Digital Omnibus

Im November 2025 tauchte in Kanzlei-Newslettern, bei Consent-Anbietern und in Verbandsrundschreiben ein Wort auf, das eher nach Busfahrplan klingt: Omnibus. Im Marketing kamen davon vor allem zwei Botschaften an. Cookie-Banner verschwinden, KI-Pflichten werden verschoben. Beides stimmt nur zur Hälfte.

Der Digital Omnibus ist ein Gesetzespaket der EU-Kommission vom 19. November 2025, das mehrere Digitalgesetze auf einmal ändert. Daher der Name: Ein Omnibus-Gesetz transportiert viele Änderungen in einem Fahrzeug. Das Paket besteht aus zwei getrennten Verordnungen. Der KI-Teil ändert die KI-Verordnung und ist seit dem 27. Juli 2026 in Kraft. Der Daten-Teil soll DSGVO, die Cookie-Regeln der ePrivacy-Richtlinie, den Data Act und die Meldepflichten bei Cybervorfällen vereinfachen und ist Stand November 2026 noch nicht beschlossen.

Zwei Verordnungen, zwei Geschwindigkeiten

Wer vom Digital Omnibus spricht, meint je nach Quelle das ganze Paket oder nur einen Teil. Für die Praxis ist die Trennung entscheidend, weil nur einer der beiden Teile heute Rechtswirkung hat.

Der KI-Teil ging schnell: politische Einigung im Mai 2026, Unterzeichnung am 8. Juli 2026, Veröffentlichung im Amtsblatt am 24. Juli 2026 und Inkrafttreten am dritten Tag danach. Der Daten-Teil ist umstrittener, weil er an die DSGVO rührt. Der Rat hat seine Verhandlungsposition am 21. Oktober 2026 festgelegt; Verhandlungen mit dem Parlament beginnen erst, wenn auch dieses seine Position beschlossen hat.

Was sich an der KI-Verordnung geändert hat

Die Verordnung (EU) 2026/1744 ändert die KI-Verordnung an vielen Stellen. Für Unternehmen, die KI im Marketing nutzen, zählen vor allem vier Punkte:

• KI-Kompetenz (Art. 4): Die Pflicht wurde neu gefasst. Anbieter und Betreiber ergreifen Maßnahmen, um die Entwicklung der KI-Kompetenz ihres Personals zu unterstützen; ein bestimmtes Kompetenzniveau müssen sie ausdrücklich nicht garantieren. Kommission und Mitgliedstaaten sollen die Förderung stärker übernehmen. Details im Eintrag KI-Kompetenz.
• Kennzeichnung (Art. 50): Die Transparenzpflichten gelten unverändert seit dem 2. August 2026. Neu ist nur eine Übergangsfrist: Anbieter generativer KI-Systeme, die schon vor diesem Datum auf dem Markt waren, müssen die maschinenlesbare Markierung nach Art. 50 Abs. 2 bis zum 2. Dezember 2026 umsetzen. Für die Offenlegungspflichten der Betreiber, etwa bei Deepfakes, enthält die Übergangsregel keine Verschiebung. Mehr dazu unter KI-Kennzeichnungspflicht.
• Hochrisiko-Fristen: Die Regeln für Hochrisiko-Systeme nach Anhang III gelten ab dem 2. Dezember 2027, für KI in Produkten nach Anhang I ab dem 2. August 2028.
• Aufsicht: Für KI-Systeme, die in eine benannte sehr große Online-Plattform oder Suchmaschine im Sinne des Digital Services Act integriert sind, ist künftig ausschließlich das KI-Büro der Kommission zuständig. Das betrifft die KI-Suche direkt, weil Google Search und Bing als solche Suchmaschinen benannt sind.

Außerdem verbietet der Omnibus ab dem 2. Dezember 2026 KI-Systeme, die ohne Zustimmung der Betroffenen intime oder sexuell explizite Darstellungen realer Personen erzeugen. Für die Arbeit mit Sprachmodellen im Marketing ist das selten relevant, für Plattformen mit Bildgeneratoren sehr wohl.

Was der Daten-Teil fürs Marketing bedeuten würde

Die größeren Folgen für Online-Marketing stecken im noch offenen Daten-Teil. Laut Fragen und Antworten der Kommission sieht der Vorschlag unter anderem vor:

• Cookie-Banner müssen eine Ablehnung aller Cookies mit einem Klick ermöglichen; Websites sollen die Entscheidung mindestens sechs Monate respektieren.
• Nutzer sollen ihre Präferenzen zentral setzen können, etwa im Browser, und Websites müssen diese Signale beachten.
• Für risikoarme Zwecke wie das Zählen von Besuchen soll keine Einwilligung mehr nötig sein.
• Die Regeln zum Zugriff auf Endgeräte wandern aus der ePrivacy-Richtlinie in die DSGVO, mit deren Bußgeldrahmen.
• Die Verarbeitung personenbezogener Daten für die Entwicklung von KI-Modellen auf Grundlage des berechtigten Interesses wird klargestellt, mit einem unbedingten Widerspruchsrecht.

Der Rat hat einzelne Punkte bereits verändert. Nach einem Bericht von PPC Land über das Mandat vom 21. Oktober 2026 sieht seine Fassung eine Wartefrist von vier statt sechs Monaten vor, bevor eine Website nach einer Ablehnung erneut fragen darf, und eine geschlossene Liste von sechs einwilligungsfreien Zwecken, darunter die Messung kontextueller Werbung. Das Parlament kann daran noch vieles ändern.

Beispiel: Was ein Shop jetzt sortiert

Ein angenommener Onlinehändler für Gartenmöbel, beispiel-shop.de, nutzt KI für Produkttexte, einen Chatbot im Kundenservice, KI-Bilder für Social Ads und einen Consent-Banner mit Analytics und Remarketing. Das Marketing-Team sortiert seine Aufgaben nach dem Stand November 2026:

1. Gilt bereits: Chatbot und fotorealistische Werbemotive werden gegen Art. 50 geprüft. Der Omnibus hat daran für Betreiber nichts verschoben.
2. Gilt in neuer Fassung: Das Team hält fest, welche Schulungen Texter, Social-Media-Team und Kundenservice zur KI-Kompetenz erhalten haben. Ein Zertifikat verlangt der neue Art. 4 nicht.
3. Bei Anbietern nachfragen: Der Shop fragt den Anbieter seines Bildgenerators, ob die maschinenlesbare Markierung bis zum 2. Dezember 2026 steht, und achtet darauf, Metadaten wie C2PA beim Export nicht zu entfernen.
4. Nicht vorziehen: Der Consent-Banner bleibt, wie er ist. Erst nach Veröffentlichung des Daten-Teils im Amtsblatt prüft das Team, welche Messungen künftig ohne Einwilligung laufen dürfen.

Welche Inhalte konkret ein Label brauchen, ordnet der Beitrag KI-Kennzeichnungspflicht 2026 ein. Dieser Eintrag beschreibt den Stand November 2026 und ersetzt keine Rechtsberatung im Einzelfall.