Die Europäische Kommission schlägt in ihrem 4. Omnibus-Paket vor, dass die neue Kategorie der „Small Midcap Companies“ kein Verarbeitungsverzeichnis gemäß Art 30 Abs 5 DSGVO führen muss, sofern ihre Datenverarbeitungen kein hohes Risiko darstellen. Damit verkennt sie, dass das Verarbeitungsverzeichnis Unternehmen in Wahrheit hilft, sich der eigenen Datenverarbeitungen bewusst zu werden und richtige datenschutzrechtliche Entscheidungen zu treffen. Beides ist notwendig, damit es unter anderem zu einem sinnvollen und sicheren Einsatz von KI-Anwendungen kommen kann. Außer Acht lässt der Vorschlag, dass die angedachte Ausnahmeregelung die Rechte von Betroffenen einschränkt und die Rechtsdurchsetzung erschwert.