Omnibus Digital der EU: Was das Vereinfachungspaket bezweckt
Digital- und datengetriebene Geschäftsmodelle sind für viele Unternehmen, vom klassischen Mittelständler bis zum Onlinehändler und spezialisierten Dienstleister, längst Teil der Wettbewerbsfähigkeit. Gleichzeitig werden die bestehenden europäischen Digital- und Datenregeln in der Praxis häufig als komplex, schwer handhabbar und damit als Innovationshemmnis wahrgenommen. Vor diesem Hintergrund hat die EU-Kommission ein Vereinfachungspaket für den Digitalbereich vorgelegt, das auf eine strukturelle Optimierung des digitalen EU-Regelwerks zielt. Im Zentrum stehen dabei Anpassungen und Vereinfachungen mehrerer Rechtsakte, insbesondere der Datenschutz-Grundverordnung, der KI-Verordnung sowie des Datengesetzes.
Für Unternehmen und ihre steuerlichen und rechtlichen Berater ist diese Stoßrichtung grundsätzlich attraktiv, weil Vereinfachung im Idealfall zu weniger Abstimmungsaufwand, klareren Zuständigkeiten und schneller umsetzbaren Digitalprozessen führt. Der praktische Nutzen hängt jedoch davon ab, ob Vereinfachung tatsächlich zu rechtlicher Klarheit führt oder ob Schutzstandards, vor allem im Datenschutz und in der Governance von Daten, faktisch abgesenkt werden. Genau an dieser Schnittstelle setzt die aktuelle Positionierung des Berufsstands an: Die grundsätzliche Unterstützung für die Modernisierung des digitalen Rechtsrahmens wird mit konkreten Forderungen nach Nachschärfungen kombiniert, um ein ausgewogenes Verhältnis zwischen Innovation, Rechtssicherheit und Grundrechtsschutz zu sichern.
Für die tägliche Unternehmenspraxis ist besonders relevant, dass das Paket nicht nur technologische Zukunftsthemen adressiert, sondern auch die digitale Identität und den Nachweis- und Dokumentenaustausch. Damit geht es nicht allein um „Tech“, sondern um ganz konkrete Abläufe: Wer darf was wann sehen, wie werden Nachweise verlässlich übermittelt und wie lassen sich Vertretungs- und Bevollmächtigungsstrukturen digital abbilden. Gerade diese Punkte entscheiden darüber, ob Digitalisierungsprojekte in Buchhaltung, Einkauf, Personal und Compliance beschleunigt oder ausgebremst werden.
European Business Wallet: Digitale Identität und Nachweise sicher nutzen
Ein Kernelement des Maßnahmenpakets ist die EU-Brieftasche für Unternehmen, häufig als European Business Wallet bezeichnet. Ziel ist, Identifizierung und Authentifizierung zu ermöglichen und außerdem die sichere Weitergabe elektronischer Nachweise und Dokumente zu unterstützen. Identifizierung bedeutet dabei, dass ein Unternehmen oder eine handelnde Person als das erkannt wird, was sie vorgibt zu sein. Authentifizierung beschreibt den Vorgang, mit dem diese Identität technisch überprüft wird, etwa durch geeignete digitale Verfahren. In der Unternehmensrealität ist das die Grundlage dafür, digitale Nachweise nicht nur schnell, sondern auch belastbar auszutauschen, ohne dass Medienbrüche und manuelle Prüfschritte dominieren.
Positiv hervorzuheben ist, dass die Nutzung dieser Brieftasche auch für Selbstständige und Einzelunternehmer vorgesehen ist. Damit wird eine Zielgruppe einbezogen, die in der Praxis besonders stark von digitalen Identitäts- und Nachweislösungen profitieren kann, weil sie häufig mit begrenzten Ressourcen arbeitet und dennoch dieselben rechtlichen und organisatorischen Anforderungen erfüllen muss wie größere Einheiten. Auch für mittelständische Unternehmensgruppen kann die Brieftasche ein Hebel sein, um die Vielzahl interner und externer Berechtigungen besser zu strukturieren und den Zugriff auf Dokumente nachvollziehbar zu gestalten.
