Cookie-Banner 2026: Was der Digital Omnibus plant

Kurz gesagt: Am Cookie-Banner ändert sich 2026 zunächst nichts. Die EU-Kommission hat am 19. November 2025 mit dem sogenannten Digital Omnibus ein Paket vorgeschlagen, das unter anderem die Einwilligungsregeln für Cookies und ähnliche Techniken neu ordnen soll. Es handelt sich um einen Vorschlag im Gesetzgebungsverfahren – nicht um geltendes Recht. Wer jetzt Banner abschaltet oder Consent-Management-Verträge kündigt, handelt auf eigenes Risiko.

Für Marketingabteilungen ist das trotzdem relevant, denn die Richtung des Vorschlags sagt einiges darüber aus, wo die Messung in den nächsten Jahren hinlaufen dürfte. Und sie verschiebt die Prioritäten: weg von der Frage, wie man Einwilligungsraten optimiert, hin zu der Frage, welche Daten man auch ohne breite Einwilligung sinnvoll auswerten kann.

Was schlägt der Digital Omnibus für Cookies vor?

Der Kern des Vorschlags ist eine Zusammenführung: Bisher gelten für das Speichern und Auslesen von Informationen auf Endgeräten die Regeln der ePrivacy-Richtlinie – in Deutschland umgesetzt im Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz – und parallel dazu die DSGVO für die anschließende Verarbeitung. Dieses Nebeneinander soll aufgelöst und in der DSGVO gebündelt werden.

Inhaltlich diskutiert werden unter anderem drei Punkte:

• Ausnahmen für bestimmte Zugriffe: Sicherheitsfunktionen und Reichweitenmessung in eigener Verantwortung sollen ohne Einwilligungsdialog möglich sein.
• Weiterhin einwilligungspflichtig bleibt Tracking zu Werbe- und Profilbildungszwecken, insbesondere über Anbietergrenzen hinweg.
• Maschinenlesbare Signale: Nutzerentscheidungen sollen zentral im Browser oder Betriebssystem hinterlegt und von Websites respektiert werden können, statt auf jeder Seite erneut abgefragt zu werden.

Der Vorschlag ist umstritten. Kritik kommt vor allem von Datenschutzaufsicht und Wissenschaft, die eine Absenkung des Schutzniveaus befürchten, wenn zentrale Definitionen der DSGVO gelockert werden. Diese Auseinandersetzung ist Anfang 2026 nicht entschieden, und sie betrifft nicht nur die Cookie-Frage, sondern auch Begriffe wie den des personenbezogenen Datums.

Wann könnte das gelten?

Belastbar lässt sich das nicht datieren. Ein Vorschlag der Kommission muss Parlament und Rat durchlaufen, danach folgen in aller Regel Übergangsfristen. Realistische Einschätzungen aus der Rechtsberatung gehen bei den Cookie-Regeln von einer Anwendung deutlich nach 2026 aus. Für die eigene Planung heißt das nüchtern: Bis auf Weiteres bleibt alles, wie es ist – Banner, Consent-Management-Plattform, Dokumentation der Einwilligungen.

Was sollte ein Marketingteam stattdessen jetzt tun?

Statt auf eine Reform zu warten, lohnt sich die Arbeit an den Punkten, die unabhängig vom Ausgang des Verfahrens wirken.

1. Tag-Inventur. Welche Skripte laden auf welchen Seiten, wer hat sie eingebaut, wofür werden sie noch genutzt? In gewachsenen Shops finden sich regelmäßig Zählpixel von Kampagnen, die seit Jahren beendet sind. Jedes davon ist ein Einwilligungspunkt, eine Ladezeitbremse und ein Dokumentationsaufwand ohne Gegenwert.
2. Bannerqualität statt Bannertrickserei. Gestaltungen, die Ablehnen erschweren, sind aufsichtsrechtlich angreifbar und liefern zudem Daten, deren Rechtsgrundlage im Streitfall wackelt. Eine gleichwertig gestaltete Ablehnen-Option ist die belastbarere Variante.
3. Serverseitige Messung prüfen. Sie löst die Einwilligungsfrage nicht – die Rechtsgrundlage bleibt dieselbe –, verbessert aber Datenqualität und Ausfallsicherheit dort, wo eine Einwilligung vorliegt.
4. Eigene Datenquellen aufbauen. Bestellhistorie, Newsletter-Interaktion, Kundenkonto, Serviceanfragen: Diese Daten liegen ohnehin im Haus, sind an einen klaren Zweck gebunden und verlieren nicht an Wert, wenn Drittanbieter-Kennungen wegfallen.
5. Modellierte Kennzahlen verstehen. Werbeplattformen ergänzen fehlende Messwerte zunehmend rechnerisch. Wer nicht weiß, welcher Anteil einer Conversion-Zahl gemessen und welcher geschätzt ist, steuert Budget auf einer Grundlage, die er nicht beurteilen kann.

Was bedeutet der Vorschlag für die Attribution?

Weniger, als man hofft. Selbst wenn Reichweitenmessung in eigener Verantwortung künftig ohne Dialog möglich wäre, betrifft das die Messung auf der eigenen Website. Die kanalübergreifende Zuordnung – welcher Kontakt hat den Kauf ausgelöst – bleibt vom Tracking über fremde Angebote abhängig, und genau dort soll die Einwilligungspflicht bestehen bleiben.

