Viele Unternehmer haben darauf gehofft: Die EU schafft die Cookie-Banner ab, und mit ihnen ein Stück Bürokratie auf jeder Website. Nach dem aktuellen Stand der Verhandlungen wird daraus vorerst nichts. Dafür bewegt sich an anderer Stelle etwas, das für Unternehmen mit KI-Plänen deutlich wichtiger werden könnte.
Die Botschafter:innen der 27 EU-Mitgliedstaaten haben in den vergangenen Tagen über den sogenannten Daten-Omnibus beraten. Er ist Teil des Digital Omnibus, mit dem die EU-Kommission mehrere Digitalgesetze auf einmal vereinfachen will, darunter die DSGVO und die ePrivacy-Regeln. Wie die Verhandlungen stehen, hat vor allem netzpolitik.org berichtet. Eine beschlossene Ratsposition gibt es Stand heute nicht. Alles Folgende ist deshalb ein Zwischenstand, kein geltendes Recht.
Website- und KI-Check
Sind Ihre Website und Ihr KI-Einsatz datenschutzseitig sauber aufgestellt?
Im kostenlosen Erstgespräch schauen wir gemeinsam auf Consent-Banner, Datenschutzerklärung und die KI-Werkzeuge, die in Ihrem Unternehmen schon laufen. Danach wissen Sie, wo Sie stehen und was wirklich Priorität hat.
Worum es beim Digital Omnibus geht
Der Digital Omnibus ist ein Sammelpaket: Statt jedes Digitalgesetz einzeln anzufassen, will die EU-Kommission mehrere Regelwerke in einem Zug ändern. Der Daten-Teil betrifft vor allem zwei Bereiche, die fast jedes Unternehmen kennt: die DSGVO und die Cookie-Regeln, die in der ePrivacy-Richtlinie stehen. Häufig liest man in diesem Zusammenhang von der „ePrivacy-Verordnung“. Die gibt es allerdings nicht: Den Vorschlag dafür hat die Kommission im Februar 2025 nach acht Jahren zurückgezogen. Geändert werden soll die bestehende Richtlinie.
Das Verfahren steht noch in der ersten Lesung. Zuerst legt der Rat, also die Vertretung der Mitgliedstaaten, seine Verhandlungsposition fest. Erst danach wird mit dem Europäischen Parlament über den endgültigen Text verhandelt (Lexology).
Cookie-Banner: keine Entwarnung
Ursprünglich hatte die Kommission vorgeschlagen, Cookie-Banner weitgehend durch technische Präferenzsignale zu ersetzen. Die Idee: Nutzer stellen einmal im Browser ein, was sie erlauben, und Websites halten sich automatisch daran. Laut netzpolitik.org ist dieser Vorschlag vom Tisch. Deutschland und weitere Mitgliedstaaten, darunter Frankreich, hätten sich dagegengestellt, die Regelung sei aus dem Ratsentwurf wieder gestrichen worden.
Das heißt aber nicht, dass beim Consent alles beim Alten bleibt. Nach Fachberichten über einen Ratstext von Anfang Oktober sind Änderungen im Detail geplant:
- Ein Ablehnen-Knopf mit Einklick-Funktion, das Ablehnen soll also so einfach werden wie das Zustimmen.
- Die Wartefrist nach einer Ablehnung, bevor eine Website erneut um Einwilligung bitten darf, soll von sechs auf vier Monate sinken.
- Die Zahl der Zwecke, für die keine Einwilligung nötig ist, soll von vier auf sechs steigen, darunter die Messung kontextueller Werbung.
- Profiling und programmatische Werbung sollen weiterhin einwilligungspflichtig bleiben.
Für Ihre Website bedeutet das: Wer mit der Pflege des Consent-Managements gewartet hat, weil die Banner ohnehin bald verschwinden, sollte diese Rechnung neu aufmachen. Einwilligungsbanner bleiben nach heutigem Stand Pflicht, und sie müssen weiterhin sauber umgesetzt sein.
Der Stand in Kürze
- Laut Bericht: Die Abschaffung der Cookie-Banner zugunsten von Präferenzsignalen ist aus dem Ratsentwurf gestrichen.
- Laut Bericht: Für KI-Training mit personenbezogenen Daten soll das berechtigte Interesse als Rechtsgrundlage reichen, mit Widerspruchsrecht.
- Offen: Eine gemeinsame Ratsposition ist noch nicht beschlossen, das Parlament hat seine Position noch nicht festgelegt.
- Sicher: Bis zur Verabschiedung gilt die bestehende Rechtslage unverändert.
