Cookie-Banner vor dem Umbau: Was der EU-Ratsentwurf zum Digital Omnibus ändern würde und was du heute schon richtig machst

01 / Worum es geht

Was ist der Digital Omnibus, und wo steht er gerade?

Der Digital Omnibus ist ein Gesetzespaket, das die EU-Kommission am 19. November 2025 vorgelegt hat (COM(2025) 837) [6]. Es ändert mehrere Gesetze auf einmal, darunter die DSGVO und die ePrivacy-Richtlinie, aus der die Cookie-Regeln stammen [6]. Die Kommission begründet das unter anderem mit der „Consent Fatigue“: Banner würden von vielen Menschen als lästig empfunden, und Anbieter hätten hohe Kosten, um sie rechtssicher zu gestalten [6].

Wie jedes EU-Gesetz muss das Paket durch Rat und Parlament. Der Rat, also die Mitgliedstaaten, wollte seine Verhandlungsposition im Ausschuss der Ständigen Vertreter festlegen. Auf der Tagesordnung stand der Punkt „Mandate for negotiations with the European Parliament“ für den 7. Oktober 2026 [1]. An diesem Tag wurde nur diskutiert, die Entscheidung auf Druck von Deutschland und Frankreich auf den 11. Oktober verschoben [2]. Am 11. Oktober wurde der Text laut Agence Europe dann weder beraten noch abgestimmt [2]. Streitpunkt ist vor allem der Schutz von Geschäftsgeheimnissen im Data Act, nicht die Cookie-Frage [2].

Das Europäische Parlament hat seine Position ebenfalls noch nicht beschlossen [3]. Erst wenn beide Seiten ein Mandat haben, beginnen die Trilog-Verhandlungen, und dort kann sich jede Regel noch ändern [3]. Stand heute, 19. Oktober 2026, gibt es also einen Kommissionsvorschlag und einen Ratsentwurf, aber kein neues Recht.

02 / Der Ratsentwurf

Was der Ratsentwurf 13886/26 beim Cookie-Banner ändern würde.

Der Entwurf ist das Ratsdokument 13886/26 vom 2. Oktober 2026, 163 Seiten lang und als LIMITE eingestuft, also nicht öffentlich [3]. Eine offizielle Fassung habe ich nicht gefunden; die folgenden Punkte stützen sich auf die Auswertung von PPC Land vom 9. und 10. Oktober 2026 [3][4] sowie auf Agence Europe [2].

• Vier Monate Pause nach einem Nein: Lehnt jemand ab, dürfte die Website für denselben Zweck frühestens nach vier Monaten erneut fragen. Die Kommission hatte sechs Monate vorgeschlagen [3][4][5]. Früher fragen dürfte man bei einem neuen Dienst, wesentlichen Änderungen oder wenn die gespeicherte Entscheidung verloren ist, etwa weil Cookies gelöscht wurden [4].
• Reichweitenmessung durch den Betreiber: Ohne Einwilligung erlaubt wäre unter anderem eine eigene Reichweitenmessung, die anonyme, zusammengefasste Daten erzeugt [4].
• Messung kontextbezogener Werbung: Neu im Ratstext ist eine Ausnahme für die Messung von Anzeigen, die nur zum gerade angezeigten Inhalt passen. Die Daten müssten pseudonymisiert werden und dürften nicht für Profile, programmatische Werbung oder seitenübergreifendes Tracking genutzt werden [3][4].
• Cookie-Regeln bleiben in der ePrivacy-Richtlinie: Die Kommission wollte sie in die DSGVO verschieben, der Rat hat das gestrichen [4]. Weil es eine Richtlinie bleibt, hätten die Mitgliedstaaten 24 Monate Zeit für die Umsetzung in nationales Recht [3][4].
• Kein zentrales Browser-Signal: Die Idee, Cookies einmal im Browser abzulehnen statt auf jeder Seite, hat der Rat bereits im Juni gestrichen [4].

Der Grundsatz ändert sich auch im Ratsentwurf nicht: Das Speichern oder Auslesen von Informationen auf dem Gerät bleibt nur mit Einwilligung erlaubt, sofern keine der Ausnahmen greift [3]. Das Banner verschwindet also nicht, es würde in einigen Fällen nur seltener gebraucht.

03 / Zeitplan

Frühestens wann sich für deinen Shop etwas ändert.

Bis eine neue Cookie-Regel bei dir ankommt, sind noch mehrere Schritte nötig: Ratsmandat, Parlamentsposition, Trilog-Einigung, formelle Annahme, Veröffentlichung im Amtsblatt und dann die Umsetzung in deutsches Recht, vermutlich über eine Änderung des TDDDG. Der Europäische Rat will alle offenen Omnibus-Pakete bis Ende 2026 geeinigt sehen [3]. Ob das klappt, ist nach den geplatzten Terminen im Oktober offen [2].

