EU-Rat beschließt Digital-Omnibus: DSGVO, Cookies und Cyber-Meldungen werden vereinfacht

Die EU-Digitalregeln werden einfacher. Am 21. Oktober 2026 hat der Rat der EU sein Verhandlungsmandat beschlossen, um die DSGVO, die Cookie-Regeln der ePrivacy-Richtlinie sowie die Meldepflichten für Cyber- und Datenvorfälle zu vereinfachen — ein Paket unter dem Motto „Vereinfachung ohne Absenkung des Schutzniveaus“. Der vollständige Mandatstext wurde am Folgetag veröffentlicht.

Was ist passiert

Es handelt sich um das siebte Legislativpaket der Omnibus-Vereinfachungsagenda der EU. Ziel ist es, das digitale Regelwerk der EU klarer und leichter anwendbar zu machen und die Compliance-Kosten für Unternehmen und öffentliche Verwaltungen zu senken. Zu beachten: Der Teil desselben Pakets, der die Umsetzung der harmonisierten KI-Regeln vereinfacht, wurde bereits am 29. Juni 2026 verabschiedet. Was der Rat jetzt beschlossen hat, ist die andere Hälfte — die Vereinfachung des digitalen Rechtsrahmens.

Die Kernpunkte:

• DSGVO-Novelle: Die Definition personenbezogener Daten bleibt unverändert; neue Bestimmungen zu Pseudonymisierung und Identifizierbarkeit natürlicher Personen; vereinfachte Anforderungen bei unbegründeten oder exzessiven Betroffenenanfragen und bei Informationspflichten in risikoarmen Fällen; eine prinzipienbasierte Definition von „wissenschaftlicher Forschung“ mit gezielten Ausnahmen für Forschungseinrichtungen; eine an Schutzmaßnahmen geknüpfte Ausnahme für die Verarbeitung sensibler Daten zur biometrischen Verifizierung sowie für Entwicklung und Betrieb von KI-Systemen; Klarstellung der Rechtsgrundlage für KI-bezogene Datenverarbeitung; längere Frist für die Meldung von Datenschutzverletzungen; eine EU-weite Liste hochriskanter Verarbeitungskategorien und einheitliche Compliance-Vorlagen.
• Cookie-Regeln: Die Cookie- und Tracking-Regeln der ePrivacy-Richtlinie bleiben bestehen, doch es werden mehr Fälle definiert, in denen Cookies ohne Einwilligung gesetzt werden dürfen — etwa zur Bereitstellung eines Dienstes, zur Reichweitenmessung oder zum Schutz des Geräts. Cookie-Banner auf Webseiten dürften dadurch deutlich seltener werden.
• Plattform- und Datenregeln: Teile der Plattform-zu-Business-Verordnung (P2B) werden aufgehoben; der „Daten-Besitzstand“ (data acquis) wird konsolidiert; öffentliche Stellen dürfen für die Datenweiterverwendung durch sehr große Unternehmen — insbesondere benannte Gatekeeper — höhere Gebühren verlangen; der Schutz von Geschäftsgeheimnissen vor Abfluss in Drittländer wird gestärkt: Eine Offenlegung ist erst erforderlich, wenn Dateninhaber und Nutzer alle notwendigen Vertraulichkeitsmaßnahmen getroffen haben.
• Vorfallsmeldung: Statt einer einzigen EU-weiten Meldestelle richtet jeder Mitgliedstaat eine nationale Meldestelle ein, ergänzt um einen EU-weiten Informationspunkt für die Vorfallsmeldung sowie einen harmonisierten Rahmen für Meldungen und grenzüberschreitende Benachrichtigungen. Gleichzeitig ist die EU-KI-Verordnung bereits in die Durchsetzungsphase eingetreten (/article/2612-eu-ai-acts-first-enforcement-why-openai-and-anthropic-got-letters) — der Compliance-Druck ist real.

