Quellen-Tabelle

Der EDPB und der EDPS drängen die Mitgesetzgeber eindringlich, die vorgeschlagenen Änderungen an der Definition personenbezogener Daten NICHT anzunehmen, da diese weit über eine gezielte oder technische Änderung der DSGVO hinausgehen. Die Änderungen würden zudem die Rechtsprechung des Europäischen Gerichtshofs (CJEU) nicht akkurat widerspiegeln und klar darüber hinausgehen.

Das ist ein bedeutender neuer Fund für Blackstone: Ein "Vereinfachungs"-Vorschlag der EU-Kommission versucht offenbar, die grundlegende Definition dessen zu ändern, was überhaupt als "personenbezogene Daten" zählt und damit unter DSGVO-Schutz fällt — die höchsten EU-Datenschutzbehörden warnen davor in ungewöhnlich deutlichen Worten. Das ist ein Lehrbuchbeispiel für "Deregulierung im Deckmantel der Vereinfachung" und verdient ein eigenes Blackstone-Dossier.

Der EDPB und der EDPS begrüßen ausdrücklich die vorgeschlagene neue Ausnahmeregelung zur Verarbeitung besonderer Datenkategorien für biometrische Authentifizierung, sofern die Verifikationsmittel unter alleiniger Kontrolle der betroffenen Person stehen. Sie unterstützen zudem die Vereinheitlichung des Begriffs "wissenschaftliche Forschung".

Wichtig für Blackstones Ausgewogenheit: Nicht der gesamte Digital Omnibus wird kritisiert — einzelne Vereinfachungen werden von den Datenschutzbehörden selbst begrüßt. Das zeigt: Die Kritik richtet sich präzise gegen einen spezifischen Punkt (Datendefinition), nicht pauschal gegen das ganze Vorhaben — genau die Art differenzierter Kritik, die zu Blackstones Stil passt.

Bezüglich der vorgeschlagenen Änderungen an der NIS2-Richtlinie begrüßen EDPB und EDPS die Einstufung von Anbietern europäischer digitaler Identitäts-Wallets und europäischer Unternehmens-Wallets als "wesentliche Einrichtungen" ("essential entities").

Wichtige Querverbindung zu Dossier B1 (EUDI-Wallet): Wallet-Anbieter sollen künftig denselben strengen Cybersicherheits-Standards unterliegen wie andere kritische Infrastruktur — von den Datenschutzbehörden ausdrücklich begrüßt. Das ist ein positiver Fund für B1, der zeigt, dass zumindest an dieser Stelle striktere statt laxere Regeln für die Wallet-Infrastruktur geplant sind.

Zwischen der Kommissionsposition vom 19. November 2025 und dem noch unveröffentlichten Kompromissvorschlag des Rats vom 10. Juni 2026 bestehen erhebliche Divergenzen; Vermittlungsversuche der zypriotischen Ratspräsidentschaft konnten noch nicht zu entscheidenden Fortschritten führen. Bemerkenswert: Selbst die Kommission selbst befürchtet, ihre eigenen Vereinfachungsziele könnten durch die Änderungsvorschläge unterlaufen werden.

Wichtiger aktueller Status: Das Verfahren steckt fest, sogar die Kommission ist inzwischen unzufrieden mit der Richtung, in die es sich entwickelt — ein ungewöhnlicher Befund, der zeigt, wie kontrovers dieses Vorhaben ist.

Art. 4 DSGVO soll präzisiert werden: Informationen gelten nicht als personenbezogene Daten für eine bestimmte Einrichtung, wenn diese nicht über Mittel verfügt, mit denen die betroffene Person mit hinreichender Wahrscheinlichkeit identifiziert werden kann — diese Änderung stehe im Einklang mit der SRB-Entscheidung des EuGH von September 2025. Aus Wirtschaftssicht seien die meisten Vereinfachungsvorschläge eher positiv zu bewerten.

Wichtige Gegenposition für Ausgewogenheit: Die Kommission beruft sich nicht aus dem Nichts auf eine neue Definition, sondern auf ein tatsächliches EuGH-Urteil (SRB-Entscheidung, September 2025) — die Frage ist, ob die Umsetzung im Gesetzestext über das Urteil hinausgeht oder es nur korrekt abbildet. Und: Aus reiner Wirtschaftssicht (IHK) wird der Vorschlag mehrheitlich positiv bewertet — zeigt den Interessenkonflikt zwischen Wirtschaftsverbänden und Datenschutzorganisationen.

Der Hessische Datenschutzbeauftragte begrüßt die EuGH-Entscheidung ausdrücklich: "weil sie einen jahrelangen Streit um das Verständnis von Anonymität beendet [...] Die Feststellungen des EuGH erleichtern künftig die Annahme von Anonymität und die Verarbeitung von anonymen Daten erheblich." Der EuGH wies die Ansicht zurück, pseudonymisierte Daten seien automatisch immer personenbezogen, nur weil der Inhaber der Zuordnungsinformation sie theoretisch zuordnen könnte.

Sehr wichtiger Fund für Blackstones Ausgewogenheit: Eine deutsche Landesdatenschutzbehörde selbst begrüßt das zugrundeliegende Urteil ausdrücklich als sinnvolle Klarstellung — das relativiert die scharfe Schrems-Kritik am Digital Omnibus erheblich. Es könnte sein, dass das Urteil selbst vernünftig ist, aber die Umsetzung im Digital-Omnibus-Gesetzestext darüber hinausgeht. Diese Nuance ist entscheidend für einen fairen Blackstone-Artikel: Nicht das Urteil ist das Problem, sondern möglicherweise die Art, wie die Kommission es in Gesetzesform gießt.

