E-privacydirektivet är, som beskrivet i det andra inlägget i den här serien, ett direktiv och inte direkt tillämplig EU-rätt — varje medlemsstat var tvungen att omsätta det i egen nationell lag. Tyskland hade länge svårt med det, och just den historien förtjänar en egen genomgång, eftersom den förklarar varför tyska cookiebanners i dag hänvisar till en lag som bara funnits sedan slutet av 2021.
Efter skärpningen av e-privacydirektivet 2009 (genomförandefrist: 25 maj 2011) höll Tyskland till en början fast vid den befintliga tyska telemedielagen (TMG). Enligt 15 § tredje stycket TMG fanns visserligen en möjlighet att invända mot cookies, men bestämmelsen var fortfarande formulerad enligt den gamla opt-out-logiken från tiden före 2009 — inte enligt det nya samtyckeskravet. Den tyska förbundsregeringen hävdade i flera år att TMG redan genomförde direktivet i tillräcklig utsträckning, en ståndpunkt som i allt högre grad ifrågasattes av dataskyddsmyndigheter, domstolar och EU-kommissionen. I praktiken rådde därför under lång tid rättsosäkerhet: vissa webbplatser rättade sig efter den strängare europeiska tolkningen, andra hänvisade till den svagare tyska lagstiftningen.
Den oklarheten upphörde först med den tyska lagen om dataskydd inom telekommunikation och telemedier (TTDSG), som trädde i kraft den 1 december 2021. 25 § TTDSG förde nu uttryckligen och otvetydigt in kraven från artikel 5.3 i e-privacydirektivet i tysk rätt: lagring av information på en slutanvändares enhet, eller åtkomst till sådan information, är bara tillåten om användaren har samtyckt — med ett snävt undantag för ändamål som är tekniskt absolut nödvändiga, till exempel för att över huvud taget kunna tillhandahålla en funktion som uttryckligen efterfrågats. TTDSG samlade därmed för första gången telekommunikations- och telemedierätt i en egen, fristående lag, i stället för att sprida ut den på flera olika regelverk som tidigare.
I maj 2024 döptes TTDSG om till lagen om dataskydd inom telekommunikation och digitala tjänster (TDDDG) — i samband med att tysk rätt anpassades till EU:s förordning om digitala tjänster (DSA), som införde EU-gemensamma regler för digitala tjänster och plattformar. Själva cookieregeln ändrades inte: bestämmelsen som tidigare citerades som 25 § TTDSG återfinns sedan dess under samma nummer som 25 § TDDDG — det var bara namnet på lagen den ingår i som byttes.
I praktiken betyder det att en cookiebanner i Tyskland i dag typiskt hänvisar till två rättsliga grunder samtidigt: 25 § TDDDG för frågan om samtycke över huvud taget krävs, och artikel 6 GDPR (tillsammans med kraven i artikel 4.11 och artikel 7 GDPR) för kvaliteten på det samtycket. Den som känner till historien ser i detta inte en onödig dubbelhänvisning, utan två lagar som besvarar två olika frågor och som bygger på varandra — genomförandet av ett europeiskt direktiv i nationell rätt på ena sidan, en direkt tillämplig europeisk förordning på den andra.
Nästa inlägg i den här serien tar upp ett konkret rättsfall som avgörande skärpte kraven på ett giltigt samtycke: EU-domstolens dom i Planet49-målet.
För en webbplatsägare är den dubbla hänvisningen mer än en juridisk formalitet: den visar vilken myndighet som är ansvarig för vilken fråga vid en tvist. Frågor om huruvida själva cookieanvändningen var tillåten — om samtycke över huvud taget krävdes — faller under 25 § TDDDG och därmed under den behöriga delstatliga dataskyddsmyndigheten. Frågor om kvaliteten på det samtycke som faktiskt lämnats, till exempel om det var tillräckligt informerat, faller under GDPR. I praktiken prövar samma myndigheter oftast båda frågorna tillsammans, men den rättsliga grunden förblir olika — en detalj som blir viktig senast när ett beslut ska överklagas.