Cookie-Einwilligung nach dem TDDDG

Cookie-Einwilligung in Deutschland: die Regel des § 25 TDDDG

Die Cookie-Einwilligung ist in Deutschland in § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) geregelt, der Art. 5 Abs. 3 der ePrivacy-Richtlinie der EU umsetzt. Das Speichern von Informationen in der Endeinrichtung eines Nutzers – Computer, Smartphone, Smart-TV, vernetztes Fahrzeug – oder der Zugriff auf dort bereits gespeicherte Informationen ist nur zulässig, wenn der Nutzer auf Grundlage von klaren und umfassenden Informationen eingewilligt hat. Information und Einwilligung müssen den Anforderungen der Datenschutz-Grundverordnung (DSGVO) entsprechen.

Die Regel erfasst Cookies, aber auch Local Storage, Device Fingerprinting, Tracking-Pixel, die Geräteinformationen auslesen, Software Development Kits (SDKs) in Apps und vergleichbare Technologien. Sie gilt unabhängig davon, ob es sich bei den Informationen um personenbezogene Daten handelt.

Es gelten zwei Ausnahmen (§ 25 Abs. 2 TDDDG): Eine Einwilligung ist nicht erforderlich, wenn der alleinige Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist oder wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann. Alles andere – Analyse, Werbung, Personalisierung, die meisten Drittanbieter-Tools – erfordert eine Cookie-Einwilligung.

Das Gesetz hieß früher TTDSG und wurde 2024 umbenannt; der Inhalt des § 25 hat sich dadurch nicht geändert. Da die Vorschrift eine EU-Richtlinie umsetzt, legen die deutschen Behörden sie im Einklang mit den Leitlinien des Europäischen Datenschutzausschusses und der Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH) aus, und die Regeln sind in der EU weitgehend ähnlich – auch wenn sich Durchsetzungsschwerpunkte und Erwartungen an Banner zwischen den Mitgliedstaaten unterscheiden, was für Unternehmen wichtig ist, die ein einheitliches Banner für mehrere Länder verwenden.

Was eine wirksame Einwilligung voraussetzt

Da § 25 Abs. 1 TDDDG auf die DSGVO verweist, muss die Einwilligung freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich durch eine eindeutige bestätigende Handlung erteilt werden und so einfach zu widerrufen sein, wie sie erteilt wurde. Der EuGH hat in der Rechtssache Planet49 (C-673/17, 2019) entschieden, dass voreingestellte Ankreuzkästchen keine wirksame Einwilligung darstellen. Deutsche Aufsichtsbehörden und Gerichte haben diese Grundsätze auf Cookie-Banner angewandt:

• Gleichwertige Wahl: Ablehnen muss so einfach sein wie Akzeptieren. Ein Banner mit einer hervorgehobenen Schaltfläche „Alle akzeptieren“ und einer erst auf der zweiten Ebene versteckten Ablehnungsmöglichkeit bietet nach Auffassung deutscher Behörden und mehrerer Gerichte keine freie Wahl.
• Keine Beeinflussung: Farben, Größen und Formulierungen dürfen Nutzer nicht zur Einwilligung lenken; irreführende Beschriftungen wie „OK“ für eine Einwilligung sind problematisch.
• Bestimmte Zwecke: Nutzer müssen über Zwecke und Empfänger, einschließlich Drittanbietern, informiert werden und zweckbezogen einwilligen können.
• Kein Tracking vor der Einwilligung: Einwilligungspflichtige Skripte und Tags dürfen nicht ausgelöst werden, bevor der Nutzer seine Wahl getroffen hat.
• Widerruf: eine dauerhafte, leicht zugängliche Möglichkeit, die Einstellungen zu ändern, etwa ein Link oder ein Symbol auf jeder Seite.

