Das Gesetz setzt die europäische ePrivacy-Richtlinie in Deutschland um. Mit dem Digitale-Dienste-Gesetz wurde es im Mai 2024 umbenannt; inhaltlich blieb § 25 gleich.
§ 25: Zugriff auf Endgeräte
Wer Informationen auf dem Gerät von Nutzern speichert oder dort ausliest, braucht grundsätzlich eine Einwilligung. Das betrifft Cookies, Local Storage, Fingerprinting und ähnliche Verfahren, unabhängig davon, ob dabei personenbezogene Daten verarbeitet werden.
Ausnahmen
Keine Einwilligung ist nötig, wenn der Zugriff unbedingt erforderlich ist, damit ein ausdrücklich gewünschter Dienst bereitgestellt werden kann, etwa für Warenkorb, Anmeldung oder Spracheinstellung. Analyse- und Marketingwerkzeuge fallen in der Regel nicht darunter.
Verhältnis zur DSGVO
§ 25 regelt den Zugriff auf das Gerät, die DSGVO die anschliessende Verarbeitung personenbezogener Daten. Für Tracking braucht es deshalb oft beides: die Einwilligung nach TDDDG und eine Rechtsgrundlage nach DSGVO, häufig ebenfalls eine Einwilligung.
Praxis
Ein Banner muss Ablehnen so einfach machen wie Annehmen, und Werkzeuge dürfen erst nach der Einwilligung laden. Wie man das technisch prüft, beschreibt unser Glossarbegriff zum Cookie-Consent.