Der Digital Omnibus der Europäischen Union wird als Vereinfachungspaket präsentiert, und eines seiner sichtbarsten Versprechen sind weniger Cookie-Banner. Doch die DSGVO-Änderungen durch den EU Digital Omnibus gehen weit über Pop-ups hinaus. Den von uns geprüften Berichten zufolge würde der Vorschlag die Cookie-Regeln, die Art und Weise, wie personenbezogene Daten definiert werden, und die Frage berühren, wie KI-Systeme trainiert werden dürfen. Hier ist ein in einfacher Sprache gehaltener Blick darauf, was auf dem Tisch liegt, was der Rat bisher vorgeschlagen hat und wann all dies in Kraft treten könnte.

Was der Digital Omnibus ändern würde

Der Digital Omnibus ist ein Paket vorgeschlagener Änderungen, das die Europäische Kommission am 19. November 2025 vorgelegt hat. Es bündelt Änderungen an mehreren digitalen Gesetzen, darunter die Datenschutz-Grundverordnung (DSGVO), die Regeln zu Cookies und Gerätezugriff sowie der Zeitplan für Pflichten im Bereich Hochrisiko-KI. Das erklärte Ziel ist es, Überschneidungen und Compliance-Aufwand zu reduzieren, insbesondere für kleinere Unternehmen.

Rechtliche Analysen des Pakets heben drei Bereiche hervor, die für den alltäglichen Datenschutz am wichtigsten sind: die Frage, wann Daten als personenbezogen gelten, die Nutzung personenbezogener Daten für KI-Training und der Umgang mit Cookies und ähnlichen Tracking-Werkzeugen. Weitere berichtete Elemente sind eher administrativer Natur, etwa der Abbau redundanter Meldungen von Datenschutzverletzungen und die Anpassung von Registrierungspflichten für einige ausgenommene KI-Systeme.

Es ist wichtig, sich vor Augen zu halten, dass dies ein Vorschlag ist. Nichts des hier Beschriebenen ist bereits Gesetz, und der Text kann sich ändern, während Rat und Parlament verhandeln.

Weniger Cookie-Banner, schwächerer Schutz?

Das Argument der Kommission ist, dass Menschen echte Wahlmöglichkeiten haben und ihre Geräte sicher halten können sollten, ohne sich durch endlose Einwilligungsabfragen klicken zu müssen. In der Praxis würde das Paket die zentrale Bestimmung über den Zugriff auf auf dem Gerät gespeicherte Informationen aus dem ePrivacy-Rahmen in die DSGVO verschieben.

Kritiker, darunter die Digitalrechte-Organisation EDRi, argumentieren, dass diese Verschiebung den ePrivacy-Rahmen schwächt. Sie merken an, dass für die meisten Verwendungen weiterhin eine Einwilligung erforderlich bliebe, sodass die Änderung keine pauschale Abschaffung der Einwilligung darstellt. Die Debatte dreht sich um die Ausnahmen und darum, wie viel Spielraum Unternehmen hätten, Daten auf dem Gerät zu lesen oder zu speichern, ohne zu fragen.

Ein zweites Bedenken betrifft die Definition personenbezogener Daten. Analysen des Vorschlags zufolge würden einige Daten nicht mehr der DSGVO unterliegen, je nachdem, ob eine bestimmte Organisation eine Person daraus realistisch identifizieren kann. Das ist wichtig, weil derselbe Datensatz für ein Unternehmen personenbezogene Daten sein könnte und für ein anderes nicht. Für Leserinnen und Leser besteht das praktische Risiko darin, dass Informationen über sie außerhalb des DSGVO-Schutzes fallen könnten, obwohl sie in Profile oder Tracking einfließen.

Die Sicht des Rates wird in unserem früheren Bericht darüber behandelt, wie der EU-Rat kurz vor einer Einigung steht, die DSGVO für 450 Mio. Nutzer zu lockern, der erklärt, wie die Verhandlungen gestalten, was das Gesetz tatsächlich schützt.

