Das TDDDG erklärt: Deutschlands strenge Haltung zu digitalen Diensten und Cookies

7. Juli 2026 · 15 Min. Lesezeit

Kurzantwort: Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) ist Deutschlands nationales Gesetz, das regelt, wie Websites und digitale Dienste mit der Cookie-Einwilligung und dem Zugriff auf Gerätespeicher umgehen müssen. Es geht über die GDPR hinaus, indem es eine vorherige, explizite Einwilligung erfordert, bevor nicht-essentielle Cookies oder Tracking-Technologien aktiviert werden, und es gilt für jede Entität, die digital in Deutschland tätig ist, unabhängig von ihrem Hauptsitz.

Wichtigste Erkenntnisse

Das TDDDG wurde am 14. Mai 2024 vom TTDSG umbenannt, um es an den EU Digital Services Act anzupassen, wobei seine Kernbestimmungen unverändert blieben [1]
§ 25 des TDDDG erfordert eine vorherige Einwilligung, bevor Informationen auf dem Gerät eines Nutzers gespeichert oder darauf zugegriffen wird, mit engen Ausnahmen für technisch notwendige Cookies [4]
Eine gültige Einwilligung muss freiwillig, spezifisch, informiert, eindeutig und widerrufbar sein; vorab angekreuzte Kästchen und passives Browsen qualifizieren nicht [3]
Nichteinhaltung kann TDDDG-Bußgelder von bis zu 300.000 € pro Verstoß auslösen, zuzüglich GDPR-Strafen von bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes [2]
Das Gesetz gilt für Unternehmen, Behörden, Bildungseinrichtungen, Vereine und Selbstständige mit einer Online-Präsenz in Deutschland [1]
US-Unternehmen und Nicht-EU-Unternehmen, die deutsche Nutzer ansprechen, müssen das TDDDG einhalten
Die Einwilligungsverwaltungsverordnung (EinwV), die ab April 2025 in Kraft tritt, führte zentralisierte Einwilligungsverwaltungsdienste ein, um die Ermüdung der Nutzer bei der Einwilligung zu reduzieren [3]
Cookie-Banner müssen eine echte "Ablehnen"-Option bieten, die genauso prominent ist wie die "Akzeptieren"-Option [5]

Was ist das TDDDG? Deutschlands nationales Gesetz zum digitalen Datenschutz erklärt

Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) ist Deutschlands primäres Gesetz, das die Speicherung und den Zugriff auf Informationen auf Endnutzergeräten regelt. Es steht neben und ergänzt die GDPR und schließt eine spezifische Lücke, die die GDPR nicht direkt abdeckt: den Moment, in dem ein Cookie oder Tracking-Skript zum ersten Mal den Browser eines Nutzers berührt.

Ursprünglich im Dezember 2021 als TTDSG erlassen, wurde das Gesetz am 14. Mai 2024 in TDDDG umbenannt, um die durch den EU Digital Services Act eingeführte Terminologie widerzuspiegeln. Die Umbenennung war weitgehend nominell; die materiellen Regeln, insbesondere die in § 25 zur Cookie-Einwilligung, blieben unverändert [1].

Das Gesetz wird von einer mehrschichtigen Behördenstruktur durchgesetzt: dem Bundesbeauftragten für den Datenschutz (BfDI), der Bundesnetzagentur (BNetzA) und den 16 Landesdatenschutzbehörden, die über die Datenschutzkonferenz (DSK) koordiniert werden [2]. Dieses verteilte Durchsetzungsmodell bedeutet, dass es keinen einzelnen Engpass gibt; Verstöße können gleichzeitig aus mehreren Richtungen verfolgt werden.

Wie unterscheidet sich das TDDDG von der GDPR?

Das TDDDG und die GDPR ergänzen sich, sie konkurrieren nicht. Die GDPR regelt, was mit personenbezogenen Daten geschieht, sobald sie gesammelt und verarbeitet werden. Das TDDDG regelt den früheren Zeitpunkt: ob eine Website überhaupt Daten auf dem Gerät eines Nutzers speichern oder lesen darf [6].

