TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz)

Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) ist das deutsche Gesetz, das festlegt, wann ein Website- oder Shop-Betreiber Informationen auf dem Endgerät eines Nutzers speichern oder von dort auslesen darf. Es ist damit die zentrale Rechtsgrundlage für Cookies, LocalStorage, Tracking-Pixel und Fingerprinting in Deutschland. Kern der Regelung ist § 25 TDDDG: Ohne Einwilligung ist ein solcher Zugriff nur zulässig, wenn er für den vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich ist.

Bis Mai 2024 hieß dasselbe Gesetz TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz). Die Umbenennung war eine Anpassung an das europäische Digitale-Dienste-Recht und hat an den Cookie-Regeln inhaltlich nichts geändert. Wenn du in älteren Beiträgen, Verträgen oder Datenschutzhinweisen noch „§ 25 TTDSG" liest, ist damit derselbe Paragraf gemeint wie heute mit „§ 25 TDDDG". Für die Praxis heißt das vor allem: Dokumente, die den alten Namen tragen, sind nicht automatisch veraltet — aber ein Update der Bezeichnung schadet der Glaubwürdigkeit gegenüber Aufsichtsbehörden und Prüfern nicht.

§ 25 TDDDG: Einwilligung vor dem Zugriff auf das Endgerät

§ 25 TDDDG ist die deutsche Umsetzung der europäischen ePrivacy-Vorgabe zum Endgeräteschutz. Er schützt nicht in erster Linie personenbezogene Daten, sondern das Endgerät selbst — Laptop, Smartphone, Tablet — als private Sphäre des Nutzers. Deshalb greift die Norm unabhängig davon, ob die gespeicherten oder ausgelesenen Informationen einen Personenbezug haben. Das ist der Punkt, an dem viele Diskussionen in Unternehmen falsch abbiegen: Die Frage „aber unsere Statistik ist doch anonym" ist für § 25 TDDDG schlicht nicht die richtige Frage.

Der Grundsatz: erst Einwilligung, dann Zugriff

Der Grundsatz lautet: Das Speichern von Informationen im Endgerät und der Zugriff auf bereits dort gespeicherte Informationen sind nur zulässig, wenn der Nutzer auf Basis klarer und umfassender Informationen eingewilligt hat. Erfasst ist jede Technik, mit der Daten auf dem Gerät abgelegt oder von dort gelesen werden — nicht nur klassische HTTP-Cookies. LocalStorage, SessionStorage, IndexedDB, Pixel, die eine Kennung setzen, sowie Verfahren, die Geräteeigenschaften auslesen, um daraus einen Wiedererkennungswert zu bilden, fallen ebenso darunter.

Wichtig ist die zeitliche Reihenfolge. Die Einwilligung muss vor dem technischen Zugriff vorliegen, nicht parallel dazu und nicht danach. Ein Banner, das zwar angezeigt wird, während im Hintergrund bereits Tags feuern, erfüllt die Anforderung nicht. Genau daran scheitern in der Praxis viele Setups, die auf dem Papier sauber aussehen: Das Consent-Tool ist installiert, aber die Tags sind nicht wirklich blockiert, sondern werden lediglich „nachträglich informiert".

Die Ausnahme: „unbedingt erforderlich"

§ 25 Abs. 2 TDDDG kennt zwei Ausnahmen. Erstens den Fall, dass der Zugriff allein der Übertragung einer Nachricht über ein Telekommunikationsnetz dient. Zweitens — und das ist der praktisch relevante Fall — dass der Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.

„Unbedingt erforderlich" ist dabei eng zu verstehen. Maßstab ist nicht, was für das Geschäftsmodell nützlich oder betriebswirtschaftlich sinnvoll ist, sondern was technisch nötig ist, damit die vom Nutzer angeforderte Funktion überhaupt läuft. Reichweitenmessung, Conversion-Zuordnung oder Personalisierung sind aus Sicht des Nutzers keine angeforderte Funktion — sie dienen dem Anbieter. Deshalb sind sie einwilligungspflichtig, auch wenn sie für das Unternehmen wirtschaftlich wichtig sind.

