Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) regelt, wann Websites und Apps Informationen auf Ihrem Gerät speichern oder auslesen dürfen. Kern ist § 25: Für Cookies, Tracker und ähnliche Techniken braucht es eine Einwilligung, außer sie sind für den gewünschten Dienst unbedingt erforderlich. Das Gesetz hieß bis Mai 2024 TTDSG. Der Inhalt blieb gleich, nur der Name und einige Begriffe wurden angepasst.
Ein Beispiel aus dem Alltag
Die Zahnarztpraxis Muster (ein erfundenes Beispiel) bietet auf ihrer Website eine Online-Terminbuchung an. Eingebunden sind ein Sitzungs-Cookie für die Buchung, ein Analyse-Tool und ein Werbepixel eines sozialen Netzwerks.
- Das Sitzungs-Cookie sorgt dafür, dass die Buchung über mehrere Schritte funktioniert. Ohne es geht der Dienst, den der Patient ausdrücklich nutzen will, nicht. Es darf ohne Einwilligung gesetzt werden.
- Analyse-Tool und Werbepixel braucht die Terminbuchung nicht. Sie dürfen erst laden, wenn der Besucher im Banner zugestimmt hat.
Lädt das Pixel trotzdem sofort, erfährt ein Werbenetzwerk womöglich, dass jemand gerade einen Termin beim Zahnarzt bucht. Genau das soll § 25 verhindern.
Das TDDDG im Einzelnen
Vom TTDSG zum TDDDG
Das TTDSG trat am 1. Dezember 2021 in Kraft und fasste den Datenschutz aus Telemediengesetz und Telekommunikationsgesetz zusammen. Mit dem Digitale-Dienste-Gesetz wurde es im Mai 2024 in TDDDG umbenannt. Statt „Telemedien“ spricht das Gesetz nun von „digitalen Diensten“. An § 25 hat sich in der Sache nichts geändert.
§ 25 TDDDG: die Einwilligungspflicht
§ 25 Abs. 1 verlangt eine Einwilligung, wenn Informationen in der Endeinrichtung des Nutzers gespeichert werden oder auf dort bereits gespeicherte Informationen zugegriffen wird. Endeinrichtung heißt: Computer, Smartphone, Tablet, auch vernetzte Geräte. Die Einwilligung muss den Anforderungen der DSGVO entsprechen, also freiwillig, informiert, eindeutig und für den bestimmten Fall erteilt sein.
Zwei Punkte werden oft übersehen:
- Es geht nicht nur um Cookies. Erfasst ist jede Technik, die etwas auf dem Gerät ablegt oder ausliest, etwa Local Storage, Fingerprinting-Skripte oder das Auslesen von Geräte- und Werbe-IDs in Apps.
- Es geht nicht nur um personenbezogene Daten. § 25 schützt das Gerät selbst. Ob die Information einer Person zugeordnet werden kann, spielt für die Einwilligungspflicht keine Rolle.
Der EuGH hat 2019 im Fall Planet49 (C-673/17) entschieden, dass ein vorangekreuztes Kästchen keine wirksame Einwilligung ist. Schweigen, Weitersurfen oder ein voreingestellter Haken reichen also nicht.
Die Ausnahmen (§ 25 Abs. 2)
Keine Einwilligung ist nötig, wenn
- der alleinige Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, oder
- die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst erbringen kann.
Typische Beispiele für Nummer 2: Warenkorb, Login-Sitzung, Sicherheits-Cookies, das Speichern der Cookie-Entscheidung selbst. Reichweitenmessung, Werbung und Profilbildung fallen in aller Regel nicht darunter.
TDDDG und DSGVO zusammen
Die beiden Gesetze greifen nacheinander. § 25 TDDDG regelt den Zugriff auf das Gerät. Was danach mit den ausgelesenen Daten geschieht, etwa die Auswertung in einem Analyse- oder Werbesystem, ist eine Verarbeitung personenbezogener Daten und richtet sich nach der DSGVO. Wer Tracker einsetzt, braucht also in der Regel beides: die Einwilligung nach § 25 und eine Rechtsgrundlage nach DSGVO.
Dieser Beitrag ist eine allgemeine Information und keine Rechtsberatung.
Was das TDDDG nicht schützt
§ 25 regelt, ob etwas auf Ihrem Gerät gespeichert oder ausgelesen werden darf. Er regelt nicht, was eine Anwendung mit dem macht, was Sie selbst eintippen. Und eine einmal erteilte Einwilligung deckt oft mehr ab, als Nutzer ahnen.