Im Ratsentwurf stecken zudem zwei Daten, die nicht recht zusammenpassen: Der ePrivacy-Teil soll sechs Monate nach Veröffentlichung „anwendbar“ sein, die Mitgliedstaaten haben aber 24 Monate für die Umsetzung [3]. PPC Land weist darauf hin, dass der Text nicht erklärt, wie das zusammengeht [3].

Meine Einschätzung: Selbst wenn sich Rat und Parlament Anfang 2027 einigen, dürfte eine geänderte Cookie-Regel in Deutschland kaum vor Ende 2027 greifen, eher später. Für das Weihnachtsgeschäft 2026 und sehr wahrscheinlich auch für 2027 planst du mit dem heutigen Recht.

04 / Was heute gilt

Was bis dahin unverändert gilt.

In Deutschland regelt § 25 TDDDG, wann du etwas auf dem Gerät deiner Besucher speichern oder auslesen darfst: grundsätzlich nur mit Einwilligung auf Grundlage klarer und umfassender Informationen, und zwar nach den Maßstäben der DSGVO [7]. Ausnahmen gibt es nur für die Übertragung einer Nachricht und für das, was unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen [7]. Warenkorb- oder Login-Cookies fallen typischerweise darunter, Analyse- und Werbe-Tracking in der Regel nicht.

Wie die deutschen Aufsichtsbehörden das auslegen, steht in ihrer Orientierungshilfe für digitale Dienste (Version 1.2, November 2024) [8]. Drei Punkte daraus sind für Shops besonders wichtig:

1. Nichts vor der Einwilligung: Solange das Banner angezeigt wird, sollen keine einwilligungsbedürftigen Skripte und keine Inhalte von fremden Servern laden. Erst nach einer aktiven Handlung darf gespeichert, ausgelesen und verarbeitet werden [8].
2. Ablehnen gleichwertig: Die Ablehnoption muss als gleichwertige Alternative erkennbar sein, etwa als Button, der in Größe, Farbe, Kontrast und Schrift dem Zustimmen-Button entspricht. Ein Button „Einstellungen oder Ablehnen“, der nur auf eine zweite Ebene führt, reicht nicht aus [8].
3. Erste Ebene: Eine Ablehnfunktion auf der ersten Ebene verlangen die Behörden immer dann, wenn Nutzer mit dem Banner interagieren müssen, um weiterzukommen [8]. Bei den meisten Shop-Bannern, die Inhalte überdecken, ist das der Fall (Einschätzung).

Eine Regel, wie lange du nach einem Nein warten musst, enthält § 25 TDDDG nicht [7]. Die geplanten vier oder sechs Monate wären also neu. Praktisch heißt das: Fragt dein Banner bei jedem Besuch neu, nachdem jemand abgelehnt hat, ist das heute schon fragwürdig, weil wiederholtes Nachfragen Druck aufbaut (Einschätzung). Die meisten Consent-Tools speichern die Ablehnung ohnehin für eine einstellbare Dauer.

05 / Was du heute prüfst

Was heißt das für dich? Drei Prüfungen statt Umbau.

Ein Umbau auf Verdacht lohnt nicht, weil sich der Text im Trilog noch ändern kann. Was sich lohnt, ist ein Blick darauf, ob dein heutiges Setup die geltenden Regeln einhält. Davon profitierst du auch dann, wenn die Lockerungen kommen, denn sie würden nur auf einem sauberen Fundament funktionieren.

1. Ablehnen-Button auf Augenhöhe

Öffne deinen Shop in einem privaten Browserfenster, einmal am Rechner und einmal auf dem Smartphone. Stehen „Alle akzeptieren“ und „Ablehnen“ nebeneinander, gleich groß und ohne Scrollen sichtbar [8]? Ist die Ablehnen-Beschriftung eindeutig? Bei Shopify-Themes und WordPress-Plugins sind die Standardeinstellungen nicht immer so gesetzt; das lässt sich meist in den Einstellungen des Banner-Tools ändern.

2. Keine Tracker vor der Einwilligung

Lade die Seite neu, ohne im Banner zu klicken, und schau in den Entwicklertools unter Netzwerk und Cookies nach. Tauchen Anfragen an Google Analytics, Google Ads, Meta oder TikTok auf, bevor du zugestimmt hast? Typische Ursachen sind fest ins Theme eingebaute Codes, alte Apps und Pixel, die außerhalb des Tag Managers eingebunden sind. Shopify schaltet Script-Tags ohnehin ab; was das für alte Tracking-Codes bedeutet, steht in Shopify schaltet Script-Tags ab.

