Rechtsnews 21.12.2025 Christian R.

EU-Digital-Omnibus 2026: DSGVO-Änderung, KI-Verordnung und Cookie-Regeln auf dem Prüfstand

Die Europäische Kommission treibt mit dem sogenannten EU-Digital-Omnibus ein umfangreiches Anpassungspaket für das europäische Digitalrecht voran. Es bündelt Änderungen an der DSGVO (Datenschutz-Grundverordnung), am AI Act (Regulierung Künstlicher Intelligenz), an Tracking- und Cookie-Vorgaben sowie an flankierenden Datenregeln wie dem Data Act (Datenzugangs-Verordnung). Die Kommission verspricht weniger Bürokratie und mehr Rechtssicherheit. Dieser Beitrag beleuchtet die Ziele und die Kehrseiten für Bürgerinnen und Bürger sowie für Unternehmen. Er ordnet das Zusammenspiel der Rechtsakte für den deutschen Rechtsraum ein und zeigt, wo echte Erleichterungen möglich sind und wo neue Risiken entstehen.

Die Schritte des EU-Digital-Omnibus

1. DSGVO-Anpassungen
Die DSGVO ist seit 2018 der zentrale Datenschutzrahmen in der EU. Der EU-Digital-Omnibus will Begriffe und Verfahren schärfen. Diskutiert werden engere Kriterien für den Personenbezug, präzisere Aussagen zur Pseudonymisierung und eine Konkretisierung der Identifizierbarkeit. Eine Anhebung der Schwelle für den Personenbezug würde den Umgang mit Nutzungs- und Telemetriedaten lockern. Das kann Innovation fördern, birgt aber das Risiko, dass Profilbildung und Reichweitenmessung mit weniger Hürden möglich sind. Zudem sollen Auskunfts- und Löschrechte begrenzt werden können, wenn Anträge als offensichtlich „missbräuchlich“ gelten. Unternehmen erhielten damit Abwehrinstrumente, Bürgerinnen und Bürger müssten häufiger um ihr Recht streiten.

2. KI-Verordnung in der Umsetzung
Der AI Act sieht Pflichten je nach Risiko vor. Der Digital-Omnibus zielt auf einheitliche Implementierungsleitlinien, ein Modellregister, Kennzeichnungspflichten für KI-generierte Inhalte und ein stärker abgestimmtes Zusammenspiel mit der DSGVO. Für Trainingsdaten sollen legale Nutzungswege erweitert werden, etwa bei öffentlich zugänglichen Quellen. Ein Opt-out für Betroffene ist vorgesehen. Die Wirksamkeit eines Opt-out hängt jedoch von robusten und interoperablen Prozessen ab. Gerade bei großen Trainingskorpora sind Löschketten und Nachvollziehbarkeit technisch anspruchsvoll.

Unsicher bei einer Rechtsfrage? Holen Sie sich jetzt eine schnelle Einschätzung – ab 29,99 €.

★★★★★ Seit 2004 Millionen beratene und zufriedene Kunden

Was passt zu Ihnen?

Wenn Sie lieber direkt sprechen möchten.

Telefonisch

Für alle, die direkt mit einem Anwalt sprechen möchten

Anruf innerhalb ca. 4 Stunden

ab 34,99 € *

15 / 30 / 45 Min wählbar
Persönlich & lösungsorientiert
Wenn Reden wichtig ist

Anwalt telefonisch anfragen

Ideal, wenn Sie sofort persönlich sprechen möchten.

Wenn Sie schnell und günstig eine erste Orientierung brauchen.

✦ Empfohlen

KI-Ersteinschätzung zur Rechtsfrage

⚡ Antwort in ca. 2 Minuten ⚡

ab 29,99 € *

Ideal für erste, rechtliche Orientierung

PDF-Antwort in 5 klaren Kapiteln
Rechtliche Einordnung & nächste Schritte
Optional: Doku-Check & Anwaltstelefon

KI-Ersteinschätzung starten →

✓ Keine Wartezeit · ✓ Keine versteckten Kosten · ✓ Sofort online starten

★★★★★ 4,8 / 5 Sterne

Geprüft gem.
EU AI-Act

Der schnellste Weg zu einer ersten Einschätzung.

