Kurzfassung: Für Ihre Website ändert sich derzeit nichts, in Österreich gilt weiter § 165 Abs 3 TKG. Die EU-Kommission wollte die Cookie-Regeln für personenbezogene Daten in die DSGVO verschieben. Der Rat lässt sie laut seinem Mandat vom 21. Oktober 2026 in der ePrivacy-Richtlinie, erweitert die Ausnahmen von der Einwilligung und streicht die Browsersignale. Abgeschafft wird der Banner damit nicht, für Werbepixel und Retargeting sieht auch der Ratstext keine Ausnahme vor. Das Parlament hat noch keine Position. Stand: November 2026.
Was hat der Rat zu Cookies festgelegt?
Der Digital Omnibus ist ein Sammelpaket, das die Kommission am 19. November 2025 vorgelegt hat. Die Cookie-Regeln sind nur ein kleiner Teil davon. Die Ständigen Vertreter der Mitgliedstaaten haben am 21. Oktober 2026 das Mandat 14756/26 festgelegt. Das ist die Position, mit der der Rat in die Verhandlung mit dem Parlament geht, und kein geltendes Recht.
Art 88a und Art 88b, die neu in die DSGVO kommen sollten, sind im Mandat zur Gänze gestrichen. Die Regeln bleiben in Art 5 Abs 3 der ePrivacy-Richtlinie und werden dort neu gefasst. Grundsatz bleibt die Einwilligung für jedes Speichern und Auslesen am Endgerät, dazu kommt eine abschließende Liste von Ausnahmen.
Worin unterscheiden sich Kommission und Rat?
Am stärksten bei der Rechtsgrundlage, bei den Browsersignalen und beim Zeitplan.
| Punkt | Kommission (November 2025) | Rat (Oktober 2026) |
|---|---|---|
| Rechtsgrundlage | Art 88a DSGVO, wenn personenbezogene Daten betroffen sind. Sonst ePrivacy-Richtlinie. | Einheitlich Art 5 Abs 3 ePrivacy-Richtlinie, Umsetzung durch die Staaten |
| Eigene Reichweitenmessung ohne Einwilligung | Aggregierte Daten, durch den Verantwortlichen, nur für den eigenen Gebrauch | Anonyme, aggregierte Daten, auch durch einen Dienstleister im Auftrag. Keine anderen Zwecke, keine Weitergabe, keine Kombination mit fremden Daten. |
| Weitere Ausnahmen | Übertragung, angeforderter Dienst, Sicherheit | Dieselben, dazu Reichweitenmessung nach Art 24 Medienfreiheitsgesetz und Messung kontextbezogener Werbung |
| Ablehnen | Ein Klick, mindestens 6 Monate keine neue Anfrage | Ein Klick, mindestens 4 Monate keine neue Anfrage |
| Browsersignale | Art 88b: Websites nach 24 Monaten, Browser nach 48 Monaten, Medien ausgenommen | Gestrichen. Stattdessen ein Bericht der Kommission zu datenschutzfreundlichen Techniken binnen 12 Monaten. |
| Aufsicht | DSGVO-Aufsicht, weil die Regel in der DSGVO steht | Staaten benennen die DSGVO-Aufsichtsbehörde auch für Art 5 Abs 3 |
| Anwendbar ab | Art 88a: 6 Monate nach Inkrafttreten | 24 Monate nach Annahme |
Quelle für beide Spalten ist das Mandat, es zeigt den Kommissionstext als Durchstreichung neben dem Ratstext.
Was hieße das für Analytics, Werbung und eingebettete Inhalte?
Webanalyse. Die neue Ausnahme passt für Statistik, die anonym und aggregiert entsteht. Erwägungsgrund 44d nennt als Grenze ausdrücklich die Kombination mit Analysedaten anderer Websites. Ein Dienst, der die Daten auch für eigene Zwecke verwendet, passt nach dem Wortlaut nicht. Über einzelne Produkte sagt der Text nichts.
Werbung. Reichweite und Leistung von Werbung, die nur am gerade angezeigten Inhalt hängt, dürfte ohne Einwilligung gemessen werden, sofern keine personenbezogenen Daten verarbeitet werden. Erwägungsgrund 44g nennt dazu Cookies zur Begrenzung der Anzeigenhäufigkeit und zur Werbemessung, und er schließt Profilbildung und programmatische Werbung aus. Für Retargeting und seitenübergreifendes Tracking bleibt es bei der Einwilligung.
Eingebettete Inhalte. Für Videos oder Karten von Drittanbietern nennt die Liste keine eigene Ausnahme. Die Ausnahme für den angeforderten Dienst deckt laut Erwägungsgrund 44c Sprachwahl, Warenkorb und Formularhilfen ab. Das ist in der Regel schon heute einwilligungsfrei.
Warum ist die Ablehnen-Regel so wichtig?
