Digital Omnibus: Was die EU bei DSGVO und Cookie-Regeln ändern will
Datenschutzrecht · Datenrecht · EU-Kommission, Digital Omnibus · 19. November 2025
Am 19. November 2025 hat die EU-Kommission ihr Paket „Digital Omnibus“ vorgelegt. Neben Anpassungen am AI Act enthält es weitreichende Vorschläge zur DSGVO, zu den Cookie-Regeln und zur Bündelung des europäischen Datenrechts. Ein Jahr später ist der datenschutzrechtliche Teil noch nicht verabschiedet; die Positionen der Mitgliedstaaten weichen in wichtigen Punkten vom Kommissionsentwurf ab.
- Kernthemen: Begriff der personenbezogenen Daten, Meldepflichten bei Datenpannen, Cookie-Einwilligung, KI-Training und Konsolidierung des Datenrechts im Data Act.
- Der Rat hat am 21. Oktober 2026 sein Verhandlungsmandat beschlossen; das Europäische Parlament hat noch keine Position.
- Bis zu einer Einigung gelten DSGVO, ePrivacy-Richtlinie und TDDDG unverändert.
Die Vorschläge der Kommission
Die Kommission wollte den Begriff der personenbezogenen Daten stärker aus der Sicht der jeweils verarbeitenden Stelle bestimmen, sodass pseudonymisierte Daten für Empfänger ohne realistische Identifizierungsmöglichkeit aus dem Anwendungsbereich fallen könnten. Datenpannen sollten erst ab einem höheren Risiko an die Aufsicht zu melden sein, und zwar über eine zentrale Meldestelle, die auch Meldungen nach NIS2, DORA und weiteren Rechtsakten bündelt. Für das Training von KI-Systemen schlug sie eine ausdrückliche Anknüpfung an das berechtigte Interesse vor, flankiert durch ein Widerspruchsrecht.
Besonders praxisrelevant sind die Cookie-Regeln: Der Zugriff auf Endgeräte sollte in die DSGVO überführt werden, ergänzt um einwilligungsfreie Zwecke wie bestimmte Reichweitenmessung und Sicherheit, eine Ablehnung mit einem Klick und die Berücksichtigung automatisierter Signale aus Browsern. Data Governance Act, Verordnung über den freien Verkehr nicht-personenbezogener Daten und Open-Data-Richtlinie sollen weitgehend im Data Act aufgehen.
Stand des Verfahrens
Der KI-Teil des Pakets wurde als eigene Verordnung bereits beschlossen und im Juli 2026 verkündet. Beim Datenteil ist die Lage offen: Der Rat hält in seinem Mandat am bisherigen Begriff der personenbezogenen Daten fest und ergänzt lediglich Regeln zur Pseudonymisierung. Die Cookie-Vorgaben will er in der ePrivacy-Richtlinie belassen, die Browser-Signal-Pflicht streichen und eine abschließende Liste einwilligungsfreier Zwecke vorsehen. Bei Datenpannen unterstützt er eine höhere Meldeschwelle und eine Frist von 96 Stunden, setzt aber auf nationale statt einer EU-weiten Meldestelle. Im Parlament liegt ein Berichtsentwurf der federführenden Ausschüsse vor; die Abstimmung wird für Anfang 2027 erwartet.
Der Omnibus kann vieles erleichtern – bis zur Einigung gilt aber jede heutige Pflicht unverändert fort.
- Bestehende Consent- und Meldeprozesse beibehalten, aber Anpassungsbedarf vormerken
- Pseudonymisierungskonzepte dokumentieren, da sie an Bedeutung gewinnen dürften
- Rechtsgrundlagen für KI-Training unabhängig vom Omnibus belastbar begründen
Quelle: EU-Kommission, Vorschlag für eine Digital-Omnibus-Verordnung (COM(2025) 837) ↗
Fragen zu diesem Thema?
Wir begleiten Unternehmen bei der Anpassung ihrer Datenschutz-Compliance an neue europäische Vorgaben.
Beratung anfragen ↗Redaktionsstand: 9. November 2026. Der Beitrag gibt einen allgemeinen Überblick und ersetzt keine Beratung im Einzelfall.
Mehr zum Rechtsgebiet