TDDDG statt TTDSG: Was § 25 für Websites bedeutet

Seit dem 1. Dezember 2021 regelt in Deutschland ein eigenes Gesetz, wann Websites und Apps auf Endgeräte zugreifen dürfen. Zunächst hieß es TTDSG, seit Mai 2024 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG. Am Inhalt der für Cookies entscheidenden Vorschrift hat die Umbenennung nichts geändert.

Was § 25 TDDDG regelt

§ 25 setzt die europäische ePrivacy-Richtlinie um. Er schützt das Endgerät, also Computer, Smartphone oder Tablet, vor ungewolltem Zugriff:

• Abs. 1: Informationen auf dem Gerät speichern oder auslesen ist nur mit Einwilligung erlaubt. Die Einwilligung richtet sich nach der DSGVO.
• Abs. 2: Ausnahmen gelten, wenn der Zugriff technisch für die Übertragung einer Nachricht nötig ist oder unbedingt erforderlich, damit der Anbieter einen ausdrücklich gewünschten Dienst bereitstellen kann.

Nicht nur Cookies

Das Gesetz ist technikneutral. Es erfasst Cookies ebenso wie Local Storage, Session Storage, Tracking-Pixel, Device-Fingerprinting und das Auslesen von Geräte-IDs. Die Frage ist immer: Wird etwas auf dem Gerät gespeichert oder von dort gelesen?

Das Verhältnis zur DSGVO

TDDDG und DSGVO gelten nebeneinander. Das TDDDG regelt den Zugriff auf das Gerät, unabhängig davon, ob personenbezogene Daten betroffen sind. Die DSGVO regelt, was danach mit personenbezogenen Daten geschieht. Für einen typischen Tracking-Dienst brauchen Sie deshalb beides: die Einwilligung für den Gerätezugriff und eine Rechtsgrundlage für die weitere Verarbeitung, in der Praxis meist ebenfalls die Einwilligung.

Die Einwilligungsverwaltungsverordnung

§ 26 TDDDG sieht anerkannte Dienste zur Einwilligungsverwaltung vor. Die Details regelt die Einwilligungsverwaltungsverordnung (EinwV), die seit dem 1. April 2025 gilt. Solche Dienste sollen Einwilligungen nutzerfreundlich und zentral verwalten, damit Besucher nicht auf jeder Website neu entscheiden müssen. Die Teilnahme ist für Website-Betreiber freiwillig, ein eigener Cookie-Banner bleibt weiterhin nötig.

Bußgelder

Verstöße gegen § 25 TDDDG sind Ordnungswidrigkeiten und können mit Bußgeldern bis 300.000 Euro geahndet werden. Zuständig für Websites sind die Datenschutzaufsichtsbehörden der Länder.

Was Sie tun sollten

1. Prüfen Sie, welche Dienste Ihre Website nutzt und was sie auf dem Gerät speichern.
2. Trennen Sie streng zwischen unbedingt erforderlich und optional.
3. Holen Sie für alles Optionale vorher eine Einwilligung ein und blockieren Sie die Dienste bis dahin.
4. Dokumentieren Sie die Einwilligungen.

Ob Sie überhaupt einen Banner brauchen, klärt der Beitrag Cookie-Banner: Wann ist er Pflicht?

*Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall.*