Wesentliche Unterschiede:

Dimension	GDPR	TDDDG
Geltungsbereich	Verarbeitung personenbezogener Daten	Speicherung/Zugriff auf Nutzergeräten
Optionen für die Rechtsgrundlage	Sechs rechtmäßige Grundlagen (Einwilligung, berechtigtes Interesse usw.)	Nur Einwilligung oder technische Notwendigkeit
Gilt für	Verantwortliche und Auftragsverarbeiter	Jede Entität mit einer digitalen Präsenz in Deutschland
Durchsetzung	Datenschutzbehörden	BfDI, BNetzA, Landes-DSB
Auslösepunkt	Datenverarbeitungsaktivitäten	Cookie-/Tracker-Aktivierung

Der entscheidende praktische Unterschied: Unter der GDPR kann ein "berechtigtes Interesse" manchmal das Tracking ohne Einwilligung rechtfertigen. Unter dem TDDDG existiert diese Option für die Gerätespeicherung nicht. Einwilligung oder strikte technische Notwendigkeit sind die einzigen beiden gültigen Gründe [4].

TDDDG Cookie-Anforderungen erklärt

§ 25 des TDDDG ist der operative Kern des Gesetzes. Er schreibt vor, dass das Speichern von Informationen auf dem Endgerät eines Nutzers oder der Zugriff auf dort bereits gespeicherte Informationen die vorherige Einwilligung des Nutzers erfordert, es sei denn, die Handlung ist unbedingt erforderlich, um eine Kommunikation zu übermitteln oder einen vom Nutzer ausdrücklich angeforderten Dienst bereitzustellen [4].

Diese Bestimmung deckt weit mehr ab als traditionelle HTTP-Cookies. Sie gilt für:

Browser localStorage und sessionStorage
Tracking-Pixel und Web-Beacons
Device-Fingerprinting-Skripte
Flash-Cookies und ähnliche persistente Identifikatoren
Jeden anderen Mechanismus, der von einem Gerät eines Nutzers liest oder darauf schreibt

Ausnahmen sind eng gefasst. Warenkorb-Session-Cookies, Anmelde-Authentifizierungstoken und Load-Balancing-Cookies gelten als technisch notwendig. Analyse-Cookies, Werbe-Tracker, A/B-Testing-Skripte und Social-Media-Plugins tun dies nicht; sie erfordern eine vorherige Einwilligung, unabhängig davon, wie sie formuliert sind [5].

Welche Websites müssen das TDDDG einhalten?

Das TDDDG gilt für alle Entitäten, die in Deutschland tätig sind und Informationen auf den Geräten der Nutzer speichern oder darauf zugreifen. Dies ist nicht auf deutsche Unternehmen beschränkt. Jedes Unternehmen, jede Institution oder jede Einzelperson mit einer Website, die für deutsche Nutzer zugänglich ist und nicht-essentielle Cookies oder Tracking verwendet, fällt in den Geltungsbereich [1].

Dies umfasst:

E-Commerce-Shops und SaaS-Plattformen
Medienverlage und Nachrichtenagenturen
Behörden und Regierungsportale
Bildungseinrichtungen mit Online-Präsenzen
Gemeinnützige Vereine und NGOs
Freiberufler und Selbstständige, die Geschäftswebsites betreiben

Müssen US-Unternehmen das TDDDG befolgen? Ja. Wenn die Website eines US-amerikanischen Unternehmens in Deutschland zugänglich ist und Cookies oder Tracking-Technologien auf den Geräten deutscher Besucher verwendet, gilt das TDDDG. Die Reichweite des Gesetzes wird durch den Standort des Nutzers bestimmt, nicht durch den Sitz des Betreibers [2]. Dies spiegelt die territoriale Logik der GDPR gemäß Artikel 3 wider.

TDDDG-Einwilligungsanforderungen für Tracking

Eine gültige Einwilligung nach dem TDDDG muss fünf kumulative Kriterien erfüllen: Sie muss freiwillig, spezifisch, informiert, eindeutig und widerrufbar sein [3]. Jedes Kriterium hat eine echte operative Bedeutung.

