In einem Satz. §25 TTDSG (seit 1. Dezember 2021 in Kraft, umbenannt zum TDDDG ab Mai 2024) verlangt für jeden Zugriff auf Informationen im Endgerät — Cookies, LocalStorage, Pixel, Fingerprinting — eine vorherige, informierte, freiwillige Einwilligung der Nutzenden, mit Ausnahme der “unbedingt erforderlichen” Funktionen (z.B. Warenkorb, Login).
§25 TTDSG setzt Artikel 5 Absatz 3 der ePrivacy-Richtlinie um und ist die deutsche Cookie-Norm. Wichtig: §25 TTDSG gilt unabhängig davon, ob personenbezogene Daten verarbeitet werden — der bloße Zugriff auf das Endgerät genügt. Erst danach greift bei personenbezogenen Daten zusätzlich die DSGVO — was beim Tracking praktisch immer der Fall ist, da IP-Adressen personenbezogene Daten sind.
Maßgeblich ist heute §25 TDDDG, ergänzt durch die jeweils einschlägige Aufsichtspraxis. Die frühere Bezeichnung TTDSG wird noch häufig verwendet. Der alte Vorschlag einer ePrivacy-Verordnung wurde zurückgezogen; daraus folgt kein Ablösetermin für das geltende Recht.
Für Einwilligungsbedingungen siehe DSGVO Artikel 7 Einwilligung. Für Beispieltexte Einwilligung DSGVO Beispiele. Die europäische Grundnorm ist Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG; die maßgeblichen Kriterien gegen manipulative Banner enthalten die EDPB-Leitlinien 03/2022 zu Deceptive Design Patterns.
Wichtige Punkte
- §25 TTDSG (jetzt TDDDG) verlangt Opt-in-Einwilligung für nicht-essentielle Cookies und ähnliche Technologien.
- Ablehnung muss ohne irreführende Gestaltung möglich sein; prüfen Sie den tatsächlichen Entscheidungsweg.
- Die Gestaltung darf Nutzende nicht zu einer Entscheidung drängen oder wesentliche Informationen verbergen; nicht jede Farbdifferenz ist automatisch rechtswidrig.
- Consent-or-Pay benötigt eine Einzelfallprüfung; ein bestimmter Preis schafft keine automatische Ausnahme.
- Verstöße sanktionierbar nach §28 TTDSG bis 300.000 € oder über DSGVO bis 4 % Umsatz.
1. §25 TTDSG — der Wortlaut
§25 Absatz 1 TDDDG (früher TTDSG): “Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.”
Absatz 2 nennt zwei Ausnahmen:
- Übertragung über Kommunikationsnetz alleiniger Zweck
- Für vom Nutzer ausdrücklich gewünschten digitalen Dienst unbedingt erforderlich
2. Was ist “unbedingt erforderlich”?
Prüfen Sie insbesondere, ob die konkrete Speicherung für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Mögliche Fälle sind:
- Session-Cookies für Warenkorb
- Login-Cookies im erforderlichen Umfang; dauerhafte Anmeldung separat nach dem konkreten Nutzerwunsch prüfen
- Sprachpräferenz
- Lastverteilung
- Cookie-Consent-Speicherung selbst
Nicht unbedingt erforderlich:
- Analytics (auch “first-party” wie Matomo ohne Anonymisierung)
- Werbe-Cookies, Retargeting
- A/B-Testing
- Social-Media-Pixel (Facebook, LinkedIn, TikTok)
- YouTube-Embeds (im Standardmodus)
3. Banner-Anforderungen — was zulässig ist
| Element | Anforderung |
|---|---|
| Information vor Setzen | Einwilligungspflichtige Technologien erst nach wirksamer Zustimmung aktivieren |
| Granulare Auswahl | Kategorien einzeln aktivierbar |
| Gleichwertiger Ablehnen-Button | Auf Layer 1, gleiche Prominenz wie Akzeptieren |
| Widerruf | Permanenter Footer-Link “Cookie-Einstellungen” |
| Speicherung der Wahl | Auch der Ablehnen-Wahl, vermeidet Re-Prompting |
| Lebensdauer dokumentiert | Zweckbezogene Dauer für Entscheidung und Nachweis begründen; §25 enthält keine pauschale 6–13-Monatsfrist |
4. Dark Patterns — was unzulässig ist
Prüfen Sie die konkrete Oberfläche auf folgende Risiken. Die EDPB-Leitlinien 03/2022 betreffen soziale Medien; sie ersetzen keine Einzelfallprüfung des Banners:
- Irreführende Gestaltung, die eine verständliche und freie Entscheidung beeinträchtigt
- Vorgekreuzte Kästchen (durch EuGH Planet49 C-673/17 ohnehin ungültig)
- Versteckter Ablehnen-Button in Untermenü
- “Akzeptieren oder X” ohne dritte Option
- Wiederholtes Prompting trotz Ablehnung
- Cookie-Wall ohne gleichwertige Alternative
5. PUR-Modell — Einzelfallprüfung statt Preisgrenze
Die EDPB-Stellungnahme 08/2024 behandelt verhaltensbezogene Werbung großer Online-Plattformen. Sie nennt keinen allgemein zulässigen Preis unter fünf Euro. Zu prüfen sind unter anderem echte Wahl, Nachteile bei Ablehnung, Machtungleichgewicht und die Gleichwertigkeit der Alternative. Eine bezahlte Variante allein macht Einwilligung nicht wirksam.
