit risikoarmer Verarbeitung verhältnismäßig sind (Art. 97 Abs. 5a DSGVO).

Außerhalb der DSGVO soll statt einer zentralen EU-Meldestelle jeder Mitgliedstaat eine nationale Meldestelle für Cyber- und Datenvorfälle einrichten.

Bewertung

Spannend sind die Änderungen beim Personenbezug. Der ursprüngliche Vorschlag der Kommission hat für viele Diskussionen und auch Fragen geführt. Im jetzigen Vorschlag sind einige der Unklarheiten aufgegriffen, etwa zum Bewertungsmaßstab des Personenbezugs bei Auftragsverarbeitern.

Beim Schutz von Geschäftsgeheimnissen geht das Mandat spürbar über den Kommissionsvorschlag hinaus. Die Verweigerung ist nicht mehr auf außergewöhnliche Umstände beschränkt, und die Risikoschwelle sinkt. Die Darlegungslast bleibt aber beim Dateninhaber. Er muss jede Verweigerung substantiiert begründen und der Behörde melden. Eine Vermutungsregel für kritische Sektoren oder ein Zustimmungserfordernis, wie Deutschland es gefordert hat, enthält das Mandat nicht. Mehrere Fragen werden dem EDSA übertragen, statt sie im Gesetz zu beantworten.

Aus unserer Sicht bringt der Omnibus in dieser Fassung den Unternehmen nicht genug Entlastung und nicht die nötige Rechtssicherheit. Auch den Zielen der Bundesregierung wird er nicht gerecht. Dass Deutschland dem Mandat nicht zugestimmt hat, ist daher folgerichtig. Der Prüfauftrag zu KMU zeigt, dass auch der Rat weiteren Handlungsbedarf sieht.

Wie es weitergeht

Die Trilogverhandlungen beginnen, sobald das Europäische Parlament seine Position festgelegt hat. Das wird nach derzeitigem Stand voraussichtlich erst im Februar 2027 geschehen. Bis dahin bleibt Zeit, die offenen Punkte, besonders beim Data Act, über das Parlament wieder einzubringen. Bis zum Inkrafttreten gelten DSGVO, ePrivacy-Regeln und Data Act unverändert.

Das Verhandlungsmandat des Rates ist hier abrufbar.