Im November 2025 hat die Europäische Kommission vorgeschlagen, die DSGVO mit dem Digital-Omnibus-Paket zu ändern. Bei Datenpannen müsste die Behörde nur noch bei hohem Risiko benachrichtigt werden, binnen 96 Stunden, über eine zentrale EU-Meldestelle. Bei Auskunftsersuchen wäre es leichter, übermäßige Anträge abzulehnen. Nichts davon ist beschlossen: Heute gelten die bisherigen Regeln.
Der Vorschlag COM(2025) 837 wurde am 19. November 2025 vorgestellt und ist Teil eines größeren Vorhabens, die digitalen Regeln der EU zu vereinfachen. Für alle, die sich täglich um den Datenschutz kümmern, zählen zwei Änderungen am meisten: was passiert, wenn mit personenbezogenen Daten etwas schiefgeht, und wie Sie Menschen antworten, die ihre Daten verlangen.
Was sich ändert, Punkt für Punkt
| Thema | Heute | Was der Vorschlag vorsieht |
|---|---|---|
| Wann die Behörde zu benachrichtigen ist | Immer, wenn die Panne voraussichtlich zu einem Risiko für die Betroffenen führt Art. 33 Abs. 1 | Nur bei voraussichtlich hohem Risiko, der Schwelle, die heute für die Benachrichtigung der Betroffenen gilt |
| Frist | 72 Stunden ab Bekanntwerden, Wochenende inklusive | 96 Stunden |
| Wo zu melden ist | Bei der zuständigen Aufsichtsbehörde, in Deutschland für Unternehmen meist die Datenschutzbehörde des Landes | Eine zentrale Meldestelle in der EU, mit einem gemeinsamen Muster des EDSA |
| Übermäßige Auskunftsersuchen | Der Verantwortliche muss nachweisen, dass der Antrag offenkundig unbegründet oder exzessiv ist Art. 12 Abs. 5 | Es genügen „hinreichende Gründe“ für die Annahme, dass er exzessiv ist; Ablehnung oder Entgelt, wenn das Auskunftsrecht für andere Zwecke als den Datenschutz genutzt wird |
| Folgenabschätzungen | Listen jeder nationalen Behörde | Gemeinsame EU-Listen der Verarbeitungen, die eine Folgenabschätzung erfordern oder nicht |
| Internes Register der Pannen | Für jede Panne Pflicht Art. 33 Abs. 5 | Bleibt in allen diskutierten Fassungen erhalten |
Was EDSA und EDSB sagen
In der Gemeinsamen Stellungnahme 2/2026, vom 10. Februar 2026, unterstützen der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte mehrere dieser Maßnahmen, mit Vorbehalten.
Bei Auskunftsersuchen teilen sie das Ziel größerer Klarheit, verlangen aber, die drei Formulierungen zu übermäßigen Anträgen zu streichen. Sie erinnern daran, dass die betroffene Person ihren Antrag nach dem Urteil des Gerichtshofs in der Rechtssache C-307/22 nicht begründen muss.
Wo das Verfahren steht
- 19. Nov. 2025
Die Kommission legt den Vorschlag COM(2025) 837 vor. - 10. Feb. 2026
EDSA und EDSB veröffentlichen ihre gemeinsame Stellungnahme. - 21. Okt. 2026 · jetzt
Die Botschafter der Mitgliedstaaten beraten über das Verhandlungsmandat des Rates. Im Parlament haben die Ausschüsse ITRE und LIBE noch nicht über den Bericht abgestimmt. - Danach
Verhandlungen zwischen Parlament, Rat und Kommission. Erst dann die Veröffentlichung im Amtsblatt.
Das ist ein anderer Vorschlag, der Omnibus IV. Parlament und Rat haben am 26. Juni 2026 eine vorläufige Einigung erzielt: Die Ausnahme von der Pflicht zum Verzeichnis gilt künftig für Organisationen mit weniger als 1.000 Beschäftigten, außer bei Tätigkeiten mit hohem Risiko. Die Abstimmung im Plenum ist für den 23. November 2026 angesetzt.
Ratgeber zum Verarbeitungsverzeichnis lesen- 1Wenden Sie weiter die 72 Stunden und die Schwelle „Risiko“ an. Das sind die geltenden Regeln, bis ein Text veröffentlicht ist.
- 2Dokumentieren Sie jede Panne intern. Diese Pflicht entfällt in keiner Fassung.
- 3Beantworten Sie Auskunftsersuchen innerhalb eines Monats und verlangen Sie keine Begründung.
- 4Behalten Sie Ihr Verarbeitungsverzeichnis, auch wenn Sie am Ende befreit sind. Sie brauchen es, um die Daten zu finden.
- 5Abonnieren Sie den Newsletter. Wir aktualisieren diesen Artikel und die Ratgeber bei jedem Verfahrensschritt.