Artikel 88c: Was der EU-Vorschlag für KI-Trainingsdaten wirklich bedeuten würde

Die Debatte wird häufig verkürzt dargestellt: Die EU wolle Unternehmen erlauben, KI-Modelle mit personenbezogenen Daten ohne Einwilligung zu trainieren. Der diskutierte Artikel 88c der DSGVO wäre deutlich enger – und ist vor allem noch kein geltendes Recht.

Der Vorschlag würde das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO ausdrücklich als mögliche Rechtsgrundlage anerkennen, wenn die Verarbeitung personenbezogener Daten für die rechtmäßige Konzeption, Entwicklung oder Nutzung eines KI-Systems oder KI-Modells funktional erforderlich ist.13 Das würde weder die DSGVO außer Kraft setzen noch Web-Scraping automatisch legalisieren. Auch dort, wo andere EU- oder nationale Regeln eine Einwilligung verlangen, bliebe diese erforderlich.1

Entscheidend ist zudem: Artikel 88c gehört zum noch laufenden Digital-Omnibus-Datenvorschlag. Er ist nicht Teil des bereits verabschiedeten Digital Omnibus on AI. Der Gesetzgebungsvorgang ist offen, der endgültige Wortlaut steht nicht fest.

Was Artikel 88c ändern würde

Nach dem vorgeschlagenen Wortlaut könnten Verantwortliche oder Dritte sich während des gesamten Lebenszyklus eines KI-Systems oder -Modells auf ein berechtigtes Interesse stützen – allerdings nur, wenn die Verarbeitung für dessen rechtmäßige Konzeption, Entwicklung oder Nutzung funktional erforderlich ist.3

Damit würde ein Weg, der nach bestehender DSGVO bereits im Einzelfall möglich sein kann, im KI-Kontext ausdrücklich benannt. Der Europäische Datenschutzausschuss (EDSA; englisch EDPB) hatte schon zuvor festgestellt, dass berechtigte Interessen in bestimmten Fällen eine geeignete Rechtsgrundlage für die Entwicklung und den Einsatz von KI-Modellen oder -Systemen sein können.45

Das Wort „können“ ist dabei zentral. Ein Unternehmen könnte nicht einfach behaupten, sein Interesse am Bau eines Modells überwiege automatisch. Es müsste weiterhin die übliche dreistufige Prüfung bestehen:

• ein konkretes, legitimes Interesse benennen;
• nachweisen, dass die Verarbeitung dafür erforderlich ist; und
• dieses Interesse gegen die Rechte und Freiheiten der betroffenen Personen abwägen.15

Artikel 88c wäre somit keine allgemeine Erlaubnis, beliebige öffentliche oder nicht öffentliche personenbezogene Daten als Trainingsmaterial einzusammeln.

Welche Schutzvorkehrungen diskutiert werden

Im Zentrum der Kontroverse steht weniger die Frage, ob berechtigte Interessen bei KI grundsätzlich in Betracht kommen können. Umstritten ist vor allem, welche Schranken eine solche Rechtsgrundlage begleiten müssen.

Zu den im Zusammenhang mit der Vorschrift diskutierten Vorkehrungen gehören Datenminimierung bei Quellenauswahl und Training, technische und organisatorische Schutzmaßnahmen, aussagekräftige Transparenz sowie Verfahren, die maschinenlesbare Widersprüche oder Opt-outs berücksichtigen. Vorgesehen ist außerdem ein bedingungsloses Widerspruchsrecht für die betreffende KI-bezogene Verarbeitung.13

Das ist praktisch bedeutsam: Datenminimierung soll verhindern, dass Entwickler vorsorglich alles sammeln dürfen, was später vielleicht nützlich sein könnte. Transparenz muss Betroffenen nachvollziehbar machen, was mit ihren Daten geschieht. Und ein Widerspruchsrecht wäre nur dann wirksam, wenn es mehr ist als eine schwer auffindbare Einstellung in einem Konto-Menü.

