Einwilligung für Endeinrichtungen (§ 25 TDDDG) – Ausnahmen des Absatzes 2, Verhältnis zu Art. 6 DSGVO und Einwilligungsverwaltungsdienste

Kurzantwort

Nach § 25 Abs. 1 Satz 1 TDDDG sind „die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, … nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat". Satz 2 bestimmt, dass Information und Einwilligung „gemäß der Verordnung (EU) 2016/679 zu erfolgen" haben – die Wirksamkeitsanforderungen der DSGVO gelten also auch dort, wo gar keine personenbezogenen Daten verarbeitet werden.

§ 25 Abs. 2 TDDDG kennt genau zwei Ausnahmen: die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz als alleinigen Zweck (Nr. 1) und die unbedingte Erforderlichkeit für einen „vom Nutzer ausdrücklich gewünschten digitalen Dienst" (Nr. 2). Eine Interessenabwägung wie bei Art. 6 Abs. 1 lit. f DSGVO sieht § 25 TDDDG nicht vor.

Für die nachgelagerte Verarbeitung der ausgelesenen Daten braucht es zusätzlich eine eigene Rechtsgrundlage nach Art. 6 DSGVO. Verstöße gegen § 25 Abs. 1 Satz 1 TDDDG sind nach § 28 Abs. 1 Nr. 13 i. V. m. Abs. 2 TDDDG mit einer Geldbuße bis zu 300.000 Euro bewehrt. Seit dem 1. April 2025 regelt die Einwilligungsverwaltungsverordnung (EinwV) die Anerkennung von Einwilligungsverwaltungsdiensten nach § 26 TDDDG; ihre Einbindung durch Diensteanbieter ist nach § 18 Abs. 1 EinwV freiwillig.

Kernfakten

Geltungsbereich

§ 25 TDDDG erfasst jede Speicherung von Informationen in einer Endeinrichtung und jeden Zugriff auf dort bereits gespeicherte Informationen – unabhängig von der eingesetzten Technik. Cookies sind nur der bekannteste Fall; erfasst sind ebenso Local Storage, IndexedDB, Zählpixel, Device Fingerprinting und Zugriffe aus Apps heraus.

Ein Personenbezug ist nicht erforderlich: Die Norm schützt nach der Systematik des TDDDG die Privatsphäre und Vertraulichkeit bei der Nutzung der Endeinrichtung, nicht (nur) personenbezogene Daten. Werden durch den Zugriff keine personenbezogenen Daten verarbeitet, gilt allein das TDDDG, nicht die DSGVO (DSK, OH Digitale Dienste v1.2, Rn. 14).

Adressat der Einwilligung ist der Endnutzer der Endeinrichtung – also die Person, die das Gerät objektiv nutzt. Eigentumsverhältnisse am Gerät und die Frage, wer Vertragspartner des Telekommunikationsdienstes ist, sind nach der Auffassung der Aufsichtsbehörden grundsätzlich unerheblich (DSK, OH Digitale Dienste v1.2, Rn. 35).

Die Zuständigkeit ist geteilt: Für Anbieter von Telekommunikationsdiensten und öffentliche Stellen des Bundes ist nach § 29 Abs. 2 TDDDG die oder der BfDI Aufsichtsbehörde für die Einhaltung des § 25; im Übrigen bleibt es bei den Aufsichtsbehörden der Länder. Dieselbe Aufteilung wiederholt § 28 Abs. 3 Nr. 2 TDDDG für die Verfolgung der Ordnungswidrigkeit nach § 28 Abs. 1 Nr. 13.

Ausnahmen

Nr. 1 – Nachrichtenübertragung. Keine Einwilligung ist erforderlich, wenn der alleinige Zweck des Speicherns oder Auslesens die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist. Die Ausnahme richtet sich nach der DSK vornehmlich an Anbieter von Telekommunikationsdiensten (OH Digitale Dienste v1.2, Rn. 64 f.).

Nr. 2 – unbedingt erforderlicher Dienst. Die Ausnahme verlangt zwei Tatbestandsmerkmale, die untrennbar zusammenhängen: einen „vom Nutzer ausdrücklich gewünschten digitalen Dienst" und die „unbedingte Erforderlichkeit" gerade für diesen Dienst. Der deutsche Gesetzgeber hat sich nach Feststellung der Aufsichtsbehörden bewusst eng an Art. 5 Abs. 3 Satz 2 der ePrivacy-Richtlinie 2002/58/EG angelehnt und keine darüber hinausgehenden Ausnahmen aufgenommen (OH Digitale Dienste v1.2, Rn. 67).

