Omnibus IV: Geplante Änderungen an der DS-GVO zugunsten kleinerer Unternehmen
22.07.2026
Zusammenfassung
Das EU-Omnibus-IV-Paket plant eine grundlegende Vereinfachung der Verzeichnispflicht nach Art. 30 Abs. 5 DS-GVO: Der Schwellenwert für die Ausnahme soll von 250 auf 1.000 Beschäftigte angehoben werden, und die Dokumentationspflicht soll künftig nur noch greifen, wenn eine Verarbeitung ein hohes Risiko im Sinne von Art. 35 DS-GVO begründet. Für viele Unternehmen könnte das eine spürbare bürokratische Entlastung bedeuten – allerdings nicht pauschal, denn risikobehaftete Verarbeitungstätigkeiten bleiben weiterhin dokumentationspflichtig.
4 Minuten Lesezeit
Die EU will Unternehmen entlasten – und zieht dafür auch an datenschutzrechtlichen Stellschrauben. Mit dem Omnibus-IV-Paket sollen bestehende Erleichterungen, die bislang nur kleinen und mittleren Unternehmen (KMU) zugutekamen, auf eine neue Unternehmenskategorie ausgeweitet werden: die „Small Mid-Cap Enterprises“ (SMC). Das Omnibus-IV-Paket umfasst Änderungen an mehreren EU-Rechtsakten, darunter auch an der DS-GVO, und zielt insbesondere auf eine Entlastung bei der Pflicht zur Führung eines Verzeichnisses von Verarbeitungstätigkeiten nach Art. 30 DS-GVO ab.
Am 26. Juni 2026 hat der AStV die Einigung auf den Kompromisstext bestätigt und das Angebotsschreiben an das Europäische Parlament übermittelt. Rechtskraft hat die Neuregelung damit noch nicht – die formelle Verabschiedung und Veröffentlichung im EU-Amtsblatt stehen noch aus.
Die geplante Änderung von Art. 30 Abs. 5 DS-GVO
Die derzeit geltende Fassung von Art. 30 Abs. 5 DS-GVO befreit Unternehmen mit weniger als 250 Beschäftigten unter bestimmten Voraussetzungen von der Pflicht, ein Verzeichnis von Verarbeitungstätigkeiten zu führen. Die Ausnahme greift jedoch nicht, wenn die Verarbeitung voraussichtlich ein Risiko birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien nach Art. 9 DS-GVO umfasst. In der Praxis läuft diese Regelung für viele Unternehmen weitgehend leer.
Omnibus IV sieht nun eine grundlegende Neugestaltung dieser Vorschrift vor. Der Schwellenwert soll auf weniger als 1.000 Beschäftigte angehoben werden. Gleichzeitig wird der Maßstab für den Wegfall der Ausnahme verschärft: Die Befreiung gilt künftig nur dann nicht, wenn eine konkrete Verarbeitungstätigkeit voraussichtlich ein hohes Risiko im Sinne des Art. 35 DS-GVO begründet – also den Maßstab einer Datenschutz-Folgenabschätzung auslöst. Das ist ein deutlich engerer Maßstab als das bisher geltende allgemeine Risikokriterium.
Die Aufzeichnungspflicht bleibt darüber hinaus in jedem Fall bestehen, wenn die Verarbeitung eine Kerntätigkeit darstellt, die die Benennung eines Datenschutzbeauftragten nach Art. 37 Abs. 1 lit. b oder c DS-GVO erfordert – insbesondere also bei umfangreicher systematischer Überwachung oder groß angelegter Verarbeitung besonderer Datenkategorien.
Wichtig ist zudem: Greift die Ausnahme nur für einen Teil der Verarbeitungstätigkeiten, müssen ausschließlich die risikobehafteten Tätigkeiten dokumentiert werden. Eine vollständige Aufzeichnungspflicht für den gesamten Betrieb entfällt damit in vielen Fällen.
Neue Definitionen in der DS-GVO
Ergänzend soll Art. 4 DS-GVO um zwei neue Begriffsbestimmungen erweitert werden: Zum einen wird der Begriff „Kleinstunternehmen sowie kleine und mittlere Unternehmen“ (KMU) aufgenommen. Zum anderen wird die neue Kategorie der „Small Mid-Cap Enterprises“ (SMC) definiert: Dabei handelt es sich um Unternehmen, die keine KMU sind, weniger als 1.000 Personen beschäftigen und entweder einen Jahresumsatz von höchstens 200 Millionen Euro oder eine Jahresbilanzsumme von höchstens 172 Millionen Euro aufweisen.
Darüber hinaus sollen SMC künftig bei der Ausarbeitung von Verhaltensregeln (Art. 40 DS-GVO) und bei der Schaffung von Datenschutzzertifizierungsmechanismen (Art. 42 DS-GVO) explizit berücksichtigt werden – bislang war dies nur für KMU vorgesehen.
Praktische Auswirkungen für Unternehmen
Für Unternehmen mit weniger als 1.000 Beschäftigten könnte die geplante Regelung eine erhebliche bürokratische Entlastung bedeuten. Entscheidend ist jedoch, dass die Befreiung von der Aufzeichnungspflicht nicht pauschal gilt: Sobald eine Verarbeitungstätigkeit ein hohes Risiko im Sinne von Art. 35 DS-GVO begründet, bleibt die Dokumentationspflicht für genau diese Tätigkeit bestehen.
Unternehmen sollten daher nicht vorschnell auf die vollständige Pflege ihres Verarbeitungsverzeichnisses verzichten. Vielmehr empfiehlt es sich, bestehende Verzeichnisse systematisch auf risikorelevante Verarbeitungstätigkeiten zu prüfen und diese auch künftig vollständig zu dokumentieren. Für Unternehmen, die bereits heute ein strukturiertes Verzeichnis führen, dürfte der praktische Mehrwert der Neuregelung begrenzt sein.
Fazit
Das Omnibus-IV-Paket markiert einen Paradigmenwechsel bei der Ausnahme von der Verzeichnispflicht: Weg vom schwer handhabbaren Risikomaßstab hin zu einem klaren Hochrisiko-Kriterium. Ob diese Vereinfachung in der Praxis tatsächlich Entlastung bringt, hängt maßgeblich davon ab, welche Verarbeitungstätigkeiten ein Unternehmen konkret durchführt. Da das Verfahren noch nicht abgeschlossen ist, sollten Unternehmen die weitere Entwicklung aufmerksam verfolgen.
