Digital Omnibus: EU-Datenschutz droht Aufweichung

Der umstrittene EU-Vorschlag 'Digital Omnibus' zur Integration der e-Privacy-Regeln in die DSGVO stößt auf massive Kritik von Datenschützern, die eine Aushöhlung des Privatsphärenschutzes befürchten.

Europäische Verbraucherschützer und Datenschützer lehnen sich geschlossen gegen die Pläne der EU-Kommission auf, die e-Privacy-Regeln in die DSGVO zu integrieren. Sie warnen vor einer dramatischen Schwächung des Privatsphärenschutzes. Der als „Digital Omnibus“ bekannte Vorschlag könnte das Einwilligungsmanagement für Unternehmen zwar vereinfachen, gleichzeitig aber Schlupflöcher für invasive Tracking-Technologien schaffen.

Anzeige

Während die EU über neue Regeln für die digitale Wirtschaft debattiert, bleibt die korrekte Dokumentation bestehender Datenflüsse für Unternehmen bereits heute eine rechtliche Pflicht. Mit dieser kostenlosen Excel-Vorlage erstellen Sie Ihr Verarbeitungsverzeichnis nach Art. 30 DSGVO zeitsparend und rechtssicher. Kostenlose Excel-Vorlage für das Verarbeitungsverzeichnis herunterladen

Umstrittener Mega-Gesetzentwurf

Im November 2025 legte die EU-Kommission ihren „Digital Omnibus“ vor. Das erklärte Ziel: weniger Bürokratie und ein vereinfachtes Regelwerk für die digitale Wirtschaft. Der Kern des Plans ist radikal. Die Vorschriften zur Cookie-Nutzung aus der e-Privacy-Richtlinie sollen direkt in die DSGVO überführt werden. Bisher regelt e-Privacy den Zugriff auf Endgeräte, die DSGVO die anschließende Verarbeitung der personenbezogenen Daten.

Unter dem neuen Artikel 88a der DSGVO würde beides verschmelzen. Für Webseitenbetreiber hätte das konkrete Folgen. Die Einwilligungsdialoge müssten „Akzeptieren“ und „Ablehnen“ gleich prominent anzeigen. Noch weitreichender ist die geplante sechsmonatige Karenzzeit. Lehnt ein Nutzer das Tracking einmal ab, darf ihn die Seite ein halbes Jahr lang nicht erneut fragen. Zudem sollen Browser-Signale, die Privacy-by-Default-Einstellungen übermitteln, verbindlich anerkannt werden.

Scharfe Kritik von allen Seiten

Was die Kommission als Vereinfachung verkauft, sehen Datenschützer als gefährliche Deregulierung. Am 24. Februar 2026 legten die Europäische Verbraucherorganisation (BEUC) und die NGO NOYB vernichtende Analysen vor. BEUC warnt, der Entwurf erschwere es Verbrauchern erheblich, ihre Daten zu schützen oder gegen Verstöße vorzugehen.

NOYB kommt in einer detaillierten Rechtsprüfung zu einem harten Urteil: Der Vorschlag stehe im Widerspruch zur EU-Grundrechtecharta. Er weiche von der etablierten Rechtsprechung des Europäischen Gerichtshofs ab und schaffe widersprüchliche Regelwerke, die zu massiven Rechtsstreitigkeiten führen könnten.

Bereits am 11. Februar hatten sich die Europäische Datenschutzbehörde (EDPB) und der Europäische Datenschutzbeauftragte (EDPS) kritisch geäußert. Sie unterstützen zwar das Ziel der Entbürokratisierung, lehnen aber zentrale Teile des „Digital Omnibus“ ab. Vereinfachung dürfe nicht auf Kosten der Grundrechte gehen.

Schlupflöcher für Tracking und KI-Training?

Besonders umstritten sind zwei Punkte: die Neudefinition personenbezogener Daten und neue Ausnahmeregelungen. Der Entwurf engt den Begriff der personenbezogenen Daten ein. Daten sollen demnach nur noch als „personenbezogen“ gelten, wenn der Verarbeiter die direkte Möglichkeit hat, eine Person zu identifizieren. Kritiker befürchten, dass pseudonyme Identifikatoren wie Werbe-IDs so ihren DSGVO-Schutz verlieren.

Zudem will die Kommission die Liste der einwilligungsfreien Verarbeitungen erweitern. „Low-Risk“-Datenverarbeitung und interne Audienz-Analysen könnten ohne aktive Zustimmung der Nutzer erlaubt werden. Brisant ist eine geplante Ausnahme für legitime Interessen. Sie würde es Unternehmen erlauben, personenbezogene – möglicherweise sogar sensitive – Daten zum Training von KI-Systemen zu nutzen.

Anzeige

Die geplante Nutzung von Daten für KI-Systeme unterstreicht die Bedeutung der seit August 2024 geltenden EU-KI-Verordnung für moderne Unternehmen. Dieser kompakte Leitfaden erklärt Ihnen verständlich alle Anforderungen, Risikoklassen und Pflichten für eine rechtssichere Umsetzung. Gratis E-Book zur EU-KI-Verordnung sichern

Verbraucherschützer laufen Sturm. BEUC fordert die Streichung der engeren Definition und lehnt „legitime Interessen“ als Rechtsgrundlage für KI-Training ab. Der Vorwurf: Europa drohe, vom strengen Opt-in- zum lascheren Opt-out-Prinzip abzudriften. Globalen Tech-Konzernen würde so mehr Spielraum bei der Nutzung europäischer Daten eingeräumt.

Zersplitterter Rechtsraum: EU vs. Großbritannien

Die Bdébatte um den „Digital Omnibus“ findet in einem sich spaltenden europäischen Rechtsraum statt. Während die EU noch ringt, hat Großbritannien mit seinem Data (Use and Access) Act 2025 bereits eigene, liberalere Wege beschritten. Seit dem 5. Februar 2026 gelten dort neue Regeln.

Die britische Reform erlaubt es, Webseiten-Analysen zur Verbesserung des Angebots ohne explizite Einwilligung zu erheben, sofern ein einfacher Opt-out angeboten wird. Auch für das E-Mail-Marketing von Wohltätigkeitsorganisationen gibt es Erleichterungen. Für multinationale Unternehmen wird der Betrieb damit komplizierter: Sie müssen parallel die unterschiedlichen Vorgaben in der EU und Großbritannien beachten.

Was bedeutet das für Unternehmen?

Das Gesetzgebungsverfahren zum „Digital Omnibus“ steht noch am Anfang. Die Anhörungsphase endet am 11. März 2026, eine Verabschiedung wird frühestens für das erste Quartal 2027 erwartet. Angesichts des massiven Widerstands sind substantielle Änderungen am Entwurf wahrscheinlich.

Unternehmen wird daher geraten, zunächst bei ihren bewährten DSGVO- und e-Privacy-Compliance-Maßnahmen zu bleiben. Die aktuellen Pflichten behalten volle Gültigkeit. Sinnvoll ist es jetzt, die eigenen Einwilligungsplattformen, Datenflüsse und Datenschutzerklärungen zu überprüfen.

Gleichzeitig lohnt ein Blick in die Zukunft: Ist die technische Infrastruktur darauf vorbereitet, Browser-Signale zu verarbeiten und automatische Karenzzeiten durchzusetzen? Wer die Entwicklung aufmerksam verfolgt und eine robuste Daten-Governance pflegt, ist für die nächste Generation des EU-Datenschutzes gewappnet.