Der digitale Omnibus ist vorgefahren

Am 19.11.2025 hat die Europäische Kommission den Digital Omnibus vorgelegt. Das hinter dieser Vorlage stehende Vorhaben zielt darauf ab, die Anwendung zentraler gesetzlicher Regelungen für den digitalen Bereich zu optimieren. Zugleich sollen die Chancen der Datennutzung als grundlegende Ressource der EU-Wirtschaft erschlossen werden, nicht zuletzt um die Wettbewerbsfähigkeit zu fördern.

Der von der EU-Kommission im November 2025 angenommene Digital Omnibus besteht aus zwei Teilen, die sich jeweils auf unterschiedliche Verordnungen beziehen:

1. Digital Omnibus für Daten, Cybersicherheit und Datenschutz: Der sogenannte Daten-Omnibus (Digital Omnibus Regulation Proposal) zielt auf die Vereinfachung des für den digitalen Bereich geltenden europäischen Rechtsrahmens. Er enthält Änderungsvorschläge für zehn EU-Rechtsakte, darunter die Datenschutz-Grundverordnung (DSGVO) und die ePrivacy-Richtlinie.
2. Digital Omnibus für KI: Der sogenannte KI-Omnibus (Digital Omnibus on AI) enthält ausschließlich Änderungsvorschläge zu einzelnen Artikeln der Verordnung über künstliche Intelligenz, kurz KI-Verordnung (KI-VO). Diese Änderungen sollen die sichere und vertrauenswürdige Entwicklung und Nutzung von KI erleichtern.

Alle durch den Digital Omnibus vorgeschlagenen Änderungen sollen nach der Bewertung der Kommission ausschließlich technischer Natur sein und den bestehenden Rechtsrahmen an neue Anforderungen anpassen. Eine Änderung der Ziele, die den betroffenen Gesetzen zugrunde liegen, soll hiermit nicht verbunden sein.

Das Trilog-Verfahren zum Daten-Omnibus – also die Verhandlungen zwischen EU-Kommission, EU-Parlament und EU-Rat (Mitgliedstaaten) – ist derzeit (Stand Oktober 2026) noch nicht abgeschlossen. Das Inkrafttreten dieser Verordnung soll allerdings bis Ende 2026 erfolgen. Die durch den KI-Omnibus vorgeschlagenen Änderungen der KI-VO gelten hingegen seit dem 27.7.2026 (Verordnung (EU) 2026/1744 des Europäischen Parlaments und des Rates vom 8.7.2026, ABl. L 24.7.2026).

Licht und Schatten

Das mit dem Digital Omnibus verfolgte Ziel, normative Hemmnisse für die Digitalisierung abzubauen, ist grundsätzlich positiv zu bewerten. Das Erreichen dieses Ziels hätte auch auf die Arbeitswelt positive Auswirkungen. Ein genauer Blick auf die vorgeschlagenen Änderungen zeigt jedoch schnell: Sie bringen für Beschäftigte nicht nur mehr Licht, sondern werfen zugleich große Schatten. Dies gilt insbesondere für die DSGVO.

Veränderung des Datenschutzes

Die Änderungen der DSGVO, die der Daten-Omnibus vorsieht, gehen in verschiedene Richtungen: Soweit es sich um formale Themen wie etwa die Verlängerung der Meldefrist von Datenschutzverletzungen in Art. 33 DSGVO handelt, ergeben sich für Beschäftigte keine nennenswerten Probleme.

Kritisch zu bewerten sind Neuerungen wie die geplante Ergänzung des Art. 9 Abs. 2 DSGVO um den Buchstaben k: Sie würde die Verarbeitung besonderer Kategorien personenbezogener Daten für die Entwicklung und den Betrieb von KI-Systemen ermöglichen. Hinzu kommt die geplante Ergänzung um den Buchstaben l, die künftig die Verarbeitung biometrischer Daten zur Identitätsfeststellung zulassen würde. Die Freigabe für die Verarbeitung in KI-Systemen kann beispielsweise dazu führen, dass dort individuelle Gesundheitsdaten für Trainingszwecke verwendet werden. Die Erlaubnis zur Verarbeitung biometrischer Daten würde insbesondere Arbeitgebern die umfassendere Verwendung dieser Daten in Zugangskontrollsystemen erlauben.

