Die ePrivacy-Richtlinie ist, wie im zweiten Beitrag dieser Reihe beschrieben, eine Richtlinie und kein unmittelbar geltendes EU-Recht — jeder Mitgliedstaat musste sie in eigenes nationales Recht übersetzen. Deutschland tat sich damit lange schwer, und genau diese Geschichte lohnt einen eigenen Blick, weil sie erklärt, warum deutsche Cookie-Banner sich heute auf ein Gesetz berufen, das erst seit Ende 2021 existiert.
Nach der Verschärfung der ePrivacy-Richtlinie im Jahr 2009 (Umsetzungsfrist: 25. Mai 2011) blieb Deutschland zunächst beim bestehenden Telemediengesetz (TMG). Dessen § 15 Absatz 3 sah zwar eine Widerspruchsmöglichkeit gegen Cookies vor, formulierte aber weiterhin im Sinne der alten Opt-out-Logik von vor 2009 — nicht der neuen Einwilligungspflicht. Die Bundesregierung vertrat über Jahre die Position, das TMG setze die Richtlinie bereits ausreichend um, was von Datenschützern, Gerichten und der EU-Kommission zunehmend infrage gestellt wurde. In der Praxis herrschte dadurch lange Rechtsunsicherheit: Manche Websites richteten sich nach der strengeren europäischen Auslegung, andere beriefen sich auf die schwächere deutsche Gesetzeslage.
Diese Unklarheit endete erst mit dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), das am 1. Dezember 2021 in Kraft trat. § 25 TTDSG übernahm die Vorgaben aus Artikel 5 Absatz 3 der ePrivacy-Richtlinie nun ausdrücklich und unmissverständlich in deutsches Recht: Die Speicherung von Informationen auf Endgeräten oder der Zugriff darauf ist nur zulässig, wenn der Nutzer eingewilligt hat — mit einer engen Ausnahme für technisch zwingend notwendige Zwecke, etwa um eine ausdrücklich gewünschte Funktion überhaupt bereitstellen zu können. Das TTDSG fasste dabei Telekommunikations- und Telemedienrecht erstmals in einem eigenständigen Gesetz zusammen, statt sie wie zuvor auf mehrere Regelwerke zu verteilen.
Im Mai 2024 wurde das TTDSG umbenannt in Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) — im Zuge der Anpassung des deutschen Rechts an den europäischen Digital Services Act (DSA), der EU-weite Regeln für digitale Dienste und Plattformen einführte. An der eigentlichen Cookie-Regel selbst änderte sich dabei nichts: Die Vorschrift, die zuvor als § 25 TTDSG zitiert wurde, findet sich seither unter derselben Nummer als § 25 TDDDG wieder — nur der Name des Gesetzes, in das sie eingebettet ist, wechselte.
Für die Praxis heißt das: Ein Cookie-Banner in Deutschland beruft sich heute typischerweise auf zwei Rechtsgrundlagen zugleich — § 25 TDDDG für die Frage, ob überhaupt eine Einwilligung nötig ist, und Artikel 6 DSGVO (in Verbindung mit den Anforderungen aus Artikel 4 Nummer 11 und Artikel 7 DSGVO) für die Qualität dieser Einwilligung. Wer die Geschichte kennt, erkennt darin keine unnötige doppelte Nennung, sondern zwei Gesetze, die zwei unterschiedliche Fragen beantworten und dabei aufeinander aufbauen — die Umsetzung einer europäischen Richtlinie in nationales Recht auf der einen Seite, eine unmittelbar geltende europäische Verordnung auf der anderen.
Der nächste Beitrag dieser Reihe wendet sich einem konkreten Fall zu, der die Anforderungen an eine gültige Einwilligung entscheidend geschärft hat: dem Planet49-Urteil des Europäischen Gerichtshofs.
Für einen Websitebetreiber ist diese doppelte Zitierweise mehr als juristische Formsache: Sie zeigt, an welcher Stelle im Zweifel welche Behörde zuständig ist. Fragen zur Zulässigkeit des Cookie-Einsatzes selbst — ob überhaupt eine Einwilligung nötig war — fallen unter § 25 TDDDG und damit in den Zuständigkeitsbereich der jeweils zuständigen Landesdatenschutzbehörde. Fragen zur Qualität der erteilten Einwilligung, etwa ob sie informiert genug war, fallen unter die DSGVO. In der Praxis prüfen dieselben Behörden meist beides zusammen, aber die rechtliche Grundlage bleibt unterschiedlich — ein Detail, das spätestens dann wichtig wird, wenn ein Bescheid angefochten werden soll.