En resumen: el § 25 de la TDDDG alemana establece que usted solo puede almacenar o leer información en el dispositivo de un visitante (cookies, local storage, identificadores, fingerprinting) tras obtener su consentimiento, salvo que ese acceso sea estrictamente necesario para un servicio que haya solicitado. Se aplica a toda web o app con establecimiento en Alemania o que ofrezca servicios allí, incluidas muchas tiendas españolas con clientes alemanes, sea cual sea su tamaño. Las infracciones pueden costar hasta 300.000 €, más las sanciones del RGPD, y los tribunales alemanes ya han anulado banners sin una opción de rechazo equivalente.
TDDDG: ¿de qué se trata?
La TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) es la ley alemana de protección de datos y de la privacidad en las telecomunicaciones y los servicios digitales. Se promulgó el 23 de junio de 2021 y entró en vigor el 1 de diciembre de 2021 con su nombre original, TTDSG. Una ley de 6 de mayo de 2024, la misma que introdujo la Digitale-Dienste-Gesetz (DDG), la renombró TDDDG con efecto desde el 14 de mayo de 2024, sustituyendo el antiguo término «telemedios» por «servicios digitales». Su contenido sobre cookies no cambió.
Para los responsables de webs, una disposición importa por encima de todas: el § 25, «protección de la privacidad en los equipos terminales». Es la transposición alemana del artículo 5.3 de la Directiva ePrivacy, es decir, el equivalente alemán del artículo 22.2 de la LSSI española. Desde diciembre de 2021, la obligación de consentimiento figura expresamente en una ley alemana específica.
Ámbito territorial
El § 1.3 TDDDG aplica la ley a todas las empresas y personas que tienen un establecimiento en Alemania o prestan servicios allí. La conferencia de autoridades alemanas de protección de datos (DSK) habla expresamente del principio del lugar de mercado. Una web gestionada desde España, Francia o fuera de la UE que se dirige a visitantes alemanes entra en su ámbito para esos visitantes. Si vende a clientes alemanes, traduce su web al alemán o hace campañas dirigidas a Alemania, cuente con que el § 25 se le aplica.
¿A quién se aplica?
El § 25 se dirige a cualquiera que almacene información en el dispositivo de un usuario final o acceda a información almacenada en él. En la práctica:
- Responsables de webs de cualquier tamaño, desde el portfolio de un freelance hasta una gran plataforma de comercio electrónico. No hay umbral de facturación ni de tráfico.
- Editores de apps, que leen identificadores del dispositivo, identificadores publicitarios y otros datos almacenados en el móvil.
- Proveedores de dispositivos conectados y software que leen o escriben información en los equipos.
- Organismos públicos con webs o apps.
Da igual que las cookies sean propias o de un tercero integrado. Si un píxel de marketing, un reproductor de vídeo o un chat de su página escribe en el navegador del visitante, usted, como responsable de la web, debe asegurarse de que se ha obtenido el consentimiento.
Un punto sorprende a muchos equipos: el § 25 no se limita a los datos personales. La DSK subraya que el consentimiento es necesario para almacenar o leer información en un dispositivo tanto si esa información identifica a una persona como si no. Cuando se tratan datos personales, se aplica además el RGPD.
Lo que exige la TDDDG para las cookies y el consentimiento
La regla: consentimiento previo (opt-in)
El § 25.1 TDDDG establece que almacenar información en el equipo del usuario, o acceder a información ya almacenada en él, solo está permitido si el usuario ha consentido sobre la base de una información clara y completa. La información y el consentimiento deben cumplir el RGPD: libre, específico, informado, inequívoco y mediante una acción afirmativa clara. Las casillas premarcadas, el silencio o seguir navegando no cuentan.
Según la DSK, el ámbito es amplio. Incluye:
- las cookies, pero también los objetos de local storage y session storage;
- la lectura de identificadores del dispositivo y publicitarios en los móviles;
- el fingerprinting del navegador cuando un script lee activamente propiedades del dispositivo y las envía a un servidor.
El momento también cuenta: el consentimiento debe darse antes del acceso. Mientras se muestra el banner, según la DSK, no deben cargarse scripts que accedan al dispositivo ni contenidos de servidores de terceros que requieran consentimiento.
