Digitaler Omnibus: Neue Regeln für KI, Datenschutz und Binnenmarkt
Mit dem Digitalen Omnibus schlägt die Europäische Kommission ein neues Regelwerk vor, das an die bisherigen europäischen Regelungen im Bereich KI, Datenschutz und Cybersicherheit angepasst werden soll. Ergänzt wird das Paket durch einen Vorschlag für ein „European Business Wallet“ und eine Mitteilung zur Strategie für eine europäische Datenunion. Für den Großhandel und die mittelständische Wirtschaft ist der Vorschlag von hoher Relevanz, weil er an mehreren Stellen Bürokratie abbaut und digitale Prozesse im Binnenmarkt vereinheitlichen soll.
1. Anpassungen der KI-Verordnung
Die vorgeschlagenen Änderungen betreffen insbesondere Unternehmen, die KI bereits in ihre Prozesse integriert haben oder dies absehbar vorhaben.
Die bisherige Regelung aus dem AI Act sah vor, dass Unternehmen unabhängig von der Risikoeinstufung ihres Geschäfts den KI-Kompetenz-Erwerb ihrer Belegschaft sicherstellen müssen. Diese Regelung soll abgeschwächt werden. Betreiber von KI sollen nun lediglich ermutigt werden, ein hinreichendes Maß an Kompetenz in ihrer Belegschaft sicherzustellen.
Die Umsetzungsfristen für Hochrisikofelder sollen erst gelten, wenn die entsprechenden Standards und Leitlinien ausgefertigt und zur Verfügung gestellt werden. Die Vorschriften, die für die Ausweisung sogenannter Hochrisiko-KI-Systeme gelten, bleiben jedoch unangetastet.
Die bislang für KMU geltenden Erleichterungen – etwa bei Dokumentationspflichten und Qualitätsmanagement – werden auf mittelgroße Unternehmen mit 250 bis 499 Beschäftigten und 50 bis 100 Millionen Euro Umsatz ausgeweitet.
Zudem sollen die Berichtsmodalitäten für Vorfälle nach NIS-2, DSGVO oder AI Act vereinfacht und über einen einzigen Berichtsweg konsolidiert werden, um diese unter anderem für Unternehmen zu erleichtern.
2. Änderungen der Datenschutz-Grundverordnung
Mit dem Digitalen Omnibus will die EU-Kommission auch den Datenschutzrahmen für personenbezogene Daten künftig enger definieren. Somit sollen Teile bisher geschützter personenbezogener Daten künftig geringeren Schutzanforderungen unterliegen. Entscheidend soll sein, ob ein Unternehmen eine Person mit realistisch verfügbaren Mitteln identifizieren kann. Ist dies nicht der Fall, könnten Schutzanforderungen für diese Daten entfallen. Zugleich werden eng begrenzte Ausnahmen geschaffen, etwa für die Bias-Erkennung in KI-Systemen oder für biometrische Anwendungen. Unternehmen sollen zudem bei Informationspflichten entlastet werden, wenn Betroffene die wesentlichen Angaben bereits kennen. Exzessive oder missbräuchliche Auskunftsersuchen sollen künftig abgewehrt oder unter Umständen auch bepreist werden können.
Parallel werden Meldepflichten und Cookie-Regeln neu geordnet. Datenschutzverstöße sollen europaweit über ein zentrales Meldeportal binnen 96 Stunden gemeldet werden. Die Cookie-Vorschriften wandern vollständig in die DSGVO. Websites sollen standardisierte Zustimmungssignale aus Browsern oder Betriebssystemen zukünftig akzeptieren müssen.
3. European Business Wallet
Die geplante European Business Wallet soll Unternehmen im Binnenmarkt eine europäische digitale Identität bieten – zur Authentifizierung, Signatur und zum Austausch verifizierter Nachweise gegenüber Behörden und Geschäftspartnern. Diese Maßnahme könnte als Infrastrukturprojekt Potenzial haben, grenzüberschreitenden Handel zu vereinfachen.
Einordnung
Die Idee eines Datenbinnenraums kommt spät und ist von wesentlichen Kräften in Europa (darunter der BGA) seit Jahren gefordert worden. Der BGA unterstützt diese. Zudem begrüßen wir grundsätzlich die Bemühungen der Europäischen Kommission, die europäische Digitalregulierung zu entschlacken und für Unternehmen handhabbar zu machen. Wir erkennen erste Bemühungen an, Datenschutzregelungen in Richtung von Datennutzungsregelungen weiterzuentwickeln. Insbesondere die neuen Anforderungen der DSGVO an Unternehmen sollten leichte Entlastungen bringen, ebenso wie vereinfachte Melderegime für Verstöße gegen DSGVO und AI Act.
Wünschenswert wäre es, wenn die EK diesen Gedanken zu einem einheitlichen Berichtstool für alle europäischen Berichtspflichten weiterentwickelt, das zudem automatische Berichte via API erlauben und zu wesentlichen Kostenreduktionen für Unternehmen führen könnte. Die EK sollte zudem die angestrebte neue und engere Definition personenbezogener Daten so weit auslegen, wie es den sinnvollen Schutzanforderungen noch dienlich ist. Die aktuell noch wenig operablen Formulierungen könnten zu weiteren Verunsicherungen führen. Diese zu vermeiden, könnte einen signifikanten Vertrauensgewinn für die Europäische Union bei mittelständischen Unternehmen bedeuten.
Bei Fragen oder Anmerkungen wenden Sie sich gern an Michael Nitsche (michael.nitsche@bga.de).