Quellen-Tabelle

Die geplante Neudefinition personenbezogener Daten würde es Unternehmen erlauben, pseudonyme oder deduzierte Informationen als "nicht personenbezogen" zu deklarieren. KI-Training und Gerätezugriffe sollen künftig als "berechtigtes Interesse" gelten — damit könnten personenbezogene Daten ohne aktive Zustimmung verarbeitet werden.

Konkrete technische Erklärung, WAS genau sich ändern würde: Wenn ein Unternehmen Daten nur "vermuten" statt "wissen" kann (pseudonym/dedu­ziert), müsste es sie nicht mehr als besonders geschützte personenbezogene Daten behandeln — ein direkter Weg, DSGVO-Pflichten zu umgehen, ohne das Gesetz formal abzuschaffen.

Die im Vorfeld geäußerten Befürchtungen haben sich laut ersten Analysen nach der offiziellen Vorstellung des Omnibus weitgehend bewahrheitet — die im Vorfeld befürchtete "Wunschliste" der großen Tech-Konzerne wurde demnach in wesentlichen Teilen tatsächlich übernommen.

Wichtiger Nachtrag zur zeitlichen Entwicklung: Die im November 2025 geäußerten Warnungen (127-Organisationen-Brief) waren zunächst Reaktionen auf einen geleakten Entwurf — dieser Artikel bestätigt aus Sicht der Kritiker, dass die finale, offizielle Fassung (19.11.2025 vorgestellt) die Befürchtungen weitgehend bestätigt statt entkräftet hat. Wichtig: Auch das ist eine Einschätzung von netzpolitik.org, keine neutrale Feststellung — sollte entsprechend attribuiert werden.

Auch wenn ein paar Regeln weniger unter die Räder kommen als ursprünglich befürchtet, ist der digitale Omnibus laut dieser Einschätzung tatsächlich auf Crash-Kurs mit digitalen Grundrechten — allerdings weniger drastisch als der ursprünglich geleakte Entwurf befürchten ließ.

Wichtige Nuance: Die finale Fassung war offenbar etwas weniger einschneidend als der ursprünglich geleakte Entwurf — ein Hinweis darauf, dass der öffentliche Protest (127-Organisationen-Brief, Parlaments-Widerstand) zumindest teilweise Wirkung gezeigt haben könnte, auch wenn die Grundrichtung nach dieser Einschätzung bestehen bleibt. Diese Differenzierung (schlimmer befürchtet als tatsächlich gekommen, aber immer noch problematisch) ist wichtig für Blackstones Präzisionsanspruch.

US-Präsident Donald Trump versucht seit Monaten, die EU-Regeln zu "knacken" — ein geopolitischer Kontext, den auch Max Schrems in seiner Kritik am Digital Omnibus anspricht.

Wichtiger geopolitischer Zusatzkontext: Die Deregulierungsdebatte findet nicht im luftleeren Raum statt, sondern auch vor dem Hintergrund transatlantischen politischen Drucks (USA) auf die EU-Digitalregulierung — ein Aspekt, der die Debatte über reine Innen-EU-Politik hinaus einordnet und für ein vertieftes Verständnis der Hintergründe relevant ist.

OLG Oldenburg: Erben erhalten auch aktive Nutzungsrechte an Social-Media-Accounts Verstorbener, nicht nur passiven Zugriff.

Betrifft Instagram-Account eines verstorbenen DSDS-Gewinners.

DSGVO schützt nur lebende Personen, Angehörige können sich nicht auf Datenschutzrechte Verstorbener berufen.

Zivilrechtliche Klagen wegen postmortaler Persönlichkeitsrechte bleiben unberührt.

Analysiert Datenschutzrisiken der EU-Digital-Identity-Wallet unter eIDAS 2.0, Gefahr der Überidentifikation durch Diensteanbieter.

Bezieht sich auf Trilog-Verhandlungsstand 2023.

