Der Digital-Omnibus ist keine einheitliche Regelung. Der KI-Teil (COM(2025) 836) hat das Gesetzgebungsverfahren abgeschlossen, der endgültige Text wurde am 08.07.2026 unterzeichnet; die Veröffentlichung im Amtsblatt der EU und die Vergabe der Verordnungsnummer stehen aus. Der Daten- und DSGVO-Teil (COM(2025) 837) ist dagegen ein Vorschlag im Stadium des Rates: allgemeine Ausrichtung, Position des Parlaments und Trilog sind nicht abgeschlossen, und keine seiner Bestimmungen ist in Kraft (Stand: Juli 2026). Auf der KI-Seite hat sich allein der Zeitplan für Hochrisikosysteme geändert.
Anbieter und Betreiber von KI
Für Unternehmen, die KI-Systeme auf dem EU-Markt bereitstellen, ist der Zeitplan für Hochrisikosysteme verschoben; die übrigen Pflichten bleiben unverändert.
Unternehmen im Anwendungsbereich der DSGVO
An den Regeln zu Daten und Cookies ändert sich heute nichts; der Vorschlag ist nicht angenommen.
Planung von Compliance-Programmen
Das Paket verlangt keine Planung nach einem verschobenen Termin, sondern die getrennte Verfolgung der beiden Dossiers.
- 01Prüfung auf verbotene Praktiken fortführen; die seit dem 02.02.2025 geltenden Verbote sind von diesem Paket nicht berührt.
- 02Bestandsaufnahme der Hochrisikosysteme nach den neuen Terminen aktualisieren: 02.12.2027 bei eigenständigen, 02.08.2028 bei eingebetteten Systemen.
- 03Kennzeichnung von Inhalten bei generativer KI einrichten; für vor dem 02.08.2026 in Verkehr gebrachte Systeme ist Stichtag der 02.12.2026.
- 04Bestehendes DSGVO- und Cookie-Programm unverändert weiterführen; der Datenteil ist noch nicht angenommen.
Überblick
Die Europäische Kommission hat am 19.11.2025 unter dem Namen „Digital-Omnibus“ ein Vereinfachungspaket veröffentlicht. Das Paket ist kein einheitlicher Text, sondern enthält zwei voneinander unabhängige Vorschläge: COM(2025) 836 final zur künstlichen Intelligenz und COM(2025) 837 final zum Datenrecht. Diese beiden Dossiers befinden sich heute in völlig unterschiedlichen Stadien, und sie wie eine einzige Regelung zu behandeln, ist der häufigste Fehler der kursierenden Kommentare.
Der KI-Teil hat das Gesetzgebungsverfahren abgeschlossen: Der endgültige Text wurde am 08.07.2026 unterzeichnet, die Veröffentlichung im Amtsblatt der EU steht noch aus (Stand: Juli 2026). Der Datenteil ist dagegen weiterhin ein im Rat beratener Vorschlag; keine einzige Bestimmung dieses Teils ist in Kraft.
Anwendungsbereich: ein Name, zwei getrennte Dossiers
COM(2025) 836 ändert die KI-Verordnung ((EU) 2024/1689) und die Verordnung (EU) 2018/1139. COM(2025) 837 schlägt Änderungen der DSGVO, der ePrivacy-Richtlinie, der Datenverordnung (Data Act), des Daten-Governance-Rechtsakts, der Open-Data-Richtlinie, der Verordnung über den freien Verkehr nicht personenbezogener Daten und der NIS2-Richtlinie vor; außerdem sieht er die Aufhebung der P2B-Verordnung vor. Dass beide Vorschläge denselben Paketnamen tragen, bedeutet nicht, dass sie einen gemeinsamen Zeitplan des Inkrafttretens hätten.
Der KI-Teil — angenommen
Geändert hat sich allein der Zeitplan für den Beginn der Pflichten bei Hochrisikosystemen. Dieser Zeitpunkt war zuvor der 02.08.2026; er ist für eigenständige Hochrisikosysteme (Anhang III) auf den 02.12.2027 und für in regulierte Produkte eingebettete Hochrisikosysteme (Anhang I) auf den 02.08.2028 verschoben worden. Der Mechanismus knüpft diese Verschiebung an die Bestätigung, dass die harmonisierten Normen bereitstehen, und versteht die genannten Daten als Obergrenze.
