Kurz gesagt: § 25 TDDDG erlaubt Ihnen, Informationen auf dem Endgerät Ihrer Besucher zu speichern oder auszulesen (Cookies, Local Storage, Kennungen, Fingerprinting) nur, wenn diese vorher eingewilligt haben, es sei denn, der Zugriff ist für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. Die Pflicht trifft jede Website und jede App mit Niederlassung in Deutschland oder mit Angeboten für den deutschen Markt, unabhängig von der Unternehmensgröße. Verstöße kosten bis zu 300.000 € Bußgeld, DSGVO-Sanktionen können hinzukommen, und deutsche Gerichte haben Cookie-Banner ohne gleichwertige Ablehnoption bereits für unwirksam erklärt.
TDDDG: Worum geht es?
Das TDDDG, ausgeschrieben Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, ist das deutsche Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten. Es wurde am 23. Juni 2021 ausgefertigt und trat am 1. Dezember 2021 unter seinem ursprünglichen Namen in Kraft: TTDSG, Telekommunikation-Telemedien-Datenschutz-Gesetz.
Mit dem Gesetz vom 6. Mai 2024 (BGBl. 2024 I Nr. 149), mit dem auch das Digitale-Dienste-Gesetz (DDG) eingeführt wurde, erhielt das TTDSG mit Wirkung zum 14. Mai 2024 seinen neuen Namen TDDDG. Der Begriff „Telemedien“ wurde durch „digitale Dienste“ ersetzt. An der Cookie-Regel selbst hat sich nichts geändert. Wenn Sie also noch nach „TTDSG Cookies“ suchen oder Ihre Datenschutzerklärung das TTDSG zitiert: Gemeint ist heute das TDDDG, und die Vorschrift steht nach wie vor in § 25.
Für Websitebetreiber ist genau dieser § 25 TDDDG, „Schutz der Privatsphäre bei Endeinrichtungen“, entscheidend. Er setzt Art. 5 Abs. 3 der europäischen ePrivacy-Richtlinie (2002/58/EG) in deutsches Recht um. Bis Dezember 2021 musste die Einwilligungspflicht für Cookies in Deutschland noch aus dem alten Telemediengesetz und der Rechtsprechung abgeleitet werden. Seitdem steht sie ausdrücklich im Gesetz.
Räumlicher Anwendungsbereich
Nach § 1 Abs. 3 TDDDG unterliegen dem Gesetz alle Unternehmen und Personen, die in Deutschland eine Niederlassung haben oder hier Dienstleistungen erbringen oder daran mitwirken. Die Datenschutzkonferenz (DSK) spricht in ihrer Orientierungshilfe ausdrücklich vom Marktortprinzip. Eine Website aus Frankreich, Spanien oder den USA, die sich an deutsche Besucher richtet, muss § 25 also für diese Besucher einhalten.
Wer ist betroffen?
§ 25 TDDDG richtet sich an jeden, der Informationen auf dem Endgerät eines Nutzers speichert oder auf dort gespeicherte Informationen zugreift. In der Praxis betrifft das:
- Websitebetreiber jeder Größe, vom Portfolio eines Freiberuflers bis zum großen Onlineshop. Es gibt keine Schwelle nach Umsatz oder Besucherzahl.
- App-Anbieter, weil Apps Geräte-IDs, Werbe-IDs und andere auf dem Smartphone gespeicherte Daten auslesen.
- Anbieter vernetzter Geräte und Software, die Informationen auf Endgeräten schreiben oder lesen.
- Öffentliche Stellen, die Websites oder Apps betreiben.
Dabei spielt es keine Rolle, ob es sich um eigene Cookies oder um Cookies eines eingebundenen Drittanbieters handelt. Setzt ein Marketing-Pixel, ein Videoplayer oder ein Chat-Widget auf Ihrer Seite etwas im Browser des Besuchers, müssen Sie als Betreiber dafür sorgen, dass vorher eine Einwilligung vorliegt.
Ein Punkt überrascht viele Teams: § 25 TDDDG setzt keinen Personenbezug voraus. Die DSK betont, dass die Einwilligungspflicht für das Speichern und Auslesen von Informationen unabhängig davon gilt, ob diese Informationen eine Person identifizieren. Sie stützt sich dabei auf das Planet49-Urteil des BGH vom 28. Mai 2020. Sobald personenbezogene Daten verarbeitet werden, gilt zusätzlich die DSGVO.
Was das TDDDG für Cookies und Einwilligung vorschreibt
Grundsatz: vorherige Einwilligung (Opt-in)
Nach § 25 Abs. 1 TDDDG ist das Speichern von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf dort bereits gespeicherte Informationen nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Für die Information und die Einwilligung verweist das Gesetz auf die DSGVO. Damit gelten alle Anforderungen an eine wirksame Einwilligung: freiwillig, für den bestimmten Fall, informiert, unmissverständlich und durch eine eindeutige bestätigende Handlung. Vorausgefüllte Häkchen, Schweigen oder bloßes Weitersurfen genügen nicht.
Der Anwendungsbereich ist laut DSK weit. Er erfasst:
- Cookies, aber auch Local Storage und Session Storage;
- das Auslesen von Geräte- und Werbekennungen auf Mobilgeräten;
- Browser-Fingerprinting, bei dem ein Skript aktiv Geräteeigenschaften ausliest und an einen Server sendet.
Auch der Zeitpunkt zählt: Die Einwilligung muss vor dem Zugriff vorliegen. Die DSK stellt klar, dass während der Anzeige des Banners keine Skripte geladen werden dürfen, die einwilligungsbedürftig auf das Endgerät zugreifen, und keine Inhalte von fremden Servern, soweit dafür eine Einwilligung erforderlich ist.
Die zwei Ausnahmen
§ 25 Abs. 2 TDDDG kennt nur zwei Fälle ohne Einwilligung:
- Der alleinige Zweck ist die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz (vor allem für Telekommunikationsanbieter relevant).
- Die Speicherung oder der Zugriff ist unbedingt erforderlich, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.
Die DSK legt die zweite Ausnahme eng aus. Typische Beispiele sind ein Warenkorb-Cookie, nachdem der Besucher tatsächlich etwas in den Warenkorb gelegt hat, Sicherheits-Cookies gegen wiederholte fehlgeschlagene Login-Versuche oder ein Cookie, das nur die Cookie-Entscheidung selbst speichert. Dient ein Cookie mehreren Zwecken, ist er nur ausgenommen, wenn jeder einzelne Zweck unbedingt erforderlich ist.
Die Reichweitenmessung ist die Grauzone. Die DSK lehnt es in der Orientierungshilfe ausdrücklich ab, Analyse pauschal als einwilligungsfrei einzustufen: Drittanbieter-Tools erheben meist weit mehr als einen Seitenzähler, und allenfalls eine genau definierte, minimale Messung könnte im Einzelfall ohne Einwilligung auskommen. Wenn Sie ein gängiges Analyse- oder Werbetool nutzen, planen Sie mit einer Einwilligung.
Zwei Prüfstufen: erst TDDDG, dann DSGVO
Die DSK beschreibt eine zweistufige Prüfung. § 25 TDDDG regelt den Zugriff auf das Endgerät, also das Setzen oder Auslesen des Cookies. Die anschließende Verarbeitung personenbezogener Daten braucht eine eigene Rechtsgrundlage nach Art. 6 DSGVO. Für Tracking und Marketing ist das in der Praxis ebenfalls die Einwilligung, weshalb ein einziger Banner beide Einwilligungen einholt. Darüber müssen Sie die Nutzer informieren.
Information, Dauer und Erneuerung
„Informiert“ heißt nach der DSK: Nutzer erfahren, wer auf ihr Gerät zugreift, zu welchem Zweck, wie lange die Cookies gespeichert bleiben und ob Dritte Zugriff erhalten. Werden Drittdienstleister eingebunden, sind diese einzeln zu benennen.
Eine feste Gültigkeitsdauer der Einwilligung sehen weder TDDDG noch DSGVO vor. Die Einwilligung bezieht sich aber immer auf den bestimmten Fall: Fügen Sie neue Cookies oder Drittanbieter hinzu, deckt die alte Einwilligung diese nicht ab, und Sie müssen erneut fragen.
Widerruf und Nachweis
Der Widerruf muss so einfach möglich sein wie die Erteilung (Art. 7 Abs. 3 DSGVO), betont die DSK. Ein Widerruf nur per E-Mail oder Kontaktformular oder nach langer Suche in der Datenschutzerklärung reicht nicht. Bewährt hat sich ein dauerhaft sichtbarer Link oder ein Symbol, das die Einstellungen wieder öffnet.