Wichtige Abgrenzungen aus der Orientierungshilfe:

• Der bloße Aufruf einer Webseite oder die Installation einer App lässt nicht den Schluss zu, dass das gesamte dahinterliegende Angebot einschließlich aller Unterseiten „ausdrücklich gewünscht" ist (Rn. 70).
• Eine zu Art. 6 Abs. 1 lit. f DSGVO vorgenommene Interessenabwägung begründet nicht automatisch die Voraussetzungen des § 25 Abs. 2 Nr. 2 TDDDG; das bloße Austauschen der Rechtsgrundlage in einer Datenschutzerklärung genügt nicht (Rn. 69).
• Zur „Reichweitenmessung" trifft die DSK bewusst keine pauschale Aussage: Der Begriff sei zu unbestimmt, mit ihm würden sehr unterschiedliche Zwecke verfolgt, und schon die einfache Messung von Besucherzahlen sei nicht per se Bestandteil des Basisdienstes, sondern hänge vom konkret verfolgten Zweck ab (Rn. 87–90).

Häufige Fehler

§ 25 TDDDG und Art. 6 DSGVO werden gleichgesetzt. Beide Prüfungen sind nacheinander zu führen: § 25 TDDDG legitimiert nur das Speichern und Auslesen auf dem Endgerät; für die anschließende Verarbeitung der ausgelesenen Daten ist eine eigene Rechtsgrundlage nach Art. 6 DSGVO nötig (DSK, OH Digitale Dienste v1.2, Rn. 15).

„Berechtigtes Interesse" als Ersatz für die Einwilligung. § 25 TDDDG sieht nur zwei Legitimationsmöglichkeiten vor – wirksame Einwilligung oder eine der beiden Ausnahmen des Absatzes 2. Ein Pendant zu Art. 6 Abs. 1 lit. f DSGVO existiert nicht (Rn. 68).

Cookies werden vor der Einwilligung gesetzt. Die Willenserklärung muss bereits erteilt sein, bevor der einwilligungsbedürftige Zugriff erfolgt; ein Setzen einwilligungsbedürftiger Cookies schon beim erstmaligen Seitenaufruf ist unzulässig (Rn. 36).

Ablehnen erst auf der zweiten Banner-Ebene. Die Ablehnoption muss als gleichwertige Alternative eindeutig erkennbar und leicht wahrnehmbar sein – etwa als in Größe, Farbe, Kontrast und Schriftbild vergleichbarer Button neben „Einwilligung erteilen". Eine Schaltfläche „Einstellungen oder Ablehnen", die auf eine weitere Ebene führt, genügt nach Auffassung der Aufsichtsbehörden nicht (Rn. 135, 137).

Eine einmal erteilte Einwilligung wird als dauerhaft behandelt. Eine feste Gültigkeitsdauer nennt weder das TDDDG noch die DSGVO. Weil sich die Einwilligung stets auf „den bestimmten Fall" bezieht, führt nach der DSK jede Änderung der eingesetzten Cookies oder eingebundenen Drittdienste dazu, dass für den neuen Fall eine neue – bei gebündelter Abfrage: eine erneute gebündelte – Einwilligung einzuholen ist (Rn. 63).

Das TDDDG-Bußgeld wird mit dem DSGVO-Bußgeld verwechselt. Der Verstoß gegen § 25 Abs. 1 Satz 1 TDDDG ist eine Ordnungswidrigkeit nach nationalem Recht mit einem Rahmen bis 300.000 Euro (§ 28 Abs. 1 Nr. 13, Abs. 2 TDDDG). Die umsatzabhängigen Rahmen des Art. 83 DSGVO greifen daneben für Verstöße gegen die DSGVO selbst, etwa bei der Folgeverarbeitung.

Ein anerkannter Einwilligungsverwaltungsdienst gilt als Pflichtprogramm. Die Einbindung ist nach § 18 Abs. 1 EinwV ausdrücklich freiwillig. Und sie entlastet nicht: Nach § 1 Abs. 2 EinwV bleibt der Anbieter des digitalen Dienstes verantwortlich für die Erfüllung der Informationspflichten und für die Anforderungen an die Wirksamkeit der Einwilligung nach der DSGVO.

Beispiel

Ein Online-Shop bindet drei Skripte ein: ein Warenkorb-Cookie, ein Analyse-Werkzeug eines Drittanbieters und einen Werbe-Pixel.

