Der Digital Omnibus: Im Januar nichts Neues?

Wie wir schon Ende des letzten Jahres berichtet haben, hat die Europäische Kommission am 19. November 2025 den Digital Omnibus vorgestellt.

Dabei handelt es sich um ein Reformpaket, mit dem bestehende Digitalrechtsakte vereinfacht und stärker aufeinander abgestimmt werden sollen. Vorgesehen sind Änderungen an der Datenschutz-Grundverordnung (DSGVO), dem Data Act, Teilen der ePrivacy-Regelungen, im Bereich der Cybersicherheit sowie am AI Act zur Regulierung Künstlicher Intelligenz.

Ein zentraler Reformansatz besteht in der Schaffung einer unionsweit einheitlichen Regelung für Cookies und vergleichbare Tracking-Technologien innerhalb der DSGVO und der gleichzeitigen Beendigung des derzeitigen Nebeneinanders von DSGVO, Art. 5 Abs. 3 ePrivacy-Richtlinie sowie § 25 TDDDG. Das betrifft vor allem die Regeln für Cookies und ähnliche Technologien, also den Zugriff auf Geräte wie Smartphones oder Computer. Das nahezu ausnahmslose Einwilligungserfordernis für das Setzen von Cookies ist nicht nachvollziehbar, da Art. 6 DSGVO die Verarbeitung personenbezogener Daten auch ohne Einwilligung zulässt, insbesondere bei Erforderlichkeit zur Vertragserfüllung oder bei überwiegenden berechtigten Interessen.

Der neu vorgeschlagene Art. 88a DSGVO soll dieses Spannungsverhältnis auflösen, indem er die Zulässigkeit des Einsatzes von Cookies und sonstigen Tracking-Tools in kontrolliertem Umfang erweitert.

Die Regelungen sind derzeit weiterhin so ausgestaltet, dass der Einsatz von Cookies grundsätzlich nur mit Einwilligung der betroffenen Person möglich sein ist. Eine abgelehnte Einwilligung würde so aber erst nach 6 Monaten erneut abgefragt werden.

Im Übrigen hat das OLG Frankfurt erst Ende des Jahres 2025 entschieden, dass ein Cookie, der ohne Einwilligung gesetzt wird, einen Schadensersatzanspruch i.H.v. 100 Euro begründet.

Der Digital Omnibus stellt gezielte Änderungen an Datenschutz-Grundverordnung (DSGVO) und ePrivacy-Richtlinie in Aussicht. Eine der wichtigsten Neuerungen für Unternehmen: Die Frist für die Meldungen von Datenschutzverstößen an die zuständigen Aufsichtsbehörden soll verlängert werden: statt binnen 72 Stunden soll binnen 96 Stunden gemeldet werden. Unternehmen bekommen somit mehr Zeit, um Umfang und Folgen eines Vorfalls zu bewerten.

Ein weiterer Punkt betrifft den Umgang mit pseudonymisierten Daten. Der Digital Omnibus greift die Frage auf, wann solche Daten als personenbezogen einzustufen sind. Angedacht ist, dass pseudonymisierte Daten für den ursprünglichen Verantwortlichen weiterhin personenbezogene Daten bleiben, während sie beim Empfänger als anonym gelten können, sofern eine Re-Identifizierung faktisch ausgeschlossen ist und keine zusätzlichen Informationen zur Verfügung stehen. Dies würde dazu führen, dass Datenübermittlungen aus Sicht des Empfängers häufiger nicht mehr unter die DSGVO fallen. Der Ansatz orientiert sich an der aktuellen Rechtsprechung des EuGH zum relativen Personenbezug. 

Auch die Pflicht zur Transparenz hinsichtlich der Datenverarbeitung haben Datenempfänger weiterhin, solange bis die Daten pseudonymisiert werden. Bis dahin sind die Daten personenbezogen, weshalb die DSGVO Anwendung findet – unabhängig davon, ob sie später pseudonymisiert werden. Daher muss der Datenempfänger über die Datenverarbeitung weiterhin nach Art. 13 ff. DSGVO informieren.Zur Orientierung und Klarheit soll die Europäische Kommission in Zukunft Durchführungsrechtsakte erlassen können, in der sie die Kriterien und Maßnahmen festlegen, um beurteilen zu können, wann pseudonymisierte Daten keine personenbezogenen Daten mehr darstellen.

Die geplante Reform wird von Datenschutz- und Verbraucherorganisationen kritisiert. Es wird befürchtet, dass die Anpassungen zu einer Absenkung des Schutzniveaus im Datenschutz führen könnten, auch wenn das Hauptziel, nämlich der Bürokratieabbau, begrüßenswert ist. Wie es hier nun weitergeht, bleibt in den nächsten Monaten abzuwarten. Wir bei MKM Legal beantworten gerne Ihre Fragen und sagen Ihnen, was auf Sie im Einzelfall zukommt.

Autorin: Yana Madorskaya (Senior Associate)