Cookie-Einwilligung nach dem Digital Omnibus: Geplante Änderungen und technische Umsetzung

Cookie-Banner sind seit Jahren fester Bestandteil nahezu jedes Online-Angebots, ohne dass sie ihr Ziel einer informierten und selbstbestimmten Entscheidung der Nutzer in der Praxis zuverlässig erreichen. Rechtlich beruht die Einwilligungspflicht auf Art. 5 Abs. 3 der ePrivacy-Richtlinie und dessen Umsetzung in § 25 TDDDG, deren Verhältnis zur DSGVO Unternehmen seit Langem vor Abgrenzungsfragen stellt. Mit dem Digital Omnibus schlägt die EU-Kommission nun vor, die Cookie-Regeln neu zu ordnen, zusätzliche Ausnahmen vom Einwilligungserfordernis zu schaffen und die Gestaltung von Einwilligungsabfragen erstmals ausdrücklich zu regeln. Nachdem der Rat sich am 21. Oktober 2026 geeinigt hat, steht die Positionierung des Europäischen Parlaments noch aus, sodass mit einem Inkrafttreten voraussichtlich nicht vor 2027 zu rechnen ist. Der folgende Beitrag stellt den geltenden Rechtsrahmen dar, erläutert die geplanten Änderungen und zeigt auf, wie sich Unternehmen technisch auf die neuen Anforderungen einstellen können.

I. Geltender Rechtsrahmen

Das Setzen von Cookies und vergleichbare Zugriffe auf Endgeräte sind unionsrechtlich in Art. 5 Abs. 3 ePrivacy-RL geregelt, in Deutschland umgesetzt durch § 25 TDDDG. Solche Vorgänge bedürfen grundsätzlich der Einwilligung des Nutzers, und zwar unabhängig davon, ob dabei personenbezogene Daten verarbeitet werden. Ausgenommen sind lediglich die Übertragung einer Nachricht sowie Zugriffe, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen, etwa für Warenkorb, Login oder Spracheinstellungen. Werden im Anschluss personenbezogene Daten verarbeitet, bedarf es zusätzlich einer Rechtsgrundlage nach der DSGVO. Reichweitenmessung, Analysewerkzeuge und Werbetechnologien sind nach diesem zweistufigen System in der Praxis regelmäßig einwilligungsbedürftig.

Die Anforderungen an die Einwilligung richten sich auch im Rahmen des § 25 TDDDG nach der DSGVO. Sie muss freiwillig, informiert und eindeutig erteilt werden. Vorausgewählte Kästchen genügen nach der Rechtsprechung des Europäischen Gerichtshofs (EuGH) nicht. Zudem müssen Unternehmen nachweisen können, dass eine wirksame Einwilligung vorliegt, was eine entsprechende Protokollierung voraussetzt. Für die Gestaltung von Cookie-Bannern verlangen die Datenschutzkonferenz (DSK) und die Rechtsprechung, dass die Ablehnung ebenso einfach möglich ist wie die Zustimmung. Kann der Nutzer auf der ersten Ebene mit einem Klick zustimmen, muss er dort also auch mit einem Klick ablehnen können.

Werbefinanzierte Angebote setzen vielfach auf sogenannte Pay-or-Okay-Modelle, bei denen Nutzer zwischen einer Einwilligung in werbebezogenes Tracking und einem kostenpflichtigen Zugang ohne Tracking wählen. Die DSK hält solche Modelle grundsätzlich für zulässig, sofern das Bezahlangebot eine gleichwertige Alternative zu einem angemessenen Entgelt darstellt. Für große Online-Plattformen hat der Europäische Datenschutzausschuss (EDSA) strengere Maßstäbe formuliert.

Ansätze zur zentralen Einwilligungsverwaltung haben sich bislang nicht durchgesetzt. Die seit April 2025 geltende Einwilligungsverwaltungsverordnung (EinwV) ermöglicht zwar die Anerkennung von Diensten, über die Nutzer ihre Entscheidungen zentral hinterlegen können, Anbieter digitaler Dienste müssen diese jedoch nicht berücksichtigen. Für Unternehmen bleibt es damit beim Nebeneinander von ePrivacy-Recht und DSGVO mit unterschiedlichen Rechtsgrundlagen und Abgrenzungsfragen. Dieses Nebeneinander bildet den Ausgangspunkt der Reformüberlegungen auf europäischer Ebene.

