Viele Datenschutzerklärungen, Cookie-Banner und Verträge verweisen noch auf „§ 25 TTDSG“. Das ist für sich genommen kein Verstoß, zeigt aber, dass die Website seit 2024 nicht mehr geprüft wurde. Dieser Beitrag erklärt die Entstehung des Gesetzes, was die Umbenennung 2024 tatsächlich geändert hat, was seitdem bei Aufsichtsbehörden und Gerichten passiert ist und was Sie auf Ihrer Website anpassen sollten. Die Anforderungen an jede wirksame Einwilligung finden Sie in unserem Leitfaden zu den Voraussetzungen der DSGVO-Einwilligung: § 25 übernimmt sie direkt.
Was war das TTDSG und warum heißt es jetzt TDDDG?
TTDSG steht für Telekommunikation-Telemedien-Datenschutz-Gesetz. Es wurde am 23. Juni 2021 ausgefertigt und trat am 1. Dezember 2021 in Kraft. Es bündelte Datenschutzregeln, die bis dahin im Telemediengesetz (TMG) und im Telekommunikationsgesetz verteilt waren, und setzte Artikel 5 Absatz 3 der ePrivacy-Richtlinie endlich ausdrücklich in deutsches Recht um. Das ist die Regel, auf der Cookie-Banner in ganz Europa beruhen.
Im Mai 2024 passte Deutschland sein Recht an den europäischen Digital Services Act an. Das neue Digitale-Dienste-Gesetz (DDG) ersetzte das TMG, und der Begriff „Telemedien“ wurde im Bundesrecht durch „digitale Dienste“ ersetzt. Das TTDSG wurde entsprechend umbenannt: Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG, mit Wirkung zum 14. Mai 2024.
Die Cookie-Vorschrift blieb, wo sie war: in § 25. Deshalb wird noch immer häufig nach „TTDSG“ gesucht. Die meisten Orientierungshilfen, Urteile und Bannertexte entstanden unter dem alten Namen und gelten unter dem neuen weiter. Unsere Seite zum TDDDG und § 25 erläutert den Gesetzestext im Detail.
Vor 2021: Cookies nach dem TMG und das Planet49-Urteil
Vor dem TTDSG gab es im deutschen Recht keine klare Einwilligungsregel für Cookies. § 15 Absatz 3 TMG erlaubte pseudonyme Nutzungsprofile für Werbung und Marktforschung, sofern der Nutzer nicht widerspricht. Wörtlich gelesen war das ein Opt-out-Modell, das nicht zur ePrivacy-Richtlinie passte.
Die Gerichte schlossen diese Lücke. Im Fall Planet49 entschied der Gerichtshof der Europäischen Union am 1. Oktober 2019 (C-673/17), dass das Setzen von Cookies eine aktive Einwilligung erfordert und ein vorangekreuztes Kästchen nicht genügt. Der Bundesgerichtshof entschied den Fall am 28. Mai 2020 (I ZR 7/16, „Cookie-Einwilligung II“) und legte § 15 Absatz 3 TMG richtlinienkonform aus: Für Cookies zu Werbung und Marktforschung war eine Einwilligung nötig.
Das Ergebnis funktionierte, beruhte aber auf einer Auslegung gegen den Wortlaut. Das TTDSG ersetzte diese Konstruktion durch eine ausdrückliche Regel.
Was § 25 TDDDG zu Cookies regelt
§ 25 ist kurz. Absatz 1 bestimmt, dass die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf dort bereits gespeicherte Informationen nur zulässig ist, wenn der Endnutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat. Information und Einwilligung müssen der DSGVO entsprechen.
Absatz 2 nennt nur zwei Ausnahmen:
- der alleinige Zweck ist die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz;
- die Speicherung oder der Zugriff ist unbedingt erforderlich, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.
Drei Punkte werden oft übersehen:
- Es geht nicht nur um personenbezogene Daten. § 25 schützt das Endgerät. Jede gespeicherte oder ausgelesene Information braucht eine Einwilligung, ob sie eine Person identifiziert oder nicht.
