Mitte November hat die EU-Kommission den lange erwarteten Digtial Omnibus Vorschlag veröffentlicht. Ziel dieses legislativen Vorschlags der EU-Kommission ist es, den komplexen digitalen Rechtsrahmen der EU zu verschlanken, Kosten zu senken und damit die Wettbewerbsfähigkeit Europas zu stärken, ohne die hohen Standards für Datenschutz, Sicherheit und Grundrechte zu gefährden.

Was ist das «Digital Omnibus Paket»?

Das Digital Omnibus Paket ist Teil der Digitalen Vereinfachungsagenda der EU. Es bündelt und modernisiert zentrale Rechtsakte im Digitalbereich, um Unternehmen, Verwaltungen und Bürgern die digitale Transformation zu erleichtern.
Dazu hat die EU-Kommission letzte Woche zwei separate legislative Vorschläge veröffentlicht: Zum einen einen allgemeiner Digital Omnibus Vorschlag und zum anderen einen Digital Omnibus AI Vorschlag. Während der allgemeine Vorschlag Anpassungen in mehreren Rechtsakten vorsieht, behandelt der Digital Omnibus AI Vorschlag (wie der Name schon sagt) nur Änderungen am EU-AI-Act.

Allgemeine Ziele sind insbesondere:

• Reduktion von Bürokratie und Rechtsfragmentierung
• Kosteneinsparungen von bis zu 5 Mrd. € für Unternehmen und 1 Mrd. € für Behörden zwischen 2027 und 2029
• Förderung von Innovation und Investitionen in Daten, KI und digitale Dienste

Welche Änderungen bringen die Vorschläge?

1. Datenrecht (Data Act & Co.)

• Zusammenführung bestimmter Teile von Open Data Directive und Data Governance Act in den Data Act, welcher am 12. September 2025 in Kraft getreten ist
• Aufhebung der FFDR, um Verwaltungsaufwand zu sparen und unternehmerische Freiheit sowie den freien Dienstleistungsverkehr, der auf nicht-personenbezogenen Daten basiert, zu fördern
• Einschränkung des Business-to-Government (B2G)-Datenzugangs des Kap. 5 Data Act ausschliesslich auf öffentliche Notlagen
• Vereinfachte Regeln insbesondere für kleine und mittlere Unternehmen (KMUs) zum Wechsel der Cloud-Infrastruktur (Cloud-Switching) sowie Löschung spezieller Anforderungen für Smart Contracts des Art. 36 Data Act

2. Datenschutz & Update der ePrivacy Directive

• Klarere Definitionen für personenbezogene Daten, Anonymisierung und Pseudonymisierung
• Erleichterungen bei Informationspflichten und Datenpannenmeldungen für Unternehmen
• Modernisierung der Cookie-Regeln: weniger Banner, zentrale Einstellungen über Browser, Fokus auf Nutzerfreundlichkeit

3. Cybersicherheit

• Einführung eines ENISA Single Entry Point (SEP) für Vorfallmeldungen (NIS2, DORA, GDPR, eIDAS) zur Vereinfachung und Harmonisierung der Meldungen nach verschiedenen Vorschriften

4. Plattformregeln

• Die Plattformregulierung in der EU hat sich grundlegend verändert: Mit dem Inkrafttreten des Digital Markets Act (DMA) und des Digital Services Act (DSA) wurde der Rechtsrahmen für Online-Plattformen umfassend modernisiert. Diese Gesetze ersetzen weitgehend die frühere P2B-Verordnung, deren Kernziele, Transparenz, Fairness und Schutz von Geschäftsnutzern, nun in den neuen Regelwerken integriert sind. Dadurch entfallen Überschneidungen, die Rechtslage wird klarer, Compliance-Kosten sinken, und die Durchsetzung wird gezielter. DMA adressiert vor allem marktbeherrschende Gatekeeper-Plattformen, während der DSA einheitliche Regeln für Sicherheit, Transparenz und Nutzerrechte schafft

