Pravo · 7. november 2026 · 4 min branja
§ 25 TDDDG: piškotki in sledenje v Nemčiji
§ 25 TDDDG (prej TTDSG) ureja piškotke in skripte: kdaj je potrebna privolitev, katere izjeme veljajo in kaj to pomeni za analitična orodja.
Kdor v Nemčiji upravlja spletno stran, pri temi piškotkov naleti na § 25 TDDDG. Predpis se v vsakdanu pogosto še imenuje „paragraf TTDSG“ in je razlog, da obstajajo pasice piškotkov. Članek pojasnjuje, kaj ureja, kdaj velja, katere izjeme obstajajo in kaj to pomeni za analitične in trženjske skripte.
Iz TTDSG je nastal TDDDG
Pravilo velja od 1. decembra 2021 in je bilo sprva v zakonu o varstvu podatkov v telekomunikacijah in telemedijih (TTDSG). Od 14. maja 2024 se zakon imenuje Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), nemški zakon o varstvu podatkov v telekomunikacijah in digitalnih storitvah. Na vsebini § 25 preimenovanje ni nič spremenilo. Zakon najdete na gesetze-im-internet.de.
Kaj zahteva § 25 odst. 1
Po besedilu je shranjevanje informacij v končni opremi končnega uporabnika ali dostop do informacij, ki so tam že shranjene, dopustno le, če je končni uporabnik privolil na podlagi jasnih in celovitih informacij. Informacija in privolitev morata biti po GDPR.
Tri stvari so pomembne:
- Gre za napravo, ne za osebno razmerje. Pravilo velja tudi, če na koncu ne nastanejo osebni podatki. Pravna podlaga za poznejšo obdelavo je drugo vprašanje. Kako sta oba preizkusna koraka povezana, piše v članku Prepoznavanje obiskovalcev in GDPR: trezna umestitev.
- Gre za več kot piškotke. Tudi lokalni pomnilnik brskalnika (localStorage, sessionStorage) je shranjevanje v končni opremi. Branje informacij o napravi s skriptom je lahko dostop.
- Privolitev mora biti aktivna. To je Sodišče EU glede piškotkov razsodilo že leta 2019. Vnaprej označeno okence ne zadošča (SEU, C-673/17, Planet49).
Izjeme v odstavku 2
Privolitve ne potrebujete v dveh primerih:
- Prenos sporočila (št. 1). Edini namen je prenos sporočila prek javnega telekomunikacijskega omrežja.
- Nujno potrebno (št. 2). Shranjevanje ali dostop je nujno potreben, da lahko ponudnik zagotovi digitalno storitev, ki jo uporabnik izrecno želi.
Druga izjema se razlaga ozko. Konferenca za varstvo podatkov, zveza nemških nadzornih organov, je v svojih smernicah za telemedije zbrala primere. Po njih praviloma brez predhodne privolitve gre, kar spletna stran sama potrebuje za delovanje, na primer košarica, prijava ali shranitev odločitve o piškotkih. Tehtanje interesov po čl. 6 odst. 1 črka f GDPR iz sledilnega skripta ne naredi nujno potrebne funkcije. Merjenja dosega in statistike organi praviloma ne uvrščajo zraven. To je linija nadzora, sodišče lahko v posameznem primeru presodi drugače.
Posledice za analitične in trženjske skripte
Za prakso sledi preprosto pravilo palca: Takoj ko skript nekaj shrani v brskalnik ali iz brskalnika prebere, kar ni potrebno za prikaz strani, prej potrebujete privolitev.
| Orodje | Dostop do naprave? | Privolitev po § 25 |
|---|---|---|
| Pisave in slike z lastnega strežnika | Ne | Ni potrebna |
| Piškotek košarice | Da, a nujen | Ni potrebna (št. 2) |
| Spletna analitika s piškotkom ali identifikatorjem naprave | Da | Praviloma potrebna |
| Oglaševalski in retargeting piksli | Da | Potrebna |
| Toplotni zemljevidi in snemanje miške | Da | Praviloma potrebna |
Tehnično to pomeni: Skript se sme naložiti šele, ko je obiskovalec privolil v ustrezno kategorijo. Pasica, ki samo obvešča in skripte vseeno naloži takoj, pravila ne izpolnjuje. Kako to izgleda pri vgradnji prek upravljalnika značk, opisuje pomoč o privolitvi v upravljalniku značk. O posnetkih miške več preberete v članku Session Replay in varstvo podatkov: kako pravilno uporabljati posnetke miške.
Kaj grozi ob kršitvah
Kdor shranjuje ali dostopa v nasprotju s § 25 odst. 1 stavek 1, stori prekršek po § 28 odst. 1 št. 13 TDDDG. Globa lahko po § 28 odst. 2 znaša do 300.000 evrov. Poleg tega ima lahko obdelava po GDPR lastne posledice. To nadzirajo nadzorni organi za varstvo podatkov.
Kako ravnata Avstrija in Švica
Pravilo izhaja iz direktive ePrivacy (čl. 5 odst. 3). Avstrija jo izvaja v § 165 odst. 3 TKG 2021, več o tem v članku Piškotki v Avstriji: § 165 TKG 2021. Švica ubira drugo pot, kar lahko preberete v članku Spletno sledenje v Švici: revDSG in FMG.
Pogosta vprašanja
Ali § 25 TDDDG velja tudi za dnevnike strežnika? Ne, ne za tisto, kar strežnik tako ali tako prejme ob priklicu strani. Predpis se uporablja pri shranjevanju na napravi in pri dostopu do tam shranjenega. Ali IP-naslov ob priklicu spada pod GDPR, je lastno vprašanje, ki ga obravnava članek IP-naslov in GDPR: ali je osebni podatek?.
Ali potrebujem privolitev za zgolj merjenje dosega? Po mnenju nemških nadzornih organov praviloma da, če se pri tem dostopa do naprave. Merjenje dosega ne velja za nujno potrebno.
Ali zadošča, da skrajšam trajanje piškotka? Ne. Trajanje ne spremeni vprašanja, ali se shranjuje ali bere. Odločilen je namen dostopa.
