EU-Staaten wollen mehr Cookie-Ausnahmen statt Browser-Signal
Der Rat der EU hat am 21. Oktober 2026 seine Position zum Datenteil des Digital-Omnibus festgelegt: mehr Cookies ohne Einwilligung, eine längere Meldefrist für Datenpannen, weniger Informationspflichten bei geringem Risiko. Das zentrale Browser-Signal gegen Cookie-Banner fällt dagegen weg. Noch gilt nichts davon.
Cookie-Banner nerven Besucher und kosten Website-Betreiber Reichweite. Die EU-Kommission wollte das Problem im November 2025 mit ihrem Digital-Omnibus technisch lösen: Nutzer sollten ihre Cookie-Entscheidung einmal im Browser hinterlegen, und Websites hätten dieses Signal automatisch übernehmen müssen. Die Mitgliedstaaten haben sich nun anders entschieden. Am 21. Oktober 2026 haben die EU-Botschafter die Verhandlungsposition des Rates zum Datenteil des Omnibus beschlossen, und darin ist das Browser-Signal nicht mehr enthalten. Stattdessen soll es mehr Fälle geben, in denen Cookies ganz ohne Einwilligung erlaubt sind.
Mehr Cookies ohne Einwilligung
Laut der Mitteilung des Rates bleibt die ePrivacy-Richtlinie der Rahmen für Cookies. Die Fälle, in denen keine vorherige Einwilligung nötig ist, sollen aber klarer gefasst und erweitert werden. Genannt werden Cookies, die nötig sind, um einen Dienst bereitzustellen, die Reichweite zu messen oder das Gerät des Nutzers zu schützen.
Für Website-Betreiber klingt das zunächst nach Entlastung, vor allem bei der Reichweitenmessung. Verbraucherschützer sehen es kritisch. heise weist darauf hin, dass Tracking-Cookies schon heute unter solchen Begründungen gesetzt und in zentralen Datenbanken zusammengeführt werden. Cláudio Teixeira vom europäischen Verbraucherverband BEUC nannte es laut heise „äußerst besorgniserregend“, dass die Politik den Vorschlag der Kommission fallen lassen will. Deutschland hatte die technische Lösung im Rat unterstützt.
Längere Frist für Datenpannen
Auch bei der DSGVO soll sich einiges ändern. Der Rat unterstützt nach eigenen Angaben eine längere Frist, um Datenschutzverletzungen an die Aufsicht zu melden. Die Kommission hatte 96 statt bisher 72 Stunden vorgeschlagen. Außerdem sieht die Position des Rates vor:
- Die Definition personenbezogener Daten bleibt unverändert, dazu kommt eine neue Regelung zur Pseudonymisierung.
- Weniger Informationspflichten in bestimmten Situationen mit geringem Risiko, außerdem Erleichterungen bei offenkundig unbegründeten oder exzessiven Auskunftsanfragen.
- Eine einheitliche EU-Liste der Verarbeitungen, die voraussichtlich ein hohes Risiko bedeuten, dazu gemeinsame Vorlagen für die Umsetzung.
- Zusätzliche Schutzvorkehrungen für die Verarbeitung sensibler Daten bei biometrischer Verifikation sowie bei der Entwicklung und dem Betrieb von KI.
Bei Cybervorfällen, die nach verschiedenen EU-Gesetzen gemeldet werden müssen, will der Rat eine nationale Meldestelle in jedem Mitgliedstaat und zusätzlich eine Informationsstelle auf EU-Ebene. Eine einzige zentrale EU-Meldestelle sieht die Position nicht vor.
Noch ist nichts entschieden
Die Position des Rates ist erst der Ausgangspunkt. Das EU-Parlament hat sich noch nicht festgelegt, und erst danach können die Verhandlungen zwischen Rat und Parlament beginnen. Der irische Europaminister Thomas Byrne sagte, der Rat sei bereit zu verhandeln, sobald das Parlament seine Position habe. Seine Kabinettskollegin Helen McEntee sieht in der Einigung einen wichtigen Schritt:
„This is an important step in ensuring Europe remains an attractive place to invest, innovate and grow.“
Laut heise könnten die Verhandlungen Wochen oder Monate dauern. Bis dahin gilt das bisherige Recht, also auch die Meldefrist von 72 Stunden. Wie ernst Aufsichtsbehörden diese Frist nehmen, zeigt der erste spanische Datenschutzfall um einen KI-Agenten.
Was das für Ihr Unternehmen heißt
- Jetzt nichts umbauen: Ihr Cookie-Banner und Ihre Einwilligungen bleiben nach heutigem Recht nötig. Wer Reichweitenmessung vorschnell ohne Einwilligung einschaltet, riskiert Abmahnungen.
- Reichweitenmessung vorbereiten: Wenn die Ausnahme kommt, wird sie sehr wahrscheinlich nur für reine, datensparsame Messung gelten. Eine eigene, schlanke Statistik ohne Drittanbieter ist dann im Vorteil, Werbe-Tracking eher nicht.
- Meldeprozess bei 72 Stunden lassen: Planen Sie Ihren Ablauf für Datenpannen weiter mit 72 Stunden. Eine längere Frist wäre ein Puffer, kein Grund, später anzufangen.
- KI-Projekte dokumentieren: Die geplanten Schutzvorkehrungen für sensible Daten in KI-Anwendungen deuten darauf hin, dass Dokumentation und Risikoabwägung wichtiger werden, nicht unwichtiger.
- Auskunftsanfragen sauber führen: Die Erleichterung bei exzessiven Anfragen hilft nur dem, der nachweisen kann, wie er Anfragen bearbeitet.
Fazit
Die EU-Staaten wollen den Datenschutz für Unternehmen spürbar einfacher machen, gehen bei Cookies aber einen anderen Weg als die Kommission: mehr Ausnahmen statt einer technischen Lösung im Browser. Für Website-Betreiber kann das am Ende weniger Banner-Abfragen bedeuten. Bis Parlament und Rat sich einigen, ändert sich aber nichts. Wenn Sie Ihre Website und Ihre Reichweitenmessung schon jetzt so aufstellen möchten, dass sie mit und ohne neue Regeln funktionieren, sprechen Sie mich gern an.