Für Steuerberatung und Finanzinstitutionen ist zudem die vorgesehene Abbildung von Vertretungs- und Bevollmächtigungsstrukturen bedeutsam. Bevollmächtigung ist die rechtliche Ermächtigung, im Namen eines anderen zu handeln, etwa wenn Mitarbeitende, externe Dienstleister oder Steuerberater bestimmte Erklärungen abgeben oder Nachweise einreichen dürfen. Wenn solche Strukturen digital abgebildet werden, kann das Reibungsverluste reduzieren, beispielsweise bei der Weitergabe von Nachweisen, der Legitimation gegenüber Dritten oder bei standardisierten Compliance-Prozessen. In der Perspektive eines Unternehmens bedeutet dies: weniger Rückfragen, weniger Papierprozesse und eine höhere Transaktionsgeschwindigkeit, ohne dass die Kontrollanforderungen zwangsläufig steigen müssen.
Gleichzeitig sollte jede Einführung solcher Wallet-Lösungen von Anfang an mit einem sauberen Rollen- und Berechtigungskonzept verknüpft werden. In der Praxis entstehen Risiken selten durch das Werkzeug selbst, sondern durch unklare Zuständigkeiten, zu weit gefasste Zugriffsrechte oder fehlende Protokollierung. Wer die European Business Wallet als Digitalisierungsbaustein nutzen möchte, sollte deshalb frühzeitig definieren, welche Nachweise übermittelt werden, wer freigibt, wer übermittelt und wie die revisionssichere Ablage in den eigenen Systemen organisiert wird.
Datenschutz und KI-Training: berechtigtes Interesse ist kein Freifahrtschein
Ein wesentlicher Kritikpunkt betrifft geplante Änderungen im Datenschutz- und Datenrechtsrahmen, insbesondere die Frage, unter welchen Voraussetzungen personenbezogene Daten für das Training von KI-Systemen verarbeitet werden dürfen. Personenbezogene Daten sind Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Die Verarbeitung umfasst jeden Umgang mit solchen Daten, etwa Erheben, Speichern, Auswerten oder Übermitteln. Das berechtigte Interesse ist ein datenschutzrechtlicher Erlaubnistatbestand, der eine Verarbeitung ermöglichen kann, wenn ein legitimes Interesse des Verarbeitenden besteht und keine überwiegenden Interessen oder Grundrechte der betroffenen Personen entgegenstehen.
Die zentrale Forderung lautet, dass die Verarbeitung personenbezogener Daten für das Training von KI-Systemen nicht pauschal unter Berufung auf das berechtigte Interesse als gerechtfertigt angesehen werden darf. Denn eine solche pauschale Privilegierung würde den Kernmechanismus der Interessenabwägung entwerten und könnte zu einer unverhältnismäßigen Einschränkung des Datenschutzrechts führen. Für Unternehmen ist diese Differenzierung von hoher praktischer Bedeutung: Sie beeinflusst, ob und unter welchen Bedingungen bestehende Datenbestände aus Kundenbeziehungen, Beschäftigungsverhältnissen oder Patientenkontexten für KI-Projekte genutzt werden können. Das gilt in besonderem Maße für Pflegeeinrichtungen und Krankenhäuser, bei denen die Daten besonders sensibel sind, aber auch für Onlinehändler mit umfangreichen Kunden- und Verhaltensdaten.
Statt einer pauschalen Rechtfertigung wird betont, dass personenbezogene Daten für Trainingszwecke vielmehr erst dann eingesetzt werden sollten, wenn alternative Maßnahmen ausgeschöpft sind, etwa die Nutzung synthetischer Daten. Synthetische Daten sind künstlich erzeugte Datensätze, die reale Muster abbilden können, ohne unmittelbar auf echte Personen zurückzuführen zu sein. Für die Praxis bedeutet das: Wer KI trainieren oder anpassen will, sollte nachweisbar prüfen, ob sich der Zweck mit datenschutzfreundlicheren Mitteln erreichen lässt. Gleichzeitig wird anerkannt, dass eine verbesserte Datenverfügbarkeit das Training von KI-Systemen und damit die Innovationsfähigkeit stärken kann. Der Ausgleich liegt damit nicht in einem pauschalen Verbot, sondern in klaren Leitplanken, die Innovation ermöglichen, ohne Grundrechtsstandards zu relativieren.
