top of page
Suche

Digital-Omnibus: Was sich bei DSGVO und Cookies ändern soll

Autorenbild: BGfD Bayreuther Ges. für Datenschutz mbH
BGfD Bayreuther Ges. für Datenschutz mbH
vor 18 Stunden
4 Min. Lesezeit

Bayreuth, 09.11.2026 – Seit die Europäische Kommission am 19.11.2025 ihren „Digital-Omnibus“ vorgestellt hat, ist in vielen Medien von einer großen DSGVO-Reform die Rede. In unserer Beratung fragen Geschäftsführer zunehmend, ob sie Datenschutzprozesse schon zurückfahren können. Die kurze Antwort lautet: nein. Der Vorschlag ist noch nicht beschlossen, und der Rat der EU hat einige Pläne der Kommission bereits deutlich abgeschwächt.


Drei Pakete, drei Verfahrensstände

Unter dem Schlagwort „Omnibus“ laufen mehrere Gesetzgebungsverfahren, die man auseinanderhalten sollte:

  • Der Digital-Omnibus (COM(2025) 837, Verfahren 2025/0360(COD)) betrifft unter anderem die DSGVO, die Cookie-Regeln der ePrivacy-Richtlinie und den Data Act. Er befindet sich noch in der Beratung.

  • Der Digital-Omnibus zur KI ist bereits beschlossen. Er wurde als Verordnung (EU) 2026/1744 am 24.07.2026 im Amtsblatt veröffentlicht und ändert die KI-Verordnung, nicht die DSGVO.

  • Das Omnibus-IV-Paket vom 21.05.2025 (COM(2025) 501) enthält unter anderem eine Erleichterung beim Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO.



Was die Kommission bei DSGVO und Cookies vorgeschlagen hat

Der Kommissionsvorschlag vom 19.11.2025 enthält vor allem folgende Punkte:

  • Begriff der personenbezogenen Daten: Informationen sollen für eine Stelle nicht personenbezogen sein, wenn ihr keine vernünftigerweise einsetzbaren Mittel zur Identifizierung der Person zur Verfügung stehen.

  • Künstliche Intelligenz: Die DSGVO soll ausdrücklich klarstellen, dass Entwicklung und Betrieb von KI auf berechtigte Interessen gestützt werden können.

  • Datenpannen: Eine Meldung an die Aufsichtsbehörde soll nur noch bei voraussichtlich hohem Risiko erforderlich sein. Die Frist soll von 72 auf 96 Stunden steigen, gemeldet werden soll über eine zentrale EU-Meldestelle.

  • Betroffenenrechte: Ausnahmen von den Informationspflichten, wenn Betroffene die Informationen bereits haben, sowie die Möglichkeit, missbräuchliche Auskunftsersuchen abzulehnen.

  • Cookies: Überführung der Regeln in die DSGVO, einwilligungsfreie Ausnahmen etwa für Reichweitenmessung und Sicherheit, Ablehnung mit einem Klick, sechs Monate Sperrfrist nach einer Ablehnung und Einwilligungssignale über den Browser.



Wo das Verfahren im November 2026 steht

Der Rat hat am 21.10.2026 seine Verhandlungsposition festgelegt. Nach ersten Auswertungen in der Fachliteratur weicht diese in wesentlichen Punkten vom Kommissionsvorschlag ab:

  • Die Definition personenbezogener Daten bleibt unverändert. Neu geregelt wird nur, dass pseudonymisierte Daten für einen Empfänger, der die Personen nicht identifizieren kann, nicht als personenbezogen gelten.

  • KI-Entwicklung und KI-Betrieb sollen auf berechtigte Interessen gestützt werden können. Ein berechtigtes Interesse liegt aber nicht automatisch vor, sondern ist im Einzelfall zu prüfen.

  • Bei Datenpannen übernimmt der Rat die Schwelle des hohen Risikos und die 96-Stunden-Frist. Die zentrale EU-Meldestelle hat er gestrichen.

