Der Digital Omnibus: Änderungen bei DSGVO, Cookies und KI-Verordnung

Das Paket Digital Omnibus: zwei Vorschläge, zwei unterschiedliche Ergebnisse

Am 19.11.2025 hat die Europäische Kommission ihr Paket Digital Omnibus zur Vereinfachung des digitalen Regelwerks der EU vorgelegt. Es bestand aus zwei getrennten Gesetzgebungsvorschlägen mit unterschiedlichem Anwendungsbereich. Der erste, der Digital Omnibus zur KI (COM(2025) 836), änderte die KI-Verordnung und ist bereits angenommen: Die Verordnung (EU) 2026/1744 wurde am 24.7.2026 im Amtsblatt veröffentlicht und ist am 27.7.2026 in Kraft getreten.

Der zweite, die umfassendere Digital-Omnibus-Verordnung (COM(2025) 837), schlägt Änderungen der Datenschutz-Grundverordnung (DSGVO), der Cookie-Regel der ePrivacy-Richtlinie, des Data Act, der Meldung von Vorfällen nach NIS2 und weiterer Rechtsakte vor. Dieser Vorschlag befindet sich noch im Gesetzgebungsverfahren und ist daher noch nicht anwendbar. Für Unternehmen bedeutet der Digital Omnibus daher zweierlei zugleich: Änderungen der KI-Verordnung, die bereits gelten, und Änderungen bei DSGVO und Cookies, die kommen können, aber noch kein geltendes Recht sind.

Der KI-Teil des Digital Omnibus: Was sich geändert hat

Die Verordnung (EU) 2026/1744 vom 8.7.2026 nimmt gezielte Änderungen an der KI-Verordnung vor. Die für Unternehmen wichtigsten Änderungen sind im Überblick:

• Spätere Termine für Hochrisiko-KI: Die Pflichten für Hochrisiko-KI-Systeme in Kapitel III Abschnitte 1 bis 3 gelten ab dem 2.12.2027 für in Anhang III aufgeführte Systeme und ab dem 2.8.2028 für Systeme, die Sicherheitsbauteile von Produkten sind, die unter die Harmonisierungsrechtsvorschriften des Anhangs I fallen, statt ab dem 2.8.2026.
• KI-Kompetenz: Art. 4 verlangt nun von Anbietern und Betreibern, Maßnahmen zu ergreifen, um die Entwicklung der KI-Kompetenz ihres Personals und anderer Personen, die in ihrem Auftrag KI-Systeme betreiben, zu unterstützen; ausdrücklich verlangt er nicht, ein bestimmtes Kompetenzniveau zu gewährleisten, und Kommission und Mitgliedstaaten müssen die Einhaltung unterstützen, insbesondere für KMU.
• Übergangsfrist für Transparenz: Anbieter generativer KI-Systeme, die vor dem 2.8.2026 in Verkehr gebracht wurden, haben bis zum 2.12.2026 Zeit, die Pflicht zur maschinenlesbaren Kennzeichnung nach Art. 50 Abs. 2 zu erfüllen.
• Neue Verbote: KI-Systeme, die nicht einvernehmliche intime Darstellungen identifizierbarer Personen oder Darstellungen sexuellen Kindesmissbrauchs erzeugen oder manipulieren, sind ab dem 2.12.2026 verboten, vorbehaltlich von Bedingungen zur Zweckbestimmung und zu Schutzvorkehrungen.
• Erkennung von Verzerrungen: Ein neuer Art. 4a erlaubt Anbietern von Hochrisiko-Systemen, besondere Kategorien personenbezogener Daten zu verarbeiten, soweit dies für die Erkennung und Korrektur von Verzerrungen (Bias) unbedingt erforderlich ist, mit Schutzvorkehrungen.
• KMU und kleine Midcaps: vereinfachte Pflichten und verhältnismäßige Sanktionen für kleinere Unternehmen.
• Maschinen: Die Maschinenverordnung wechselt in die Liste der Harmonisierungsrechtsvorschriften in Abschnitt B des Anhangs I.

Den vollständigen geänderten Zeitplan finden Sie in unserem Beitrag zum Zeitplan der KI-Verordnung.

Der DSGVO- und Datenteil des Digital Omnibus: die Vorschläge

Der Vorschlag für die Digital-Omnibus-Verordnung enthält eine Vielzahl von Änderungen. Die wichtigsten für Unternehmen sind in der folgenden Übersicht zusammengefasst:

Stand des Gesetzgebungsverfahrens

Der Rat hat den Vorschlag während des gesamten ersten Halbjahres 2026 eingehend beraten. Am 22.6.2026 legte das Generalsekretariat des Rates dem Ausschuss der Ständigen Vertreter einen Kompromisstext des Vorsitzes zur Bestätigung als Mandat des Rates für die Verhandlungen mit dem Europäischen Parlament vor (Ratsdokument 10729/26).

