Quellen-Tabelle

Laut internem Protokoll wurde beim Trilog eine politische Einigung für große Teile des Texts erzielt; bei Audio-Inhalten bleiben Videos im Anwendungsbereich, Sprachnachrichten können gemeldet werden, unterliegen aber nicht der aktiven Aufdeckung, Anrufe sind ganz ausgenommen. Bei der Altersverifikation wollte der Rat eine Pflicht, das Parlament bestand auf "kann" — man rückte im Zuge eines Gesamtkompromisses davon ab, Altersverifikation explizit in den Risikominderungsmaßnahmen aufzuführen.

Sehr konkreter Blick in die Verhandlungsdetails, die sonst nicht öffentlich sind: Es geht nicht um "alles oder nichts", sondern um genaue Abstufungen (Anrufe raus, Sprachnachrichten teilweise drin, Videos drin). Für ein Blackstone-Update-Dossier extrem wertvoll, weil es zeigt, wie granular die eigentliche Debatte ist — viel komplexer als die Schlagzeilen vermuten lassen.

Das erste formelle DSA-Verfahren wurde im Dezember 2023 gegen X eröffnet; im Dezember 2025 folgte eine Geldbuße in Höhe von 120 Millionen Euro wegen Transparenzpflicht-Verstößen. Für Meta wurden im April 2024 formelle Verfahren zu Facebook und Instagram eingeleitet; bei Shein und Temu setzte die Kommission zunächst auf formelle Auskunftsverlangen.

Der DSA ist nicht mehr nur Theorie: Die erste konkrete Millionenstrafe (120 Mio. €) ist bereits verhängt. Für Blackstone wichtig, weil das zeigt, dass die im Dossier beschriebenen Overblocking-Anreize jetzt mit echtem finanziellem Druck unterlegt sind — Plattformen haben ein reales Bußgeldrisiko vor Augen, nicht nur ein theoretisches.

Am 17. Februar 2026 eröffnete die Kommission ein förmliches Verfahren gegen Shein unter dem DSA. Zudem wird im Rahmen des Aktionsplans gegen Cybermobbing angekündigt, dass die Kommission die DSA-Leitlinien zum Schutz Minderjähriger überarbeiten und neue Leitlinien zu Trusted Flaggern erlassen wird.

Wichtige Verbindung zu Dossier A3 und B2: Der Aktionsplan gegen Cybermobbing (siehe unten) bringt gleich mehrere Dossiers zusammen — DSA-Durchsetzung, Trusted-Flagger-Ausweitung und Jugendschutz sind nicht getrennte Baustellen, sondern werden politisch zusammen vorangetrieben.

Über 70 Trusted Flagger mit unterschiedlicher Fachexpertise wurden bereits EU-weit benannt, darunter die Bank of Ireland (spezialisiert auf Finanzbetrug), Someturva (Online-Belästigung, u. a. nicht-einvernehmliche Verbreitung intimer Inhalte) und Child Focus (Kindesmissbrauchsmaterial). Der Leitlinienentwurf präzisiert die Kriterien und das Verfahren, nach dem Digital Services Coordinators diesen Status verleihen.

Wichtige Größenordnung, die vorher fehlte: Es sind nicht nur die vier deutschen Organisationen, sondern über 70 EU-weit — mit sehr unterschiedlichen, teils spezialisierten Themenfeldern. Das zeigt: Das System ist inzwischen deutlich ausgebaut, nicht mehr im Anfangsstadium.

Nach Sammlung des Feedbacks plant die Kommission, die Leitlinien in der zweiten Jahreshälfte 2026 zu verabschieden.

Konkretes Datum für die Blackstone-Redaktion: Die finalen Trusted-Flagger-Leitlinien kommen voraussichtlich noch dieses Jahr — ein guter Anlass für einen Update-Artikel, sobald sie veröffentlicht sind.

Die Kommission plant, die Tätigkeit der Trusted Flaggers auf Online-Mobbing auszuweiten. Im Laufe des Jahres 2026 soll ausgearbeitet werden, wie die EU die angekündigten Maßnahmen praktisch umsetzen kann.

Konkretes, aktuelles Beispiel für den im Masterplan beschriebenen Function-Creep-Mechanismus: Ein für einen Zweck geschaffenes Meldesystem (illegale Inhalte) wird schrittweise auf neue Themenfelder (Cybermobbing) ausgeweitet. Nicht spekulativ, sondern von der Kommission selbst angekündigt.

