Themen › Folge 30

Digital-Omnibus: EU-Staaten wollen KI-Training per berechtigtem Interesse

Stand: 6. November 2026 · Redaktion KI News Kompakt · zur Folge 30

Kurz gesagt: Die EU-Staaten wollen KI-Training mit persönlichen Daten über berechtigtes Interesse erlauben. Was der Rat beschlossen hat und wie du widersprichst.

Was passiert ist

Am 21. Oktober 2026 hat der Rat der EU, also die Vertretung der Mitgliedstaaten, seine Verhandlungsposition zum Digital-Omnibus festgelegt. Das Paket, das die EU-Kommission im November 2025 vorgeschlagen hatte, ändert mehrere Digitalgesetze, darunter die DSGVO. Ein zentraler Punkt: Unternehmen sollen persönliche Daten für Entwicklung und Betrieb von KI ausdrücklich auf ihr „berechtigtes Interesse“ stützen können. Deutschland, Österreich und Estland stimmten dagegen. Beschlossen ist damit noch kein Gesetz, sondern die Position der Regierungen für die weiteren Verhandlungen. Mehr zum Paket im Glossar unter Digital Omnibus.

Die Hintergründe

Die DSGVO kennt grob zwei Wege, persönliche Daten zu nutzen: Die betroffene Person willigt ausdrücklich ein, oder ein Unternehmen beruft sich auf ein berechtigtes Interesse, das schwerer wiegt als das der Person. Im zweiten Fall muss niemand gefragt werden, Betroffene können aber widersprechen. Das ist das Prinzip Opt-out statt Opt-in. Meta und LinkedIn verfahren beim KI-Training in Europa bereits so; neu wäre, dass das Gesetz diesen Weg ausdrücklich für KI festschreibt.

Ein Freibrief ist das laut der Kanzlei Osborne Clarke, die den Ratstext ausgewertet hat, nicht. In der Begründung heißt es, die Entwicklung eines KI-Systems sei für sich genommen kein berechtigtes Interesse; jeder Fall müsse einzeln abgewogen werden. Gestrichen hat der Rat jedoch das bedingungslose Widerspruchsrecht speziell für KI, das die Kommission vorgesehen hatte. Es bleibt das allgemeine Widerspruchsrecht aus Artikel 21 DSGVO, gegen das ein Unternehmen unter Umständen zwingende Gründe anführen kann.

An anderer Stelle hat der Rat gebremst. Die Definition personenbezogener Daten bleibt unverändert; den Vorschlag der Kommission, pseudonymisierte Daten für manche Firmen nicht mehr als persönlich zu werten, übernahm er nicht und setzte stattdessen eigene Regeln zur Pseudonymisierung. Für sensible Daten wie Gesundheit, Religion oder Herkunft gibt es laut legal247 nur eine enge Ausnahme: für Restdaten, die beim Training ungewollt mitrutschen. Sie müssen nach Entdeckung gelöscht werden; ist das technisch nicht möglich, dürfen sie zumindest nicht in KI-Antworten landen.

Weitere Punkte der Ratsposition:

• Eine Auskunft dürfen Unternehmen nur noch verweigern, wenn sie Missbrauch nachweisen.
• Datenpannen müssen nur noch bei hohem Risiko gemeldet werden, dafür mit 96 statt 72 Stunden Frist.
• Die von der Kommission geplante zentrale Browser-Einstellung gegen Cookies ist gestrichen. Mehr Zwecke wie Reichweitenmessung und Sicherheit sollen ohne Einwilligung auskommen, Ablehnen soll mit einem Klick gehen, und nach einer Ablehnung darf frühestens nach 4 Monaten erneut gefragt werden; die Kommission wollte 6 (PPC Land).

Die Einordnung

Das deutsche Nein bedeutet nicht, dass Berlin mehr Datenschutz wollte. Laut netzpolitik.org forderte Deutschland vorab eine Folgenabschätzung und hält bei Cookies 3 Monate Wartezeit für ausreichend statt 4. Als rote Linien nennt das Digitalministerium besseren Schutz von Geschäftsgeheimnissen und Erleichterungen für kleine und mittlere Unternehmen. Das deutsche Nein ist also eher eines für mehr Entlastung.

Die irische Ratspräsidentschaft erklärt, die Position senke Kosten und stärke Wettbewerbsfähigkeit und Innovation bei weiterhin hohem Schutzniveau. Die Datenschutzorganisation noyb um Max Schrems hatte bereits den Entwurf im September 2026 als „digitale Enteignung der Europäer“ bezeichnet (netzpolitik.org). Corporate Europe Observatory zählte im EU-Parlament 655 Lobbytreffen zum Omnibus, 83 Prozent davon mit Wirtschaftsvertretern (CEO).

Das EU-Parlament will seine Position laut netzpolitik.org erst im Februar 2027 festlegen; die beiden zuständigen Berichterstatterinnen liegen beim Datenschutz weit auseinander. Danach verhandeln Parlament, Rat und Kommission im Trilog. Bis dahin gilt die DSGVO unverändert. Entschieden ist also nur, was die Regierungen wollen, nicht, was am Ende Gesetz wird.

Was heißt das für dich

Das Prinzip „berechtigtes Interesse mit Widerspruchsmöglichkeit“ ist bei großen Plattformen schon heute Alltag. Wer nicht möchte, dass eigene Profile und Beiträge ins KI-Training einfließen, kann jetzt handeln:

• Facebook und Instagram: Laut Verbraucherzentrale Hamburg über Einstellungen und Datenschutzrichtlinie auf „widersprechen“ tippen, E-Mail-Adresse eintragen und absenden. Eine Begründung ist nicht nötig; jedes Konto braucht einen eigenen Widerspruch.
• LinkedIn: In den Datenschutzeinstellungen den Schalter „Daten zur Verbesserung generativer KI“ ausschalten (PPC Land).
• Google Gemini: Die Einstellung „Gemini-Apps-Aktivitäten“ steuert, ob Chats zur Verbesserung der KI genutzt werden (Google-Hilfe).
• WhatsApp: Die Meta-KI lässt sich laut Verbraucherzentrale nicht abschalten.

Wichtig: Ein Widerspruch wirkt nur ab dem Zeitpunkt, an dem er eingelegt wird. Was bereits im Training steckt, bleibt drin. In Folge 30 von KI News Kompakt vom 6. November 2026 wird die Ratsposition ausführlich eingeordnet.

Häufige Fragen

Begriffe aus dem Artikel

Weitere Themen