Außerdem müssen Sie die wirksame Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO). Dokumentieren Sie den technischen Ablauf, die Speicherung der Entscheidungen und die Texte, die zum Zeitpunkt der Einwilligung angezeigt wurden. Bewahren Sie alte Bannerversionen auf, damit Sie zeigen können, was Nutzer tatsächlich gesehen haben.
Anerkannte Dienste zur Einwilligungsverwaltung
§ 26 TDDDG und die Einwilligungsverwaltungsverordnung (EinwV), in Kraft seit dem 1. April 2025, schaffen „anerkannte Dienste zur Einwilligungsverwaltung“ (oft PIMS genannt), die Entscheidungen der Nutzer zentral speichern. Die Anerkennung erfolgt durch den BfDI. Die Einbindung solcher Dienste ist für Websitebetreiber freiwillig (§ 18 EinwV). Ihr eigener Cookie-Banner bleibt also notwendig.
Der TDDDG-konforme Cookie-Banner
Die Orientierungshilfe der DSK und die Rechtsprechung zeichnen ein recht genaues Bild. Auf der ersten Ebene müssen konkrete Informationen zu allen Zwecken stehen, wenn dort bereits ein Button zur Einwilligung in mehrere Zwecke angeboten wird. Ein vager Satz wie „Um Ihnen ein besseres Nutzungserlebnis bieten zu können, verwenden wir Cookies“ ist laut DSK zu unbestimmt. Erwartet werden:
- die konkreten Zwecke der Verarbeitung;
- ob Profile gebildet und mit Daten anderer Websites angereichert werden;
- ob Daten außerhalb des EWR verarbeitet werden;
- an wie viele Verantwortliche Daten weitergegeben werden.
Kästchen dürfen nicht vorausgewählt sein, und der Banner darf den Zugang zu Impressum und Datenschutzerklärung nicht versperren.
Die Buttons
Die DSK hält eine Ablehnoption auf der ersten Ebene für erforderlich, sobald Nutzer mit dem Banner interagieren müssen, um die Website weiter zu nutzen, und stellt fest, dass dies bei den gängigen Gestaltungen sehr häufig der Fall ist. Die Ablehnoption muss als gleichwertige Alternative erkennbar sein, etwa ein in Größe, Farbe, Kontrast und Schriftbild vergleichbarer Button. Eine Schaltfläche „Einstellungen oder Ablehnen“, die nur auf eine weitere Ebene führt, reicht nach der DSK nicht. Kurz: Steht auf der ersten Ebene „Alle akzeptieren“, gehört daneben ein gleich gut sichtbares „Alles ablehnen“.
Unzulässiges Nudging
Die DSK lässt Gestaltungsspielraum, zieht aber eine Grenze, wo die Einwilligung nicht mehr freiwillig oder informiert ist. Meist entsteht unzulässiges Nudging durch das Zusammenwirken mehrerer Merkmale. Beanstandet wurden unter anderem:
- eine Ablehnoption, die nur im Fließtext oder außerhalb des Banners steht;
- ein Ablehnen-Button, der erst nach Scrollen sichtbar wird, während „Akzeptieren“ sofort sichtbar ist;
- ein „X“, das in Wahrheit „Akzeptieren und schließen“ bedeutet;
- irreführende Überschriften, die ein „optimales Nutzungserlebnis“ versprechen, ohne das Wort Einwilligung zu verwenden;
- ein Banner, das nach der Ablehnung immer wieder erscheint.
Eine Schritt-für-Schritt-Anleitung finden Sie in unserem Leitfaden zum DSGVO-konformen Cookie-Banner und in der Übersicht über Cookie Dark Patterns.
Sanktionen und Kontrollen
Nach § 28 Abs. 1 Nr. 13 TDDDG handelt ordnungswidrig, wer vorsätzlich oder fahrlässig entgegen § 25 Abs. 1 Informationen speichert oder auf Informationen zugreift. Das Bußgeld beträgt bis zu 300.000 €. Da die nachfolgende Verarbeitung personenbezogener Daten unter die DSGVO fällt, können die Behörden zusätzlich auf deren deutlich höheren Bußgeldrahmen zurückgreifen.
Zuständig für private Unternehmen sind in der Regel die Landesdatenschutzbehörden. Der BfDI ist nach § 28 TDDDG zuständig, wenn Telekommunikationsanbieter oder Bundesbehörden betroffen sind. Daneben können Verbraucherverbände vor den Zivilgerichten auf Unterlassung klagen.