Die rechte Spalte ist kein Freibrief. Auch technisch notwendige Speicherungen müssen im Datenschutzhinweis transparent beschrieben werden, und die Einordnung muss im Einzelfall stimmen. Ein Session-Cookie, das nebenbei ein Analyse-Merkmal transportiert, ist kein notwendiges Cookie mehr — es ist ein Analyse-Cookie mit einer zweiten Funktion. Die Bezeichnung im Cookie-Banner entscheidet nicht über die rechtliche Einordnung; der tatsächliche Zweck entscheidet.

TDDDG und DSGVO: zwei Prüfungen, nicht eine

Eine der häufigsten Fehlannahmen in Projekten ist, dass man entweder nach TDDDG oder nach DSGVO prüft. Tatsächlich sind es zwei aufeinanderfolgende Schritte, die beide bestanden werden müssen.

Der Zwei-Schritt in der Praxis

Schritt eins ist § 25 TDDDG und betrifft den Zugriff auf das Endgerät: Darf überhaupt etwas gespeichert oder ausgelesen werden? Schritt zwei ist die DSGVO und betrifft die anschließende Verarbeitung der so erhobenen Daten: Auf welcher Rechtsgrundlage werden sie verarbeitet, wie lange werden sie gespeichert, an wen fließen sie, und wie werden Betroffenenrechte umgesetzt?

Praktisch bedeutet das: Selbst wenn ein Cookie nach § 25 Abs. 2 TDDDG ohne Einwilligung gesetzt werden darf, ist die Verarbeitung der damit verbundenen Daten damit noch nicht legitimiert. Umgekehrt hilft ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO nicht über die Einwilligungspflicht des § 25 TDDDG hinweg. Wer Tracking auf berechtigtes Interesse stützen will, verwechselt die beiden Ebenen. Für den ersten Schritt gibt es bei nicht notwendigen Technologien nur einen Weg: die Einwilligung.

Hinzu kommt der Drittlandtransfer. Fließen die Daten an einen Anbieter außerhalb der EU, kommt mit Kapitel V DSGVO eine dritte Prüfebene dazu. Auch die ist unabhängig davon zu bestehen, ob das Banner sauber ist.

Bußgeldrahmen und Abmahnrisiko

Verstöße gegen die Einwilligungspflicht werden regelmäßig über die DSGVO sanktioniert, weil die anschließende Verarbeitung dann ohne wirksame Rechtsgrundlage erfolgt. Der Bußgeldrahmen des Art. 83 DSGVO reicht in der höheren Stufe bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; in der niedrigeren Stufe bis zu 10 Millionen Euro oder 2 Prozent.

Für mittelständische Unternehmen ist das theoretische Maximum selten das reale Risiko. Relevanter sind zwei andere Effekte: der Aufwand eines aufsichtsbehördlichen Verfahrens, das schnell Monate bindet, und die wettbewerbsrechtliche Flanke. Fehlerhafte Cookie-Banner sind ein bekanntes Abmahnfeld, und die Prüfung ist für Dritte trivial — es genügt ein Blick in die Entwicklerkonsole, ob vor der Einwilligung bereits Tags feuern.

Die Rechtsprechung, die den Rahmen setzt

Was eine wirksame Einwilligung ist, steht nur in Grundzügen im Gesetzestext. Die Details kommen aus der Rechtsprechung — und die ist inzwischen deutlich konkreter, als viele Banner es abbilden.

Planet49 und BGH „Cookie-Einwilligung II"

Den Ausgangspunkt bildet die Entscheidung des Europäischen Gerichtshofs in der Sache Planet49 (C-673/17) aus dem Jahr 2019. Der EuGH stellte klar, dass ein voreingestelltes Häkchen keine wirksame Einwilligung darstellt. Einwilligung setzt eine aktive Handlung voraus; Schweigen, Untätigkeit oder ein vom Anbieter vorausgefülltes Kästchen genügen nicht. Der Bundesgerichtshof hat diese Linie mit dem Urteil „Cookie-Einwilligung II" vom 28.05.2020 (Az. I ZR 7/16) für das deutsche Recht übernommen.

Aus diesen beiden Entscheidungen folgt das Grundmuster jedes heutigen Banners: keine Vorauswahl, keine impliziten Einwilligungen durch Weiterscrollen, keine Zustimmung durch bloßes Weiternutzen der Seite.

VG Hannover 2025: Tag Manager und gleichwertiger Ablehnen-Button

Deutlich konkreter für die Umsetzung ist das Urteil des Verwaltungsgerichts Hannover vom 19.03.2025 (Az. 10 A 5385/22). Das Gericht entschied zwei Punkte, die viele bestehende Setups betreffen. Erstens: Bereits der Einsatz des Google Tag Managers erfordert eine vorherige Einwilligung. Die verbreitete Argumentation, der Tag Manager sei ein reines Verwaltungswerkzeug ohne eigenes Tracking und dürfe deshalb vorab laden, trägt danach nicht. Zweitens: Ein Cookie-Banner benötigt auf der ersten Ebene einen gleichwertigen „Ablehnen"-Button. Ein prominenter Akzeptieren-Button neben einem versteckten Link zu den „Einstellungen" reicht nicht.

Ein Praxisbeispiel, wie es in dieser Form regelmäßig auftaucht: Ein B2B-Onlineshop bindet den Google Tag Manager direkt im Head-Bereich des Templates ein und lässt darüber Analytics und den Ads-Conversion-Tag laufen. Das Consent-Tool ist installiert und blockiert die beiden nachgelagerten Tags korrekt — der Container selbst wird aber weiterhin sofort geladen. Auf der ersten Banner-Ebene gibt es „Alle akzeptieren" als grüne Schaltfläche und darunter einen grauen Textlink „Einstellungen". Nach dem Maßstab des VG Hannover sind hier zwei Punkte angreifbar: der vorab geladene Container und die fehlende Gleichwertigkeit der Ablehnen-Option. Die Korrektur besteht darin, den Container selbst unter Consent zu stellen und auf der ersten Ebene zwei visuell gleichwertige Schaltflächen anzubieten. Eine ausführliche Darstellung des Urteils findet sich bei der IT-Recht Kanzlei.

Eine weitere Leitlinie betrifft Modelle, bei denen Nutzer zwischen Einwilligung und einem kostenpflichtigen Zugang wählen sollen. Der Europäische Datenschutzausschuss hat sich dazu in seiner Stellungnahme 08/2024 zu „Consent or Pay" positioniert und die Anforderungen an die Freiwilligkeit solcher Konstellationen präzisiert.

EinwV und anerkannte Einwilligungsverwaltungsdienste

§ 26 TDDDG sieht vor, dass Einwilligungen auch zentral verwaltet werden können — über anerkannte Dienste, die die Präferenzen eines Nutzers speichern und an Websites weitergeben. Die Idee dahinter ist die Reduktion der Banner-Müdigkeit: Der Nutzer entscheidet einmal, und die Entscheidung gilt seitenübergreifend.

Consenter als bislang einziger anerkannter Dienst

Die Einwilligungsverwaltungsverordnung (EinwV) ist am 01.04.2025 in Kraft getreten und regelt das Anerkennungsverfahren für solche Dienste, häufig als PIMS (Personal Information Management Services) bezeichnet. Der Dienst Consenter wurde am 17.10.2025 vom Bundesbeauftragten für den Datenschutz und die Informationsfreiheit anerkannt und ist mit Stand August 2026 der einzige im öffentlichen Register eingetragene Dienst. Das Register führt der BfDI.

Für Betreiber ist die Einordnung nüchtern: Die Nutzung eines anerkannten Dienstes ist freiwillig, und die Verbreitung ist bislang gering. Als Ersatz für ein eigenes Consent-Management taugt das Modell derzeit nicht. Es ist ein Baustein, den man beobachten sollte, keine Grundlage, auf die man eine Architektur heute schon stellt.

Digital Omnibus: geplante Änderungen, noch nicht geltendes Recht

Im November 2025 hat die Europäische Kommission mit dem sogenannten Digital Omnibus eine Reform vorgeschlagen, die auch die Cookie-Regeln betrifft. Vorgesehen ist unter anderem, die Regelung aus Art. 5 Abs. 3 der ePrivacy-Richtlinie als neuen Art. 88a in die DSGVO zu überführen, Ausnahmen für risikoarme Zwecke wie einfache Reichweitenmessung zu schaffen, ein Ablehnen mit einem Klick verbindlich vorzuschreiben, eine Sperrfrist von rund sechs Monaten für erneutes Nachfragen nach einer Ablehnung einzuführen und maschinenlesbare Browser-Signale anzuerkennen.

Stand der Verhandlungen im August 2026

Entscheidend für die Praxis ist der Verfahrensstand: Der datenschutzrechtliche Teil des Digital Omnibus ist im August 2026 nicht verabschiedet. Er steckt in den Verhandlungen zwischen Rat und Parlament, eine Einigung wird frühestens gegen Ende 2026 erwartet, und der finale Text kann vom Vorschlag abweichen. Alles, was oben beschrieben ist, ist damit Entwurf und keine geltende Rechtslage. Der KI-bezogene Teil des Omnibus-Pakets ist bereits verabschiedet, betrifft aber nicht die Cookie-Regeln.

Was das für die Planung heißt

Wer heute ein Consent-Setup baut, plant nach § 25 TDDDG in der geltenden Fassung. Zwei Vorbereitungen sind trotzdem sinnvoll, weil sie schon nach heutigem Recht keinen Nachteil haben: ein Ablehnen mit einem Klick auf der ersten Ebene, das ohnehin der Linie des VG Hannover entspricht, und eine saubere Trennung der Zwecke im Tag-Management, damit sich einzelne Kategorien später ohne Umbau anders behandeln lassen. Was man nicht tun sollte, ist Tracking heute unter Berufung auf eine mögliche künftige Ausnahme laufen zu lassen.

Abgrenzung: Gesetz, Werkzeug und Umsetzung

Das TDDDG legt fest, was erlaubt ist. Umgesetzt wird die Einwilligung technisch in der Regel über eine Consent Management Platform (CMP), die das Banner ausspielt, Einwilligungen dokumentiert und Tags vor der Zustimmung blockiert. Die Platform ist das Werkzeug, nicht die Rechtsgrundlage: Ein installiertes Tool macht ein Setup nicht rechtskonform, wenn die Kategorisierung der Cookies falsch ist oder Tags am Consent vorbei laden.

Die operative Umsetzung — welche Dienste in welche Kategorie gehören, wie Tags korrekt blockiert werden, wie die Dokumentation aussieht und woran ein bestehendes Setup typischerweise scheitert — ist Gegenstand eines eigenen Praxis-Guides: Cookies, Consent und TDDDG: rechtssicheres Tracking. Dieser Glossareintrag ordnet den Begriff ein; die Checkliste für die Umsetzung findest du dort.

Zum Schluss die wichtigste Einordnung für Entscheider: Das TDDDG ist kein Nischenthema der Rechtsabteilung, sondern eine Architekturentscheidung. Wer Tracking so aufsetzt, dass jede Datenquelle ohne Einwilligung wertlos wird, verlagert seine gesamte Steuerung auf eine Zustimmungsquote, die er nicht kontrolliert. Wer stattdessen früh trennt zwischen dem, was ohne Einwilligung funktioniert — serverseitige Bestell- und Umsatzdaten aus dem eigenen System — und dem, was Einwilligung braucht, bleibt auch bei sinkenden Consent-Raten handlungsfähig.