Data Act als zentrales Datengesetz
Diese Verordnung, die im Dezember 2023 in Kraft trat (g+), soll das Potenzial vernetzter Daten heben. An diesem Ziel hält die Kommission weiter fest, will den Unternehmen jedoch in zwei Punkten entgegenkommen.
Zum einen sieht der Vorschlag vor, dass Firmen "in Ausnahmefällen" unter Verweis auf schützenswerte Geschäftsgeheimnisse den Zugang zu Daten ablehnen können. Das gilt auch für die Weitergabe der Daten an Drittstaaten. Zum anderen soll die Definition personenbezogener Daten geändert werden, so dass künftig weniger Daten unter den Schutz der DSGVO fallen. Das dürfte die Datennutzung im Sinne des Data Act erleichtern, wovon auch das Training für Modelle der künstlichen Intelligenz (KI) profitieren könnte.
Neudefinition des Personenbezugs
So heißt es in der Neufassung von Artikel 4 der DSGVO: "Informationen über eine natürliche Person sind nicht zwangsläufig personenbezogene Daten für jede andere Person oder Organisation, nur weil eine andere Organisation diese natürliche Person identifizieren kann." Der Personenbezug sei nur dann vorhanden, wenn die Organisation diesen "unter Berücksichtigung der ihr vernünftigerweise zur Verfügung stehenden Mittel" herstellen könne.
Damit bezieht sich die Kommission auf ein Urteil des Europäischen Gerichtshofs (EuGH) vom 4. September 2025 zu pseudonymisierten Daten ( Az: C-413/23P(öffnet im neuen Fenster) ). Darin heißt es in Randnummer 86: "Die Pseudonymisierung kann – je nach den Umständen des Einzelfalls – andere Personen als den Verantwortlichen tatsächlich an einer Identifizierung der betroffenen Person hindern, so dass letztere für sie nicht oder nicht mehr identifizierbar ist."
Steckt Deutschland dahinter?
Ganz zufällig wies auch die Bundesregierung in einem 20-seitigen Änderungsvorschlag zur DSGVO(öffnet im neuen Fenster) (PDF) auf dieses Urteil hin. Ohnehin kommt Schrems Organisation Noyb in einer ausführlichen Analyse des Omnibus-Pakets(öffnet im neuen Fenster) zu dem Schluss, "dass die Kommission einfach auf ein deutsches Arbeitspapier aufgesprungen ist" .
Der Noyb-Analyse zufolge hätte die Neudefinition zur Folge, "dass ganze Industriezweige, die mit Pseudonymen oder zufälligen ID-Nummern arbeiten, nicht mehr (vollständig) von der DSGVO abgedeckt wären. Dies könnte für fast alle Bereiche des Online-Trackings, der Online-Werbung und die meisten Datenbroker gelten" .
Geringerer Schutz für sensible Daten
Eine kleine, aber nicht unwichtige Änderung betrifft besondere Kategorien personenbezogener Daten wie die rassische und ethnische Herkunft oder die sexuelle Orientierung nach Artikel 9 der DSGVO. Diese sind nur noch dann besonders geschützt, wenn die Eigenschaften aus den Daten "unmittelbar" hervorgehen. Laut Noyb benötigen Personen, die "direkt offenbaren" , dass sie schwanger, krebskrank oder homosexuell sind, diesen Schutz jedoch in der Regel weniger als Personen, über die solche sensiblen Informationen nur aus anderen Informationen "abgeleitet" werden können.
Zudem gilt der Schutz der besonders sensiblen Daten dem Entwurf zufolge nicht "bei der Entwicklung und dem Betrieb eines KI-Systems" . Dabei sind allerdings "organisatorische und technische Maßnahmen zu treffen, um die Erhebung und sonstige Verarbeitung besonderer Kategorien personenbezogener Daten so weit wie möglich zu vermeiden" .
Eine Art Freibrief für die Nutzung personenbezogener Daten für KI-Systeme stellt jedoch der geplante Artikel 88c dar.