Si votre site vise des clients en Allemagne, que vous soyez installé à Lyon, Bruxelles ou Genève, cette loi vous concerne pour ces visiteurs. Cet article explique d'où vient la loi allemande sur les cookies, ce que dit l'article 25, ce qui a réellement changé en 2024 et ce qu'il faut vérifier sur votre site. Pour les conditions qu'un consentement doit remplir, partez de notre guide sur les conditions de validité du consentement RGPD : l'article 25 y renvoie directement.
TTDSG ou TDDDG : de quoi parle-t-on ?
TTDSG signifie Telekommunikation-Telemedien-Datenschutz-Gesetz, la loi sur la protection des données dans les télécommunications et les « télémédias ». Signée le 23 juin 2021, elle est entrée en vigueur le 1er décembre 2021. Elle a regroupé des règles jusque-là dispersées entre la loi sur les télémédias (Telemediengesetz, TMG) et la loi sur les télécommunications, et elle a enfin transposé clairement en droit allemand l'article 5(3) de la directive ePrivacy, la règle européenne qui fonde les bandeaux cookies.
En mai 2024, l'Allemagne a adapté son droit au règlement européen sur les services numériques (DSA). Une nouvelle loi, le Digitale-Dienste-Gesetz (DDG), a remplacé le TMG, et le terme « télémédias » a été remplacé par « services numériques ». Le TTDSG est donc devenu le Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, ou TDDDG, à compter du 14 mai 2024.
L'article sur les cookies n'a pas bougé : c'est toujours l'article 25. Les lignes directrices, les décisions de justice et les bandeaux conçus sous l'ancien nom restent valables. Notre page sur le TDDDG et son article 25 détaille l'ensemble du texte.
Avant 2021 : un régime d'opposition corrigé par les juges
Avant le TTDSG, le droit allemand n'avait pas de règle claire sur le consentement aux cookies. L'article 15(3) du TMG permettait de créer des profils d'utilisation pseudonymes à des fins publicitaires ou d'études de marché sauf opposition de l'utilisateur. Lu à la lettre, c'était un système d'opt-out, contraire à la directive ePrivacy.
Les juges ont comblé l'écart. Dans l'affaire Planet49, la Cour de justice de l'Union européenne a jugé le 1er octobre 2019 (C-673/17) que le dépôt de cookies exige un consentement actif et qu'une case précochée ne suffit pas. La Cour fédérale de justice allemande (BGH) a tranché le litige le 28 mai 2020 (I ZR 7/16, « Cookie-Einwilligung II ») en interprétant l'article 15(3) du TMG à la lumière de la directive : le consentement devenait nécessaire pour les cookies publicitaires et de mesure.
Cette solution fonctionnait, mais elle reposait sur une lecture contraire au texte. Le TTDSG l'a remplacée par une règle explicite.
Ce que dit l'article 25 du TDDDG
Le paragraphe 1 pose le principe : stocker une information sur l'équipement terminal de l'utilisateur, ou accéder à une information déjà stockée, n'est permis qu'avec son consentement, donné sur la base d'une information claire et complète. L'information et le consentement doivent respecter le RGPD.
Le paragraphe 2 prévoit deux exceptions seulement :
- la seule finalité est la transmission d'un message sur un réseau de télécommunications public ;
- le stockage ou l'accès est strictement nécessaire pour que le fournisseur d'un service numérique fournisse un service expressément demandé par l'utilisateur.
Trois points sont souvent mal compris :
- Le texte ne vise pas que les données personnelles. L'article 25 protège l'appareil. Toute information déposée ou lue exige le consentement, qu'elle identifie quelqu'un ou non.
- Il ne vise pas que les cookies. Le stockage local, les identifiants d'appareil et les scripts de fingerprinting qui lisent les caractéristiques de l'appareil sont aussi concernés.
- Il s'ajoute au RGPD. L'article 25 régit l'accès à l'appareil. Le traitement des données personnelles qui suit exige sa propre base légale au titre de l'article 6 du RGPD.
C'est la même logique qu'en France avec l'article 82 de la loi Informatique et Libertés. Mesure d'audience, publicité et la plupart des contenus tiers exigent le consentement. Un cookie de session pour la connexion ou le panier n'en a généralement pas besoin. Notre article sur les cookies strictement nécessaires montre où passe la frontière, avec des noms de cookies réels.
Ce que le renommage de 2024 a changé, et ce qu'il n'a pas changé
Une règle identique, un vocabulaire nouveau
La réforme de 2024 a remplacé « Telemedien » par « digitale Dienste ». À l'article 25(2), l'exception vise désormais le « fournisseur d'un service numérique » au lieu du « fournisseur de télémédias ». Le fond est identique : mêmes conditions, mêmes exceptions, mêmes amendes.
La fin du Telemediengesetz
L'autre changement visible concerne les mentions légales (Impressum). L'obligation figurait à l'article 5 du TMG, elle figure maintenant à l'article 5 du DDG, avec le même contenu. Un Impressum qui indique encore « Angaben gemäß § 5 TMG » cite une loi abrogée. Les avocats et les chambres de commerce allemandes recommandent de corriger cette référence, car une citation périmée peut attirer des mises en demeure de concurrents (Abmahnungen).
