ดังที่กล่าวไว้ในบทความที่สองของชุดนี้ คำสั่ง ePrivacy เป็นคำสั่ง ไม่ใช่กฎหมายสหภาพยุโรปที่มีผลบังคับใช้โดยตรง — ประเทศสมาชิกทุกประเทศต้องนำไปแปลงเป็นกฎหมายภายในของตนเอง เยอรมนีประสบปัญหาในเรื่องนี้อยู่นาน และประวัติศาสตร์ตรงนี้ก็คุ้มค่าที่จะพิจารณาเป็นพิเศษ เพราะอธิบายได้ว่าทำไมแบนเนอร์คุกกี้ในเยอรมนีทุกวันนี้จึงอ้างอิงกฎหมายที่เพิ่งมีอยู่ตั้งแต่ปลายปี 2021 เท่านั้น
หลังจากคำสั่ง ePrivacy ถูกทำให้เข้มงวดขึ้นในปี 2009 (กำหนดเวลาแปลงกฎหมาย: 25 พฤษภาคม ค.ศ. 2011) เยอรมนีในช่วงแรกยังคงใช้กฎหมายสื่อโทรคมนาคม (Telemediengesetz หรือ TMG) ที่มีอยู่เดิม มาตรา § 15 วรรค 3 ของกฎหมายฉบับนี้มีบทบัญญัติให้สามารถปฏิเสธคุกกี้ได้ก็จริง แต่ถ้อยคำยังคงเป็นไปตามตรรกะแบบ opt-out เดิมก่อนปี 2009 ไม่ใช่ข้อบังคับเรื่องความยินยอมแบบใหม่ รัฐบาลกลางเยอรมนียืนกรานมาเป็นเวลาหลายปีว่า TMG นำคำสั่งนี้มาบังคับใช้อย่างเพียงพอแล้ว ซึ่งเป็นจุดยืนที่ถูกตั้งคำถามมากขึ้นเรื่อย ๆ จากหน่วยงานคุ้มครองข้อมูล ศาล และคณะกรรมาธิการยุโรป ในทางปฏิบัติจึงเกิดความไม่แน่นอนทางกฎหมายที่ยืดเยื้อ: บางเว็บไซต์ปฏิบัติตามการตีความที่เข้มงวดกว่าของยุโรป ในขณะที่บางแห่งอ้างอิงกฎหมายเยอรมนีที่อ่อนกว่า
ความไม่ชัดเจนนี้สิ้นสุดลงก็ต่อเมื่อกฎหมายคุ้มครองข้อมูลด้านโทรคมนาคมและสื่อโทรคมนาคม (Telekommunikation-Telemedien-Datenschutz-Gesetz หรือ TTDSG) มีผลบังคับใช้เมื่อวันที่ 1 ธันวาคม ค.ศ. 2021 มาตรา § 25 TTDSG นำข้อกำหนดจากมาตรา 5(3) ของคำสั่ง ePrivacy มาบังคับใช้เป็นกฎหมายเยอรมนีอย่างชัดเจนและไม่กำกวมอีกต่อไป: การจัดเก็บข้อมูลบนอุปกรณ์ปลายทางหรือการเข้าถึงข้อมูลดังกล่าวจะกระทำได้ก็ต่อเมื่อผู้ใช้ได้ให้ความยินยอมแล้วเท่านั้น — โดยมีข้อยกเว้นแคบ ๆ สำหรับวัตถุประสงค์ที่จำเป็นอย่างแท้จริงในทางเทคนิค เช่น เพื่อให้สามารถให้บริการฟังก์ชันที่ผู้ใช้ร้องขออย่างชัดแจ้งได้เท่านั้น TTDSG ยังเป็นครั้งแรกที่รวมกฎหมายโทรคมนาคมและกฎหมายสื่อโทรคมนาคมเข้าไว้ในกฎหมายฉบับเดียวที่เป็นเอกเทศ แทนที่จะกระจายอยู่ในหลายกรอบกฎหมายเหมือนก่อนหน้านี้