KI-Training mit personenbezogenen Daten: was sich ändern könnte
Der zweite Punkt ist für Unternehmen mit KI-Plänen relevanter. Laut netzpolitik.org sieht es derzeit so aus, als würden die Mitgliedstaaten eine Regel beschließen, die Nichtregierungsorganisationen als „Pauschalerlaubnis“ für KI-Training kritisieren. Inhaltlich geht es darum, dass Unternehmen für das Training von KI-Systemen mit personenbezogenen Daten keine Einwilligung mehr benötigen sollen, sondern sich auf ihr berechtigtes Interesse berufen können. Gleichzeitig wurde laut Bericht ein Widerspruchsrecht nach Artikel 21 DSGVO für das KI-Training eingefügt.
Klingt nach Erleichterung, ist aber kein Freibrief. Auch das berechtigte Interesse verlangt nach heutiger DSGVO-Logik eine nachvollziehbare Abwägung, Transparenz gegenüber den Betroffenen und einen Weg, Widersprüche umzusetzen. Wer eigene KI-Anwendungen plant, etwa ein Unternehmens-GPT mit Firmenwissen, sollte deshalb heute schon wissen, welche Daten darin landen und auf welcher Grundlage. Darauf zu bauen, dass eine noch nicht beschlossene Lockerung später alles legitimiert, wäre der falsche Plan.
Für kleinere Betriebe interessant: Deutschland hat laut Fachberichten zusätzlich DSGVO-Ausnahmen für „Verantwortliche mit geringem Risiko“ gefordert, also etwa für kleine und mittlere Unternehmen. Der Kompromiss der Ratspräsidentschaft übernimmt das nicht, sieht aber eine spätere Überprüfung der DSGVO-Pflichten vor.
Zeitplan: Warum Sie nichts überstürzen müssen
Eigentlich sollten die Botschafter:innen schon am 7. Oktober abstimmen. Auf gemeinsamen Druck von Deutschland und Frankreich wurde der Text laut Berichten aber nur diskutiert und die Abstimmung vertagt, Kern des Streits ist der Schutz von Geschäftsgeheimnissen im Data Act. Als neuer Termin wurde der 11. Oktober genannt. Ein Ergebnis dieser Runde war bei Redaktionsschluss nicht bestätigt.
Eine der Verhandlerinnen des Europäischen Parlaments hofft laut netzpolitik.org auf eine gemeinsame Ratsposition zur Ratssitzung im Oktober. Selbst dann ist das Verfahren aber längst nicht fertig: Das Parlament will seine eigene Position erst im Februar festlegen, dort liegen nach Fachberichten mehr als 1.750 Änderungsanträge vor. Danach folgen die Trilog-Verhandlungen zwischen Rat, Parlament und Kommission. Lexology rechnet deshalb nicht vor 2027 mit einem Abschluss. Zwar drängen die Staats- und Regierungschefs darauf, die offenen Omnibus-Pakete noch 2026 zu einigen, das ist aber politischer Druck und kein verlässlicher Fahrplan.
Bis zu einer Verabschiedung gelten DSGVO und ePrivacy-Regeln so, wie sie heute sind. Wer seine Website oder seinen KI-Einsatz an noch nicht beschlossene Regeln anpasst, riskiert im Zweifel einen Verstoß gegen geltendes Recht.
Was Sie jetzt konkret tun sollten
Hektik ist nicht angebracht, Liegenlassen aber auch nicht. Vier Schritte, die unabhängig vom Ausgang der Verhandlungen sinnvoll sind:
- Consent-Banner und Datenschutzerklärung prüfen. Werden Tracking- und Marketing-Tools wirklich erst nach Einwilligung geladen? Ist das Ablehnen gleichwertig erreichbar? Stimmen die Angaben in der Datenschutzerklärung mit den Tools überein, die tatsächlich auf der Seite laufen? Gerade Online-Shops sammeln über die Jahre Plug-ins an, die nie jemand nachgetragen hat.
- KI-Einsatz dokumentieren. Schreiben Sie auf, welche KI-Werkzeuge im Unternehmen genutzt werden, wer sie nutzt und welche Daten hineingehen. Warum das ohnehin klug ist, steht in meinem Beitrag zur Frage „ChatGPT im Betrieb: erlaubt oder Datenschutz-Falle?“. Für KI-Anwendungen mit Kontakt zu Kunden kommen außerdem die Kennzeichnungspflichten aus dem EU AI Act hinzu.
- Eigene KI-Projekte datenschutzseitig strukturiert planen. Wer ein eigenes KI-System mit Kundendaten oder Firmenwissen aufbauen will, sollte Rechtsgrundlage, Datenquellen und Löschwege von Anfang an mitdenken. Das ist eine Führungsentscheidung, keine IT-Fußnote, siehe KI-Transformation ist Chefsache.
