Einwilligung vor jedem nicht notwendigen Cookie: Was § 25 TDDDG von Websites in Deutschland tatsächlich verlangt.
In Deutschland regelt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, TDDDG (früher TTDSG), den Einsatz von Cookies und Tracking. Die Vorschrift setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie um: Eine Website darf Informationen auf dem Endgerät nur speichern oder auslesen, wenn der Nutzer vorher eingewilligt hat. Ausgenommen ist nur, was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Sobald ein Cookie personenbezogene Daten betrifft, gelten zusätzlich DSGVO und Bundesdatenschutzgesetz (BDSG). Die Einwilligung muss dann den vollen Anforderungen der DSGVO genügen. Zuständig ist nicht der Bundesbeauftragte (BfDI), sondern die Landesdatenschutzbehörde des Bundeslandes, in dem das Unternehmen sitzt. Die Behörden stimmen sich in der Datenschutzkonferenz (DSK) ab. Deren Orientierungshilfe für Anbieter digitaler Dienste ist der Maßstab, an dem die Aufsicht in der Praxis prüft.
§ 25 TDDDG verlangt eine vorherige Einwilligung, bevor Informationen auf dem Endgerät gespeichert oder ausgelesen werden, also vor jedem nicht notwendigen Cookie oder Tracker.
Maßgebliche Gesetze
Aufsichtsbehörde
Landesdatenschutzbehörden
Die zuständige Landesdatenschutzbehörde im Bundesland Ihres Unternehmens (16 Aufsichtsbehörden der Länder)
www.datenschutzkonferenz-online.de300.000 €
Höchstbußgeld für das Speichern oder Auslesen von Informationen entgegen § 25 TDDDG
TDDDG (Bußgeldvorschriften, § 28)
350+ Websites, 15 Apps
Unter Verdacht, ohne Einwilligung Cookies zu setzen: Ergebnis der Prüfaktion des BayLDA 2024
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), 9. Feb. 2024
16
Unabhängige Datenschutzbehörden der Länder, die die Regeln gegenüber Unternehmen durchsetzen
Datenschutzkonferenz (DSK)
Nov. 2024 (v1.2)
Aktuelle Fassung der DSK-Orientierungshilfe für Anbieter digitaler Dienste, der Prüfmaßstab in der Praxis
Datenschutzkonferenz, Orientierungshilfe digitale Dienste
Nach § 25 Abs. 1 TDDDG darf kein Analyse-, Werbe- oder sonstiges nicht notwendiges Cookie und kein Tracker laden, bevor der Nutzer aktiv eingewilligt hat. Ausgenommen sind nach § 25 Abs. 2 nur unbedingt erforderliche Cookies und solche, die allein der Übertragung einer Nachricht dienen.
Nach der DSK-Orientierungshilfe und dem Urteil des VG Hannover vom 19. März 2025 braucht es auf der ersten Ebene des Cookie-Hinweises eine gleichwertige Option „Alle ablehnen“, sobald es einen Button „Alle akzeptieren“ gibt. Wer das Ablehnen in einem Untermenü versteckt, holt keine wirksame Einwilligung ein.
Laut DSK ist eine Einwilligung nicht freiwillig, wenn das Ablehnen mehr Klicks braucht oder optisch weniger auffällt als das Akzeptieren. Vorausgewählte Kästchen, Farbtricks und irreführende Gestaltung machen die Einwilligung unwirksam.
Der Cookie-Hinweis muss alle einwilligungspflichtigen Verarbeitungen verständlich auflisten und die beteiligten Drittanbieter mit ihrer Funktion nennen. Nur so können Nutzer für jeden Zweck gezielt und informiert einwilligen.
Verantwortliche müssen nachweisen können, dass eine wirksame Einwilligung vorliegt (Art. 7 DSGVO). Nutzer müssen ihre Einwilligung so einfach widerrufen können, wie sie sie erteilt haben, etwa über einen dauerhaft erreichbaren Link zu den Einstellungen.
Cookie-Compliance in Deutschland hat zwei Ebenen. § 25 TDDDG regelt den Zugriff auf das Endgerät, also das Speichern und Auslesen von Informationen. Hier greift die Pflicht zur vorherigen Einwilligung, und zwar unabhängig davon, ob das Cookie personenbezogene Daten enthält. Verarbeitet das Cookie personenbezogene Daten, wie die meisten Analyse- und Werbe-Cookies, gelten parallel DSGVO und BDSG. Sie legen fest, welche Anforderungen die Einwilligung selbst erfüllen muss: freiwillig, für den bestimmten Fall, informiert, unmissverständlich und widerruflich.
In der Praxis heißt das: Auf ein berechtigtes Interesse können Sie nicht notwendige Cookies nicht stützen. § 25 verlangt eine Einwilligung, ohne Ausnahme. Ausgenommen sind nur Cookies, die für die Übertragung einer Nachricht nötig sind, oder die für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind, etwa für den Warenkorb oder die Login-Sitzung.
In Deutschland gibt es keine zentrale Aufsicht für Unternehmen. Der Bundesbeauftragte (BfDI) ist für Bundesbehörden und Telekommunikationsanbieter zuständig. Für ein gewöhnliches Unternehmen ist die Landesdatenschutzbehörde des Bundeslandes zuständig, in dem es seinen Sitz hat, zum Beispiel das BayLDA in Bayern, der LfDI in Baden-Württemberg oder die Berliner Beauftragte (BlnBDI). Die sechzehn Behörden stimmen sich in der Datenschutzkonferenz (DSK) ab.