Einige Mitgliedstaaten haben während des Gesetzgebungsverfahrens die Kompetenz der EU für Teile des EMFA angezweifelt; Ungarn hat sogar eine Nichtigkeitsklage beim EuGH erhoben (Rs. C-486/24). Allgemein wird aufgrund der weiten Kompetenzauslegung des EuGH aber nicht erwartet, dass der EMFA für nichtig erklärt wird.

Bisher nicht in der Datenbank: Es gibt einen offenen Gerichtsstreit um das gesamte EMFA-Gesetz, angestoßen von Ungarn. Wahrscheinlich wird das Gesetz bestehen bleiben, aber das Verfahren ist noch nicht entschieden — relevant für die Statuskennzeichnung.

Allein im Jahr 2021 wurden weltweit 85 Millionen Bilder und Videos mit Darstellungen von sexuellem Kindesmissbrauch gemeldet, bei hoher Dunkelziffer; laut Internet Watch Foundation stieg die Zahl bestätigter Fälle 2021 gegenüber dem Vorjahr um 64%.

Das ist die Zahlenbasis, auf der die gesamte Verordnung aufbaut — wichtig für Blackstones Ehrlichkeitsprinzip: Das zugrundeliegende Problem ist real und riesig, das rechtfertigt die Kritik an der gewählten Lösung nicht automatisch, macht aber verständlich, warum die Verordnung überhaupt vorgeschlagen wurde. Ohne diese Zahl wirkt jede Kritik an der Chatkontrolle unvollständig.

Joachim Türk vom Kinderschutzbund betonte 2023, die Verordnung habe bei aller Kritik auch gute Seiten — er unterstütze etwa die Einrichtung einer europäischen Behörde. Fatal wäre es, wenn das Dunkelfeld sexualisierter Gewalt gegen Kinder mangels Scans nicht weiter bearbeitet würde. Gleichzeitig betonte er: Auch Kinder hätten ein Recht auf vertrauliche Kommunikation — "Diese Überzeugung macht es uns unmöglich, die anlasslose Chatkontrolle als Option zu akzeptieren."

Das ist die differenzierteste, fairste Stimme im ganzen Dossier: Eine Kinderschutzorganisation, die das Grundanliegen ernst nimmt (Dunkelfeld bekämpfen, neue EU-Behörde begrüßen) und TROTZDEM die anlasslose Variante ablehnt — weil auch Kinder ein Recht auf Privatsphäre haben. Zeigt: Es ist keine einfache Zwei-Lager-Debatte "Kinderschutz vs. Privatsphäre", sondern Kinderschutz-Experten selbst sehen beide Werte als vereinbar mit Kritik an der konkreten Umsetzung.

Der Kinderschutzbund lehnt die Chatkontrolle mittlerweile ab, "weil sie tief in die Privatsphäre aller eingreifen würde – auch in die von Kindern"; laut dem Verband setze das Vorhaben an der falschen Stelle an, da Darstellungen sexualisierter Gewalt in der Regel nicht über private Messenger, sondern File-Hosting-Dienste ausgetauscht würden.

Wichtige Entwicklung gegenüber 2023: Die Position ist klarer geworden — inzwischen explizite Ablehnung, nicht nur Bedenken. Neues, sehr konkretes Sachargument dazu: Das Hauptproblem (Verbreitung von Missbrauchsmaterial) spielt sich laut Kinderschutzbund technisch woanders ab (File-Hosting) als dort, wo die Chatkontrolle ansetzt (private Messenger) — ein Effektivitäts-Einwand, nicht nur ein Grundrechte-Einwand.

Das Ziel, die Online-Verbreitung des sexuellen Kindesmissbrauchs zu stoppen, ist überaus wichtig und grundsätzlich zu unterstützen — jedoch schießt der EU-Gesetzgeber mit seinem Vorschlag deutlich über das verfolgte Ziel hinaus, da die Chatkontrolle kaum Schutz für Kinder biete, aber Europas Einstieg in eine anlasslose und flächendeckende Überwachung der privaten Kommunikation wäre.