§ 25 TDDDG und DSGVO: zwei Ebenen

§ 25 TDDDG regelt den Vorgang des Speicherns von oder des Zugriffs auf Informationen im Endgerät. Die anschließende Verarbeitung der so gewonnenen personenbezogenen Daten – etwa die Analyse des Surfverhaltens oder die Bildung von Werbeprofilen – braucht eine eigene Rechtsgrundlage nach der DSGVO. Ist eine Einwilligung nach § 25 TDDDG eingeholt worden, deckt dieselbe Einwilligung in der Regel auch die nachfolgende Verarbeitung ab, sofern die Informationen beides umfassen. Übermittlungen von Daten in Drittländer über Analyse- und Werbetools müssen zusätzlich Kapitel V DSGVO entsprechen; siehe unseren Beitrag zu internationalen Datenübermittlungen.

Drittanbieter-Tools und gemeinsame Verantwortlichkeit

Websitebetreiber, die Drittanbieter-Tools einbinden – Social-Media-Plugins, Werbenetzwerke, Analysedienste –, bleiben für die Cookie-Einwilligung verantwortlich, auch wenn der Drittanbieter die Cookies setzt. Der EuGH hat in der Rechtssache Fashion ID (C-40/17, 2019) entschieden, dass ein Websitebetreiber, der ein Social Plugin einbindet, für die Erhebung und Übermittlung der Daten gemeinsam mit dem Anbieter des Plugins verantwortlich sein kann und für diesen Vorgang die Einwilligung einholen muss.

In der Praxis sollten Betreiber Skripte von Drittanbietern erst nach erteilter Einwilligung laden, geeignete Vereinbarungen mit den Anbietern schließen und deren eigene Datennutzung prüfen. Tag-Manager machen es Marketingteams leicht, Tools ohne rechtliche Prüfung hinzuzufügen, daher ist eine klare Governance für den Tag-Manager unverzichtbar.

Nachweis der Cookie-Einwilligung

Der Verantwortliche muss nachweisen können, dass eine wirksame Einwilligung eingeholt wurde (Art. 7 Abs. 1 DSGVO). Consent-Management-Plattformen sollten die Version des angezeigten Banners, die getroffenen Entscheidungen, Zeitstempel und eine pseudonyme Kennung protokollieren und die Präferenzen des Nutzers speichern, damit sie bei späteren Besuchen beachtet werden. Ändern sich Banner, Zwecke oder Anbieterliste wesentlich, ist eine erneute Cookie-Einwilligung erforderlich. Die Nachweise sollten so lange aufbewahrt werden, wie man sich auf die Einwilligung stützt, und darüber hinaus für einen angemessenen Zeitraum, um Anfragen von Behörden und Ansprüche beantworten zu können.

Dienste zur Einwilligungsverwaltung nach § 26 TDDDG

Um der Einwilligungsmüdigkeit entgegenzuwirken, sieht § 26 TDDDG anerkannte Dienste zur Einwilligungsverwaltung vor (Personal Information Management Systems, PIMS). Solche Dienste müssen nutzerfreundliche und wettbewerbskonforme Verfahren anbieten, dürfen kein wirtschaftliches Eigeninteresse an den Einwilligungsentscheidungen haben, verarbeiten Daten nur zur Einwilligungsverwaltung und müssen ein Sicherheitskonzept vorlegen; sie können von einer unabhängigen Stelle anerkannt werden. Die Einwilligungsverwaltungsverordnung (EinwV) regelt die Anforderungen und das Anerkennungsverfahren sowie die technischen und organisatorischen Maßnahmen, die Anbieter digitaler Dienste ergreifen sollen, um die in einem anerkannten Dienst gespeicherten Einstellungen zu beachten. Die Teilnahme von Websitebetreibern ist nach deutschem Recht freiwillig, sodass die praktische Wirkung davon abhängt, ob Browser, Dienste und die von Nutzern am häufigsten besuchten Websites sie annehmen.

