# § 25 TDDDG: evästeet ja seuranta Saksassa

> § 25 TDDDG (aiemmin TTDSG) säätää evästeistä ja skripteistä: milloin suostumus tarvitaan, mitä poikkeuksia on ja mitä se tarkoittaa analytiikkatyökaluille.

Quelle: https://whovisit.app/fi/blog/tdddg-25-evasteet-seuranta-saksa
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Joka ylläpitää verkkosivustoa Saksassa, törmää evästeiden yhteydessä § 25 TDDDG:hen. Säännöstä kutsutaan arjessa usein vielä ”TTDSG-pykäläksi”, ja se on syy siihen, miksi evästebannereita on olemassa. Tämä artikkeli selittää, mitä se säätää, milloin se pätee, mitä poikkeuksia on ja mitä se tarkoittaa analytiikka- ja markkinointiskripteille.

## TTDSG:stä tuli TDDDG

Sääntö on voimassa 1. joulukuuta 2021 alkaen, ja se oli aluksi Telekommunikation-Telemedien-Datenschutz-Gesetzissä (TTDSG). 14. toukokuuta 2024 alkaen laki on nimeltään Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), eli Saksan telekommunikaation ja digitaalisten palveluiden tietosuojalaki. § 25:n sisältöön uudelleennimeäminen ei ole vaikuttanut. Lain löydätte sivulta [gesetze-im-internet.de](https://www.gesetze-im-internet.de/ttdsg/__25.html).

## Mitä § 25 Abs. 1 vaatii

Sanamuodon mukaan tietojen tallentaminen loppukäyttäjän päätelaitteeseen tai sinne jo tallennettuihin tietoihin pääsy on sallittua vain, jos loppukäyttäjä on antanut suostumuksensa selkeiden ja kattavien tietojen perusteella. Tiedottamisen ja suostumuksen on tapahduttava GDPR:n mukaisesti.

Kolme asiaa on tärkeää:

- **Kyse on laitteesta, ei henkilöyhteydestä.** Sääntö pätee myös silloin, kun lopulta ei synny henkilötietoja. Oikeusperuste myöhemmälle käsittelylle on toinen kysymys. Miten molemmat tarkistusvaiheet liittyvät toisiinsa, kerrotaan artikkelissa [Kävijätunnistus ja GDPR: asiallinen arvio](https://whovisit.app/blog/besuchererkennung-dsgvo).
- **Kyse on enemmästä kuin evästeistä.** Myös selaimen paikallinen tallennustila (localStorage, sessionStorage) on tallentamista päätelaitteeseen. Laitetietojen lukeminen skriptillä voi olla pääsy.
- **Suostumuksen on oltava aktiivinen.** Sen EU:n tuomioistuin on evästeiden osalta ratkaissut jo vuonna 2019. Valmiiksi rastitettu ruutu ei riitä ([EU:n tuomioistuin, C-673/17, Planet49](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62017CJ0673)).

## Poikkeukset 2 momentissa

Suostumusta ette tarvitse kahdessa tapauksessa:

1. **Viestin välittäminen (nro 1).** Ainoa tarkoitus on viestin välittäminen julkisessa televiestintäverkossa.
2. **Ehdottoman välttämätön (nro 2).** Tallentaminen tai pääsy on ehdottoman välttämätöntä, jotta tarjoaja voi tarjota käyttäjän nimenomaisesti pyytämän digitaalisen palvelun.

Toinen poikkeus tulkitaan suppeasti. Tietosuojakonferenssi (Datenschutzkonferenz), Saksan valvontaviranomaisten yhteenliittymä, on kerännyt esimerkkejä [telemediaa koskevaan suuntaviivaansa](https://www.datenschutzkonferenz-online.de/orientierungshilfen.html). Yleensä ilman ennakkosuostumusta sen mukaan käy se, mitä verkkosivusto itse tarvitsee toimiakseen, esimerkiksi ostoskori, kirjautuminen tai evästepäätöksen tallennus. GDPR:n 6 artiklan 1 kohdan f alakohdan mukainen etujen punninta ei tee seurantaskriptistä ehdottoman välttämätöntä toimintoa. Tavoittavuuden mittausta ja tilastoja viranomaiset eivät yleensä katso siihen kuuluviksi. Tämä on valvonnan linja, tuomioistuin voi yksittäistapauksessa tuomita toisin.