Nach diesem Dokument ändert der Kompromisstext vierzehn Artikel der DSGVO, behält die 96-Stunden-Meldefrist bei, regelt Cookies durch eine Änderung von Art. 5 Abs. 3 der ePrivacy-Richtlinie statt durch eine neue DSGVO-Vorschrift und lässt den Mitgliedstaaten Spielraum bei der Einrichtung einer nationalen Anlaufstelle für Vorfallsmeldungen. Der Europäische Rat hatte gefordert, alle anhängigen Omnibus-Pakete vor Ende 2026 zu verabschieden.

Bis November 2026 haben wir keine Annahme oder Veröffentlichung der Digital-Omnibus-Verordnung im Amtsblatt festgestellt. Ihr Inhalt kann sich in den Verhandlungen mit dem Europäischen Parlament noch ändern, und der endgültige Text gilt erst ab den darin festgelegten Terminen. Bis dahin gelten die DSGVO in ihrer derzeitigen Fassung, das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und der Data Act unverändert.

Was die Cookie-Änderungen bedeuten könnten

Bei der Cookie-Einwilligung soll der Vorschlag vor allem die verbreitete Einwilligungsmüdigkeit der Nutzerinnen und Nutzer verringern. Bestimmte Zwecke – etwa eine aggregierte Reichweitenmessung durch den Websitebetreiber und die Sicherheit – würden keine Einwilligung mehr erfordern, Verantwortliche müssten eine Ablehnung für einen gewissen Zeitraum respektieren, bevor sie erneut fragen, und Websites müssten künftig automatisierte, maschinenlesbare Signale der Nutzerentscheidungen akzeptieren, sobald es dafür Standards gibt.

Mediendiensteanbieter könnten nach dem Vorschlag von der Pflicht zur Beachtung solcher Signale ausgenommen werden. Der Text des Rates verortet diese Regeln in der ePrivacy-Richtlinie statt in der DSGVO, was sich auf die Durchsetzung auswirkt: In Deutschland setzt § 25 TDDDG die ePrivacy-Regel um und müsste geändert werden. Siehe unseren Beitrag zur Cookie-Einwilligung nach dem TDDDG.

Data Act und Datenrechtsbestand

Der Vorschlag ordnet auch den Datenrechtsbestand der EU neu. Ausweislich seines Titels würde er die Verordnung über den freien Verkehr nicht personenbezogener Daten, den Data Governance Act, die Platform-to-Business-Verordnung und die Open-Data-Richtlinie aufheben und maßgebliche Teile in den Data Act integrieren.

Außerdem würde er gezielte Änderungen am Data Act selbst vornehmen; in den Verhandlungen im Rat war der Schutz von Geschäftsgeheimnissen nach dem Data Act eines der Hauptthemen. Für Unternehmen, die derzeit die Vorschriften des Data Act zu Datenzugang, Datenweitergabe und Cloud-Wechsel umsetzen, lautet die praktische Botschaft: Die Kernpflichten bleiben, während sich einige Details ändern können. Siehe unsere Beiträge zu Access by Design nach dem Data Act und zum Cloud-Wechsel.

Eine zentrale Anlaufstelle für Vorfallsmeldungen

Unternehmen, die von einem Cybervorfall betroffen sind, müssen derzeit unter Umständen an mehrere Behörden nach DSGVO, NIS2, DORA, der CER-Richtlinie und Sektorvorschriften melden, jeweils mit eigenem Formular und eigener Frist.

Der Digital Omnibus schlägt eine zentrale Anlaufstelle vor, über die Vorfallsmeldungen nach mehreren Rechtsakten eingereicht werden können, wobei auch Meldungen von Datenschutzverletzungen nach der DSGVO darüber laufen sollen. Der Text des Rates lässt den Mitgliedstaaten Spielraum bei der Einrichtung einer nationalen Anlaufstelle. In Deutschland nimmt bereits eine gemeinsame Meldestelle des BSI und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe (BBK) NIS2-Meldungen entgegen, die als Baustein dienen könnte. Siehe unseren Beitrag zur Reaktion auf einen Cyberangriff.

Folgen für das deutsche Recht

Sobald der Digital Omnibus angenommen ist, müssten mehrere deutsche Gesetze an die neuen europäischen Vorgaben angepasst werden. Das TDDDG, das die ePrivacy-Cookie-Regel in § 25 umsetzt, müsste eine Änderung von Art. 5 Abs. 3 der ePrivacy-Richtlinie nachvollziehen. Das Bundesdatenschutzgesetz (BDSG) enthält Vorschriften zu Auskunftsersuchen, Informationspflichten und Beschäftigtendaten, die an der geänderten DSGVO zu messen wären. Die NIS2-Umsetzung im BSI-Gesetz (BSIG) müsste zudem die zentrale Anlaufstelle berücksichtigen und die bestehenden Meldewege entsprechend anpassen. Unternehmen sollten sich deshalb auf eine längere Übergangsphase einstellen, in der EU-Recht und deutsches Recht schrittweise angepasst werden.

