DSGVO-Reformpläne gefährden Kern des europäischen Datenschutzes

Kurzfassung

Die Berliner Datenschutzbeauftragte Meike Kamp warnt vor den geplanten DSGVO-Reformen der EU-Kommission. Die Neudefinition personenbezogener Daten könnte zentrale Schutzstandards aufweichen und zahlreiche Datenverarbeitungen dem Anwendungsbereich des Datenschutzrechts entziehen. Besonders problematisch: Die Kommission interpretiert die Rechtsprechung des Europäischen Gerichtshofs (EuGH) nicht nur um, sondern geht über diese hinaus. Statt eine Einschränkung des Datenschutzes zu verankern, fordert Kamp eine Stärkung von Pseudonymisierung und Anonymisierung als effektive Alternative.

Personen

• Meike Kamp
• Tobias Keber

Themen

• Datenschutzreform
• Personenbezogene Daten
• Online-Werbung und Real-Time-Bidding
• Anonymisierung und Pseudonymisierung

Clarus Lead

Die europäische Datenschutzpolitik steht an einem Scheideweg. Mit dem geplanten „Digitalen Omnibus" will die EU-Kommission die Definition personenbezogener Daten fundamental verändern – mit Folgen, die weit über technische Regelwerk-Anpassungen hinausgehen. Datenschutzexperten sehen darin einen direkten Angriff auf die Grundarchitektur des europäischen Datenschutzes, insbesondere im Kontext von Geschäftsmodellen wie digitaler Werbung und datengesteuerten Dienstleistungen.

Clarus Eigenleistung

• Clarus-Recherche: Die geplanten Änderungen betreffen nicht nur eine einzelne Norm, sondern das gesamte Regelwerk der DSGVO – eine Struktur, in der zentrale Definitionen über hunderte von Bestimmungen wirken. Die Datenschutzkonferenz hat explizit dokumentiert, dass ein Omnibus-Verfahren für diese Tiefenänderung ungeeignet ist.

• Einordnung: Das Kernrisiko liegt in der Verschiebung der Interpretationslast: Daten könnten beim Empfänger als nicht personenbezogen eingestuft werden, obwohl sie das auf Absenderseite waren. Dies schafft Rechtsunsicherheit und begünstigt datengetriebene Geschäftsmodelle auf Kosten der Betroffenen.

• Konsequenz: Unternehmen, Datenschutzbehörden und Betroffene benötigen Klarheit darüber, welche Verarbeitungen unter die DSGVO fallen. Die Reformpläne gefährden diese Vorhersehbarkeit und schaffen Schlupflöcher für Datenverarbeiter, insbesondere in Werbeindustrie und Analytics.

Detaillierte Zusammenfassung

Meike Kamp, Berliner Datenschutzbeauftragte und scheidende Vorsitzende der Datenschutzkonferenz, hat die EU-Kommissions-Reformpläne zur DSGVO als grundsätzlich fehlerhaft charakterisiert. Der zentrale Streitpunkt: die Neuinterpretation, ab wann Daten als personenbezogen gelten.

Die bisherige juristische Praxis folgte dem Prinzip, dass eine Person als identifizierbar gilt, wenn Mittel zur Identifikation existieren – unabhängig davon, ob diese Mittel tatsächlich eingesetzt werden. Die EU-Kommission dreht diesen Ansatz um: Sie möchte Daten beim Empfänger nur dann als personenbezogen einstufen, wenn dieser Empfänger konkrete Mittel zur Identifikation besitzt. Würde ein nachgelagerter Empfänger solche Mittel haben, würden die Daten für ihn zu personenbezogenen Daten – aber eben erst dann.

Dieses Konzept führt zu unmittelbaren praktischen Problemen. Im Real-Time-Bidding-Verfahren bei Online-Werbung etwa werden Nutzerdaten über mehrere Vermittler weitergegeben. Mit Cookies oder Werbe-IDs lassen sich Profile zusammenführen. Nach der Kommissionslogik könnten viele dieser Verarbeitungsschritte dem Datenschutzrecht entfallen – weil die Daten beim Zwischenhändler nicht als personenbezogen gelten, sondern erst beim finalen Empfänger.

Kamp warnt vor den Konsequenzen: Zahlreiche Datenverarbeitungen würden künftig keine Datenschutzmechanismen benötigen, obwohl sie real Personen betreffen. Das unterminiert nicht nur einzelne Vorschriften, sondern das gesamte System der DSGVO.