Las dos excepciones
El § 25.2 solo prevé dos casos sin consentimiento:
- el único fin es transmitir un mensaje por una red pública de telecomunicaciones (sobre todo para operadores);
- el almacenamiento o el acceso es absolutamente necesario para que el proveedor de un servicio digital preste un servicio solicitado expresamente por el usuario.
La DSK interpreta la segunda excepción de forma estricta. Pueden encajar las cookies de seguridad que detectan intentos de acceso fallidos, la cookie del carrito una vez que el visitante ha añadido un producto o una cookie que solo guarda la elección de cookies. Una cookie con varias finalidades solo está exenta si todas son estrictamente necesarias.
La medición de audiencia es la zona gris. La DSK se niega expresamente a declarar exenta la analítica en general: las herramientas de terceros suelen recoger mucho más que un simple recuento, y solo una configuración mínima y precisa podría no requerir consentimiento. Con una herramienta de analítica o publicidad habitual, cuente con pedir el consentimiento.
Dos niveles: primero la TDDDG, después el RGPD
La DSK describe un análisis en dos pasos. El § 25 regula el acceso al dispositivo (instalar o leer la cookie). El tratamiento posterior de los datos personales obtenidos necesita su propia base en el artículo 6 del RGPD. Para marketing y seguimiento, será casi siempre el consentimiento, por eso un mismo banner suele recoger ambos.
Información, duración y renovación
Para que el consentimiento sea informado, el usuario debe saber quién accede a su dispositivo, con qué finalidad, cuánto duran las cookies y si terceros pueden acceder a ellas. Los terceros deben nombrarse individualmente. Ni la TDDDG ni el RGPD fijan una duración del consentimiento, pero este se refiere siempre a un caso concreto: si añade cookies o servicios nuevos, debe volver a preguntar.
Retirada y prueba
Retirar el consentimiento debe ser tan fácil como darlo (artículo 7.3 del RGPD). La DSK rechaza la retirada solo por correo o formulario de contacto. Un enlace o icono permanente que vuelva a abrir la configuración es la solución que describe como viable. Usted debe además poder probar el consentimiento: documente el proceso técnico, cómo se guardan las elecciones y los textos mostrados en cada momento.
Servicios reconocidos de gestión del consentimiento
El § 26 TDDDG y el reglamento sobre gestión del consentimiento (EinwV), en vigor desde el 1 de abril de 2025, crean «servicios reconocidos de gestión del consentimiento» que guardan de forma centralizada las elecciones de los usuarios. El reconocimiento corresponde al BfDI. Su uso es voluntario para los responsables de webs (§ 18 EinwV), así que su propio banner sigue siendo necesario.
El banner de cookies conforme a la TDDDG
Las guías y la jurisprudencia alemanas dibujan un panorama bastante preciso. Si la primera capa ya ofrece un botón para consentir varias finalidades, debe incluir información concreta sobre cada una. La DSK considera demasiado vaga una frase como «usamos cookies para ofrecerle una mejor experiencia». Se espera en general:
- las finalidades concretas del tratamiento;
- si se crean perfiles enriquecidos con datos de otras webs;
- si se tratan datos fuera del EEE;
- a cuántos responsables se comunican los datos.
Las casillas no pueden estar premarcadas, y el banner no puede bloquear el acceso al aviso legal (Impressum) ni a la política de privacidad.
Los botones
La DSK exige una opción de rechazo en la primera capa siempre que el visitante deba interactuar con el banner para seguir usando la web, y constata que es lo habitual. El rechazo debe presentarse como alternativa equivalente, por ejemplo con un botón comparable en tamaño, color, contraste y tipografía. Un botón «Configuración o rechazar» que solo lleva a otra capa no basta. En resumen: si la primera capa tiene «Aceptar todo», necesita al lado un «Rechazar todo» igual de visible.
Dark patterns prohibidos
La DSK admite cierto margen de diseño, pero el nudging es ilícito cuando el consentimiento deja de ser libre o informado, a menudo por la combinación de varios elementos. Se han condenado, entre otros:
- un rechazo situado en el texto o fuera del banner;
- un botón de rechazo que solo aparece tras desplazarse, mientras «Aceptar» se ve de inmediato;
- una «X» que en realidad significa «Aceptar y cerrar»;
- títulos engañosos que prometen una «experiencia óptima» sin mencionar el consentimiento;
- un banner que reaparece una y otra vez tras el rechazo.