- Es geht nicht nur um Cookies. Local Storage, Geräte-Kennungen und Fingerprinting-Skripte, die Geräteeigenschaften auslesen, fallen ebenfalls darunter.
- § 25 gilt zusätzlich zur DSGVO. Er regelt den Zugriff auf das Endgerät. Die anschließende Verarbeitung personenbezogener Daten braucht eine eigene Rechtsgrundlage nach Artikel 6 DSGVO.
In der Praxis brauchen Analyse, Werbung und die meisten Drittanbieter-Inhalte eine Einwilligung. Session-Cookies für Login oder Warenkorb in der Regel nicht. Unser Beitrag zu technisch notwendigen Cookies zeigt mit echten Cookie-Namen, wo die Grenze verläuft.
Was sich im Mai 2024 geändert hat und was nicht
Gleiche Regel, neue Begriffe
Die Änderung von 2024 ersetzte „Telemedien“ durch „digitale Dienste“. In § 25 Absatz 2 ist nun vom „Anbieter eines digitalen Dienstes“ die Rede statt vom „Anbieter eines Telemediendienstes“. Inhaltlich ist alles gleich: dieselben Voraussetzungen, dieselben Ausnahmen, dieselben Bußgelder.
Das Telemediengesetz gibt es nicht mehr
Die zweite sichtbare Änderung betrifft das Impressum. Die Pflicht stand früher in § 5 TMG und steht jetzt in § 5 DDG, mit unverändertem Inhalt. Ein Impressum mit „Angaben gemäß § 5 TMG“ verweist auf ein aufgehobenes Gesetz. Anwälte und Industrie- und Handelskammern empfehlen, den Verweis zu aktualisieren, da veraltete Angaben Abmahnungen nach sich ziehen können.
Was gleich geblieben ist
§ 25 behielt seine Nummer. Die Bußgelder in § 28 sind unverändert: Wer entgegen § 25 Absatz 1 Informationen speichert oder ausliest, begeht eine Ordnungswidrigkeit, die mit bis zu 300.000 € geahndet werden kann. Für die anschließende Datenverarbeitung können zusätzlich Bußgelder nach der DSGVO verhängt werden. Für private Websites bleiben die Datenschutzaufsichtsbehörden der Länder zuständig.
2024 bis 2026: Orientierungshilfe, Urteile und Einwilligungsdienste
Die eigentlichen Neuerungen für Website-Betreiber kamen nicht aus dem Gesetzestext.
Aktualisierte Orientierungshilfe der DSK
Die Datenschutzkonferenz (DSK) veröffentlichte kurz nach Inkrafttreten des TTDSG eine Orientierungshilfe. Version 1.2 vom November 2024 richtet sich nun an Anbieter digitaler Dienste und übernimmt die neuen Begriffe. Sie legt die Ausnahme „unbedingt erforderlich“ eng aus, lehnt eine pauschale Ausnahme für die Reichweitenmessung ab und verlangt eine Ablehnungsmöglichkeit auf der ersten Ebene des Banners, sobald Besucher mit dem Banner interagieren müssen, um die Website zu nutzen.
Urteile zur Gestaltung von Cookie-Bannern
Zwei Entscheidungen haben den „Alle ablehnen“-Button konkret gemacht:
- OLG Köln, Urteil vom 19. Januar 2024 (6 U 80/23). Ein Verbraucherverband klagte gegen ein Nachrichtenportal, dessen Banner auf der ersten Ebene keine gleichwertige Ablehnung bot und dessen „X“ „Akzeptieren & Schließen“ bedeutete. Das Gericht sah die Einwilligungen als nicht freiwillig an.
- VG Hannover, Urteil vom 19. März 2025 (10 A 5385/22). Das Gericht bestätigte eine Anordnung der Landesbeauftragten für den Datenschutz Niedersachsen gegen ein Medienunternehmen, dessen Banner nur „Alle akzeptieren“ und „Einstellungen“ anbot, wiederholt zur Einwilligung drängte und die Zahl der Partner verschwieg.
