Daten-Omnibus: KI-Training und Cookies im Rat

Die EU-Staaten haben sich am 21.10.2026 auf ihre Position zum Digital Omnibus geeinigt, seit dem 22.10. ist der Text öffentlich. Das Paket ändert DSGVO, ePrivacy-Richtlinie, Data Act und die Meldewege für Sicherheitsvorfälle. Der KI-Teil des Omnibus, also die verschobenen Fristen im AI Act, ist schon seit Juli in Kraft. Jetzt geht es um den Daten-Teil.

Gesetz ist damit noch nichts. Das Mandat ist die Verhandlungsposition des Rats für den Trilog mit Parlament und Kommission. Das Parlament will seine eigene Position laut netzpolitik.org voraussichtlich im Februar 2027 festlegen. Bis zur Einigung kann sich jede Zeile noch ändern. Trotzdem lohnt der Blick, denn an zwei Stellen weicht der Rat deutlich vom Vorschlag der Kommission ab, und beide betreffen Teams, die Software bauen.

KI-Training über berechtigtes Interesse

Der Rat übernimmt die Idee der Kommission, KI ausdrücklich in die DSGVO zu schreiben. Ein neuer Artikel 88 bis sagt im Kern: Personenbezogene Daten dürfen bei Entwicklung und Betrieb eines KI-Systems oder KI-Modells auf Grundlage eines berechtigten Interesses nach Artikel 6 Absatz 1 Buchstabe f verarbeitet werden. Eine Einwilligung braucht es dafür nicht.

Neu ist das nicht ganz. Auch heute stützen Anbieter ihr Training oft auf berechtigtes Interesse, nur war das rechtlich umstritten. Die Regel würde es festschreiben. Die Abwägung gegen die Interessen der Betroffenen bleibt, weil sie zu Artikel 6 Absatz 1 Buchstabe f gehört. Der Rat schreibt außerdem fest, dass für jede KI-Verarbeitung Schutzmaßnahmen und das Widerspruchsrecht nach Artikel 21 gelten, egal auf welcher Rechtsgrundlage sie läuft.

Für besondere Kategorien wie Gesundheitsdaten gibt es eine engere Ausnahme. Sie dürfen nur "beiläufig" und als Rest in Trainingsdaten stecken, nicht absichtlich gesammelt werden. Findet ein Unternehmen solche Daten, muss es sie löschen. Geht das technisch nicht, muss es verhindern, dass sie in Ausgaben auftauchen oder an Dritte gehen.

Der Wortlaut der Definition personenbezogener Daten bleibt unverändert. Ein Teil dessen, was die Kommission dort ändern wollte, kommt aber über einen neuen Artikel 25a zur Pseudonymisierung zurück: Pseudonymisierte Daten gelten für einen Dritten nicht als personenbezogen, wenn er die Person dahinter nicht identifizieren kann. Gibt er sie an jemanden weiter, der das kann, ist es wieder eine Verarbeitung personenbezogener Daten. Wer im Auftrag verarbeitet, bleibt immer in der DSGVO. Der Europäische Datenschutzausschuss soll erklären, wie Pseudonymisierung und Anonymisierung in der Praxis aussehen müssen. Wer Trainingsdaten pseudonymisiert einkauft, sollte genau diesen Absatz im Blick behalten.

Cookies: Banner sollen seltener werden, die Browser-Pflicht ist raus

Für Webentwickler ist das der Teil mit den meisten praktischen Folgen. Die Kommission wollte die Cookie-Regeln aus der ePrivacy-Richtlinie in die DSGVO verschieben und Websites verpflichten, automatische Signale aus dem Browser zu respektieren. Große Browserhersteller hätten diese Signale nach vier Jahren anbieten müssen. Die Idee dahinter: einmal im Browser einstellen, nie wieder Banner klicken.

