Online-Tracking & ePrivacy – TDDDG, Cookies, Fingerprinting In Kraft
Kurzantwort
Für **jeden Zugriff auf Endgeräte des Nutzers** (Cookies, LocalStorage, IndexedDB, Fingerprinting, Pixel) gilt seit dem **14. Mai 2024 das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG)** – Nachfolger des TTDSG. § 25 TDDDG verlangt **vorherige Einwilligung** des Nutzers; Ausnahme nur für **technisch zwingend erforderliche** Zugriffe. **DSGVO greift parallel** bei Verarbeitung personenbezogener Daten. Die deutsche **Einwilligungsverwaltungsverordnung (EinwV)** ist am **1. April 2025 in Kraft getreten** (BGBl. 2025 I Nr. 32): Sie schafft den Rahmen für **anerkannte Dienste zur Einwilligungsverwaltung** (PIMS) als Alternative zum Cookie-Banner; anerkennende Stelle ist der BfDI (§ 8 EinwV). Die Nutzung solcher Dienste ist für Websitebetreiber freiwillig.
Kernfakten
| Punkt | Wert |
|---|---|
| Rechtsgrundlage | § 25 TDDDG (vorher § 25 TTDSG) [gesetze-im-internet.de, TDDDG] |
| EU-Grundlage | Art. 5 Abs. 3 ePrivacy-Richtlinie 2002/58/EG |
| Geltung TDDDG | seit 14. Mai 2024 (Nachfolger TTDSG durch DDG-Paket) |
| Einwilligungspflicht | für jede Speicherung/Zugriff auf Endgerät [§ 25 Abs. 1 TDDDG] |
| Ausnahme „technisch erforderlich" | nur unbedingt nötig zur Erbringung des angeforderten Dienstes [§ 25 Abs. 2 TDDDG] |
| Erfasste Technologien | Cookies, LocalStorage, IndexedDB, Service Workers, Fingerprinting, Pixel |
| Cookie-Banner-Pflichten | bewusste, informierte, freiwillige, eindeutige Einwilligung [Art. 4 Nr. 11 DSGVO] |
| Verbot „Dark Patterns" | irreführende Buttons unzulässig [DSK-Beschluss 04/2023, EDPB Guidelines 03/2022] |
| „Ablehnen"-Button Pflicht | gleichwertig erreichbar wie „Akzeptieren" [DSK 04/2023] |
| Speicherdauer Cookies | sollte begrenzt sein; Speicherbegrenzungsprinzip DSGVO Art. 5 |
| Pre-ticked Boxen | unzulässig (EuGH C-673/17 „Planet49") |
| Cookie-Wall (Pay or OK) | EDPB-Stellungnahme 2024: nur eingeschränkt zulässig |
| Fingerprinting | gleiche Einwilligungspflicht wie Cookies [DSK 03/2024] |
| Server-Side-Tracking | weiterhin DSGVO-pflichtig, ggf. mit Auftragsverarbeitung |
| Drittland-Übermittlung (USA) | Data Privacy Framework + ggf. SCC notwendig [Art. 44 ff. DSGVO] |
| Aufsichtsbehörde Cookie/§ 25 | Datenschutzbehörden der Bundesländer; BfDI bei TK-Anbietern und öffentlichen Stellen des Bundes [§ 29 Abs. 2 TDDDG] |
| Bußgelder | bis 300.000 € [§ 28 TDDDG] |
| Bußgelder DSGVO parallel | bis 20 Mio. € oder 4 % weltw. Jahresumsatz [Art. 83 DSGVO] |
| Einwilligungsverwaltung (PIMS) | EinwV auf Grundlage des § 26 Abs. 2 TDDDG, verkündet 10.02.2025 (BGBl. 2025 I Nr. 32), in Kraft seit 01.04.2025; Anerkennung der Dienste durch den BfDI [§ 8 EinwV] |
| EU-Cookie-Banner-Verordnung | EU-Kommission Vorschlag erwartet 2025/2026 |
| Anonymisierung als Ausweg | erst nach Anonymisierung kein DSGVO mehr (EuGH C-582/14 „Breyer") |
| ePrivacy-VO (EU-Vorschlag) | seit 2017 in Verhandlung, Verabschiedung offen |
Häufige Fehler
- „Google Analytics 4 = anonymisiert, also keine Einwilligung." Falsch – GA4 verarbeitet weiterhin pseudonyme Identifier; Einwilligung Pflicht.
- „Berechtigtes Interesse reicht für Marketing-Cookies." Nein – § 25 TDDDG verlangt für alle nicht-zwingend technischen Cookies Einwilligung.
- „Einwilligung gilt unbegrenzt." EDPB empfiehlt Wiederholung alle 6-12 Monate; nach Cookie-Lebenszeit ohnehin neu.
Änderungsverlauf
- 2026-09-05: Faktencheck gegen den TDDDG-Volltext (lxgesetze.de/tdddg, §§ 25, 26, 28–30): Einwilligungspflicht, Ausnahmen des § 25 Abs. 2 und Bußgeldrahmen (300.000 € für § 25-Verstöße, § 28 Abs. 2) bestätigt. Korrigiert: Die Einwilligungsverwaltungsverordnung (EinwV) ist nicht mehr „in Vorbereitung", sondern wurde am 10.02.2025 verkündet (BGBl. 2025 I Nr. 32) und ist seit dem 01.04.2025 in Kraft; anerkennende Stelle für PIMS-Dienste ist der BfDI. Aufsichts-Fundstelle berichtigt: BfDI-Zuständigkeit für § 25 folgt aus § 29 Abs. 2 TDDDG (§ 30 betrifft die Bundesnetzagentur). EinwV-Quellen ergänzt. | change_type=factcheck field="kernfakten,kurzantwort,sources" old="EinwV in Vorbereitung; Aufsicht § 30 TDDDG" new="EinwV in Kraft seit 01.04.2025; Aufsicht § 29 TDDDG" reviewed_by="Nexvyra Faktencheck-Agent"
- 2026-06-06: Erstveröffentlichung. Werte gegen § 25 TDDDG (gesetze-im-internet.de), DSGVO (eur-lex.europa.eu) und DSK-OH-Telemedien geprüft. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Andreas Warkentin"
Stand
- Stand: 2026-09-05
- Gültig ab: 2024-05-14 (TDDDG)
- Status: aktuell
- Quellenautorität: A (TDDDG, DSGVO, DSK, BfDI, EuGH)
- Lizenz: CC BY 4.0
Quellen
- TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz): https://www.gesetze-im-internet.de/ttdsg/index.html
- DSGVO (Verordnung (EU) 2016/679): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- DSK – Orientierungshilfe zu Telemedien (OH-Telemedien 2024): https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf
- EuGH C-673/17 „Planet49" (Cookie-Einwilligung): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62017CJ0673
- BfDI – Hinweise zu Cookies und Tracking: https://www.bfdi.bund.de/DE/Buerger/Inhalte/Telemedien/Cookies.html
- EinwV – Verordnung über Dienste zur Einwilligungsverwaltung nach dem TDDDG (in Kraft seit 01.04.2025): https://www.gesetze-im-internet.de/einwv/
- BGBl. 2025 I Nr. 32 vom 10.02.2025 – Verkündung der EinwV: https://www.recht.bund.de/bgbl/1/2025/32/regelungstext.pdf?__blob=publicationFile&v=1
Fehler gefunden? Bitte melden an info@nexvyra.fr.