Seperti dijelaskan dalam artikel kedua seri ini, Direktif ePrivacy adalah sebuah direktif, bukan hukum UE yang berlaku langsung — setiap negara anggota harus menerjemahkannya ke dalam hukum nasionalnya sendiri. Jerman kesulitan melakukan hal ini dalam waktu yang lama, dan sejarah ini layak dilihat secara tersendiri, karena menjelaskan mengapa banner cookie di Jerman saat ini mengacu pada sebuah undang-undang yang baru ada sejak akhir 2021.
Setelah pengetatan Direktif ePrivacy pada tahun 2009 (batas waktu penerapan: 25 Mei 2011), Jerman pada awalnya tetap menggunakan Undang-Undang Telemedia (TMG) yang sudah ada. Pasal § 15 Ayat 3 undang-undang ini memang mengatur kemungkinan untuk menolak cookie, tetapi rumusannya masih mengikuti logika opt-out lama dari sebelum 2009 — bukan kewajiban persetujuan yang baru. Selama bertahun-tahun, pemerintah federal Jerman mempertahankan posisi bahwa TMG sudah cukup menerapkan direktif tersebut, sebuah pendirian yang semakin dipertanyakan oleh otoritas perlindungan data, pengadilan, dan Komisi Eropa. Dalam praktiknya, hal ini menyebabkan ketidakpastian hukum yang berkepanjangan: sebagian situs web mengikuti penafsiran Eropa yang lebih ketat, sementara yang lain mengandalkan ketentuan hukum Jerman yang lebih lemah.
Ketidakjelasan ini baru berakhir dengan Undang-Undang Perlindungan Data Telekomunikasi-Telemedia (TTDSG), yang mulai berlaku pada 1 Desember 2021. § 25 TTDSG kini menerapkan ketentuan Pasal 5(3) Direktif ePrivacy ke dalam hukum Jerman secara eksplisit dan tanpa keraguan: penyimpanan informasi pada perangkat pengguna, atau akses terhadapnya, hanya diperbolehkan jika pengguna telah memberikan persetujuan — dengan pengecualian terbatas untuk tujuan yang secara teknis benar-benar diperlukan, misalnya untuk dapat menyediakan sebuah fungsi yang secara eksplisit diminta pengguna. TTDSG juga untuk pertama kalinya menyatukan hukum telekomunikasi dan hukum telemedia ke dalam satu undang-undang tersendiri, alih-alih tersebar di berbagai kerangka peraturan seperti sebelumnya.
Pada Mei 2024, TTDSG berganti nama menjadi Undang-Undang Perlindungan Data Telekomunikasi-Layanan Digital (TDDDG) — sebagai bagian dari penyesuaian hukum Jerman terhadap Digital Services Act (DSA) Eropa, yang memperkenalkan aturan berlaku di seluruh UE untuk layanan digital dan platform. Aturan cookie itu sendiri tidak berubah sama sekali: ketentuan yang sebelumnya dikutip sebagai § 25 TTDSG kini ditemukan dengan nomor yang sama sebagai § 25 TDDDG — hanya nama undang-undang tempat ketentuan itu berada yang berubah.
Dalam praktiknya, ini berarti: sebuah banner cookie di Jerman saat ini biasanya mengacu pada dua dasar hukum sekaligus — § 25 TDDDG untuk pertanyaan apakah persetujuan diperlukan sama sekali, dan Pasal 6 GDPR (bersama dengan persyaratan dari Pasal 4(11) dan Pasal 7 GDPR) untuk kualitas persetujuan tersebut. Bagi yang memahami sejarahnya, ini bukanlah pengutipan ganda yang tidak perlu, melainkan dua undang-undang yang menjawab dua pertanyaan berbeda dan saling melengkapi — penerapan sebuah direktif Eropa ke dalam hukum nasional di satu sisi, dan sebuah regulasi Eropa yang berlaku langsung di sisi lain.
Artikel berikutnya dalam seri ini akan membahas sebuah kasus konkret yang secara menentukan mempertajam persyaratan bagi persetujuan yang sah: putusan Planet49 dari Pengadilan Uni Eropa.
Bagi pengelola situs web, cara pengutipan ganda ini lebih dari sekadar formalitas hukum: hal ini menunjukkan otoritas mana yang berwenang menangani pertanyaan mana bila terjadi keraguan. Pertanyaan mengenai keabsahan penggunaan cookie itu sendiri — apakah persetujuan diperlukan sama sekali — termasuk dalam § 25 TDDDG dan karenanya berada di bawah wewenang otoritas perlindungan data negara bagian yang berwenang. Pertanyaan mengenai kualitas persetujuan yang telah diberikan, misalnya apakah persetujuan itu cukup terinformasi, termasuk dalam ranah GDPR. Dalam praktiknya, otoritas yang sama biasanya memeriksa keduanya sekaligus, tetapi dasar hukumnya tetap berbeda — sebuah detail yang menjadi penting begitu sebuah keputusan hendak digugat.