Freiwillig bedeutet, dass dem Nutzer keine Strafe für die Verweigerung droht. Das Blockieren des Zugriffs auf Inhalte, wenn Cookies nicht akzeptiert werden (eine "Cookie-Wall"), ist rechtlich umstritten und wird im Allgemeinen als nicht konform angesehen.
Spezifisch bedeutet, dass die Einwilligung pro Zweck eingeholt wird; Analysen können nicht mit Werbung gebündelt werden.
Informiert bedeutet, dass der Nutzer genau weiß, worin er einwilligt, bevor die Einwilligung erfasst wird.
Eindeutig bedeutet, dass eine bestätigende Handlung erforderlich ist. Vorgegebene Kontrollkästchen, Scrollen oder fortgesetztes Browsen stellen keine Einwilligung dar [3].
Widerrufbar bedeutet, dass der Widerruf der Einwilligung so einfach sein muss wie deren Erteilung.

Browser-Einstellungen (wie das integrierte "Do Not Track"-Signal eines Browsers) werden nach dem TDDDG nicht als gültige Einwilligung akzeptiert [2]. Eine ordnungsgemäß konfigurierte Consent Management Platform ist der Standardmechanismus zur Erfassung und Dokumentation konformer Einwilligungen.

TDDDG-Bußgelder und Strafen bei Nichteinhaltung

Verstöße gegen das TDDDG können zu Verwaltungsbußgeldern von bis zu 300.000 € pro Einzelverstoß führen [2]. Da jede ohne Einwilligung erfolgte Cookie-Platzierung in jeder Nutzersitzung technisch einen separaten Verstoß darstellen könnte, ist das aggregierte Risiko für Websites mit hohem Traffic erheblich.

Neben den TDDDG-spezifischen Bußgeldern können Aufsichtsbehörden gleichzeitig GDPR-Strafen für die nachfolgende Verarbeitung von Daten verhängen, die ohne gültige Einwilligung gesammelt wurden. GDPR-Bußgelder können bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist [2].

Was passiert, wenn Sie gegen das TDDDG verstoßen? Durchsetzungsmaßnahmen können formelle Warnungen, Anordnungen zur Einstellung nicht konformer Praktiken und Geldbußen umfassen. Angesichts der Tatsache, dass die Durchsetzung auf 17 Behörden (BfDI plus 16 Landes-DSB) verteilt ist, ist die Wahrscheinlichkeit einer Prüfung deutlich höher als in Jurisdiktionen mit einer einzigen Aufsichtsbehörde.

Wer ist von den TDDDG-Regeln ausgenommen?

Ausnahmen nach dem TDDDG beschränken sich auf technisch notwendige Cookies und Speichervorgänge. Ein Vorgang gilt nur dann als technisch notwendig, wenn er beide Bedingungen erfüllt: Er ist ausschließlich zur Übertragung einer Kommunikation über ein Netzwerk erforderlich oder er ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich angeforderten Dienst bereitzustellen [4].

Häufige ausgenommene Anwendungsfälle:

Session-Cookies, die einen angemeldeten Zustand aufrechterhalten
Warenkorb-Persistenz während einer einzigen Browsing-Sitzung
Load-Balancing-Cookies, die den Datenverkehr über Server leiten
Sicherheits-Cookies, die Cross-Site-Request-Forgery (CSRF) verhindern

Analyse-, Personalisierungs-, Retargeting- und Social-Sharing-Funktionen sind nicht ausgenommen, selbst wenn der Betreiber sie als operativ wichtig erachtet. Der Test ist, ob der Dienst für den anfragenden Nutzer ohne diesen spezifischen Speichervorgang funktionieren könnte, nicht ob das Unternehmen die Daten lieber hätte.

