Die Cookie-Einwilligung wird neu geschrieben: Was der Digital Omnibus ändert
Das Cookie-Banner ist das unbeliebteste Stück Benutzeroberfläche in Europa. Es ist nach acht Jahren außerdem auf einem großen Teil der Websites rechtlich immer noch angreifbar. Brüssel hat sich endlich entschlossen, beide Probleme auf einmal anzugehen, und das Vehikel dafür ist das am 19. November 2025 vorgeschlagene Digital-Omnibus-Paket.
Dieser Artikel behandelt, was tatsächlich im Vorschlag steht, was heute schon gilt und was wir an einer Consent-Implementierung jetzt ändern würden und was nicht. Stand August 2026 befindet sich das Vorhaben noch in Trilogverhandlungen, also wird sich einiges davon bewegen.
Wie wir hierher gekommen sind
Die Cookie-Einwilligung hat nie in der DSGVO gewohnt. Sie steht in Artikel 5 Absatz 3 der ePrivacy-Richtlinie von 2002, geändert 2009, wonach das Speichern von Informationen auf einer Endeinrichtung oder der Zugriff darauf eine Einwilligung erfordert, sofern es nicht unbedingt erforderlich ist für einen vom Nutzer gewünschten Dienst.
Diese Richtlinie sollte durch eine ePrivacy-Verordnung ersetzt werden. Der Vorschlag lag acht Jahre im Rat fest und wurde am 11. Februar 2025 förmlich zurückgezogen. Übrig blieb eine Richtlinie von 2002, siebenundzwanzigmal leicht unterschiedlich umgesetzt, die ein Web überwacht, das es bei ihrer Entstehung nicht gab.
Das Ergebnis ist das Durcheinander, das jeder kennt: Banner, die sich je nach Land unterscheiden, Einwilligungen, die auf vielen Seiten technisch unwirksam sind, und Nutzer, die reflexhaft auf Annehmen klicken, weil Ablehnen länger dauert.
Was heute bereits durchsetzbar ist
Bevor wir zum Vorschlag kommen, lohnt sich Klartext zum Ist-Zustand, denn viele Teams halten ihr Banner für in Ordnung, und es ist es nicht.
Die Durchsetzung war stetig und konkret. Im September 2025 verhängte die französische Aufsichtsbehörde am selben Tag Bußgelder von 325 Millionen Euro gegen Google und 150 Millionen Euro gegen Shein. Die Feststellungen waren mechanisch, nicht philosophisch: Cookies wurden gesetzt, bevor das Banner erschien, und die Ablehnen-Option lehnte nicht zuverlässig ab.
Die Regeln, die Aufsichtsbehörden tatsächlich anwenden:
Nichts Nicht-Notwendiges vor der Handlung des Nutzers. Nicht das Analytics-Tag, nicht das Pixel, nicht das Chat-Widget, nicht die Drittanbieter-Schrift. Wenn es beim Laden der Seite feuert, ist egal, was das Banner sagt.
Ablehnen muss Annehmen entsprechen. Gleiche Ebene, gleiches visuelles Gewicht, gleiche Klickzahl. Ablehnen zur zweistufigen Reise durch ein Einstellungspanel zu machen, während Annehmen ein Button ist, gilt als Dark Pattern, das die Einwilligung unwirksam macht.
Einwilligung ist granular. Ein einziger Schalter, der Analytik, Werbung und Personalisierung bündelt, ist keine spezifische Einwilligung.
Der Widerruf muss so einfach sein wie die Erteilung. Ein dauerhaft erreichbares Bedienelement, keine Support-E-Mail.
Einwilligung verfällt. Die meisten Behörden arbeiten mit etwa sechs bis dreizehn Monaten, bevor erneut gefragt werden sollte.
Consent or Pay ist eng begrenzt. Die Stellungnahme 08/2024 des Europäischen Datenschutzausschusses besagt, dass große Plattformen im Regelfall keine binäre Wahl zwischen Tracking-Zustimmung und Bezahlen anbieten können. Erwartet wird eine echte kostenlose Alternative ohne verhaltensbasierte Werbung.
