Digital Omnibus: Das plant der EU-Rat bei Cookie-Bannern

Am 21. Oktober 2026 (aktualisiert am 22. Oktober 2026) haben sich die Mitgliedstaaten im Rat der Europäischen Union auf ein gemeinsames Verhandlungsmandat zum Digital Omnibus verständigt. Der Digital Omnibus ist ein EU-Gesetzgebungspaket, das mehrere Digitalregeln vereinfachen soll. Gebündelt werden darin Anpassungen an der Datenschutz-Grundverordnung (DSGVO), der ePrivacy-Richtlinie, dem Data Act, dem AI Act sowie den Meldepflichten bei Cybervorfällen.

Wichtig für die Einordnung (Stand: 26.10.2026): Der Ratsbeschluss ist noch kein geltendes Gesetz, sondern die Position der EU-Staaten für die kommenden Verhandlungen. Wie auch heise online zum Ratsbeschluss berichtet, muss das Europäische Parlament noch seine eigene Position beschließen, bevor Rat, Parlament und EU-Kommission im sogenannten Trilog den endgültigen Gesetzestext aushandeln.

Um die „Übermüdung durch Cookie-Banner“ zu verringern, will der Rat die bisherige Trennung zwischen ePrivacy-Richtlinie und DSGVO neu zuschneiden: Sobald beim Auslesen oder Speichern auf dem Endgerät personenbezogene Daten verarbeitet werden, sollen künftig ausschließlich die Regeln der DSGVO greifen; die ePrivacy-Richtlinie gilt dann nur noch für nicht-personenbezogene Daten (Pressemitteilung des EU-Rats). Eine erteilte Einwilligung muss sich mit einem einzigen Klick widerrufen lassen, zudem sind für Kleinunternehmen und Vereine Erleichterungen bei Verarbeitungsverzeichnissen vorgesehen.

Laut Fachberichten von PPC Land und UniConsent umfasst der Mandatstext (Dokument 14756/26) sechs einwilligungsfreie Zwecke – darunter eigene Reichweitenmessung (Audience Measurement), IT-Sicherheit und technisch notwendige Übertragungen – sowie eine viermonatige Sperrfrist, bevor nach einer Ablehnung erneut gefragt werden darf. Eine Pflicht für Website-Betreiber, zentrale Browser-Datenschutzsignale automatisch zu akzeptieren, haben die EU-Staaten hingegen gestrichen (Bericht bei heise online) – obwohl Deutschland im April 2025 bereits eine nationale Einwilligungsverwaltungsverordnung erlassen hatte. In Deutschland gilt bis zu einer Gesetzesänderung weiterhin § 25 TDDDG.

Für Betreiber von Unternehmenswebsites gilt: Schalten Sie Ihr Cookie-Banner jetzt keinesfalls voreilig ab. Solange Trilog und nationale Umsetzung nicht abgeschlossen sind, bleiben § 25 TDDDG und die bestehende DSGVO vollständig in Kraft. Wer heute ohne Rechtsgrundlage Tracking-Cookies setzt oder den Ablehnen-Button versteckt, riskiert weiterhin Abmahnungen und Bußgelder.

Unsere Einschätzung: Unternehmen, die bereits bei einem Website-Relaunch auf datensparsame Architektur ohne unnötige Drittanbieter-Tracker setzen, haben schon heute schnellere Ladezeiten und müssen bei Inkrafttreten der Reform kaum nachbessern. Unsere Empfehlung für die kommenden Monate:

Neben dem Datenschutz sollten Unternehmen im Oktober 2026 ein wichtiges Technik-Update beachten: Am 14. Oktober 2026 hat das Next.js-Team ein offizielles Next.js-Sicherheitsupdate mit den gepatchten Versionen 16.4.1 und 15.5.28 veröffentlicht, gefolgt vom Wartungs-Release 16.4.3 am 23. Oktober 2026 (Next.js Releases auf GitHub). Geschlossen wurden drei Sicherheitslücken: ein Denial-of-Service-Fehler bei Server Actions durch speziell präparierte Multipart-Anfragen (GHSA-673q-mjm6-r5xr, Schweregrad „High“), ein Open-Redirect-Problem im Adapter-Routing (GHSA-2464-fhr4-w9xw / CVE-2026-96889, CVSS 5.3 „Medium“) sowie eine Umgehung der lokalen IP-Prüfung bei der Bildoptimierung (GHSA-p3m5-59mp-jv5r, „Medium“).

Unsere Einschätzung: Besonders Websites mit Kontaktformularen oder Buchungsfunktionen auf Basis von Server Actions in Next.js 15 oder 16 sollten zeitnah aktualisiert werden, damit der Server nicht durch fehlerhafte Anfragen blockiert werden kann. Als Studio für Next.js-Entwicklung in Berlin bieten wir laufende Wartung und technischen Support an: Wir prüfen und aktualisieren Ihre Next.js-Website kurzfristig.