So machen Sie Ihre Website TDDDG-konform

Die TDDDG-Konformität ist mit einem strukturierten Ansatz erreichbar. Die folgenden Schritte spiegeln den aktuellen Regulierungsstandard ab 2026 wider:

Prüfen Sie alle Cookies und Tracker auf Ihrer Website. Kategorisieren Sie jeden als unbedingt notwendig oder nicht-essentiell.
Blockieren Sie alle nicht-essentiellen Skripte vom Laden, bis der Nutzer eine explizite Einwilligung erteilt hat.
Implementieren Sie ein konformes Einwilligungsbanner, das Akzeptieren- und Ablehnen-Optionen mit gleicher visueller Prominenz darstellt. Die Ablehnen-Option darf nicht hinter sekundären Menüs versteckt sein [5].
Konfigurieren Sie granulare Einwilligungszwecke, damit Nutzer beispielsweise Analysen getrennt von Werbung akzeptieren können.
Protokollieren Sie Einwilligungsdatensätze mit Zeitstempeln, Benutzeridentifikatoren (falls zutreffend) und der spezifischen angezeigten Einwilligungsversion.
Ermöglichen Sie einen einfachen Widerruf der Einwilligung, ein dauerhafter Link zu den Einwilligungseinstellungen muss von jeder Seite aus zugänglich sein.
Überprüfen Sie den EinwV-Rahmen (gültig ab April 2025), wenn Sie sich in anerkannte zentralisierte Einwilligungsverwaltungsdienste integrieren möchten, die es Nutzern ermöglichen, Präferenzen über mehrere Websites hinweg zu speichern [3].

Eine Consent Management Platform wie Biscotti CMP ist darauf ausgelegt, die technische Implementierung dieser Anforderungen zu handhaben, einschließlich der Einwilligungsprotokollierung, Bannerkonfiguration und Skriptblockierung.

TDDDG Cookie-Banner Best Practices

Ein konformes TDDDG-Cookie-Banner ist nicht nur ein Hinweis, es ist ein funktionaler Einwilligungsmechanismus. Die Aufsichtsbehörden haben klargestellt, dass Banner, die darauf abzielen, Nutzer durch Dark Patterns zur Annahme zu bewegen, nicht konform sind.

Best Practices umfassen:

Gleiche Schaltflächenprominenz: Die Schaltflächen "Alle akzeptieren" und "Alle ablehnen" müssen in Größe, Farbe und Platzierung visuell gleichwertig sein.
Keine vorab ausgewählten Optionen: Jede Einwilligungsumschaltung muss standardmäßig deaktiviert sein.
Keine Inhaltsbehinderung: Das Banner sollte die Nutzer nicht daran hindern, die Seite zu lesen, obwohl es als Overlay erscheinen kann.
Klare Zweckbeschreibungen: Jede Cookie-Kategorie muss in einfacher Sprache beschrieben werden, nicht in juristischem Fachjargon.
Zugänglicher Widerrufsmechanismus: Ein Link "Cookie-Einstellungen" in der Fußzeile, jederzeit zugänglich, erfüllt diese Anforderung.
Kein irreführendes Design: Das Ausgrauen der Ablehnen-Schaltfläche oder das Erfordernis mehrerer Klicks zum Ablehnen, während die Annahme mit einem Klick erfolgt, stellt ein Dark Pattern dar und ist nicht konform.

Häufige TDDDG-Konformitätsfehler, die es zu vermeiden gilt

Selbst gut gemeinte Betreiber machen häufig Fehler, die sie einem Durchsetzungsrisiko aussetzen.

Fehler 1: GDPR-Konformität als ausreichend betrachten. Die GDPR und das TDDDG behandeln unterschiedliche rechtliche Fragen. Eine Website kann in ihren Datenverarbeitungspraktiken GDPR-konform sein und dennoch gegen das TDDDG verstoßen, indem sie Tracker lädt, bevor die Einwilligung erfasst wird.

Fehler 2: Sich auf Browsersignale als Einwilligung verlassen. Browser-Datenschutzeinstellungen erfüllen den Einwilligungsstandard des TDDDG nicht [2].

Fehler 3: Bündelung von Einwilligungszwecken. Nutzer zu bitten, "alle Cookies" als eine einzige Wahl zu akzeptieren, ohne die Möglichkeit, Analysen zu akzeptieren, aber Werbung abzulehnen, verstößt gegen die Spezifitätsanforderung.

Fehler 4: Versäumnis, Skripte von Drittanbietern zu blockieren. Viele Tools von Drittanbietern (Analyseplattformen, Tag-Manager, Werbepixel) werden automatisch beim Laden der Seite geladen. Ohne technische Blockierung werden sie aktiviert, bevor die Einwilligung eingeholt wird, ein direkter TDDDG-Verstoß.

Fehler 5: Nicht-Aktualisierung von Einwilligungsdatensätzen. Wenn sich die Zwecke, für die die Einwilligung eingeholt wurde, ändern, ist die zuvor eingeholte Einwilligung für die neuen Zwecke nicht mehr gültig. Nutzer müssen erneut um Einwilligung gebeten werden.

TDDDG vs. ePrivacy-Richtlinie: Wesentliche Unterschiede

Das TDDDG ist Deutschlands nationale Umsetzung der ePrivacy-Richtlinie (2002/58/EG, geändert 2009), geht aber in mehrfacher Hinsicht darüber hinaus. Die ePrivacy-Richtlinie legte den EU-weiten Rahmen fest, der die Mitgliedstaaten verpflichtete, die Cookie-Einwilligung vorzuschreiben; Deutschlands TDDDG ist das nationale Gesetz, das diese Verpflichtung erfüllt und in einigen Bereichen übertrifft [6].

Die erwartete ePrivacy-Verordnung, die die Richtlinie in allen EU-Mitgliedstaaten durch eine direkt anwendbare Verordnung ersetzen würde, befindet sich seit Jahren in einem legislativen Schwebezustand. Bis zu ihrer Verabschiedung bleiben nationale Gesetze wie das TDDDG der operative Standard in Deutschland. Betreiber können nicht davon ausgehen, dass die Einhaltung der ePrivacy-Umsetzung eines anderen EU-Mitgliedstaates die deutschen Anforderungen erfüllt.

Fazit: Praktische nächste Schritte zur TDDDG-Konformität im Jahr 2026

Das TDDDG stellt Deutschlands bewusste Entscheidung dar, digitale Datenschutzstandards strenger durchzusetzen als das EU-Mindestniveau. Für Website-Betreiber, Entwickler und Marketingteams, die auf dem deutschen Markt tätig sind, sind die Anforderungen des Gesetzes spezifisch, durchsetzbar und werden von 17 separaten Behörden aktiv überwacht.

Umsetzbare nächste Schritte:

Führen Sie ein vollständiges Cookie-Audit mit einem Scanning-Tool durch, um jeden Tracker auf Ihrer Website zu identifizieren.
Stellen Sie sicher, dass alle nicht-essentiellen Skripte vor der Einwilligung technisch blockiert werden und nicht nur offengelegt werden.
Überprüfen Sie Ihr Einwilligungsbanner auf die Anforderungen der gleichen Prominenz und der Nicht-Vorauswahl.
Stellen Sie sicher, dass Ihre Einwilligungsdatensätze mit ausreichender Granularität protokolliert werden, um die Konformität bei einer Prüfung nachweisen zu können.
Bewerten Sie, ob der zentralisierte Einwilligungsrahmen der EinwV für Ihre Nutzerbasis und Ihren technischen Stack relevant ist.
Evaluieren Sie eine speziell entwickelte Consent Management Platform wie Biscotti CMP, um die technischen und dokumentarischen Anforderungen zu automatisieren.

Die Kosten der Nichteinhaltung, bis zu 300.000 € pro Verstoß nach dem TDDDG, mit zusätzlicher GDPR-Exposition, übersteigen die Investitionen, die für die Implementierung eines konformen Einwilligungs-Workflows erforderlich sind, bei weitem. Für jede Entität mit erheblichem deutschem Web-Traffic ist die Konformität nicht optional; sie ist eine grundlegende betriebliche Anforderung.

FAQ

Wofür steht TDDDG? TDDDG steht für Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Es ist Deutschlands nationales Gesetz, das die Cookie-Einwilligung und den Zugriff auf Gerätespeicher regelt.