Wenn Ihr Banner an einem der ersten beiden Punkte scheitert, beheben Sie das, bevor Sie sich um die Reform kümmern. Das sind die Punkte, die heute Bußgelder erzeugen.
Was der Digital Omnibus vorschlägt
Der strukturelle Kern ist, die Regeln zu Endeinrichtungen aus der alten Richtlinie herauszulösen und über zwei neue Artikel in die DSGVO selbst zu stellen.
Artikel 88a: Einwilligung für den Zugriff auf Endeinrichtungen
Er ersetzt Artikel 5 Absatz 3 der ePrivacy-Richtlinie und erweitert wichtig die Menge der Zwecke, die keine Einwilligung brauchen. Die derzeitige Ausnahme für unbedingt Erforderliches ist so eng, dass selbst einfache Reichweitenmessung in der Regel ein Banner braucht. Der Vorschlag erweitert die Ausnahmen in Richtung Sicherheit, aggregierte Reichweitenmessung und Aufrechterhaltung der Dienstintegrität.
Zwei operative Änderungen bekommen die meiste Aufmerksamkeit:
- Annahme oder Ablehnung mit einem Klick. Die Wahl muss in einer Handlung darstellbar sein, in beide Richtungen.
- Eine Abkühlphase. Wer ablehnt, soll sechs Monate lang nicht erneut gefragt werden. Allein das würde einen großen Teil der Bannermüdigkeit beseitigen.
Artikel 88b: maschinenlesbare Einwilligungssignale
Das ist der für Entwickler interessantere Teil. Einwilligungssignale auf Browser- oder Systemebene würden für Verantwortliche rechtlich bindend. Wenn ein Nutzer seine Präferenz einmal im Browser äußert, müssten Websites sie beachten statt erneut zu fragen.
Eine frühere Fassung des Pakets enthielt einen stärkeren browserbasierten Mechanismus, der in den Verhandlungen gestrichen wurde. Was bleibt, ist der Grundsatz, dass automatisierte Signale zählen.
Weitere erwähnenswerte Punkte
Das Paket schlägt außerdem vor, die Meldefrist für Verletzungen des Schutzes personenbezogener Daten von 72 auf 96 Stunden zu verlängern, und passt mehrere Definitionen rund um pseudonymisierte Daten und KI-Training an. Das liegt außerhalb dieses Artikels, reist aber im selben Vehikel, was mit ein Grund dafür ist, dass das Vorhaben umstritten ist.
Zeitplan, und warum Sie noch nicht darauf planen sollten
Das realistische Bild im August 2026:
- Der Vorschlag ist im Trilog zwischen Parlament, Rat und Kommission.
- Eine finale Abstimmung wird für später im Jahr 2026 erwartet, wobei Zeitpläne schon früher gerutscht sind.
- Artikel 88a würde etwa sechs Monate nach Inkrafttreten gelten.
- Artikel 88b würde innerhalb von rund 24 Monaten gelten.
Der früheste plausible Termin für die Ein-Klick- und Abkühlregeln liegt also irgendwo in 2027, und Pflichten zu Browsersignalen in 2028. Wer Ihnen erzählt, das Cookie-Banner sei dieses Jahr tot, verkauft Ihnen etwas.
Was wir jetzt ändern würden und was nicht
Die Reform ist kein Recht, aber die Richtung ist stabil genug, um Architektur zu beeinflussen. So beraten wir unsere Kunden.
Das jetzt tun
Die Mechanik reparieren. Ablehnen so einfach wie Annehmen, nichts feuert vor der Interaktion, granulare Kategorien, funktionierender Widerruf. Das ist geltendes Recht und dort liegen die Bußgelder.
Consent-Zustand von Consent-Oberfläche trennen. Halten Sie einen Consent-Service, der den Zustand besitzt, ihn der Anwendung zur Verfügung stellt und den Nachweis mit Versionsbezug speichert. Dann wird das Banner zu einer austauschbaren Präsentationsschicht. Ändern sich die Regeln, tauschen Sie die Oberfläche und behalten die Installation.