5. KI-Regulierung (KI-Verordnung)

• Anpassung der Fristen für Hochrisiko-KI:
  • Hochrisiko-KI-Systeme nach Anhang III: Verpflichtungen sollen 6 Monate nach Veröffentlichung der von der EU-Kommission noch zu erlassenen Standards in Kraft treten, spätestens jedoch am 2. Dezember 2027 (statt ursprünglich 2. August 2026). Dies betrifft etwa bestimmte KI-Systeme in den Bereichen kritische Infrastruktur, Bildung und im HR-Bereich.
  • Hochrisiko-KI-Systeme nach Anhang I: Verpflichtungen sollen 12 Monate nach Veröffentlichung der von der EU-Kommission noch zu erlassenen Standards in Kraft treten, spätestens jedoch am 2. August 2028 (statt ursprünglich 2. August 2027). Dies betrifft KI-Systeme, die in bestimmte regulierte Produkte integriert sind, wie etwa in Maschinen, Medizinprodukten oder in Kraftfahrzeugen.
• Abschaffung verpflichtender KI-Schulungen («AI Literacy»): Da die Pflicht zur Sicherstellung ausreichender KI-Kompetenz schwer umzusetzen ist und erhebliche Compliance-Probleme verursachen könnte, soll diese Pflicht entfallen. Stattdessen sollen Kommission und die Mitgliedstaaten Anbieter und Anwender ermutigen, für angemessene KI-Kompetenz ihres Personals und der Nutzer zu sorgen sowie dementsprechende Unterstützung leisten.
• Weitere Erleichterungen für KMUs (SME) und small Mid-Caps (SMC): Es wird vorgeschlagen, für KMU und Mid-Caps eine vereinfachte technische Dokumentation und ein an ihre Grösse angepasstes Qualitätsmanagementsystem vorzusehen. Ausserdem sollen ihre Eigenheiten und Kapazitäten bei Bussgeldberechnungen, freiwilligen Verhaltenskodizes und Leitlinien besonders berücksichtigt werden. Bestehende Privilegien wie ein vereinfachtes Qualitätsmanagement für Kleinstunternehmen sollen auf KMU ausgeweitet werden.
• Die Pflicht zur menschlichen Aufsicht bei Hochrisiko-KI bleibt bestehen und muss von geschultem Personal übernommen werden. Gleichzeitig erhalten jedoch KI-Anbieter mehr Flexibilität, ein Post-Market-Monitoring-System passend zu ihrer Organisation umzusetzen. Um unnötige Bürokratie zu vermeiden, müssen KI-Systeme nach Anhang III, die vom Anbieter als nicht-hochriskant eingestuft wurden, nicht mehr in der EU-Datenbank registriert werden.
• Die KI-Governance soll effizienter werden: Die Aufsicht über grosse GPAI-Modelle und darauf basierende Systeme wird zentral beim AI Office gebündelt, um Fragmentierung zu vermeiden und Kosten zu senken. Für KI-Systeme in Produkten unter EU-Harmonisierungsrecht bleibt die Zuständigkeit bei den nationalen Marktüberwachungsbehörden. Systeme, die in sehr grossen Online-Plattformen (VLOPs/VLOSEs) eingebettet sind, sollen ebenfalls vom AI Office überwacht werden, um Synergien mit dem Digital Services Act zu schaffen. Zudem soll die Zusammenarbeit zwischen Marktüberwachungsbehörden und Grundrechtsaufsichtsstellen gestärkt werden, um Doppelanfragen zu vermeiden.
• Ein neuer Artikel in Bezug auf die Verarbeitung spezieller Kategorien von personenbezogenen Daten wird eingeführt. Es soll grundsätzlich die Möglichkeit eingeräumt werden, sensible personenbezogene Daten zur Erkennung und Korrektur von Verzerrungen zu nutzen.
• AI Regulatory Sandboxes sollen stärker gefördert und die Zusammenarbeit auf EU-Ebene ausgebaut werden. Das AI Office soll befugt sein, eine EU-weite Regulatory Sandbox für KI-Systeme unter seiner Aufsicht einzurichten. Ausserdem soll der Umfang von Real-World-Tests für Hochrisiko-KI-Systeme erweitert werden, um auch die in Anhang I der KI-VO gelisteten Systeme einzubeziehen. Ziel ist eine bessere Koordination, Ressourcennutzung und grenzüberschreitende Zusammenarbeit.
• Es sollen operative Anpassungen und technische Korrekturen erfolgen, um die Anwendung der KI-VO zu verbessern. Dazu gehören: vereinfachte Verfahren für Konformitätsbewertungsstellen, Übergangsregeln zur Vermeidung von Engpässen bei benannten Stellen sowie ein neuer Anhang mit Klassifizierungscodes für die Registrierung im NANDO-System. Zudem sollen Befugnisse der Kommission für harmonisierte Umsetzungsbedingungen reduziert werden, wo sie nicht zwingend erforderlich sind.
• Ergänzend setzt die EU-Kommission auf viele verschiedene nicht-legislative Massnahmen. So hat sie eine zentrale AI Act Single Information Platform für Leitlinien und Compliance-Tools aufgesetzt und bereitet weitere praktische Anleitungen vor, u. a. zur Schnittstelle mit der DSGVO. Unklarheiten zu Konzepten wie „Sicherheitskomponente“, Hochrisiko-Klassifizierung und Ausnahmen für Forschung sollen durch zusätzliche Leitlinien geklärt werden.

Warum ist das Digital Omnibus Package wichtig?

• Weniger Komplexität: Einheitliche Regeln statt paralleler Vorschriften
• Mehr Effizienz: Weniger Doppelmeldungen, geringere Compliance-Kosten
• Stärkere Wettbewerbsfähigkeit: Förderung von Innovation und Investitionen
• Rechtsklarheit: Harmonisierung zentraler Begriffe und Verfahren
  
  

Wie geht es weiter?

Der Vorschlag wird derzeit im Rat und Parlament beraten. Ziel ist ein Inkrafttreten bis Anfang 2027. Parallel startet die Kommission den Digital Fitness Check, um weitere Vereinfachungen zu prüfen. Sie können sich noch an der öffentlichen Konsultation zum Digital Fitness Check bis zum 11. März 2026 beteiligen. Alle Details und die Teilnahmeoptionen finden Sie hier auf der EU-Website.