Diesen Verarbeitungserweiterungen stehen geplante Einschränkungen des individuellen Auskunftsanspruchs in Art. 12 Abs. 5 DSGVO gegenüber: Verantwortlichen würden dadurch erweiterte Möglichkeiten eingeräumt, Auskunftsverlangen zurückzuweisen.

Reduzierung des Beschäftigtendatenschutzes

Der Daten-Omnibus sieht vor, die zentrale Begriffsbestimmung der „personenbezogenen Daten“ in Art. 4 Nr. 1 DSGVO zu verändern. Derzeit erfasst diese Definition alle Informationen, die sich direkt oder indirekt einer natürlichen Person zuordnen lassen. Dabei ist es unerheblich, ob die Verarbeitung auf eigenen Systemen des Verantwortlichen durchgeführt wird, in der Cloud oder von Auftragsverarbeitenden. Dieser weite Anwendungsbereich soll durch die Herausnahme pseudonymisierter Datensätze („kein bestimmbarer Personenbezug“) aus dem Anwendungsbereich der DSGVO deutlich verengt werden. Künftig sollen die Regeln der DSGVO nicht mehr anwendbar sein, wenn für pseudonymisierte Daten ein Personenbezug durch andere Personen oder Einrichtungen „in Anbetracht der mit hinreichender Wahrscheinlichkeit genutzten Mittel“ nicht mehr hergestellt werden kann.

Praktisch würde es damit beispielsweise innerhalb eines Konzerns möglich, Beschäftigtendaten in pseudonymisierter Form (etwa ohne Namen, aber mit Personalnummer) ohne Rücksicht auf datenschutzrechtliche Vorschriften an andere Konzernunternehmen zu übermitteln. Aber auch innerhalb von Betrieben wären derartige Übermittlungen nicht ausgeschlossen: Denn die geplante Ergänzung zu Art. 4 Nr. 1 DSGVO würde „andere Personen oder Einrichtungen“ ohne Beachtung ihrer Zugehörigkeit datenschutzrechtlich gegenüber einem Verantwortlichen privilegieren.

Die genannte Ergänzung des Art. 4 Nr. 1 DSGVO würde es auch ermöglichen, pseudonymisierte Beschäftigtendaten für unternehmensübergreifende Leistungsvergleiche zu verwenden. Hieraus resultierende Informationen könnten beteiligten Arbeitgebern zur Verfügung gestellt und von diesen nach Auflösung der Pseudonyme wieder auf einzelne Beschäftigte bezogen werden. Vergleichbares wäre auch innerhalb von Betrieben denkbar, wenn dort einzelnen Abteilungen nur pseudonymisierte Daten zur Verfügung stehen.

Betriebsvereinbarungen anpassen, um den Beschäftigtendatenschutz zu erhalten

Betriebsvereinbarungen würden derartige Verarbeitungen nur verhindern, wenn sie zur Begriffsbestimmung einen statischen Verweis auf „die bei Abschluss geltende Fassung der DSGVO“ enthalten. Beziehen sie sich hingegen dynamisch auf die „DSGVO in ihrer jeweils geltenden Fassung“, würde die Umsetzung der geplanten Änderung unmittelbar zu einer Reduzierung des kollektivrechtlichen Schutzbereichs führen.

Um das zu vermeiden, haben Betriebsräte eigentlich nur die Möglichkeit, bestehende dynamische Verweise auf Art. 4 Nr. 1 DSGVO im Einvernehmen mit den Arbeitgebern in statische Verweise umzuwandeln, um für beide Seiten Rechtssicherheit zu erzeugen. Sind Arbeitgeber hierzu nicht bereit und wollen Betriebsräte nicht riskieren, dass der sachliche Anwendungsbereich abgeschlossener Regelungen durch die geplante Änderung ausgehöhlt wird, bleibt ihnen nur die Kündigung der betroffenen Betriebsvereinbarung und – im Rahmen der dann notwendigen Neuverhandlung – eine betriebsbezogene Neudefinition des Anwendungsbereichs ohne Rückgriff auf Begriffsbestimmungen der DSGVO. Das geht, erzeugt im Einzelfall aber einen größeren Verhandlungsbedarf und birgt zudem das Risiko, dass eine neue Regelung insgesamt schlechter wird als die vorhandene.

Unabhängig davon sollten Betriebsräte immer darauf achten, dass Verweise auf gesetzliche Regelungen in Betriebsvereinbarungen sich immer auf die bei deren Abschluss geltenden Fassungen beziehen.