Der Ausschuss der Ständigen Vertreter der EU-Mitgliedstaaten hat am 21. Oktober 2026 die Verhandlungsposition des Rates zum Digital-Omnibus festgelegt. Das Paket soll die DSGVO, die Cookie-Regeln der ePrivacy-Richtlinie und die Meldewege für Sicherheitsvorfälle vereinfachen. Geltendes Recht ist damit noch nichts: Erst muss das Europäische Parlament seine Position finden, dann folgen die Verhandlungen zwischen Rat, Parlament und Kommission. Für Unternehmen lohnt der Blick trotzdem, weil sich abzeichnet, in welche Richtung sich Meldepflichten und Dokumentation bewegen.
Worum es beim Digital-Omnibus geht
Die Europäische Kommission hat den Digital-Omnibus im November 2025 vorgelegt. Er ist Teil ihres Programms zur Vereinfachung von EU-Vorschriften und bündelt Änderungen an mehreren Gesetzen. Der Teil zur künstlichen Intelligenz ist bereits beschlossen und hat die Fristen des EU AI Act verschoben. Der Teil zu Daten und Datenschutz ist politisch umstrittener und kommt deshalb später.
Der Rat folgt der Kommission nicht in allen Punkten. Bei einigen Vorschlägen bremst er, bei anderen ergänzt er Schutzvorkehrungen.
Der Begriff der personenbezogenen Daten bleibt
Die Kommission wollte die Definition in Artikel 4 Nummer 1 DSGVO so ändern, dass Daten für einen Empfänger nicht personenbezogen sind, wenn er die Person nicht identifizieren kann. Der Rat lehnt das ab und behält die bisherige Definition bei. Stattdessen soll eine eigene Vorschrift zur Pseudonymisierung regeln, wann Dritte, die keinen Zugriff auf den Schlüssel haben, pseudonymisierte Daten anders behandeln dürfen. Auftragsverarbeiter verarbeiten nach der Ratsposition in jedem Fall personenbezogene Daten. Für die Praxis heißt das: Verträge nach Artikel 28 DSGVO und die zugehörigen Pflichten bleiben, wie sie sind.
Datenpannen: höhere Schwelle, längere Frist
Die wohl spürbarste Änderung betrifft Artikel 33 DSGVO. Nach der Ratsposition müssen Verantwortliche eine Datenpanne der Aufsichtsbehörde nur noch melden, wenn sie voraussichtlich zu einem hohen Risiko für die Betroffenen führt. Das ist dieselbe Schwelle, die heute schon für die Benachrichtigung der Betroffenen gilt. Die Frist für die Meldung soll von 72 auf 96 Stunden steigen.
Unverändert bleibt die Pflicht, jede Datenpanne intern zu dokumentieren, auch wenn sie nicht gemeldet wird. Wer heute kein sauberes Register für Datenschutzvorfälle führt, gewinnt durch die Reform also wenig.
Meldewege für Sicherheitsvorfälle
Die Kommission hatte eine einzige EU-weite Anlaufstelle vorgeschlagen, über die Unternehmen Vorfälle nach mehreren Gesetzen melden, etwa nach DSGVO und NIS2. Der Rat will stattdessen eine nationale Anlaufstelle in jedem Mitgliedstaat, ergänzt um eine Informationsstelle auf EU-Ebene und einheitliche Regeln für grenzüberschreitende Meldungen. Für Einrichtungen, die unter NIS2 fallen, könnte das langfristig einen gemeinsamen Meldeweg bedeuten. Bis dahin gelten die getrennten Pflichten gegenüber dem BSI und der Datenschutzaufsicht weiter.
Weitere Punkte der Ratsposition
- Datenschutz-Folgenabschätzung: Der Europäische Datenschutzausschuss soll EU-weit einheitliche Listen veröffentlichen, welche Verarbeitungen eine Folgenabschätzung erfordern und welche nicht. Die nationalen Listen gelten bis dahin weiter.
- Auskunftsersuchen: Verantwortliche sollen missbräuchliche Anträge ablehnen oder ein Entgelt verlangen dürfen, wenn sie die missbräuchliche Absicht belegen können. Die Beweislast liegt bei ihnen.
- Informationspflichten: Eine neue Ausnahme soll gelten, wenn die Betroffenen den Verantwortlichen und den Zweck bereits kennen und die Verarbeitung kein hohes Risiko birgt. Für sensible Daten gilt sie nicht.
- Künstliche Intelligenz: Entwicklung und Betrieb von KI-Systemen sollen auf das berechtigte Interesse gestützt werden können, allerdings nur nach Prüfung im Einzelfall. Sensible Daten, die ungewollt in Trainingsdaten gelangen, sollen gelöscht oder abgeschirmt werden.
- Cookies: Die Regeln bleiben in der ePrivacy-Richtlinie. Für bestimmte Zwecke, etwa die Bereitstellung eines Dienstes, die Reichweitenmessung oder die Sicherheit des Endgeräts, soll keine Einwilligung mehr nötig sein.
Wie es weitergeht
Das Parlament hat seine Position noch nicht beschlossen. Nach Einschätzung von Beobachtern ist mit einer Abstimmung im zuständigen Ausschuss nicht vor Anfang 2027 zu rechnen. Erst danach beginnen die Trilog-Verhandlungen, in denen sich alle Punkte noch ändern können. Bis zu einer Einigung und deren Veröffentlichung im Amtsblatt gelten DSGVO und ePrivacy-Richtlinie unverändert. Die 72-Stunden-Frist für Meldungen bleibt also bis auf Weiteres maßgeblich.
Was das für Sie bedeutet
Sie müssen heute nichts umstellen. Die Ratsposition zeigt aber, wo sich der Aufwand verschieben dürfte, und einige Vorbereitungen lohnen sich unabhängig vom Ausgang:
- Führen Sie ein vollständiges Register aller Datenschutzvorfälle mit Ihrer Risikobewertung. Diese Pflicht bleibt in jedem Fall, und eine höhere Meldeschwelle setzt eine nachvollziehbare Bewertung voraus.
- Planen Sie weiter mit 72 Stunden. Passen Sie Ihren Meldeprozess erst an, wenn eine neue Frist tatsächlich gilt.
- Prüfen Sie, wo sich Meldungen nach DSGVO und NIS2 überschneiden, und legen Sie fest, wer im Ernstfall welche Behörde informiert.
- Dokumentieren Sie bei KI-Projekten schon jetzt die Abwägung, auf die Sie die Verarbeitung stützen. Eine Prüfung im Einzelfall wird auch nach der Reform verlangt.
- Behalten Sie die Konsultation zu den Bußgeld-Leitlinien des EDPB im Blick, über die wir im Beitrag zu DSGVO-Bußgeld oder Verwarnung berichtet haben.
Sightadel hilft Ihnen, Vorfälle, Bewertungen und Maßnahmen an einer Stelle mit Datum zu dokumentieren und Pflichten aus DSGVO und NIS2 gemeinsam zu steuern. Mehr dazu auf der Seite zur DSGVO und der Seite zu NIS2. Sie können die Plattform 14 Tage kostenlos testen.
Stand: 5. November 2026 · Keine Rechtsberatung. Maßgeblich sind Norm bzw. Gesetz in der geltenden Fassung.