Wenn Sie eine schriftliche Antwort wünschen.

Schriftlich

Für komplexere Fälle mit anwaltlicher Ausarbeitung

Antwort in ca. 1 Werktag

99,99 € *

Schriftliche anwaltliche Ausarbeitung
Upload eines Dokuments möglich
Eine Rückfrage inklusive

Schriftliche Antwort erhalten

Für Fälle, bei denen Sie eine ausführliche Antwort benötigen.

*alle Preise inkl. MwSt. · LexBot® ist als Marke geschützt und beim Deutschen Patent- und Markenamt (DPMA) registriert.

3. Cookies, Einwilligungen und Signale
Ein Kernstück ist ein EU-weit einheitliches Präferenzsignal für Einwilligungen. Browser, Betriebssysteme oder Apps sollen mit einem Klick eine nutzerweite Entscheidung übermitteln, die Webseiten respektieren müssen. Cookie-Banner könnten zurückgedrängt werden. Offene Punkte bleiben die Standard-Voreinstellung, die Interoperabilität zwischen Geräten und die Frage, wie konfliktierende Signale aufgelöst werden. Ohne klare Governance drohen Messfehler, Rechtsunsicherheit und neue Dark-Pattern-Versuche bei der Einstellungsauswahl. Ergänzend bleibt die E-Privacy-Richtlinie relevant (2002/58/EG).

4. Datenzugang und Data Act
Parallel werden mit Data Act und Open-Data-Regeln Schnittstellen für Datennutzung präzisiert. Öffentliche und private Stellen sollen hochwertige Datensätze leichter bereitstellen, um europäische KI und Forschung zu stärken. Unternehmen stehen vor der Aufgabe, Schutz von Geschäftsgeheimnissen, Vertragstreue und Gemeinwohlinteressen sauber auszubalancieren. Je breiter Daten geteilt werden, desto höher sind die Anforderungen an Anonymisierung, Zweckbindung und Auditierbarkeit.

Ziele des EU-Digital-Omnibus und mögliche Nebenwirkungen

Ziel: Vereinheitlichung von Datenschutz, KI-Regeln und Tracking.
Nachteil: Übergangskomplexität, divergierende Auslegungen der Aufsichtsbehörden, längere Projektlaufzeiten.
Ziel: Reduktion administrativer Kosten.
Nachteil: Umstellungskosten in IT, Recht und Produktentwicklung steigen kurzfristig. Neue Dokumentationsformate verursachen Mehraufwand.
Ziel: Mehr hochwertige Daten für europäische KI.
Nachteil: Opt-out kann in der Masse untergehen. Betroffene verlieren faktisch an Kontrolle, wenn Pseudonymisierung zu großzügig interpretiert wird.
Ziel: Einheitliches Einwilligungssignal.
Nachteil: Risiko voreingestellter Profile, die nicht dem individuellen Willen entsprechen. Fragmentierung, falls große Plattformen proprietäre Varianten forcieren.
Ziel: Schnelle und planbare Umsetzung des AI Act.
Nachteil: Mittelstand gerät unter Zeitdruck. Zertifizierungskapazitäten und Auditoren sind knapp, Lieferketten mit KI-Komponenten bleiben unübersichtlich.
Ziel: Bessere Durchsetzung gegen missbräuchliche Betroffenenanträge.
Nachteil: Reale Fälle könnten als missbräuchlich eingestuft werden. Bürgerinnen und Bürger benötigen mehr rechtliche Unterstützung.

Konkrete Nachteile der EU-Digital-Omnibus Maßnahmen im Alltag

Für Bürgerinnen und Bürger

Mehr Daten in KI-Trainingssets trotz Widerspruchsrecht. Ein ausreichender Nachweis, dass ein Opt-out systemweit greift, ist für Einzelne schwer zu führen.
Mögliche Schwächung des Schutzniveaus bei pseudonymen Daten. Re-Identifizierungsrisiken werden in der Praxis oft unterschätzt.
Unübersichtlichkeit bei globalen Präferenzsignalen. Wer mehrere Geräte nutzt, verliert leicht den Überblick, welche Entscheidung wo gilt.
Höhere Hürden bei Auskunft und Löschung, wenn Verantwortliche Anträge häufiger zurückweisen. Der Beschwerdeweg zu Aufsichtsbehörden verlängert Verfahren.

