TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz)

Definition: Das TTDSG – offiziell „Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei Telemedien" – ist ein deutsches Bundesgesetz, das am 1. Dezember 2021 in Kraft getreten ist. Es fasst datenschutzrelevante Vorschriften des früheren Telekommunikationsgesetzes (TKG) und des Telemediengesetzes (TMG) in einem eigenständigen Gesetz zusammen und setzt gleichzeitig die europäische ePrivacy-Richtlinie (Richtlinie 2002/58/EG in der Fassung 2009/136/EG) für den Bereich der Telemedien in deutsches Recht um. Der besonders praxisrelevante § 25 TTDSG regelt den Schutz von Informationen in Endeinrichtungen und ist damit die zentrale Rechtsgrundlage für den Einsatz von Cookies, Tracking-Pixeln, Fingerprinting und allen anderen Technologien, die auf das Endgerät eines Nutzers zugreifen oder dort Informationen speichern. Das TTDSG ergänzt die DSGVO, die primär auf die Verarbeitung personenbezogener Daten ausgerichtet ist, um eine eigenständige Einwilligungsanforderung für den bloßen Gerätezugriff – unabhängig davon, ob dabei personenbezogene Daten verarbeitet werden oder nicht. Für die Online-Marketing-Praxis bedeutet dies, dass Unternehmen, die Websites betreiben oder digitale Werbung schalten, zwei rechtliche Schichten beachten müssen: das TTDSG für den Gerätezugriff und die DSGVO für die anschließende Datenverarbeitung.

Erläuterung

Vor Inkrafttreten des TTDSG war die Rechtslage in Deutschland uneinheitlich. Das Telemediengesetz (TMG) enthielt datenschutzrechtliche Regelungen, die nach Wirksamwerden der DSGVO im Jahr 2018 als europarechtswidrig eingestuft wurden, da sie nicht den strengen Anforderungen der DSGVO entsprachen. Gleichzeitig blieb offen, auf welche nationale Rechtsgrundlage der Einsatz von Cookies und ähnlichen Technologien gestützt werden konnte, wenn keine personenbezogenen Daten verarbeitet wurden. Das TTDSG schaffte hier Klarheit und führte einen separaten, technologieneutralen Schutzmechanismus ein.

Der Kerngehalt des § 25 TTDSG lautet im Wesentlichen: Das Speichern von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer eingewilligt hat. Ausgenommen sind Vorgänge, die technisch unbedingt erforderlich sind, um einen ausdrücklich gewünschten Dienst zur Verfügung zu stellen. Diese Formulierung ist bewusst technologieneutral gehalten und erfasst damit nicht nur HTTP-Cookies, sondern auch LocalStorage, SessionStorage, IndexedDB, Canvas-Fingerprinting, Gerätekennungen, Tracking-Pixel und alle anderen Methoden, die auf das Endgerät zugreifen.

Die Einwilligung nach § 25 TTDSG muss denselben Anforderungen genügen wie eine Einwilligung nach der DSGVO: Sie muss freiwillig, informiert, eindeutig und für spezifische Zwecke erteilt werden. Cookie-Banner, die lediglich über den Einsatz von Cookies informieren, ohne eine echte Wahlmöglichkeit zu bieten (sogenannte „Dark Patterns"), genügen diesen Anforderungen nicht. Aufsichtsbehörden und Gerichte haben wiederholt klargestellt, dass voreingestellte Zustimmungs-Checkboxen, verschleierte Ablehnungsbuttons oder erzwungene Consent-Walls unzulässig sind.

Das TTDSG hat auch Bedeutung im Zusammenspiel mit der künftigen ePrivacy-Verordnung auf EU-Ebene. Solange diese EU-Verordnung nicht in Kraft tritt, bleibt das TTDSG die maßgebliche nationale Umsetzung der ePrivacy-Richtlinie für Deutschland. Unternehmen sollten ihre Consent-Management-Strategien daher auf Basis des TTDSG ausrichten, da eine zukünftige ePrivacy-Verordnung voraussichtlich ähnliche, teils noch strengere Anforderungen stellen wird.

Zentrale Regelungsbereiche des TTDSG

• § 25 TTDSG – Endgeräteschutz: Kernvorschrift zum Schutz von Endeinrichtungen; Einwilligungspflicht für alle nicht technisch notwendigen Zugriffe auf Endgeräte.
• Fernmeldegeheimnis (§§ 3–5 TTDSG): Schutz der Vertraulichkeit von Telekommunikation; Verbot der unbefugten Kenntnisnahme von Inhalten und Umständen der Kommunikation.
• Datenschutz bei Telekommunikationsdiensten (§§ 6–22 TTDSG): Regeln für Anbieter von Telekommunikationsdiensten zu Verkehrs- und Standortdaten, Rechnungslegung und Auskunftspflichten.
• Anerkannte Dienste zur Einwilligungsverwaltung (§ 26 TTDSG): Ermöglicht die Anerkennung von Consent-Management-Plattformen (CMPs) als standardisierte Einwilligungsverwaltungssysteme durch eine Regulierungsbehörde.
• Bußgeldvorschriften (§ 28 TTDSG): Verstöße gegen § 25 TTDSG können als Ordnungswidrigkeiten mit Bußgeldern bis zu 300.000 Euro geahndet werden; daneben können DSGVO-Bußgelder hinzukommen.

Abgrenzung TTDSG und DSGVO im Marketing-Kontext

• TTDSG regelt den Gerätezugriff: Bereits das bloße Setzen eines Cookies oder das Auslesen einer Geräteeigenschaft ist ohne Einwilligung unzulässig – auch wenn dabei keine personenbezogenen Daten im DSGVO-Sinne verarbeitet werden.
• DSGVO regelt die Datenverarbeitung: Sobald durch den Gerätezugriff personenbezogene Daten entstehen oder verarbeitet werden, greifen zusätzlich die Anforderungen der DSGVO (Rechtsgrundlage, Informationspflichten, Betroffenenrechte).
• Zweistufige Prüfung: Im Praxisalltag bedeutet dies, dass für jeden Trackingdienst zunächst § 25 TTDSG und anschließend die DSGVO geprüft werden müssen.
• Technisch notwendige Cookies: Cookies, die für den Betrieb eines Dienstes technisch unbedingt erforderlich sind (z. B. Session-Cookies für den Warenkorb), sind sowohl nach TTDSG als auch nach DSGVO von der Einwilligungspflicht ausgenommen, wenn kein Überschuss an Datenverarbeitung stattfindet.
• Keine Interessenabwägung beim Gerätezugriff: Anders als bei der DSGVO gibt es im TTDSG keine Möglichkeit, den Gerätezugriff auf ein „berechtigtes Interesse" zu stützen; Einwilligung oder technische Notwendigkeit sind die einzigen Ausnahmen.