Der EU Digital Omnibus im Detail: Was sich für die DSGVO wirklich ändert — und was gerade ins Stocken geraten ist

Den Großteil ihres Bestehens wurde die DSGVO als feststehende Größe behandelt: ein Regelwerk, veröffentlicht 2016, wirksam ab 2018, seither nur am Rande angepasst. Das ändert sich jetzt — nur nicht so glatt, wie es sich die Europäische Kommission ursprünglich erhofft hatte. Im November 2025 veröffentlichte die Kommission ihr Digital-Omnibus-Paket und schlug damit die weitreichendsten Änderungen an der DSGVO seit deren Inkrafttreten vor. Drei Änderungen sind dabei am wichtigsten: eine deutlich weiter gefasste Ausnahme von der formellen Verarbeitungsdokumentation, ein neu gestaltetes Cookie-Banner mit einer Ein-Klick-Ablehnoption, sowie eine neue Formulierung, die bestätigt, dass berechtigtes Interesse die KI-Verarbeitung tragen kann.

Noch ist nichts davon geltendes Recht, und seit August 2026 bewegen sich die drei Vorschläge nicht mehr im gleichen Tempo. Die Ausnahme von der Dokumentationspflicht hat institutionellen Rückhalt und ist der Teil, der am ehesten unverändert Bestand haben wird. Das neu gestaltete Cookie-Banner und die Klarstellung zum berechtigten Interesse bei KI sind im Juni 2026 im Rat an eine Wand gestoßen und wurden aus dem Arbeitstext gestrichen, über den die Mitgliedstaaten verhandelten — nicht beerdigt, aber ins Stocken geraten, wobei ihr Schicksal nun bei einem Parlament liegt, das seine eigene Position voraussichtlich erst nach einer im Oktober 2026 erwarteten Folgenabschätzung festlegen wird. Hier ist, was tatsächlich auf dem Tisch liegt, was feststeckt, und was man in der Zwischenzeit tun sollte.

Warum die Kommission jetzt handelt

Der Digital Omnibus ist nicht aus dem Nichts entstanden. Seit 2018 gibt es eine anhaltende Beschwerde von Unternehmen — insbesondere mittelständischen und wachsenden Unternehmen —, dass die Compliance-Last der DSGVO ungleichmäßig skaliert. Ein Unternehmen mit 240 Mitarbeitern profitiert von nennenswerten Ausnahmen bei der formellen Dokumentationspflicht; dasselbe Unternehmen mit 260 Mitarbeitern nicht mehr, obwohl es nur geringfügig größer ist. Die Kommission hat dies als "Klippenkanten"-Problem beschrieben: Unternehmen stoßen genau in dem Moment auf eine Wand neuer Pflichten, in dem sie zu wachsen versuchen.

Gleichzeitig sah sich die Kommission mit Beschwerden aus einer anderen Richtung konfrontiert: Cookie-Consent-Banner seien so manipulativ geworden — darauf ausgelegt, "Alle akzeptieren" zum Weg des geringsten Widerstands zu machen —, dass sie aufgehört hätten, als echte Einwilligungsmechanismen zu funktionieren. Und über beiden Anliegen liegt der Aufstieg der Künstlichen Intelligenz, der die Aufsichtsbehörden gezwungen hat zu klären, wie das berechtigte Interesse — eine der sechs Rechtsgrundlagen der DSGVO für die Verarbeitung — auf eine Kategorie der Verarbeitung anzuwenden ist, die es bei Abfassung der Verordnung kaum gab.

Der Digital Omnibus versucht, alle drei Punkte gleichzeitig anzugehen. Es handelt sich tatsächlich um zwei Verordnungsentwürfe: einen allgemeinen "Digital Omnibus", der die DSGVO, die ePrivacy-Richtlinie, NIS2 und den Data Act ändert (in der Rechtskommentierung manchmal auch "Data Omnibus" genannt), sowie einen separaten "Digital Omnibus on AI", der sich auf den EU AI Act konzentriert. Diese Unterscheidung ist für den Zeitplan wichtig — die AI-Act-Hälfte hat Rat und Parlament bereits passiert und tritt mit Veröffentlichung im Amtsblatt in Kraft, voraussichtlich Mitte 2026. Die DSGVO-Hälfte hat das nicht getan, und sie ist Gegenstand dieses Artikels.

Die erweiterte Ausnahme von der Verarbeitungsdokumentation

Nach den geltenden DSGVO-Regeln verpflichtet Artikel 30 die meisten Organisationen dazu, detaillierte Verzeichnisse ihrer Verarbeitungstätigkeiten zu führen — welche personenbezogenen Daten sie erheben, warum, wie lange sie diese speichern und welche Sicherheitsmaßnahmen bestehen. Art. 30 Abs. 5 DSGVO sieht eine eng gefasste Ausnahme für Organisationen mit weniger als 250 Mitarbeitern vor, sofern deren Verarbeitung bestimmte Risikobedingungen nicht erfüllt, einschließlich jeglicher Verarbeitung besonderer Kategorien personenbezogener Daten.

