Digital Omnibus: EU-Rat will Reichweitenmessung ohne Cookie-Einwilligung erlauben

Am 21. Oktober 2026 hat sich der Rat der Europäischen Union auf eine gemeinsame Verhandlungsposition zum Digital Omnibus geeinigt. Der Beschluss sieht vor, dass Cookie-Banner im Internet grundsätzlich erhalten bleiben, jedoch durch zusätzliche Ausnahmen von der bisherigen Einwilligungspflicht ergänzt werden.

Die spezifischen Bestimmungen für das Speichern und Auslesen von Informationen auf Endgeräten sollen weiterhin in der ePrivacy-Richtlinie verankert bleiben.

Ausnahmen bei Messungen und Vorgaben für Einwilligungsfristen

Nach dem Willen des Rates sollen künftig mehrere Datenverarbeitungen ohne vorherige Zustimmung der Nutzer zulässig sein. Dazu zählen die technische Erforderlichkeit des Dienstes, die reine Reichweitenmessung sowie Maßnahmen zur Gewährleistung der Gerätesicherheit.

Die neuen EU-Vorgaben fordern von Unternehmen eine präzise Dokumentation aller Datenverarbeitungsprozesse, um rechtssicher zu agieren. Mit dieser kostenlosen Excel-Vorlage erstellen Sie Ihr notwendiges Verzeichnis der Verarbeitungstätigkeiten zeitsparend und gesetzeskonform. Kostenlose Muster-Vorlage und Schritt-für-Schritt-Anleitung jetzt gratis herunterladen

Gleichzeitig formuliert der Rat strengere Vorgaben für die Gestaltung verbleibender Banner: Website-Betreiber müssen zwingend eine direkte Ablehnung mit nur einem Klick bereitstellen.

Verweigern Nutzer ihre Zustimmung, gilt künftig eine Sperrfrist von mindestens vier Monaten, bevor Betreiber erneut nach einer Einwilligung fragen dürfen. Die Europäische Kommission hatte in ihrem ursprünglichen Entwurf noch eine Frist von sechs Monaten vorgeschlagen.

Eine Pflicht zur automatischen Beachtung von Browser-Signalen zur Einwilligungsverweigerung strich der Rat hingegen aus seinem Textentwurf. Branchenbeobachter kritisierten diese Streichung, da eine zentrale Voreinstellung im Browser die Bannerflut hätte beenden können. Ohne diese Vorgabe bestehe das Risiko, dass Ablehnungsoptionen weiterhin unauffällig gestaltet werden und die Zustimmungsquoten für Werbetracking hoch bleiben.

Anpassungen der DSGVO und Regelungen für KI-Entwicklung

Das verabschiedete Verhandlungsmandat zum sogenannten Omnibus VII, dessen Text am 22. Oktober 2026 nach vorbereitenden Arbeiten im Ausschuss der Ständigen Vertreter ab dem 7. Oktober 2026 veröffentlicht wurde, umfasst auch Änderungen an der Datenschutz-Grundverordnung (DSGVO). Den Vorschlag der Europäischen Kommission, die rechtliche Definition personenbezogener Daten zu überarbeiten, lehnte der Rat ab.

Allerdings unterstützt das Gremium die Festschreibung des berechtigten Interesses als Rechtsgrundlage für die Verarbeitung personenbezogener Daten beim Trainieren und Betreiben von Systemen künstlicher Intelligenz. Zudem könnten pseudonymisierte Datensätze für solche Dritte als nicht personenbezogen gewertet werden, die über keinerlei Mittel zur Re-Identifizierung der betroffenen Personen verfügen.

Während die Politik den rechtlichen Rahmen für künstliche Intelligenz weiter formt, müssen Firmen die bestehenden Risikoklassen und Kennzeichnungspflichten bereits heute im Blick behalten. Dieser kompakte Umsetzungsleitfaden liefert Ihnen alle wichtigen Fristen und Pflichten der EU-KI-Verordnung auf einen Blick. Kostenlosen Report zur KI-Verordnung jetzt herunterladen

Für Meldungen von Datenschutzverstößen sieht die Position des Rates eine Frist von 96 Stunden vor, die zudem auf Vorfälle mit hohem Risiko beschränkt werden soll. Anstelle einer zentralen EU-weiten Plattform sollen Betreiber dafür weiterhin nationale Meldeportale nutzen. Der bestehende Bußgeldrahmen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes bleibt in der Ratsposition unverändert.

Weiterer Zeitplan und Fortgeltung des bestehenden Rechts

Bis zum 6. November 2026 hatte das Europäische Parlament noch keine eigene Verhandlungsposition verabschiedet. Daher haben die Trilog-Verhandlungen zwischen Parlament, Rat und Kommission noch nicht begonnen; mit deren Start wird für das Frühjahr 2027 gerechnet. Im Rahmen dieser Verhandlungen könnte das Parlament auch das zuvor gestrichene Browser-Signal erneut einbringen.

Bis zu einer Einigung im Gesetzgebungsverfahren und dem anschließenden Inkrafttreten gilt die aktuelle Rechtslage fort. In Deutschland greifen weiterhin die Vorgaben des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), nach denen Cookies und Tracking-Technologien abseits technisch unbedingt erforderlicher Funktionen der ausdrücklichen Einwilligung bedürfen. Juristen rechnen mit einem Inkrafttreten der überarbeiteten EU-Regelungen frühestens im Jahr 2027.