De ePrivacyrichtlijn is, zoals beschreven in het tweede artikel van deze reeks, een richtlijn en geen rechtstreeks toepasselijk EU-recht — elke lidstaat moest haar omzetten in eigen nationaal recht. Duitsland had daar lange tijd moeite mee, en precies die geschiedenis is een eigen blik waard, omdat ze verklaart waarom Duitse cookiebanners zich vandaag beroepen op een wet die pas sinds eind 2021 bestaat.
Na de verscherping van de ePrivacyrichtlijn in 2009 (omzettingstermijn: 25 mei 2011) bleef Duitsland aanvankelijk bij de bestaande Telemediawet (Telemediengesetz, TMG). Paragraaf 15, lid 3, daarvan voorzag weliswaar in een mogelijkheid om bezwaar te maken tegen cookies, maar was nog altijd geformuleerd volgens de oude opt-outlogica van vóór 2009 — niet volgens de nieuwe toestemmingsplicht. De Duitse federale regering hield jarenlang vol dat de TMG de richtlijn al voldoende omzette, een standpunt dat steeds meer werd betwist door toezichthouders, rechters en de Europese Commissie. In de praktijk heerste daardoor lange tijd rechtsonzekerheid: sommige websites volgden de strengere Europese uitleg, andere beriepen zich op de zwakkere Duitse wettelijke regeling.
Die onduidelijkheid eindigde pas met de Wet Gegevensbescherming Telecommunicatie en Telemedia (Telekommunikation-Telemedien-Datenschutz-Gesetz, TTDSG), die op 1 december 2021 in werking trad. Paragraaf 25 TTDSG zette de eisen uit artikel 5, lid 3, van de ePrivacyrichtlijn nu uitdrukkelijk en ondubbelzinnig om in Duits recht: het opslaan van informatie op eindapparatuur, of de toegang daartoe, is alleen toegestaan als de gebruiker daarmee heeft ingestemd — met een nauwe uitzondering voor doeleinden die technisch strikt noodzakelijk zijn, bijvoorbeeld om een uitdrukkelijk gevraagde functie überhaupt te kunnen leveren. De TTDSG bracht daarbij voor het eerst telecommunicatie- en telemediarecht samen in één zelfstandige wet, in plaats van ze zoals voorheen over meerdere regelingen te verspreiden.
In mei 2024 werd de TTDSG hernoemd tot de Wet Gegevensbescherming Telecommunicatie en Digitale Diensten (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, TDDDG) — in het kader van de aanpassing van het Duitse recht aan de Europese Digitaledienstenverordening (Digital Services Act, DSA), die EU-brede regels voor digitale diensten en platforms invoerde. Aan de eigenlijke cookieregel zelf veranderde daarbij niets: de bepaling die voorheen werd aangehaald als paragraaf 25 TTDSG, is sindsdien onder hetzelfde nummer terug te vinden als paragraaf 25 TDDDG — alleen de naam van de wet waarin ze is opgenomen, veranderde.
Voor de praktijk betekent dit: een cookiebanner in Duitsland beroept zich vandaag doorgaans tegelijk op twee rechtsgrondslagen — paragraaf 25 TDDDG voor de vraag of er überhaupt toestemming nodig is, en artikel 6 AVG (in samenhang met de eisen uit artikel 4, lid 11, en artikel 7 AVG) voor de kwaliteit van die toestemming. Wie de geschiedenis kent, ziet daarin geen onnodige dubbele vermelding, maar twee wetten die twee verschillende vragen beantwoorden en daarbij op elkaar voortbouwen — de omzetting van een Europese richtlijn in nationaal recht aan de ene kant, een rechtstreeks toepasselijke Europese verordening aan de andere.
Het volgende artikel in deze reeks behandelt een concrete zaak die de eisen aan een geldige toestemming beslissend heeft aangescherpt: het Planet49-arrest van het Hof van Justitie van de Europese Unie.
Voor een websitebeheerder is deze dubbele vermelding meer dan een juridische formaliteit: ze laat zien welke instantie bij twijfel voor welke vraag bevoegd is. Vragen over de toelaatbaarheid van het cookiegebruik zelf — of er überhaupt toestemming nodig was — vallen onder paragraaf 25 TDDDG en daarmee onder de bevoegdheid van de betreffende deelstatelijke gegevensbeschermingsautoriteit. Vragen over de kwaliteit van de gegeven toestemming, bijvoorbeeld of ze voldoende geïnformeerd was, vallen onder de AVG. In de praktijk beoordelen dezelfde autoriteiten meestal beide samen, maar de rechtsgrondslag blijft verschillend — een detail dat belangrijk wordt zodra een besluit moet worden aangevochten.