II. Geplante Änderungen durch den Digital Omnibus

1. Der Vorschlag der Kommission

Kern des Kommissionsvorschlags vom 19. November 2025 ist die Überführung der Cookie-Regeln in die DSGVO (wir berichteten in Datenschutzupdate Nr. 266). Nach dem neuen Art. 88a DSGVO in der Entwurfsfassung (DSGVO-E) sollte der Zugriff auf Endgeräte künftig nach der DSGVO zu beurteilen sein, soweit personenbezogene Daten betroffen sind. Art. 5 Abs. 3 ePrivacy-RL bliebe nur noch für nicht-personenbezogene Daten anwendbar. Am Grundsatz der Einwilligung hält der Entwurf fest, erweitert jedoch den Katalog der Ausnahmen. Neben den bisherigen Fällen sollen künftig auch die aggregierte Reichweitenmessung durch den Anbieter eines Dienstes für eigene Zwecke sowie Zugriffe zur Gewährleistung der Sicherheit des Dienstes oder des Endgeräts ohne Einwilligung zulässig sein.

Daneben enthält Art. 88a DSGVO-E erstmals ausdrückliche Vorgaben für die Gestaltung von Einwilligungsabfragen. Nutzer sollen eine Einwilligung mit einem einzigen Klick ablehnen können. Nach einer Ablehnung soll der Anbieter für denselben Zweck sechs Monate lang keine erneute Einwilligung anfragen dürfen. Ebenso soll während der Gültigkeit einer erteilten Einwilligung keine erneute Abfrage erfolgen.

Weitergehend war Art. 88b DSGVO-E angelegt. Danach sollten Nutzer ihre Einwilligungsentscheidungen zentral über Einstellungen im Browser festlegen können, und Anbieter wären verpflichtet gewesen, diese automatisierten Signale zu beachten. Für die technische Umsetzung war eine Frist von 24 Monaten vorgesehen. Mediendienste sollten von der Pflicht ausgenommen sein, um ihnen eine eigene Einwilligungsabfrage gegenüber ihren Nutzern zu ermöglichen.

2. Entwicklung im Rat

Im Rat haben sich die Vorschläge im Laufe des Jahres 2026 deutlich verändert. Nach den bislang bekannt gewordenen Kompromisstexten soll die Verlagerung in die DSGVO nicht erfolgen. Die Cookie-Regeln würden stattdessen unmittelbar in Art. 5 Abs. 3 ePrivacy-RL angepasst und blieben damit im ePrivacy-Recht verankert. Die Pflicht zur Beachtung von Browsersignalen wurde bereits im Juni 2026 gestrichen.

Die materiellen Erleichterungen hat der Rat dagegen im Wesentlichen beibehalten und teilweise ausgeweitet. Nach einem im April 2026 bekannt gewordenen Ratstext sollte die Ausnahme für Reichweitenmessung auch Messungen durch beauftragte Dritte erfassen, sofern die Daten aggregiert und anonymisiert werden. Zudem wurde eine Ausnahme für kontextbezogene Werbung aufgenommen, die einer Forderung des EDSA und des EDSB entspricht. Der aktuelle Ratstext aus dem Oktober 2026 verkürzt die Sperrfrist nach einer Ablehnung zudem von sechs auf vier Monate und sieht eine weitere Ausnahme für die Messung kontextbezogener Werbung einschließlich der Begrenzung von Anzeigenwiederholungen (Frequency Capping) vor. Eine erneute Abfrage soll vor Fristablauf möglich sein, wenn sich der Zweck ändert oder der Nutzer seine Cookies gelöscht hat. Am 21. Oktober 2026 hat der Rat seine Position festgelegt. Die Positionierung des Europäischen Parlaments steht hingegen noch aus.