Der Rat hat beides gestrichen. Die Cookie-Regel bleibt in Artikel 5 Absatz 3 der ePrivacy-Richtlinie, in Deutschland umgesetzt in § 25 TDDDG. Grundsätzlich gilt weiter: Wer etwas auf einem Endgerät speichert oder ausliest, braucht eine Einwilligung. Neu sind die klarer gefassten Ausnahmen, für die keine Einwilligung nötig ist:

Zweck	Bedingung laut Mandat
Übertragung einer Nachricht	Technisch nötig für die Kommunikation
Ausdrücklich gewünschter Dienst	Einschließlich seiner Funktionen
Eigene Reichweitenmessung	Anonym und aggregiert, durch den Anbieter selbst oder einen Dienstleister in seinem Auftrag; keine Weitergabe an Dritte, keine Verknüpfung mit fremden Daten, kein anderer Zweck
Reichweitenmessung bei Mediendiensten	Nach dem Medienfreiheitsgesetz, Daten pseudonymisiert, kein Tracking über den Dienst hinaus
Technische Sicherheit	Des Dienstes oder des Endgeräts
Messung kontextbezogener Werbung	Nur Werbung zum gerade angezeigten Inhalt, ohne Profiling, ohne seitenübergreifende Daten

Dazu kommen zwei Regeln für die Banner selbst: Ablehnen muss mit einem Klick gehen. Und wer ablehnt, darf für denselben Zweck mindestens vier Monate lang nicht erneut gefragt werden. Die Kommission hatte hier sechs Monate vorgeschlagen.

Was heißt das konkret? Eine eigene, anonyme Besucherstatistik bräuchte künftig keinen Banner mehr. Analytics-Dienste, die Daten auch für eigene Zwecke nutzen oder mit anderen Quellen verknüpfen, fallen dagegen nicht unter die Ausnahme. Wer Tracking über mehrere Websites hinweg betreibt, braucht weiterhin eine Einwilligung.

Bis das im Code ankommt, dauert es. Weil die Regel in einer Richtlinie steht, müssen die Mitgliedstaaten sie erst in nationales Recht übertragen. Das Mandat gibt ihnen dafür 24 Monate nach Inkrafttreten. Die Aufsicht über die Cookie-Regel sollen die Datenschutzbehörden übernehmen. Mit dem Browser-Signal fällt die Abkürzung weg, die Nutzer beim Einwilligen und Ablehnen entlastet hätte. Es bleibt beim Banner, nur mit weniger Anlässen.

Datenpannen erst ab hohem Risiko melden

Auch das Meldewesen ändert sich. An die Aufsicht melden müssen Unternehmen eine Datenpanne nach dem Mandat nur noch, wenn sie voraussichtlich ein hohes Risiko für Betroffene bedeutet. Heute ist jede Panne meldepflichtig, außer sie führt voraussichtlich zu keinem Risiko. Die Frist steigt von 72 auf 96 Stunden. Gemeldet wird über eine nationale Meldestelle, die auch Vorfälle nach NIS-2 und anderen EU-Gesetzen annimmt. Die Kommission hatte eine zentrale EU-Stelle vorgeschlagen, der Rat will lieber eine Stelle pro Land.

Beim Auskunftsrecht sollen Unternehmen leichter ablehnen dürfen, wenn Anfragen unbegründet oder exzessiv sind. Wie weit das geht, lässt die Pressemitteilung offen.

Deutschland hat dagegen gestimmt

Laut netzpolitik.org stimmten Deutschland, Österreich und Estland gegen die Position. Die Bundesregierung kritisiert vor allem, dass Geschäftsgeheimnisse zu schwach geschützt seien und kleine Unternehmen bei der DSGVO zu wenig entlastet würden. Das Nein richtet sich also nicht gegen die Lockerungen an sich. Verbraucherschützer und Bürgerrechtler halten das Paket dagegen für einen Rückschritt bei den Grundrechten, noyb spricht von "digitaler Enteignung" zugunsten von KI-Firmen.

Was ihr jetzt tun könnt

Für laufende Projekte ändert sich heute nichts, es gelten DSGVO und TDDDG in der jetzigen Fassung. Wer gerade Analytics oder Consent-Management neu plant, sollte die Messung aber so bauen, dass sie zur neuen Ausnahme passt: eigene Daten, anonym aggregiert, keine Weitergabe. Dann steht man gut da, egal wie der Trilog ausgeht. Und wer KI-Funktionen mit Kundendaten trainiert, sollte die Abwägung für das berechtigte Interesse schon heute dokumentieren. Ob sie mit oder ohne den neuen Artikel hält, prüfen am Ende die Aufsichtsbehörden. Was beim KI-Einsatz mit personenbezogenen Daten heute schon gilt, steht in unserem Überblick zur DSGVO-konformen KI-Nutzung.