Durchsetzung und Sanktionen

Das Speichern von oder der Zugriff auf Informationen entgegen § 25 Abs. 1 TDDDG ist eine Ordnungswidrigkeit, die mit einer Geldbuße von bis zu 300.000 Euro geahndet werden kann (§ 28 Abs. 1 Nr. 13 und Abs. 2 TDDDG). Werden personenbezogene Daten rechtswidrig verarbeitet, kommen zudem DSGVO-Bußgelder und Schadensersatzansprüche in Betracht. Die Datenschutzaufsichtsbehörden der Länder beaufsichtigen Websites und Apps der Unternehmen in ihrem Land; sie haben Prüfaktionen bei viel besuchten Websites durchgeführt und Warnschreiben wegen nicht konformer Banner versandt. Verbraucherverbände haben Unterlassungsklagen gegen irreführende Bannergestaltungen erhoben, und Wettbewerber stützen sich gelegentlich auf das Lauterkeitsrecht. Siehe unsere Beiträge zu DSGVO-Bußgeldern in Deutschland und zum DSGVO-Schadensersatz.

Cookie-Einwilligung und wirtschaftliche Erwägungen

Viele Unternehmen befürchten, dass rechtskonforme Banner die Einwilligungsquoten und damit die Daten für das Marketing verringern. Die Erfahrung zeigt, dass gut gestaltete Banner – klare Sprache, ehrliche Erläuterung der Zwecke, eine begrenzte Zahl von Anbietern – ohne Manipulation angemessene Einwilligungsquoten erreichen können. Unternehmen können ihre Abhängigkeit von der Cookie-Einwilligung zudem verringern, indem sie datenschutzfreundliche Analysetools nutzen, die so konfiguriert sind, dass sie nach Möglichkeit keine Informationen auf Endgeräten speichern, indem sie stärker auf mit Einwilligung in Kundenkonten gewonnene First-Party-Daten setzen und indem sie kontextbezogene Werbung einsetzen, die kein seitenübergreifendes Tracking erfordert. Diese Entscheidungen sollten bewusst und mit rechtlicher Prüfung getroffen werden, statt durch das schrittweise Hinzufügen von Tools durch einzelne Teams.

Apps, vernetzte Geräte und neue Technologien

§ 25 TDDDG ist technologieneutral. In mobilen Apps erfordern SDKs, die Gerätekennungen auslesen oder Informationen speichern, eine Einwilligung, sofern dies nicht unbedingt erforderlich ist. Vernetzte Fahrzeuge, Smart-Home-Geräte und Wearables sind ebenfalls Endeinrichtungen: Der Zugriff auf darin gespeicherte Daten für andere Zwecke als den gewünschten Dienst erfordert eine Einwilligung. Serverseitiges Tracking umgeht § 25 TDDDG nicht, wenn weiterhin Informationen aus dem Endgerät ausgelesen oder dort gespeichert werden, und es umgeht auch nicht die DSGVO für die nachfolgende Verarbeitung. Pay-or-Consent-Modelle, bei denen Nutzer entweder in Tracking einwilligen oder bezahlen müssen, werden von Behörden und Gerichten in der gesamten EU kritisch geprüft; im Mittelpunkt steht dabei die Frage, ob die kostenpflichtige Alternative angemessen bepreist und tatsächlich gleichwertig ist.

Der Digital Omnibus: mögliche Änderungen

Der Vorschlag der Europäischen Kommission für einen Digital Omnibus vom November 2025 würde die Cookie-Regeln reformieren: Bestimmte risikoarme Zwecke wie eine aggregierte Reichweitenmessung und die Sicherheit würden keine Cookie-Einwilligung mehr erfordern, Ablehnungen müssten für einen gewissen Zeitraum respektiert werden, bevor erneut gefragt wird, und Websites müssten künftig maschinenlesbare Einwilligungssignale von Browsern akzeptieren. Der Verhandlungstext des Rates vom Juni 2026 verortet diese Regeln in der ePrivacy-Richtlinie. Bis die Änderungen angenommen und umgesetzt sind, gilt § 25 TDDDG unverändert. Siehe unseren Beitrag zum Digital Omnibus.