Sensible Daten wären kein Sonderfall ohne Grenzen

In den Beratungen des Rates wurde eine mögliche Ausnahme für besondere Kategorien personenbezogener Daten enger gefasst: Sie soll nur beiläufige und verbleibende Verarbeitung erfassen. Gemeint sind Fälle, in denen Verantwortliche sensible Daten nicht gezielt verarbeiten wollen, solche Daten aber unvermeidbar in einem umfassenderen Verarbeitungsvorgang enthalten sind. Das unterscheidet sich klar vom absichtlichen Sammeln sensibler Daten für KI-Training.2

Warum EDSA und EDPS Bedenken haben

Der EDSA und der Europäische Datenschutzbeauftragte (EDPS) bestreiten nicht, dass berechtigte Interessen KI-bezogene Verarbeitung im Einzelfall tragen können. Ihr wesentlicher Einwand lautet vielmehr: Eine eigenständige Regelung wie Artikel 88c sei nicht nötig, weil die bestehende DSGVO-Auslegung dieses Ergebnis bereits in geeigneten Fällen zulasse.45

Die Sorge ist sowohl rechtlicher als auch praktischer Natur. Eine neue KI-Sondernorm könnte über eine bloße Klarstellung hinausgehen und die etablierten Schutzstandards der DSGVO unübersichtlicher machen. Die Stellungnahme der beiden Datenschutzinstanzen ist zwar nicht bindend, hat in den Gesetzesverhandlungen aber Gewicht.5

Ist Artikel 88c wieder auf dem Tisch? Der Stand bleibt offen

Die verfügbaren Gesetzgebungsmaterialien zeigen, dass die Beratungen im Rat umstritten sind. Eine geplante Abstimmung im Ausschuss der Ständigen Vertreter (COREPER) über ein Verhandlungsmandat des Rates wurde abgesagt, weil bei offenen Punkten keine Einigung zustande kam. Anschließend wurden die Arbeiten unter der irischen Ratspräsidentschaft fortgesetzt.

Das Programm der irischen Präsidentschaft nennt das Ziel, bis Ende 2026 mit dem Europäischen Parlament eine Einigung über das Digital-Omnibus-Paket zu erreichen. Die vorliegenden offiziellen Unterlagen belegen jedoch nicht eigenständig, dass Artikel 88c in einer endgültigen Ratsposition verbindlich wieder aufgenommen wurde.

Die belastbarste Einordnung lautet deshalb: Artikel 88c ist politisch umkämpft und weiter verhandelbar. Unternehmen können sich nicht auf ihn als bereits geltende Rechtsgrundlage anstelle der bestehenden DSGVO-Anforderungen berufen.

Zwei Digital-Omnibus-Verfahren nicht verwechseln

Ein Teil der Verwirrung entsteht durch ein anderes, bereits beschlossenes Gesetz: den Digital Omnibus on AI, verabschiedet als Verordnung (EU) 2026/1744.

Diese Regelung verändert Fristen bei der Umsetzung des EU-AI-Acts. Die Pflichten für eigenständige Hochrisiko-KI-Systeme nach Anhang III gelten nun ab dem 2. Dezember 2027; für Hochrisiko-Systeme als Bestandteile regulierter Produkte gilt ein späterer Zeitplan.1920

Ab diesem Zeitpunkt umfassen die Anforderungen unter anderem Risikoanalyse und -minderung, hochwertige Datensätze zur Verringerung diskriminierender Ergebnisse, Protokollierung und Rückverfolgbarkeit, Dokumentation, Informationen für Betreiber, menschliche Aufsicht sowie Vorgaben zu Robustheit und Cybersicherheit.20

Diese Pflichten aus dem AI Act sind von der Datenschutzfrage getrennt, ob personenbezogene Daten für KI-Training verarbeitet werden dürfen. Die Verschiebung von Hochrisiko-Pflichten setzt Artikel 88c nicht in Kraft.

Was das für Entwickler und Betroffene heißt

Für KI-Entwickler könnte Artikel 88c mehr Klarheit im Gesetzestext bringen, aber keine Abkürzung bei der Compliance. Eine belastbare Praxis bräuchte weiterhin dokumentierte Erforderlichkeits- und Abwägungsprüfungen, Datenminimierung, transparente Informationen und funktionsfähige Verfahren für Widersprüche.

Für Betroffene hängt viel davon ab, ob ein späterer Kompromiss wirksame Grenzen bewahrt: Ist die Datenverwendung tatsächlich nötig? Bleiben sensible Daten eng begrenzt? Und lassen sich Widersprüche technisch wirksam durchsetzen – statt nur symbolisch anzubieten?

Der übergeordnete Trend ist nicht, dass Europa präventive KI-Regulierung aufgegeben hätte. Der verabschiedete KI-Omnibus verschiebt bestimmte Hochrisiko-Pflichten; der getrennte Datenvorschlag prüft zugleich einen klareren Rechtsweg für einzelne KI-bezogene Datenverarbeitungen. Wie dieses Gleichgewicht am Ende ausfällt, entscheidet sich in den Verhandlungen zwischen Rat und Europäischem Parlament sowie bei der späteren Auslegung und Durchsetzung eines möglichen Gesetzestextes.19