Wer die Bewertungen des Digital Omnibus nebeneinanderlegt, findet ein auffälliges Muster. In der juristischen Fachliteratur überwiegt deutliche Kritik, teils in scharfer Form. In Unternehmen und bei ihren Beratern überwiegt Erleichterung. Beide Seiten beziehen sich auf denselben Rechtsakt. Sie beantworten aber unterschiedliche Fragen.
Dieser Beitrag stellt die beiden Einordnungen gegenüber und arbeitet heraus, woher die Differenz stammt. Er versteht sich als Vertiefung zum Ankerartikel zum Digital Omnibus vom 20. Juli 2026.
Executive Summary
1. Ausgangslage: zwei Omnibusse, ein Sammelbegriff
Die Kommission legte am 19. November 2025 zwei getrennte Vorschläge vor. Der eine betrifft die KI-Verordnung, der andere den Datenbestand aus DSGVO, ePrivacy-Richtlinie, Data Act und NIS-2-Richtlinie. Im allgemeinen Sprachgebrauch verschwimmt diese Trennung zu einem einzigen Vorhaben.
Der Stand ist jedoch sehr unterschiedlich. Der KI-Teil ist abgeschlossen. Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. Der Datenteil ist es nicht. Wer beide Teile in einem Satz zusammenfasst, plant auf einer Grundlage, die für die Hälfte des Pakets noch gar nicht existiert.
2. Wer ist betroffen?
- Anbieter und Betreiber von KI-Systemen, deren Fristenplanung sich durch die verschobenen Hochrisiko-Stichtage verändert
- Verantwortliche und Auftragsverarbeiter, deren DSGVO-Prozesse von den vorgeschlagenen, aber noch nicht geltenden Änderungen berührt wären
- NIS-2-pflichtige Einrichtungen, weil der Datenteil auch Meldewege betrifft
- Compliance-Verantwortliche, die Roadmaps gegenüber Geschäftsleitung oder Aufsicht begründen müssen
3. Wie hoch ist die Priorität?
Mittel bis hoch. Nicht wegen unmittelbaren Umsetzungsdrucks, sondern weil die Fehleinschätzung teuer ist. Wer geltendes Recht und Entwurfsstand verwechselt, verschiebt Maßnahmen, die weiterhin fällig sind.
4. Wie die Fachliteratur bewertet
Die wissenschaftliche Auseinandersetzung setzt beim Anspruch des Vorhabens an und misst ihn an dessen eigenem Maßstab. Herwig Hofmann argumentiert im Verfassungsblog, dass die vorgeschlagene Neufassung des Begriffs der personenbezogenen Daten den Anwendungsbereich der DSGVO verengt und dabei nicht vereinfacht, sondern zusätzliche Prüfschichten einzieht. Felix Bieker und Katherine Nolan ordnen das Paket in eine breitere Deregulierungsagenda ein. René Mahieu untersucht die Folgen für das Auskunftsrecht.
Der Befund findet sich auch in begutachteter Form. Ein Beitrag im Cambridge Yearbook of European Legal Studies behandelt das Spannungsfeld zwischen Vereinfachung und Stillstand und fragt, was von der Systematik des Datenschutzrechts bliebe. Das European Law Institute legte im März 2026 konkrete Änderungsvorschläge vor.
Auch die Aufsichtsseite äußerte sich zurückhaltend. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte begrüßten in ihrer gemeinsamen Stellungnahme vom 11. Februar 2026 das Vereinfachungsziel, rieten den Gesetzgebern aber ausdrücklich von der geänderten Definition personenbezogener Daten ab.
Der gemeinsame Nenner: Der Prüfmaßstab ist die Kohärenz des Rechtsrahmens und seine grundrechtliche Fundierung. Gemessen daran fällt das Urteil kritisch aus.
5. Wie die Praxis bewertet
In Unternehmen wird eine andere Frage gestellt: Was ändert sich an dem, was ohnehin zu tun ist? Auf diese Frage antwortet der KI-Teil klar. Die Hochrisiko-Pflichten nach Anhang III greifen nicht am 2. August 2026, sondern am 2. Dezember 2027, für in Produkte eingebettete Systeme am 2. August 2028. Projekte, die auf einen kaum erreichbaren Stichtag zuliefen, bekommen Zeit.
Diese Bewertung ist innerhalb ihres Rahmens zutreffend. Sie ist nur enger, als sie meist formuliert wird. Sie bezieht sich auf Termine, nicht auf Inhalte, und sie erfasst den Datenteil nicht, der weiterhin Entwurf ist.
Hinzu kommt ein Punkt, der in der Praxis regelmäßig untergeht: Die Verbote nach Artikel 5 und die Transparenzpflichten nach Artikel 50 der KI-Verordnung wurden nicht in gleicher Weise verschoben. Wer die Verschiebung pauschal als Entwarnung liest, unterschätzt, was kurzfristig gilt.
