Die Cookie-Einwilligung wird neu geschrieben: Was der Digital Omnibus ändert

Das Cookie-Banner ist das unbeliebteste Stück Benutzeroberfläche in Europa. Es ist nach acht Jahren außerdem auf einem großen Teil der Websites rechtlich immer noch angreifbar. Brüssel hat sich endlich entschlossen, beide Probleme auf einmal anzugehen, und das Vehikel dafür ist das am 19. November 2025 vorgeschlagene Digital-Omnibus-Paket.

Dieser Artikel behandelt, was tatsächlich im Vorschlag steht, was heute schon gilt und was wir an einer Consent-Implementierung jetzt ändern würden und was nicht. Stand 10. Oktober 2026 hat der DSGVO- und ePrivacy-Teil des Pakets den Trilog noch nicht erreicht: Der Rat hat noch kein Verhandlungsmandat und das Parlament keine Position, also wird sich einiges davon bewegen.

Wie wir hierher gekommen sind

Die Cookie-Einwilligung hat nie in der DSGVO gewohnt. Sie steht in Artikel 5 Absatz 3 der ePrivacy-Richtlinie von 2002, geändert 2009, wonach das Speichern von Informationen auf einer Endeinrichtung oder der Zugriff darauf eine Einwilligung erfordert, sofern es nicht unbedingt erforderlich ist für einen vom Nutzer gewünschten Dienst.

Diese Richtlinie sollte durch eine ePrivacy-Verordnung ersetzt werden. Der Vorschlag lag acht Jahre im Rat fest und wurde am 11. Februar 2025 förmlich zurückgezogen. Übrig blieb eine Richtlinie von 2002, siebenundzwanzigmal leicht unterschiedlich umgesetzt, die ein Web überwacht, das es bei ihrer Entstehung nicht gab.

Das Ergebnis ist das Durcheinander, das jeder kennt: Banner, die sich je nach Land unterscheiden, Einwilligungen, die auf vielen Seiten technisch unwirksam sind, und Nutzer, die reflexhaft auf Annehmen klicken, weil Ablehnen länger dauert.

Was heute bereits durchsetzbar ist

Bevor wir zum Vorschlag kommen, lohnt sich Klartext zum Ist-Zustand, denn viele Teams halten ihr Banner für in Ordnung, und es ist es nicht.

Die Durchsetzung war stetig und konkret. Im September 2025 verhängte die französische Aufsichtsbehörde am selben Tag Bußgelder von 325 Millionen Euro gegen Google und 150 Millionen Euro gegen Shein. Die Feststellungen waren mechanisch, nicht philosophisch: Cookies wurden gesetzt, bevor das Banner erschien, und die Ablehnen-Option lehnte nicht zuverlässig ab.

Die Regeln, die Aufsichtsbehörden tatsächlich anwenden:

Nichts Nicht-Notwendiges vor der Handlung des Nutzers. Nicht das Analytics-Tag, nicht das Pixel, nicht das Chat-Widget, nicht die Drittanbieter-Schrift. Wenn es beim Laden der Seite feuert, ist egal, was das Banner sagt.

Ablehnen muss Annehmen entsprechen. Gleiche Ebene, gleiches visuelles Gewicht, gleiche Klickzahl. Ablehnen zur zweistufigen Reise durch ein Einstellungspanel zu machen, während Annehmen ein Button ist, gilt als Dark Pattern, das die Einwilligung unwirksam macht.

Einwilligung ist granular. Ein einziger Schalter, der Analytik, Werbung und Personalisierung bündelt, ist keine spezifische Einwilligung.

Der Widerruf muss so einfach sein wie die Erteilung. Ein dauerhaft erreichbares Bedienelement, keine Support-E-Mail.

Einwilligung verfällt. Die meisten Behörden arbeiten mit etwa sechs bis dreizehn Monaten, bevor erneut gefragt werden sollte.

Consent or Pay ist eng begrenzt. Die Stellungnahme 08/2024 des Europäischen Datenschutzausschusses besagt, dass große Plattformen im Regelfall keine binäre Wahl zwischen Tracking-Zustimmung und Bezahlen anbieten können. Erwartet wird eine echte kostenlose Alternative ohne verhaltensbasierte Werbung.

Wenn Ihr Banner an einem der ersten beiden Punkte scheitert, beheben Sie das, bevor Sie sich um die Reform kümmern. Das sind die Punkte, die heute Bußgelder erzeugen.

Was der Digital Omnibus vorschlägt

Im Vorschlag der Kommission besteht der strukturelle Kern darin, die Regeln zu Endeinrichtungen aus der alten Richtlinie herauszulösen und über zwei neue Artikel in die DSGVO selbst zu stellen.

Artikel 88a: Einwilligung für den Zugriff auf Endeinrichtungen

Er ersetzt Artikel 5 Absatz 3 der ePrivacy-Richtlinie und erweitert wichtig die Menge der Zwecke, die keine Einwilligung brauchen. Die derzeitige Ausnahme für unbedingt Erforderliches ist so eng, dass selbst einfache Reichweitenmessung in der Regel ein Banner braucht. Der Vorschlag erweitert die Ausnahmen in Richtung Sicherheit, aggregierte Reichweitenmessung und Aufrechterhaltung der Dienstintegrität.

