Die Regierungen der Europäischen Union haben sich am 21. Oktober 2026 im Ausschuss der Ständigen Vertreter (Coreper) auf eine gemeinsame Verhandlungsposition zum Digital Omnibus verständigt. Wie aus dem Dokument 14756/26 und Berichten vom 9. und 10. November 2026 hervorgeht, bildet das Vorhaben einen zentralen Baustein des Reformpakets Omnibus-VII.
Ziel der Mitgliedstaaten sind verständlichere und praxisnähere Digitalvorschriften, die Stärkung der europäischen Wettbewerbsfähigkeit sowie eine spürbare Senkung von Verwaltungslasten bei gleichzeitigem Erhalt hoher Datenschutzstandards. Nach Schätzungen der Europäischen Kommission könnten die Maßnahmen bis 2029 Einsparungen von bis zu 5 Mrd. EUR ermöglichen.
Anpassungen im Datenschutz und Meldewesen
Inhaltlich bringt der Entwurf des Rates wesentliche Präzisierungen für Unternehmen. Die grundlegende Definition personenbezogener Daten in der Datenschutz-Grundverordnung (DSGVO) bleibt unangetastet; die Europäische Kommission hatte im November 2025 noch eine Einschränkung angestrebt.
Ein neu eingeführter Artikel 25a regelt künftig den Umgang mit pseudonymisierten Daten: Diese gelten für Dritte als nicht personenbezogen, sofern für sie keine Identifizierungsmöglichkeit besteht. Für die verarbeitende Stelle verbleibt die Einstufung als personenbezogene Information hingegen bestehen.
Zusätzlich sieht der Entwurf Erleichterungen bei unbegründeten oder exzessiven Ersuchen vor, etwa bei Datenschutzauskunftsersuchen mit nachgewiesener missbräuchlicher Absicht, sowie verringerte Informationspflichten in risikoarmen Szenarien.
Die Meldefrist bei Datenschutzverletzungen soll von 72 auf 96 Stunden verlängert werden und nur noch dann greifen, wenn voraussichtlich ein hohes Risiko vorliegt.
Anstelle eines zentralen EU-Zugangspunkts sollen nationale Meldeportale sowie eine europäische Informationsstelle eingerichtet werden. Einheitliche EU-Listen für Hochrisikoverarbeitungen und standardisierte Vorlagen sollen das Verfahren harmonisieren.
Wer die neuen Regeln und Fristen der EU-Gesetzgebung im Blick behalten will, benötigt einen klaren Fahrplan für die betriebliche Praxis. Dieser kostenlose Umsetzungsleitfaden bietet einen kompakten Überblick über Anforderungen und Pflichten für Unternehmen. EU AI Act in 5 Schritten verstehen
Neue Spielräume für Künstliche Intelligenz und Webseiten
Für Entwicklung und Betrieb von Systemen Künstlicher Intelligenz (KI) führt der Entwurf den neuen Artikel 88b ein, der die Verarbeitung personenbezogener Daten auf der Rechtsgrundlage des legitimen Interesses ermöglicht. Ein entsprechender Erwägungsgrund stellt jedoch klar, dass KI-Entwicklung kein automatisches legitimes Interesse begründet, womit eine Einzelfallprüfung verbindlich bleibt.
Zugleich strich der Rat mehrere Vorschläge der Kommission: Das zwingende Erfordernis einer Einwilligung oder des Überwiegens von Rechten Minderjähriger entfällt, und das unbedingte Widerspruchsrecht weicht einem regulären Widerspruchsrecht, bei dem Verantwortliche die Verarbeitung bei überwiegenden Gründen fortsetzen dürfen.
Zudem wurden Vorgaben für sensible Daten bei biometrischer Verifikation sowie eine Definition für wissenschaftliche Forschung mit gezielten Ausnahmen formuliert.
Die Bestimmungen zu Cookies verbleiben in der ePrivacy-Regulierung. Vorgesehen sind mehr Ausnahmen ohne Einwilligungspflicht für die Bereitstellung von Diensten, Reichweitenmessungen und Gerätesicherheit. Websites müssen künftig eine Ein-Klick-Ablehnung bereitstellen und nach einer Ablehnung mindestens 4 Monate statt bisher 6 Monate warten, ehe sie erneut anfragen dürfen.
Die neuen gesetzlichen Anforderungen stellen viele Unternehmen vor große Herausforderungen bei der Risikodokumentation und Kennzeichnung. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen, um rechtssicher zu agieren. Kostenlosen KI-Umsetzungsleitfaden jetzt herunterladen
Eine Browser-Lösung für Einwilligungssignale wurde gestrichen; die Umsetzungsfrist für die Cookievorgaben beträgt 24 Monate nach Beschluss. Für Gatekeeper und sehr große Unternehmen sind zudem höhere Gebühren bei der Datennutzung vorgesehen, flankiert von einem stärkeren Schutz von Geschäftsgeheimnissen.
Reaktionen und weiterer Zeitplan
Die Einigung stieß auf geteilte Reaktionen. Die Datenschutzorganisation noyb um Max Schrems kritisierte die Position des Rates als digitale Enteignung und verwies auf eine eigene Erhebung, nach der lediglich 7% der deutschen Meta-Nutzer einer Verwendung ihrer Daten für KI-Training zustimmen.
Der Industrieverband DIGITALEUROPE forderte demgegenüber neun Nachbesserungen am Digital Omnibus, darunter einen robusteren Schutz von Betriebsgeheimnissen bei der Datenteilung, den Zugang von Herstellern zu nicht-personenbezogenen Produktdaten und Anreize für datenschutzfreundliche Technologien.
Der Verband verwies auf den Draghi-Bericht aus dem Jahr 2024, der Befolgungskosten der DSGVO von bis zu 500.000 EUR für kleinere und mittlere Unternehmen sowie bis zu 10 Mio. EUR für größere Organisationen auswies. Nach OECD-Daten band Regulierung im Jahr 2023 zudem 3,9% der Beschäftigung in der EU – mehr als doppelt so viel wie der Forschungs- und Entwicklungssektor mit 1,7%.
Als nächster Schritt stehen die Verhandlungen zwischen Rat und Europäischem Parlament an, sobald dieses seine Position beschlossen hat. Die Abgeordneten haben über 1.000 Änderungsanträge eingebracht; ein Termin für das Plenum steht noch aus. Der Abschluss aller Entlastungspakete ist bis Ende 2027 im Rahmen der am 24. April 2026 unterzeichneten Roadmap One Europe, One Market anvisiert.