6. Woher die Differenz stammt
Unterschiedlicher Maßstab
Die Fachliteratur prüft, ob der Rechtsakt hält, was er verspricht, und ob er dogmatisch stimmig ist. Die Praxis prüft, ob er den eigenen Aufwand senkt. Ein Rechtsakt kann beide Prüfungen unterschiedlich bestehen.
Unterschiedlicher Gegenstand
Die kritischen Beiträge stammen überwiegend aus der Entwurfsphase und beziehen sich auf das Gesamtpaket, insbesondere auf den Datenteil. Die zustimmenden Einschätzungen beziehen sich meist auf den verabschiedeten KI-Teil. Beide Seiten reden korrekt, aber nicht über dasselbe.
Unterschiedlicher Zeithorizont
Rechtsunsicherheit durch neue unbestimmte Begriffe wirkt sich erst aus, wenn Gerichte sie auslegen. Das dauert Jahre. Eine um 16 Monate verschobene Frist wirkt sich sofort auf die Projektplanung aus. Wer nach Quartalen plant, gewichtet die zweite Wirkung höher.
7. Gegenüberstellung der Bewertungsmaßstäbe
| Kriterium | Fachliteratur | Betriebliche Praxis | Belastbarkeit |
|---|---|---|---|
| Leitfrage | Ist der Rechtsrahmen kohärent und grundrechtskonform? | Sinkt der eigene Aufwand? | beide gültig |
| Bezugsobjekt | Gesamtpaket, oft Entwurfsstand | Verabschiedeter KI-Teil | häufig unklar benannt |
| Zeithorizont | Auslegung über Jahre | Laufende Planung | beide gültig |
| Blinder Fleck | Reale Planungswirkung von Fristen | Offener Status des Datenteils | korrekturbedürftig |
8. Unsere Empfehlung
Unsere Empfehlung
- In jeder internen Unterlage benennen, ob vom KI-Teil oder vom Datenteil die Rede ist
- Nur die Verordnung (EU) 2026/1744 als geltendes Recht behandeln, den Datenteil als Beobachtungsposten führen
- Verschobene Fristen als verlängerte Projektlaufzeit einplanen, nicht als Aussetzung der Pflicht
- Die nicht verschobenen Pflichten aus Artikel 5 und Artikel 50 der KI-Verordnung gesondert nachhalten
- Kritische Fachbeiträge als Frühindikator für spätere Auslegungsstreitigkeiten lesen, nicht als Prognose zum Gesetzgebungsverfahren
- Keine Prozesse auf Grundlage vorgeschlagener DSGVO-Änderungen umbauen, solange diese nicht verabschiedet sind
Wie sich der offene Datenteil auf konkrete Pflichten auswirken könnte, zeigt sich unter anderem bei den Meldewegen. Der Vergleich der Fristen nach NIS-2, DORA und CRA beschreibt den heute geltenden Stand.
Häufige Fragen zum Digital Omnibus
Gilt der Digital Omnibus bereits?
Teilweise. Der KI-Teil gilt als Verordnung (EU) 2026/1744 seit dem 27. Juli 2026. Der Datenteil mit den vorgeschlagenen Änderungen an DSGVO, ePrivacy-Richtlinie und NIS-2-Richtlinie befindet sich weiterhin im Gesetzgebungsverfahren.
Wurde die KI-Verordnung insgesamt verschoben?
Nein. Verschoben wurden bestimmte Hochrisiko-Pflichten, auf den 2. Dezember 2027 für Systeme nach Anhang III und auf den 2. August 2028 für in Produkte eingebettete Systeme. Verbote und Transparenzpflichten folgen eigenen Anwendungsdaten.
Warum fällt die Bewertung in der Fachliteratur so viel kritischer aus?
Weil sie eine andere Frage stellt. Geprüft wird die Kohärenz und grundrechtliche Fundierung des Rechtsrahmens, nicht der betriebliche Aufwand. Zudem beziehen sich viele Beiträge auf den Datenteil, der Entwurf geblieben ist.
Quellen
- Verordnung (EU) 2026/1744 (Digital-Omnibus-Verordnung zur KI), ABl. vom 24. Juli 2026, in Kraft seit 27. Juli 2026
- Rat der EU, Pressemitteilung zur Einigung vom 7. Mai 2026
- EDSA und EDSB, Gemeinsame Stellungnahme zum Digital Omnibus vom 11. Februar 2026
- Hofmann, Herwig C. H., This Is Not Simplification, Verfassungsblog, 3. Januar 2026
- Bieker, Felix und Nolan, Katherine, European AI FOMO, Verfassungsblog, 29. Januar 2026
- Mahieu, René, The Ominous Omnibus, Verfassungsblog, Dezember 2025
- Between Simplification and Stagnation, Cambridge Yearbook of European Legal Studies (begutachtet)
- European Law Institute, Proposed Revisions to the Digital Omnibus, 11. März 2026
- BfDI, Digitaler Omnibus greift bei zentralen Datenschutzfragen zu kurz