Swiss Room · Einordnung
Digital Omnibus
Vereinfachung des EU-Digitalrechts — Stand und Sprengkraft
Was dieser Artikel Ihnen zeigt
Genese, Inhalte und politisches Kräftefeld des Digital Omnibus — und was Schweizer KMU heute, morgen und erst nach dem Trilog tun sollten.
Wie der Digital Omnibus entstanden ist
Geistige Vorarbeit (September 2023 bis September 2024)
Der Digital Omnibus ist nicht aus dem Datenschutz heraus entstanden, sondern aus der Wettbewerbsfähigkeitsdebatte. Im September 2023 beauftragte Kommissionspräsidentin Ursula von der Leyen in ihrer State-of-the-Union-Rede den ehemaligen EZB-Präsidenten Mario Draghi mit einem Bericht zur künftigen Wettbewerbsfähigkeit der EU. Im April 2024 legte Enrico Letta, ehemaliger italienischer Ministerpräsident, den ergänzenden Bericht Much more than a market vor.
Am 9. September 2024 erschien Draghis The Future of European Competitiveness. Dessen Diagnose war hart: Europa verliert das Innovationsrennen gegen die USA und China, die Regulierungsdichte sei ein Innovationshemmnis, der GDPR ein Beispiel für ungleiche nationale Durchsetzung mit Wettbewerbsverlust. Draghi forderte explizit eine „radical simplification of the GDPR“ und eine Pause bei der Anwendung des AI Act.
Politische Konsolidierung (Oktober 2024 bis Oktober 2025)
Im Oktober 2024 forderte der Europäische Rat alle EU-Institutionen auf, die Empfehlungen aus den Letta- und Draghi-Berichten prioritär umzusetzen. Die Budapester Erklärung vom 8. November 2024 sprach von einer „Vereinfachungs-Revolution“. Im Januar 2025 legte die Kommission den Competitiveness Compass vor; am 11. Februar 2025 folgten das Commission Work Programme 2025 mit dem Titel Bolder, Simpler, Faster Union und die Communication on implementation and simplification. Zwischen 26. Februar und 9. Juli 2025 brachte die Kommission sechs Omnibus-Pakete auf den Weg. Vom 16. September bis 14. Oktober 2025 lief der Call for Evidence zum Digital Omnibus.
Initiative, Motivation, Ziele
Initiative. Treibende Akteure innerhalb der Kommission: Henna Virkkunen, Executive Vice-President for Tech Sovereignty, Security and Democracy, und Michael McGrath, Justice Commissioner. Politischer Auftraggeber: der Europäische Rat. Geistiger Pate: Draghi.
Motivation, erklärt. Reduktion administrativer Lasten, Beseitigung von Doppelregulierung, Konsolidierung des digital acquis, Stärkung der Wettbewerbsfähigkeit, Erhalt des Grundrechtsniveaus.
Motivation, kritisch gelesen. Eingriff in fundamentale Säulen des Datenschutzrechts unter dem rhetorischen Mantel der Vereinfachung. Verfassungsblog formuliert pointiert „How to Kill Data Protection Fast“; CDT Europe spricht von „AI FOMO“.
Ziele. Die Kommission beziffert 5 Mrd. EUR einmalige Einsparungen bis 2029 durch die Vereinfachungen; bis zu 150 Mrd. EUR jährliche Einsparungen, wenn alle Unternehmen die European Business Wallets nutzen würden — eine konjunktivische Zahl, die häufig wie eine bezifferte Wirkung zitiert wird. Inhaltlich: Konsolidierung von Data Governance Act, Open Data Directive und Free Flow of Non-Personal Data Regulation in einen restrukturierten Data Act; Überführung der Cookie-Regeln aus der ePrivacy-Richtlinie in den GDPR (neue Art. 88a, 88b); Präzisierung der Definition personenbezogener Daten; neuer Art. 41a GDPR zur Pseudonymisierung; Verlängerung der Breach-Notification-Frist von 72 auf 96 Stunden; Single Entry Point für Incident Reporting bei ENISA; Verlängerung der AI-Act-Hochrisiko-Fristen („Stop the Clock“); Erleichterung beim AI-Training mit personenbezogenen und sensiblen Daten.