1. Warenkorb-Cookie: Es dient unmittelbar dem vom Nutzer aufgerufenen Bestellvorgang. Die Ausnahme des § 25 Abs. 2 Nr. 2 TDDDG kommt in Betracht, weil die Speicherung für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Eine Einwilligung ist insoweit nicht nötig.
2. Analyse-Werkzeug: Die Aufsichtsbehörden treffen zur „Reichweitenmessung" keine pauschale Freigabe; maßgeblich ist der konkret verfolgte Zweck (OH Digitale Dienste v1.2, Rn. 87–90). Dient die Auswertung der Bewertung von Werbeflächen, liegt darin nach der Orientierungshilfe im Regelfall ein primäres Interesse des Betreibers, nicht ein vom Nutzer gewünschter Dienst (Rn. 90) – dann ist eine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich.
3. Werbe-Pixel: Einwilligungsbedürftig nach § 25 Abs. 1 TDDDG; zusätzlich braucht die anschließende Profilbildung eine eigene Rechtsgrundlage nach Art. 6 DSGVO.

Wird der Werbe-Pixel bereits beim ersten Seitenaufruf ausgelöst, liegt ein Verstoß gegen § 25 Abs. 1 Satz 1 TDDDG vor – die Einwilligung müsste vorher vorliegen (Rn. 36). Die Ordnungswidrigkeit kann mit bis zu 300.000 Euro geahndet werden (§ 28 Abs. 1 Nr. 13, Abs. 2 TDDDG); zuständig ist bei einem privaten Shop-Betreiber die Aufsichtsbehörde des jeweiligen Landes.

Einwilligungsverwaltung nach § 26 TDDDG und EinwV

§ 26 Abs. 1 TDDDG erlaubt die Anerkennung von Diensten zur Verwaltung von Einwilligungen nach § 25 Abs. 1 TDDDG, wenn sie vier Voraussetzungen erfüllen: nutzerfreundliche und wettbewerbskonforme Verfahren (Nr. 1), kein wirtschaftliches Eigeninteresse an der Erteilung der Einwilligung und an den verwalteten Daten sowie Unabhängigkeit von Unternehmen mit einem solchen Interesse (Nr. 2), Zweckbindung auf die Einwilligungsverwaltung (Nr. 3) und ein Sicherheitskonzept (Nr. 4).

Die dazu ermächtigte Rechtsverordnung ist die Einwilligungsverwaltungsverordnung (EinwV) vom 6. Februar 2025 (BGBl. 2025 I Nr. 32), in Kraft seit dem 1. April 2025. Kernpunkte:

• Zuständige Stelle für die Anerkennung ist die oder der BfDI (§ 8 EinwV). Über jede Anerkennung informiert sie die Aufsichtsbehörden der Länder elektronisch (§ 9 Abs. 1 EinwV).
• Nutzerfreundlichkeit setzt eine transparente Oberfläche voraus, die eine freie und informierte Entscheidung ermöglicht, sowie die jederzeitige Einsicht, Änderung und den Widerruf der Einstellungen samt Datum und Uhrzeit (§ 4 Abs. 1 EinwV). Eine Aufforderung zur Überprüfung darf frühestens nach einem Jahr erfolgen (§ 4 Abs. 2 EinwV).
• Wechselrecht: Endnutzer können jederzeit einfach zu einem anderen anerkannten Dienst wechseln und ihre Einstellungen mitnehmen; der abgebende Dienst hält sie in einem gängigen, maschinenlesbaren Format kostenlos zum Abruf bereit (§ 5 EinwV).
• Register: Die zuständige Stelle führt ein öffentliches Register der anerkannten Dienste (§ 13 EinwV). Die BfDI führt darin mit Stand 4. September 2026 einen Dienst: „Consenter" der Law & Innovation Technology GmbH, anerkannt am 17. Oktober 2025.
• Pflichten der Diensteanbieter: Die Einbindung ist freiwillig (§ 18 Abs. 1 EinwV). Wer einbindet, soll unter anderem an sichtbarer Stelle darauf hinweisen und dem Dienst die nach Art. 7 und 12 bis 14 DSGVO erforderlichen Informationen maschinenlesbar bereitstellen (§ 18 Abs. 3 EinwV); die Einstellungen der Endnutzer sind zu berücksichtigen (§ 19 Abs. 1 EinwV).
• Widerruf: Die BfDI hat die Anerkennung zu widerrufen, wenn ihr Tatsachen bekannt werden, nach denen die Voraussetzungen nicht mehr erfüllt sind (§ 16 EinwV); der Anbieter muss jährlich selbst prüfen und Änderungen unverzüglich anzeigen (§ 14 EinwV).

