Digital Omnibus und Cookies: Einwilligungsfreie Zwecke und 4 Monate Wartezeit nach Ablehnung

Wer in der EU eine Website oder App betreibt, muss vorerst nichts ändern: Behalten Sie Ihr aktuelles Consent-Banner bei und holen Sie weiterhin Einwilligungen ein. Am 21. Oktober 2026 hat der Rat der EU seine Verhandlungsposition zum Digital Omnibus festgelegt, dem Paket, das Teile der DSGVO und der Cookie-Regeln neu fasst. Das Europäische Parlament muss seine eigene Position noch beschließen, bevor beide Seiten über einen endgültigen Text verhandeln. Der Ratstext zeigt aber, wohin die Reise geht: eine kurze Liste von Zwecken, die keine Einwilligung mehr bräuchten, vier Monate Wartezeit, bevor nach einer Ablehnung erneut gefragt werden darf, und keine Pflicht, Einwilligungssignale des Browsers zu beachten.

Digital Omnibus und Cookies: Einwilligungsfreie Zwecke und 4 Monate Wartezeit nach Ablehnung

Die Position des Rates im Überblick

Thema	Vorschlag der Europäischen Kommission (November 2025)	Position des Rates (Oktober 2026)
Wo die Cookie-Regeln stehen	Verschoben in die DSGVO (neue Artikel 88a und 88b)	Verbleiben in Artikel 5 Absatz 3 der ePrivacy-Richtlinie
Grundregel	Einwilligung nötig, um Daten auf einem Endgerät zu speichern oder auszulesen	Unverändert: Einwilligung bleibt die Regel
Zwecke ohne Einwilligung	Eine kurze Liste von Ausnahmen	Eine abschließende Liste von sechs Zwecken, darunter First-Party-Reichweitenmessung und kontextbezogene Anzeigenmessung
Ablehnen	Einfache Ablehnung	Ein Button mit einem einzigen Klick oder ein gleichwertiges Mittel
Erneute Anfrage nach einer Ablehnung	Nicht vor Ablauf von sechs Monaten	Nicht vor Ablauf von vier Monaten, für denselben Zweck
Einwilligungssignale des Browsers	Websites müssen automatisierte, maschinenlesbare Signale beachten	Gestrichen
Aufsicht	DSGVO-Aufsichtsbehörden	DSGVO-Aufsichtsbehörden

Das Mandat wurde am 21. Oktober von den EU-Botschaftern beschlossen und am 22. Oktober als Ratsdokument 14756/26 verteilt. Die Pressemitteilung des Rates bestätigt die Kernpunkte: Die ePrivacy-Richtlinie bleibt der Rahmen für Cookies, und für Cookies, die zur Bereitstellung eines Dienstes, zur Reichweitenmessung oder zum Schutz eines Endgeräts eingesetzt werden, wäre keine Einwilligung erforderlich.

Die Cookie-Regeln bleiben in der ePrivacy-Richtlinie

Die Kommission wollte die Cookie-Regeln in die DSGVO überführen. Der Rat hat das rückgängig gemacht und sie in einem neu gefassten Artikel 5 Absatz 3 der ePrivacy-Richtlinie belassen. Für Website-Betreiber ändert sich dadurch in der Praxis wenig: Die Einwilligung bleibt die Regel für alles, was Informationen auf dem Endgerät eines Nutzers speichert oder ausliest, also Cookies, Local Storage, Pixel und Fingerprinting. Eine Änderung verdient Beachtung. Die Durchsetzung ginge auf die Datenschutzbehörden über, die bereits die DSGVO beaufsichtigen. In manchen Mitgliedstaaten ist das eine andere Behörde als die, die heute für Cookies zuständig ist.

