Artikel 88bis: KI-Training mit Kundendaten ohne Einwilligung

Am 3. September 2026 hat die irische Ratspräsidentschaft einen Kompromissvorschlag zum sogenannten Daten-Omnibus vorgelegt. Darin taucht ein Artikel 88bis auf, der die Nutzung personenbezogener Daten für KI-Training in der Regel als berechtigtes Interesse einstufen soll. Geleakt hat das Papier Politico, berichtet netzpolitik.org. Verabschiedet ist nichts davon. Für jeden, der Kundendaten in ein Modell gibt, verschiebt sich damit die Planungsgrundlage.

Was in dem Entwurf steht

Die DSGVO kennt mehrere Rechtsgrundlagen für eine Datenverarbeitung. Am bekanntesten ist die Einwilligung, bei der Nutzerinnen und Nutzer aktiv zustimmen. Daneben steht das berechtigte Interesse, bei dem ein Unternehmen seine wirtschaftlichen Interessen gegen die Schutzinteressen der Betroffenen abwägen muss. Diese Abwägung findet bisher im Einzelfall statt. Der Vorschlag der irischen Ratspräsidentschaft würde KI-Training pauschal in diese Kategorie einsortieren. Eine ausdrückliche und informierte Einwilligung wäre dann nicht mehr nötig. Neu ist die Idee nicht. Die EU-Kommission hatte sie schon in ihrem Aufschlag für den Daten-Omnibus formuliert, Zypern hatte sie während seiner Ratspräsidentschaft in der ersten Jahreshälfte gestrichen.

Warum sich noyb an der Pauschalität reibt

Max Schrems, Vorsitzender der Datenschutzorganisation noyb, kritisiert den Entwurf scharf. Sein Hauptargument: Artikel 88bis legitimiere Künstliche Intelligenz als solche, unabhängig vom Einsatzzweck. Damit könnten laut Schrems Training und Nutzung von KI für Manipulation, Desinformation oder Killer-Drohnen abgedeckt sein. Das ist eine juristische Einschätzung aus einer Pressemitteilung, keine gerichtlich geklärte Auslegung. Schrems nennt den Vorschlag „nichts anderes als die digitale Enteignung der Europäer“ und sagt, der Artikel erlaube „praktisch unbegrenzte Nutzung aller Daten für KI“. Profitieren würden nach seiner Lesart vor allem große Tech-Unternehmen mit ohnehin riesigen Datenbeständen.

Bisher hieß es: Es kommt darauf an

Ohne Einwilligung zu trainieren war schon vorher nicht verboten. Der Europäische Datenschutzausschuss hat in seiner Stellungnahme zu KI-Modellen festgehalten, dass die Interessenabwägung als Rechtsgrundlage in Frage kommt. Umstritten bleibt, ob sie regelmäßig zugunsten der Unternehmen ausgeht. Professorin Paulina Jo Pesch hat in einem Gastbeitrag bei netzpolitik.org argumentiert, dass allein die Intransparenz der Verarbeitungsprozesse dagegen spricht. Niemand könne verlässlich sagen, wo Daten nach dem Training wieder auftauchen. Genau diese Prüfung im Einzelfall würde Artikel 88bis durch eine Regelvermutung ersetzen.

Deutschland zieht mit

Die Rückkehr des Vorschlags kommt nicht aus dem Nichts. Große Mitgliedsländer wie Deutschland haben sich laut einem Bericht der Süddeutschen Zeitung für die Regelung stark gemacht, weil sie europäischen KI-Unternehmen helfen könne. Der Daten-Omnibus gehört zur Vereinfachungsagenda der EU-Kommission, die zuvor schon Umweltberichtspflichten gekappt und KI-Regeln aufgeweicht hat. Teile des Pakets sind unstrittig, etwa die Bündelung mehrerer Daten-Nutzungs-Gesetze und einheitliche Meldewege bei Datenpannen. Der Konflikt hängt an den Eingriffen in die DSGVO selbst.

Was ich in Projekten sehe

Die Frage nach der Rechtsgrundlage kommt bei meinen Kunden fast nie von allein. Sie kommt, wenn jemand aus dem Vertrieb Support-Tickets oder CRM-Notizen in ein Modell geben will, weil die Daten ja schon da sind. Auf die Nachfrage nach der Grundlage höre ich berechtigtes Interesse, ohne dass jemand die Abwägung je aufgeschrieben hat. Das ist die eigentliche Lücke, und ob Artikel 88bis kommt oder fällt, ändert daran wenig. Wer nicht belegen kann, welche Daten in welches System geflossen sind, hat im Prüffall ein Problem, das keine Gesetzesreform löst. Genau dagegen baue ich Automationen mit festen Kontrollpunkten, nachzulesen unter KI-Automation mit Kontrolle. Deshalb lege ich für jeden Workflow ein Verarbeitungsprotokoll an, bevor die erste Automation läuft.

Die zweite Baustelle sind pseudonymisierte Daten

noyb warnt vor einer weiteren Änderung im selben Paket: Eine neue Definition personenbezogener Daten könnte pseudonymisierte Daten unter Umständen aus dem Geltungsbereich der DSGVO nehmen. Nach Einschätzung der Organisation wäre dann selbst invasives Online-Tracking nicht mehr vom Datenschutz erfasst. Die Berliner Datenschutzbeauftragte Meike Kamp hat gewarnt, die EU rüttele an den Grundpfeilern des europäischen Datenschutzes. Für Marketing-Teams hängt an diesem Punkt mehr als an Artikel 88bis, weil Tracking-Setups und Kundendatenplattformen direkt betroffen wären. Beschlossen ist das genauso wenig wie Artikel 88bis.

Was sich dadurch nicht ändert

Eine Pauschalerlaubnis verringert die juristische Unsicherheit beim Training. An der Erwartung der Kunden ändert sie nichts. Die wollen wissen, was mit ihren Daten passiert, und diese Erwartung wirkt direkt auf Vertrauen und Abschlussquoten. Wer heute erklären kann, welche Daten sein Modell gesehen hat, verkauft das in zwei Jahren als Argument. Alle anderen erklären dann, warum sie es nie protokolliert haben.

Dein nächster Schritt

Nimm dir deine drei größten KI-Workflows vor und beantworte für jeden zwei Fragen. Welche personenbezogenen Daten laufen durch das System, und auf welche Rechtsgrundlage stützt du das schriftlich? Wenn du bei der zweiten Frage zögerst, hast du deine Aufgabe für diese Woche. Ein dokumentiertes Verarbeitungsverzeichnis trägt dich durch beide Szenarien, egal wie der Rat entscheidet. Wie man das aufsetzt, beschreibe ich unter DSGVO-konforme KI. Für Kontrollpunkte in laufenden Automationen habe ich das unter Prozesse automatisieren aufgeschrieben.