Quellen

• § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen, amtliche Einzelnorm (Autorität A): https://www.gesetze-im-internet.de/ttdsg/__25.html A
• § 26 TDDDG – Anerkannte Dienste zur Einwilligungsverwaltung, Endnutzereinstellungen (Autorität A): https://www.gesetze-im-internet.de/ttdsg/__26.html A
• § 28 TDDDG – Bußgeldvorschriften (Autorität A): https://www.gesetze-im-internet.de/ttdsg/__28.html A
• § 29 TDDDG – Zuständigkeit, Aufgaben und Befugnisse der oder des BfDI (Autorität A): https://www.gesetze-im-internet.de/ttdsg/__29.html A
• TDDDG, Gesamtausgabe mit Fußnote zum Inkrafttreten und zur Umbenennung (Autorität A): https://www.gesetze-im-internet.de/ttdsg/BJNR198210021.html A
• Einwilligungsverwaltungsverordnung (EinwV), Gesamtausgabe mit Ausfertigungsdatum und Inkrafttretensvermerk (Autorität A): https://www.gesetze-im-internet.de/einwv/BJNR0200B0025.html A
• § 8 EinwV – Zuständige Stelle (Autorität A): https://www.gesetze-im-internet.de/einwv/__8.html A
• § 13 EinwV – Register der anerkannten Dienste zur Einwilligungsverwaltung (Autorität A): https://www.gesetze-im-internet.de/einwv/__13.html A
• § 18 EinwV – Maßnahmen durch Anbieter von digitalen Diensten zur Einbindung anerkannter Dienste (Autorität A): https://www.gesetze-im-internet.de/einwv/__18.html A
• BfDI, Dienste zur Einwilligungsverwaltung nach § 26 TDDDG, mit dem Register der anerkannten Dienste nach § 13 EinwV (Autorität B): https://www.bfdi.bund.de/DE/Fachthemen/Inhalte/Telefon-Internet/Einwilligungsverwaltung/Einwilligungsverwaltung.html B
• DSK, Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2, Stand November 2024 (Autorität C): https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf B
• Hinweis zu EUR-Lex: Der amtliche Volltext der DSGVO und der ePrivacy-Richtlinie 2002/58/EG auf eur-lex.europa.eu war am 04.09.2026 aus der Prüfumgebung erneut nicht abrufbar (HTTP 202 mit leerem Body, vierter Tag in Folge). Auf einen ungeprüften Direktlink wird deshalb verzichtet; die unionsrechtlichen Bezüge sind über den Verweis des § 25 Abs. 1 Satz 2 TDDDG auf die Verordnung (EU) 2016/679 und über die Orientierungshilfe der Aufsichtsbehörden belegt.

Siehe auch

• Online-Tracking & ePrivacy – TDDDG, Cookies, Fingerprinting
• Einwilligung (Art. 7 DSGVO)
• Rechtsgrundlagen der Verarbeitung (Art. 6 DSGVO)
• EuGH C-604/22 – IAB Europe, TC String und Real-Time-Bidding
• Informationspflichten (Art. 13, 14 DSGVO)
• DSGVO-Bußgelder
• Beschwerde bei der Aufsichtsbehörde (Art. 77–79 DSGVO)
• Anonymisierung und Pseudonymisierung
• Privacy by Design

Änderungsverlauf

• 2026-09-04: Seite erstellt. Wortlaut der §§ 25, 26, 28 und 29 TDDDG sowie der §§ 1, 3 bis 5, 8, 9, 13, 14, 16, 18 und 19 EinwV aus den amtlichen Einzelnorm- und Gesamtausgaben auf gesetze-im-internet.de übernommen (TDDDG liegt dort weiterhin im Verzeichnis /ttdsg/). Register der anerkannten Einwilligungsverwaltungsdienste am 04.09.2026 bei der BfDI abgerufen. Positionen der Aufsichtsbehörden aus der DSK-Orientierungshilfe Digitale Dienste v1.2 (November 2024) als Meinungsstand gekennzeichnet. Kein EUR-Lex-Direktlink wegen HTTP 202 mit leerem Body.

Stand

• Stand: 2026-09-04
• Gültig ab: 2025-04-01
• Status: aktuell
• Quellenautorität: A
• Lizenz: CC BY 4.0
• Hinweis: Diese Seite gibt geltende Normen und die veröffentlichte Auffassung der Datenschutzaufsichtsbehörden wieder. Sie ist eine allgemeine Information und keine Rechtsberatung im Einzelfall.