B2B-Websites, Intranets und Beschäftigte

Die Regeln gelten auch für B2B-Websites und -Portale; § 25 TDDDG schützt alle Endnutzer, nicht nur Verbraucher. In Intranets und auf Geräten der Beschäftigten greifen Arbeitgeber für IT-Sicherheit und Administration auf Informationen in Endeinrichtungen zu; ein Zugriff, der für die von den Beschäftigten genutzten Dienste unbedingt erforderlich ist, ist ausgenommen, während eine darüber hinausgehende Überwachung eine Rechtsgrundlage und in Unternehmen mit Betriebsrat die Mitbestimmung erfordert. Eine Einwilligung im Beschäftigungsverhältnis ist häufig nicht freiwillig, sodass Arbeitgeber sich nach Möglichkeit auf andere Rechtsgrundlagen stützen sollten.

Fallbeispiel

Fallbeispiel: Ein hypothetischer deutscher Online-Händler betreibt einen Shop mit Webanalyse, Retargeting-Pixeln und einem eingebetteten Videoplayer. Eine Prüfung ergibt, dass zwei Werbepixel ausgelöst werden, bevor das Banner beantwortet ist, und dass das Banner nur „Alle akzeptieren“ und „Einstellungen“ anbietet. Der Händler konfiguriert seinen Tag-Manager so um, dass alle nicht notwendigen Tags bis zur Einwilligung blockiert werden, ergänzt auf der ersten Ebene eine gleich prominente Schaltfläche „Alle ablehnen“, stellt den Videoplayer auf einen Modus um, der erst nach Einwilligung lädt, und aktualisiert seine Anbieterliste. Er dokumentiert die Änderungen und die neuen Einwilligungsnachweise, die er vorlegen kann, wenn die Datenschutzaufsichtsbehörde des Landes nachfragt.

Praktische Checkliste

1. Erfassen Sie alle Cookies, Skripte, Pixel und SDKs auf Websites und in Apps mit Zweck, Anbieter und Speicherdauer.
2. Ordnen Sie jedes Element als unbedingt erforderlich oder einwilligungspflichtig ein und dokumentieren Sie die Begründung für jede Einordnung.
3. Konfigurieren Sie die Plattform für die Cookie-Einwilligung so, dass alle einwilligungspflichtigen Technologien bis zur Einwilligung des Nutzers blockiert werden.
4. Gestalten Sie das Banner mit gleichwertigen Optionen zum Akzeptieren und Ablehnen auf der ersten Ebene, in verständlichem Deutsch.
5. Stellen Sie klare Informationen zu Zwecken und Anbietern, zweckbezogene Auswahlmöglichkeiten und einen Link zur Datenschutzerklärung bereit.
6. Ermöglichen Sie einen einfachen Widerruf auf jeder Seite und dokumentieren Sie die Einwilligungsnachweise sicher.
7. Überprüfen Sie die Einstellungen regelmäßig, weil Marketingteams häufig neue Tags hinzufügen, und testen Sie nach jedem Website- oder App-Release erneut.

So unterstützt TRW & Co bei der Cookie-Einwilligung

Wir beraten Websitebetreiber, App-Anbieter, Verlage und Hersteller vernetzter Geräte zur Cookie-Einwilligung nach § 25 TDDDG und der DSGVO: Wir prüfen Websites und Apps, gestalten rechtskonforme Banner und Einwilligungsabläufe, überprüfen Analyse- und Werbe-Setups, bewerten Pay-or-Consent-Modelle und verteidigen gegen behördliche Verfahren und Ansprüche von Verbraucherverbänden. Siehe unsere Seite zu DSGVO und Datenschutz oder kontaktieren Sie uns.