Ce qui n'a pas bougé
L'article 25 a gardé son numéro. Les sanctions de l'article 28 sont inchangées : déposer ou lire une information en violation de l'article 25(1) est une infraction administrative passible d'une amende pouvant atteindre 300 000 €, et les amendes du RGPD peuvent s'ajouter pour le traitement qui suit. Le contrôle des sites privés reste confié aux autorités de protection des données des Länder.
De 2024 à 2026 : lignes directrices, décisions et services de consentement
Pour les éditeurs de sites, les vrais changements sont venus d'ailleurs.
Des lignes directrices mises à jour
La DSK, conférence des autorités allemandes de protection des données, a publié des lignes directrices sur le TTDSG peu après son entrée en vigueur. La version 1.2, publiée en novembre 2024, adopte le vocabulaire des services numériques. Elle interprète strictement l'exception « strictement nécessaire », refuse d'exempter la mesure d'audience par principe et exige un bouton de refus au premier niveau du bandeau dès que le visiteur doit interagir avec celui-ci pour utiliser le site.
Des décisions sur le design des bandeaux
Deux décisions ont rendu le bouton « Tout refuser » concret :
- Cour d'appel de Cologne, 19 janvier 2024 (6 U 80/23). Une association de consommateurs a attaqué un portail d'actualités dont le bandeau n'offrait pas de refus équivalent au premier niveau et dont la croix signifiait « Accepter et fermer ». La cour a jugé que les consentements n'étaient pas libres.
- Tribunal administratif de Hanovre, 19 mars 2025 (10 A 5385/22). Le tribunal a confirmé une injonction de l'autorité de Basse-Saxe contre un groupe de presse dont le bandeau ne proposait que « Tout accepter » et « Paramètres », réapparaissait pour pousser au consentement et masquait le nombre de partenaires.
Le critère est le même que celui de la CNIL : refuser doit être aussi simple qu'accepter. Notre synthèse des dark patterns interdits par la CNIL détaille les pratiques sanctionnées pour les mêmes raisons.
Vous ne savez pas ce que votre site dépose avant tout clic ? Vérifiez en 30 secondes quels cookies votre site dépose avec le scanner gratuit.
Les services agréés de gestion du consentement
L'article 26 du TDDDG prévoit des « services reconnus de gestion du consentement » : des services indépendants où l'internaute enregistre ses choix une fois pour toutes, que les sites peuvent ensuite lire. Le règlement d'application (Einwilligungsverwaltungsverordnung, EinwV) est entré en vigueur le 1er avril 2025. Le BfDI, commissaire fédéral à la protection des données, a reconnu le premier service en octobre 2025.
Cela ne supprime pas les bandeaux cookies. Le recours à un service reconnu est facultatif pour les éditeurs, et les visiteurs qui n'en utilisent pas doivent toujours être sollicités. Pour la plupart des sites, rien ne change encore en pratique.
Votre site respecte-t-il la loi allemande sur les cookies ?
Si votre site a été configuré sous le TTDSG, une revue rapide suffit :
- Remplacez « TTDSG » par « TDDDG » dans la politique de confidentialité, la politique de cookies et les textes du bandeau de la version allemande. Gardez le numéro : § 25.
- Remplacez « § 5 TMG » par « § 5 DDG » dans l'Impressum.
- Vérifiez le premier niveau du bandeau. « Tout refuser » doit figurer à côté de « Tout accepter », avec le même poids visuel et le même nombre de clics.
- Scannez de nouveau votre site. Les outils ajoutés depuis 2021 (pixels, chat, lecteurs vidéo) peuvent déposer des cookies que le bandeau ne couvre pas.
- Vérifiez que les scripts sont bloqués avant le consentement, y compris au premier chargement de page.
- Conservez la preuve des consentements et du texte de bandeau affiché à ce moment.
Les mêmes règles s'appliquent dans les autres pays de l'Union via leurs propres transpositions de la directive ePrivacy : un bandeau conforme pour la CNIL l'est en général pour les autorités allemandes. Pour une vue d'ensemble, lisez notre point sur ce qui change pour le RGPD et les cookies en 2026.
FlowConsent est un exemple de bandeau construit autour de ces exigences : il bloque les scripts jusqu'au choix du visiteur et affiche « Accepter » et « Refuser » avec le même poids au premier niveau.
Comment FlowConsent gère le consentement selon le TDDDG
FlowConsent applique l'article 25 côté technique pour les sites qui reçoivent des visiteurs allemands. Les scripts soumis au consentement sont bloqués avant le consentement : rien ne se déclenche au premier chargement. Le scan automatique détecte les services présents sur votre site, et vous attribuez à chacun une finalité et une base légale, en séparant les cookies strictement nécessaires de ceux qui exigent un opt-in (voir services et base légale). Chaque choix est enregistré et la preuve de consentement est exportable à tout moment. Google Consent Mode v2 est intégré, les données sont hébergées en Europe et l'installation prend une dizaine de minutes. FlowConsent est gratuit jusqu'à 25 000 sessions par mois, puis l'offre Pro coûte 14,99 € par mois jusqu'à 100 000 sessions.