ในเดือนพฤษภาคม ค.ศ. 2024 TTDSG ได้เปลี่ยนชื่อเป็นกฎหมายคุ้มครองข้อมูลด้านโทรคมนาคมและบริการดิจิทัล (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz หรือ TDDDG) ซึ่งเป็นส่วนหนึ่งของการปรับกฎหมายเยอรมนีให้สอดคล้องกับกฎหมายว่าด้วยบริการดิจิทัลของยุโรป (Digital Services Act หรือ DSA) ซึ่งนำกฎเกณฑ์ที่ใช้ทั่วทั้งสหภาพยุโรปสำหรับบริการดิจิทัลและแพลตฟอร์มมาบังคับใช้ ตัวกฎเกณฑ์เรื่องคุกกี้เองไม่ได้เปลี่ยนแปลงแต่อย่างใด: บทบัญญัติที่เคยถูกอ้างอิงในชื่อ § 25 TTDSG ปัจจุบันปรากฏอยู่ในหมายเลขเดิมในชื่อ § 25 TDDDG — มีเพียงชื่อของกฎหมายที่บทบัญญัตินี้สังกัดอยู่เท่านั้นที่เปลี่ยนไป
ในทางปฏิบัติ สิ่งนี้หมายความว่า: แบนเนอร์คุกกี้ในเยอรมนีทุกวันนี้มักอ้างอิงฐานทางกฎหมายสองฉบับพร้อมกัน — § 25 TDDDG สำหรับคำถามว่าจำเป็นต้องมีความยินยอมหรือไม่ตั้งแต่แรก และมาตรา 6 ของ GDPR (ร่วมกับข้อกำหนดจากมาตรา 4(11) และมาตรา 7 ของ GDPR) สำหรับคุณภาพของความยินยอมนั้น ผู้ที่เข้าใจประวัติศาสตร์เรื่องนี้จะไม่มองว่าเป็นการอ้างอิงซ้ำซ้อนโดยไม่จำเป็น แต่เป็นกฎหมายสองฉบับที่ตอบคำถามที่แตกต่างกันสองข้อและต่อยอดซึ่งกันและกัน — ฝ่ายหนึ่งคือการนำคำสั่งของยุโรปมาแปลงเป็นกฎหมายภายในประเทศ อีกฝ่ายคือข้อบังคับของยุโรปที่มีผลบังคับใช้โดยตรง
บทความถัดไปในชุดนี้จะกล่าวถึงคดีที่เป็นรูปธรรมซึ่งทำให้ข้อกำหนดสำหรับความยินยอมที่สมบูรณ์ตามกฎหมายชัดเจนและเข้มงวดขึ้นอย่างเด็ดขาด นั่นคือคำพิพากษาคดี Planet49 ของศาลยุติธรรมแห่งสหภาพยุโรป
สำหรับผู้ดำเนินการเว็บไซต์ วิธีการอ้างอิงคู่นี้เป็นมากกว่าพิธีการทางกฎหมาย: มันแสดงให้เห็นว่าหน่วยงานใดมีอำนาจรับผิดชอบคำถามใดเมื่อเกิดข้อสงสัย คำถามเกี่ยวกับความชอบด้วยกฎหมายของการใช้คุกกี้เอง — ว่าจำเป็นต้องมีความยินยอมหรือไม่ตั้งแต่แรก — อยู่ภายใต้ § 25 TDDDG และจึงอยู่ในเขตอำนาจของหน่วยงานคุ้มครองข้อมูลประจำรัฐที่เกี่ยวข้อง ส่วนคำถามเกี่ยวกับคุณภาพของความยินยอมที่ได้ให้ไว้ เช่น ว่าได้รับข้อมูลครบถ้วนเพียงพอหรือไม่ อยู่ภายใต้ GDPR ในทางปฏิบัติ หน่วยงานเดียวกันมักจะตรวจสอบทั้งสองเรื่องไปพร้อมกัน แต่ฐานทางกฎหมายยังคงแตกต่างกัน — รายละเอียดนี้จะมีความสำคัญขึ้นมาทันทีเมื่อจะต้องคัดค้านคำวินิจฉัยใดคำวินิจฉัยหนึ่ง