Vom Draghi-Auftrag bis zur AI-Act-Frist
Drei Jahre, vier institutionelle Akteure, eine Deadline.
| Datum | Ereignis | Phase |
|---|---|---|
| Sept 2023 | Von der Leyen beauftragt Draghi | INITIATIVE |
| April 2024 | Letta-Report | INITIATIVE |
| 9. Sept 2024 | Draghi-Report The Future of European Competitiveness | INITIATIVE |
| Okt 2024 | Europäischer Rat fordert Umsetzung | INITIATIVE |
| 8. Nov 2024 | Budapester Erklärung — „Vereinfachungs-Revolution“ | INITIATIVE |
| 11. Feb 2025 | Commission Work Programme Bolder, Simpler, Faster Union | INITIATIVE |
| 16. Sep – 14. Okt 2025 | Call for Evidence zum Digital Omnibus | INITIATIVE |
| 19. Nov 2025 | Vorschlag Digital Omnibus (COM 836) | VORSCHLAG |
| 20. Jan 2026 | EDPB-EDPS Joint Opinion 1/2026 (AI Omnibus) | KRITIK |
| 11. Feb 2026 | EDPB-EDPS Joint Opinion 2/2026 (Digital Omnibus) | KRITIK |
| 11. Feb 2026 | ePrivacy-Verordnung zurückgezogen | VORSCHLAG |
| 13. März 2026 | Council general approach (AI Omnibus) | VORSCHLAG |
| 18. März 2026 | IMCO+LIBE Joint Negotiating Position | VORSCHLAG |
| 26. März 2026 | Parlament plenary (569 Stimmen) | VORSCHLAG |
| 8. April 2026 | Open Joint Letter (BEUC-Koalition) | KRITIK |
| 28. April 2026 | Trilog scheitert nach 12 Stunden; Wiederaufnahme Mai 2026 | KRITIK |
| 2. August 2026 | AI Act Hochrisiko-Frist (kritisch — gilt ohne Trilog-Einigung) | DEADLINE |
Akteure und Kräftefeld
| Akteur | Position | Relevanz für KMU |
|---|---|---|
| Europäische Kommission (Virkkunen, McGrath) | Treibt Vereinfachung als Wettbewerbsfähigkeitsmassnahme. Ziel: 5 Mrd. EUR Einsparungen bis 2029. | Definiert die Richtung. KMU-Erleichterungen (z.B. wegfallende AI-Literacy-Pflicht für non-high-risk) stammen aus diesem Bucket. |
| Rat (Cypriot Presidency) | Hat am 13. März 2026 general approach zum AI Omnibus angenommen; will Einigung im Mai 2026. | Mitgliedstaaten-Interessen — Schweizer KMU mit Niederlassungen in EU-Mitgliedstaaten betroffen je nach nationaler Auslegung. |
| Parlament (IMCO/LIBE; Plenum 569 Stimmen) | Hat zentrale Kommissions-Vereinfachungen zurückgerollt; Registrierungspflicht Art. 6(4) AI Act bleibt; fixe Daten statt „Stop the Clock“. | Disziplinierende Wirkung — viele Kommissions-Vereinfachungen werden voraussichtlich nicht in der ursprünglich vorgeschlagenen Form Recht. |
| EDPB / EDPS (Joint Opinions 1/2026 und 2/2026) | Schwergewichtige Kritik an Definition personenbezogener Daten, Art. 41a Pseudonymisierung, Art. 9 GDPR sensible Daten, AI Sandboxes ohne DPA. | KMU sollten EDPB-Position als Frühwarnsystem lesen — was kritisiert wird, wird im Trilog häufig modifiziert oder gestrichen. |
| Civil Society (BEUC-Koalition, Open Joint Letter 8. April 2026) | Fordert Erhalt der AI Act Scope; opponiert Verschiebung von Annex I unter Annex II. | Lobby-Druck wirkt — Parlament hat mehrere Vereinfachungen schon zurückgewiesen. |
| Industrie | Befürwortet Vereinfachungen; insbesondere bei AI-Training, Pseudonymisierung, Single Entry Point. | KMU profitieren prima facie — aber nur, wenn die Vereinfachungen tatsächlich Recht werden. |
Pro und Contra pro Materie
AI Act
| Vorschlag der Kommission | EDPB/EDPS | Status Trilog (30. April 2026) |
|---|---|---|
| „Stop the Clock“: Hochrisiko-Fristen abhängig von Kommissions-Decision; Annex III bis spät. 2. Dez 2027, Annex I bis spät. 2. Aug 2028. | Sorge: Verschiebung schwächt Grundrechte; lieber Originalfrist halten. | Parlament und Rat wollen fixe Daten statt decision-triggered: Annex III 2. Dez 2027, Annex I 2. Aug 2028. |
