„Die DSGVO wird abgeschafft." So lesen sich gerade einige Schlagzeilen über den Digital Omnibus, das neue Digital-Vereinfachungspaket der EU. Wenn Sie eine Praxis, einen Handwerksbetrieb oder ein kleines Dienstleistungsgeschäft führen, ist das genau die Art Nachricht, die kurz den Puls hochtreibt. Müssen Sie jetzt schon wieder etwas an Ihrer Website ändern? Die kurze Antwort: heute nicht. Die längere — und ehrlichere — steht hier.
- Der Digital Omnibus ist ein EU-Paket, das digitale Regeln vereinfachen soll: DSGVO, Cookies, KI-Verordnung, Data Act.
- Es sind zwei Pakete in zwei Tempi: die KI-Regeln (fertig und in Kraft) und der große Rest (weiterhin nur Vorschlag).
- In Kraft seit 27. Juli 2026: der „Digital Omnibus on AI“ streckt die Fristen für Hochrisiko-KI bis 2027/2028.
- Nur Vorschlag: alle Erleichterungen bei DSGVO und Cookies. Ein Beschluss kommt frühestens Ende 2026 — wenn überhaupt in dieser Form.
- Bei Cookies und Datenschutz ändert sich heute nichts. Cookie-Banner, Datenschutzerklärung und Einwilligung bleiben Pflicht.
- Neu seit 2. August 2026: Wer KI-Inhalte veröffentlicht, muss das in bestimmten Fällen offenlegen. Die Fälle sind enger, als die Schlagzeilen vermuten lassen — welche genau, steht weiter unten.
Was ist der Digital Omnibus überhaupt?
Der Digital Omnibus ist kein neues Gesetz. Er ist ein Sammelpaket. Die EU-Kommission hat ihn am 19. November 2025 vorgelegt, um mehrere bestehende Digitalgesetze auf einmal zu entschlacken.
Betroffen sind unter anderem die DSGVO, die ePrivacy-Regeln (also das Thema Cookies), die KI-Verordnung (AI Act) und der Data Act.
Das Ziel klingt erst mal gut: weniger Bürokratie, weniger Reibung, klarere Regeln. Vor allem kleine und mittlere Betriebe sollen entlastet werden. Genau die Zielgruppe also, für die wir Websites bauen.
Aber — und das ist der Kern dieses Artikels — „vorgelegt" heißt nicht „beschlossen". Ein EU-Vorschlag muss durch das Parlament und durch den Rat der Mitgliedstaaten. Beide dürfen ihn umschreiben. Manches wird stärker, manches fällt ganz raus. Das ist kein Detail. Das ist der Unterschied zwischen „interessant zu wissen" und „muss ich umsetzen".
Zwei Pakete, zwei Geschwindigkeiten
Der wichtigste Satz vorab: Der Digital Omnibus läuft auf zwei Spuren. Wer beide vermischt, gerät unnötig in Panik.
Spur 1 — der „Digital Omnibus on AI". Er betrifft nur die KI-Verordnung. Hier ging es schnell. Nach der Einigung vom 7. Mai 2026 ist er als Verordnung (EU) 2026/1744 am 27. Juli 2026 in Kraft getreten. Dieser Strang ist also durch.
Spur 2 — der große Digital Omnibus. Er betrifft DSGVO, Cookies und den Data Act. Hier ist bisher fast nichts entschieden. Es liegt der Kommissionsvorschlag auf dem Tisch, mehr nicht. Verhandelt wird noch. Ein Beschluss wird frühestens für Ende 2026 erwartet.
Was das in der Praxis bedeutet, zeigt diese Übersicht:
| Thema | Status (August 2026) | Für Sie relevant ab |
|---|---|---|
| Neue KI-Fristen (AI Act) | In Kraft (27. Juli 2026) | Stufenweise bis 2027/2028 |
| Kennzeichnung von KI-Inhalten | Gilt | seit 2. August 2026 |
| Cookie-Erleichterungen | Nur Vorschlag | offen, frühestens 2027 |
| DSGVO-Änderungen | Nur Vorschlag, teils schon gestrichen | offen |
In Kraft: die KI-Regeln
Fangen wir mit dem an, was durch ist. Der „Digital Omnibus on AI“ streckt die Fristen der KI-Verordnung. Gestrichen wurde dabei keine einzige Pflicht — sie kommen nur später.
Die Eckdaten:
- Hochrisiko-KI, eigenständige Systeme: Pflichten ab 2. Dezember 2027.
- Hochrisiko-KI in Produkten: Pflichten ab 2. August 2028.
- Transparenzpflichten (Artikel 50): gelten seit dem 2. August 2026. Für KI-Systeme, die vorher schon auf dem Markt waren, läuft eine Übergangsfrist bis zum 2. Dezember 2026.
Hochrisiko-KI ist für einen Handwerksbetrieb oder eine Praxis kein Thema. Sie betreiben keine biometrische Erkennung und keine automatische Bonitätsprüfung. Diese beiden Fristen können Sie abhaken.
Bleibt der dritte Punkt. Der betrifft Sie.
Was die Kennzeichnungspflicht wirklich verlangt
In den Schlagzeilen wurde aus Artikel 50 ein schlichtes „KI-Inhalte müssen jetzt gekennzeichnet werden“. So pauschal stimmt das nicht. Der Artikel bündelt mehrere Pflichten, und die treffen zwei verschiedene Rollen.
Anbieter ist, wer ein KI-System bereitstellt — Google, OpenAI, Anbieter dieser Größenordnung. Sie müssen ihre Ausgaben maschinenlesbar markieren, per Wasserzeichen oder Metadaten. Das läuft komplett an Ihnen vorbei.
Betreiber ist, wer ein KI-System beruflich nutzt und das Ergebnis veröffentlicht. Das sind Sie, sobald ein KI-Bild auf Ihrer Website landet. Und das sind wir, wenn wir es für Sie dort einbauen.
Als Betreiber müssen Sie in zwei Fällen offenlegen:
- Deepfakes. Bild, Ton oder Video, das wirkliche Personen, Orte oder Ereignisse zeigt und dabei echt wirken kann.
- KI-Texte zu Themen von öffentlichem Interesse, die ungeprüft online gehen. Sobald ein Mensch den Text redaktionell verantwortet, entfällt die Pflicht.
Und jetzt der Teil, den die Panik-Artikel weglassen: Was nicht darunter fällt, ist deutlich mehr. Werbetexte. Produktbeschreibungen. Eine generierte Symbolgrafik ohne realen Bezug. Zuschnitt, Helligkeit, Rauschunterdrückung — normale Bildbearbeitung war noch nie ein Deepfake und ist es auch heute nicht.
Der Unterschied liegt in der Täuschungseignung. Ein stilisiertes Motiv auf Ihrer Startseite behauptet nichts. Ein fotorealistisches Bild einer Terrasse mit der Unterschrift „von uns gebaut in Bremen-Schwachhausen“ behauptet eine Menge — und wird zum Problem, wenn es aus einem Bildgenerator stammt.
Wo eine Kennzeichnung nötig ist, gehört sie an den Inhalt. Ans Bild, nicht ins Impressum. „Bild: KI-generiert“ reicht völlig.
Deutschland hat pünktlich nachgezogen. Seit dem 29. Juli 2026 ist die Bundesnetzagentur zentrale Marktüberwachungs- und Beschwerdestelle für KI. Der Bußgeldrahmen klingt bedrohlich: bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes. Diese Zahlen sind auf Konzerne gemünzt, nicht auf einen Betrieb mit acht Mitarbeitern.
Aus unserer Sicht liegt Ihr eigentliches Risiko woanders. Ein generiertes Bild, das als echte Referenz präsentiert wird, ist eine irreführende Werbeaussage. Dafür braucht es keinen AI Act. Dafür reicht das Wettbewerbsrecht — und darüber mahnt ein Mitbewerber sehr viel schneller ab, als eine Behörde ein Verfahren eröffnet.
So halten wir es selbst: KI-Bilder setzen wir illustrativ ein, ohne realen Bezug. Referenzprojekte und Teamfotos bleiben echt — oder sie werden gekennzeichnet. Und wo wir unsicher sind, kennzeichnen wir. Das kostet nichts und erspart die Diskussion.
Nur Vorschlag: DSGVO, Cookies, Daten
Jetzt zum Teil, über den am lautesten geschrieben wird — und bei dem am wenigsten feststeht.
Der große Digital Omnibus schlägt eine Reihe von Erleichterungen vor. Klingt verlockend. Ist aber noch nichts davon in Kraft. Und ein erster, prominenter Punkt wurde bereits wieder kassiert.
Die umstrittene Definition ist schon gestrichen
Die Kommission wollte neu definieren, was überhaupt „personenbezogene Daten" sind. Eine engere Definition hätte vieles aus der DSGVO herausgenommen. Datenschützer liefen Sturm.
Das Ergebnis: In einem Kompromiss der Mitgliedstaaten ist diese Neudefinition wieder verschwunden. Sie ist vom Tisch. Genau das zeigt, warum man Vorschläge nicht für bare Münze nehmen sollte. Sie ändern sich.
Was bei Cookies geplant ist
Beim Reizthema Cookie-Banner zielt der Vorschlag auf echte Entlastung. Geplant sind unter anderem:
- „Alles ablehnen" so einfach wie „Alles akzeptieren": Ablehnen darf nicht aufwendiger sein als Zustimmen. Wichtig: In Deutschland gilt das durch Rechtsprechung und Aufsichts-Leitlinien schon heute. Der Omnibus würde es nur EU-weit ins Gesetz schreiben.
- Sechs-Monate-Ruhe: Wer ablehnt, soll für denselben Zweck ein halbes Jahr nicht erneut gefragt werden.
- Browser-Signal: Sie sollen Ihre Cookie-Wahl einmal im Browser einstellen können — und Websites respektieren das automatisch.
- Einfache Reichweitenmessung ohne Einwilligung: Reine Eigen-Statistik (First-Party) soll aus der Einwilligungspflicht fallen. Werbe-Tracking durch Dritte bleibt voll zustimmungspflichtig.
Ein Teil davon ist also gar nicht neu, sondern nur eine EU-weite Bestätigung dessen, was bei uns schon Pflicht ist. Das eigentlich Neue — Browser-Signal, Sechs-Monate-Ruhe, einwilligungsfreie Eigen-Statistik — ist dagegen noch nicht beschlossen. Ein Beschluss wird frühestens für die zweite Jahreshälfte 2026 erwartet, das Inkrafttreten noch später.
Im Netz kursiert, das Browser-Signal sei „beschlossene Sache". Das stimmt so nicht. Es steht als Vorschlag im Raum, und mehrere Detailfragen sind offen. Wir kommunizieren hier bewusst vorsichtig — und ändern an Ihrer Website erst etwas, wenn ein Gesetz wirklich gilt.
Was der Digital Omnibus konkret für Ihre Website heißt
Gehen wir die vier Bereiche durch, die für lokale Betriebe zählen. Kurz und ehrlich.
Cookie-Banner und Analytics
Bleibt, wie es ist. Wenn Sie Google Analytics oder ein vergleichbares Tool nutzen, brauchen Sie weiter ein sauberes Banner mit echter Ablehn-Option. Was heute Pflicht ist, haben wir im Detail im Artikel DSGVO 2026 für Praxiswebsites beschrieben. Der Omnibus ändert daran vorerst nichts.
KI-Inhalte: Texte und Bilder
Hier liegt die einzige reale Bewegung für unsere Arbeit. Sollte die Kennzeichnungspflicht kommen, markieren wir KI-erzeugte Bilder entsprechend. Das ist unser Job, nicht Ihrer. Sie merken davon im Idealfall gar nichts.
E-Mail und Newsletter
Unverändert. Werbe-Mails richten sich nach dem Wettbewerbsrecht (UWG), nicht nach dem Omnibus. Einwilligung vor dem ersten Newsletter — das bleibt.
Sensible Daten (z. B. in Heilberufen)
Gesundheitsdaten sind besonders geschützt (Artikel 9 DSGVO). Daran rüttelt der Omnibus nicht. Die diskutierten Lockerungen zielen auf KI-Training, nicht auf den normalen Praxisbetrieb. Der hohe Schutzstandard für Patientendaten bleibt.
Aus unserer Sicht ist die richtige Haltung beim Omnibus: aufmerksam, aber gelassen. Es ist ein gutes Signal für kleine Betriebe — aber noch kein Grund, irgendetwas umzubauen.
Was Sie jetzt tun sollten — und was nicht
Machen wir es praktisch. Diese Liste passt auf einen Notizzettel.
Tun
- Ihr Cookie-Banner aktuell und korrekt halten — mit echter „Alles ablehnen"-Option.
- Ihre Datenschutzerklärung auf dem Stand der wirklich genutzten Tools halten.
- Bei Gesundheits- und anderen sensiblen Daten den hohen Schutzstandard beibehalten.
- Das Thema einmal im Hinterkopf behalten — und sonst gelassen bleiben.
Nicht tun
- Nichts wegen einer Schlagzeile umbauen. Die meisten Punkte sind nur Vorschläge.
- Das Cookie-Banner nicht „schon mal" entfernen. Es bleibt Pflicht.
- Keiner Agentur glauben, die Ihnen wegen des Omnibus DSGVO- oder Cookie-Umbauten verkaufen will. Dort gibt es weiterhin nichts anzupassen. Beim Thema KI-Bilder lohnt dagegen ein Blick — aber der dauert zehn Minuten und kostet nichts.
Falls Sie unsicher sind, ob Ihre Website heute sauber ist: Genau das prüfen wir. Ohne Paragrafen-Deutsch, mit einer klaren Liste, was zu tun ist — und was nicht.
Häufige Fragen
Wer es ganz offiziell nachlesen möchte: Die EU-Kommission informiert über das Paket auf ihrer Seite zur europäischen Digitalstrategie. Und wenn Sie lieber jemanden hätten, der das für Sie im Blick behält und Ihre Website ohne Stress aktuell hält — dann arbeiten wir genau so.