Sicherheitsforscher fanden Schwachstelle im Governikus-Autent-SDK, mit der Angreifer sich online als beliebige Personen ausgeben konnten.

Betraf Server-Software, nicht direkt den RFID-Chip selbst.

Analysiert die Möglichkeit, aus hochauflösenden Lastprofilen auf einzelne Geräte und Verhaltensmuster im Haushalt zu schließen.

Bewertet den Rechtsrahmen von 2016, spätere Novellen nicht berücksichtigt.

Amazon ließ Zeitarbeiter in Polen Alexa-Sprachaufnahmen von zuhause aus abhören und transkribieren, auch Familienangehörige hatten Zugang zu sensiblen Nutzerdaten.

Basiert auf einem einzelnen Medienbericht mit anonymen Zeitarbeiter-Aussagen.

Anhand über 1000 geleakter Audiodateien zeigte VRT NWS, dass Google-Mitarbeiter Sprachaufnahmen abhören und 153 unbeabsichtigte Aufnahmen ohne Aktivierungswort fanden.

Auswertung eines Leaks durch einen belgischen Subunternehmer-Mitarbeiter, nicht durch Google offengelegt.

Ein ehemaliger Apple-Subunternehmer-Mitarbeiter forderte eine EU-Untersuchung der Siri-Sprachauswertung, bei der Mitarbeiter täglich tausende Aufnahmen mit intimen Details anhörten.

Beruht auf Aussagen eines einzelnen Whistleblowers, keine unabhängige behördliche Bestätigung.

Prüft Amazons Löschoptionen für Alexa-Sprachaufzeichnungen, stellt fest, dass die Löschung im Test unzuverlässig funktionierte.

Fachblog mit eigenem Praxistest, keine wissenschaftliche Prüfung.

Von rund 800.000 betroffenen Fahrzeugen (300.000 in Deutschland) waren zu 460.000 präzise Standortdaten abrufbar; bei VW und Seat auf etwa 10 Zentimeter genau, bei Audi und Skoda auf etwa 10 Kilometer. Betroffen waren auch 35 E-Fahrzeuge der Hamburger Polizei.

Genauigkeitsangaben stammen aus der CCC-/Spiegel-Recherche und wurden von VW nicht im Detail bestätigt.

Cariad hatte rund 9,5 Terabyte Daten weitgehend ungeschützt in einem Amazon-Cloudspeicher liegen, darunter Fahrzeug-Identifikationsnummern, Halterinformationen und GPS-Positionen mit bis zu zehn Zentimetern Genauigkeit. Bei Mercedes-Benz fanden die Autoren rund 100 Datenarten inklusive GPS-Fahrtenbuch mit drei Monaten Speicherdauer.

Belegt Telematik- und Sensordaten, jedoch keine Übertragung von Innenraum-Kamerabildern an die Hersteller.

Standortgenauigkeit lag bei VW und Seat bei rund 10 Zentimetern, bei Audi und Skoda bei rund 10 Kilometern; betroffen waren u.a. 300.000 Fahrzeuge in Deutschland, 80.000 in Norwegen, 68.000 in Schweden.

Stützt sich vollständig auf die CCC-/Spiegel-Recherche, nennt keine exakte Anfangsdauer des Lecks.

Legt Typgenehmigungsanforderungen für Ablenkungswarnsysteme fest und schreibt vor, dass sie ohne biometrische personenbezogene Daten funktionieren müssen; eine Identifizierung der Person ist untersagt.

Regelt nur die Pflichtfunktion ADDW, nicht die freiwillig verbauten Innenraumkameras der Hersteller.

Seit dem 31.03.2018 dürfen neue Pkw-Typen nur noch mit 112-basiertem eCall typgenehmigt werden; das System darf das Fahrzeug im Normalbetrieb nicht nachverfolgbar machen, Positionsdaten werden fortlaufend gelöscht und nur die drei letzten Positionen vorgehalten.

Regelt nur das 112-eCall-System, nicht die herstellereigenen Zusatzdienste über dieselbe Hardware.