Digital Omnibus: Wird das Cookie-Banner abgeschafft? Der Stand im Oktober 2026

Die kurze Antwort

Nein, das Cookie-Banner wird nicht abgeschafft, und bisher hat sich rechtlich nichts geändert. Der Digital Omnibus ist ein Vorschlag. In Deutschland gilt weiter § 25 TDDDG, der Artikel 5 Absatz 3 der ePrivacy-Richtlinie umsetzt. Wer heute für Analytics oder Werbung eine Einwilligung braucht, braucht sie auch morgen.

Geändert hat sich die Richtung. Die Kommission wollte im November 2025 die Einwilligung für Cookies, die personenbezogene Daten betreffen, in einen neuen Artikel 88a DSGVO verlegen. In den Kompromisstexten des Rates aus dem Frühjahr 2026 ist dieser Artikel 88a gestrichen, die Regeln bleiben in Artikel 5 Absatz 3 der ePrivacy-Richtlinie, in überarbeiteter Form. Zwei Ideen haben beide Fassungen überlebt: Ablehnen mit einem Klick und sechs Monate Ruhe nach einer Ablehnung. Viele Beiträge beschreiben noch den Kommissionsvorschlag, als wäre er beschlossen. Das ist er nicht.

Der Vorschlag der Kommission vom November 2025

Die Kommission hat den Digital Omnibus am 19. November 2025 vorgestellt. Der Teil zu Datenschutz und Privatsphäre ist der Vorschlag COM(2025) 837. Für Cookies sah er eine Aufteilung vor.

• Personenbezogene Daten in die DSGVO. Der Zugriff auf Endgeräte, bei dem personenbezogene Daten verarbeitet werden, sollte in einem neuen Artikel 88a DSGVO geregelt werden. Artikel 5 Absatz 3 der ePrivacy-Richtlinie hätte nur noch den Rest erfasst.
• Neue Ausnahmen von der Einwilligung. Ohne Einwilligung erlaubt wären die Übertragung einer Nachricht, ein ausdrücklich angeforderter Dienst, aggregierte Reichweitenmessung durch den Betreiber für eigene Zwecke sowie die Wahrung oder Wiederherstellung der Sicherheit.
• Ablehnen mit einem Klick. Nach Artikel 88a Absatz 4 Buchstabe a muss die Ablehnung mit einer einzigen Schaltfläche oder einem gleichwertigen Mittel möglich sein.
• Sechs Monate Ruhe. Nach Artikel 88a Absatz 4 Buchstabe c darf nach einer Ablehnung für denselben Zweck mindestens sechs Monate nicht erneut gefragt werden.
• Browsersignale. Ein neuer Artikel 88b sollte Websites verpflichten, automatisierte, maschinenlesbare Signale für Einwilligung und Ablehnung zu beachten, und Browseranbieter, die keine KMU sind, verpflichten, solche Signale anzubieten.

Was der Rat 2026 geändert hat

Die Verhandlungen im Rat sind nicht vollständig öffentlich. Dieser Abschnitt stützt sich deshalb auf Dokumente, die nationale Parlamente veröffentlichen, und auf Berichte von Fachleuten, denen die Kompromisstexte vorlagen.

Die zyprische Ratspräsidentschaft hat im ersten Halbjahr 2026 mehrere Kompromisstexte vorgelegt, der zuletzt berichtete stammt vom 21. Mai 2026 (Ratsdokument 9547/26). Nach einer Analyse von Mikołaj Barczentewicz vom 11. Juni 2026 ändert dieser Text den Cookie-Teil in fünf Punkten.

• Artikel 88a entfällt. Der Zugriff auf Endgeräte bleibt in Artikel 5 Absatz 3 der ePrivacy-Richtlinie geregelt, in überarbeiteter Form. Die bisherige Auslegung bleibt damit der Ausgangspunkt, auch die Leitlinien 2/2023 des EDSA, die Tracking-Pixel und URL-Parameter erfassen.
• Reichweitenmessung durch Dienstleister. Die Ausnahme für Analytics gilt auch, wenn ein Dritter im Auftrag des Betreibers misst, allerdings nur, wenn die Daten anonym und aggregiert bleiben und weder mit anderen Daten zusammengeführt noch weitergegeben werden.
• Ein Klick und sechs Monate. Beides bleibt, dazu kommt eine Übergangsfrist von 24 Monaten.
• Browsersignale. Die Vorschrift zu Signalen erhält die Nummer 88a und gilt nun auch für Anbieter von Betriebssystemen.
• Aufsicht. Die Datenschutzbehörden der Mitgliedstaaten sollen die Cookie-Regeln der ePrivacy-Richtlinie durchsetzen.

