Neben der DSGVO taucht bei Cookie-Themen regelmäßig ein zweites Gesetz auf: das TTDSG. Viele Website-Betreiber wissen zwar, dass es relevant ist, aber nicht genau, was es eigentlich regelt und wie es sich zur DSGVO verhält. Dieser Artikel schafft Klarheit.

Warum dieser Unterschied für Website-Betreiber praktisch relevant ist

Für die tägliche Praxis mag die Unterscheidung zwischen unmittelbar geltender Verordnung und national umzusetzender Richtlinie akademisch wirken – sie erklärt aber, warum manche Datenschutzthemen (etwa die grundsätzliche Rechtmäßigkeit einer Verarbeitung) EU-weit einheitlich beurteilt werden, während andere Aspekte wie der genaue Umgang mit Cookie-Bannern in Details von Land zu Land abweichen können, je nachdem, wie die ePrivacy-Richtlinie dort umgesetzt wurde.

Für Websites, die sich an ein internationales Publikum richten, kann das im Einzelfall bedeuten, dass die Cookie-Banner-Konfiguration je nach Zielland leicht unterschiedlich ausfallen muss, um allen jeweiligen nationalen Anforderungen gerecht zu werden.

Warum ein eigenes deutsches Gesetz neben der DSGVO?

Die DSGVO ist eine EU-Verordnung und gilt unmittelbar in allen Mitgliedstaaten, ohne dass eine nationale Umsetzung nötig wäre. Die zugrunde liegende ePrivacy-Richtlinie ist hingegen – anders als eine Verordnung – nur eine Richtlinie, die von jedem Mitgliedstaat eigenständig in nationales Recht umgesetzt werden muss. Das TTDSG ist genau diese deutsche Umsetzung für den Bereich des Endgerätezugriffs und ergänzt damit die unmittelbar geltende DSGVO um eine national spezifische Regelung.

Was ist das TTDSG?

Das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) ist 2021 in Kraft getreten und hat die frühere ePrivacy-Umsetzung im Telemediengesetz abgelöst. Zentral für Website-Betreiber ist § 25 TTDSG: Er regelt, wann auf dem Endgerät eines Nutzers gespeicherte Informationen (Cookies, Local Storage, Device Fingerprinting) gelesen oder geschrieben werden dürfen.

Der entscheidende Unterschied zur DSGVO

Während die DSGVO die Verarbeitung personenbezogener Daten regelt, knüpft § 25 TTDSG am technischen Zugriffsvorgang selbst an – unabhängig davon, ob dabei überhaupt personenbezogene Daten im DSGVO-Sinne verarbeitet werden. Das bedeutet: Schon das reine Setzen eines technisch nicht notwendigen Cookies benötigt eine Einwilligung nach TTDSG, selbst wenn man argumentieren könnte, dass die gespeicherten Werte allein keine Person identifizieren. Diese beiden Rechtsgrundlagen wirken bei den meisten Tracking-Diensten parallel: TTDSG für den Zugriff auf das Endgerät, DSGVO für die anschließende Verarbeitung der dabei erhobenen Daten.


🍪 Prüfen Sie den TTDSG-Status Ihrer Website

Der Scanner erkennt automatisch, welche Dienste vor Zustimmung auf das Endgerät zugreifen. Jetzt kostenlos prüfen ↑

Historischer Hintergrund: Von der Cookie-Richtlinie zum TTDSG

Die europäische Grundlage geht auf die ePrivacy-Richtlinie von 2009 zurück, die in Deutschland lange Zeit nur unzureichend in nationales Recht umgesetzt war – ein Umstand, der jahrelang für rechtliche Unsicherheit sorgte. Erst mit dem TTDSG wurde 2021 eine klare, eigenständige nationale Regelung für den Endgerätezugriff geschaffen, die seitdem als zentrale Rechtsgrundlage für Cookie-Banner in Deutschland dient.

Wann eine Einwilligung nach § 25 TTDSG nötig ist

Eine Einwilligung ist grundsätzlich erforderlich, sobald nicht technisch notwendige Informationen auf dem Endgerät gespeichert oder ausgelesen werden. Ausgenommen sind laut § 25 Abs. 2 TTDSG nur Zugriffe, die für die technische Bereitstellung des vom Nutzer ausdrücklich gewünschten Dienstes unbedingt erforderlich sind – etwa ein Warenkorb-Cookie oder ein Session-Cookie für den Login-Status. Analyse-, Marketing- und die meisten eingebetteten Drittinhalte-Cookies fallen nicht unter diese Ausnahme.