Für die Kennzeichnung von Inhalten bei generativen KI-Systemen räumt das Paket den vor dem 02.08.2026 in Verkehr gebrachten Systemen eine Übergangsfrist von sechs Monaten ein: Stichtag ist der 02.12.2026. Für Anwendungen, die nicht einvernehmliche intime oder sexuelle Inhalte sowie Material über den sexuellen Missbrauch von Kindern erzeugen, wurde ein neues Verbot eingeführt, das ab Dezember 2026 gilt. Bei der Aufsicht ist eine Zentralisierung vorgesehen: Das KI-Büro (AI Office) wird KI-Systeme beaufsichtigen, die in sehr große Online-Plattformen und Online-Suchmaschinen eingebettet sind, sowie solche Systeme, die auf KI-Modellen mit allgemeinem Verwendungszweck aufsetzen und deren Anbieter zugleich der Modellanbieter ist. Die verbindliche Pflicht zur KI-Kompetenz für Anbieter und Betreiber ist entfallen; an ihre Stelle tritt eine Aufgabe der Kommission und der Mitgliedstaaten, die KI-Kompetenz zu fördern. Die Erleichterungen für KMU wurden auf kleine Unternehmen mittlerer Kapitalisierung ausgeweitet; für die Benennung der Konformitätsbewertungsstellen wurde ein einheitliches Antragsverfahren eingeführt; das harmonisierte Muster für die Beobachtung nach dem Inverkehrbringen wurde gestrichen; für Systeme, die wegen enger oder rein verfahrensmäßiger Aufgaben nicht als hochriskant gelten, wurden Registrierungserleichterungen geschaffen; Tests unter Realbedingungen wurden ausgeweitet; und die Verarbeitung besonderer Kategorien personenbezogener Daten wurde in engen Grenzen erlaubt, um Verzerrungen zu erkennen und zu beheben.
Weil der Text zwar unterzeichnet, aber noch nicht veröffentlicht ist, trägt er noch keine Verordnungsnummer; sie wird erst mit der Veröffentlichung vergeben (Stand: Juli 2026).
Der Daten- und DSGVO-Teil — nur ein Vorschlag
COM(2025) 837 ist von der Kommission vorgeschlagen worden; angenommen ist er nicht. Das Dossier liegt in der Ratsarbeitsgruppe: Eine allgemeine Ausrichtung ist nicht beschlossen, im Parlament sind in den gemeinsam zuständigen Ausschüssen ITRE und LIBE zwar Berichterstatterinnen und Berichterstatter benannt, ein Ausschussbericht ist aber nicht angenommen, und der Trilog hat überhaupt nicht begonnen. Der Europäische Wirtschafts- und Sozialausschuss hat seine Stellungnahme am 18.03.2026 abgegeben, der Europäische Ausschuss der Regionen seine Position am 07.05.2026.
Vorgeschlagen — und keineswegs in Kraft — sind die folgenden Punkte. Zur DSGVO: eine Verengung des Begriffs der personenbezogenen Daten (ein auf die jeweilige Stelle bezogener, relativer Maßstab), Erleichterungen für Verarbeitungen mit geringem Risiko, eine Rechtsgrundlage für die Entwicklung und den Betrieb künstlicher Intelligenz sowie Änderungen bei der Bearbeitung von Betroffenenanfragen und bei der Meldung von Datenschutzverletzungen. Zu den Cookies: die Überführung der Regeln über die Einwilligung in den Zugriff auf Endeinrichtungen aus der ePrivacy-Richtlinie in einen neuen Art. 88a der DSGVO, maschinenlesbare Einwilligungssignale sowie erweiterte Ausnahmen für Reichweitenmessung und Sicherheitszwecke. Zur Datenverordnung: die Zusammenführung des Daten-Governance-Rechtsakts, der Open-Data-Richtlinie und der Verordnung über den freien Verkehr nicht personenbezogener Daten in einer einzigen Datenverordnung. Zur NIS2-Richtlinie: eine einheitliche Anlaufstelle für die Meldung von Sicherheitsvorfällen. Für die P2B-Verordnung ist die Aufhebung vorgesehen. Die Abschnitte zur DSGVO und zu den Cookies sind die umstrittensten Teile des Dossiers und werden in ihrer jetzigen Fassung möglicherweise nicht angenommen.
