Digital Omnibus: Was die EU bei Cookies, Daten und KI ändert – Stand Oktober 2026

Die Europäische Kommission hat am 19. November 2025 vorgeschlagen, die über Jahre gewachsene digitale Regulierung der EU deutlich zu verschlanken (sogenannter Digital Omnibus). Im Mittelpunkt stehen Vereinfachungen im Datenschutzrecht, in der Cybersicherheit und bei Regeln zur Künstlichen Intelligenz. Besonders die ungeliebten Cookie-Banner könnten auf vielen Webseiten seltener werden. Hintergrund ist der Wunsch, Bürokratie abzubauen und Unternehmen wie Behörden spürbar zu entlasten.

Welche Regeln angepasst werden sollen

Die Pflicht, vor dem Setzen nicht notwendiger Cookies eine Einwilligung einzuholen, folgt bislang aus der ePrivacy-Richtlinie (in Deutschland § 25 TDDDG), nicht aus der Datenschutz-Grundverordnung. Der Kommissionsvorschlag will diese Regeln, soweit personenbezogene Daten betroffen sind, in die DSGVO überführen (neue Art. 88a und 88b), Ausnahmen etwa für die eigene Reichweitenmessung schaffen und Einwilligungen bzw. Ablehnungen über automatisierte Browsersignale ermöglichen.

Zudem soll der Begriff der personenbezogenen Daten relativ bestimmt werden: Informationen sollen für eine Stelle nicht personenbezogen sein, wenn sie die betroffene Person mit vernünftigerweise verfügbaren Mitteln nicht identifizieren kann. Der Vorschlag lehnt sich damit an das Urteil des EuGH vom 4. September 2025 (C-413/23 P, EDSB/SRB) an. Datenschutzverletzungen sollen der Aufsichtsbehörde nur noch bei voraussichtlich hohem Risiko und innerhalb von 96 statt 72 Stunden gemeldet werden müssen. Außerdem sollen der Data Governance Act, die Verordnung über den freien Verkehr nicht-personenbezogener Daten und die Open-Data-Richtlinie in den Data Act überführt werden. Das Auskunftsrecht nach Art. 15 DSGVO bleibt in der DSGVO; für missbräuchliche Anträge ist eine Erleichterung vorgesehen.

Auch für künstliche Intelligenz wie ChatGPT oder Gemini sollten klarere und zugleich weniger komplexe Verpflichtungen gelten. Dieser Teil ist inzwischen beschlossen: Die Verordnung (EU) 2026/1744 wurde am 24. Juli 2026 im Amtsblatt veröffentlicht und ist am 27. Juli 2026 in Kraft getreten. KI-Systeme mit hohem Risiko bleiben streng reguliert, die Pflichten gelten aber später: für Hochrisiko-Systeme nach Anhang III ab 2. Dezember 2027, für KI in Produkten nach Anhang I ab 2. August 2028. Die Verbote gelten weiter und wurden um Verbote für sexualisierte Deepfakes ohne Einwilligung und Darstellungen sexuellen Kindesmissbrauchs ergänzt. Die Pflicht zur KI-Kompetenz (Art. 4) wurde abgeschwächt: Anbieter und Betreiber müssen die KI-Kompetenz ihres Personals nun unterstützen, ein bestimmtes Niveau aber nicht sicherstellen. Zudem sollen zahlreiche weitere digitale EU-Vorschriften vereinheitlicht oder kombiniert werden, etwa durch eine zentrale Meldestelle für Sicherheitsvorfälle.

Warum die EU (erst) jetzt reagiert

Die geplanten Änderungen gehören zu einem Paket von sogenannten „Omnibussen“, bei denen mehrere EU-Gesetze zusammengefasst und vereinfacht werden. Hintergrund ist politischer Druck: Unter anderem Deutschland und Frankreich hatten gefordert, die wachsende Regulierungsdichte im Digitalbereich abzubauen. Europas Wirtschaft, so die Kritik, werde durch parallele Berichts- und Dokumentationspflichten belastet. Große Digitalkonzerne hatten ebenfalls auf Entlastung gedrängt, weil sie die EU-Regeln als widersprüchlich und wettbewerbsfeindlich beurteilen.

Was Kritiker und Verbraucherschützer sagen

Datenschutz- und Verbraucherorganisationen reagieren überwiegend kritisch. Sie warnen davor, dass die EU der Tech-Lobby zu sehr entgegenkommt und damit den Schutz der Bürgerinnen und Bürger schwächt. Besonders bemängelt wird, dass wichtige Sicherheits- und Transparenzpflichten für Unternehmen aufgeweicht werden könnten. Auch im EU-Parlament gibt es Widerstand: Einige Abgeordnete befürchten, dass Vereinfachungen zu Lasten der digitalen Rechte der Bevölkerung gehen.

Stand des Verfahrens im Oktober 2026

Der Daten- und DSGVO-Teil ist noch nicht beschlossen. Der Rat hat am 21. Oktober 2026 seine Verhandlungsposition festgelegt. Danach sollen die Cookie-Regeln nicht in die DSGVO wandern, sondern in Art. 5 Abs. 3 der ePrivacy-Richtlinie bleiben, ergänzt um eine abschließende Liste einwilligungsfreier Zwecke; wer Cookies abgelehnt hat, soll frühestens nach vier Monaten erneut gefragt werden dürfen. Die relative Definition personenbezogener Daten übernimmt der Rat nicht, er setzt stattdessen auf eine eigene Regelung zur Pseudonymisierung. Das Europäische Parlament hat seine Position noch nicht festgelegt; in den zuständigen Ausschüssen (ITRE und LIBE) liegen über 1 750 Änderungsanträge vor. Die Trilog-Verhandlungen beginnen erst, wenn beide Positionen stehen. Bis zu einer Einigung gelten DSGVO, ePrivacy-Richtlinie und § 25 TDDDG unverändert.

Mögliche Auswirkungen

Sollten die vorgeschlagenen Vereinfachungen umgesetzt werden, hätte dies weitreichende Folgen.

Erstens könnten Webseiten nutzerfreundlicher werden, wenn weniger Cookie-Einwilligungen abgefragt werden müssen. Zweitens würden Unternehmen weniger Dokumentations- und Meldepflichten erfüllen müssen, was ihre internen Prozesse beschleunigen und Kosten senken dürfte. Drittens besteht jedoch das Risiko, dass Transparenz und individueller Datenschutz zurückgehen, wenn Kontrollrechte abgeschwächt werden oder Datenverarbeitungen weniger streng geprüft werden müssen. Für KI-Unternehmen könnte die Reform nach unserer Einschätzung neue Spielräume eröffnen, sofern die reduzierten Auflagen tatsächlich mehr Planungssicherheit schaffen.

Insgesamt steht Europa damit vor der Aufgabe, einen Mittelweg zu finden: Die digitale Wirtschaft entlasten, ohne den Schutz personenbezogener Daten und die Grundrechte der Menschen zu gefährden.