Am 21. Oktober einigten sich die Mitgliedstaaten im Rat auf ihre Verhandlungsposition zum Digital-Omnibus, jenem Paket, mit dem die Kommission seit November 2025 die DSGVO, die E-Privacy-Richtlinie, den Data Act und den AI Act „vereinfachen“ will. Die Pressemitteilung spricht von geringeren Compliance-Kosten bei gleichbleibend hohen Standards. Interessanter als das, was der Rat behalten hat, ist das, was er gestrichen hat.
Weg ist das maschinenlesbare Präferenzsignal. Der Kommissionsentwurf sah vor, dass Nutzer ihre Cookie-Präferenz einmal festlegen – etwa im Browser – und Websites sich daran halten müssen. Verbraucherorganisationen hielten das für den besten Teil des Pakets, weil es den Cookie-Banner für alle überflüssig gemacht hätte, die die Frage bereits beantwortet haben. Der Rat strich die Regelung, wie der c’t-Datenschutz-Podcast Auslegungssache berichtet, auch gegen entschiedenen Widerstand der Bundesregierung. Übrig bleiben Ausnahmen: Keine Einwilligung braucht es mehr für Cookies, die für die Erbringung eines Dienstes zwingend nötig sind, für Reichweitenmessung oder um zu prüfen, ob das Gerät des Nutzers sicher ist – und wer ablehnt, darf nach vier Monaten erneut gefragt werden.
Auch bei KI-Training bewegte sich der Rat in die andere Richtung. Er hält an der bestehenden DSGVO-Definition personenbezogener Daten fest und wies den Versuch der Kommission zurück, sie zu verengen – Datenschutzbehörden hatten gewarnt, das würde den Begriff deutlich aushöhlen. Beim Training von Modellen mit personenbezogenen Daten verschärfte der Rat den Entwurf jedoch: Das bedingungslose Widerspruchsrecht wurde gestrichen. Stattdessen kamen „Klarstellungen“ zu Rechtsgrundlagen und Schutzmaßnahmen. Zudem dürfen Unternehmen unbegründete Auskunftsanfragen künftig leichter abweisen – was Datenschutzbeauftragte begrüßen, die regelmäßig Racheanfragen sehen, und Verbraucherschützer nicht.
Das Lobbying um das Paket war intensiv; Lobbycontrol und das Corporate Europe Observatory haben eine Welle von Tech-Interessenvertretung dokumentiert. Der Bundesverband der Verbraucherzentralen (vzbv), der ein Brüsseler Büro unterhält, weil inzwischen über 80 Prozent der Verbraucherschutzgesetze dort entstehen, fordert einen neuen Omnibus oder zumindest die Rückkehr der Präferenzsignale.
Wie es weitergeht: Das Europäische Parlament will seine Position bis Februar festlegen, danach beginnen die Trilog-Verhandlungen zwischen Parlament, Rat und Kommission. Nichts ist endgültig, und das Parlament war historisch die datenschutzfreundlichere der drei Institutionen. Die Richtung aber steht: Aus der „Klarstellung“ wird eine Deregulierung, und die eine Maßnahme, die Bürgerinnen und Bürgern eine einzige, mitnehmbare Antwort auf Cookie-Banner gegeben hätte, steht nicht mehr im Text des Rates.