Im Register des österreichischen Parlaments steht ein Ratsdokument vom 21. Juni 2026 mit dem Titel Mandat für die Verhandlungen mit dem Europäischen Parlament (10729/26). Trotzdem hat die irische Ratspräsidentschaft, die am 1. Juli übernommen hat, am 3. September 2026 neue Kompromissformulierungen zu Cookies vorgelegt. Nach einem Bericht von Agence Europe erweitern sie die Fälle, in denen Cookies ohne Einwilligung zulässig sind, vor allem für kontextbezogene Werbung, mit Schutzvorkehrungen, die Tracking und Datenspeicherung ausschließen. Daten aus der Reichweitenmessung sollen sofort nach der Erhebung pseudonymisiert und vor einer Weitergabe anonymisiert werden. Unsere Einschätzung: Auch im Rat sind die Cookie-Regeln noch nicht abschließend geklärt.

Zeitplan

• 19. November 2025: Vorschlag der Kommission.
• Februar 2026: Gemeinsame Stellungnahme von EDSA und EDSB.
• 21. Mai 2026: Kompromisstext der zyprischen Präsidentschaft, Ratsdokument 9547/26.
• 21. Juni 2026: Ratsdokument 10729/26, Verhandlungsmandat, für den AStV am 26. Juni.
• 3. September 2026: Neue Formulierungen der irischen Präsidentschaft zu Cookies, beraten in einer Ratsarbeitsgruppe am 11. September.
• Europäisches Parlament: Die Ausschüsse ITRE und LIBE arbeiten an Berichtsentwürfen, Berichterstatterinnen sind Aurora Salla und Marina Kaljurand.

Ziel ist eine Einigung zwischen Rat und Parlament bis Ende 2026. Beobachter rechnen eher mit einer Verabschiedung im Jahr 2027. Bleibt die Übergangsfrist von 24 Monaten aus den Ratstexten, gelten die neuen Cookie-Regeln etwa zwei Jahre nach Inkrafttreten. Realistisch gelten die heutigen Regeln also mindestens bis 2028.

Wird das Cookie-Banner abgeschafft?

Nein. Zu diesem Ergebnis kommen die meisten juristischen Analysen des Vorschlags, und die Ratstexte ändern daran nichts. Für Werbung, websiteübergreifendes Tracking und die meisten Drittanbieter bleibt die Einwilligung nötig. Informationspflichten und das Recht auf Widerruf brauchen weiter einen sichtbaren Platz auf der Seite. Was sich ändern kann, ist der Umfang dessen, was das Banner abfragen muss.

• Einfache Reichweitenmessung könnte einwilligungsfrei werden. Wer nur aggregiert misst, könnte das künftig aus dem Banner nehmen. Solange die Ausnahme nicht Gesetz ist, gilt sie nicht.
• Wo das Banner bleibt, wird es strenger. Ablehnen mit einem Klick und sechs Monate Ruhe stünden dann im Gesetz statt nur in Leitlinien der Aufsichtsbehörden. Die französische CNIL setzt das Ablehnen auf der ersten Ebene schon heute durch, siehe unseren Beitrag zu Alle ablehnen auf der ersten Ebene.
• Browsersignale sind die eigentliche Neuerung. Müssen Browser und Betriebssysteme Einwilligungssignale senden, die Websites beachten müssen, wäre die Frage oft schon beantwortet, bevor ein Banner erscheint. Die technischen Standards dafür gibt es noch nicht.

Was heißt das für § 25 TDDDG?

§ 25 TDDDG bleibt bis zum Inkrafttreten der Reform unverändert anwendbar. Weil die Ratstexte die Regeln in Artikel 5 Absatz 3 der ePrivacy-Richtlinie belassen, würde Deutschland den geänderten Artikel voraussichtlich wieder über das TDDDG umsetzen. Die Ausnahmen in § 25 Absatz 2 TDDDG, also unbedingt erforderliche Speicherungen, gelten bis dahin wie bisher.

Auch die Rechtsprechung entwickelt sich weiter. Am 8. Oktober 2026 verhandelt der Bundesgerichtshof, ob Anbieter von Tracking-Code selbst haften, wenn ihr Code Cookies ohne Einwilligung setzt. Mehr dazu in unserem Beitrag zum BGH-Verfahren I ZR 5/26.

