Digitaler Omnibus: DSGVO- und AI Act-Änderungen für KMU im Überblick

Hintergrund: Was ist der Digitale Omnibus?

In den vergangenen Jahren sind verschiedene Gesetze und Verordnungen in Kraft getreten, die Datenschutz und Cybersicherheit innerhalb der EU stärken sollen. In der Praxis brachten die Vorgaben jedoch vor allem wachsende Komplexität bei Verfahren, Fristen und Pflichten.  

Der „Digitale Omnibus“ ist der Versuch der EU-Kommission, das europäische Digitalrecht zu vereinfachen: Am 19. November 2025 stellte die EU-Kommission zwei Gesetzespakete vor, die mehrere bestehende Rechtsakte anpassen und vereinfachen sollen. Dazu gehören die Datenschutzgrundverordnung (DSGVO), die Datenverordnung (Data Act) und die KI-Verordnung (AI Act).

Doch während Brüssel von Bürokratieabbau spricht, warnen über 130 Organisationen vor dem „bislang größten Rückschritt für digitale Grundrechte in der EU-Geschichte“. Für Compliance-Verantwortliche könnte die geplante Reform vor allem Rechtsunsicherheit bedeuten, und das in einer Zeit, in der Planbarkeit unverzichtbar ist.  

Welche Änderungen sind in Bezug auf die DSGVO geplant?

Die geplanten Änderungen umfassen unter anderem angepasste Meldefirsten, vereinfachte Meldeverfahren und Anpassungen bei der Definition personenbezogener Daten. Sie hätten beispielsweise direkte Auswirkungen auf das Verzeichnis von Verarbeitungstätigkeiten (VVT), technische und organisatorische Maßnahmen (TOM) und laufende Zertifizierungen wie die ISO 27001-Zertifizierung.

DSGVO-Meldepflichten

Bei Datenschutzverletzungen sieht der Reformentwurf eine Meldefrist von 96 Stunden statt wie bisher von 72 Stunden vor. Die Pflicht soll außerdem nur noch für Datenpannen mit „hohem Risiko“ gelten. Zusätzlich ist ein Single-Entry-Point geplant, also eine zentrale Meldestelle. Aktuell können je nach Niederlassung verschiedene Aufsichtsbehörden zuständig sein.

Mögliche Folgen: Die bisherige 72-Stunden-Frist zwingt Unternehmen zu klaren Prozessen und schneller Reaktion. Eine Verlängerung der Frist auf 96 Stunden erleichtert es Unternehmen gerade in komplexen Situationen wie Cyberangriffen, ihren Meldepflichten nachzukommen. Jedoch kann die verlängerte Meldefrist in bestimmten Situationen auch dazu führen, dass sich Risiken für betroffene erhöhen, weil Aufsichtsbehörden erst später im Interesse Betroffener tätig werden können.

Beim Datenschutz einfach alles richtig machen?

Mit Unterstützung unserer Experten setzen Sie die DSGVO rechtssicher um – egal, was die EU beschließt und ohne Ihr Team zu belasten.

Mehr zu DSGVO-Beratung

Personenbezogene Daten

Eine weitere Änderung betrifft die Definition personenbezogener Daten. Der Entwurf stellt klar: Daten gelten künftig nur dann als personenbezogen, wenn Unternehmen die Person dahinter identifizieren können. Ob Dritte wie Datenlieferanten das könnten, soll keine Rolle spielen.  

Mögliche Folgen: Für Datenverarbeiter könnte die kommerzielle Nutzung von Daten für Analysen oder für das KI-Training einfacher werden einfacher werden. Datenlieferanten müssen allerdings weiterhin datenschutzrechtliche Anforderungen beachten. Zudem müssen verarbeitende Unternehmen selbst beurteilen und dokumentieren, ob sie eine Person identifizieren können oder nicht. Bei einer Fehleinschätzung würden trotzdem alle DSGVO-Pflichten gelten und KMU müssten ihre VVT entsprechend überarbeiten.

KI-Omnibus: Welche Änderungen an der KI-Verordnung sind beschlossen?

Zur Vereinfachung der KI-Vorschriften haben sich das Europäische Parlament und der EU-Rat im Mai 2026 auf den „Digital Omnibus on AI“ geeinigt. Der KI-Omnibus ist als Verordnung (EU) 2026/1744 am 27. Juli 2026 in Kraft getreten und ändert unter anderem die Anwendungsfristen der KI-Verordnung, die Vorgaben zur KI-Kompetenz, die Regeln für Hochrisiko-KI-Systeme sowie die Anforderungen an bestimmte Unternehmen und Branchen.  