Die technisch notwendigen Ausnahmen im Detail

  • Session-Cookies: z. B. für den Login-Status während einer Sitzung.
  • Warenkorb-Cookies: damit ein Online-Shop sich merkt, welche Artikel ausgewählt wurden.
  • Lastverteilungs-Cookies: rein technische Cookies zur Serverzuweisung.
  • Sicherheits-Cookies: z. B. zum Schutz vor Cross-Site-Request-Forgery.

Nicht erfasst von der Ausnahme sind hingegen Reichweitenmessung, Personalisierung oder Werbe-Tracking – selbst wenn ein Anbieter diese als „notwendig für den Betrieb" bewirbt.

Abgrenzung zu berechtigtem Interesse nach DSGVO

Ein häufiges Missverständnis: Manche Betreiber argumentieren, eine Verarbeitung sei auf Basis eines „berechtigten Interesses" nach Art. 6 Abs. 1 lit. f DSGVO zulässig und daher keine Einwilligung nötig. Das mag für die anschließende Datenverarbeitung selbst zutreffen, ändert aber nichts an der TTDSG-Einwilligungspflicht für den vorgelagerten technischen Zugriff auf das Endgerät – beide Rechtsgrundlagen sind getrennt zu prüfen, und ein berechtigtes Interesse nach DSGVO ersetzt keine TTDSG-Einwilligung.

Wer ist für die Einhaltung verantwortlich?

Verantwortlich ist der Anbieter des Telemediendienstes – in der Praxis also der Website-Betreiber, unabhängig davon, ob die eingebundenen Skripte von Drittanbietern stammen. Wer beispielsweise ein Cookie-Banner-Plugin eines Drittanbieters nutzt, bleibt selbst dafür verantwortlich, dass dieses Plugin korrekt konfiguriert ist und tatsächlich vor Zustimmung blockiert.

Zusammenspiel mit dem Cookie-Consent-Management

In der praktischen Umsetzung äußert sich § 25 TTDSG fast immer über dieselbe technische Komponente wie die DSGVO-Einwilligung: den Cookie-Consent-Manager. Dieser muss so konfiguriert sein, dass einwilligungspflichtige Skripte technisch erst nach aktiver Auswahl der entsprechenden Kategorie geladen werden. Ein häufiger, aber folgenreicher Irrtum ist die Annahme, ein optisch korrekt gestalteter Cookie-Banner erfülle die TTDSG-Anforderungen bereits automatisch – entscheidend ist stets die tatsächliche technische Wirkung, nicht nur die äußere Gestaltung.

Praxisbeispiel: Handwerksbetrieb „Dachdeckerei Voss"

Ein fiktiver Handwerksbetrieb hatte auf seiner Website ein eingebettetes Bewertungswidget eines externen Anbieters, das beim Laden automatisch ein Tracking-Cookie setzte – unabhängig von der Cookie-Auswahl. Der Betreiber war überzeugt, dass dies unter die „technisch notwendigen" Ausnahmen fiele, da das Widget ja „nur Bewertungen anzeigt". Der Scan zeigte jedoch: Das gesetzte Cookie diente tatsächlich der Reichweitenmessung des Widget-Anbieters – keine TTDSG-Ausnahme. Die Lösung: Einbindung des Widgets über den Cookie-Consent-Manager, sodass es nur nach entsprechender Zustimmung lädt.

Der Betreiber richtete zusätzlich eine kurze, jährlich wiederkehrende Erinnerung ein, alle eingebundenen Drittwidgets erneut daraufhin zu prüfen, ob sich deren Funktionsweise oder Datenverarbeitung zwischenzeitlich geändert hat – ein Umstand, der bei extern gehosteten Widgets nicht immer aktiv kommuniziert wird.

Zuständige Aufsichtsbehörden

Anders als bei rein DSGVO-bezogenen Fragen, bei denen teils auch der Bundesbeauftragte für den Datenschutz zuständig sein kann, liegt die Aufsicht über § 25 TTDSG bei den jeweiligen Landesdatenschutzbehörden. Beschwerden von Nutzern über nicht-konforme Cookie-Banner landen daher üblicherweise bei der Behörde des Bundeslands, in dem der jeweilige Website-Betreiber seinen Sitz hat.