| AI-Literacy-Pflicht entfällt für non-high-risk; Kommission/Mitgliedstaaten fördern. | Sorge: schwächt ethische Awareness. | Wahrscheinlich übernommen. |
| Art. 6(4) AI Act: Registrierungspflicht entfällt für selbst-eingestufte non-high-risk. | Sorge: regulatorische Sichtbarkeit verschwindet. | Parlament und Rat behalten Registrierungspflicht; Inhalt vereinfacht. |
| Art. 4a AI Act: erweiterte Möglichkeit, sensible Daten für Bias-Erkennung zu nutzen; Schwelle „necessary“ statt „strictly necessary“. | Sorge: Schwächung einer Kernschutznorm. | Im Trilog noch offen. |
GDPR
| Vorschlag der Kommission | EDPB/EDPS | Status Trilog |
|---|---|---|
| Definition personenbezogener Daten kontextbezogen präzisiert (folgt CJEU Breyer/SRB/Deloitte). | Schwere Kritik: geht über Kodifikation hinaus, verengt Schutzbereich materiell. | Im Trilog kontrovers; wahrscheinlich modifiziert. |
| Art. 41a (neu): Pseudonymisierung definiert via Implementing Acts der Kommission. | Sorge: gehört in Kompetenz EDPB, nicht Kommission. | Erwartet: Kompetenz an EDPB rückübertragen. |
| Art. 33: Meldefrist 72h → 96h; Single Entry Point bei ENISA. | Begrüsst, aber Harmonisierung mit DORA/NIS2-Fristen empfohlen. | Voraussichtlich übernommen. |
| Definition wissenschaftlicher Forschung; DPIA-Templates. | Begrüsst. | Voraussichtlich übernommen. |
| Legitimate Interest als ausdrückliche Grundlage für AI-Training. | Sorge: unnötig (EDPB hat schon Opinion); wenn dann mit klaren LIA-Bedingungen. | Im Trilog offen. |
ePrivacy / Cookies
| Vorschlag der Kommission | EDPB/EDPS | Status Trilog |
|---|---|---|
| Cookie-Regeln aus ePrivacy-Richtlinie in GDPR überführen (Art. 88a, 88b). | Begrüsst: ePrivacy-Verordnung war ohnehin blockiert (Februar 2026 zurückgezogen). | Digital Legislation Omnibus noch in früherer Verfahrensphase. |
| One-Click-Reject; 6-Monats-Sperre nach Ablehnung; browser-level Signale. | Begrüsst: löst „consent fatigue“. | Voraussichtlich übernommen. |
| Whitelist für aggregierte Statistik ohne Einwilligung. | Begrüsst. | Voraussichtlich übernommen. |
| Bussen bis 4% Jahresumsatz für unautorisierten Geräte-Zugriff. | Begrüsst. | Voraussichtlich übernommen. |
Was bedeutet das für Schweizer KMU — drei Buckets
- AI-Literacy-Schulungen für Mitarbeitende mit AI-Berührung (geltende Pflicht des AI Act, unabhängig vom Vorschlag der Erleichterung).
- Inventarisierung der eigenen AI-Systeme nach Risikoklassen.
- ENISA-Anbindung über FINMA/BACS-Spillover beobachten.
- Bestehendes Breach-Notification-Workflow auf 72-Stunden-Standard halten (96-Stunden-Erleichterung erst nach Verabschiedung).
- GDPR-Records-of-Processing-Erleichterungen für Small Mid-Caps (SMC) prüfen — bereits jetzt durch Omnibus IV (Mai 2025) für SMC umgesetzt, weitere Erleichterungen folgen ggf.
- Cookie-Banner-Refactoring auf One-Click-Reject und browser-level Signale konzeptionell vorbereiten.
- Workflows für Data-Breach-Reporting auf den künftigen Single Entry Point bei ENISA antizipieren.
- AI-Training-Architektur im Hinblick auf Legitimate Interest als Grundlage modular halten.
- Pseudonymisierungs-Architektur unter Annahme einer Implementing-Act-Definition (Art. 41a neu) — die Kompetenz wandert wahrscheinlich an den EDPB; Verlass auf Kommissions-Acts ist riskant.
- AI-Training-Workflows auf „necessary“-Schwelle für sensible Daten umstellen — der Trilog ist offen.
- Verlass auf „Stop the Clock“ für Hochrisiko-Systeme, die nach altem Recht ab 2. August 2026 compliant sein müssten — ohne Trilog-Einigung vor Mitte Juni 2026 gilt die Originalfrist.
Dieser Leitfaden ersetzt keine Rechtsberatung.