Der Rat der Europäischen Union hat am 21. Oktober 2026 in Brüssel seine Verhandlungsposition zum sogenannten Digital Omnibus festgelegt. Das Vorhaben bildet den datenbezogenen Teil des Omnibus-VII-Pakets und geht auf den Kommissionsvorschlag vom 19. November 2025 zurück. Ziel des Gesetzgebungsverfahrens ist die gezielte Vereinfachung von Regelungen in den Bereichen Datenschutz, Privatsphäre und Cyber-Meldepflichten.
Dem Beschluss ging ein Mandat vom 2. Oktober 2026 voraus, nachdem frühere Kompromissversuche Anfang Oktober unter anderem an Forderungen Deutschlands und Frankreichs nach stärkeren Schutzmechanismen im Data Act gescheitert waren und der Ausschuss der Ständigen Vertreter die Einigung am 11. Oktober 2026 vertagt hatte.
Anpassungen der DSGVO und neue Meldefristen
In der Datenschutz-Grundverordnung hält der Rat an der bisherigen Definition personenbezogener Daten fest und verzichtet auf einen subjektiven Ansatz. Zugleich führt die Position eine neue Regelung zur Pseudonymisierung ein.
Bei Datenschutzverletzungen soll die Frist zur Meldung von 72 auf 96 Stunden verlängert werden, einhergehend mit einer angehobenen Meldeschwelle – eine Anpassung, die laut einer gemeinsamen Stellungnahme der europäischen Datenschutzbeauftragten und des Datenschutzausschusses begrüßt wird.
Darüber hinaus sieht der Ratsentwurf vom 21. Oktober 2026 eine unionsweite Liste hochriskanter Verarbeitungen sowie gemeinsame Vorlagen zur Einhaltung der Vorschriften vor. Das Konzept der wissenschaftlichen Forschung erhält eine prinzipienbasierte Definition mit Ausnahmen.
Wer sich mit der Klassifizierung von Verarbeitungen befasst, muss oft komplexe rechtliche Vorgaben prüfen. Dieser kostenlose Report beantwortet die wichtigsten Fragen zur Pflicht einer Folgenabschätzung und hilft dabei, die notwendigen Schritte rechtssicher einzuleiten. Kostenlosen Report und DSFA-Checkliste herunterladen
Für die Verarbeitung sensibler Daten im Rahmen biometrischer Verifikation sowie bei Entwicklung und Betrieb von Systemen künstlicher Intelligenz werden Schutzvorkehrungen verankert, während zugleich rechtmäßige Grundlagen für die Datenverarbeitung bei KI klargestellt werden. Bei offenkundig unbegründeten oder übermäßigen Anträgen und risikoarmen Informationspflichten sind Vereinfachungen vorgesehen.
Kurswechsel bei Cookies und Neuerungen im Cyber-Meldewesen
Bei den Regelungen zu Tracking und Cookies kehrt der Rat zu den Bestimmungen der e-Privacy-Richtlinie zurück. Die von der EU-Kommission vorgeschlagene Pflicht für zentrale Browser-Signale zur Einwilligung wurde gestrichen.
Stattdessen definiert der Text sechs Ausnahmen von der Einwilligungspflicht, darunter für die Bereitstellung des Dienstes, First-Party-Reichweitenmessung, medienbezogene Reichweitenmessung sowie für Sicherheitsprüfungen von Geräten und die Messung kontextbezogener Werbung.
Wird eine Zustimmung verweigert, verkürzt sich die Wartezeit vor einer erneuten Abfrage von sechs auf vier Monate. Die Aufsicht verbleibt bei den Datenschutzbehörden.
Angesichts der neuen Regeln für KI-Systeme und biometrische Daten stehen viele Verantwortliche vor großen Herausforderungen. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über Fristen, Pflichten und Risikoklassen, um rechtlich auf der sicheren Seite zu bleiben. EU AI Act Umsetzungsleitfaden kostenlos sichern
Im Bereich der Cybersicherheit sieht die Ratsposition nationale Eingangspunkte je Mitgliedstaat vor, die durch einen zentralen europäischen Informationspunkt ergänzt werden, anstelle einer rein einheitlichen EU-Meldestelle. Zudem beinhaltet die Position die Aufhebung von Vorschriften zu Plattform-zu-Unternehmen-Beziehungen (P2B) und Konsolidierungen des Datenrechtsbestands.
Für die Weiterverwendung von Daten durch Großunternehmen und Gatekeeper sollen höhere Gebühren gelten; Geschäftsgeheimnisse dürfen nur unter spezifischen Schutzmaßnahmen offengelegt werden, ergänzt um Vorgaben gegen deren Abfluss in Drittstaaten.
Kritik von Verlagen und parlamentischer Fahrplan
Der europäische Verlegerverband European Publishers Council kritisierte das Mandat nach der Beschlussfassung. Die Organisation warnt vor negativen Folgen restriktiver Vorgaben für First-Party-Daten auf die Finanzierung von journalistischen Inhalten und bezeichnete die Ausnahmen für kontextbezogene Werbung als primären Vorteil für große Plattformen.
Zudem bemängelte der Verband, dass der Text zwar Spielräume für das Training von KI einräume, für Medienhäuser jedoch weiterhin strenge Zustimmungsregeln gelten würden.
Im Europäischen Parlament führen die Ausschüsse für Industrie, Forschung und Energie sowie für bürgerliche Freiheiten das Verfahren unter der Leitung der Berichterstatterinnen Aura Salla und Marina Kaljurand. Zu einem Entwurf vom 22. Juni liegen über 1.750 Änderungsanträge vor.
Da die Mitgliedstaaten keine Folgenabschätzung zur Entscheidung über die Cookieregeln vorgenommen haben, wurde der wissenschaftliche Dienst des Parlaments mit einer Prüfung beauftragt. Sobald das Parlament seine Verhandlungsposition verabschiedet hat, beginnen die Trilog-Verhandlungen zwischen Rat, Parlament und Kommission.