Bußgelder und Durchsetzung

Verstöße gegen § 25 TTDSG können von den Datenschutzaufsichtsbehörden der Länder geahndet werden. Anders als bei DSGVO-Verstößen sieht das TTDSG selbst keinen eigenen Bußgeldrahmen in Milliardenhöhe vor, doch in der Praxis werden TTDSG- und DSGVO-Verstöße bei Cookie-Sachverhalten häufig gemeinsam bewertet, da beide Rechtsgrundlagen bei den meisten Tracking-Vorgängen parallel greifen.

TTDSG bei mobilen Apps und Smart-TV-Anwendungen

Auch außerhalb klassischer Websites gilt § 25 TTDSG grundsätzlich technologieneutral – etwa für Apps oder Smart-TV-Anwendungen, die auf gerätespezifische Kennungen zugreifen (z. B. Werbe-IDs). Betreiber solcher Anwendungen sollten dieselben Grundsätze anwenden wie bei Websites: technisch notwendige Zugriffe ohne Einwilligung, alle anderen Zugriffe – etwa für Analyse oder personalisierte Werbung – nur nach vorheriger, aktiver Zustimmung des Nutzers.

Technisch unterscheidet sich die Umsetzung eines entsprechenden Consent-Dialogs in einer nativen App oder auf einem Smart-TV-Betriebssystem von einer klassischen Website, die rechtliche Grundanforderung bleibt aber identisch.

Praktische Prüfschritte für die eigene Website

  1. Website im Inkognito-Modus öffnen, ohne den Cookie-Banner zu bestätigen.
  2. Entwicklertools öffnen und den Anwendungsbereich (Application/Storage) auf gesetzte Cookies und Local-Storage-Einträge prüfen.
  3. Für jeden gefundenen Eintrag klären: Dient er der technischen Bereitstellung des gewünschten Dienstes, oder handelt es sich um Analyse, Marketing oder eingebettete Drittinhalte?
  4. Bei Zweifeln über die Einordnung: im Zweifel als einwilligungspflichtig behandeln, da die TTDSG-Ausnahme eng auszulegen ist.

Verhältnis zu internationalen Websites

Betreiber, die ihre Website auch für den deutschen Markt anbieten, müssen § 25 TTDSG unabhängig vom Sitz des Unternehmens beachten, sobald sich das Angebot erkennbar an deutsche Nutzer richtet. Ein rein englischsprachiges internationales Angebot ohne spezifischen Bezug zu Deutschland unterliegt hingegen in der Regel nicht zusätzlich dem TTDSG, wohl aber weiterhin der unmittelbar geltenden DSGVO, sofern personenbezogene Daten von EU-Bürgern verarbeitet werden.

Häufig gestellte Fragen

Gilt das TTDSG auch für Apps?

Ja, § 25 TTDSG ist technologieneutral formuliert und erfasst grundsätzlich auch mobile Apps, sofern sie auf gespeicherte Informationen auf dem Endgerät zugreifen.

Reicht ein Hinweis im Impressum statt eines Cookie-Banners?

Nein. Ein reiner Hinweistext ersetzt keine aktive, granulare Einwilligung, wie sie § 25 TTDSG für nicht-notwendige Zugriffe verlangt.

Was passiert bei einer reinen Serverside-Analyse ohne Cookie?

Erfolgt keinerlei Zugriff auf das Endgerät des Nutzers (z. B. reine serverseitige Logfile-Auswertung ohne individualisierende Cookies), greift § 25 TTDSG grundsätzlich nicht – hier ist im Einzelfall jedoch die genaue technische Umsetzung entscheidend.

Zusammenfassung der wichtigsten Prüfpunkte

  • ☐ Nur technisch zwingend notwendige Cookies laden ohne vorherige Einwilligung
  • ☐ Alle Analyse-, Marketing- und eingebetteten Drittinhalte-Dienste sind an den Consent-Manager gekoppelt
  • ☐ Regelmäßige Kontrolle nach jedem Website-Update oder Plugin-Wechsel

Fazit

Das TTDSG ergänzt die DSGVO um eine technikbezogene Komponente: Es entscheidet, ob überhaupt auf das Endgerät zugegriffen werden darf – unabhängig von der Frage, ob die dabei erhobenen Daten personenbezogen sind. Wer beide Rechtsgrundlagen im Blick behält, ist bei der Cookie-Compliance deutlich besser aufgestellt.