Bei KI-Assistenten ist das besonders heikel. Hier fließen nicht nur Klicks, sondern ganze Gespräche. Forschende von IMDEA Networks haben 2026 neun KI-Assistenten im Web und unter Android untersucht: ChatGPT, Claude, Gemini, Copilot, Perplexity, Grok, DeepSeek, Le Chat und Meta AI. Bei sechs der neun Webversionen gelangten Links zu Unterhaltungen, automatisch erzeugte Chattitel, Eingaben oder Screenshots zu Werbe- oder Analysediensten Dritter, oft zusammen mit einer dauerhaften Nutzerkennung (Studie, Bericht bei heise online).
Ein Chattitel wie „Kündigung wegen Krankheit, Widerspruch formulieren“ verrät mehr als jedes Cookie. Hinzu kommt die Grenze, die für das gesamte Datenschutzrecht gilt: Geschützt ist nur, was sich einer Person zuordnen lässt. Anonymisierte Daten fallen nach Erwägungsgrund 26 DSGVO heraus und dürfen rechtmäßig gebündelt und verkauft werden. Wie Pixel Gesundheitsangaben an Werbenetzwerke getragen haben, zeigt unsere Seite Tracking-Pixel. Was aus Inhalten werden kann, die jemand weiterverwenden darf, zeigt Die Datenspur.
Was das für KI-Werkzeuge bedeutet
Bevor Sie ein KI-Werkzeug für vertrauliche Arbeit nutzen, prüfen Sie:
- Tracker: Bindet die Anwendung Werbe- oder Analysedienste Dritter ein, und wenn ja, welche Daten bekommen sie?
- Chatinhalte: Können Eingaben, Chattitel oder Links zu Unterhaltungen an Dritte gelangen?
- Lizenz: Erlauben die Nutzungsbedingungen dem Anbieter, Ihre Inhalte weiterzuverwenden, auch „anonymisiert“?
- Training und Speicherung: Wird mit Ihren Eingaben trainiert? Speichern die angebundenen Modellanbieter etwas?
Wysor setzt keine Werbe-Tracker oder Werbepixel ein, Chatinhalte und Chattitel gehen an kein Werbenetzwerk. Wir sind Auftragsverarbeiter nach Art. 28 DSGVO, nehmen uns keine Lizenz zur Weiterverwendung Ihrer Inhalte, trainieren nicht damit und verkaufen sie nicht, auch nicht anonymisiert. Diese Zusagen stehen im Vertrag und binden auch jeden künftigen Eigentümer von Wysor. Ihre Daten sind verschlüsselt und werden in der EU gehostet, und bei jedem angebundenen KI-Modellanbieter gilt Zero Data Retention. Sie arbeiten in einem Arbeitsbereich mit GPT, Claude, Gemini und weiteren Modellen.
Häufige Fragen
Was ist das TDDDG? Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz regelt den Datenschutz bei Telekommunikation und digitalen Diensten. Bekannt ist es vor allem durch § 25, die Einwilligungspflicht für Cookies und ähnliche Techniken.
Was ist der Unterschied zwischen TTDSG und TDDDG? Es ist dasselbe Gesetz. Seit Mai 2024 heißt das TTDSG TDDDG, und statt von Telemedien spricht es von digitalen Diensten. Die Regeln zu Cookies blieben inhaltlich gleich.
Welche Cookies brauchen keine Einwilligung? Cookies, die unbedingt erforderlich sind, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert, etwa Warenkorb, Login oder das Speichern der Cookie-Entscheidung. Analyse- und Werbe-Cookies brauchen in der Regel eine Einwilligung.
Gilt § 25 TDDDG auch für Apps? Ja. Das Gesetz knüpft an die Endeinrichtung an, nicht an den Browser. Auch Apps, die Informationen auf dem Smartphone speichern oder auslesen, etwa Werbe-IDs, brauchen dafür eine Einwilligung, wenn keine Ausnahme greift.
Reicht ein Cookie-Banner für den Datenschutz? Nein. Das Banner holt die Einwilligung für den Gerätezugriff ein. Die weitere Verarbeitung personenbezogener Daten braucht eine eigene Rechtsgrundlage nach der DSGVO.
Weiterlesen
- BDSG einfach erklärt. Was das deutsche Datenschutzgesetz neben der DSGVO regelt.
- Was sind personenbezogene Daten?. Wann eine Kennung auf einen Menschen zeigt.
- Tracking-Pixel. Wie Pixel sensible Angaben an Werbenetzwerke tragen.
- Legal verkäuflich. Die Quellen hinter dem Datenmarkt.
Fragen zu Tracking, Cookies oder Datenschutz in Wysor? Schreiben Sie an [email protected] oder nutzen Sie das Kontaktformular in der App.