Zwei operative Änderungen bekommen die meiste Aufmerksamkeit:

• Annahme oder Ablehnung mit einem Klick. Die Wahl muss in einer Handlung darstellbar sein, in beide Richtungen.
• Eine Abkühlphase. Wer ablehnt, soll sechs Monate lang nicht erneut gefragt werden. Allein das würde einen großen Teil der Bannermüdigkeit beseitigen.

Artikel 88b: maschinenlesbare Einwilligungssignale

Das ist der für Entwickler interessantere Teil. Einwilligungssignale auf Browser- oder Systemebene würden für Verantwortliche rechtlich bindend. Wenn ein Nutzer seine Präferenz einmal im Browser äußert, müssten Websites sie beachten statt erneut zu fragen.

Genau dieser Teil gefiel den Mitgliedstaaten am wenigsten. Der unten beschriebene Text des Rates streicht Artikel 88b vollständig.

Weitere erwähnenswerte Punkte

Das Paket schlägt außerdem vor, die Meldefrist für Verletzungen des Schutzes personenbezogener Daten von 72 auf 96 Stunden zu verlängern, und passt mehrere Definitionen rund um pseudonymisierte Daten und KI-Training an. Das liegt außerhalb dieses Artikels, reist aber im selben Vehikel, was mit ein Grund dafür ist, dass das Vorhaben umstritten ist.

Was der Text des Rates anders macht

Die Mitgliedstaaten arbeiten mit einem anderen Text. Der Kompromiss der irischen Ratspräsidentschaft vom 2. Oktober 2026 (Ratsdokument 13886/26, als Mandat des Rates für die Verhandlungen mit dem Parlament formuliert und am 10. Oktober 2026 noch nicht angenommen) ändert den Entwurf der Kommission an mehreren Stellen:

• Die Cookie-Regeln bleiben in der ePrivacy-Richtlinie. Artikel 5 Absatz 3 wird an Ort und Stelle neu gefasst, und die Artikel 88a und 88b werden nicht in die DSGVO aufgenommen. Eine Pflicht, Browsersignale zu beachten, enthält dieser Text nicht.
• Sechs Zwecke ohne Einwilligung: die Übertragung einer Kommunikation, ein vom Nutzer ausdrücklich angeforderter Dienst, eigene Reichweitenmessung des Anbieters, die anonyme, aggregierte Daten liefert, Reichweitenmessung für Medien nach dem Europäischen Medienfreiheitsgesetz, Sicherheit sowie die Messung von Ausspielung und Leistung kontextbezogener Werbung, jeweils ohne Profilbildung.
• Ablehnung mit einem Klick. Nutzer müssen „mit einer Ein-Klick-Schaltfläche oder gleichwertigen Mitteln“ ablehnen können.
• Eine kürzere Wartezeit. Nach einer Ablehnung darf für denselben Zweck „mindestens vier Monate“ lang nicht erneut gefragt werden, gegenüber sechs im Text der Kommission.
• Zwei Ideen der Kommission bleiben: die Meldefrist von 96 Stunden bei Datenschutzverletzungen und die relative Definition personenbezogener Daten.

Das ist eine Verhandlungsposition, kein geltendes Recht, und das Parlament hat seine eigene noch nicht beschlossen.

Zeitplan, und warum Sie noch nicht darauf planen sollten

Das realistische Bild am 10. Oktober 2026:

• Die Trilogverhandlungen haben nicht begonnen. Eine für den 7. Oktober geplante Abstimmung der EU-Botschafter über das Ratsmandat wurde verschoben und soll Berichten zufolge am 11. Oktober 2026 nachgeholt werden.
• Im Parlament haben die Ausschüsse LIBE und ITRE ihren Berichtsentwurf am 22. Juni 2026 veröffentlicht und mehr als 1.750 Änderungsanträge erhalten. Eine Abstimmung im Ausschuss gab es noch nicht.
• Im Text der Kommission würde Artikel 88a etwa sechs Monate nach Inkrafttreten gelten. Der Text des Rates gibt den Mitgliedstaaten 24 Monate, um den neuen Artikel 5 Absatz 3 umzusetzen, obwohl seine Schlussbestimmungen noch eine Frist von sechs Monaten nennen; diesen Widerspruch müssen die Verhandlungsführer auflösen.
• Im Text der Kommission würde Artikel 88b innerhalb von rund 24 Monaten gelten. Der Text des Rates streicht ihn.

Der früheste plausible Termin für die Ein-Klick- und Abkühlregeln liegt also nach dem Zeitplan der Kommission im Jahr 2027, und später, falls die 24 Monate des Rates bestehen bleiben. Pflichten zu Browsersignalen kommen womöglich gar nicht. Wer Ihnen erzählt, das Cookie-Banner sei dieses Jahr tot, verkauft Ihnen etwas.