## Seuraukset analytiikka- ja markkinointiskripteille

Käytännössä syntyy yksinkertainen nyrkkisääntö: heti kun skripti tallentaa selaimeen tai lukee selaimesta jotain, mikä ei ole tarpeen sivun näyttämiseksi, tarvitsette ennen sitä suostumuksen.

| Työkalu | Pääsy laitteelle? | Suostumus § 25:n mukaan |
|---|---|---|
| Fontit ja kuvat omalta palvelimelta | Ei | Ei tarpeen |
| Ostoskorin eväste | Kyllä, mutta välttämätön | Ei tarpeen (nro 2) |
| Verkkoanalytiikka evästeellä tai laitetunnisteella | Kyllä | Yleensä tarpeen |
| Mainonta- ja retargeting-pikselit | Kyllä | Tarpeen |
| Lämpökartat ja hiiritallennus | Kyllä | Yleensä tarpeen |

Teknisesti se tarkoittaa: skripti saa latautua vasta, kun kävijä on hyväksynyt sopivan luokan. Banneri, joka vain informoi ja lataa skriptit silti heti, ei täytä sääntöä. Miltä tämä näyttää tag managerin kautta asennettaessa, kuvataan suostumusta tag managerissa koskevassa ohjeessa. Hiirivideoista voitte lukea lisää artikkelista [Session replay ja tietosuoja: hiirivideot oikein käytettynä](https://whovisit.app/blog/mausvideos-website-datenschutz).

## Mitä rikkomuksista uhkaa

Joka tallentaa tai käyttää § 25 Abs. 1 Satz 1:n vastaisesti, tekee § 28 Abs. 1 Nr. 13 TDDDG:n mukaisen hallinnollisen rikkomuksen. Sakko voi olla § 28 Abs. 2:n mukaan enintään 300 000 euroa. Lisäksi käsittelyllä voi olla GDPR:n mukaisia omia seurauksiaan. Tätä valvovat tietosuojavalvontaviranomaiset.

## Miten Itävalta ja Sveitsi toimivat

Sääntö perustuu sähköisen viestinnän tietosuojadirektiiviin (ePrivacy, 5 artiklan 3 kohta). Itävalta panee sen täytäntöön § 165 Abs. 3 TKG 2021:ssä, lisää artikkelissa [Evästeet Itävallassa: § 165 TKG 2021 selitettynä](https://whovisit.app/blog/cookies-oesterreich-tkg-165). Sveitsi kulkee toista tietä, jonka voi lukea artikkelista [Verkkosivuston seuranta Sveitsissä: revDSG ja FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## Usein kysyttyä

**Koskeeko § 25 TDDDG myös palvelinlokeja?** Ei, ei sitä, mitä palvelin joka tapauksessa vastaanottaa sivua haettaessa. Säännös tulee kyseeseen tallennettaessa laitteelle ja päästäessä siellä tallennettuun. Kuuluuko IP-osoite haun yhteydessä GDPR:n piiriin, on oma kysymyksensä, jota käsittelee [IP-osoite ja GDPR: onko se henkilötieto?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

**Tarvitsenko suostumuksen pelkkään tavoittavuuden mittaukseen?** Saksan valvontaviranomaisten käsityksen mukaan yleensä kyllä, jos siinä päästään laitteelle. Tavoittavuuden mittausta ei pidetä ehdottoman välttämättömänä.

**Riittääkö evästeen keston lyhentäminen?** Ei. Kesto ei muuta sitä, tallennetaanko vai luetaanko. Ratkaisevaa on pääsyn tarkoitus.