Was ist der Digital Omnibus?
Ein Omnibus ist im EU-Recht ein Sammelgesetz: Ein Vorhaben ändert viele Gesetze auf einmal. Am 19. November 2025 legte die Kommission so ein Paket für Digitalregeln vor. Das Ziel heißt Vereinfachung. Es besteht aus zwei getrennten Verfahren, und genau das sorgt für Verwirrung:
Teil
Stand
Digital Omnibus on AI
Gesetz, in Kraft seit 27. Juli 2026
Digital Omnibus (DSGVO, Cookies, Data Act)
Entwurf, gilt nicht
Für dich heißt das: DSGVO und § 25 TDDDG gelten unverändert. Solange nichts beschlossen ist, änderst du deswegen nichts an Banner oder Tracking.
Was gilt schon bei der KI-Verordnung?
Die Verordnung (EU) 2026/1744 hat die KI-Verordnung angepasst. Für Marketing zählen drei Punkte:
- Hochrisiko-Regeln später: Die Pflichten nach Anhang III kommen am 2. Dezember 2027, die nach Anhang I am 2. August 2028.
- KI-Kompetenz weicher: Art. 4 bleibt. Du musst Maßnahmen ergreifen, ein bestimmtes Niveau je Person wird aber nicht mehr verlangt.
- Kennzeichnung durch Anbieter: Generative Systeme, die schon vor dem 2. August 2026 am Markt waren, müssen Art. 50 Abs. 2 bis zum 2. Dezember 2026 erfüllen. Das trifft die Anbieter, nicht dich als Nutzer.
Was ist bei Cookies und DSGVO geplant?
Hier gibt es einen Vorschlag der Kommission und seit dem 21. Oktober 2026 ein Mandat des Rates. Das ist die Verhandlungsposition der Mitgliedstaaten. Das Parlament hat noch keine Position, im Ausschuss ist die Abstimmung für Anfang 2027 geplant. Danach folgt der Trilog, also die Verhandlung der drei Organe. Stand heute will der Rat Folgendes:
- Einwilligung bleibt die Regel. Es gibt sechs abschließende Ausnahmen, darunter anonyme Reichweitenmessung durch den Anbieter selbst, technische Sicherheit und die Messung rein kontextueller Werbung.
- Ablehnen wird einfacher: ein Klick oder etwas Gleichwertiges. Nach einer Ablehnung gilt für denselben Zweck mindestens vier Monate Ruhe.
- Browser-Signale: Die zentrale Einstellung im Browser aus dem Kommissionsvorschlag soll laut Fachbeiträgen zum Mandat entfallen. Stattdessen soll die Kommission einen Bericht liefern.
- Personenbezug: Die Definition bleibt. Neu wäre: Pseudonymisierte Daten gelten für einen Dritten nicht als personenbezogen, wenn er niemanden identifizieren kann.
- KI-Training: Berechtigtes Interesse wäre als Grundlage möglich, mit Abwägung und normalem Widerspruchsrecht.
Selbst nach einer Einigung geht es nicht sofort los. Der Rat sieht für die Cookie-Regeln 24 Monate Vorlauf nach der Annahme vor. Eine Fachkanzlei erwartet das Inkrafttreten nicht vor 2027. Vor 2029 dürftest du also kaum damit arbeiten, das ist aber unsere Rechnung und keine Zusage.
Die Aufsichtsbehörden sind kritisch. Der Europäische Datenschutzausschuss und der Europäische Datenschutzbeauftragte drängten im Februar 2026 darauf, die Definition personenbezogener Daten nicht anzutasten. Browser-Signale begrüßten sie ausdrücklich. Das Thema ist also noch nicht durch.
Häufige Fehler
Fehler 1 · „Der Omnibus ist beschlossen“
Nur der KI-Teil ist es. Überschriften werfen beides gern in einen Topf. Frag bei jeder Meldung: Welcher Teil, und auf welcher Stufe?
Fehler 2 · „Cookie-Banner fallen weg“
Sie würden nur für wenige Technologien entfallen. Die Behauptung, Banner verschwänden auf 60 % aller Websites, stammt von einem Anbieter und ist nicht belegt.
Fehler 3 · „Pseudonyme Daten sind künftig frei“
Das gälte nur für Dritte, die niemanden identifizieren können. Ein Anbieter von Werbe-Cookies ist typischerweise nicht in dieser Lage.
Fehler 4 · „KI-Training mit Kundendaten ist jetzt erlaubt“
Nichts davon gilt bisher. Und auch im Entwurf bleiben Abwägung und Widerspruch Pflicht.
Was du jetzt tun solltest
- Nichts abbauen: Dein Banner bleibt, wie er rechtlich sein muss.
- Aufräumen: Ordne Cookies, Pixel und SDKs nach Zweck. Das brauchst du ohnehin.
- Vorbereiten: Bietet dein Tool Ablehnen auf der ersten Ebene? Lässt sich eine Sperrfrist einstellen?
- Datensparsam messen: Prüf, ob ein Analyse-Setup ohne Weitergabe an Dritte für dich reicht.
- KI-Pflichten erfüllen: Die sind schon jetzt aktuell.
Häufige Fragen
Gilt der Digital Omnibus schon?
Nur der KI-Teil, seit dem 27. Juli 2026. Der Teil zu DSGVO, Cookies und Data Act ist ein Entwurf. Dort gilt das bisherige Recht weiter.
Muss ich meinen Cookie-Banner jetzt ändern?
Wegen des Omnibus nicht. Dein Banner muss das heutige Recht erfüllen, also vor allem § 25 TDDDG und die DSGVO. Ein gut sichtbares Ablehnen ist trotzdem jetzt schon eine gute Idee.
Was ändert sich bei der KI-Verordnung für mein Unternehmen?
Für die meisten wenig. Hochrisiko-Pflichten kommen später, die Kompetenz-Pflicht nach Art. 4 ist weicher formuliert, gilt aber weiter. Wer KI im Marketing einsetzt, sollte Schulungen weiter dokumentieren.
Was ist der Unterschied zur ePrivacy-Verordnung?
Die ePrivacy-Verordnung war ein älteres, eigenes EU-Vorhaben. Der Digital Omnibus ändert stattdessen die bestehende ePrivacy-Richtlinie. In Deutschland ist deren Umsetzung das TDDDG.
