Právo · 7. novembra 2026 · 4 min čítania
§ 25 TDDDG: cookies a tracking v Nemecku
§ 25 TDDDG (predtým TTDSG) upravuje cookies a skripty: kedy je potrebný súhlas, aké výnimky platia a čo to znamená pre analytické nástroje.
Kto v Nemecku prevádzkuje web, narazí pri téme cookies na § 25 TDDDG. Predpis sa v bežnej reči často ešte volá „paragraf TTDSG“ a je dôvodom, prečo existujú cookie bannery. Tento článok vysvetľuje, čo upravuje, kedy platí, aké výnimky existujú a čo to znamená pre analytické a marketingové skripty.
Z TTDSG sa stalo TDDDG
Pravidlo platí od 1. decembra 2021 a spočiatku stálo v nemeckom zákone o ochrane údajov v telekomunikáciách a telemédiách (TTDSG, Telekommunikation-Telemedien-Datenschutz-Gesetz). Od 14. mája 2024 sa zákon volá Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Na obsahu § 25 premenovanie nič nezmenilo. Zákon nájdete na gesetze-im-internet.de.
Čo vyžaduje § 25 ods. 1
Podľa znenia je ukladanie informácií v koncovom zariadení koncového používateľa alebo prístup k informáciám, ktoré sú tam už uložené, prípustné, len ak koncový používateľ udelil súhlas na základe jasných a úplných informácií. Informovanie a súhlas sa musia uskutočniť podľa GDPR.
Tri veci sú dôležité:
- Ide o zariadenie, nie o osobný vzťah. Pravidlo platí aj vtedy, keď na konci nevzniknú osobné údaje. Právny základ pre neskoršie spracúvanie je druhá otázka. Ako obe kroky posúdenia súvisia, je v článku Rozpoznávanie návštevníkov a GDPR: vecné zaradenie.
- Ide o viac než cookies. Aj lokálne úložisko prehliadača (localStorage, sessionStorage) je ukladaním v koncovom zariadení. Čítanie informácií o zariadení skriptom môže byť prístupom.
- Súhlas musí byť aktívny. Súdny dvor EÚ o tom rozhodol pri cookies už v roku 2019. Predvolene začiarknuté políčko nestačí (Súdny dvor EÚ, C-673/17, Planet49).
Výnimky v odseku 2
Súhlas nepotrebujete v dvoch prípadoch:
- Prenos správy (č. 1). Jediným účelom je prenos správy cez verejnú telekomunikačnú sieť.
- Bezpodmienečne nevyhnutné (č. 2). Ukladanie alebo prístup je bezpodmienečne nevyhnutný na to, aby poskytovateľ mohol poskytnúť digitálnu službu výslovne požadovanú používateľom.
Druhá výnimka sa vykladá úzko. Konferencia pre ochranu údajov (Datenschutzkonferenz, DSK), združenie nemeckých dozorných orgánov, zozbierala príklady vo svojej orientačnej pomôcke pre telemédiá. Spravidla bez predchádzajúceho súhlasu sa podľa nej obíde to, čo web sám potrebuje na fungovanie, napríklad košík, prihlásenie alebo uloženie rozhodnutia o cookies. Posúdenie záujmov podľa čl. 6 ods. 1 písm. f GDPR nerobí zo sledovacieho skriptu bezpodmienečne nevyhnutnú funkciu. Meranie dosahu a štatistiku orgány spravidla pod to nezaraďujú. Je to línia dozoru, súd môže v jednotlivom prípade rozhodnúť inak.
Dôsledky pre analytické a marketingové skripty
Pre prax z toho vyplýva jednoduché pravidlo palca: Hneď ako skript v prehliadači niečo ukladá alebo z neho číta, čo nie je potrebné na zobrazenie stránky, potrebujete vopred súhlas.
| Nástroj | Prístup k zariadeniu? | Súhlas podľa § 25 |
|---|---|---|
| Písma a obrázky z vlastného servera | Nie | Nie je potrebný |
| Cookie košíka | Áno, ale nevyhnutné | Nie je potrebný (č. 2) |
| Webová analytika s cookie alebo identifikátorom zariadenia | Áno | Spravidla potrebný |
| Reklamné a retargetingové pixely | Áno | Potrebný |
| Heatmapy a záznam myši | Áno | Spravidla potrebný |
Technicky to znamená: Skript sa smie načítať až potom, čo návštevník súhlasil s príslušnou kategóriou. Banner, ktorý iba informuje a skripty napriek tomu načíta hneď, pravidlo nespĺňa. Ako to vyzerá pri zabudovaní cez Tag Manager, opisuje pomocník k súhlasu v Tag Manageri. O videách myši sa dočítate viac v článku Session Replay a ochrana údajov: ako správne používať videá myši.
Čo hrozí pri porušeniach
Kto ukladá alebo pristupuje v rozpore s § 25 ods. 1 vete 1, dopúšťa sa podľa § 28 ods. 1 č. 13 TDDDG priestupku. Pokuta môže podľa § 28 ods. 2 dosiahnuť až 300 000 eur. Spracúvanie podľa GDPR môže mať navyše vlastné následky. Kontrolu vykonávajú dozorné orgány pre ochranu údajov.
Ako to riešia Rakúsko a Švajčiarsko
Pravidlo vychádza zo smernice o e-privacy (čl. 5 ods. 3). Rakúsko ho preberá v § 165 ods. 3 TKG 2021, viac v článku Cookies v Rakúsku: § 165 TKG 2021. Švajčiarsko ide inou cestou, dá sa to prečítať v článku Sledovanie webu vo Švajčiarsku: revDSG a FMG.
Časté otázky
Platí § 25 TDDDG aj pre protokoly servera? Nie, nie pre to, čo server pri vyvolaní stránky tak či tak dostane. Predpis sa uplatní pri ukladaní na zariadení a pri prístupe k tomu, čo je tam uložené. Či IP adresa pri vyvolaní spadá pod GDPR, je samostatná otázka, ktorou sa zaoberá IP adresa a GDPR: je osobným údajom?.
Potrebujem súhlas na čisté meranie dosahu? Podľa názoru nemeckých dozorných orgánov spravidla áno, ak sa pritom pristupuje k zariadeniu. Meranie dosahu sa nepovažuje za bezpodmienečne nevyhnutné.
Stačí skrátiť dobu platnosti cookie? Nie. Doba platnosti nič nemení na otázke, či sa ukladá alebo číta. Rozhodujúci je účel prístupu.