- Die Entwicklung beobachten, statt auf sie zu warten. Mit der Ratsposition, der Parlamentsposition und dem Trilog wird es noch mehrere Zwischenstände geben. Sinnvoll ist, einmal im Quartal zu prüfen, was sich tatsächlich geändert hat. Parallel laufen weitere EU-Vorhaben für Online-Händler, etwa der Digital Fairness Act.
Genau diese Einordnung machen wir mit meinem Team bei pxMEDIA.de für Unternehmen in Rostock, Mecklenburg-Vorpommern und Norddeutschland: Website und Consent technisch sauber halten, KI-Einsatz nachvollziehbar dokumentieren und bei neuen Vorhaben Datenschutz von Beginn an einplanen. Wenn Sie tiefer einsteigen wollen, finden Sie mehr zur Digitalisierungsberatung und zur KI-Beratung in Rostock.
Meine Einordnung
Ich halte beide Entwicklungen für nachvollziehbar. Dass die Cookie-Banner nicht einfach verschwinden, ist für viele ärgerlich, schafft aber Klarheit: Wer heute ein sauberes Consent-Management hat, muss nichts umbauen. Und dass beim KI-Training über das berechtigte Interesse gesprochen wird, zeigt, wohin die Reise geht. Europa will KI-Entwicklung ermöglichen, aber nicht ohne Widerspruchsrecht und Transparenz.
Für Unternehmer heißt das: Die Unternehmen, die ihre Daten heute schon geordnet haben, werden von späteren Erleichterungen am meisten profitieren. Wer nicht weiß, welche Daten wo liegen, kann auch mit einer neuen Rechtsgrundlage wenig anfangen.
Häufige Fragen zum Digital Omnibus
Was ist der Digital Omnibus?
Der Digital Omnibus ist ein Gesetzespaket der EU-Kommission, das mehrere Digitalgesetze auf einmal ändern soll. Der sogenannte Daten-Omnibus betrifft unter anderem die DSGVO und die ePrivacy-Richtlinie, also auch Regeln zu Cookies, Einwilligungen und zur Nutzung personenbezogener Daten für KI. Das Paket ist noch nicht verabschiedet.
Fallen Cookie-Banner durch den Digital Omnibus weg?
Nach aktuellem Stand nicht. Laut netzpolitik.org wurde der Vorschlag der Kommission, Cookie-Banner durch technische Präferenzsignale zu ersetzen, aus dem Ratsentwurf gestrichen. Diskutiert werden aber Änderungen im Detail, etwa ein Ablehnen mit einem Klick. Bis zu einer Verabschiedung gilt die bisherige Rechtslage, Einwilligungsbanner bleiben also Pflicht.
Dürfen Unternehmen KI künftig ohne Einwilligung mit personenbezogenen Daten trainieren?
Laut dem diskutierten Ratsentwurf sollen sich Unternehmen für KI-Training auf ihr berechtigtes Interesse berufen können, statt eine Einwilligung einzuholen. Gleichzeitig ist ein Widerspruchsrecht nach Artikel 21 DSGVO vorgesehen. Beschlossen ist das noch nicht, heute gilt die bestehende DSGVO.
Wann tritt der Digital Omnibus in Kraft?
Das steht noch nicht fest. Zuerst muss der Rat seine Position festlegen, das Europäische Parlament will seine Position erst im Februar beschließen, danach folgen Trilog-Verhandlungen. Laut Fachanalysen ist ein Abschluss nicht vor 2027 zu erwarten.
Erstgespräch
Website- und KI-Check für Unternehmen in Rostock und MV
In einem kostenlosen Erstgespräch prüfen wir, wie Ihr Consent-Banner und Ihre Datenschutzerklärung aufgestellt sind, welche KI-Werkzeuge bei Ihnen laufen und was Sie dokumentieren sollten. Einordnung statt Panik, mit klaren nächsten Schritten.
Quellen: netzpolitik.org: Einigung absehbar – EU-Staaten entscheiden über Cookie-Banner, KI-Training und Co., Lexology: DSGVO, KI und Cookies – was der Digital-Omnibus der EU für Unternehmen ändern könnte. Hinweis: Dieser Beitrag gibt den Sachstand zum 12. Oktober 2026 allgemein verständlich wieder und ersetzt keine Rechtsberatung. Die Ratsposition ist nicht beschlossen, die Detailangaben stützen sich im Wesentlichen auf Medienberichte. Ob und wie Ihr Unternehmen betroffen ist, hängt vom Einzelfall ab. Für eine verbindliche Bewertung ziehen Sie bitte fachkundigen Rat hinzu.