Für Unternehmen und öffentliche Stellen

Neubewertung aller Datenkategorien mit Blick auf Personenbezug und Pseudonymisierung. Das betrifft Logs, Telemetrie, Marketingdaten und Forschungskorpora.
Umbau von Consent-Management-Plattformen inklusive Konfliktlogik für Banner, Browser und App-Signale. Fehlkonfigurationen führen schnell zu Rechtsverstößen.
Eng verzahnte Governance zwischen Datenschutz-Folgenabschätzung (DPIA) und KI-Risikomanagement. Modellregister, Testprotokolle und Datenherkunftsnachweise sind zu pflegen.
Neue Vertragspflichten beim Datenteilen. Es braucht klare Zweckbindung, Geheimnisschutz, Auditklauseln und Löschroutinen entlang der gesamten Kette.
Uneinheitliche Auslegung in Mitgliedstaaten. Unternehmen mit mehreren EU-Niederlassungen sehen sich unterschiedlichen Prüfmaßstäben ausgesetzt.

Praktische Tipps zum EU-Digital-Omnibus

Regulatory Radar etablieren: Interdisziplinäres Team aus Recht, Datenschutz, IT-Sicherheit, Data Science und Produkt. Aufgaben sind Monitoring, interne Leitlinien und Vorlagen.
Dateninventar und Personenbezug prüfen: Systematische Klassifizierung aller Datendomänen. Dokumentation, warum Daten personenbezogen, pseudonym oder anonym sind. Re-Identifizierungsrisiken transparent bewerten.
Opt-out-Mechanismus für KI: Einheitliche Eingangsstellen für Widersprüche, Identitätsprüfung, Protokollierung, Propagation in Trainingspipelines, Retraining und Backfills. Ergebnisse nachweisbar machen.
Consent-Architektur modernisieren: Standardisierte Signalformate implementieren. Konfliktregeln definieren, wenn Bannerentscheidung, Browsersignal und App-Einstellung kollidieren. Dark-Pattern-freie UX sicherstellen.
AI-Governance professionalisieren: Modellregister mit Zweck, Trainingsquellen, Evaluationen und Freigaben. Abgleich von KI-Risikoklassen mit den Datenrechtspflichten. Incident-Response-Pläne für Model-Updates.
Verträge und Policies aktualisieren: Data-Sharing-Verträge, Auftragsverarbeitungen und Lizenzbedingungen anpassen. Schutz von Geschäftsgeheimnissen und IP mit technischen Zugriffskontrollen flankieren.
Transparente Kommunikation: Einfache Erklärungen zu Datenverwendung und KI-Einsatz. Niedrigschwellige Widerspruchswege. Schulungen für Support und Produktteams.

Übersicht zum EU-Digital-Omnibus

Themenfeld	Ziel der EU	Nachteile für Bürger	Nachteile für Unternehmen	Zentrales To-do
DSGVO-Definitionen	Klarer Personenbezug	Mehr Profilbildung bei pseudonymen Daten	Neuklassifizierung sämtlicher Datensätze	Dateninventar und DPIA anpassen
Betroffenenrechte	Missbrauch verhindern	Mehr Ablehnungen von Auskünften	Begründungslasten und Beschwerderisiken	Transparente Kriterien und Vorlagen
KI-Training	Mehr Datennutzung ermöglichen	Opt-out wirkt schwächer als Opt-in	Aufwändige Lösch- und Retraining-Prozesse	Widerspruchs-Propagation implementieren
Cookie-Signale	Ein Klick statt Banner	Unklare Voreinstellungen	Technische Konfliktlogik erforderlich	Consent-Systeme umbauen
Data Act	Datenteilung fördern	Breitere Sekundärnutzung	Risiken für Geschäftsgeheimnisse	Vertragliche Sicherungen ausbauen
Aufsicht	Harmonisierung	Uneinheitliche Übergangspraxis	Mehrfache Prüfungsrisiken	Frühzeitige Behördenabstimmung

