# § 25 TDDDG: cookies och spårning i Tyskland

> § 25 TDDDG (tidigare TTDSG) reglerar cookies och skript: när samtycke behövs, vilka undantag som gäller och vad det betyder för analysverktyg.

Quelle: https://whovisit.app/sv/blog/paragraf-25-tdddg-cookies-tyskland
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

Den som driver en webbplats i Tyskland stöter i frågan om cookies på § 25 TDDDG. Bestämmelsen kallas i vardagen ofta fortfarande "TTDSG-paragrafen" och är orsaken till att det finns cookiebannrar. Den här artikeln förklarar vad den reglerar, när den gäller, vilka undantag som finns och vad det betyder för analys- och marknadsföringsskript.

## Av TTDSG blev TDDDG

Regeln gäller sedan den 1 december 2021 och stod först i Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), det tyska lagen om dataskydd inom telekommunikation och telemedier. Sedan den 14 maj 2024 heter lagen Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Innehållet i § 25 har namnbytet inte ändrat. Lagen hittar du på [gesetze-im-internet.de](https://www.gesetze-im-internet.de/ttdsg/__25.html).

## Vad § 25 stycke 1 kräver

Enligt ordalydelsen är lagring av information i slutanvändarens terminalutrustning eller åtkomst till information som redan är lagrad där bara tillåten om slutanvändaren har samtyckt på grundval av klar och fullständig information. Information och samtycke ska ske enligt GDPR.

Tre saker är viktiga:

- **Det gäller enheten, inte personkopplingen.** Regeln gäller också när inga personuppgifter uppstår i slutändan. Den rättsliga grunden för den senare behandlingen är en andra fråga. Hur båda prövningsstegen hänger ihop står i [Besöksigenkänning och GDPR: en nykter bedömning](https://whovisit.app/blog/besuchererkennung-dsgvo).
- **Det gäller mer än cookies.** Även webbläsarens lokala lagring (localStorage, sessionStorage) är en lagring i terminalutrustningen. Att ett skript läser enhetsinformation kan vara en åtkomst.
- **Samtycket måste vara aktivt.** Det har EU-domstolen redan 2019 avgjort om cookies. En förbockad ruta räcker inte ([EU-domstolen, C-673/17, Planet49](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62017CJ0673)).

## Undantagen i stycke 2

Inget samtycke behöver du i två fall:

1. **Överföring av meddelande (nr 1).** Det enda syftet är överföring av ett meddelande via ett allmänt telekommunikationsnät.
2. **Absolut nödvändigt (nr 2).** Lagringen eller åtkomsten är absolut nödvändig för att leverantören ska kunna tillhandahålla en digital tjänst som användaren uttryckligen har önskat.

Det andra undantaget tolkas snävt. Datenschutzkonferenz (DSK), sammanslutningen av de tyska tillsynsmyndigheterna, har i sin [Orientierungshilfe für Telemedien](https://www.datenschutzkonferenz-online.de/orientierungshilfen.html) samlat exempel. I regel utan föregående samtycke går enligt den det som webbplatsen själv behöver för att fungera, till exempel en varukorg, en inloggning eller lagringen av cookiebeslutet. En intresseavvägning enligt artikel 6.1 f GDPR gör inte ett spårningsskript till en absolut nödvändig funktion. Räckviddsmätning och statistik ser myndigheterna i regel inte som omfattade. Det är tillsynens linje, en domstol kan i enskilda fall döma annorlunda.

## Följder för analys- och marknadsföringsskript

För praktiken ger sig en enkel tumregel: Så snart ett skript lägger något i webbläsaren eller läser något ur webbläsaren som inte behövs för att visa sidan behöver du samtycket i förväg.

| Verktyg | Åtkomst till enheten? | Samtycke enligt § 25 |
|---|---|---|
| Typsnitt och bilder från den egna servern | Nej | Behövs inte |
| Varukorgs-cookie | Ja, men nödvändig | Behövs inte (nr 2) |
| Webbanalys med cookie eller enhetsidentifierare | Ja | Behövs i regel |
| Reklam- och retargeting-pixlar | Ja | Behövs |
| Heatmaps och musinspelning | Ja | Behövs i regel |

Tekniskt betyder det: Skriptet får laddas först efter att besökaren har samtyckt till den passande kategorin. En banner som bara informerar och ändå laddar skripten direkt uppfyller inte regeln. Hur det ser ut vid inbyggnad via en Tag Manager beskriver hjälpen om samtycke i Tag Manager. Om musfilmer kan du läsa mer i [Session replay och dataskydd: använda musfilmer rätt](https://whovisit.app/blog/mausvideos-website-datenschutz).

## Vad som hotar vid överträdelser

Den som lagrar eller får åtkomst i strid med § 25 stycke 1 mening 1 begår enligt § 28 stycke 1 nr 13 TDDDG en ordningsförseelse. Bötesbeloppet kan enligt § 28 stycke 2 uppgå till 300 000 euro. Dessutom kan behandlingen enligt GDPR få egna följder. Kontrollen sköts av dataskyddstillsynsmyndigheterna.

## Hur Österrike och Schweiz hanterar det

Regeln går tillbaka på ePrivacy-direktivet (artikel 5.3). Österrike genomför den i § 165 stycke 3 TKG 2021, mer om det i [Cookies i Österrike: § 165 TKG 2021](https://whovisit.app/blog/cookies-oesterreich-tkg-165). Schweiz går en annan väg, att läsa i [Webbplatsspårning i Schweiz: revDSG och FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg).

## Vanliga frågor

**Gäller § 25 TDDDG även serverloggar?** Nej, inte för det som servern ändå tar emot vid sidanropet. Bestämmelsen slår till vid lagring på enheten och vid åtkomst till det som är lagrat där. Om en IP-adress vid anropet omfattas av GDPR är en egen fråga, som [IP-adress och GDPR: är den en personuppgift?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo) behandlar.

**Behöver jag samtycke för ren räckviddsmätning?** Enligt de tyska tillsynsmyndigheternas uppfattning i regel ja, om enheten därvid nås. Räckviddsmätning gäller inte som absolut nödvändig.

**Räcker det att korta cookiens livslängd?** Nej. Livslängden ändrar inget i frågan om det lagras eller läses. Avgörande är syftet med åtkomsten.