Beide Urteile wenden denselben Maßstab an: Ablehnen muss so einfach sein wie Zustimmen. Unsere Übersicht zu Cookie-Dark-Patterns zeigt, welche Gestaltungen auch die französische CNIL aus denselben Gründen beanstandet.
Sie wissen nicht, was Ihre Website setzt, bevor jemand klickt? Prüfen Sie in 30 Sekunden mit dem kostenlosen Cookie-Scanner, welche Cookies Ihre Website setzt.
Anerkannte Dienste zur Einwilligungsverwaltung
§ 26 TDDDG sieht „anerkannte Dienste zur Einwilligungsverwaltung“ vor: unabhängige Dienste, bei denen Nutzer ihre Entscheidungen einmal hinterlegen und die Websites anschließend abfragen können. Die Einwilligungsverwaltungsverordnung (EinwV) trat am 1. April 2025 in Kraft. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) erkannte im Oktober 2025 den ersten Dienst an.
Cookie-Banner fallen dadurch nicht weg. Die Einbindung eines anerkannten Dienstes ist für Website-Betreiber freiwillig, und Besucher, die keinen solchen Dienst nutzen, müssen weiterhin gefragt werden. Für die meisten Websites ändert sich praktisch noch nichts.
Was Sie jetzt auf Ihrer Website anpassen sollten
Wenn Ihre Website unter dem TTDSG eingerichtet wurde, genügt eine kurze Prüfung:
- Ersetzen Sie „TTDSG“ durch „TDDDG“ in Datenschutzerklärung, Cookie-Richtlinie und Bannertexten. Die Paragrafennummer bleibt: § 25.
- Ersetzen Sie „§ 5 TMG“ durch „§ 5 DDG“ im Impressum.
- Prüfen Sie die erste Ebene Ihres Banners. „Alle ablehnen“ gehört neben „Alle akzeptieren“, mit gleichem visuellen Gewicht und gleicher Anzahl an Klicks.
- Scannen Sie Ihre Website erneut. Seit 2021 hinzugefügte Tools (Pixel, Chat-Widgets, Videoplayer) können Cookies setzen, die Ihr Banner nicht abdeckt.
- Stellen Sie sicher, dass Skripte vor der Einwilligung blockiert werden, auch beim ersten Seitenaufruf.
- Bewahren Sie Nachweise auf: die erteilten Einwilligungen und den damals angezeigten Bannertext.
Dieselben Regeln gelten über die nationalen Umsetzungen der ePrivacy-Richtlinie auch in anderen EU-Staaten. Ein Banner, das für deutsche Besucher passt, funktioniert daher meist europaweit. Den Gesamtüberblick bietet unser Beitrag dazu, was sich 2026 bei DSGVO und Cookies ändert.
FlowConsent ist ein Beispiel für ein Cookie-Banner, das auf diesen Anforderungen aufbaut: Es blockiert Skripte bis zur Entscheidung der Besucher und zeigt „Akzeptieren“ und „Ablehnen“ gleichwertig auf der ersten Ebene.
Wie FlowConsent die Einwilligung nach TDDDG umsetzt
FlowConsent setzt § 25 technisch für Websites mit Besuchern aus Deutschland um. Einwilligungspflichtige Skripte werden vor der Einwilligung blockiert, beim ersten Seitenaufruf wird also nichts ausgelöst. Der automatische Cookie-Scan erkennt die Dienste auf Ihrer Website, und Sie ordnen jedem Dienst einen Zweck und eine Rechtsgrundlage zu, getrennt nach technisch notwendigen und einwilligungspflichtigen Cookies (siehe Dienste und Rechtsgrundlage). Jede Entscheidung wird protokolliert, und Sie können den Einwilligungsnachweis jederzeit exportieren. Google Consent Mode v2 ist integriert, die Daten werden in Europa gehostet und die Installation dauert etwa zehn Minuten. FlowConsent ist bis 25.000 Sessions pro Monat kostenlos, danach kostet Pro 14,99 € pro Monat für bis zu 100.000 Sessions.