TDDDG erklärt: Was das deutsche Datenschutzgesetz für Cookies bedeutet

Das TDDDG ist das nationale deutsche Pendant zu europäischen Vorgaben rund um Cookies und den Schutz von Endgeräten. Es ergänzt die DSGVO und ist für alle Website-Betreiber relevant, die Nutzer aus Deutschland ansprechen. Dieser Ratgeber erklärt, was das Gesetz konkret regelt und welche Pflichten sich daraus ergeben.

Was ist das TDDDG?

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG, ist seit dem 13. Mai 2024 in Kraft. Es löste das vorherige TTDSG ab und setzte europäische Anforderungen in deutsches Recht um. Der Kern der Neuregelung blieb dabei gegenüber dem TTDSG weitgehend unverändert.

Das TDDDG regelt unter anderem den Datenschutz im Bereich der Telekommunikation und digitaler Dienste. Für Cookie-Banner ist vor allem Paragraph 25 relevant, der den Schutz der Privatsphäre bei Endeinrichtungen betrifft.

Paragraph 25 TDDDG: Der Cookie-Paragraph

Paragraph 25 TDDDG schreibt vor, dass das Speichern von Informationen auf dem Endgerät einer Nutzerin oder eines Nutzers sowie der Zugriff auf dort bereits gespeicherte Informationen nur zulässig ist, wenn die betroffene Person eingewilligt hat.

Eine Ausnahme besteht, wenn das Speichern oder der Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst erbringen kann. Diese Ausnahme entspricht dem Konzept der technisch notwendigen Cookies.

Der Paragraph erfasst damit nicht nur klassische HTTP-Cookies, sondern alle Technologien, die auf dem Endgerät Daten ablegen oder auslesen, darunter Local Storage, Session Storage, Pixel und Fingerprinting-Techniken.

Unterschied zur DSGVO: Warum beide Gesetze gelten

DSGVO und TDDDG adressieren unterschiedliche Aspekte:

Das TDDDG regelt den Zugriff auf das Endgerät. Es fragt: Darf überhaupt auf dem Gerät des Nutzers etwas gespeichert oder ausgelesen werden?

Die DSGVO regelt den Umgang mit personenbezogenen Daten. Sie fragt: Wenn Daten erhoben werden, dürfen sie verarbeitet werden, und wenn ja, auf welcher Rechtsgrundlage?

In der Praxis bedeutet das: Beide Anforderungen müssen gleichzeitig erfüllt sein. Ein Cookie kann nach TDDDG erlaubt sein, weil er technisch notwendig ist, trotzdem aber unter die DSGVO fallen, wenn dabei personenbezogene Daten verarbeitet werden.

Technisch notwendige Cookies: Die Ausnahme

Die Ausnahme in Paragraph 25 TDDDG ist eng auszulegen. Ein Cookie gilt nur dann als unbedingt erforderlich, wenn er für eine Funktion eingesetzt wird, die der Nutzer aktiv angefordert hat, und wenn der Dienst ohne diesen Cookie nicht funktionieren würde.

Typische Beispiele sind Session-Cookies für Anmeldeprozesse, Warenkorb-Cookies in Online-Shops oder Cookies zur Sicherstellung der Sicherheit einer Verbindung (zum Beispiel CSRF-Schutz). Cookies, die lediglich die Nutzererfahrung verbessern oder Komfortfunktionen bieten, fallen nicht unter diese Ausnahme.

Anwendungsbereich: Wer ist betroffen?

Das TDDDG gilt für Anbieter, die Telekommunikationsdienste oder digitale Dienste in Deutschland erbringen. Damit ist es für praktisch alle Website-Betreiber relevant, deren Angebot sich an Nutzer in Deutschland richtet, unabhängig davon, ob das Unternehmen selbst in Deutschland ansässig ist.

Praktische Umsetzung

Für Website-Betreiber bedeutet Paragraph 25 TDDDG konkret:

Vor dem Setzen nicht notwendiger Cookies muss eine aktive Einwilligung eingeholt werden. Das Laden externer Skripte, die ihrerseits Cookies setzen, darf erst nach Einwilligung erfolgen. Der Cookie-Banner muss die Möglichkeit bieten, nur technisch notwendige Cookies zu akzeptieren, ohne dass die Website dadurch nicht mehr nutzbar wäre.

Beim Einsatz eines Tools wie dem Generator auf cookie-consent-generator.de lässt sich das technisch korrekt umsetzen: Cookies werden kategorisiert und erst nach Einwilligung aktiviert. So werden die Anforderungen des Paragraph 25 TDDDG technisch abgebildet.

Fazit

Das TDDDG ergänzt die DSGVO um eine spezifische Anforderung für den deutschen Rechtsraum: Ohne Einwilligung darf auf Endgeräten von Nutzern nichts gespeichert oder ausgelesen werden, sofern es sich nicht um technisch unbedingt notwendige Cookies handelt. Die Regelung gilt unabhängig davon, ob personenbezogene Daten im Spiel sind. Website-Betreiber sollten beide Gesetze gemeinsam betrachten. Im Zweifel ist die Beratung durch einen Fachanwalt empfehlenswert.