Digital Omnibus: die Position des Rates zu DSGVO und Cookies

Veröffentlicht 29. Oktober 2026 · Von Dazr

Am 21. Oktober 2026 einigten sich die EU-Botschafter auf das Mandat des Rates zum Digital Omnibus: Datenpannen, personenbezogene Daten, Cookies, Meldungen.

Am 21. Oktober 2026 hat der Ausschuss der Ständigen Vertreter (AStV) das Mandat des Rates für die Verhandlungen mit dem Europäischen Parlament über den Digital Omnibus festgelegt, den Vorschlag der Kommission vom November 2025 zur Vereinfachung der EU-Digitalvorschriften (Verfahren 2025/0360(COD)). Der Text wurde am 22. Oktober 2026 als Ratsdokument 14756/26 veröffentlicht; jede Änderung gegenüber dem Kommissionsvorschlag ist darin markiert.

Es handelt sich um die Ausgangsposition des Rates für die Verhandlungen, nicht um geltendes Recht. Bis eine endgültige Verordnung angenommen und veröffentlicht ist, gelten die DSGVO, die ePrivacy-Richtlinie und die nationalen NIS2-Gesetze unverändert.

Datenpannen

Der Rat übernimmt die zwei wichtigsten Änderungen der Kommission an Artikel 33 DSGVO:

Nur Datenpannen mit hohem Risiko müssten noch der Aufsichtsbehörde gemeldet werden: Verletzungen, die "voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen" zur Folge haben.
96 Stunden statt 72: Meldung unverzüglich und möglichst binnen 96 Stunden, nachdem die Verletzung bekannt wurde, mit einer Begründung bei späterer Meldung.

Die Meldung liefe über eine nationale Meldestelle, die jeder Mitgliedstaat einrichtet, statt über die von der Kommission vorgeschlagene zentrale EU-Meldestelle. Bis es sie gibt, melden Verantwortliche weiter direkt an ihre Aufsichtsbehörde. Der EDSA würde Listen von Fällen veröffentlichen, die voraussichtlich ein hohes Risiko darstellen, und von solchen, die es nicht tun.

Personenbezogene Daten und Pseudonymisierung

Die Kommission wollte in die Definition personenbezogener Daten aufnehmen, dass Informationen für eine Stelle, die die Person nicht identifizieren kann, keine personenbezogenen Daten sind. Der Rat streicht diesen Satz und schlägt stattdessen einen neuen Artikel 25a zur Pseudonymisierung vor:

pseudonymisierte Daten sind für einen Dritten, der die Person nicht identifizieren kann, keine personenbezogenen Daten;
werden sie an jemanden weitergegeben, der die Person identifizieren kann, sind es wieder personenbezogene Daten;
für einen Auftragsverarbeiter bleiben Daten, die er im Auftrag verarbeitet, stets personenbezogene Daten;
der EDSA würde eine Stellungnahme zu Pseudonymisierung und Anonymisierung abgeben.

Cookies bleiben in der ePrivacy-Richtlinie

Die Kommission wollte die Cookie-Regeln in die DSGVO verlagern. Der Rat belässt sie in Artikel 5 Absatz 3 der ePrivacy-Richtlinie und fasst ihn neu. Die Einwilligung bleibt die Regel, mit Ausnahmen, wenn das Speichern oder Auslesen von Informationen unbedingt erforderlich ist, etwa zur Übertragung einer Nachricht, für einen ausdrücklich gewünschten Dienst, für die Sicherheit oder für eine anonyme, aggregierte Reichweitenmessung durch oder im Auftrag des Diensteanbieters.

Wird um Einwilligung gebeten, müssen Nutzer sie mit einem Klick oder einem gleichwertigen Mittel ablehnen können. Nach einer Ablehnung darf dieselbe Anfrage mindestens vier Monate lang nicht wiederholt werden; die Kommission hatte sechs vorgeschlagen. Die Mitgliedstaaten hätten 24 Monate nach der Annahme Zeit für die Umsetzung.

Weitere Punkte in der DSGVO

Automatisierte Entscheidungen (Artikel 22): Der Rat behält das Recht bei, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden, mit den bestehenden Ausnahmen und Garantien, darunter das Eingreifen einer Person.
Auskunftsanträge (Artikel 12 Absatz 5): Verantwortliche könnten ein Entgelt verlangen oder einen Antrag ablehnen, wenn eine missbräuchliche Absicht nachgewiesen werden kann; die Beweislast liegt beim Verantwortlichen.
Datenschutz-Folgenabschätzungen (Artikel 35): Der EDSA würde EU-weite Listen von Verarbeitungen veröffentlichen, die eine DSFA erfordern und die keine erfordern.
KI: Verarbeitungen für die Entwicklung und den Betrieb von KI-Systemen und -Modellen können auf das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f gestützt werden, und besondere Kategorien personenbezogener Daten, die zufällig in Trainingsdaten enthalten sind, müssen unverzüglich gelöscht oder, wenn das technisch unmöglich ist, geschützt werden.

Meldungen von Sicherheitsvorfällen nach NIS2

Statt einer zentralen EU-Meldeplattform würde die ENISA eine Informationsstelle für Vorfallsmeldungen aufbauen, die zeigt, welche Meldepflichten gelten, und zur richtigen nationalen Meldestelle weiterleitet; Meldungen nimmt sie selbst nicht entgegen. Binnen sechs Monaten nach Inkrafttreten würde die Kommission über die Unterschiede bei Definitionen, Schwellenwerten und Fristen zwischen NIS2, eIDAS, DSGVO, DORA und CER-Richtlinie berichten.

Was Sie jetzt tun

Noch ändert sich nichts. Melden Sie Datenpannen weiterhin binnen 72 Stunden, lassen Sie Ihre Cookie-Einwilligung, wie sie ist, und verfolgen Sie die Verhandlungen: Der endgültige Text kann sich bei jedem dieser Punkte noch verschieben.

Quellen

Zur Information, keine Rechtsberatung. Zuletzt aktualisiert am 29. Oktober 2026.

Themen: DSGVO, ePrivacy, NIS2, Digital Omnibus, EU

Auch verfügbar auf: English, Nederlands, Italiano, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål