§ 25 TDDDG einfach erklärt: Cookies, Pixel und Einwilligung

§ 25 TDDDG, das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, regelt, wann eine Website oder App Informationen auf dem Gerät eines Nutzers speichern oder dort bereits gespeicherte Informationen auslesen darf. Die Grundregel: Das ist nur mit Einwilligung erlaubt. Ohne Einwilligung geht es nur, wenn der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert. Für die meisten Analyse- und Marketing-Cookies, Werbepixel und ähnliche Techniken brauchst du deshalb vorher eine Zustimmung. Das TDDDG hieß bis zum 14. Mai 2024 TTDSG, viele Texte sprechen daher noch von § 25 TTDSG. Dieser Artikel ist keine Rechtsberatung.

Was ist das TDDDG und warum hieß es früher TTDSG?

Das Telekommunikation-Telemedien-Datenschutz-Gesetz, kurz TTDSG, trat am 1. Dezember 2021 in Kraft. Es fasste Datenschutzregeln für Telekommunikation und Online-Dienste zusammen, die vorher im Telemediengesetz und im Telekommunikationsgesetz verstreut waren. Mit dem Digitale-Dienste-Gesetz, das die europäische Verordnung über digitale Dienste (Digital Services Act) in Deutschland ergänzt, wurde der Begriff Telemedien durch digitale Dienste ersetzt. Seit dem 14. Mai 2024 heißt das Gesetz deshalb Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG.

Für Website-Betreiber hat sich durch die Umbenennung inhaltlich wenig geändert. Die Pflicht zur Einwilligung beim Zugriff auf Endgeräte steht weiterhin in § 25. Wenn in deiner Datenschutzerklärung oder in deinem Cookie-Banner noch TTDSG steht, ist das kein inhaltlicher Fehler, aber eine Aktualisierung bei der nächsten Überarbeitung ist sinnvoll.

§ 25 TDDDG im Wortlaut vereinfacht

Absatz 1 sagt sinngemäß: Das Speichern von Informationen in der Endeinrichtung des Nutzers und der Zugriff auf Informationen, die dort bereits gespeichert sind, sind nur erlaubt, wenn der Nutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat. Für die Information und die Einwilligung gelten die Anforderungen der DSGVO. Die Einwilligung muss also freiwillig, für den bestimmten Fall, informiert und unmissverständlich sein, und sie muss sich so leicht widerrufen lassen, wie sie erteilt wurde.

Absatz 2 nennt zwei Ausnahmen. Die erste betrifft Zugriffe, deren alleiniger Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist. Die zweite ist für Websites wichtiger: Eine Einwilligung ist nicht nötig, wenn der Zugriff unbedingt erforderlich ist, damit der Anbieter einen digitalen Dienst bereitstellen kann, den der Nutzer ausdrücklich gewünscht hat. Die Vorschrift setzt Artikel 5 Absatz 3 der europäischen ePrivacy-Richtlinie um. Ähnliche Regeln gelten deshalb in allen EU-Staaten.

Passend dazu: Server-Side Tracking und DSGVO: was gilt?

Wie hängen TDDDG und DSGVO zusammen?

TDDDG und Datenschutz-Grundverordnung (DSGVO) gelten nebeneinander. Ein häufiger Irrtum ist, dass die DSGVO alles regelt. Tatsächlich gibt es zwei getrennte Fragen. § 25 TDDDG betrifft den Zugriff auf das Gerät, und zwar unabhängig davon, ob dabei personenbezogene Daten verarbeitet werden. Selbst ein Cookie ohne jeden Personenbezug fällt darunter, das hat der Europäische Gerichtshof schon 2019 zur zugrunde liegenden EU-Vorschrift entschieden. Die DSGVO regelt dagegen die anschließende Verarbeitung personenbezogener Daten, also zum Beispiel was mit der IP-Adresse, der Cookie-ID oder dem Nutzungsverhalten auf dem Server von Google oder Meta passiert.

Für die Praxis heißt das: Zuerst prüfst du, ob für den Zugriff auf das Endgerät eine Einwilligung nach § 25 TDDDG nötig ist oder ob eine Ausnahme greift. Danach prüfst du, auf welcher Rechtsgrundlage nach Artikel 6 DSGVO du die Daten verarbeitest. Bei Analyse- und Marketing-Werkzeugen läuft beides meist auf eine Einwilligung hinaus, die du mit einem Cookie-Banner einholst. Dort sollten beide Zwecke verständlich erklärt sein.

Welche Cookies, Pixel und Local-Storage-Einträge brauchen eine Einwilligung?

§ 25 TDDDG spricht nicht von Cookies, sondern allgemein von Informationen in der Endeinrichtung. Damit sind auch Local Storage, Session Storage und IndexedDB im Browser erfasst. Auch das Auslesen von Informationen, die der Browser von sich aus bereitstellt, kann darunter fallen, etwa wenn daraus ein Fingerabdruck des Geräts berechnet wird. Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien 2/2023 zum technischen Anwendungsbereich ausgeführt, dass auch Tracking-Pixel und das Anhängen von Kennungen an Links in vielen Fällen erfasst sein können.

• Analyse-Cookies, zum Beispiel von Google Analytics 4 oder Matomo mit Cookies: Einwilligung nötig.
• Werbe- und Remarketing-Cookies von Google Ads, Meta, LinkedIn oder TikTok: Einwilligung nötig.
• Tracking-Pixel, die eine Kennung setzen oder auslesen: in der Regel Einwilligung nötig.
• Warenkorb, Login-Sitzung, Spracheinstellung, Sicherheitsfunktionen: meist unbedingt erforderlich, keine Einwilligung.
• Speichern der Auswahl im Cookie-Banner: unbedingt erforderlich, sonst müsste das Banner bei jedem Aufruf erneut erscheinen.

Der Begriff unbedingt erforderlich ist eng auszulegen. Dass ein Werkzeug für dein Marketing nützlich ist, macht es nicht erforderlich. Entscheidend ist, ob der Dienst, den der Nutzer gerade bewusst nutzen will, ohne den Zugriff nicht funktionieren würde. Ein Besucher, der einen Artikel lesen will, wünscht keine Reichweitenmessung, auch wenn sie dir hilft.

Passend dazu: Tracking in der Datenschutzerklärung: was gehört hinein

Folgen für Google Tag Manager und Consent Mode

Der Google Tag Manager selbst ist ein Werkzeug zum Ausspielen von Tags, also kleinen Code-Bausteinen für Analyse und Werbung. Ob ein Tag ohne Einwilligung feuern darf, hängt davon ab, was es auf dem Gerät tut. Deshalb gehört zu jedem Tag eine Bedingung, die auf die Einwilligung wartet. Google Consent Mode v2 (Einwilligungsmodus) gibt den Einwilligungsstatus an Google-Tags weiter. Im einfachen Modus (Basic) laden die Google-Tags erst nach Zustimmung. Im erweiterten Modus (Advanced) laden sie sofort und senden ohne Zustimmung Signale ohne Cookies. Ob das mit § 25 TDDDG vereinbar ist, wird unterschiedlich bewertet, weil auch dabei Informationen aus dem Browser abgerufen werden. Kläre die Wahl des Modus mit deiner Datenschutzberatung.

Auch serverseitiges Tracking ändert an § 25 TDDDG nichts Grundsätzliches. Wenn dabei weiterhin ein Cookie im Browser gesetzt oder ausgelesen wird, gilt § 25 TDDDG genauso. Und selbst wenn kein Zugriff auf das Gerät stattfindet, bleibt die DSGVO für die Verarbeitung der Daten anwendbar.

Beispiel aus der Praxis: kleiner Onlineshop

Ein Onlineshop für Tee nutzt Shopify, Google Analytics 4, Google Ads und den Meta-Pixel. Beim Prüfen zeigt sich: Der Meta-Pixel lädt direkt beim Seitenaufruf, noch bevor das Banner erscheint, weil eine frühere Agentur seinen Code fest ins Theme kopiert hat. Google Analytics wartet dagegen korrekt. Der Warenkorb-Cookie und der Cookie für die Banner-Auswahl dürfen ohne Einwilligung bleiben. Der Code wird aus dem Theme entfernt und der Meta-Pixel über den Google Tag Manager mit einer Einwilligungsbedingung neu eingebunden. Ein Test in einem privaten Browserfenster mit „Alle ablehnen“ zeigt danach in den Entwicklerwerkzeugen keine Werbe-Cookies mehr. Zusätzlich wird der Text im Banner überarbeitet, damit Besucher verstehen, welche Dienste zu welchem Zweck eingesetzt werden und wo sie ihre Auswahl später ändern können.

So prüfst du deine Website nach § 25 TDDDG

Den Test nach § 25 TDDDG kannst du selbst machen. Öffne deine Seite in einem privaten Fenster, lehne im Banner alles ab und schau in den Entwicklerwerkzeugen unter Anwendung oder Speicher nach, welche Cookies und Einträge im Local Storage angelegt wurden. Prüfe im Netzwerk-Tab, ob Anfragen an Werbe- oder Analyse-Dienste rausgehen. Wiederhole das mit „Alle akzeptieren“. Trackum nimmt dir diesen Ablauf ab: Der Gratis-Check öffnet deine Seite in einem echten Browser, testet mit und ohne Einwilligung und zeigt, welche Tags zu früh laden. Die Reparatur für 79 € zzgl. MwSt. stellt die Einbindung im Google Tag Manager so um, dass Tags auf die Zustimmung warten. Die rechtliche Bewertung im Einzelfall ersetzt das nicht.