Der Digital Omnibus würde dies auf zwei Wegen erheblich erweitern. Erstens würde die Mitarbeitergrenze von unter 250 auf unter 750 angehoben — vorausgesetzt, die Organisation bleibt zudem unter den finanziellen Obergrenzen von 150 Millionen Euro Jahresumsatz oder 129 Millionen Euro Bilanzsumme. Sehr viele mittelständische Unternehmen, die derzeit die vollständige Dokumentation nach Art. 30 DSGVO führen müssen, würden unter der neuen Schwelle für die vereinfachte Regelung infrage kommen.

Zweitens ändert der Vorschlag, was eine Organisation überhaupt von der Ausnahme ausschließt. Heute schließt jede Verarbeitung besonderer Kategorien personenbezogener Daten — Gesundheitsdaten, biometrische Daten, Daten, die politische Meinungen oder religiöse Überzeugungen offenbaren — eine Organisation automatisch aus, unabhängig vom tatsächlichen Risiko. Der Digital Omnibus würde diesen pauschalen Ausschluss durch einen risikobasierten Maßstab ersetzen: Die Ausnahme wäre nur dann nicht anwendbar, wenn die Verarbeitung "voraussichtlich ein hohes Risiko" für Betroffene mit sich bringt — dieselbe Schwelle, die bereits heute eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO auslöst.

Es lohnt sich, genau zu benennen, was sich dadurch ändert — und was nicht. Es reduziert die Dokumentationslast; es reduziert nicht die zugrunde liegenden Pflichten zur rechtmäßigen Verarbeitung, zu Betroffenenrechten oder zur Sicherheit. Organisationen, die unter die erweiterte Ausnahme fallen, müssen weiterhin eine DPIA durchführen, wo diese erforderlich ist — die Risikobewertung, anhand derer die Anspruchsberechtigung für die Ausnahme bestimmt wird, ist selbst eine DPIA-ähnliche Übung. Dies ist der eine Teil des Digital Omnibus, der klaren institutionellen Rückhalt hat: Der Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte (EDPS) begrüßten die Vereinfachung der Dokumentationspflicht bereits in einer gemeinsamen Stellungnahme im Juli 2025 und bestätigten ihre breite Unterstützung dafür erneut — wobei sie zugleich weitere Bedenken äußerten, unter anderem zur vom Omnibus vorgeschlagenen engeren Definition personenbezogener Daten — in einer ausführlicheren gemeinsamen Stellungnahme zum gesamten Paket, veröffentlicht im Februar 2026.

Das neue Cookie-Banner — und warum es gerade ins Stocken geraten ist

Der zweite Strang des Digital Omnibus adressiert eines der am stärksten kritisierten Merkmale der aktuellen DSGVO-Landschaft. In der ursprünglichen Fassung hätte er Websites verpflichtet, Nutzern die Ablehnung aller nicht notwendigen Cookies mit einem einzigen Klick zu ermöglichen, direkt auf der ersten Ebene des Banners, wobei diese Ablehnoption dieselbe visuelle Prominenz erhalten hätte wie "Akzeptieren" — und damit das seit Langem bestehende Schlupfloch geschlossen hätte, bei dem "Alle akzeptieren" ein einzelner Button ist, während "Ablehnen" bedeutet, sich durch ein Einstellungspanel zu klicken und Schalter einzeln abzuwählen.

Der ursprüngliche Vorschlag ging noch weiter: Er hätte risikoarme Cookie-Kategorien — interne Reichweitenmessung, Cookies, die zur Erbringung eines vom Nutzer ausdrücklich angeforderten Dienstes notwendig sind, Sicherheits- und Betrugspräventions-Cookies — gänzlich von der Pflicht zu einem Consent-Banner ausgenommen und "automatisierte und maschinenlesbare" Signale auf Browserebene eingeführt, sodass ein Nutzer seine Tracking-Präferenzen einmal festlegen und Websites dieses Signal automatisch respektieren könnten. Wo Einwilligung weiterhin abgefragt und erteilt wurde, hätten Websites diese Entscheidung mindestens sechs Monate lang respektieren müssen, bevor sie erneut nachfragen dürfen.

