Kurz gesagt: Die Mitgliedstaaten haben ihre gemeinsame Linie zum „Digital Omnibus“ gefunden. Für Unternehmen bringt das spürbare Änderungen im Datenschutz, beim Cookie-Banner und bei Meldungen von Vorfällen. Noch ist nichts umzustellen, aber jetzt ist die Zeit zu planen.
Worum es geht
Brüssel, 21. Oktober 2026. Der Ausschuss der Ständigen Vertreter (AStV) hat das Mandat des Rates für die Verhandlungen mit dem Europäischen Parlament beschlossen (Pressemitteilung des Rates). Das Ziel: weniger Bürokratie, klarere Regeln, gleiches Schutzniveau. Die wichtigsten Punkte der Ratsposition:
- Relativer Personenbezug: Daten sind für ein Unternehmen nicht personenbezogen, wenn es die Person mit vernünftigen Mitteln nicht identifizieren kann. Dass ein späterer Empfänger das könnte, ändert daran nichts. Das ist wichtig für pseudonymisierte Daten.
- Datenpannen: Gemeldet werden muss nur noch bei voraussichtlich hohem Risiko. Die Frist steigt von 72 auf 96 Stunden. Gemeldet wird künftig über eine nationale Anlaufstelle (Art. 23b NIS-2). Eine zentrale EU-Plattform sieht der Rat nicht vor. Der EDSA soll ein Meldeformular und Listen typischer Hoch-Risiko-Fälle erarbeiten.
- Cookies und Endgeräte: Die Regeln wandern aus der ePrivacy-Richtlinie in die DSGVO (Art. 88a). Reichweitenmessung nur für den eigenen Dienst und Sicherheitszwecke sind ohne Einwilligung erlaubt. Ablehnen muss mit einem Klick möglich sein. Nach einer Ablehnung darf der Anbieter mindestens sechs Monate nicht erneut fragen. Später kommen maschinenlesbare Einwilligungssignale, zum Beispiel über den Browser.
- KI-Entwicklung: Für Training und Betrieb von KI-Systemen ist berechtigtes Interesse ausdrücklich als Rechtsgrundlage möglich. Voraussetzungen sind Interessenabwägung, Schutzmaßnahmen und ein Widerspruchsrecht. Werden besondere Kategorien personenbezogener Daten unbeabsichtigt mitverarbeitet („Residualdaten“), müssen sie gelöscht oder wirksam abgeschirmt werden.
- Betroffenenrechte: Missbräuchliche Auskunftsersuchen, etwa um Schadensersatz zu erzwingen, dürfen abgelehnt werden. Den Missbrauch muss der Verantwortliche nachweisen.
- Weniger Informationspflichten: Bei einfachen, nicht datenintensiven Geschäftsbeziehungen mit geringem Risiko können Informationspflichten entfallen.
- DSFA: Es soll EU-weit einheitliche Listen geben, wann eine Datenschutz-Folgenabschätzung nötig ist und wann nicht.
- Data Act als zentrales Datengesetz: Data Governance Act, die Free-Flow-Verordnung und die Open-Data-Richtlinie gehen im Data Act auf. Bei Cloud-Wechselpflichten gibt es Erleichterungen für KMU und kleine Mid-Caps.
Mit dem Mandat startet der Rat in die Trilog-Verhandlungen mit dem Europäischen Parlament und der Kommission. Der Text kann sich also noch ändern. Einzelne Regeln sollen gestaffelt gelten, zum Beispiel die Cookie-Regeln sechs Monate nach Inkrafttreten und die Browser-Pflichten nach 48 Monaten.
Wer betroffen ist
Praktisch alle Unternehmen, die personenbezogene Daten verarbeiten: besonders wer eine Website mit Cookie-Banner betreibt, Datenpannen melden muss oder KI-Projekte plant.
Was jetzt zu tun ist
Unternehmen sollten jetzt noch nichts umstellen, aber planen. Drei Themen sind aus meiner Sicht besonders wichtig:
- Prozess für Datenpannen: Risikobewertung und Meldeweg im Blick behalten.
- Consent-Management: Cookie-Banner und Einwilligungen auf die neuen Regeln vorbereiten.
- Rechtsgrundlagen für KI-Projekte: Interessenabwägung, Schutzmaßnahmen und Widerspruchsrecht einplanen.
Fazit
Der Digital Omnibus ist noch nicht beschlossen, aber die Richtung ist klar – wer jetzt plant, muss später nicht hektisch umstellen.
Sie möchten das in Ihrem Unternehmen angehen?
Ich unterstütze Sie persönlich – von der ersten Einschätzung bis zur Umsetzung.
Stand: November 2026. Der Beitrag beruht auf dem Verhandlungsmandat des Rates (Ratsdokument ST 14756/26); der endgültige Gesetzestext kann abweichen. Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall.