DSGVO-Reform: Die EU-Staaten wollen KI mit Personendaten erleichtern. Was das für Betriebe heißt und was nicht

Am 21. Oktober haben die Botschafter der EU-Staaten im Ausschuss der Ständigen Vertreter ihre Position zum „Digital Omnibus“ beschlossen, dem großen Paket, mit dem die EU ihre Digitalgesetze vereinfachen will. Ein Teil davon betrifft die DSGVO, und darin steht ein Artikel, der für jeden Betrieb interessant ist, der mit KI arbeitet. Er soll klarstellen, dass Firmen personenbezogene Daten für Entwicklung und Betrieb von KI auf ihr berechtigtes Interesse stützen können.

In vielen Meldungen klang das, als sei die Einwilligung für KI ab jetzt abgeschafft. Das stimmt nicht, aus zwei Gründen. Der Text ist noch kein Gesetz. Und das berechtigte Interesse als Grundlage für KI gibt es schon heute. Wir haben den Ratstext im Original gelesen, das Dokument 14756/26 vom 22. Oktober, und erklären, was wirklich drinsteht.

Was der Rat beschlossen hat

Der neue Artikel heißt im Ratstext Art. 88 bis, im Vorschlag der Kommission war es Art. 88c. Er trägt die Überschrift „Verarbeitung im Zusammenhang mit der Entwicklung und dem Betrieb von KI“. Der erste Absatz sagt in der Fassung des Rates: Die Verarbeitung personenbezogener Daten im Zusammenhang mit der Entwicklung und dem Betrieb eines KI-Systems oder KI-Modells kann für ein berechtigtes Interesse des Verantwortlichen oder eines Dritten nach Art. 6 Abs. 1 lit. f DSGVO erfolgen.

Der zweite Absatz schränkt das gleich wieder ein: Der Verantwortliche muss trotzdem eine passende Rechtsgrundlage nach Art. 6 wählen. Der Artikel ist also kein Freibrief, sondern ein Hinweis, dass das berechtigte Interesse infrage kommt. Der dritte Absatz verlangt, unabhängig von der Rechtsgrundlage, technische und organisatorische Schutzmaßnahmen und nennt ausdrücklich das Widerspruchsrecht nach Art. 21.

In den Erwägungsgründen steht der Satz, auf den es in der Praxis ankommen wird: Entwicklung und Betrieb eines KI-Systems oder KI-Modells sind für sich genommen kein berechtigtes Interesse. Ob das berechtigte Interesse trägt, ist im Einzelfall zu prüfen, mit Blick auf den Zweck, für den die Daten verarbeitet werden. Als Fälle, in denen das berechtigte Interesse nicht trägt, nennen die Erwägungsgründe ausdrücklich Kinder als Betroffene und Bereiche, in denen andere Gesetze eine Einwilligung verlangen.

Was sich gegenüber der Kommission geändert hat

Die wichtigste Änderung steckt in einer Streichung. Die Kommission hatte im November 2025 vorgeschlagen, dass Betroffene der Verarbeitung ihrer Daten für KI bedingungslos widersprechen können. Dieser Satz ist im Ratstext durchgestrichen. An seine Stelle tritt der Verweis auf das normale Widerspruchsrecht nach Art. 21.

Der Unterschied ist erheblich. Beim normalen Widerspruchsrecht darf der Verantwortliche weiter verarbeiten, wenn er zwingende schutzwürdige Gründe nachweist, die die Interessen der Betroffenen überwiegen. Beim bedingungslosen Widerspruch hätte er aufhören müssen. Für Betroffene ist der Ratstext also an dieser Stelle schwächer als der Vorschlag der Kommission. Für Firmen ist er bequemer.

Eine zweite Änderung betrifft besonders geschützte Daten, also etwa Gesundheitsdaten oder Angaben zur Religion. Der Rat behält eine neue Ausnahme in Art. 9 für den Fall, dass solche Daten unbeabsichtigt und als Rest in Trainingsdaten oder im Modell landen. Der Verantwortliche muss vorher Maßnahmen treffen, damit das nicht passiert. Findet er solche Daten trotzdem, muss er sie unverzüglich entfernen oder, wenn das technisch nicht geht, wirksam davor schützen, weiterverarbeitet, ausgegeben oder weitergegeben zu werden.

Warum heute noch nichts davon gilt

Der Beschluss vom 21. Oktober ist ein Verhandlungsmandat. Damit geht der Rat in die Gespräche mit dem Europäischen Parlament. Das Parlament hat seine Position noch nicht festgelegt, nach Berichten über den Zeitplan wird die Abstimmung im zuständigen Ausschuss Anfang 2027 erwartet. Erst danach verhandeln Rat und Parlament über einen gemeinsamen Text, und erst wenn dieser verabschiedet und in Kraft ist, ändert sich die Rechtslage. Der Wortlaut kann sich bis dahin noch deutlich ändern, gerade beim Widerspruchsrecht, das Datenschutzorganisationen wie noyb scharf kritisieren.