3. Consent Mode v2 und GTM sauber verbunden

Google erwartet, dass du die Einwilligung einholst, die Entscheidung an Google übermittelst und dafür sorgst, dass Google- und Drittanbieter-Tags sich danach richten [9]. Google unterscheidet zwei Varianten: Im Basis-Modus laden Tags erst nach der Zustimmung, im erweiterten Modus laden sie vorher und senden bei Ablehnung eingeschränkte Signale, die Google für Modellierungen nutzt [9]. Ob dieses Vorab-Laden mit § 25 TDDDG vereinbar ist, wird unterschiedlich bewertet. Wenn du unsicher bist, ist der Basis-Modus die vorsichtigere Wahl (Einschätzung).

Im Google Tag Manager prüfst du im Vorschaumodus, ob der Standardstatus vor allen anderen Tags gesetzt wird und ob nicht-Google-Tags wie der Meta-Pixel eine eigene Einwilligungsbedingung haben. Gerade nach Googles Änderungen am Tag-Verhalten lohnt das; Hintergründe stehen in Der Google Tag Manager wartet nicht mehr auf gtag('config'), Google Tag wird zum Tag-Manager-Container und Google Tag Gateway und erweiterte Conversions.

FAQ

Häufige Fragen zum Cookie-Banner und Digital Omnibus.

Ist ein Cookie-Banner Pflicht?

Pflicht ist die Einwilligung, nicht das Banner selbst. Sobald du Cookies oder ähnliche Techniken nutzt, die nicht unbedingt erforderlich sind, brauchst du nach § 25 TDDDG eine Einwilligung [7]. Das Banner ist der übliche Weg, sie einzuholen. Setzt du nur technisch notwendige Cookies, raten die Aufsichtsbehörden sogar davon ab, ein Banner zu zeigen, weil es eine Wahl vortäuscht, die es nicht gibt [8].

Fallen Cookie-Banner mit dem Digital Omnibus weg?

Nach dem bisherigen Stand nein. Auch der Ratsentwurf hält an der Einwilligung als Grundregel fest und erweitert nur die Ausnahmen [3][4]. Shops, die Google Ads, Meta oder ähnliche Werbe-Tracker nutzen, werden weiter fragen müssen (Einschätzung).

Was ist mit meinem Cookie-Banner in WordPress?

Dieselben drei Prüfungen gelten. Bei WordPress kommen Tracking-Codes oft über mehrere Plugins gleichzeitig, etwa ein Analytics-Plugin und zusätzlich den Tag Manager. Dann lädt ein Teil am Banner vorbei. Wenn du Hilfe bei der Einrichtung brauchst: WordPress-Betreuung.

Hinweis: Dieser Beitrag erklärt den Stand der Gesetzgebung und technische Prüfschritte. Er ist keine Rechtsberatung. Für die rechtliche Bewertung deines konkreten Setups wende dich an eine Anwältin, einen Anwalt oder deine Datenschutzbeauftragten.

Quellen

Quellen

1. Rat der Europäischen Union: Vorläufige Tagesordnung des Ausschusses der Ständigen Vertreter (Teil 2), Dok. 13654/1/26 REV 1 COR 1, 6. Oktober 2026 – data.consilium.europa.eu · abgerufen 19.10.2026.
2. Agence Europe (Louis Dubar): „Future of ‘Digital Omnibus’ still in limbo as Member States fail to agree“, 12. Oktober 2026 – agenceurope.eu · abgerufen 19.10.2026.
3. PPC Land (Luis Rijo): „EU Council draft cuts cookie re-prompt wait from 6 months to 4“, 9. Oktober 2026 – ppc.land · abgerufen 19.10.2026.
4. PPC Land (Luis Rijo): „EU Council draft cuts cookie consent re-ask wait to four months“, 10. Oktober 2026 – ppc.land · abgerufen 19.10.2026.
5. Europäisches Parlament, Legislative Train Schedule: „The Digital Omnibus Regulation Proposal“, Verfahren 2025/0360(COD) – europarl.europa.eu · abgerufen 19.10.2026.
6. Europäische Kommission: Vorschlag für eine Verordnung zur Vereinfachung des digitalen Rechtsrahmens (Digital Omnibus), COM(2025) 837 final, 19. November 2025 – EUR-Lex, CELEX 52025PC0837 (eur-lex.europa.eu) · abgerufen 19.10.2026.
7. Bundesministerium der Justiz: § 25 TDDDG „Schutz der Privatsphäre bei Endeinrichtungen“ – gesetze-im-internet.de · abgerufen 19.10.2026.
8. Datenschutzkonferenz (DSK): „Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste)“, Version 1.2, November 2024 – bfdi.bund.de · abgerufen 19.10.2026.
9. Google for Developers: „Consent mode overview“ – developers.google.com · abgerufen 19.10.2026.

Alle Quellen am 19. Oktober 2026 abgerufen. Das Ratsdokument 13886/26 ist nicht öffentlich; Angaben dazu stützen sich auf PPC Land und Agence Europe. Aussagen ohne belastbare Quelle sind im Text als Einschätzung gekennzeichnet; die Ziffern in eckigen Klammern verweisen auf die Nummern dieser Liste.