TTDSG Cookie-Banner: §25 TTDSG und BfDI-Vorgaben

In einem Satz. §25 TTDSG (seit 1. Dezember 2021 in Kraft, umbenannt zum TDDDG ab Mai 2024) verlangt für jeden Zugriff auf Informationen im Endgerät — Cookies, LocalStorage, Pixel, Fingerprinting — eine vorherige, informierte, freiwillige Einwilligung der Nutzenden, mit Ausnahme der “unbedingt erforderlichen” Funktionen (z.B. Warenkorb, Login).

§25 TTDSG setzt Artikel 5 Absatz 3 der ePrivacy-Richtlinie um und ist die deutsche Cookie-Norm. Wichtig: §25 TTDSG gilt unabhängig davon, ob personenbezogene Daten verarbeitet werden — der bloße Zugriff auf das Endgerät genügt. Erst danach greift bei personenbezogenen Daten zusätzlich die DSGVO — was beim Tracking praktisch immer der Fall ist, da IP-Adressen personenbezogene Daten sind.

Die DSK-Orientierungshilfe Telemedien (Version 1.1, Dezember 2021), aktualisiert 2024, sowie die BfDI- und LfDI-Praxis prägen die Anwendung. Die EU-Kommission arbeitet parallel an einer ePrivacy-Verordnung, die TTDSG mittelfristig ersetzen wird.

Für Einwilligungsbedingungen siehe DSGVO Artikel 7 Einwilligung. Für Beispieltexte Einwilligung DSGVO Beispiele. Die europäische Grundnorm ist Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG; die maßgeblichen Kriterien gegen manipulative Banner enthalten die EDPB-Leitlinien 03/2022 zu Deceptive Design Patterns.

Wichtige Punkte

• §25 TTDSG (jetzt TDDDG) verlangt Opt-in-Einwilligung für nicht-essentielle Cookies und ähnliche Technologien.
• Banner ohne gleichwertigen “Ablehnen”-Button sind nach BfDI/DSK abmahnfähig.
• Dark Patterns (farbliche Hervorhebung des Akzeptieren-Buttons) sind ungültig.
• Cookie-Walls sind grundsätzlich problematisch — Ausnahme: PUR-Modell mit angemessenem Preis.
• Verstöße sanktionierbar nach §28 TTDSG bis 300.000 € oder über DSGVO bis 4 % Umsatz.

1. §25 TTDSG — der Wortlaut

§25 Absatz 1 TTDSG: “Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.”

Absatz 2 nennt zwei Ausnahmen:

1. Übertragung über Kommunikationsnetz alleiniger Zweck
2. Für vom Nutzer gewünschten Telemediendienst unbedingt erforderlich

2. Was ist “unbedingt erforderlich”?

Die DSK-Orientierungshilfe nennt:

• Session-Cookies für Warenkorb
• Login-Cookies (mit Opt-in für “Eingeloggt bleiben”)
• Sprachpräferenz
• Lastverteilung
• Cookie-Consent-Speicherung selbst

Nicht unbedingt erforderlich:

• Analytics (auch “first-party” wie Matomo ohne Anonymisierung)
• Werbe-Cookies, Retargeting
• A/B-Testing
• Social-Media-Pixel (Facebook, LinkedIn, TikTok)
• YouTube-Embeds (im Standardmodus)

3. Banner-Anforderungen — was zulässig ist

Element	Anforderung
Information vor Setzen	Cookies erst nach Klick auf “Akzeptieren”
Granulare Auswahl	Kategorien einzeln aktivierbar
Gleichwertiger Ablehnen-Button	Auf Layer 1, gleiche Prominenz wie Akzeptieren
Widerruf	Permanenter Footer-Link “Cookie-Einstellungen”
Speicherung der Wahl	Auch der Ablehnen-Wahl, vermeidet Re-Prompting
Lebensdauer dokumentiert	Max. 6-13 Monate für Consent-Speicherung

4. Dark Patterns — was unzulässig ist

Die DSK und EDPB-Leitlinien 03/2022 zu Dark Patterns nennen:

• Farbliche Hervorhebung des Akzeptieren-Buttons (grün vs. grau)
• Vorgekreuzte Kästchen (durch EuGH Planet49 C-673/17 ohnehin ungültig)
• Versteckter Ablehnen-Button in Untermenü
• “Akzeptieren oder X” ohne dritte Option
• Wiederholtes Prompting trotz Ablehnung
• Cookie-Wall ohne gleichwertige Alternative

5. PUR-Modell — die zulässige Ausnahme

EDPB-Stellungnahme 08/2024 zum “Consent or Pay”-Modell:

• Bezahlte Alternative muss angemessen sein (typischerweise unter 5 €/Monat)
• Anbieter muss dieselbe Funktionalität bieten
• Keine versteckten Tracking trotz Bezahlung
• BGH-Urteil zu BILD/Süddeutsche im Sommer 2024 ließ PUR-Modell zu, aber mit Auflagen

Die Grundfrage beim PUR-Modell ist, ob die Einwilligung noch “freiwillig” im Sinne von Art. 4 Nr. 11 DSGVO ist, wenn die einzige Alternative Bezahlung ist. Der EDPB hat in seiner Stellungnahme 08/2024 großen Plattformen enge Grenzen gesetzt: Ein reines “Zahlen oder Zustimmen” ohne eine dritte, weniger datenintensive Option kann bei marktmächtigen Anbietern unzulässig sein. Für die meisten mittelständischen Website-Betreiber ist die pragmatische Konsequenz, das PUR-Modell gar nicht erst einzusetzen und stattdessen auf ein sauberes Opt-in mit gleichwertigem Ablehnen-Button zu setzen — das ist rechtssicherer und vermeidet die aufwendige Preisangemessenheitsdebatte vollständig.

6. Sanktionen — Sanktionspraxis

Jahr	Anbieter	Aufsicht	Sanktion
2022	Multiple deutsche Verlage	LfDI	Verwarnungen
2022	Google Analytics-Nutzer	mehrere LfDI	Untersagungen
2023	Verlage mit Dark Patterns	DSB BB	Bußgelder 5-25k €
2024	KIK Textilien	LDI NRW	100k € (TTDSG-Verstöße + DSGVO)
2024	Mehrere E-Commerce	LfDI BW	Anordnungen

§28 TTDSG sieht bis 300.000 € vor; bei personenbezogenen Daten zusätzlich DSGVO-Sanktionsrahmen.

Der praktisch relevanteste Präzedenzfall bleibt das EuGH-Urteil Planet49 (C-673/17, 1. Oktober 2019): Der Gerichtshof stellte klar, dass eine Einwilligung über ein vorangekreuztes Kontrollkästchen keine wirksame Einwilligung im Sinne der ePrivacy-Richtlinie und der DSGVO ist. Aktives, eindeutiges Handeln ist erforderlich — Schweigen, Voreinstellungen oder Untätigkeit genügen nicht. Ergänzend hat der EuGH in der Rechtssache Orange România (C-61/19, 11. November 2020) bestätigt, dass die Beweislast für eine wirksame Einwilligung beim Verantwortlichen liegt. Für Website-Betreiber bedeutet das konkret: Ohne eine revisionssichere Consent-Aufzeichnung mit Zeitstempel, Version des Banners und protokollierter Nutzerentscheidung lässt sich im Streitfall keine wirksame Einwilligung nachweisen — das Banner selbst reicht als Beleg nicht aus.

7. Google Analytics — Sonderfall

Mehrere LfDI haben 2022-2023 Google Analytics ohne IP-Anonymisierung und ohne Server-Side-Tracking untersagt. GA4 ist nicht automatisch konform — entscheidend:

• IP-Anonymisierung aktiviert
• Datenverarbeitungszusatz (DPA) abgeschlossen
• Consent vor Tracking
• Server-Side-Tagging bevorzugt
• Kein Cross-Site-Tracking ohne Opt-in

Der tiefere Grund für die anhaltende Rechtsunsicherheit bei Google Analytics ist der Drittlandstransfer in die USA. Selbst mit korrektem Consent und aktivierter Anonymisierung bleibt die Übermittlung an Google als US-Anbieter transferrelevant. Seit dem EU-US Data Privacy Framework (Angemessenheitsbeschluss Juli 2023) ist der Transfer grundsätzlich abgesichert, sofern der konkrete Empfänger zertifiziert ist — die Details prüfen Sie im Leitfaden zur internationalen Datenübermittlung. Vorsichtige Betreiber setzen dennoch auf europäische, cookie-freie Analytics-Alternativen oder auf serverseitiges Tracking mit strikter Datenminimierung, um die Angriffsfläche für Abmahnungen und Aufsichtsverfahren gering zu halten.