Wann wurde das TTDSG in TDDDG umbenannt? Die Umbenennung trat am 14. Mai 2024 in Kraft. Die Änderung passte die Terminologie des Gesetzes an den EU Digital Services Act an. Die materiellen Cookie-Einwilligungsregeln in § 25 wurden nicht geändert [1].

Gilt das TDDDG auch für kleine Unternehmen? Ja. Das TDDDG gilt für alle Entitäten mit einer Online-Präsenz in Deutschland, die Informationen auf den Geräten der Nutzer speichern oder darauf zugreifen, einschließlich kleiner Unternehmen, Freiberufler und Vereine [1].

Kann berechtigtes Interesse anstelle der Einwilligung nach dem TDDDG verwendet werden? Nein. Im Gegensatz zur GDPR erlaubt das TDDDG kein berechtigtes Interesse als Rechtsgrundlage für die Gerätespeicherung oder den Zugriff. Nur Einwilligung oder technische Notwendigkeit sind gültige Gründe [4].

Was ist die EinwV und wie steht sie im Zusammenhang mit dem TDDDG? Die Einwilligungsverwaltungsverordnung (EinwV), die ab April 2025 in Kraft tritt, etablierte einen Rahmen für anerkannte zentralisierte Einwilligungsverwaltungsdienste. Sie ermöglicht es Nutzern, Cookie-Präferenzen über mehrere Websites hinweg zu speichern, wodurch wiederholte Einwilligungsaufforderungen reduziert werden [3].

Sind Analyse-Cookies von den TDDDG-Einwilligungsanforderungen ausgenommen? Nein. Analyse-Cookies sind nicht technisch notwendig und erfordern nach § 25 des TDDDG eine vorherige Nutzer-Einwilligung, unabhängig davon, ob sie personenbezogene Daten verarbeiten [5].

Was macht ein Cookie-Banner nach dem TDDDG nicht konform? Häufige Anzeichen für Nicht-Konformität sind: eine Ablehnen-Option, die schwerer zu finden ist als die Akzeptieren-Option, vorab ausgewählte Einwilligungsschalter, Banner, die Tracking-Skripte laden, bevor die Einwilligung erfasst wird, und das Fehlen granularer zweckbezogener Kontrollen [2].

Gilt das TDDDG nur für deutsche Websites? Nein. Das TDDDG gilt basierend auf dem Standort des Nutzers, nicht auf dem Standort des Website-Betreibers. Jede Website, die für Nutzer in Deutschland zugänglich ist und nicht-essentielle Cookies verwendet, muss konform sein [2].

Wie hoch ist die maximale Strafe für einen Verstoß gegen das TDDDG? Das TDDDG selbst sieht Bußgelder von bis zu 300.000 € pro Verstoß vor. Separate GDPR-Verstöße, die durch nicht-eingewilligte Datenerfassung ausgelöst werden, können zu Bußgeldern von bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes führen [2].

Wie steht das TDDDG im Zusammenhang mit der ePrivacy-Richtlinie? Das TDDDG ist Deutschlands nationale Umsetzung der EU ePrivacy-Richtlinie. Es erfüllt und übertrifft in einigen Aspekten die Anforderungen der Richtlinie und bleibt der operative Standard in Deutschland, bis die vorgeschlagene ePrivacy-Verordnung auf EU-Ebene verabschiedet wird [6].

Referenzen

[1] Tdddg - https://skill-sprinters.de/foerderungen/glossar/tdddg/?utm_source=openai [2] De Tdddg - https://www.consentstack.io/regulations/de-tdddg?utm_source=openai [3] Germany Gdpr Compliance Bdsg Dpo Rules And Penalties - https://legalclarity.org/germany-gdpr-compliance-bdsg-dpo-rules-and-penalties/?utm_source=openai [4] Cookies Einwilligung Tdddg - https://konfora.de/ratgeber/cookies-einwilligung-tdddg?utm_source=openai [5] Cookie Banner Pflicht - https://cookie-consent-tools.com/cookie-banner-pflicht.html?utm_source=openai [6] Ttdsg - https://www.preeco.de/en/glossary/data-protection/ttdsg?utm_source=openai