Das hat sich geändert:  

• Fristen für Hochrisiko-KI-Systeme: Vorschriften für KI-Systeme, die in Hochrisikobereichen wie Biometrie oder kritische Infrastruktur eingesetzt werden, gelten nun nicht ab Sommer 2026, sondern erst ab 2. Dezember 2027. Für KI-Systeme, die als Sicherheitskomponenten in Aufzügen oder Spielzeugen zum Einsatz kommen, tritt die Regulierung erst ab 2. August 2028 in Kraft.  

• Neues Verbot: KI-Systeme, die ohne Zustimmung intime oder sexuell eindeutige Inhalte erzeugen, sind verboten. Anbieter betroffener Systeme haben bis zum 2. Dezember 2026 Zeit, ihre Systeme in Einklang zu bringen.

• Transparenzpflichten: Die Übergangsfrist für Transparenzpflichten bei KI-generierten Inhalten wurde auf den 2. Dezember 2026 festgelegt. Das gilt für generative KI-Systeme, die bereits vor dem 2. August 2026 auf dem Markt sind. Deepfake-Kennzeichnung und Transparenz bei Texten im öffentlichen Interesse bleiben unverändert ab dem 2. August 2026 verpflichtend.

• Pflicht zur Förderung der KI-Kompetenzpflicht bleibt bestehen: Anbieter und Betreiber müssen weiterhin Maßnahmen ergreifen, damit ihr Personal und andere in ihrem Auftrag mit KI-Systemen befasste Personen über die für ihre Tätigkeit erforderlichen Kenntnisse und Fähigkeiten verfügen. Dabei sind unter anderem technische Kenntnisse, Erfahrung, Ausbildung, Schulung und der konkrete Nutzungskontext zu berücksichtigen. 

• Erleichterungen für KMU und Small Mid-Cap Enterprises (SMCs):  Der KI-Omnibus sieht für KMU, Start-ups und kleine Midcap-Unternehmen verschiedene Erleichterungen vor. Dazu gehören Vereinfachungen bei bestimmten Elementen der technischen Dokumentation und unter bestimmten Voraussetzungen beim Qualitätsmanagement. Für kleine Midcap-Unternehmen gelten außerdem besondere Vorgaben zur Begrenzung bestimmter Geldbußen.

KI-Kompetenz effizient fördern

Mit der KI-Academy schulen KMU ihre Mitarbeiter praxisnah und erfüllen mühelos die Vorgaben der europäischen KI-Verordnung. Stärken Sie die KI-Kompetenz Ihres Teams mit zertifizierten Experten und dokumentierten Schulungsnachweisen.

Mehr zu KI-Schulungen

Besondere Relevanz des KI-Omnibus für den Maschinenbau

Für Unternehmen im Maschinenbau bringt der KI-Omnibus eine wichtige Änderung: Die Anforderungen der KI-Verordnung und der Maschinenverordnung (EU) 2023/1230 sollen besser zusammenpassen. Deshalb wird die Maschinenverordnung in den für diesen Bereich vorgesehenen Abschnitt B des Anhangs I der KI-Verordnung aufgenommen. Sie fällt damit aber nicht vollständig aus dem Anwendungsbereich der KI-Verordnung heraus.

Wer KI-Systeme etwa für Steuerungsaufgaben oder Predictive Maintenance in Maschinen integriert, muss nicht mehr automatisch alle Anforderungen beider Regelwerke parallel erfüllen. Für bestimmte Hochrisiko-KI-Systeme gelten nach Art. 2 Abs. 2 KI-Verordnung nur ausgewählte Vorschriften des AI Act. Die vollständigen Hochrisiko-Anforderungen gelten für diese Systeme daher nicht insgesamt.

Allerdings gilt diese Ausnahme nicht pauschal: Entscheidend ist, ob das konkrete System als Hochrisiko-KI-System eingestuft ist und mit einem Produkt nach Anhang I Abschnitt B zusammenhängt. Welche weiteren Anforderungen – etwa an Transparenz, Dokumentation oder KI-Kompetenz – gelten, hängt vom konkreten System ab. Die Maschinenverordnung bleibt daneben anwendbar.

Was bedeutet der digitale Omnibus konkret für die Arbeit von KMU?

Die geplanten DSGVO-Änderungen und der verabschiedete KI-Omnibus betreffen unterschiedliche Regelungsbereiche, können in der Praxis aber zusammentreffen. Das gilt insbesondere für die Verarbeitung personenbezogener Daten bei der Entwicklung und Nutzung von KI-Systemen. Bis zu einer Änderung bildet die DSGVO weiterhin den datenschutzrechtlichen Rahmen, während die KI-Verordnung zusätzliche Anforderungen an bestimmte KI-Systeme sowie an deren Anbieter und Betreiber stellt.

Bei bestimmten KI-Anwendungen können sich die Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO und die Grundrechte-Folgenabschätzung nach Art. 27 KI-Verordnung überschneiden. Soweit eine DSFA bestimmte Pflichten bereits abdeckt, kann der Betreiber in der Grundrechte-Folgenabschätzung auf die entsprechenden Abschnitte verweisen oder diese übernehmen. Die darüber hinaus gehenden grundrechtlichen Auswirkungen des KI-Einsatzes sind gesondert zu berücksichtigen.

Wie würde sich der Digital-Omnibus auf bestehende Zertifizierungen auswirken?

Wer ein ISMS nach ISO 27001 betreibt, hat die dazugehörigen Maßnahmen auf Basis bestimmter Annahmen über Meldepflichten, Bußgeldrisiken und Betroffenenrechte festgelegt. Würden sich diese Parameter ändern, müssten Unternehmen mit ISMS ihre Risikobewertung anpassen.  

Ähnlich verhält es sich mit TISAX®: Der VDA ISA-Katalog enthält ein eigenständiges Datenschutzmodul mit vier Kontrollfragen, die explizit die DSGVO-Compliance prüfen. Wenn sich die DSGVO-Definition personenbezogener Daten oder die Meldepflichten ändern, müssten Unternehmen ihre VVT-Dokumentation anpassen. Der TISAX®-Assessor könnte anschließend prüfen, ob die aktualisierten Prozesse weiterhin den Anforderungen des Katalogs entsprechen.

Was bedeutet die Neubewertung des Personenbezugs für KMU?

Ein zentraler Punkt ist die neue, adressatenbezogene Bewertung personenbezogener Daten. Künftig müssten Unternehmen systematisch dokumentieren,

• welche Daten sie verarbeiten, zum Beispiel pseudonymisierte Analysedaten, Cloud-Logs oder Nutzungsstatistiken,
• über welche Identifikationsmittel sie selbst verfügen, etwa Schlüsseldatenbanken oder Zugriff auf Klarnamen, und
• ob eine Re-Identifizierung mit eigenen Mitteln realistisch möglich ist.

Diese Prüfung erfordert eine strukturierte Dokumentation ähnlich wie bei einer Datenschutz-Folgenabschätzung und die Anpassung der VVT.

Übersicht: Was sich konkret durch den digitalen Omnibus ändert

Was KMU jetzt konkret tun können

Der Digitale Omnibus entwickelt sich in zwei unterschiedlichen Geschwindigkeiten: Die DSGVO-Änderungen befinden sich noch im Reformprozess, während die Änderungen der KI-Verordnung bereits verabschiedet sind. Für Unternehmen bedeutet dies, dass sie sowohl den weiteren DSGVO-Rechtsstand beobachten als auch die neuen Anforderungen des KI-Omnibus in ihre bestehenden Datenschutz-, Informationssicherheits- und KI-Compliance-Prozesse einordnen müssen.

• Legen Sie Verantwortlichkeiten fest: Definieren Sie, wer in Ihrem Team die Entwicklung rund um Datenschutz und Informationssicherheit beobachtet.  
• Bleiben Sie informiert: Nutzen Sie verlässliche Informationsquellen wie Ihren Datenschutzbeauftragten, die Stiftung Datenschutz oder den Newsletter von Proliance, um kein Update zu verpassen.
• Prüfen Sie Compliance-relevante Prozesse: Welche Verarbeitungstätigkeiten basieren auf Rechtsgrundlagen, die sich ändern könnten? Welche TOMs sind auf Meldepflichten oder Datendefinitionen bezogen? Welche KI-Anwendungen im Unternehmen müssten als Hochrisiko neu bewertet werden?

Ausblick: Zwischen Pragmatismus und Prinzipientreue

Die einen sprechen beim Digitalen Omnibus von einer Aufweichung von Datenschutzstandards, die anderen sehen in der geplanten Reform eine Chance für Bürokratieabbau und mehr Wettbewerbsfähigkeit für europäische Unternehmen.

Für Compliance-Verantwortliche bedeutet die Omnibus-Diskussion vor allem Unsicherheit. Genau deshalb ist es wichtig, weder in Aktionismus zu verfallen noch das Thema auf die lange Bank zu schieben. Stattdessen gilt: beobachten, bewerten und bereit machen.

Konzentrieren Sie sich auf Vorgaben, die bereits gelten und arbeiten Sie mit Experten wie Ihrem Datenschutzbeauftragten oder Proliance zusammen, um bei notwendigen Änderungen Ihrer Datenschutzprozesse keine Zeit zu verlieren. Proliance unterstützt Sie zum Beispiel mit KI-Beratung oder mit einer Managementsoftwre für zentrale Compliance.