Was wir jetzt ändern würden und was nicht

Die Reform ist kein Recht, aber die Richtung ist stabil genug, um Architektur zu beeinflussen. So beraten wir unsere Kunden.

Das jetzt tun

Die Mechanik reparieren. Ablehnen so einfach wie Annehmen, nichts feuert vor der Interaktion, granulare Kategorien, funktionierender Widerruf. Das ist geltendes Recht und dort liegen die Bußgelder.

Consent-Zustand von Consent-Oberfläche trennen. Halten Sie einen Consent-Service, der den Zustand besitzt, ihn der Anwendung zur Verfügung stellt und den Nachweis mit Versionsbezug speichert. Dann wird das Banner zu einer austauschbaren Präsentationsschicht. Ändern sich die Regeln, tauschen Sie die Oberfläche und behalten die Installation.

Einwilligungsnachweise sauber speichern. Zeitstempel, Zustand pro Kategorie, Kennung der Version des Bannertexts, verwendeter Mechanismus und Quelle der Entscheidung. Ohne die Textversion können Sie nicht belegen, wozu der Nutzer eigentlich zugestimmt hat.

Fangen Sie an, auf Signale zu hören. Global Privacy Control ist in mehreren Jurisdiktionen bereits rechtlich relevant und kostet sehr wenig zu beachten. Wer es jetzt liest, macht aus Artikel 88b, falls er kommt, eine Konfigurationsänderung statt eines Projekts.

Prüfen Sie Ihre Tags wirklich. Nicht in der Oberfläche des Tag-Managers, sondern im Browser, auf einer echten Seite, in einem frischen Profil. Zählen Sie die Anfragen vor der Einwilligung. Es sind meist mehr, als das Team erwartet.

Das noch nicht tun

Reißen Sie die granulare Einwilligung nicht heraus in der Annahme, dass die Ausnahmen erweitert werden. Verengt sich der finale Text wieder, müssen Sie sie neu bauen.

Schreiben Sie Ihre Datenschutzerklärung nicht um Entwurfsnummern von Artikeln herum neu.

Entfernen Sie das Banner nicht für Reichweitenmessung. Die erweiterte Ausnahme ist ein Vorschlag, keine Erlaubnis.

Legen Sie sich nicht auf einen 96-Stunden-Prozess fest. Arbeiten Sie weiter mit 72.

Die größere Designfrage

Dahinter steckt eine breitere Verschiebung, die man benennen sollte. Aufsichtsbehörden sind von der Frage, ob Sie eine Einwilligung haben, zur Frage übergegangen, wie Sie sie erlangt haben. Die Interface-Mechanik ist heute die Durchsetzungsfläche. Deshalb drehen sich Cookie-Banner-Fälle um Buttonplatzierung und Klickzahlen statt um den Wortlaut einer Richtlinie.

Dieser Trend setzt sich über den Digital Omnibus hinaus fort. Der Digital Fairness Act, als Vorschlag für Ende 2026 erwartet, zielt genau auf Dark Patterns, manipulative Oberflächen, personalisierte Preise und suchterzeugendes Design. Die Anwendung liegt realistisch 2028 oder später, aber er zeigt, welche Muster ein Ablaufdatum haben.

Wenn Ihre Wachstumszahlen von einer verwirrenden Oberfläche abhängen, ist das jetzt ein Compliance-Risiko mit Datum statt einer cleveren Optimierung.

Eine Bemerkung zur Analytik

Ein großer Teil des Bannerproblems ist selbstgemacht. Teams laden eine Drittanbieter-Analytics-Plattform, die eine Einwilligung braucht, verlieren dann ein Drittel ihrer Daten durch Ablehnungen und versuchen anschließend, sich darum herumzudesignen.

Selbst gehostete, datenschutzfreundliche Analytik kann die Rechnung verändern, weil Messung, die auf Ihrer eigenen Infrastruktur bleibt und keine seitenübergreifenden Profile bildet, ein deutlich stärkeres Argument für die Ausnahme hat und gut in die erweiterten Ausnahmen des Omnibus passen würde. Eine Option haben wir in unserem Leitfaden zur Einrichtung von Matomo beschrieben, und dieselbe Logik gilt für selbst gehostete Marketing-Automatisierung.

Das ist kein Compliance-Trick. Es ist eine echte Reduktion dessen, was Sie rechtfertigen müssen.

Wo das im Gesamtbild steht

Die Cookie-Einwilligung ist ein Baustein eines viel größeren regulatorischen Aufbaus. Die vollständige Karte der EU-Digital-Compliance 2026 deckt den Rest ab, und der technische DSGVO-Leitfaden die darunterliegende Schicht.

Wenn Sie Ihre Consent-Implementierung gegen das prüfen lassen wollen, was Aufsichtsbehörden tatsächlich durchsetzen, oder sie so umbauen möchten, dass die nächste Regeländerung eine Konfiguration statt eines Rewrites ist, schreiben Sie an office@c9group.dev.

Wir bauen Systeme, wir erteilen keine Rechtsauskünfte, und die finale Entscheidung über die Auslegung liegt bei Ihren Juristen.