Reale Fälle
- VG Hannover, Urteil vom 19. März 2025 (10 A 5385/22). Der Landesbeauftragte für den Datenschutz Niedersachsen hatte gegen ein niedersächsisches Medienhaus eine Anordnung erlassen, und das Gericht bestätigte sie. Der Banner bot auf der ersten Ebene nur „Alle akzeptieren“ und „Einstellungen“, erschwerte die Ablehnung erheblich, erschien wiederholt und verwendete das Wort Einwilligung nicht. Laut Pressemitteilung muss es eine gut sichtbare „Alles ablehnen“-Schaltfläche auf der ersten Ebene geben, wenn eine „Alle akzeptieren“-Option angeboten wird. Die Einwilligungen waren unwirksam, ein Verstoß gegen TDDDG und DSGVO. (Pressemitteilung LfD Niedersachsen 08/2025)
- OLG Köln, Urteil vom 19. Januar 2024 (6 U 80/23). Ein Verbraucherverband klagte gegen den Betreiber eines werbefinanzierten Nachrichtenportals. Das Gericht untersagte einen Banner ohne gleichwertige Ablehnoption auf der ersten Ebene und mit einem „X“, das als „Akzeptieren & Schließen“ wirkte, unter Androhung eines Ordnungsgeldes von bis zu 250.000 € je Zuwiderhandlung. (Urteil auf NRWE)
Checkliste zur Umsetzung
- Erfassen Sie alle Cookies, Speicherobjekte und Skripte Ihrer Website, auch die von eingebundenen Drittanbietern.
- Ordnen Sie jedes Element ein: unbedingt erforderlich für einen gewünschten Dienst oder einwilligungsbedürftig. Analyse- und Marketingtools gehören in der Regel in die zweite Gruppe.
- Blockieren Sie einwilligungsbedürftige Skripte und Drittinhalte, bis der Besucher zugestimmt hat.
- Platzieren Sie „Alles ablehnen“ neben „Alle akzeptieren“ auf der ersten Ebene, in gleicher Größe, Farbe und Klickzahl.
- Nennen Sie auf der ersten Ebene die Pflichtangaben: Zwecke, Profilbildung, Übermittlungen außerhalb des EWR, Zahl der Empfänger und die Drittanbieter mit Namen.
- Verzichten Sie auf vorausgewählte Kästchen und werten Sie Scrollen oder Schließen nie als Einwilligung.
- Bieten Sie einen dauerhaften Link oder ein Symbol zum Ändern und Widerrufen der Einwilligung.
- Sichern Sie Nachweise: Einwilligungsprotokolle, Bannertexte und Konfiguration zum jeweiligen Zeitpunkt.
- Holen Sie die Einwilligung erneut ein, sobald neue Cookies oder Dienste hinzukommen.
- Prüfen Sie die DSGVO-Rechtsgrundlage für jede Verarbeitung personenbezogener Daten nach dem Setzen des Cookies.
Wie FlowConsent Ihnen hilft, das TDDDG einzuhalten
FlowConsent übernimmt die technische Seite von § 25 TDDDG für Websites mit deutschen Besuchern. Skripte werden vor der Einwilligung blockiert, sodass beim ersten Seitenaufruf nichts Einwilligungsbedürftiges geladen wird. Der Banner zeigt „Alle akzeptieren“ und „Alles ablehnen“ gleichwertig nebeneinander. Der automatische Scan findet die Cookies und Dienste auf Ihrer Website, und jede Entscheidung wird protokolliert: Den Einwilligungsnachweis exportieren Sie jederzeit über den Nachweisbericht. Google Consent Mode v2 ist integriert, das Hosting erfolgt in Europa, die Einrichtung dauert etwa zehn Minuten. Prüfen Sie Ihre Website mit unserem kostenlosen Scanner und erstellen Sie Ihr Konto: kostenlos bis 25.000 Sitzungen pro Monat.
Weiterführende Artikel
Die folgenden Artikel vertiefen die Themen dieser Seite. Beginnen Sie mit den 7 Voraussetzungen einer wirksamen DSGVO-Einwilligung, denn § 25 TDDDG übernimmt sie direkt. Danach erfahren Sie, wie Sie den Nachweis der Cookie-Einwilligung sichern und ein vollständiges Cookie-Audit Ihrer Website durchführen.