Für die Unternehmenssteuerung folgt daraus ein klarer Handlungsauftrag: KI-Projekte sind nicht nur IT-Projekte, sondern Compliance-Projekte. Bereits in der Konzeptionsphase sollten Datenquellen, Zwecke, Alternativen und Zugriffskonzepte dokumentiert werden. Das schafft Rechtssicherheit gegenüber internen Kontrollinstanzen, Geschäftspartnern und im Fall von Prüfungen auch gegenüber Aufsichtsbehörden.
KI-Kompetenzpflicht in der Praxis: Abgrenzung zwischen Anbieter und Anwender
Nach der bestehenden Fassung der KI-Verordnung müssen Anbieter und Betreiber sicherstellen, dass ihre Mitarbeiter über ein ausreichendes Maß an KI-Kompetenz verfügen. KI-Kompetenz meint dabei die Fähigkeit, KI-Systeme sachgerecht, verantwortungsvoll und unter Beachtung der Risiken und Grenzen einzusetzen. In der Praxis ist entscheidend, wie weit diese Pflicht reicht und wen sie konkret trifft. Gefordert wird eine Begrenzung des Anwendungsbereichs und eine Klarstellung, dass Unternehmen und Kanzleien, die bestehende KI-Systeme lediglich nutzen, von dieser Verpflichtung ausgenommen werden sollen. Damit wird eine Abgrenzung zwischen der Entwicklung oder dem Bereitstellen von KI auf der einen Seite und dem bloßen Anwenden standardisierter Lösungen auf der anderen Seite angestrebt.
Gerade für kleine und mittelständische Unternehmen ist diese Differenzierung wichtig, weil sie typischerweise keine KI-Systeme anbieten, sondern Tools einkaufen und in Prozesse integrieren, etwa für Textentwürfe, Klassifikation von Belegen oder interne Wissenssuche. Würde die Kompetenzpflicht ohne Differenzierung greifen, könnte das zu unverhältnismäßigem Schulungs- und Dokumentationsaufwand führen, der Innovation eher bremst als fördert. Gleichzeitig bleibt der praktische Kern bestehen: Auch wenn eine formale Gleichstellung mit Anbietern abgelehnt wird, liegt es im Interesse der Unternehmen und Kanzleien, Mitarbeitende im Umgang mit KI bestmöglich zu qualifizieren, um eine sachgerechte und verantwortungsvolle Nutzung sicherzustellen.
Für Finanzinstitutionen und Steuerberatung ergibt sich daraus eine doppelte Perspektive. Einerseits ist die Erwartung nachvollziehbar, dass der europäische Rechtsrahmen typische Anwendersituationen nicht mit Anbieterpflichten überfrachtet. Andererseits steigt die Bedeutung interner Leitlinien: Welche Aufgaben dürfen mit KI unterstützt werden, wo sind Kontrollschritte zwingend, wie werden Ergebnisse dokumentiert und wie wird mit sensiblen Daten umgegangen. Wer diese Leitlinien in die bestehenden Prozesse einbettet, kann KI produktiv nutzen, ohne neue Haftungs- und Reputationsrisiken zu eröffnen.
Im Ergebnis zeichnet sich ab, dass das Vereinfachungspaket nicht nur technische Neuerungen bringt, sondern die Governance-Fragen in den Mittelpunkt rückt: digitale Identitäten, belastbare Nachweise, Datenschutzgrenzen und Kompetenzanforderungen. Unternehmen, die diese Themen frühzeitig in ihre Digitalstrategie integrieren, werden schneller von den Chancen profitieren, während Nachzügler mit Ad-hoc-Anpassungen und uneinheitlichen Prozesslösungen rechnen müssen. Wenn Sie die Einführung digitaler Nachweis- und Datenprozesse strukturiert angehen möchten, begleiten wir als Kanzlei kleine und mittelständische Unternehmen mit Fokus auf Digitalisierung und Prozessoptimierung in der Buchhaltung, um Abläufe zu verschlanken und spürbare Kostenersparnisse zu realisieren.
Gerichtsentscheidung lesen