Wie KI-Training mit personenbezogenen Daten funktionieren könnte

Der Vorschlag würde außerdem klären, wann personenbezogene Daten zum Training von KI-Modellen verwendet werden dürfen. Rechtliche Kommentare beschreiben dies als Berufung auf berechtigtes Interesse als Grundlage, statt in jedem Fall eine Einwilligung zu verlangen. Befürworter sagen, dies gebe Entwicklern Rechtssicherheit. Datenschutzbefürworter befürchten, dass es die Tür zu einer umfassenden Nutzung persönlicher Informationen öffnet, einschließlich aus dem Web gescraptem Material, mit weniger Kontrollen.

Besondere Kategorien von Daten, etwa Gesundheitsinformationen oder politische Meinungen, sind nach Artikel 9 der DSGVO grundsätzlich von der Verarbeitung ausgeschlossen. Berichte über den Omnibus besagen, dass er in diesem Bereich noch einige Änderungen vorschlägt, sodass es sich lohnt zu beobachten, wie etwaige Ausnahmen formuliert werden und welche Schutzmaßnahmen bestehen bleiben.

Das Paket schlägt zudem einen bedingten Zeitplan für Hochrisiko-KI-Regeln vor, der verschieben würde, wann einige Pflichten zu gelten beginnen.

Wann es Gesetz werden könnte und was Sie jetzt tun können

Der Omnibus muss noch das EU-Gesetzgebungsverfahren durchlaufen. Der Rat arbeitet an seiner Position, und das Europäische Parlament wird sich einbringen, bevor ein endgültiger Text vereinbart wird. Im geprüften Material haben wir kein bestätigtes Datum für die Annahme gesehen, sodass jeder Zeitplan, den Sie lesen, als Schätzung behandelt werden sollte. Selbst nach der Annahme gehen neue Regeln typischerweise mit Übergangsfristen einher.

Das gibt Ihnen Zeit, sich vorzubereiten und die Debatte zu verfolgen.

Was das für Sie bedeutet

  • Rechnen Sie mit weniger Abfragen, aber prüfen Sie das Kleingedruckte. Weniger Banner könnten praktisch sein, doch der Preis dafür ist eine weniger sichtbare Kontrolle darüber, was auf Ihrem Gerät gespeichert wird.
  • Ihre Daten könnten anders behandelt werden. Wenn die Definition personenbezogener Daten enger wird, könnten einige Informationen über Sie außerhalb von DSGVO-Rechten wie Auskunft und Löschung liegen.
  • KI-Training ist eine größere Frage. Inhalte, die Sie öffentlich posten, könnten leichter zum Trainieren von Modellen verwendet werden, wenn berechtigtes Interesse zur akzeptierten Grundlage wird.
  • Heute ändert sich nichts. Ihre derzeitigen DSGVO-Rechte bleiben in Kraft, während der Vorschlag debattiert wird.

Praktische Erkenntnisse

  • Überprüfen Sie die Cookie-Einstellungen Ihres Browsers und löschen oder blockieren Sie Drittanbieter-Cookies, wo Sie können.
  • Aktivieren Sie den integrierten Tracking-Schutz Ihres Browsers.
  • Prüfen Sie die Datenschutzeinstellungen der Plattformen, die Sie nutzen, einschließlich Optionen zum Opt-out aus KI-Training, wo diese angeboten werden.
  • Nutzen Sie weiterhin Ihre DSGVO-Rechte auf Auskunft oder Löschung Ihrer Daten, solange sie in vollem Umfang gelten.
  • Verfolgen Sie das Gesetzgebungsverfahren. Für tieferen Kontext zum Ringen um die Regeln lesen Sie unsere Berichterstattung über die DSGVO-Verhandlungen des EU-Rates.

Die DSGVO-Änderungen durch den EU Digital Omnibus sind noch in Arbeit, und die endgültige Ausgestaltung der Cookie-, Datendefinitions- und KI-Bestimmungen wird bestimmen, wie viel Privatsphäre die Europäer behalten. Informiert zu bleiben und jetzt die eigenen Einstellungen zu verschärfen, ist der zuverlässigste Weg, die Kontrolle zu behalten.