Sechs Zwecke, die keine Einwilligung bräuchten

Der Ratstext nennt sechs Zwecke, die von der Einwilligungspflicht ausgenommen wären. Für jeden gelten Bedingungen:

1. Übertragung. Die Übermittlung einer Nachricht über ein Netz.
2. Ein vom Nutzer gewünschter Dienst. Die Bereitstellung eines Dienstes „einschließlich seiner Funktionalität“, den der Nutzer ausdrücklich angefordert hat. Warenkörbe, Logins und Spracheinstellungen fallen darunter.
3. First-Party-Reichweitenmessung. Die Erstellung anonymer, aggregierter Statistiken darüber, wie Ihr eigener Dienst genutzt wird. Die Daten dürfen weder für andere Zwecke verwendet noch an Dritte weitergegeben oder mit Daten Dritter zusammengeführt werden. Ein Auftragsverarbeiter kann das in Ihrem Auftrag übernehmen.
4. Reichweitenmessung von Medien. Messung nach Artikel 24 des Europäischen Medienfreiheitsgesetzes, wobei personenbezogene Daten nach der Erhebung pseudonymisiert werden und kein Tracking außerhalb des gemessenen Dienstes stattfindet.
5. Technische Sicherheit. Die Aufrechterhaltung oder Wiederherstellung der Sicherheit dessen, was für die Bereitstellung des Dienstes unbedingt erforderlich ist.
6. Kontextbezogene Anzeigenmessung. Die Messung der Auslieferung und Performance von Anzeigen, die ausschließlich anhand der während eines einzelnen Besuchs oder einer einzelnen Suche angezeigten Inhalte ausgewählt werden. Profilbildung oder Daten über frühere oder künftige Aktivitäten des Nutzers sind ausgeschlossen, und die Daten müssen nach der Erhebung pseudonymisiert werden.

Die Liste ist abschließend. Personalisierte Werbung, Retargeting, Analytics von Drittanbietern, die Daten über mehrere Websites hinweg zusammenführen, und der Aufbau von Nutzerprofilen brauchen weiterhin eine Einwilligung. Das gilt auch für den Großteil dessen, was über das IAB TCF läuft.

Vier Monate Wartezeit vor einer erneuten Anfrage

Lehnt ein Nutzer ab, darf der Anbieter laut Ratstext „für einen Zeitraum von mindestens vier Monaten keine neue Einwilligungsanfrage für denselben Zweck stellen“. Die Kommission hatte sechs Monate vorgeschlagen. Außerdem muss die Ablehnung mit einem einzigen Klick oder einem gleichwertigen Mittel möglich sein. Das entspricht dem, was die meisten Aufsichtsbehörden schon heute von einem Reject-All-Button (Button „Alle ablehnen“) erwarten.

Zwei Details sind für die Praxis entscheidend. Die Wartezeit gilt pro Zweck: Wer Analytics ablehnt, kann später durchaus zu einem anderen Zweck gefragt werden. Und sie gilt für „eine neue Anfrage“. Eine Website, die ihr Banner ändert und alle Nutzer erneut abfragt, würde also auch diejenigen erneut fragen, die erst kürzlich abgelehnt haben.

Einwilligungssignale des Browsers wurden gestrichen

Artikel 88b im Entwurf der Kommission hätte Websites verpflichtet, automatisierte, maschinenlesbare Einwilligungs- und Ablehnungssignale von Browsern zu beachten. Der Rat hat ihn zusammen mit Artikel 88a gestrichen. Nach dem Ratstext bleibt die Einwilligungsentscheidung eine Sache zwischen dem Nutzer und der jeweiligen Website und wird von deren Consent-Management-Plattform dokumentiert. Kalifornien geht einen anderen Weg: Dort verpflichtet AB 566 Browser, ein Opt-out-Präferenzsignal anzubieten, und zwar ab dem 1. Januar 2027.