Häufige Irrtümer und wie Sie sie vermeiden

„Pseudonym heißt nicht personenbezogen“ ist falsch. Pseudonymisierte Daten bleiben personenbezogen, solange Identifizierbarkeit nicht praktisch ausgeschlossen ist. Das gilt auch bei Aggregation.
„Ein globales Einwilligungssignal löst alles“ stimmt nicht. Rechtliche Wirksamkeit setzt eine saubere Technik-Kette voraus. Sonst drohen Bußgelder wegen fehlender Beweisbarkeit.
„Open Data ist frei verwendbar“ ist zu kurz gedacht. Urheberrecht, Lizenzbedingungen und Datenschutz sind zusätzlich zu prüfen.
„Opt-out im KI-Training reicht“ nur, wenn Löschungen auch in Modellupdates und Ableitungen ankommen. Andernfalls bleibt die Verletzung bestehen.

Mini-Fallbeispiel aus der Praxis

Ein mittelständischer Händler setzt eine Empfehlungs-KI ein, die mit Logdaten trainiert wird. Nach dem Digital-Omnibus stuft das Unternehmen weite Teile der Telemetrie als pseudonym ein. Kurz darauf widersprechen mehrere Kundinnen der Verwendung ihrer Daten im Training. Ohne vollständige Datenherkunftsnachweise kann das Unternehmen nicht belegen, welche Datensätze betroffen sind. Die Folge sind Projektstopps, Rechtskosten und ein Reputationsschaden. Erst nach Einführung eines Modellregisters, klaren Löschketten und eines interoperablen Opt-out-Prozesses stabilisiert sich der Betrieb. Das Beispiel zeigt, dass vermeintliche Vereinfachung ohne Governance schnell ins Gegenteil umschlägt.

Rechtlicher Kontext in D-A-CH

Für Deutschland bleibt die Zuständigkeit der Landesdatenschutzbehörden bestehen, koordiniert durch die Datenschutzkonferenz. Unternehmen sollten damit rechnen, dass Leitlinien und Bußgeldpraxis zunächst uneinheitlich sind. In Österreich und der Schweiz (mit eigenständigem DSG) gelten ähnliche Grundsätze, jedoch abweichende Behördenpraxis und Fristen. Grenzüberschreitende Projekte benötigen deshalb eine klare „Lead Authority“ und abgestimmte Verfahrenssprache.

Weiterführende Quellen

Fazit

Der EU-Digital-Omnibus will Ordnung in das europäische Digitalrecht bringen und die Wettbewerbsfähigkeit stärken. Realistisch bedeutet das Paket eine umfassende Nachjustierung an sensiblen Stellen. Bürgerinnen und Bürger können von weniger Bannern und besserer Transparenz profitieren, zugleich drohen spürbare Einbußen bei der informationellen Selbstbestimmung, wenn Pseudonymisierung zu weit ausgelegt wird oder Opt-out im KI-Training praktisch verpufft. Unternehmen erhalten Perspektiven auf weniger Doppelprüfungen, tragen aber in der Übergangsphase erhebliche Umstellungs- und Haftungsrisiken. Wer jetzt Dateninventar, Consent-Architektur und KI-Governance auf ein belastbares Fundament stellt, kann die Vorteile heben und die Risiken begrenzen.

Rechtlicher Hinweisblock

Haftungsausschluss: Dieser Beitrag dient nur der allgemeinen Information und stellt keine Rechtsberatung dar.
Eine individuelle Prüfung Ihres Einzelfalls ist erforderlich. Konkrete Maßnahmen sollten nur nach fachkundiger Beratung erfolgen.
Passenden Beistand finden Sie hier: Anwalt für Datenschutzrecht.
Telefonische Rechtsberatung 30 Minuten für 49,99 €*: Jetzt Termin vereinbaren.
LexBot bietet erstklassige KI-Rechtsberatung ab 29,99 €*: Weitere Informationen.
Dieser Artikel wurde mit Hilfe von KI erstellt.