Auswirkungen auf türkische Unternehmen
Auf der KI-Seite entfaltet die KI-Verordnung weiterhin extraterritoriale Wirkung gegenüber Anbietern und Betreibern, die KI-Systeme auf dem EU-Markt bereitstellen oder deren Ausgaben in der EU verwendet werden. Die Vorschriften über verbotene Praktiken gelten seit dem 02.02.2025, die Pflichten für KI mit allgemeinem Verwendungszweck seit dem 02.08.2025; von diesem Paket sind sie nicht berührt. Geändert hat sich allein der Zeitplan für Hochrisikosysteme, und das ist gewonnene Zeit für die Konformitätsbewertung, keine Befreiung. Die Kennzeichnung von Inhalten bei generativer KI greift am 02.12.2026.
Worauf es auf der türkischen Seite ankommt
Auf der Seite von Daten und Datenschutz gibt es heute nichts zu ändern. Eine Korrektur der Cookie-Einwilligung oder ein DSGVO-Compliance-Programm lässt sich nicht unter Hinweis auf den Digital-Omnibus aufschieben: Der Datenteil ist nur ein Vorschlag, keine Regel hat sich geändert, und die Cookie-Reform wird möglicherweise nie angenommen. Die geltende DSGVO gilt unverändert weiter, einschließlich der extraterritorialen Wirkung nach Art. 3 Abs. 2 und der Übermittlungsregeln des Kapitels V. Da für die Türkei kein Angemessenheitsbeschluss vorliegt, bleiben Standardvertragsklauseln für die Übermittlung personenbezogener Daten aus der EU in die Türkei erforderlich.
Die praktische Folge lautet: Cookie-Hinweise, Datenschutzhinweise, Prozesse für Betroffenenanfragen und die Dokumentation der Übermittlungen sind nach der heute geltenden DSGVO aufzubauen und abzuschließen. Wird der Vorschlag angenommen, gehören sie überprüft; das ist jedoch bestenfalls eine Aufgabe des Jahres 2027.
Zeitplan und zu verfolgende Punkte
Beim KI-Teil stehen die Veröffentlichung im Amtsblatt der EU und das Inkrafttreten unmittelbar bevor; die Verordnungsnummer wird in diesem Schritt vergeben. Zu verfolgen ist außerdem, ob die Kommission bestätigt, dass die harmonisierten Normen bereitstehen: Im Fall der Bestätigung kann der Zeitplan für Hochrisikosysteme gegenüber der Obergrenze des 02.12.2027 vorgezogen werden. Beim Datenteil stehen nacheinander die allgemeine Ausrichtung des Rates, die Position des Parlaments und der Trilog aus; ein realistischer Horizont für die Annahme ist frühestens 2027. Für Zulieferer von Produkten ist zusätzlich zu verfolgen, wie die für die NIS2-Richtlinie vorgeschlagene einheitliche Anlaufstelle mit den Pflichten zur Meldung von Sicherheitsvorfällen zusammenwirken wird.
Verwandte Inhalte
Den maßgeblichen Text auf der KI-Seite finden Sie in unserem Eintrag zur KI-Verordnung, die auf der Datenseite heute geltenden Regeln in unserem DSGVO-Eintrag. Die Umsetzung behandeln wir in unserem Schwerpunkt Künstliche Intelligenz und in unserem Rechtsgebiet Schutz personenbezogener Daten. Die beiden genannten Einträge liegen derzeit auf Türkisch und Englisch vor; auf Anfrage erläutern wir sie Ihnen auf Deutsch.
Inkrafttreten & Änderungshistorie
- 08.07.2026
KI-Omnibus unterzeichnet
Der endgültige Text ist unterzeichnet; die Veröffentlichung im Amtsblatt der EU und die Vergabe der Verordnungsnummer stehen aus.
- 29.06.2026
Endgültige Annahme durch den Rat
Der Rat hat den KI-Teil endgültig angenommen.
- 16.06.2026
Zustimmung des EP-Plenums
Das Europäische Parlament hat den Text mit 423 Ja-Stimmen, 57 Nein-Stimmen und 174 Enthaltungen gebilligt.
- 19.11.2025
Paket veröffentlicht: zwei getrennte Vorschläge
Die Kommission hat COM(2025) 836 und COM(2025) 837 veröffentlicht; der Datenteil ist über dieses Stadium nicht hinausgekommen.
Amtliche Quellen
EPRS-Briefing (PE 782.651) · Europäisches Parlament europarl.europa.euGesetzgebungsverfolgung: KI-Omnibus · Europäisches Parlament europarl.europa.eu