Was der Ratstext offenlässt

• Das TCF und die Vendoren. Der Text sagt nichts über Consent-Management-Plattformen oder das IAB TCF. Er regelt nicht, wie ein auf Ihrer Seite eingebundener Vendor anzeigen würde, dass er sich auf eine der sechs Ausnahmen stützt, oder wie eine Ausnahme in einem TC-String signalisiert würde. Solange das nicht geklärt ist, holen Sie die Einwilligung für TCF-Vendoren weiter so ein wie bisher. Siehe IAB TCF 2.4 und wie Sie Ihre Vendoren prüfen.
• Was „Performance“ bei der kontextbezogenen Anzeigenmessung bedeutet. Der Begriff ist nicht definiert.
• Zeitplan. Der Text gibt den Mitgliedstaaten 24 Monate nach der Annahme für die Umsetzung, eine andere Bestimmung würde die ePrivacy-Änderungen aber bereits sechs Monate nach der Veröffentlichung im Amtsblatt anwenden. Was gilt, müssen die Verhandlungen klären. Die Abstimmung im zuständigen Ausschuss des Parlaments wird für Anfang 2027 erwartet, ein endgültiger Text ist also vorher kaum zu erwarten.

Was jetzt zu tun ist

Nichts im Ratstext ist geltendes Recht, und die heutigen Regeln gelten weiter: Einwilligung vor nicht notwendigen Cookies, Ablehnen so einfach wie Zustimmen und ein Nachweis für jede Entscheidung. Einige Schritte erleichtern den Übergang, falls der endgültige Text so aussieht wie dieser:

• Ordnen Sie Ihre Cookies den Zwecken zu. Wissen Sie, welche Tags unter die sechs Ausnahmen fallen würden und welche weiterhin eine Einwilligung brauchen. Ein Cookie-Scan liefert die Liste am schnellsten.
• Speichern Sie Ablehnungen mit Zeitstempel und Zweck. Eine Vier-Monats-Regel lässt sich nur anwenden, wenn Sie wissen, wann jeder Nutzer was abgelehnt hat. UniConsent Consent Logging protokolliert jede Einwilligung und jede Ablehnung, sodass Sie nachweisen können, wann eine Entscheidung getroffen wurde.
• Planen Sie Änderungen am Banner. In UniConsent fragt eine Änderung der Config Version alle wiederkehrenden Nutzer erneut ab, und das Re-consent Interval (bis zu 150 Tage) legt fest, wie oft Aktualisierungen der Vendorliste das Banner wieder anzeigen. Wird eine Vier-Monats-Regel Gesetz, sind das die Einstellungen, die Sie anpassen würden.
• Verzichten Sie noch nicht auf die Einwilligung für Analytics. Aggregierte First-Party-Messung könnte zwar ausgenommen werden, doch die Bedingungen sind streng, und nichts davon gilt, bevor der endgültige Text angenommen und in Kraft ist.

UniConsent ist eine von Google zertifizierte CMP und eine beim IAB TCF registrierte CMP (ID 68). Sie verfolgt diese Änderungen für Sie und passt Banner, Zwecke und Protokolle an, sobald die Regeln feststehen. Starten Sie eine kostenlose Testphase und prüfen Sie Ihr Setup noch heute.

FAQ

Was ist der Digital Omnibus? Ein Paket von EU-Vorschlägen, das die Europäische Kommission im November 2025 veröffentlicht hat, um digitale Regeln zu vereinfachen. Es ändert Teile der DSGVO, die ePrivacy-Regeln zu Cookies und die Meldung von Sicherheitsvorfällen.

Ist der Digital Omnibus schon Gesetz? Nein. Der Rat hat seine Verhandlungsposition am 21. Oktober 2026 beschlossen. Das Europäische Parlament hat seine Position noch nicht angenommen, und der endgültige Text entsteht erst in den Verhandlungen zwischen beiden (Trilog).

Verschwinden Cookie-Banner? Nein. Die Einwilligung bleibt die Regel. Websites, die Cookies ausschließlich für die sechs ausgenommenen Zwecke nutzen, brauchen unter Umständen kein Banner. Jede Website mit Werbung, Retargeting oder Analytics von Drittanbietern braucht aber weiterhin eines.

Gilt die Wartezeit von vier Monaten schon jetzt? Nein. Derzeit gibt es in der EU keine feste Wartezeit, auch wenn mehrere Aufsichtsbehörden schon heute davon abraten, nach einer Ablehnung wiederholt nachzufragen.