# § 25 TDDDG: cookie e tracking in Germania

> Il § 25 TDDDG (in precedenza TTDSG) disciplina cookie e script: quando serve il consenso, quali eccezioni valgono e cosa significa per gli strumenti di analisi.

Quelle: https://whovisit.app/it/blog/tdddg-25-cookie-tracking-germania-consenso
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Chi gestisce un sito web in Germania incontra il § 25 TDDDG parlando di cookie. Nell'uso quotidiano la norma si chiama spesso ancora "paragrafo TTDSG" ed è il motivo per cui esistono i banner dei cookie. Questo articolo spiega che cosa disciplina, quando si applica, quali eccezioni esistono e che cosa significa per gli script di analisi e di marketing.

## Da TTDSG a TDDDG

La regola vale dal 1° dicembre 2021 e si trovava dapprima nella legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei telemedia (Telekommunikation-Telemedien-Datenschutz-Gesetz, TTDSG). Dal 14 maggio 2024 la legge si chiama legge sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, TDDDG). Il contenuto del § 25 non è cambiato con la ridenominazione. La legge si trova su [gesetze-im-internet.de](https://www.gesetze-im-internet.de/ttdsg/__25.html).

## Che cosa richiede il § 25 comma 1

Secondo il testo, la memorizzazione di informazioni nell'apparecchiatura terminale dell'utente finale o l'accesso a informazioni già memorizzate in essa è ammessa solo se l'utente finale ha dato il consenso sulla base di informazioni chiare e complete. Informazione e consenso devono avvenire secondo il GDPR.

Tre cose sono importanti:

- **Riguarda il dispositivo, non il riferimento personale.** La regola vale anche quando alla fine non nascono dati personali. La base giuridica per il successivo trattamento è una seconda questione. Come i due passaggi di verifica si colleghino lo spiega [Riconoscimento dei visitatori e GDPR: un inquadramento sobrio](https://whovisit.app/blog/besuchererkennung-dsgvo).
- **Riguarda più dei cookie.** Anche la memoria locale del browser (localStorage, sessionStorage) è una memorizzazione nell'apparecchiatura terminale. La lettura di informazioni sul dispositivo da parte di uno script può essere un accesso.
- **Il consenso deve essere attivo.** La CGUE lo ha stabilito per i cookie già nel 2019. Una casella preselezionata non basta ([CGUE, C-673/17, Planet49](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62017CJ0673)).

## Le eccezioni nel comma 2

Non serve il consenso in due casi:

1. **Trasmissione di messaggi (n. 1).** Lo scopo esclusivo è la trasmissione di un messaggio attraverso una rete di telecomunicazione pubblica.
2. **Strettamente necessario (n. 2).** La memorizzazione o l'accesso è strettamente necessario perché il fornitore possa mettere a disposizione un servizio digitale espressamente richiesto dall'utente.

La seconda eccezione è interpretata in modo restrittivo. La Conferenza per la protezione dei dati (Datenschutzkonferenz), l'organismo che riunisce le autorità di controllo tedesche, ha raccolto esempi nella sua [guida orientativa per i telemedia](https://www.datenschutzkonferenz-online.de/orientierungshilfen.html). Di norma senza previo consenso si può fare, secondo tale guida, ciò che il sito web stesso richiede per funzionare, ad esempio un carrello, un login o la memorizzazione della decisione sui cookie. Una ponderazione degli interessi ai sensi dell'art. 6 par. 1 lett. f GDPR non trasforma uno script di tracciamento in una funzione strettamente necessaria. La misurazione della portata e le statistiche le autorità di norma non le fanno rientrare. È la linea delle autorità di controllo, un tribunale può giudicare diversamente nel caso singolo.

## Conseguenze per gli script di analisi e di marketing

Per la pratica ne risulta una semplice regola empirica: non appena uno script deposita qualcosa nel browser o legge qualcosa dal browser che non serve alla visualizzazione della pagina, serve prima il consenso.

| Strumento | Accesso al dispositivo? | Consenso secondo il § 25 |
|---|---|---|
| Caratteri e immagini dal proprio server | No | Non necessario |
| Cookie del carrello | Sì, ma necessario | Non necessario (n. 2) |
| Analisi web con cookie o identificativo del dispositivo | Sì | Di norma necessario |
| Pixel pubblicitari e di retargeting | Sì | Necessario |
| Heatmap e registrazione del mouse | Sì | Di norma necessario |

Tecnicamente significa: lo script può caricarsi solo dopo che il visitatore ha acconsentito alla categoria adeguata. Un banner che si limita a informare e carica comunque subito gli script non soddisfa la regola. Come si presenti l'installazione tramite un tag manager lo descrive la guida sul consenso nel tag manager. Sui video del mouse legga di più in [Session replay e privacy: usare correttamente i video del mouse](https://whovisit.app/blog/mausvideos-website-datenschutz).

## Che cosa si rischia in caso di violazioni

Chi memorizza o accede in violazione del § 25 comma 1 frase 1 commette secondo il § 28 comma 1 n. 13 TDDDG un illecito amministrativo. La sanzione pecuniaria può ammontare secondo il § 28 comma 2 fino a 300.000 euro. Inoltre il trattamento secondo il GDPR può avere conseguenze proprie. Il controllo spetta alle autorità di controllo per la protezione dei dati.

## Come lo gestiscono Austria e Svizzera

La regola risale alla direttiva ePrivacy (art. 5 par. 3). L'Austria la recepisce nel § 165 comma 3 TKG 2021, di più in [Cookie in Austria: § 165 TKG 2021](https://whovisit.app/blog/cookies-oesterreich-tkg-165). La Svizzera segue un'altra strada, da leggere in [Tracking dei siti web in Svizzera: revDSG e FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## Domande frequenti

**Il § 25 TDDDG vale anche per i log del server?** No, non per ciò che il server riceve comunque alla richiesta della pagina. La norma si applica alla memorizzazione sul dispositivo e all'accesso a ciò che vi è memorizzato. Se un indirizzo IP alla richiesta rientri nel GDPR è una questione a parte, trattata da [Indirizzo IP e GDPR: è un dato personale?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo).

**Mi serve un consenso per la semplice misurazione della portata?** Secondo l'opinione delle autorità di controllo tedesche di norma sì, se in questo modo si accede al dispositivo. La misurazione della portata non è considerata strettamente necessaria.

**Basta accorciare la durata dei cookie?** No. La durata non cambia nulla alla questione se si memorizzi o si legga. Decisivo è lo scopo dell'accesso.