En bref : le TDDDG impose, à son § 25, un consentement préalable conforme au RGPD avant tout dépôt ou toute lecture de cookie sur l'appareil d'un internaute, sauf si c'est absolument nécessaire au service demandé. Il concerne tous les sites et applications qui s'adressent au public allemand, y compris ceux d'entreprises françaises. Un manquement peut coûter jusqu'à 300 000 euros au titre du TDDDG, auxquels peuvent s'ajouter les amendes du RGPD.
TDDDG : de quoi parle-t-on ?
Le Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) est la loi allemande sur la protection des données et de la vie privée dans les télécommunications et les services numériques. Elle a été adoptée le 23 juin 2021 sous le nom de TTDSG et elle est entrée en vigueur le 1er décembre 2021. Son intitulé et son abréviation ont été modifiés avec effet au 14 mai 2024, d'où le nom TDDDG.
La loi indique elle-même qu'elle sert à transposer la directive 2002/58/CE (ePrivacy), modifiée par la directive 2009/136/CE. Avant 2021, c'est le Bundesgerichtshof qui, en interprétant l'ancienne loi à la lumière de la directive, avait imposé le consentement pour les cookies de profilage publicitaire. Le TDDDG a mis fin à cette incertitude en regroupant les règles applicables aux télécommunications et aux services numériques dans un seul texte.
La partie qui concerne les sites web est la partie 3, chapitre 2 « Endeinrichtungen » (équipements terminaux) :
- le § 25 fixe la règle de consentement pour les cookies et technologies similaires ;
- le § 26 organise les services reconnus de gestion du consentement ;
- le § 28 prévoit les amendes.
Pour un lecteur français, le parallèle est direct : le § 25 TDDDG joue le même rôle que l'article 82 de la loi Informatique et Libertés.
Qui est concerné ?
Le § 25 vise tout stockage d'information dans l'équipement terminal de l'utilisateur final et tout accès à une information déjà stockée. Sont donc concernés :
- les éditeurs de sites web et d'applications qui s'adressent au public allemand ;
- les boutiques en ligne qui intègrent des outils de mesure, de remarketing ou d'avis clients ;
- les éditeurs de services tiers (publicité, analyse, réseaux sociaux) dont les scripts lisent ou écrivent sur l'appareil ;
- les entreprises étrangères, y compris françaises, dont les services visent l'Allemagne.
La règle ne se limite pas aux cookies : elle vise toute technologie qui stocke ou lit une information sur l'appareil. Et, comme l'a jugé la CJUE dans l'arrêt Planet49, peu importe que l'information soit une donnée personnelle ou non.
Ce que le TDDDG impose pour les cookies et le consentement
Le principe du § 25, alinéa 1
Le stockage d'informations dans l'équipement terminal ou l'accès à des informations qui y sont déjà stockées n'est permis que si l'utilisateur final a consenti, sur la base d'une information claire et complète. La loi précise que l'information et le consentement doivent respecter le règlement (UE) 2016/679, c'est-à-dire le RGPD. Le consentement doit donc être libre, spécifique, éclairé et univoque, donné par un acte positif clair, et révocable aussi facilement qu'il a été donné.
Les deux exemptions du § 25, alinéa 2
Le consentement n'est pas nécessaire :
- lorsque la seule finalité est la transmission d'un message sur un réseau public de télécommunications ;
- lorsque le stockage ou l'accès est absolument nécessaire (« unbedingt erforderlich ») pour que le fournisseur d'un service numérique puisse fournir un service expressément demandé par l'utilisateur.
En pratique, entrent dans cette deuxième exemption le panier d'achat, la session de connexion, la sécurité, l'équilibrage de charge ou la mémorisation du choix de cookies. La publicité, le reciblage et la plupart des outils d'analyse en sont exclus. Les autorités de contrôle détaillent leur lecture de ces notions dans l'Orientierungshilfe für Anbieter:innen von digitalen Diensten (OH Digitale Dienste) publiée par la DSK en novembre 2024.
Deux étapes à ne pas confondre
Les autorités allemandes raisonnent en deux temps :
- le TDDDG régit l'accès au terminal (déposer ou lire le cookie) ;
- le RGPD régit ensuite le traitement des données personnelles obtenues grâce à ce cookie, qui doit avoir sa propre base légale.
Un même outil peut donc être examiné au regard des deux textes, et donner lieu à deux types de sanction.
Les services de gestion du consentement (§ 26)
Le § 26 a créé un cadre pour des services reconnus de gestion du consentement, souvent appelés PIMS. Pour être reconnus, ils doivent notamment proposer des procédures conviviales et respectueuses de la concurrence, ne pas avoir d'intérêt économique propre au consentement, ne pas utiliser les données à d'autres fins et présenter un concept de sécurité. L'ordonnance d'application, l'Einwilligungsverwaltungsverordnung (EinwV) du 6 février 2025, est entrée en vigueur le 1er avril 2025. Elle reste un dispositif facultatif : la CMP de votre site demeure le moyen standard de recueillir le consentement.
L'ordonnance ne vise pas seulement ces services. Elle comporte aussi des mesures pour les éditeurs de navigateurs et pour les fournisseurs de services numériques : intégration des services reconnus, prise en compte des réglages des utilisateurs finaux et règles de neutralité. Le § 26 prévoit en outre que le gouvernement fédéral évalue l'efficacité de ces mesures dans les deux ans suivant l'entrée en vigueur de l'ordonnance, et en rende compte au Bundestag et au Bundesrat. Si votre site vise l'Allemagne, gardez un œil sur ce dispositif : il pourrait, à terme, modifier la façon dont les choix sont transmis à votre CMP.
Le bandeau de cookies conforme au TDDDG
Les exigences pratiques sont proches de celles de la CNIL :
- aucun cookie non nécessaire avant le consentement ;
- un bouton « Alle akzeptieren » et une option de refus présentée de façon équivalente, sans parcours plus long ;
- une information par finalité et la liste des services tiers ;
- pas de case précochée : c'est précisément ce qu'ont jugé la CJUE en 2019 puis le BGH en 2020 ;
- un moyen permanent de modifier son choix.
Prévoyez un bandeau en allemand, avec un vocabulaire juridique cohérent avec votre Datenschutzerklärung. Pour les intégrations fréquemment épinglées outre-Rhin, comme les polices Google chargées depuis des serveurs tiers, voyez notre article sur Google Fonts et le RGPD. La structure générale du bandeau est détaillée dans notre guide du bandeau cookies conforme.
Sanctions et contrôles
Les autorités : selon le § 28, le BfDI (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit) est compétent pour les manquements au § 25 commis par des fournisseurs de télécommunications ou par des organismes fédéraux. Pour les sites des entreprises, ce sont en principe les autorités de protection des données des Länder, qui coordonnent leur doctrine au sein de la DSK.
Le plafond : le § 28 punit d'une amende pouvant atteindre 300 000 euros le fait de stocker une information ou d'y accéder en violation du § 25, alinéa 1. Si les données collectées sont ensuite traitées sans base légale, le RGPD s'applique en plus, avec son plafond de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
Deux décisions de référence pour l'Allemagne :
- Planet49 (CJUE, 1er octobre 2019) : saisie par le Bundesgerichtshof dans un litige opposant la fédération allemande des consommateurs à la société Planet49, la Cour a jugé qu'une case précochée ne vaut pas consentement aux cookies, que les informations soient personnelles ou non.
- Cookie-Einwilligung II (BGH, 28 mai 2020, I ZR 7/16) : tirant les conséquences de cet arrêt, le BGH a jugé que la case précochée autorisant des cookies de profilage publicitaire constituait un désavantage injustifié pour l'utilisateur, et a rétabli la condamnation de première instance de l'entreprise.
Comme le montre l'affaire Planet49, le risque ne vient pas seulement des autorités : une fédération de consommateurs peut aussi agir en cessation devant les juridictions civiles.
Checklist de conformité
- Inventoriez chaque accès au terminal : cookies, pixels, scripts tiers et autres traceurs.
- Appliquez le test du « unbedingt erforderlich » de façon stricte avant de classer un service comme exempté.
- Bloquez tous les autres services jusqu'au consentement.
- Proposez Accepter et Refuser de façon équivalente, en allemand.
- Bannissez les cases précochées et tout consentement implicite.
- Prévoyez une base légale RGPD pour le traitement qui suit le dépôt du cookie.
- Permettez le retrait à tout moment, aussi simplement que l'acceptation.
- Conservez la preuve des consentements.
- Suivez la doctrine de la DSK, notamment l'OH Digitale Dienste.
Comment FlowConsent vous aide à respecter le TDDDG
FlowConsent applique le § 25 par défaut : les scripts non nécessaires sont bloqués avant le consentement, puis activés finalité par finalité. Le bandeau est disponible en allemand, avec Accepter et Refuser au même niveau et un accès permanent aux préférences. Le scan automatique identifie les services tiers de vos pages et alimente votre déclaration de cookies, et chaque choix est enregistré en preuve exportable. L'outil est hébergé en Europe et intègre Google Consent Mode v2.
Vérifiez votre site avec notre scanner gratuit, puis créez votre compte : gratuit jusqu'à 25 000 sessions par mois, puis 14,99 €/mois jusqu'à 100 000 sessions.
Pour aller plus loin
Le TDDDG partage ses principes avec le RGPD et la règle française. Les articles suivants approfondissent les conditions du consentement, la classification des cookies, le fonctionnement d'une CMP et le cadre TCF utilisé par les acteurs publicitaires.