Digital Omnibus: Änderungen an DSGVO und KI-Regeln

Die Europäische Kommission hat am 19. November 2025 das sogenannte Digital-Omnibus-Paket vorgelegt – zwei Gesetzgebungsvorschläge, die unter anderem die DSGVO, die ePrivacy-Regeln und die KI-Verordnung ändern sollen. Für Marketingabteilungen sind zwei Punkte relevant: geplante Erleichterungen beim Einwilligungserfordernis für Cookies und eine mögliche Verschiebung von Fristen der KI-Verordnung. Entscheidend ist dabei die Einordnung: Es handelt sich um Vorschläge, nicht um geltendes Recht.

Das Paket besteht aus einem allgemeinen Digital-Omnibus, der Datenschutz-, ePrivacy- und Cybersicherheitsvorschriften betrifft, und einem separaten Digital-Omnibus zur KI-Verordnung. Beide durchlaufen nun das ordentliche Gesetzgebungsverfahren und benötigen die Zustimmung von Europäischem Parlament und Rat. Bis dahin gilt die Rechtslage unverändert weiter – wer heute Prozesse umstellt, weil ein Vorschlag Erleichterungen ankündigt, handelt verfrüht.

Was soll sich beim Einwilligungserfordernis für Cookies ändern?

Der praktisch wichtigste Vorschlag für Marketing und Analytics betrifft den Zugriff auf Endgeräte. Bislang verlangt das Einwilligungserfordernis – in Deutschland umgesetzt in § 25 TDDDG – eine Zustimmung für nahezu jedes Speichern und Auslesen von Informationen auf dem Endgerät, mit sehr eng ausgelegten Ausnahmen.

Der Vorschlag würde diesen Ausnahmenkatalog erweitern. Genannt werden unter anderem Zwecke wie die Übertragung einer Nachricht, die Erbringung eines ausdrücklich angeforderten Dienstes, die Sicherheit von Dienst und Endgerät sowie – und das ist der für Marketingteams interessante Punkt – die aggregierte Reichweitenmessung für eigene Zwecke des Verantwortlichen. Zusätzlich soll bei einwilligungspflichtigen Fällen ein Widerruf mit einem Klick möglich sein, und eine geäußerte Präferenz soll für einen bestimmten Mindestzeitraum respektiert werden.

Was das für die Praxis bedeuten könnte: Eine rein interne, aggregierte Reichweitenmessung ohne Weitergabe an Dritte käme möglicherweise ohne Consent-Banner aus. Was es nicht bedeutet: Ein Freibrief für Marketing-Tracking. Personalisierte Werbung, Remarketing und die Weitergabe von Messdaten an Plattformen sind von diesen Ausnahmen erkennbar nicht erfasst.

Was ist bei der KI-Verordnung geplant?

Der zweite Vorschlag zielt darauf, Teile der KI-Verordnung zu vereinfachen und zeitlich zu strecken. Der am deutlichsten kommunizierte Punkt betrifft Hochrisiko-Systeme: Statt wie bisher vorgesehen ab August 2026 sollen die Anforderungen für Hochrisiko-Systeme nach Anhang III erst ab Dezember 2027 gelten. Als Begründung nennt die Kommission fehlende harmonisierte Normen und die verzögerte Benennung von Konformitätsbewertungsstellen. Für eine zweite Kategorie von Hochrisiko-Systemen – solche, die als Sicherheitsbauteil regulierter Produkte eingesetzt werden – ist ein noch späterer Zeitpunkt vorgesehen.

Auch für die Transparenzpflichten nach Artikel 50 sieht der Vorschlag Übergangserleichterungen für Systeme vor, die vor dem bisherigen Stichtag am Markt waren. Ein verlässliches neues Datum lässt sich daraus derzeit nicht ableiten, weil der endgültige Text noch verhandelt wird. Für die eigene Planung bedeutet das: Der 2. August 2026 bleibt bis auf Weiteres der Termin, auf den hin gearbeitet werden sollte.

Warum auch der Begriff „personenbezogene Daten" berührt wird

Fachlich am weitreichendsten ist ein Punkt, der in der öffentlichen Diskussion wenig Aufmerksamkeit bekommt: Der Vorschlag zielt auf eine stärker am Verantwortlichen ausgerichtete Auslegung des Personenbezugs. Vereinfacht gesagt soll es darauf ankommen, ob der jeweilige Verantwortliche eine Person mit den ihm zur Verfügung stehenden Mitteln identifizieren kann – und nicht darauf, ob irgendein denkbarer späterer Empfänger dazu in der Lage wäre.

Für Marketingdaten hätte das erhebliche Konsequenzen, weil viele Grenzfälle genau an dieser Frage hängen: pseudonymisierte Kennungen, aggregierte Messwerte, Gerätekennzeichen. Ob sich diese Auslegung durchsetzt, ist offen; sie berührt eine der Grundfragen des europäischen Datenschutzrechts und wird entsprechend kontrovers diskutiert. Für die Praxis heißt das vorerst: weiter von der bisherigen, weiten Auslegung ausgehen.

Und die Nutzung personenbezogener Daten für KI-Training?

Der Vorschlag würde ausdrücklich klarstellen, dass die Verarbeitung personenbezogener Daten zur Entwicklung und zum Training von KI-Systemen auf das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO gestützt werden kann – unter Auflagen wie Datenminimierung und geeigneten Schutzmaßnahmen. Vorgesehen ist außerdem eine Regelung für den Fall, dass besondere Kategorien personenbezogener Daten unbeabsichtigt in Trainingsdaten geraten.