Bis dahin gilt die DSGVO, wie sie ist. Und nach ihr ist das berechtigte Interesse schon heute eine mögliche Grundlage für KI. Der Europäische Datenschutzausschuss hat das im Dezember 2024 in seiner Stellungnahme 28/2024 festgehalten, mit einer klaren Bedingung: Es ist keine Standardlösung, sondern trägt nur, wenn der Verantwortliche in drei Schritten zeigt, dass sein Interesse legitim ist, dass die Verarbeitung dafür nötig ist und dass die Interessen der Betroffenen nicht überwiegen. Der Ratstext schreibt im Kern diese Linie ins Gesetz.

Was das für Betriebe heißt

Die meisten Betriebe, mit denen wir arbeiten, trainieren keine eigenen Modelle. Sie betreiben aber KI-Systeme: einen Chatbot auf der Website, eine Suche über die eigenen Dokumente, eine automatische Auswertung von Anfragen oder Rechnungen. Der Ratstext spricht ausdrücklich von Entwicklung und Betrieb. Die Regel würde also auch diese Fälle erfassen, nicht nur das Training großer Sprachmodelle.

Wer heute Kundendaten in solchen Systemen verarbeitet und sich dabei auf das berechtigte Interesse stützt, braucht schon jetzt eine dokumentierte Abwägung. Sie sollte beschreiben, welche Daten in das System gehen, wozu, warum es ohne sie nicht geht, was Kunden erwarten dürfen und welche Schutzmaßnahmen greifen. Diese Abwägung wird auch nach der Reform das Dokument sein, nach dem eine Aufsichtsbehörde fragt. Die Reform nimmt Betrieben diese Arbeit nicht ab. Sie macht nur klarer, dass der Weg offensteht.

Dazu kommen die Pflichten, die mit der Rechtsgrundlage nichts zu tun haben. Wer Daten an einen KI-Anbieter gibt, braucht einen Auftragsverarbeitungsvertrag. Wer Kunden informiert, muss die KI-Verarbeitung in der Datenschutzerklärung nennen. Und wer einen Widerspruch bekommt, muss ihn bearbeiten können, also wissen, wo die Daten der Person im System stecken. Gerade das Letzte ist bei KI oft schwieriger als gedacht.

Was Sie jetzt tun können

Warten Sie nicht auf die Reform, und verlassen Sie sich nicht auf Schlagzeilen, die sie als beschlossen darstellen. Prüfen Sie, welche KI-Systeme in Ihrem Betrieb personenbezogene Daten verarbeiten, und ob es für jedes eine Rechtsgrundlage und, beim berechtigten Interesse, eine schriftliche Abwägung gibt. Fehlt sie, holen Sie sie nach. Sie hilft heute, und sie wird nach der Reform genauso gebraucht.

Wie man KI-Anbieter datenschutzgerecht anbindet, beschreiben wir im Wissen zu Auftragsverarbeitung mit KI-Anbietern und zu DSGVO-konformen Sprachmodellen. Was der Digital Omnibus bei der KI-Verordnung ändert, steht in AI Act und Digital Omnibus: was jetzt gilt.

Wenn Sie wissen wollen, ob Ihre KI-Anwendungen auf einer tragfähigen Grundlage stehen, melden Sie sich bei uns.

Quellen

Alle abgerufen am 25.10.2026.

• Rat der EU: Dokument 14756/26 vom 22.10.2026, Mandat für die Verhandlungen mit dem Europäischen Parlament zum Digital Omnibus, vom Ausschuss der Ständigen Vertreter am 21.10.2026 beschlossen (Art. 88 bis, Erwägungsgründe 30, 31 und 33a, Art. 9 Abs. 2 lit. k und Abs. 5; Änderungen gegenüber der Kommission im Dokument markiert)
• Rat der EU: Pressemitteilung vom 21.10.2026
• Europäischer Datenschutzausschuss: Stellungnahme 28/2024 zu Datenschutzfragen bei KI-Modellen, 17.12.2024
• NicFab: Digital Omnibus: The Council Adopts Its Position (Zeitplan im Parlament)
• trending topics: EU could legitimate use of personal data for AI training (Kritik von noyb)

Stand: 25. Oktober 2026. Das ist eine Einordnung, keine Rechtsberatung. Sobald das Parlament seine Position beschlossen hat, ergänzen wir den Beitrag.