Was die DSGVO-Änderungen bedeuten könnten

Der vorgeschlagene relative Begriff der personenbezogenen Daten würde die jüngere Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH) kodifizieren und könnte den Anwendungsbereich der DSGVO für Empfänger pseudonymisierter Daten verringern. Die Änderungen bei Auskunftsersuchen reagieren auf die Nutzung von Art. 15 DSGVO als Instrument in Rechtsstreitigkeiten, insbesondere in arbeitsrechtlichen Auseinandersetzungen.

Die Meldung von Datenschutzverletzungen würde bei Vorfällen mit geringem und mittlerem Risiko weniger aufwendig, während die Informationspflichten erleichtert würden, wenn betroffene Personen bereits wissen, wie ihre Daten verwendet werden. Zusammengenommen würden diese Änderungen, sollten sie in dieser Form verabschiedet werden, vor allem Unternehmen mit einer großen Zahl routinemäßiger Verarbeitungsvorgänge zugutekommen. Kritiker, darunter der Europäische Datenschutzausschuss (EDSA) und der Europäische Datenschutzbeauftragte (EDSB) in ihrer gemeinsamen Stellungnahme vom Februar 2026, haben vor einer Schwächung des Schutzniveaus gewarnt, sodass die endgültige Balance offen bleibt.

Wann könnten die DSGVO-Änderungen gelten?

Sobald sich Europäisches Parlament und Rat auf einen endgültigen Text geeinigt haben, muss dieser förmlich angenommen, im Amtsblatt veröffentlicht werden und in Kraft treten. Der Vorschlag der Kommission sieht für einige Vorschriften gestaffelte Geltungstermine vor – so würden etwa die neuen Cookie-Regeln eine bestimmte Zeit nach dem Inkrafttreten gelten –, und der endgültige Text kann weitere Übergangsfristen einführen.

Realistischerweise sollten Unternehmen nicht damit rechnen, dass die Änderungen bei DSGVO und Cookies vor 2027 gelten, und einige Elemente, etwa maschinenlesbare Einwilligungssignale, hängen von technischen Standards ab, die es noch nicht gibt. Der KI-Teil zeigt, wie schnell die europäischen Institutionen handeln können, wenn Fristen drängen, der DSGVO-Teil ist politisch aber deutlich sensibler.

Der Digital Omnibus ist Teil einer umfassenderen Vereinfachungsagenda, die auch Omnibus-Pakete zur Nachhaltigkeitsberichterstattung, zu Investitionen und zu weiteren Bereichen umfasst. Für die Compliance-Planung sollten Unternehmen jedes Paket gesondert verfolgen, weil sich Zeitpläne und Inhalte zum Teil deutlich unterscheiden und eine gemeinsame Betrachtung leicht zu Fehleinschätzungen führt.

Praktische Schritte für Unternehmen

1. KI-Verordnung: Passen Sie Ihre KI-Compliance-Roadmaps an die neuen Termine für Hochrisiko-Systeme und die geänderte Pflicht zur KI-Kompetenz an.
2. Anbieter generativer KI: Erfüllen Sie die Kennzeichnungspflicht nach Art. 50 Abs. 2 bis zum 2.12.2026 für bereits auf dem Markt befindliche Systeme und bei neuen Systemen von Anfang an.
3. DSGVO und Cookies: Verfolgen Sie die Verhandlungen und bereiten Sie anpassungsfähige Prozesse vor, ändern Sie aber Ihre derzeitige Compliance nicht.
4. Vorfallsmeldungen: Erfassen Sie alle Meldepflichten und bereiten Sie sich auf eine mögliche zentrale Anlaufstelle und längere Fristen vor.
5. Data Act: Setzen Sie die geltenden Pflichten des Data Act weiter um; siehe unseren Beitrag zu Datenweitergabeverträgen nach dem Data Act.

So unterstützt TRW & Co beim Digital Omnibus

Wir helfen Unternehmen, den Digital Omnibus in praktische Compliance-Pläne zu übersetzen: Wir passen Roadmaps zur KI-Verordnung an die geänderten Termine an, überprüfen Maßnahmen zu KI-Kompetenz und Transparenz, verfolgen die Verhandlungen zu DSGVO und Cookies und bereiten anpassungsfähige Prozesse für die Meldung von Datenschutzverletzungen, Auskunftsersuchen und das Einwilligungsmanagement vor. Wir beobachten das Gesetzgebungsverfahren und informieren Mandanten, sobald der endgültige Text vereinbart ist. Siehe unsere Seiten zu DSGVO und Datenschutz und zur KI-Verordnung oder kontaktieren Sie uns.