Para un diseño paso a paso, consulte nuestra guía del banner de cookies conforme y nuestro artículo sobre dark patterns en cookies.
Sanciones y controles
Según el § 28.1, número 13, TDDDG, comete una infracción administrativa quien, de forma dolosa o negligente, almacena información o accede a ella en contra del § 25.1. La multa puede alcanzar 300.000 €. Como el tratamiento posterior de datos personales está sujeto al RGPD, las autoridades pueden actuar además con su régimen sancionador, mucho más elevado.
Para las empresas privadas son competentes, en general, las autoridades de protección de datos de los Länder; el BfDI lo es cuando intervienen operadores de telecomunicaciones u organismos federales. Las asociaciones de consumidores pueden demandar ante los tribunales civiles.
Casos reales
- Tribunal administrativo de Hannover, 19 de marzo de 2025 (10 A 5385/22). El comisionado de protección de datos de Baja Sajonia había dictado una orden contra un grupo de medios regional, y el tribunal la confirmó. El banner solo ofrecía «Aceptar todo» y «Configuración» en la primera capa, dificultaba mucho el rechazo, se repetía para forzar la aceptación y no usaba la palabra consentimiento. Según el comunicado, si existe «Aceptar todo» debe haber un botón «Rechazar todo» bien visible en la primera capa. Los consentimientos se declararon inválidos con arreglo a la TDDDG y al RGPD. (comunicado LfD Baja Sajonia 08/2025)
- Tribunal regional superior de Colonia, 19 de enero de 2024 (6 U 80/23). Una asociación de consumidores demandó al operador de un portal de noticias financiado por publicidad. El tribunal le prohibió usar un banner sin opción de rechazo equivalente en la primera capa y con una «X» que funcionaba como «Aceptar y cerrar», bajo apercibimiento de una multa coercitiva de hasta 250.000 € por cada incumplimiento. (sentencia en NRWE)
Checklist de cumplimiento
- Audite cada cookie, objeto de almacenamiento y script de su web, incluidos los de terceros integrados.
- Clasifique cada uno como estrictamente necesario para un servicio solicitado o sujeto a consentimiento; la analítica y el marketing suelen ir en el segundo grupo.
- Bloquee los scripts y contenidos de terceros sujetos a consentimiento hasta que el visitante acepte.
- Coloque «Rechazar todo» junto a «Aceptar todo» en la primera capa, con el mismo tamaño, color y número de clics.
- Muestre la información exigida en la primera capa: finalidades, perfiles, transferencias fuera del EEE y número de destinatarios, con los terceros nombrados.
- No premarque categorías ni trate el desplazamiento o el cierre del banner como consentimiento.
- Añada un enlace o icono permanente para modificar o retirar el consentimiento.
- Conserve la prueba: registros de consentimiento, textos y configuración del banner en cada momento.
- Vuelva a pedir el consentimiento cuando añada cookies o servicios.
- Compruebe la base del RGPD para cada tratamiento de datos personales posterior a la cookie.
Cómo le ayuda FlowConsent a cumplir la TDDDG
FlowConsent cubre la parte técnica del § 25 para webs con visitantes alemanes. Los scripts se bloquean antes del consentimiento, de modo que nada sujeto a consentimiento se activa en la primera carga. El banner muestra «Aceptar todo» y «Rechazar todo» con el mismo peso. El escaneo automático encuentra las cookies y servicios de su web, y cada elección queda registrada: puede exportar la prueba de consentimiento en cualquier momento con el informe de prueba. Google Consent Mode v2 está integrado, el alojamiento es europeo y la instalación lleva unos diez minutos. Analice su web con nuestro escáner gratuito y cree su cuenta: es gratuito hasta 25.000 sesiones al mes.
Para saber más
Los artículos siguientes profundizan en los temas de esta página. Empiece por las 7 condiciones de validez del consentimiento, que el § 25 toma directamente del RGPD, y continúe con la prueba del consentimiento de cookies y la auditoría completa de las cookies de su web.