Für Unternehmen, die eigene Modelle auf eigenen Kundendaten trainieren oder anpassen, wäre das eine spürbare Erleichterung der Begründungslast. Die Interessenabwägung selbst entfällt dadurch nicht – sie muss weiterhin durchgeführt und dokumentiert werden, und die Rechte der betroffenen Personen einschließlich des Widerspruchsrechts bleiben bestehen.

Wie sollten Marketingteams jetzt damit umgehen?

Die naheliegende Versuchung ist, geplante Datenschutzprojekte auf Eis zu legen. Das ist aus drei Gründen riskant.

• Der Ausgang ist offen. Vorschläge der Kommission werden im Verfahren regelmäßig verändert. Welche Erleichterungen den Trilog überstehen, ist derzeit nicht absehbar.
• Bis zur Verabschiedung gilt geltendes Recht. Aufsichtsbehörden prüfen nach der aktuellen Rechtslage, nicht nach einem Entwurf.
• Die Grundlagenarbeit bleibt in jeder Variante nötig. Verarbeitungsverzeichnis, Zweckbindung, Löschkonzept, Auftragsverarbeitungsverträge und ein Consent-Management, das die tatsächlichen Verarbeitungen abbildet – all das wird von keinem der Vorschläge überflüssig.

Sinnvoll ist deshalb ein anderer Umgang: die eigenen Vorhaben so aufsetzen, dass sie von möglichen Erleichterungen profitieren können, ohne von ihnen abzuhängen.

Wie ordnet sich das in die Debatte ein?

Das Paket steht in einer Linie mit einer Entwicklung, die sich seit Anfang 2025 abzeichnet: Die europäische Politik verschiebt den Schwerpunkt von der Regelsetzung zur Wettbewerbsfähigkeit. Bereits beim KI-Gipfel im Februar 2025 in Paris war diese Tonlage deutlich. Der Digital Omnibus ist der erste Vorschlag, der diese Haltung in konkrete Gesetzestexte übersetzt.

Entsprechend kontrovers fällt die Bewertung aus. Wirtschaftsverbände begrüßen die Entlastung, Datenschutzorganisationen kritisieren eine Absenkung des Schutzniveaus über den Umweg technischer Vereinfachung. Beide Seiten haben nachvollziehbare Argumente, und der Ausgang wird sich im Trilog entscheiden. Für Unternehmen ist die Debatte selbst weniger relevant als eine daraus folgende Erkenntnis: Der regulatorische Rahmen ist beweglicher, als er 2024 wirkte – und Prozesse, die auf ein einzelnes Datum hin gebaut wurden, sind anfälliger als solche, die auf nachvollziehbarer Dokumentation beruhen.

Genau das ist der Grund, warum die Empfehlung nicht lautet, auf das Ergebnis zu warten. Wer weiß, welche Daten er zu welchem Zweck auf welcher Rechtsgrundlage verarbeitet, kommt mit jeder Fassung des Gesetzes zurecht. Wer es nicht weiß, hat auch nach einer Vereinfachung kein belastbares Fundament.

Häufige Fragen

Ist das Consent-Banner damit abgeschafft?

Nein. Es handelt sich um einen Vorschlag, der noch von Parlament und Rat beraten werden muss. Selbst wenn er in der vorliegenden Form beschlossen würde, entfiele die Einwilligung nur für einen erweiterten Katalog technisch notwendiger und rein interner, aggregierter Zwecke. Für personalisierte Werbung, Remarketing und die Weitergabe von Daten an Dritte bliebe die Einwilligung erforderlich.

Können wir Compliance-Projekte zur KI-Verordnung jetzt verschieben?

Nur sehr eingeschränkt. Verschoben werden sollen nach dem Vorschlag Fristen für Hochrisiko-Systeme – eine Kategorie, in die typische Marketinganwendungen ohnehin selten fallen. Die Pflichten, die Marketingteams tatsächlich treffen, nämlich die Verbote aus Artikel 5 und die KI-Kompetenzpflicht aus Artikel 4, gelten seit dem 2. Februar 2025 und sind von der Diskussion nicht betroffen.

Wann ist mit einer Entscheidung zu rechnen?

Ein verbindlicher Zeitplan steht nicht fest. Gesetzgebungsverfahren dieser Größenordnung dauern in der Regel mehrere Quartale, und der Text kann sich dabei erheblich verändern. Wer heute plant, sollte die geltenden Fristen zugrunde legen und Erleichterungen als möglichen Bonus behandeln, nicht als Prämisse.

Fazit

Der Digital Omnibus vom 19. November 2025 ist ein Signal, dass die EU den Aufwand ihrer digitalen Regelwerke ernst nimmt – aber er ist noch keine Rechtsänderung. Für Marketingteams ist die vernünftige Haltung, die laufende Arbeit an Einwilligungsmanagement, Zweckdokumentation und redaktionellen Freigabeprozessen unverändert fortzusetzen. Diese Grundlagen sind in jedem denkbaren Ausgang des Verfahrens erforderlich. Was sich ändern kann, ist der Umfang der Ausnahmen und der Zeitpunkt einzelner Fristen – nicht die Notwendigkeit, zu wissen, welche Daten man zu welchem Zweck verarbeitet.