8. TTDSG vs. TDDDG — die Umbenennung

Mit dem Digitale-Dienste-Gesetz (DDG) ab Mai 2024 wurde TTDSG in TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) umbenannt. Inhaltlich §25 unverändert; Verweisstellen müssen aktualisiert werden.

9. Zukunft — ePrivacy-Verordnung

Die ePrivacy-Verordnung soll die ePrivacy-Richtlinie und nationale Umsetzungen (TTDSG/TDDDG) ablösen. Stand 2026: noch nicht verabschiedet, voraussichtlich 2027. Erwartete Änderungen:

• Stärkere Browser-Einstellungen (“Do Not Track” verbindlich)
• Vereinheitlichung EU-weit
• Möglicherweise Privacy-by-Default

10. Implementierungs-Checkliste

• [ ] Cookie-Audit durchgeführt (alle Cookies und Tracker erfasst)
• [ ] Klassifikation: essential vs. nicht-essential
• [ ] Banner mit gleichwertigem Ablehnen-Button (Layer 1)
• [ ] Granulare Kategorien (Funktional, Statistik, Marketing)
• [ ] Cookies werden tatsächlich erst nach Einwilligung gesetzt
• [ ] Permanenter Cookie-Einstellungen-Link im Footer
• [ ] Consent-Aufzeichnung mit Zeitstempel
• [ ] Cookie-Banner-Test mit Tools (z.B. WebPageTest)
• [ ] Datenschutzerklärung listet alle Cookies (siehe Datenschutzerklärung Muster)

11. Werkzeuge

Legiscope scannt Webseiten auf TTDSG-Verstöße, prüft Cookie-Banner-Konformität gegen BfDI-Kriterien und alarmiert bei nicht-deklarierten Tracking-Pixeln.

Weitere Leitfäden: DSGVO Artikel 7 Einwilligung, Einwilligung DSGVO Beispiele, Datenschutzerklärung Muster.

Fazit

Cookie-Compliance ist keine UX-Frage mehr — sie ist Pflicht. TTDSG/TDDDG plus DSGVO bilden einen klaren Rahmen: vorher informieren, gleichwertig Wahl anbieten, Wahl respektieren, Wahl dokumentieren. Wer Dark Patterns nutzt, riskiert Abmahnung und Bußgeld. Das gilt auch für Influencer-Websites und Creator-Shops mit eigenen Pixeln und Newsletter-Tracking — ebenso für Buchungswebsites im Rahmen der DSGVO-Pflichten im Hotel- und Gastgewerbe.

FAQ

Was ist der Unterschied zwischen TTDSG und TDDDG?

TDDDG ist die Umbenennung des TTDSG seit Mai 2024. §25 (Cookie-Einwilligung) ist inhaltlich unverändert.

Brauche ich einen Cookie-Banner, wenn ich nur Funktional-Cookies nutze?

Nein — “unbedingt erforderliche” Cookies sind nach §25 Absatz 2 TTDSG einwilligungsfrei. Eine Information in der Datenschutzerklärung genügt — ein Datenschutzerklärung-Muster für Websites deckt die nötige Cookie-Auflistung ab.

Ist Google Analytics in Deutschland erlaubt?

GA4 mit IP-Anonymisierung, abgeschlossenem DPA und vorheriger Einwilligung ist möglich. Mehrere LfDI haben aber Untersagungen ausgesprochen — Risiko bleibt.

Was ist ein zulässiges PUR-Modell?

Eine kostenpflichtige Alternative zum Tracking, die laut EDPB “angemessen” bepreist ist (Richtwert: unter 5 €/Monat) und dieselbe Funktionalität bietet.

Wie hoch sind die Bußgelder bei TTDSG-Verstößen?

§28 TTDSG: bis 300.000 €. Bei zusätzlichen DSGVO-Verstößen: bis 4 % des weltweiten Konzernumsatzes.

Siehe auch: Zur praktischen Umsetzung siehe unsere Consent-Management-Plattformen im Vergleich und die Cookie-Richtlinie (Muster).