Die praktische Konsequenz ist dieselbe, die schon seit einigen Jahren gilt: Einzelne Klickpfade werden als Steuerungsgröße unzuverlässiger, aggregierte Verfahren gewinnen. Für kleinere Budgets heißt das nicht zwingend ein Modell mit ökonometrischem Anspruch, sondern zunächst schlichte Disziplin – saubere Kampagnenkennzeichnung, ein stabiles Set an Kennzahlen und geplante Phasen, in denen ein Kanal bewusst pausiert wird, um seinen Beitrag überhaupt sichtbar zu machen.

Welche Daten bleiben auch ohne breite Einwilligung nutzbar?

Die Frage ist wichtiger als die Reformdebatte, weil sie unabhängig vom Gesetzgebungsverfahren beantwortbar ist. Ein erheblicher Teil dessen, was Marketingabteilungen für Steuerung und Personalisierung brauchen, entsteht ohnehin in der Geschäftsbeziehung – und unterliegt damit anderen Voraussetzungen als das Auslesen von Informationen aus dem Endgerät zu Werbezwecken.

Die letzte Zeile wird regelmäßig unterschätzt. Die interne Suchfunktion protokolliert, wonach Menschen fragen, bevor sie kaufen oder abspringen – und liefert damit exakt die Formulierungen, die in Produkttexten und Kategoriebeschreibungen fehlen. Diese Auswertung braucht kein Tracking über fremde Angebote und keine Werbekennung; sie braucht nur, dass jemand sie regelmäßig ansieht.

Wichtig bleibt dabei die Zweckbindung: Daten, die für die Abwicklung einer Bestellung erhoben wurden, sind nicht automatisch für jede Auswertung nutzbar. Eine saubere Dokumentation, welche Auswertung auf welcher Grundlage erfolgt, ist Voraussetzung – und sie ist deutlich einfacher zu führen als der Nachweis über Einwilligungen aus einem Bannerdialog.

Der Aufräumeffekt, den niemand einplant

Wer die Tag-Inventur wirklich durchführt, findet in gewachsenen Shops regelmäßig zwischen fünf und zwanzig Skripte, die niemand mehr zuordnen kann. Jedes davon verlängert die Ladezeit, erhöht die Fehleranfälligkeit im Consent-Management und muss dokumentiert werden. Der Rückbau ist damit gleichzeitig eine Datenschutz-, eine Geschwindigkeits- und eine Wartungsmaßnahme – drei Argumente für dieselbe Arbeit, was die interne Priorisierung erheblich erleichtert.

Drei Fragen für den nächsten Jour fixe

Wer das Thema aus der Nachrichtenlage in die Arbeitsplanung überführen will, braucht keine Rechtsberatung, sondern drei Antworten. Erstens: Wie viele Skripte laden auf unseren Seiten, und wie viele davon kann jemand namentlich begründen? Zweitens: Welcher Anteil unserer Auswertungen hinge tatsächlich an einwilligungspflichtigen Daten – und welcher liefe auch ohne sie weiter? Drittens: Wer bemerkt es, wenn das Consent-Management nach einem Shop-Update Skripte nicht mehr korrekt blockiert?

Die dritte Frage ist die unangenehmste, weil sie fast nie beantwortet ist. Fehlkonfigurationen nach Updates sind der häufigste reale Datenschutzmangel im E-Commerce – deutlich häufiger als bewusste Verstöße. Eine vierteljährliche Prüfung mit einem einfachen Netzwerk-Mitschnitt vor und nach der Einwilligung deckt sie zuverlässig auf und kostet eine halbe Stunde.

Was Sie der Geschäftsführung sagen können

Drei Sätze reichen: Es gibt einen Reformvorschlag, er ist nicht beschlossen, und bis dahin ändert sich für uns nichts. Wir nutzen die Zeit, um Skripte zu reduzieren und eigene Datenquellen auszubauen – beides wirkt unabhängig davon, wie die Reform ausgeht. Diese Formulierung verhindert zuverlässig die zwei teuersten Reaktionen: das vorschnelle Abschalten von Banner und Consent-Management einerseits und das Aussitzen jeder Verbesserung mit Verweis auf die kommende Reform andererseits.

Häufige Fragen

Kann ich mein Cookie-Banner 2026 abschalten?

Nein. Die Vorschläge des Digital Omnibus befinden sich im Gesetzgebungsverfahren. Bis zu einer beschlossenen und anwendbaren Änderung gelten die bestehenden Einwilligungspflichten unverändert weiter, einschließlich der Nachweispflicht gegenüber der Aufsicht.

Betrifft der Digital Omnibus nur Cookies?

Nein, das Paket umfasst mehrere Rechtsakte. Neben Anpassungen im Datenschutzrecht enthält es auch Änderungen an der KI-Verordnung, insbesondere zu deren Anwendungsfristen. Beide Teile werden getrennt verhandelt und können unterschiedlich schnell vorankommen.

Lohnt sich jetzt noch eine Investition in Consent-Management?

Ja, sofern sie auf Sauberkeit statt auf Maximierung zielt: korrekte Kategorisierung aller Skripte, sauberes Blockieren vor der Einwilligung, nachvollziehbare Protokollierung. Diese Arbeit ist unabhängig vom Ausgang der Reform nützlich – und sie ist die Voraussetzung dafür, ein Banner später überhaupt vereinfachen zu können.

Der ruhigste Umgang mit dem Thema ist deshalb, es aus der Nachrichtenlage herauszunehmen und als das zu behandeln, was es für die Praxis ist: eine angekündigte Änderung mit offenem Zeitplan. Wer in der Zwischenzeit seine Skripte aufräumt und die eigenen Datenquellen ausbaut, steht in jedem der möglichen Szenarien besser da.