Bu dizinin ikinci yazısında anlatıldığı gibi, ePrivacy Direktifi bir direktiftir, doğrudan uygulanabilir AB hukuku değildir — her üye devletin bunu kendi ulusal hukukuna aktarması gerekiyordu. Almanya bu konuda uzun süre zorlandı ve bu geçmiş kendi başına incelemeyi hak ediyor, çünkü Alman çerez bantlarının bugün neden ancak 2021 sonundan beri var olan bir yasaya atıfta bulunduğunu açıklıyor.
ePrivacy Direktifi'nin 2009'da sıkılaştırılmasının ardından (aktarım son tarihi: 25 Mayıs 2011), Almanya başlangıçta mevcut Telemedya Yasası'na (TMG) bağlı kaldı. Bu yasanın 15(3). paragrafı çerezlere itiraz hakkı tanısa da, ifadesi hâlâ 2009 öncesinin eski opt-out mantığına dayanıyordu, yeni onay zorunluluğuna değil. Federal hükümet yıllarca TMG'nin direktifi zaten yeterince uyguladığı görüşünü savundu — bu görüş, veri koruma otoriteleri, mahkemeler ve Avrupa Komisyonu tarafından giderek daha fazla sorgulandı. Uygulamada bu durum uzun süreli bir hukuki belirsizlik yarattı: bazı web siteleri daha katı Avrupa yorumunu izlerken, diğerleri daha zayıf Alman hukuki konumuna dayanıyordu.
Bu belirsizlik ancak 1 Aralık 2021'de yürürlüğe giren Telekomünikasyon-Telemedya Veri Koruma Yasası (TTDSG) ile sona erdi. TTDSG'nin 25. paragrafı, ePrivacy Direktifi'nin 5(3). Maddesindeki gereklilikleri artık açık ve net biçimde Alman hukukuna aktarıyordu: uç cihazlarda bilgi saklamak ya da bu bilgilere erişmek, ancak kullanıcının onayıyla mümkündür — kullanıcının açıkça talep ettiği bir işlevi sağlayabilmek için teknik olarak kesinlikle gerekli amaçlar için dar bir istisna dışında. TTDSG ayrıca, telekomünikasyon ve telemedya hukukunu daha önce olduğu gibi birkaç ayrı çerçeveye dağıtmak yerine ilk kez tek, bağımsız bir yasada bir araya getirdi.
Mayıs 2024'te TTDSG, dijital hizmetler ve platformlar için AB genelinde kurallar getiren AB Dijital Hizmetler Yasası'na (DSA) Alman hukukunu uyarlama sürecinin bir parçası olarak Telekomünikasyon-Dijital Hizmetler Veri Koruma Yasası (TDDDG) adını aldı. Asıl çerez kuralı bu sırada değişmedi: daha önce TTDSG'nin 25. paragrafı olarak anılan hüküm, artık aynı numarayla TDDDG'nin 25. paragrafı olarak yer alıyor — yalnızca içinde bulunduğu yasanın adı değişti.
Bunun pratikteki anlamı şudur: Almanya'da bir çerez bantı bugün tipik olarak iki hukuki dayanağa aynı anda atıfta bulunur — onayın ilk etapta gerekli olup olmadığı sorusu için TDDDG'nin 25. paragrafı, ve bu onayın niteliği için (GDPR'nin 4(11) ve 7. Maddelerindeki gereklerle birlikte) GDPR'nin 6. Maddesi. Bu geçmişi bilen biri, bunda gereksiz bir çifte atıf değil, birbirine dayanan iki farklı soruya cevap veren iki yasa görür — bir yanda bir Avrupa direktifinin ulusal hukuka aktarımı, diğer yanda doğrudan uygulanabilir bir Avrupa tüzüğü.
Bu dizinin bir sonraki yazısı, geçerli onay için gereken koşulları belirleyici biçimde netleştiren somut bir davaya, Avrupa Birliği Adalet Divanı'nın Planet49 kararına odaklanıyor.
Bir web sitesi işletmecisi için bu çifte atıf, hukuki bir formaliteden daha fazlasıdır: bir uyuşmazlık durumunda hangi konuda hangi otoritenin yetkili olduğunu gösterir. Çerez kullanımının kendisinin izin verilebilir olup olmadığına — yani onayın ilk etapta gerekip gerekmediğine — ilişkin sorular TDDDG'nin 25. paragrafı kapsamına, dolayısıyla ilgili eyalet veri koruma otoritesinin yetki alanına girer. Verilen onayın niteliğine, örneğin yeterince bilgilendirilmiş olup olmadığına ilişkin sorular ise GDPR kapsamına girer. Uygulamada aynı otoriteler genellikle her ikisini birlikte inceler, ancak hukuki dayanak farklı kalır — bir kararın itiraz edilmesi gerektiğinde önem kazanan bir ayrıntı.