Aktualisiert: März 2026 · Lesezeit: 12 Min.
Noch ein Datenschutzgesetz, noch eine Abkürzung. Ich verstehe, wenn Sie genervt sind. DSGVO, TMG, TKG, ePrivacy-Richtlinie — und jetzt auch noch TTDSG? Leider ja. Und das TTDSG ist für Cookies sogar das relevantere Gesetz als die DSGVO. Klingt komisch, ist aber so.
Das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) ist seit dem 1. Dezember 2021 in Kraft. Es hat Teile des alten Telemediengesetzes (TMG) und Telekommunikationsgesetzes (TKG) zusammengeführt und — endlich — die EU-ePrivacy-Richtlinie in deutsches Recht umgesetzt. Das hatte vorher 12 Jahre lang gefehlt. Zwölf.
Die DSGVO regelt die Verarbeitung personenbezogener Daten. Das TTDSG (§ 25) regelt etwas anderes: den Zugriff auf das Endgerät. Also ob Sie überhaupt einen Cookie setzen oder auslesen dürfen — unabhängig davon, ob es sich um personenbezogene Daten handelt.
Das ist ein feiner, aber entscheidender Unterschied. Nehmen wir ein Beispiel: Ein Cookie, der eine zufällige Session-ID speichert und keinen Personenbezug hat. Nach DSGVO möglicherweise unproblematisch. Nach TTDSG § 25 trotzdem einwilligungspflichtig — weil er auf dem Endgerät gespeichert wird.
In der Praxis bedeutet das: Das TTDSG fängt früher an als die DSGVO. Erst prüfen Sie, ob der Cookie-Zugriff nach TTDSG erlaubt ist. Dann prüfen Sie, ob die Datenverarbeitung nach DSGVO eine Rechtsgrundlage hat.
„Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer [...] eingewilligt hat."
Auf Deutsch: Alles, was auf dem Gerät des Nutzers liest oder schreibt, braucht eine Einwilligung. Cookies, ja — aber auch Local Storage, Session Storage, IndexedDB, und selbst das aktive Auslesen von Geräteeigenschaften (Fingerprinting).
Keine Einwilligung ist nötig, wenn:
„Unbedingt erforderlich" — das ist das Schlüsselwort. Nicht „nützlich", nicht „hilfreich für die User Experience", nicht „wir brauchen die Daten für unser Marketing". Ohne den Cookie muss der Dienst technisch scheitern.
| Technologie | Beispiel | Einwilligung nötig? | Begründung |
|---|---|---|---|
| Session-Cookie | PHPSESSID | Nein | Server-Kommunikation erfordert Session |
| Auth-Cookie | wordpress_logged_in | Nein | Login-Funktion unmöglich ohne |
| Warenkorb | wc_cart_hash | Nein | Nutzer hat Warenkorb ausdrücklich gewünscht |
| Consent-Cookie | CookieConsent | Nein | Paradox: speichert die Consent-Entscheidung |
| Sprach-Cookie | pll_language | Nein | Nutzer hat Sprache aktiv gewählt |
| Load Balancer | AWSALB | Nein | Technische Infrastruktur |
| Analytics | _ga, _gid | Ja | Website funktioniert ohne problemlos |
| Marketing | _fbp, _gcl_au | Ja | Reines Werbetracking |
| A/B-Testing | _optimizely | Ja | Komfortfunktion, nicht zwingend |
| Fingerprinting | Canvas/WebGL Hash | Ja | Aktiver Zugriff auf Geräteinformationen |
| Local Storage (Tracking) | _sp_id | Ja | Gleiches Prinzip wie Cookies |
Wer im EU-Datenschutz-Dschungel den Überblick verloren hat — hier die Zusammenfassung:
Die ePrivacy-Richtlinie (2002, geändert 2009) ist die EU-Vorgabe, die das Cookie-Consent regelt. Sie musste von jedem EU-Staat in nationales Recht umgesetzt werden. Deutschland hat das mit dem TTDSG getan — mit 12 Jahren Verspätung.
Die ePrivacy-Verordnung sollte die Richtlinie ersetzen. Seit 2017 wird daran verhandelt. Stand März 2026: immer noch kein Abschluss in Sicht. Irgendwann kommt sie — und dann wird sie das TTDSG in Teilen ersetzen. Bis dahin gilt: TTDSG ist das maßgebliche deutsche Gesetz für Cookie-Consent.
§ 28 TTDSG regelt die Bußgelder. Verstöße gegen § 25 (Cookie-Consent) können mit bis zu 300.000 Euro geahndet werden. Das klingt nach weniger als die DSGVO-Bußgelder (bis 20 Mio. Euro), ist aber für KMU schon empfindlich genug.
Und: Wenn der Cookie-Verstoß auch eine DSGVO-Verletzung darstellt (was fast immer der Fall ist, sobald personenbezogene Daten verarbeitet werden), kann die Behörde zusätzlich nach DSGVO sanktionieren. Doppelt hält besser — aus Behördensicht.
Trotz der breiten Abdeckung gibt es Bereiche, die das TTDSG nicht erfasst:
Falls Sie sich fragen, ob Ihre Website TTDSG-konform ist — hier die ehrliche Antwort: Wahrscheinlich nicht vollständig. Die meisten Websites, die ich prüfe, haben mindestens einen Cookie oder eine Tracking-Technologie, die vor der Einwilligung geladen wird.