Recht · 7. November 2026 · 4 Minuten Lesezeit
§ 25 TDDDG: Cookies und Tracking in Deutschland
§ 25 TDDDG (früher TTDSG) regelt Cookies und Skripte: wann eine Einwilligung nötig ist, welche Ausnahmen gelten und was das für Analyse-Tools heißt.
Wer in Deutschland eine Website betreibt, stößt beim Thema Cookies auf § 25 TDDDG. Die Vorschrift heißt im Alltag oft noch „TTDSG-Paragraf“ und ist der Grund, warum es Cookie-Banner gibt. Dieser Artikel erklärt, was sie regelt, wann sie gilt, welche Ausnahmen es gibt und was das für Analyse- und Marketing-Skripte bedeutet.
Aus TTDSG wurde TDDDG
Die Regel gilt seit dem 1. Dezember 2021 und stand zunächst im Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG). Seit dem 14. Mai 2024 heißt das Gesetz Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Am Inhalt von § 25 hat die Umbenennung nichts geändert. Das Gesetz finden Sie auf gesetze-im-internet.de.
Was § 25 Abs. 1 verlangt
Nach dem Wortlaut ist die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die dort bereits gespeichert sind, nur zulässig, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat. Information und Einwilligung müssen nach der DSGVO erfolgen.
Drei Dinge sind wichtig:
- Es geht um das Gerät, nicht um den Personenbezug. Die Regel gilt auch dann, wenn am Ende keine personenbezogenen Daten entstehen. Die Rechtsgrundlage für die spätere Verarbeitung ist eine zweite Frage. Wie beide Prüfschritte zusammenhängen, steht in Besuchererkennung und DSGVO: eine nüchterne Einordnung.
- Es geht um mehr als Cookies. Auch der lokale Speicher des Browsers (localStorage, sessionStorage) ist ein Speichern in der Endeinrichtung. Das Auslesen von Geräteinformationen durch ein Skript kann ein Zugriff sein.
- Die Einwilligung muss aktiv sein. Das hat der EuGH zu Cookies schon 2019 entschieden. Ein vorangekreuztes Kästchen genügt nicht (EuGH, C-673/17, Planet49).
Die Ausnahmen in Absatz 2
Keine Einwilligung brauchen Sie in zwei Fällen:
- Nachrichtenübertragung (Nr. 1). Der alleinige Zweck ist die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz.
- Unbedingt erforderlich (Nr. 2). Die Speicherung oder der Zugriff ist unbedingt erforderlich, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.
Die zweite Ausnahme wird eng ausgelegt. Die Datenschutzkonferenz, der Zusammenschluss der deutschen Aufsichtsbehörden, hat in ihrer Orientierungshilfe für Telemedien Beispiele gesammelt. In der Regel ohne vorherige Einwilligung geht danach, was die Website selbst zum Funktionieren braucht, etwa ein Warenkorb, eine Anmeldung oder die Speicherung der Cookie-Entscheidung. Eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO macht aus einem Tracking-Skript keine unbedingt erforderliche Funktion. Reichweitenmessung und Statistik sehen die Behörden in der Regel nicht darunter. Das ist die Linie der Aufsicht, ein Gericht kann im Einzelfall anders urteilen.
Folgen für Analyse- und Marketing-Skripte
Für die Praxis ergibt sich eine einfache Faustregel: Sobald ein Skript etwas im Browser ablegt oder aus dem Browser ausliest, was nicht zur Anzeige der Seite nötig ist, brauchen Sie vorher die Einwilligung.
| Werkzeug | Zugriff auf das Gerät? | Einwilligung nach § 25 |
|---|---|---|
| Schriftarten und Bilder vom eigenen Server | Nein | Nicht nötig |
| Warenkorb-Cookie | Ja, aber erforderlich | Nicht nötig (Nr. 2) |
| Webanalyse mit Cookie oder Gerätekennung | Ja | In der Regel nötig |
| Werbe- und Retargeting-Pixel | Ja | Nötig |
| Heatmaps und Mausaufzeichnung | Ja | In der Regel nötig |
Technisch heißt das: Das Skript darf erst laden, nachdem der Besucher der passenden Kategorie zugestimmt hat. Ein Banner, das nur informiert und die Skripte trotzdem sofort lädt, erfüllt die Regel nicht. Wie das beim Einbau über einen Tag Manager aussieht, beschreibt die Hilfe zur Einwilligung im Tag Manager. Zu Mausvideos lesen Sie mehr in Session Replay und Datenschutz: Mausvideos richtig einsetzen.
Was bei Verstößen droht
Wer entgegen § 25 Abs. 1 Satz 1 speichert oder zugreift, begeht nach § 28 Abs. 1 Nr. 13 TDDDG eine Ordnungswidrigkeit. Die Geldbuße kann nach § 28 Abs. 2 bis zu 300.000 Euro betragen. Zusätzlich kann die Verarbeitung nach der DSGVO eigene Folgen haben. Kontrolliert wird das von den Datenschutz-Aufsichtsbehörden.
Wie Österreich und die Schweiz es handhaben
Die Regel geht auf die ePrivacy-Richtlinie (Art. 5 Abs. 3) zurück. Österreich setzt sie in § 165 Abs. 3 TKG 2021 um, mehr dazu in Cookies in Österreich: § 165 TKG 2021. Die Schweiz fährt einen anderen Weg, nachzulesen in Website-Tracking in der Schweiz: revDSG und FMG.
Häufige Fragen
Gilt § 25 TDDDG auch für Server-Logs? Nein, nicht für das, was der Server ohnehin beim Seitenabruf empfängt. Die Vorschrift greift beim Speichern auf dem Gerät und beim Zugriff auf dort Gespeichertes. Ob eine IP-Adresse beim Abruf unter DSGVO fällt, ist eine eigene Frage, die IP-Adresse und DSGVO: ist sie personenbezogen? behandelt.
Brauche ich eine Einwilligung für reine Reichweitenmessung? Nach Auffassung der deutschen Aufsichtsbehörden in der Regel ja, wenn dabei auf das Gerät zugegriffen wird. Die Reichweitenmessung gilt nicht als unbedingt erforderlich.
Reicht es, die Cookie-Laufzeit zu verkürzen? Nein. Die Laufzeit ändert nichts an der Frage, ob gespeichert oder ausgelesen wird. Entscheidend ist der Zweck des Zugriffs.