Nach dem EuGH kommt es für den Personenbezug von Daten auf die Perspektive des Verantwortlichen an, insbesondere zum Zeitpunkt der Datenerhebung. Wichtige Einschränkung: Ein Verantwortlicher, der selbst über Mittel zur Identifizierung verfügt, kann sich NICHT darauf berufen, dass das Zusatzwissen "nur" bei einem Dritten liegt — die Erleichterung gilt nur für den tatsächlichen Empfänger ohne Zusatzwissen, nicht für den ursprünglichen Verantwortlichen selbst.

Präzise technische Einschränkung, die in vielen vereinfachten Digital-Omnibus-Kritiken fehlt: Das Urteil erlaubt es NICHT, dass ein Unternehmen, das selbst Zugriff auf Zuordnungsdaten hat, sich als "anonymisiert" ausgibt. Die Erleichterung gilt nur für dritte Empfänger ohne diesen Zugriff. Das ist eine wichtige Detailgenauigkeit für Blackstones eigenen hohen Anspruch an Präzision.

Kirsten Bock (Stiftung Datenschutz) ordnet ein: "Der EuGH hat die Informationsrechte der Betroffenen weiter gestärkt. Er hat klargestellt, dass die Pflicht, Betroffene zu informieren, bereits bei der Datenerhebung besteht [...] Dabei spielt es keine Rolle, ob die Empfangenden die Daten als personenbezogen einstufen oder nicht."

Noch differenzierteres Bild: Das Urteil erleichtert zwar die Weitergabe pseudonymer Daten an Dritte, verstärkt aber GLEICHZEITIG die Informationspflicht gegenüber Betroffenen bei der ursprünglichen Datenerhebung. Es ist also kein reines "Datenschutz wird geschwächt"-Urteil, sondern eine Verschiebung: mehr Flexibilität bei der Weitergabe, aber mehr Transparenzpflicht am Anfang. Diese Zweischneidigkeit gehört zwingend in einen fairen Blackstone-Artikel.

Deutsche Industrieverbände wie Bitkom, BDI und ZVEI begrüßen die Bemühungen um Bürokratieabbau und fordern teilweise noch weitergehende Erleichterungen. Die vorgeschlagenen Änderungen sollen zudem das Ende der Cookie-Banner einläuten, indem Einwilligungen künftig über Browser oder Betriebssysteme standardisiert verwaltet werden könnten.

Wichtiger, bisher nicht dokumentierter Aspekt: Der Digital Omnibus enthält offenbar auch einen Vorschlag, das in F10 (Batch 26) bereits dokumentierte "1.020 Cookie-Klicks pro Jahr"-Problem strukturell zu lösen — durch zentrale Einwilligungsverwaltung auf Browser-/Betriebssystem-Ebene statt Einzelbanner pro Website. Das wäre eine der wenigen Digital-Omnibus-Änderungen, die Blackstones eigenen Kritikpunkten (Cookie-Banner-Übermaß) tatsächlich entgegenkäme — wichtig für eine ausgewogene Darstellung: Nicht alles am Digital Omnibus ist aus Privacy-Sicht schlecht. Zusätzlich bestätigt hier erneut die bereits in Batch 22-23 dokumentierte Bitkom-Position (Regulierung als Innovationsbremse).

Über ungeschützte JSONP-Schnittstellen im ICE-WLAN der Deutschen Bahn konnten Webseiten GPS-Koordinaten des Zuges sowie MAC- und IP-Adressen der Nutzer auslesen.

Die Sicherheitslücke wurde nach Bekanntwerden per Software-Update geschlossen.

Berichtet über eine vom CCC entdeckte Sicherheitslücke im ICE-WLAN, durch die GPS-Position und Geräte-MAC-Adressen abgreifbar waren.

Die Deutsche Bahn kündigte noch am selben Tag ein Software-Update an.

Datenverkehr in öffentlichen Hotspots wird meist unverschlüsselt übertragen und kann von Dritten mitgelesen oder manipuliert werden.

Mehrere Jahre alt, grundsätzliche technische Risiken bestehen aber weiterhin.

Man-in-the-Middle-Angriffe, Router-Hijacking und Malware-Verteilung sind Hauptrisiken offener Flughafen-WLANs; empfiehlt VPN-Nutzung sowie mobile Hotspots als Alternative.

Blog eines Passwortmanager-Anbieters mit werblichem Charakter für eigene Produkte.

Kalifornien erzielte einen Vergleich über 12,75 Millionen US-Dollar mit General Motors, weil GM zwischen 2020 und 2024 Geolokations- und Fahrverhaltensdaten hunderttausender Kalifornier ohne Wissen und Einwilligung an Verisk und LexisNexis verkaufte. Es ist die bislang höchste CCPA-Strafe.

Vergleich ohne Schuldanerkenntnis, die genaue Zahl Betroffener wird nicht beziffert.

Praktische Schritte: Connected Services abschalten, zum Koppeln ein altes Zweitgerät ohne Kontakte verwenden, Telematik-Tarife ablehnen, beim Gebrauchtwagen Accounts des Vorbesitzers entfernen. Notrufsystem, Reifendruckkontrolle und Unfalldatenspeicher sind gesetzlich vorgeschrieben und nicht abwählbar.

Belegt nicht, dass das Ziehen der Telematik-Sicherung zulässig oder folgenlos ist – solche Eingriffe können Garantie und Typgenehmigungskonformität gefährden.