Die deutsche Datenschutzbehörde selbst formuliert hier das Grundmuster der differenzierten Kritik: Ziel richtig, Mittel unverhältnismäßig. Wichtig als Formulierungsvorlage für Blackstones eigene Position — nicht "Kinderschutz ist vorgeschoben", sondern "das Ziel ist legitim, das Werkzeug ist trotzdem falsch".

Auch der Branchenverband Bitkom hat sich klar gegen die Chatkontrolle gestemmt. Zudem hatten Messenger-Anbieter wie Signal, Threema und WhatsApp bereits scharfe Kritik geübt. Blickt man auf Zivilgesellschaft und Wirtschaft, gibt es viele Gegner.

Zeigt die Breite der Ablehnungs-Koalition über Privacy-Kreise hinaus: Wirtschaftsverbände, Messenger-Anbieter und Kinderschutzorganisationen sind sich in diesem Fall einig — ein seltenes, aber wichtiges Signal, dass es sich nicht um eine reine "Aktivisten vs. Politik"-Frage handelt.

Der EDPB und der EDPS drängen die Mitgesetzgeber eindringlich, die vorgeschlagenen Änderungen an der Definition personenbezogener Daten NICHT anzunehmen, da diese weit über eine gezielte oder technische Änderung der DSGVO hinausgehen. Die Änderungen würden zudem die Rechtsprechung des Europäischen Gerichtshofs (CJEU) nicht akkurat widerspiegeln und klar darüber hinausgehen.

Das ist ein bedeutender neuer Fund für Blackstone: Ein "Vereinfachungs"-Vorschlag der EU-Kommission versucht offenbar, die grundlegende Definition dessen zu ändern, was überhaupt als "personenbezogene Daten" zählt und damit unter DSGVO-Schutz fällt — die höchsten EU-Datenschutzbehörden warnen davor in ungewöhnlich deutlichen Worten. Das ist ein Lehrbuchbeispiel für "Deregulierung im Deckmantel der Vereinfachung" und verdient ein eigenes Blackstone-Dossier.

Der EDPB und der EDPS begrüßen ausdrücklich die vorgeschlagene neue Ausnahmeregelung zur Verarbeitung besonderer Datenkategorien für biometrische Authentifizierung, sofern die Verifikationsmittel unter alleiniger Kontrolle der betroffenen Person stehen. Sie unterstützen zudem die Vereinheitlichung des Begriffs "wissenschaftliche Forschung".

Wichtig für Blackstones Ausgewogenheit: Nicht der gesamte Digital Omnibus wird kritisiert — einzelne Vereinfachungen werden von den Datenschutzbehörden selbst begrüßt. Das zeigt: Die Kritik richtet sich präzise gegen einen spezifischen Punkt (Datendefinition), nicht pauschal gegen das ganze Vorhaben — genau die Art differenzierter Kritik, die zu Blackstones Stil passt.

Bezüglich der vorgeschlagenen Änderungen an der NIS2-Richtlinie begrüßen EDPB und EDPS die Einstufung von Anbietern europäischer digitaler Identitäts-Wallets und europäischer Unternehmens-Wallets als "wesentliche Einrichtungen" ("essential entities").

Wichtige Querverbindung zu Dossier B1 (EUDI-Wallet): Wallet-Anbieter sollen künftig denselben strengen Cybersicherheits-Standards unterliegen wie andere kritische Infrastruktur — von den Datenschutzbehörden ausdrücklich begrüßt. Das ist ein positiver Fund für B1, der zeigt, dass zumindest an dieser Stelle striktere statt laxere Regeln für die Wallet-Infrastruktur geplant sind.

Am 19. November 2025 veröffentlichte die Kommission den Entwurfsvorschlag "Digital Omnibus" — ein Paket zur Vereinfachung und Harmonisierung der EU-Digitalgesetzgebung. Der Entwurf schlägt Änderungen nicht nur am AI Act und Data Act vor, sondern insbesondere auch an der DSGVO selbst, u.a. bei Informationspflichten, Datenschutzverletzungen und Pseudonymisierung sowie neue Regeln zur Verarbeitung von Daten auf Endgeräten (insbesondere über Cookies).

Das ist der offizielle Ausgangspunkt: ein Kommissionsvorschlag vom November 2025, der unter dem Label "Vereinfachung" direkt in den Kern der DSGVO eingreift — nicht nur in Randbereiche.