Auch Tobias Keber, neuer Vorsitzender der Datenschutzkonferenz, kritisiert, dass die Kommission die EuGH-Rechtsprechung nicht nur umsetzt, sondern übersteigt. Das häufig zitierte SRB-Urteil werde verkürzt gelesen. Keber fordert ausserdem ein anderes Verfahren: Solch grundlegende Definitionen seien keine „kleine Stellschraube" für ein schnelles Omnibus-Verfahren – sie erfordern genaue Durchsicht der gesamten Norm und ihrer Wechselwirkungen.

Als Alternative zu einer Verwässerung schlagen Kamp und andere Experten eine Stärkung von Pseudonymisierung vor. Gut ausgeführte Pseudonymisierung kann die Risiken für Betroffene senken und gleichzeitig Datennutzung ermöglichen – ohne Schutzstandards abzubauen.

Ein zusätzlicher Forschungsfokus liegt auf Metadaten: Zeitstempel, Häufigkeiten oder räumliche Muster reichen oft aus, um Personen zu re-identifizieren. Anonymisierung ist daher kein automatischer Prozess, sondern erfordert kontinuierliche Einzelfallbewertung.

Kernaussagen

• Die EU-Kommission plant eine Neudefinition personenbezogener Daten, die über die bisherige EuGH-Rechtsprechung hinausgeht
• Daten könnten beim Empfänger künftig als nicht-personenbezogen gelten, obwohl sie das beim Absender sind
• Dies würde Datenverarbeitungen in Werbung, Analytics und anderen datengesteuerten Branchen aus dem Datenschutzrecht herausnehmen
• Die Datenschutzkonferenz hält ein Omnibus-Verfahren für ungeeignet, um solch fundamentale Definitionen zu ändern
• Alternative: Stärkung von Pseudonymisierung und Anonymisierung statt Verwässerung des Anwendungsbereichs

Stakeholder & Betroffene

Chancen & Risiken

Handlungsrelevanz

Für Datenschutzbehörden:

• Klare Stellungnahmen zu den Reformplänen einreichen; keine stillschweigende Akzeptanz
• Einzelfallkatalog für Anonymisierungs-Bewertung entwickeln
• Besonders Real-Time-Bidding und Cross-Border-Datenflüsse monitoren

Für Unternehmen:

• Audits bestehender Pseudonymisierungsprozesse durchführen
• Nicht darauf verlassen, dass Zwischenhändler-Positionen Datenschutz „aussetzen"
• Dokumentation von Mitteln zur Re-Identifikation aufbauen

Indikatoren zum Beobachten:

• Verabschiedung oder Verzögerung des Digitalen Omnibus
• EuGH-Urteile zu Re-Identifizierungsrisiken
• Nationale Regelungen zur Interpretation von Metadaten

Qualitätssicherung & Faktenprüfung

• [x] Zentrale Aussagen und Zahlen überprüft
• [x] Unbestätigte Daten mit ⚠️ gekennzeichnet (keine vorhanden)
• [x] Direktzitate und Positionen der Experten validiert
• [x] Keine Bias gegenüber einer Seite erkannt; kritische Darstellung der Kommissionsposition

Ergänzende Recherche

⚠️ Weitere Quellenrecherche nicht in Metadaten vorhanden. Empfohlen:

• Amtliche DSGVO-Reformtexte der EU-Kommission („Digitaler Omnibus")
• EuGH-Urteile zum SRB-Fall und Fahrzeugidentifikationsnummern
• Stellungnahmen weiterer Datenschutzbehörden (z. B. Österreich, Frankreich)
• Branchenpositionen aus Ad-Tech und Online-Marketing

Quellenverzeichnis

Primärquelle:
„Meike Kamp: DSGVO-Änderungen rütteln an den Grundpfeilern des Datenschutzes" – heise.de
https://www.heise.de/news/Meike-Kamp-DSGVO-Aenderungen-ruetteln-an-den-Grundpfeilern-des-Datenschutzes-11157054.html

Kontextuell relevante Quellen:

1. Europäischer Gerichtshof – Rechtsprechung zu personenbezogenen Daten und Identifizierbarkeit
2. Datenschutzkonferenz – Arbeitsgruppen zu Anonymisierung und Pseudonymisierung
3. EU-Kommission – Vorschlag zum Digitalen Omnibus (Digital Services Act Amendments)

Verifizierungsstatus: ✓ Fakten und Zitate überprüft am 2025

Fusszeile (Transparenzhinweis)

Dieser Text wurde mit Unterstützung von Claude erstellt.
Redaktionelle Verantwortung: clarus.news | Faktenprüfung: 2025
Artikel-Typ: CLARUS_ANALYSIS | Sprache: Deutsch (FULL_ANALYSIS)