Als Nächstes nimmt die Ratspräsidentschaft die Verhandlungen mit dem Europäischen Parlament auf, sobald das Parlament seine eigene Verhandlungsposition festgelegt hat. Laut dem im April 2026 unterzeichneten Fahrplan „Ein Europa, ein Markt“ will die EU alle Vereinfachungspakete bis Ende 2027 abschließen.

Wen betrifft das

Der Anwendungsbereich ist die EU: In der EU tätige Unternehmen, öffentliche Verwaltungen und EU-Bürger sind betroffen.

• Unternehmen, die in der EU KI-Dienste anbieten oder personenbezogene Daten mit KI verarbeiten: Die Rechtsgrundlage für KI-Training und -Betrieb sowie der Compliance-Pfad für biometrische Verifizierung könnten neue Ausnahmemöglichkeiten erhalten. Die britische Datenschutzaufsicht hat bereits zehn Modellentwicklern Änderungen ihrer Datenpraktiken auferlegt (/article/2519-uk-ico-names-10-model-developers-changing-data-practices-and-xai-faces-a-separat) — die Daten-Compliance wird strenger.
• Datenschutz- und Sicherheitsteams: Die längere Meldefrist für Datenpannen ist eine Erleichterung, doch die Umstellung auf nationale Meldestellen plus harmonisierten Rahmen erfordert aktualisierte Reaktionspläne.
• Webseitenbetreiber und Werbemessanbieter: Consent-Management-Tools müssen an die neuen ausgenommenen Fälle angepasst werden.
• Öffentliche Dateninhaber und große Datenweiterverwender: Die Gebühren für Gatekeeper, die öffentliche Daten weiterverwenden, könnten steigen; die Hürde für den Schutz von Geschäftsgeheimnissen vor Offenlegung in Drittländer steigt.

Was ist zu tun

1. Nicht auf den finalen Text warten: Erfassen Sie jetzt die Rechtsgrundlagen und Pseudonymisierungsmaßnahmen für personenbezogene Daten in Ihren KI-Trainings- und Betriebspipelines und erstellen Sie eine Gap-Liste, um bei Verabschiedung sofort handeln zu können.
2. Biometrische Szenarien separat behandeln: Jede neue Ausnahme ist an Schutzmaßnahmen geknüpft — prüfen Sie die Compliance vor dem Launch und lesen Sie „Ausnahme“ nicht als „Freifahrtschein“.
3. Prozess für Datenpannen aktualisieren: Die Meldefrist mag länger werden, doch harmonisierter Melderahmen und nationale Meldestellen erfordern neue Vorlagen und Meldekanäle.
4. Den Trilog verfolgen: Das Ratsmandat ist nur der Verhandlungsstart; das Parlament hat seine Position noch nicht festgelegt, und Kernpunkte — Pseudonymisierungsregeln, Forschungsausnahmen, Umfang der Cookie-Ausnahmen — können sich vor der Verabschiedung noch ändern.

Wo liegen die Risiken

Das größte Risiko ist, das Mandat als bereits geltendes Recht zu behandeln: Es ist nur das Verhandlungsmandat des Rates, die Gespräche mit dem Europäischen Parlament stehen noch aus — Zeitplan und endgültiger Inhalt können sich ändern. Und „Vereinfachung“ ist nicht „Deregulierung“: Die Pressemitteilung betont wiederholt die Beibehaltung hoher Schutzstandards, und jede Ausnahme für biometrische und KI-bezogene Datenverarbeitung ist an Schutzmaßnahmen gebunden. Compliance-Arbeit darf nicht vorzeitig eingestellt werden.

Achten Sie auch auf die territoriale Grenze: Es sind EU-Regeln, in den USA oder anderen Rechtsräumen nicht anwendbar. Multinationale Unternehmen müssen sie je Rechtsraum verwalten — EU-Ausnahmen lassen sich nicht einfach anderswo übertragen.