Einwilligungsnachweise sauber speichern. Zeitstempel, Zustand pro Kategorie, Kennung der Version des Bannertexts, verwendeter Mechanismus und Quelle der Entscheidung. Ohne die Textversion können Sie nicht belegen, wozu der Nutzer eigentlich zugestimmt hat.
Fangen Sie an, auf Signale zu hören. Global Privacy Control ist in mehreren Jurisdiktionen bereits rechtlich relevant und kostet sehr wenig zu beachten. Wer es jetzt liest, macht aus Artikel 88b, falls er kommt, eine Konfigurationsänderung statt eines Projekts.
Prüfen Sie Ihre Tags wirklich. Nicht in der Oberfläche des Tag-Managers, sondern im Browser, auf einer echten Seite, in einem frischen Profil. Zählen Sie die Anfragen vor der Einwilligung. Es sind meist mehr, als das Team erwartet.
Das noch nicht tun
Reißen Sie die granulare Einwilligung nicht heraus in der Annahme, dass die Ausnahmen erweitert werden. Verengt sich der finale Text wieder, müssen Sie sie neu bauen.
Schreiben Sie Ihre Datenschutzerklärung nicht um Entwurfsnummern von Artikeln herum neu.
Entfernen Sie das Banner nicht für Reichweitenmessung. Die erweiterte Ausnahme ist ein Vorschlag, keine Erlaubnis.
Legen Sie sich nicht auf einen 96-Stunden-Prozess fest. Arbeiten Sie weiter mit 72.
Die größere Designfrage
Dahinter steckt eine breitere Verschiebung, die man benennen sollte. Aufsichtsbehörden sind von der Frage, ob Sie eine Einwilligung haben, zur Frage übergegangen, wie Sie sie erlangt haben. Die Interface-Mechanik ist heute die Durchsetzungsfläche. Deshalb drehen sich Cookie-Banner-Fälle um Buttonplatzierung und Klickzahlen statt um den Wortlaut einer Richtlinie.
Dieser Trend setzt sich über den Digital Omnibus hinaus fort. Der Digital Fairness Act, als Vorschlag für Ende 2026 erwartet, zielt genau auf Dark Patterns, manipulative Oberflächen, personalisierte Preise und suchterzeugendes Design. Die Anwendung liegt realistisch 2028 oder später, aber er zeigt, welche Muster ein Ablaufdatum haben.
Wenn Ihre Wachstumszahlen von einer verwirrenden Oberfläche abhängen, ist das jetzt ein Compliance-Risiko mit Datum statt einer cleveren Optimierung.
Eine Bemerkung zur Analytik
Ein großer Teil des Bannerproblems ist selbstgemacht. Teams laden eine Drittanbieter-Analytics-Plattform, die eine Einwilligung braucht, verlieren dann ein Drittel ihrer Daten durch Ablehnungen und versuchen anschließend, sich darum herumzudesignen.
Selbst gehostete, datenschutzfreundliche Analytik kann die Rechnung verändern, weil Messung, die auf Ihrer eigenen Infrastruktur bleibt und keine seitenübergreifenden Profile bildet, ein deutlich stärkeres Argument für die Ausnahme hat und gut in die erweiterten Ausnahmen des Omnibus passen würde. Eine Option haben wir in unserem Leitfaden zur Einrichtung von Matomo beschrieben, und dieselbe Logik gilt für selbst gehostete Marketing-Automatisierung.
Das ist kein Compliance-Trick. Es ist eine echte Reduktion dessen, was Sie rechtfertigen müssen.
Wo das im Gesamtbild steht
Die Cookie-Einwilligung ist ein Baustein eines viel größeren regulatorischen Aufbaus. Die vollständige Karte der EU-Digital-Compliance 2026 deckt den Rest ab, und der technische DSGVO-Leitfaden die darunterliegende Schicht.
Wenn Sie Ihre Consent-Implementierung gegen das prüfen lassen wollen, was Aufsichtsbehörden tatsächlich durchsetzen, oder sie so umbauen möchten, dass die nächste Regeländerung eine Konfiguration statt eines Rewrites ist, schreiben Sie an office@c9group.dev.
Wir bauen Systeme, wir erteilen keine Rechtsauskünfte, und die finale Entscheidung über die Auslegung liegt bei Ihren Juristen.