Die Orientierungshilfe der DSK für Anbieter digitaler Dienste, im November 2024 in Version 1.2 aktualisiert, ist das Dokument, an dem die deutsche Aufsicht Cookie-Hinweise tatsächlich misst. Sie ist selbst kein Gesetz. Sie zeigt aber genau, wie die Aufsichtsbehörden § 25 TDDDG und die DSGVO zusammen auslegen. Damit ist sie die wichtigste Referenz für eine saubere Cookie-Einrichtung in Deutschland.
Die deutschen Datenschutzbehörden warten nicht auf Beschwerden. Im Februar 2024 veröffentlichte das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) die Ergebnisse einer groß angelegten, teilweise automatisierten Prüfung: Mindestens 350 Websites und 15 Apps standen im Verdacht, Cookies ohne Einwilligung zu setzen. Im März 2025 bestätigte das Verwaltungsgericht Hannover, dass ein manipulativ gestalteter Cookie-Hinweis ohne „Alle ablehnen“ auf der ersten Ebene rechtswidrig ist.
Verstöße gegen § 25 TDDDG können mit Bußgeldern bis zu 300.000 € geahndet werden. Verstößt die Cookie-Verarbeitung zugleich gegen die DSGVO, gelten deren deutlich höhere Obergrenzen. Das typische Problem, auf das die Aufsicht stößt, ist kein fehlender Cookie-Hinweis, sondern Tracking vor der Einwilligung: Skripte, die beim Laden der Seite starten, bevor der Besucher irgendetwas angeklickt hat.
Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.
Bis Mai 2024 stand die Vorschrift als § 25 im TTDSG. Seitdem heißt das Gesetz TDDDG. § 25 setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie in deutsches Recht um und verlangt für jedes Speichern oder Auslesen auf dem Endgerät eine vorherige Einwilligung. Die engen Ausnahmen stehen in § 25 Abs. 2.
Der BfDI beaufsichtigt keine Unternehmen. Zuständig ist die Landesdatenschutzbehörde Ihres Bundeslandes. Gemeinsame Hinweise veröffentlichen die Behörden über die Datenschutzkonferenz (datenschutzkonferenz-online.de).
Die DSK-Orientierungshilfe für Anbieter digitaler Dienste (v1.2, November 2024) beschreibt, was die deutsche Aufsicht erwartet: Einwilligung vorab, gleichwertiges Ablehnen, keine Beeinflussung, namentlich genannte Drittanbieter und eine klare Übersicht der Zwecke.
CookieSentry scannt Ihre Live-Website und markiert jedes Cookie und jeden Tracker, der vor der Einwilligung geladen wird. Das ist der Verstoß, bei dem die Aufsicht (Landesdatenschutzbehörden) am ehesten eingreift. CookieSentry nennt jeweils die Quelle, damit Sie das Problem beheben können. Außerdem erstellt CookieSentry DSGVO-Dokumente, die auf die Anforderungen in Deutschland und die Praxis der Aufsicht (Landesdatenschutzbehörden) zugeschnitten sind. CookieSentry ist kein Einwilligungstool: Behalten Sie Ihren Cookie-Hinweis und ergänzen Sie ihn um Prüfung und Nachweis.
§ 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) regelt das Speichern und Auslesen von Informationen auf dem Endgerät und verlangt für nicht notwendige Cookies eine vorherige Einwilligung. Die Vorschrift setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie um. Geht es um personenbezogene Daten, gelten zusätzlich DSGVO und BDSG.
Ja. Nach § 25 Abs. 1 TDDDG muss der Nutzer vorher einwilligen, bevor ein nicht notwendiges Cookie oder ein Tracker gesetzt oder ausgelesen wird. Ausgenommen sind nach § 25 Abs. 2 nur Cookies, die für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind oder der Übertragung einer Nachricht dienen. Ein berechtigtes Interesse reicht nicht aus.
Für Unternehmen nicht der BfDI, sondern die Landesdatenschutzbehörde des Bundeslandes, in dem Ihr Unternehmen sitzt (zum Beispiel das BayLDA in Bayern). Die 16 Behörden stimmen sich in der Datenschutzkonferenz (DSK) ab. Deren Orientierungshilfe ist rechtlich nicht bindend, in der Praxis aber maßgeblich.
CookieSentry lädt Ihre Website wie ein echter Besucher und erkennt Cookies und Tracker, die vor der Einwilligung laden. Das ist genau der Verstoß gegen § 25, auf den die deutsche Aufsicht achtet. CookieSentry nennt jede Quelle, und den Bericht können Sie als PDF speichern. Außerdem erstellt CookieSentry Datenschutzerklärung und Cookie-Richtlinie nach den Vorgaben der DSGVO. CookieSentry ist ein Werkzeug für Prüfung und Dokumentation, kein Einwilligungstool: Behalten Sie Ihren Cookie-Hinweis und prüfen Sie mit CookieSentry, ob er Tracking bis zur Einwilligung tatsächlich zurückhält.
Sie sind in mehreren EU-Ländern tätig? Die Regeln unterscheiden sich je nach Markt. Prüfen Sie das Land, das für Sie gilt. Die meisten Länderseiten gibt es bisher nur auf Englisch.
Zuletzt geprüft am 23. Oktober 2026. Allgemeine Informationen zu den Cookie-Regeln in Deutschland, keine Rechtsberatung. Prüfen Sie die aktuellen Anforderungen bei der Aufsichtsbehörde (Landesdatenschutzbehörden) oder lassen Sie sich fachkundig beraten.