Was Sie jetzt tun sollten

1. Behalten Sie die Einwilligung für Analytics. Nehmen Sie Analytics nicht wegen der geplanten Ausnahme aus dem Banner. Sie ist nicht Gesetz, und ihre Bedingungen unterscheiden sich je nach Fassung.
2. Bieten Sie Ablehnen auf der ersten Ebene an. Jede Fassung der Reform verlangt das, und die Aufsichtsbehörden erwarten es schon heute.
3. Respektieren Sie eine Ablehnung sechs Monate lang. CookieCrumbs speichert die Ablehnung und zeigt das Banner für einen von Ihnen gewählten Zeitraum nicht erneut, standardmäßig sechs Monate, es sei denn, Ihre Zwecke ändern sich.
4. Dokumentieren Sie die Einwilligung. Artikel 7 Absatz 1 DSGVO bleibt vom Omnibus unberührt. Was ein Protokoll enthalten sollte, steht in unserem Beitrag zum Nachweis der Einwilligung.
5. Prüfen Sie, was vor der Einwilligung lädt. Unser kostenloser Scan listet die Anfragen an Drittanbieter auf Ihrer Startseite.

Häufige Fragen

Ist der Digital Omnibus schon beschlossen?

Nein. Stand 5. Oktober 2026 wird der Teil zu Datenschutz und Cookies noch im Rat und im Europäischen Parlament verhandelt. Mit einer Verabschiedung ist frühestens 2027 zu rechnen.

Wurde Artikel 88a DSGVO gestrichen?

In den Kompromisstexten des Rates von 2026 ist der Artikel 88a der Kommission zum Zugriff auf Endgeräte gestrichen, die Cookie-Regeln bleiben in Artikel 5 Absatz 3 der ePrivacy-Richtlinie. Die Nummer 88a wird für die Vorschrift zu Browsersignalen weiterverwendet. Die Position des Parlaments steht noch nicht fest.

Brauche ich künftig noch ein Cookie-Banner?

Ja, für alles, was nicht unbedingt erforderlich ist, etwa Werbung, websiteübergreifendes Tracking und die meisten Drittanbieter. Aggregierte Reichweitenmessung könnte unter Bedingungen, die noch verhandelt werden, einwilligungsfrei werden.

Ab wann gelten die neuen Regeln?

Die Ratstexte sehen eine Übergangsfrist von 24 Monaten vor. Bei einer Verabschiedung im Jahr 2027 gälten die neuen Cookie-Regeln etwa ab 2029. Bis dahin gelten § 25 TDDDG und die DSGVO wie bisher.

Darf ich mein Banner nach einer Ablehnung gar nicht mehr zeigen?

Nach einer Ablehnung dürften Sie sechs Monate nicht erneut für denselben Zweck fragen. Ein Link oder Symbol, über das Besucher ihre Wahl jederzeit ändern können, bleibt erlaubt, und die DSGVO verlangt ihn ohnehin.

Gilt die Reform auch für die Schweiz?

Nein. Die Schweiz ist nicht Mitglied der EU und regelt Cookies im eigenen Recht. Schweizer Websites, die sich gezielt an Besucher in der EU richten, können aber zusätzlich unter EU-Recht fallen.

Quellen

1. Europäische Kommission, Vorschlag COM(2025) 837 (Digital Omnibus), 19. November 2025
2. Osborne Clarke, „Digital Omnibus reshapes EU cookie rules but leaves banner fatigue largely intact“, 10. Dezember 2025
3. EDSA und EDSB, Gemeinsame Stellungnahme 2/2026 zum Digital Omnibus, Februar 2026
4. Mikołaj Barczentewicz, „EU Digital Omnibus Hands the Wheel to the Referee“, Truth on the Market, 11. Juni 2026
5. Österreichisches Parlament, EU-Dokumentenregister, Ratsdokument 10729/26, Verhandlungsmandat, 21. Juni 2026
6. Agence Europe, „Pseudonymised data, cookies… Irish Presidency of EU Council sets out compromise options on Digital Omnibus“, September 2026
7. MediaLaws, Digital Omnibus legislative tracker, Stand 24. Juli 2026
8. Richtlinie 2002/58/EG (ePrivacy-Richtlinie), Artikel 5 Absatz 3
9. EDSA, Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 der ePrivacy-Richtlinie
10. § 25 TDDDG, Schutz der Privatsphäre bei Endeinrichtungen

Geschrieben vom CookieCrumbs-Team, veröffentlicht am 5. Oktober 2026. Dieser Beitrag wird fortlaufend aktualisiert, wenn Rat oder Parlament weiterkommen. Er ist keine Rechtsberatung. Fakten tragen ihr Datum; wenn sich etwas geändert hat, sagen Sie uns Bescheid und wir korrigieren es.