Im Kompromisstext des Rates vom 10. Juni 2026 wurden die Artikel zum Ein-Klick-Ablehnbutton und zum Mechanismus für Browsersignale vollständig gestrichen, nachdem sich die Botschafter der Mitgliedstaaten zwei Tage zuvor nicht darauf hatten einigen können. Selbst dieser abgespeckte Kompromiss erhielt nicht die erforderliche qualifizierte Mehrheit und wurde Ende Juni von der formellen Genehmigung zurückgezogen.

Das bedeutet nicht, dass die Gestaltung von Cookie-Bannern nun ein rechtsfreier Raum ist. Unabhängig vom Digital Omnibus behandelt die bestehende Durchsetzungspraxis der DSGVO einen "Alle akzeptieren"-Button, der leichter zu finden oder anzuklicken ist als "Ablehnen", bereits heute als Dark Pattern — einen Gestaltungsfehler, den Aufsichtsbehörden nach den geltenden Regeln verfolgen, mit oder ohne Omnibus. Was in Brüssel tatsächlich feststeckt, ist der konkrete Mechanismus (Ein-Klick, Browsersignale, die Ausnahmen für risikoarme Kategorien) — nicht die grundsätzliche Erwartung, dass Ablehnen genauso einfach sein muss wie Akzeptieren.

Berechtigtes Interesse und KI-Verarbeitung — ebenfalls blockiert

Das dritte Element betrifft eine der umstrittensten Fragen der aktuellen Datenschutzpraxis: Kann das berechtigte Interesse als Rechtsgrundlage nach Art. 6 DSGVO die Verarbeitung personenbezogener Daten zum Training oder Betrieb von KI-Systemen tragen? Heute agieren Organisationen, die sich für die KI-Verarbeitung auf das berechtigte Interesse stützen, in einer gewissen Grauzone — sie führen eigene Interessenabwägungen durch, ohne dass eine ausdrückliche DSGVO-Formulierung bestätigt, dass dieser Ansatz tragfähig ist.

Der Digital Omnibus hätte in seiner ursprünglichen Fassung eine Formulierung ergänzt, die ausdrücklich anerkennt, dass berechtigtes Interesse die KI-Verarbeitung tragen kann — konditional, nicht bedingungslos. Die bestehenden Schutzmechanismen, die das berechtigte Interesse in jedem Kontext valide machen — Erforderlichkeit, Verhältnismäßigkeit, eine echte Abwägung gegen die Rechte der Betroffenen, Transparenz und ein bedingungsloses Widerspruchsrecht — hätten weiterhin tatsächlich erfüllt sein müssen. Es wurde als Klarstellung des Anwendungsbereichs verstanden, nicht als Lockerung des Standards.

Diese klarstellende Formulierung war eine der Bestimmungen, die im Kompromisstext des Rates vom Juni 2026 zusammen mit den Cookie-Artikeln gestrichen wurden. Die praktische Auswirkung für den Moment: Organisationen verfügen weiterhin über keine ausdrückliche DSGVO-Bestimmung, die bestätigt, dass das berechtigte Interesse die KI-Verarbeitung abdeckt. Die zugrunde liegende Rechtslage hat sich nicht geändert — Art. 6 Abs. 1 lit. f DSGVO gilt bereits, wenn die Interessenabwägung tatsächlich durchgeführt und dokumentiert wird —, aber die erhoffte regulatorische Bestätigung ist nicht näher gerückt als im November 2025.

Der aktuelle Stand, chronologisch

1. November 2025 — Die Europäische Kommission veröffentlicht den Digital-Omnibus-Vorschlag, der DSGVO, ePrivacy, NIS2 und den Data Act betrifft.
2. Februar 2026 — EDSA und EDPS veröffentlichen ihre gemeinsame Stellungnahme zum Gesamtpaket: grundsätzlich unterstützend gegenüber der Vereinfachung der Dokumentationspflicht, während sie an anderer Stelle Bedenken äußern, unter anderem zur vorgeschlagenen engeren Definition personenbezogener Daten.
3. 8.–10. Juni 2026 — Die Botschafter des Rates können sich nicht auf die Bestimmungen zur Cookie-Einwilligung und zum berechtigten Interesse bei KI einigen; der Kompromisstext der Ratspräsidentschaft streicht diese Artikel vollständig.
4. Ende Juni 2026 — Selbst der abgespeckte Kompromisstext wird von der formellen Genehmigung durch den Rat zurückgezogen, mangels qualifizierter Mehrheit.
5. Jetzt (August 2026) — Das Europäische Parlament arbeitet noch an seiner eigenen Position, eine Folgenabschätzung wird für Oktober 2026 erwartet. Die endgültige Verabschiedung der DSGVO-bezogenen Hälfte des Pakets wird frühestens Ende 2026 erwartet — was bedeutet, dass eine tatsächliche Umsetzung eher eine Geschichte für 2027 ist und sich je nach dem, was Parlament und Rat noch abstimmen müssen, weiter hinziehen könnte.