Weil sie sich messbar auf die Entscheidung auswirkt. Eine Studie von MIT, Aarhus University und University College London zeigt in einem Feldexperiment mit 40 Teilnehmern: Fehlt die Ablehnen-Möglichkeit auf der ersten Ebene, steigt die Zustimmung um 22 bis 23 Prozentpunkte (Quelle: Nouwens u. a., „Dark Patterns after the GDPR“, CHI 2020). Eine Untersuchung der Ruhr-Universität Bochum und der University of Michigan mit über 80.000 Nutzern einer deutschen Website kommt ebenfalls zum Ergebnis, dass die Gestaltung großen Einfluss hat (Quelle: Utz u. a., „(Un)informed Consent“, ACM CCS 2019). Beide Arbeiten sind einige Jahre alt und untersuchen einzelne Märkte.
Kommission und Rat wollen deshalb beide den Ablehnen-Knopf mit einem Klick. Der Ratstext erlaubt eine neue Anfrage vor Ablauf der vier Monate nur im Ausnahmefall, etwa wenn sich der Zweck ändert oder der Nutzer die Cookies gelöscht hat (Erwägungsgrund 45). In Österreich verlangt das Bundesverwaltungsgericht schon heute, dass Ablehnen auf der ersten Ebene gleichwertig möglich ist.
Was sollte ein KMU jetzt tun?
Nicht auf den Omnibus warten. Bis eine neue Regel anwendbar ist, vergeht nach beiden Texten noch einige Zeit, und der Text kann sich in der Verhandlung ändern. In der Regel reichen drei Dinge:
- Prüfen, welche Technik wirklich eine Einwilligung braucht. Das geht in wenigen Minuten mit dem Cookie-Banner-Check, er nennt je Technik auch den bannerfreien Ersatz.
- Ablehnen auf die erste Ebene des Banners setzen, falls noch nicht geschehen.
- Statistik so aufsetzen, dass sie ohne Zugriff auf das Endgerät auskommt, etwa serverseitig. Dann greift die Einwilligungspflicht für das Endgerät nicht, heute nicht und nach beiden Entwürfen nicht.
Wer die Cookie-Frage im größeren Zusammenhang angehen will: Der Fahrplan für den Datenschutz im KMU ordnet die übrigen Pflichten ein, und unter Datenschutz & Compliance steht, wobei ich unterstütze.
Wie geht es weiter?
Der Ball liegt beim Parlament. Federführend sind die Ausschüsse ITRE und LIBE gemeinsam, das Verfahren 2025/0360(COD) steht laut Legislative Observatory noch auf „Awaiting committee decision“. Die Verhandlung beginnt laut Pressemitteilung des Rats, sobald das Parlament seine Position angenommen hat. Ausgang offen. Dieser Artikel wird aktualisiert, sobald die Parlamentsposition oder eine Einigung vorliegt.
Häufige Fragen zum Digital Omnibus und zu Cookies
Schafft die EU die Cookie-Banner ab?
Nein, auch nach dem Text des Rats nicht. Für alles außerhalb der Ausnahmen bleibt die Einwilligung nötig, und damit in der Regel ein Banner. Beschlossen ist ohnehin noch nichts. Stand: November 2026.
Ist Google Analytics dann ohne Banner erlaubt?
Heute nein: In Österreich braucht Google Analytics laut Datenschutzbehörde eine Einwilligung. Ob es nach dem Ratstext darunter fiele, lässt sich aus dem Text nicht ablesen. Die Ausnahme verlangt anonyme, aggregierte Daten, die nicht für andere Zwecke verarbeitet, nicht weitergegeben und nicht mit fremden Daten kombiniert werden.
Ab wann gilt die neue Regelung?
Das steht nicht fest. Das Parlament hat noch keine Position, danach folgt die Verhandlung mit dem Rat. Der Ratstext gibt den Mitgliedstaaten 24 Monate ab Annahme für die Umsetzung, der Kommissionsvorschlag sah für Art 88a sechs Monate ab Inkrafttreten vor.
Muss ich an meiner Website jetzt etwas ändern?
Wegen des Omnibus nein. Maßstab bleibt § 165 Abs 3 TKG. Wer ohnehin einwilligungspflichtige Technik einsetzt, sollte unabhängig davon prüfen, ob sie nötig ist und ob Ablehnen auf der ersten Ebene gleichwertig möglich ist.
Verwendete Quellen: Rat der EU, Dokument 14756/26 vom 22. Oktober 2026 (Mandat vom 21. Oktober 2026, Art 5 sowie Erwägungsgründe 44 bis 46); Pressemitteilung des Rats vom 21. Oktober 2026; Legislative Observatory, Verfahren 2025/0360(COD), abgerufen am 10. November 2026; § 165 Abs 3 TKG 2021 im RIS. Wissenschaftliche Belege: Nouwens, Liccardi, Veale, Karger, Kagal, 10.1145/3313831.3376321; Utz, Degeling, Fahl, Schaub, Holz, 10.1145/3319535.3354212. Stand dieses Beitrags: November 2026.
Hinweis: Dieser Beitrag ist eine Praxis-Einschätzung zu einem laufenden Gesetzgebungsverfahren und ersetzt keine Rechtsberatung im Einzelfall.