Zwischen der Kommissionsposition vom 19. November 2025 und dem noch unveröffentlichten Kompromissvorschlag des Rats vom 10. Juni 2026 bestehen erhebliche Divergenzen; Vermittlungsversuche der zypriotischen Ratspräsidentschaft konnten noch nicht zu entscheidenden Fortschritten führen. Bemerkenswert: Selbst die Kommission selbst befürchtet, ihre eigenen Vereinfachungsziele könnten durch die Änderungsvorschläge unterlaufen werden.

Wichtiger aktueller Status: Das Verfahren steckt fest, sogar die Kommission ist inzwischen unzufrieden mit der Richtung, in die es sich entwickelt — ein ungewöhnlicher Befund, der zeigt, wie kontrovers dieses Vorhaben ist.

Schrems: "Dies ist der größte Angriff auf die digitalen Rechte der Europäer seit Jahren. Wenn die Kommission erklärt, dass sie 'die höchsten Standards aufrechterhält', ist das schlichtweg falsch. Die Vorschläge der Kommission würden diese Standards untergraben." Die Änderungen hätten für durchschnittliche europäische KMUs im Grunde keinen wirklichen Nutzen, seien aber "ein Geschenk an Big Tech", da sie neue Schlupflöcher eröffneten, die große Tech-Konzerne ausnutzen könnten.

Sehr scharfe Kritik von einer der bekanntesten europäischen Datenschutz-Persönlichkeiten (Schrems erstritt u.a. das "Schrems II"-Urteil gegen internationale Datentransfers). Wichtig für Blackstones Kennzeichnung: Das ist eine NGO-Position, keine neutrale Feststellung — aber von jemandem mit erheblicher juristischer Fachautorität in diesem Bereich.

Die geplante Neudefinition personenbezogener Daten würde es Unternehmen erlauben, pseudonyme oder deduzierte Informationen als "nicht personenbezogen" zu deklarieren. KI-Training und Gerätezugriffe sollen künftig als "berechtigtes Interesse" gelten — damit könnten personenbezogene Daten ohne aktive Zustimmung verarbeitet werden.

Konkrete technische Erklärung, WAS genau sich ändern würde: Wenn ein Unternehmen Daten nur "vermuten" statt "wissen" kann (pseudonym/dedu­ziert), müsste es sie nicht mehr als besonders geschützte personenbezogene Daten behandeln — ein direkter Weg, DSGVO-Pflichten zu umgehen, ohne das Gesetz formal abzuschaffen.

Art. 4 DSGVO soll präzisiert werden: Informationen gelten nicht als personenbezogene Daten für eine bestimmte Einrichtung, wenn diese nicht über Mittel verfügt, mit denen die betroffene Person mit hinreichender Wahrscheinlichkeit identifiziert werden kann — diese Änderung stehe im Einklang mit der SRB-Entscheidung des EuGH von September 2025. Aus Wirtschaftssicht seien die meisten Vereinfachungsvorschläge eher positiv zu bewerten.

Wichtige Gegenposition für Ausgewogenheit: Die Kommission beruft sich nicht aus dem Nichts auf eine neue Definition, sondern auf ein tatsächliches EuGH-Urteil (SRB-Entscheidung, September 2025) — die Frage ist, ob die Umsetzung im Gesetzestext über das Urteil hinausgeht oder es nur korrekt abbildet. Und: Aus reiner Wirtschaftssicht (IHK) wird der Vorschlag mehrheitlich positiv bewertet — zeigt den Interessenkonflikt zwischen Wirtschaftsverbänden und Datenschutzorganisationen.

Der EuGH hat sich im Urteil vom 4. September 2025 (Az. C-413/23 P) mit Fragen zu "personenbezogenen Daten" und "Pseudonymisierung" befasst — Anlass war ein Rechtsstreit zwischen dem Europäischen Datenschutzbeauftragten (EDSB) und dem Einheitlichen Abwicklungsausschuss (SRB). Der EuGH stellte klar: Stellungnahmen, die persönliche Meinungen wiedergeben, sind Informationen "über diese Person", da sie als Ausdruck ihrer Gedanken zwangsläufig eng mit ihr verknüpft sind.

Das ist das eigentliche Ursprungsurteil, auf das sich die Kommission im Digital-Omnibus-Vorschlag beruft — jetzt direkt erfasst, nicht nur über Sekundärquellen. Wichtig: Eine deutsche Aufsichtsbehörde selbst bestätigt in Teilen sogar eine BREITE Auslegung von "personenbezogen" (Meinungsäußerungen zählen dazu) — was der Digital-Omnibus-Kritik teilweise widerspricht.