III. Handlungsempfehlungen für Unternehmen

Da der endgültige Zuschnitt der Neuregelung noch offen ist, sollten Unternehmen zunächst die Maßnahmen umsetzen, die bereits nach geltendem Recht geboten sind, und ihre technische Infrastruktur so ausrichten, dass künftige Änderungen über Konfiguration statt über Neuentwicklung abgebildet werden können. Ausgangspunkt sollte eine Bestandsaufnahme aller eingesetzten Cookies, Pixel, SDKs und vergleichbaren Technologien auf Ebene der einzelnen Tags sein. Jedes Element sollte einem konkreten Zweck zugeordnet und danach kategorisiert werden, ob es technisch erforderlich ist, der Sicherheit dient oder der Reichweitenmessung, der kontextbezogenen oder der verhaltensbasierten Werbung zuzuordnen ist. So lassen sich Dienste nach Inkrafttreten der Neuregelung gezielt aus der Einwilligungsabfrage herausnehmen, soweit sie unter einen der erweiterten Ausnahmetatbestände fallen.

Im Consent-Management sollte die Ablehnung auf der ersten Ebene des Banners mit einem Klick möglich sein, was bereits der Aufsichtspraxis entspricht. Einwilligungen und Ablehnungen sollten zudem mit Zeitstempel, Zweckbezug und Version der Abfrage protokolliert werden. Dies dient dem Nachweis wirksamer Einwilligungen und bildet zugleich die technische Grundlage für eine künftige Sperrfrist. Die Consent-Management-Plattform sollte so konfiguriert werden, dass der Zeitraum bis zu einer erneuten Abfrage als Parameter festgelegt und Abfragen für neue Zwecke oder Dienstleister getrennt ausgelöst werden können. Da die Dauer der Sperrfrist zwischen Kommission und Rat abweicht, lässt sich die Umsetzung so ohne erneuten Entwicklungsaufwand an das Ergebnis des Verfahrens anpassen.

Schließlich sollten Unternehmen offene Punkte im Blick behalten. Auch wenn der Rat die Pflicht zur Beachtung von Browsersignalen gestrichen hat, könnte das Europäische Parlament entsprechende Vorgaben erneut einbringen. Bei der Auswahl einer Consent-Management-Plattform kann es daher sinnvoll sein, auf die Verarbeitbarkeit technischer Präferenzsignale zu achten. Anbieter mit Pay-or-Okay-Modellen sollten frühzeitig prüfen, wie sich eine Ein-Klick-Ablehnung in ihrem Zugangsmodell abbilden lässt. Insgesamt empfiehlt es sich, die Einordnung der eingesetzten Technologien regelmäßig zu überprüfen und an den Fortgang des Gesetzgebungsverfahrens anzupassen.

IV. Fazit und Ausblick

Der Digital Omnibus dürfte die Cookie-Regeln nicht grundlegend neu ordnen, wohl aber in der Anwendung spürbar verändern. Die ursprünglich vorgesehene Verlagerung in die DSGVO und die Pflicht zur Beachtung von Browsersignalen werden nach dem derzeitigen Stand im Rat voraussichtlich nicht umgesetzt. Erweiterte Ausnahmen vom Einwilligungserfordernis und ausdrückliche Vorgaben für die Gestaltung von Einwilligungsabfragen sind hingegen zu erwarten. Cookie-Banner werden damit auch künftig erforderlich bleiben, könnten sich aber auf einen kleineren Kreis von Technologien beschränken.

Im weiteren Verfahren muss nun das Europäische Parlament seine Position festlegen, bevor die Trilogverhandlungen mit dem Rat beginnen können. Ziel ist es, dass alle Vereinfachungspakete bis Ende 2027 abgeschlossen sind. Ob dieser Zeitplan auch eingehalten werden kann, ist offen. Bis zum Inkrafttreten der Neuregelung bleibt es bei den geltenden Anforderungen. Unternehmen, die ihr Consent-Management bereits jetzt sauber strukturieren und flexibel konfigurieren, dürften die Änderungen mit überschaubarem Aufwand umsetzen können.

Dieser Beitrag wurde in Zusammenarbeit mit unserer stud. Mitarbeiterin Emily Bernklau erstellt.