Unterdessen hat die AI-Act-Hälfte des Digital-Omnibus-Pakets — ein separater, von der oben beschriebenen Frage des berechtigten Interesses unabhängiger Vorschlag — Rat und Parlament bereits passiert und tritt mit Veröffentlichung im Amtsblatt in Kraft. Es ist leicht, die beiden Hälften des Digital Omnibus zu verwechseln — nur eine von beiden ist tatsächlich schon angekommen.

Jetzt vorbereiten auf Regeln, die noch nicht final sind

Diese Unsicherheit ist kein Grund zu warten, aber sie ist ein Grund, selektiv vorzugehen, wo man Aufwand investiert.

1. Die RoPA-Schwelle im Blick behalten, aber noch nicht danach handeln. Liegt Ihr Unternehmen zwischen 250 und 750 Mitarbeitern, könnte die erweiterte Ausnahme Ihre Compliance-Arbeitslast erheblich verändern — aber die Schwelle und die damit verbundenen finanziellen Obergrenzen sind noch Gegenstand der Verhandlungen. Wissen Sie, wo Sie landen würden, und halten Sie Ihre aktuellen Verzeichnisse nach Art. 30 DSGVO bis zur endgültigen Festlegung des Textes in guter Ordnung.
2. Gestalten Sie Ihr Cookie-Banner nicht um einen Mechanismus herum neu, der derzeit aus dem Verhandlungstext gestrichen ist. Einen Ein-Klick-Ablehnungsablauf um einen konkreten Artikel herum aufzubauen, auf den sich die Ratsmitglieder im Juni nicht einigen konnten, ist verfrüht. Nicht verfrüht ist hingegen: sicherzustellen, dass Ihre bestehende "Ablehnen"-Option tatsächlich genauso leicht zu finden und anzuklicken ist wie "Akzeptieren" — das ist schon heute eine Durchsetzungserwartung nach der DSGVO, unabhängig vom Omnibus.
3. Dokumentieren Sie Ihre Interessenabwägungen für die KI-Verarbeitung weiterhin so, als käme die Klarstellung nicht bald — denn derzeit kommt sie nicht. Die Schutzmechanismen (Erforderlichkeit, Verhältnismäßigkeit, eine echte Abwägungsprüfung, Transparenz, das Widerspruchsrecht) sind das, was das berechtigte Interesse heute rechtfertigt — mit oder ohne ausdrückliche KI-Bestimmung im Text.
4. Kommen Sie im Oktober 2026 darauf zurück, wenn die Folgenabschätzung des Parlaments fällig ist und sich dessen eigene Verhandlungsposition festigen sollte. Das ist der nächste Zeitpunkt, an dem die Form des endgültigen Textes — statt des Vorschlags vom November 2025 — klarer wird.

Das Fazit

Der Digital Omnibus ist nach wie vor ein ernsthafter Versuch, drei reale Probleme mit der derzeitigen DSGVO zu lösen — aber seit August 2026 bewegt er sich mit drei unterschiedlichen Geschwindigkeiten. Die Vereinfachung der Dokumentationspflicht hat den Rückhalt von EDSA und EDPS und ist der Teil, der am ehesten nahe an seiner aktuellen Form Gesetz wird. Das neu gestaltete Cookie-Banner und die Klarstellung zum berechtigten Interesse bei KI stecken beide fest, aus dem Arbeitstext des Rates gestrichen, nachdem sich die Mitgliedstaaten nicht einigen konnten, und die eigene Position des Parlaments wird erst im Oktober erwartet. Behandeln Sie die RoPA-Ausnahme als etwas, das es genau zu beobachten gilt, und die beiden anderen Punkte als Hintergrundrauschen, bis es einen Text gibt, auf den man tatsächlich reagieren kann.

Kostenlose Beratung mit GDPRGard buchen →

Quellen

• EDPB — Digital Omnibus: EDPB and EDPS support simplification and competitiveness while raising key concerns (Feb 2026)
• EDPB — Targeted modifications of the GDPR: record-keeping simplification (July 2025)
• Noerr — Proposal for simplification of GDPR record-keeping for organisations under 750 employees
• Secure Privacy — What Article 88a Changes for Cookie Consent (2026)
• Addleshaw Goddard — EU Digital Omnibus on AI: Council and Parliament agreed positions

Ebenfalls lesenswert:

• DSGVO 2026: Rekordbußgelder, eine Reform in Bewegung, und was jetzt zu tun ist
• Die 5 häufigsten Cookie-Banner-Fehler — und wie man sie behebt
• Die Ausrede „es war öffentlich“ ist vorbei: Die DSGVO gilt jetzt formell für KI-Trainingsdaten