Dokumentieren Sie das konkrete Angebot und seine Auswirkungen auf die betroffenen Nutzenden. Übertragen Sie die Stellungnahme nicht ungeprüft auf jeden kleinen Website-Betreiber; prüfen Sie die einschlägigen Regeln und zuständige Aufsicht. Eine Alternative mit weniger oder keiner Verarbeitung für verhaltensbezogene Werbung ist Teil der Bewertung.
6. Sanktionen — Sanktionspraxis
Nach §28 TDDDG kann ein Verstoß gegen §25 Absatz 1 mit einer Geldbuße bis 300.000 Euro geahndet werden. Bei eigenständigen DSGVO-Verstößen ist zusätzlich der dortige Sanktionsrahmen zu prüfen. Höchstbeträge sind keine automatische Sanktion; einzelne Entscheidungen müssen mit Aktenzeichen, Tatbestand und Verfahrensstand belegt werden.
Der praktisch relevanteste Präzedenzfall bleibt das EuGH-Urteil Planet49 (C-673/17, 1. Oktober 2019): Der Gerichtshof stellte klar, dass eine Einwilligung über ein vorangekreuztes Kontrollkästchen keine wirksame Einwilligung im Sinne der ePrivacy-Richtlinie und der DSGVO ist. Aktives, eindeutiges Handeln ist erforderlich — Schweigen, Voreinstellungen oder Untätigkeit genügen nicht. Ergänzend hat der EuGH in der Rechtssache Orange România (C-61/19, 11. November 2020) bestätigt, dass die Beweislast für eine wirksame Einwilligung beim Verantwortlichen liegt. Für Website-Betreiber bedeutet das konkret: Der Nachweis muss die tatsächliche Entscheidung mit den damals gezeigten Informationen verbinden. Zeitstempel, Banner-Version und Entscheidung sind praktische Nachweisfelder; das Gesetz schreibt nicht ausschließlich ein bestimmtes Protokollformat vor.
7. Google Analytics — Sonderfall
GA4 muss anhand seiner konkreten Nutzung geprüft werden. Laut Google-Dokumentation protokolliert oder speichert GA4 keine IP-Adressen von Nutzenden aus der EU, der Schweiz oder dem Vereinigten Königreich; eine vermeintliche GA4-Einstellung „IP-Anonymisierung aktivieren“ ist daher kein passendes Prüfkriterium. Prüfen Sie stattdessen:
- Zweck und Rechtsgrundlage sowie vorherige Einwilligung, soweit erforderlich
- Tatsächliche Tags, Datenfelder und aktivierte Werbefunktionen
- Vertragliche Rollen und erforderliche Datenschutzvereinbarungen
- Empfänger und anwendbare Transfergrundlage
- Funktionierende Ablehnung und Widerruf in der tatsächlichen Konfiguration
Serverseitiges Tagging ersetzt diese Prüfung nicht.
Der tiefere Grund für die anhaltende Rechtsunsicherheit bei Google Analytics ist der Drittlandstransfer in die USA. Einwilligung in das Tracking ersetzt die gesonderte Prüfung internationaler Datenübermittlungen nicht. Seit dem EU-US Data Privacy Framework (Angemessenheitsbeschluss Juli 2023) ist der Transfer grundsätzlich abgesichert, sofern der konkrete Empfänger zertifiziert ist — die Details prüfen Sie im Leitfaden zur internationalen Datenübermittlung. Vorsichtige Betreiber setzen dennoch auf europäische, cookie-freie Analytics-Alternativen oder auf serverseitiges Tracking mit strikter Datenminimierung, um die Angriffsfläche für Abmahnungen und Aufsichtsverfahren gering zu halten.