Der Hessische Datenschutzbeauftragte begrüßt die EuGH-Entscheidung ausdrücklich: "weil sie einen jahrelangen Streit um das Verständnis von Anonymität beendet [...] Die Feststellungen des EuGH erleichtern künftig die Annahme von Anonymität und die Verarbeitung von anonymen Daten erheblich." Der EuGH wies die Ansicht zurück, pseudonymisierte Daten seien automatisch immer personenbezogen, nur weil der Inhaber der Zuordnungsinformation sie theoretisch zuordnen könnte.

Sehr wichtiger Fund für Blackstones Ausgewogenheit: Eine deutsche Landesdatenschutzbehörde selbst begrüßt das zugrundeliegende Urteil ausdrücklich als sinnvolle Klarstellung — das relativiert die scharfe Schrems-Kritik am Digital Omnibus erheblich. Es könnte sein, dass das Urteil selbst vernünftig ist, aber die Umsetzung im Digital-Omnibus-Gesetzestext darüber hinausgeht. Diese Nuance ist entscheidend für einen fairen Blackstone-Artikel: Nicht das Urteil ist das Problem, sondern möglicherweise die Art, wie die Kommission es in Gesetzesform gießt.

Nach dem EuGH kommt es für den Personenbezug von Daten auf die Perspektive des Verantwortlichen an, insbesondere zum Zeitpunkt der Datenerhebung. Wichtige Einschränkung: Ein Verantwortlicher, der selbst über Mittel zur Identifizierung verfügt, kann sich NICHT darauf berufen, dass das Zusatzwissen "nur" bei einem Dritten liegt — die Erleichterung gilt nur für den tatsächlichen Empfänger ohne Zusatzwissen, nicht für den ursprünglichen Verantwortlichen selbst.

Präzise technische Einschränkung, die in vielen vereinfachten Digital-Omnibus-Kritiken fehlt: Das Urteil erlaubt es NICHT, dass ein Unternehmen, das selbst Zugriff auf Zuordnungsdaten hat, sich als "anonymisiert" ausgibt. Die Erleichterung gilt nur für dritte Empfänger ohne diesen Zugriff. Das ist eine wichtige Detailgenauigkeit für Blackstones eigenen hohen Anspruch an Präzision.

Kirsten Bock (Stiftung Datenschutz) ordnet ein: "Der EuGH hat die Informationsrechte der Betroffenen weiter gestärkt. Er hat klargestellt, dass die Pflicht, Betroffene zu informieren, bereits bei der Datenerhebung besteht [...] Dabei spielt es keine Rolle, ob die Empfangenden die Daten als personenbezogen einstufen oder nicht."

Noch differenzierteres Bild: Das Urteil erleichtert zwar die Weitergabe pseudonymer Daten an Dritte, verstärkt aber GLEICHZEITIG die Informationspflicht gegenüber Betroffenen bei der ursprünglichen Datenerhebung. Es ist also kein reines "Datenschutz wird geschwächt"-Urteil, sondern eine Verschiebung: mehr Flexibilität bei der Weitergabe, aber mehr Transparenzpflicht am Anfang. Diese Zweischneidigkeit gehört zwingend in einen fairen Blackstone-Artikel.

"SPD und Union planen, die Informationsfreiheit faktisch abzuschaffen. Dieser Frontalangriff auf die demokratische Kontrolle staatlichen Handelns muss verhindert werden." Zusätzlich unterstützt der CCC aktuell eine Klage gegen die Hamburger Datenschutzbehörde im Zusammenhang mit der Gesichtserkennungs-Suchmaschine PimEyes.

Wichtiger, ganz aktueller Hinweis auf ein bislang noch nicht in der Datenbank erfasstes Thema: eine mögliche Reform/Einschränkung des deutschen Informationsfreiheitsgesetzes. Das ist ein weiterer Kandidat für ein künftiges Dossier oder zumindest eine Recherche-Vormerkung — der CCC bewertet es als "faktische Abschaffung", was für Blackstones Prüfung (Ist das wirklich so drastisch, oder Zuspitzung?) unbedingt verifiziert werden sollte, bevor es übernommen wird.