Die Einwilligung verliert ihre Bedeutung. Der EU-Omnibus öffnet Daten für das KI-Training

These: Wird das KI-Training zum standardmäßigen „berechtigten Interesse“, verliert die Einwilligung ihre Schutzfunktion. Die Beweislast wandert vom Unternehmen zum Bürger. Das ist keine Deregulierung, das ist ein Wechsel der Ordnung des Datenschutzes.

Die Debatte über den EU-Datenomnibus ist nach der Sommerpause des Parlaments zurück. Zurück ist auch dieselbe Idee, die die Europäische Kommission in ihren ursprünglichen Entwurf geschrieben hatte: Die Nutzung personenbezogener Daten zum Training von KI-Systemen soll grundsätzlich als „berechtigtes Interesse“ gelten. Weder braucht es dann eine ausdrückliche und informierte Einwilligung der Nutzer, noch eine Abwägung der Interessen im Einzelfall.

Unmittelbarer Auslöser ist der Kompromiss der irischen Präsidentschaft vom 3. September 2026, den Politico veröffentlicht hat. Der Vorschlag stand schon einmal im Entwurf der Kommission, verschwand dann während der zyprischen Präsidentschaft und ist nun wieder da. Laut Berichten des deutschen „SZ Digitalwende“ drängten starke Mitgliedstaaten auf diese Lösung, darunter Deutschland. Ihr Argument: Sie helfe europäischen KI-Unternehmen.

Max Schrems, Vorsitzender der Organisation noyb, antwortet darauf ohne Umschweife: „Der Vorschlag zeigt deutlich, dass die Interessen der KI-Konzerne über das verfassungsrechtliche Recht auf Datenschutz gestellt werden sollen.“ Er spricht offen von einer „digitalen Enteignung der Europäer“ und einer „vollständigen Öffnung europäischer Daten für globale Konzerne“. Profitieren würden davon vor allem jene Firmen, die bereits die größten Datensätze angehäuft haben. Das ist ein schwer zu widerlegendes Argument: Die Pflicht zur Einwilligung sollte die Chancen zwischen einem Giganten und einem kleinen Anbieter ausgleichen. Wird sie allgemein abgeschafft, verschwindet sie vor allem dort, wo die Daten schon liegen.

Der Omnibus ist kein Einzelfall. Dasselbe Paket soll unter anderem die Cookie-Banner abschaffen und die Definition personenbezogener Daten ändern. Zuvor hat dieselbe Deregulierungsagenda die Umweltberichtspflichten gestrichen und die KI-Regeln aufgeweicht. Das Argument der „Vereinfachung“ klingt im technischen Teil glaubwürdig, die einheitliche Meldung von Datenschutzverstößen ist sinnvoll. Es als Deckmantel für eine Änderung der Trainingsregeln zu benutzen, ist dagegen Etikettenschwindel.

Die zweite Seite desselben Problems ist die Polizei. In Berlin erlaubt das neue Polizeigesetz die erneute Verarbeitung personenbezogener Daten für das Training und Testen von KI-Systemen. Die Antwort auf eine Anfrage der Linken zeigte, dass die Daten an private Firmen weitergegeben werden können, etwa an die Staige GmbH, verbunden mit der Adesso SE, die Berliner Verhaltensscanner baut. Eine Anonymisierung ist dabei nicht zwingend, wenn sie „den Test- oder Trainingszwecken entgegensteht“. Der Linken-Politiker Niklas Schrader spricht von einer „erschreckend gutmütig geöffneten Tür für den KI-Einsatz bei der Polizei“. Seine Fraktion geht zusammen mit den Grünen vor das Verfassungsgericht.

Das zeigt, wohin das Prinzip der standardmäßigen Erlaubnis führt, wenn es an die Stelle der Interessenabwägung tritt. Die Daten der Bürger werden zum Treibstoff der Technologieentwicklung, auch die von Passanten, die nichts verdächtigt. Die Kontrolle darüber liegt nicht mehr bei ihnen. Statt eines standardmäßigen „erlaubt“ sollte Europa standardmäßige Transparenz verlangen: ein Register der Datensätze, den Zweck, die Speicherdauer und eine echte Möglichkeit zum Widerspruch. Sonst vereinfacht der Omnibus das Recht nicht, sondern entfernt es dort, wo es am nötigsten ist.