8. TTDSG vs. TDDDG — die Umbenennung
Mit dem Digitale-Dienste-Gesetz (DDG) ab Mai 2024 wurde TTDSG in TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) umbenannt. Inhaltlich §25 unverändert; Verweisstellen müssen aktualisiert werden.
9. Stand des früheren ePrivacy-Vorschlags
Die Kommission hat den Vorschlag COM(2017)10, Verfahren 2017/0003(COD), zurückgezogen. Die Veröffentlichung im EU-Amtsblatt C/2025/5423 dokumentiert dies. Eine erwartete Ablösung des TDDDG im Jahr 2027 oder verbindliche neue „Do Not Track“-Regeln lassen sich daraus nicht ableiten. Prüfen Sie spätere Gesetzesvorhaben getrennt von den aktuell geltenden Pflichten.
10. Implementierungs-Checkliste
- [ ] Cookie-Audit durchgeführt (alle Cookies und Tracker erfasst)
- [ ] Klassifikation: essential vs. nicht-essential
- [ ] Banner mit gleichwertigem Ablehnen-Button (Layer 1)
- [ ] Granulare Kategorien (Funktional, Statistik, Marketing)
- [ ] Einwilligungspflichtige Cookies werden tatsächlich erst nach Einwilligung gesetzt
- [ ] Permanenter Cookie-Einstellungen-Link im Footer
- [ ] Consent-Aufzeichnung mit Zeitstempel
- [ ] Cookie-Banner-Test mit Tools (z.B. WebPageTest)
- [ ] Datenschutzerklärung listet alle Cookies (siehe Datenschutzerklärung Muster)
11. Werkzeuge
Weitere Leitfäden: DSGVO Artikel 7 Einwilligung, Einwilligung DSGVO Beispiele, Datenschutzerklärung Muster.
Fazit
Cookie-Compliance ist keine UX-Frage mehr — sie ist Pflicht. TTDSG/TDDDG plus DSGVO bilden einen klaren Rahmen: vorher informieren, gleichwertig Wahl anbieten, Wahl respektieren, Wahl dokumentieren. Wer Dark Patterns nutzt, riskiert Abmahnung und Bußgeld. Das gilt auch für Influencer-Websites und Creator-Shops mit eigenen Pixeln und Newsletter-Tracking — ebenso für Buchungswebsites im Rahmen der DSGVO-Pflichten im Hotel- und Gastgewerbe.
FAQ
Was ist der Unterschied zwischen TTDSG und TDDDG?
TDDDG ist die Umbenennung des TTDSG seit Mai 2024. §25 (Cookie-Einwilligung) ist inhaltlich unverändert.
Brauche ich einen Cookie-Banner, wenn ich nur Funktional-Cookies nutze?
Nur soweit die konkrete Speicherung oder der Zugriff eine Ausnahme nach §25 Absatz 2 TDDDG erfüllt, ist keine Einwilligung nötig. Die Bezeichnung „Funktional“ reicht dafür nicht aus. Prüfen Sie die verbleibenden Informationspflichten und passen Sie ein Datenschutzerklärung-Muster für Websites an die tatsächlichen Technologien an.
Ist Google Analytics in Deutschland erlaubt?
Eine pauschale Produktfreigabe ist nicht möglich. Prüfen Sie Konfiguration, Einwilligung, vertragliche Rollen und Transfers. GA4 speichert laut Google keine IP-Adressen von Nutzenden aus der EU, der Schweiz oder dem Vereinigten Königreich; serverseitiges Tagging oder ein DPA allein begründen keine umfassende Konformität.
Was ist ein zulässiges PUR-Modell?
Das hängt von der echten Wahl, der gleichwertigen Alternative und den Umständen des Angebots ab. Die EDPB-Stellungnahme zu großen Online-Plattformen enthält keine allgemeine Fünf-Euro-Grenze und keine automatische Freigabe bezahlter Alternativen.
Wie hoch sind die Bußgelder bei TTDSG-Verstößen?
§28 TTDSG: bis 300.000 €. Bei zusätzlichen DSGVO-Verstößen: bis 4 % des weltweiten Konzernumsatzes.
Siehe auch: Zur praktischen Umsetzung siehe unsere Consent-Management-Plattformen im Vergleich und die Cookie-Richtlinie (Muster).