  • Die Cookie-Regeln bleiben in der ePrivacy-Richtlinie. Die Ablehnung mit einem Klick soll Pflicht werden, die Sperrfrist nach einer Ablehnung vier Monate betragen. Die verpflichtenden Browser-Signale entfallen.


Das Europäische Parlament hat noch keine Position. Nach dem Legislative Observatory des Parlaments wartet das Verfahren auf die Entscheidung des federführenden Industrieausschusses (ITRE). Der Berichtsentwurf liegt seit dem 22.06.2026 vor, im Juli 2026 wurden zahlreiche Änderungsanträge eingereicht. Erst nach der Parlamentsposition können die Trilogverhandlungen beginnen. Wir rechnen deshalb nicht vor 2027 mit einem Abschluss. Bleibt es bei einer Änderung der ePrivacy-Richtlinie, kommt für die Cookie-Regeln noch eine Umsetzungsfrist für die Mitgliedstaaten hinzu.


Omnibus IV: Erleichterung beim Verarbeitungsverzeichnis

Die Kommission hat am 21.05.2025 vorgeschlagen, die Ausnahme von der Pflicht zum Verzeichnis von Verarbeitungstätigkeiten auf Unternehmen und Organisationen mit weniger als 750 Beschäftigten auszuweiten, sofern die Verarbeitung voraussichtlich kein hohes Risiko birgt. Heute liegt die Grenze bei 250 Beschäftigten, und die Ausnahme greift unter anderem dann nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt. In der Praxis betrifft das fast jedes Unternehmen, etwa wegen der Lohnabrechnung.

Parlament und Rat haben sich im Juni 2026 vorläufig auf das Paket geeinigt. Die Abstimmung im Plenum ist nach dem Legislative Observatory des Parlaments vorläufig für den 23.11.2026 angesetzt, danach muss der Rat förmlich zustimmen. In Kraft ist die Änderung also noch nicht. Ob es bei der Schwelle von 750 Beschäftigten bleibt, ergibt sich erst aus dem endgültigen Text. Den genauen Wortlaut zu Art. 30 DSGVO sollten Unternehmen nach der Veröffentlichung im Amtsblatt prüfen.


Was bis zum Inkrafttreten gilt

Bis zur Veröffentlichung im Amtsblatt gilt die DSGVO unverändert. Datenpannen sind innerhalb von 72 Stunden zu melden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko. Die Informationspflichten nach Art. 13 und 14 DSGVO und die Verzeichnispflicht nach Art. 30 DSGVO gelten in ihrer heutigen Form. Für Cookies bleibt § 25 TDDDG maßgeblich: Ohne Einwilligung ist der Zugriff auf Endgeräte nur zulässig, wenn er unbedingt erforderlich ist. Aufsichtsbehörden und Gerichte wenden das geltende Recht an. Der Hinweis auf geplante Erleichterungen schützt weder vor Bußgeldern noch vor Schadensersatzforderungen.


Was Unternehmen jetzt tun sollten

  1. Keine Prozesse abbauen: Meldeprozess für Datenpannen, Verarbeitungsverzeichnis und Cookie-Einwilligung bleiben bis auf Weiteres Pflicht.

  2. Verzeichnis weiter pflegen: Auch wenn die Pflicht künftig für mehr Unternehmen entfällt, bleibt das Verzeichnis die Grundlage für Datenschutzhinweise, Auskünfte und die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.

  3. Cookie-Banner prüfen: Die Ablehnung sollte schon heute so einfach sein wie die Zustimmung.

  4. Pseudonymisierung dokumentieren: Datenweitergaben in pseudonymisierter Form könnten künftig leichter zu begründen sein, wenn die Maßnahmen sauber dokumentiert sind.

  5. Verfahren beobachten: Entscheidend ist die Position des Parlaments. Erst danach lässt sich absehen, welche Erleichterungen tatsächlich kommen.


Wir behalten das Verfahren für Sie im Blick und unterstützen Sie gern dabei, Ihre Datenschutzorganisation rechtzeitig an die neuen Regeln anzupassen.


Quellen


 
 
 

Kommentare

bottom of page