Das TDDDG schützt die Privatsphäre in der Telekommunikation, bei digitalen Diensten wie Websites und Apps und auf den Endgeräten der Nutzer. Für die meisten Unternehmen zählen vor allem § 25 TDDDG (Cookies und andere Zugriffe auf Endgeräte), § 19 TDDDG (technische Vorkehrungen) und § 28 TDDDG (Bußgelder). Das Gesetz gilt seit dem 01.12.2021 und hieß bis zum 13.05.2024 TTDSG.
Was ist das TDDDG?
Der volle Name lautet "Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten", kurz Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Seit dem 14.05.2024 trägt es diesen Namen. Am selben Tag hat das Digitale-Dienste-Gesetz (DDG) das Telemediengesetz abgelöst. Aus "Telemedien" wurden "digitale Dienste", das Impressum steht seitdem in § 5 DDG.
Das TDDDG setzt die ePrivacy-Richtlinie 2002/58/EG um. Es gilt für alle Unternehmen, die in Deutschland niedergelassen sind oder hier Dienste erbringen (§ 1 Abs. 3 TDDDG). Anders als die DSGVO schützt es nicht nur personenbezogene Daten, sondern jede Information auf dem Endgerät.
Aufbau des Gesetzes
| Teil | Vorschriften | Inhalt |
|---|---|---|
| Teil 1 | §§ 1, 2 | Anwendungsbereich, Begriffe wie "Endeinrichtung" und "Anbieter von digitalen Diensten" |
| Teil 2 | §§ 3 bis 18 | Telekommunikation: Fernmeldegeheimnis (§ 3), Abhörverbot (§ 5), Verkehrsdaten (§ 9), Standortdaten (§ 13), Rufnummernanzeige, Endnutzerverzeichnisse |
| Teil 3, Kapitel 1 | §§ 19 bis 24a | Digitale Dienste: technische Vorkehrungen, Daten Minderjähriger, Auskunft über Bestands- und Nutzungsdaten |
| Teil 3, Kapitel 2 | §§ 25, 26 | Endeinrichtungen: Cookies und ähnliche Techniken, Dienste zur Einwilligungsverwaltung |
| Teil 4 | §§ 27 bis 30 | Strafvorschriften, Bußgelder, Aufsicht |
Welche Vorschriften für Ihr Unternehmen gelten
| Unternehmen | Relevante Vorschriften |
|---|---|
| Unternehmenswebsite mit Analyse oder eingebetteten Inhalten | § 25 (Einwilligung), § 19 Abs. 4 (Absicherung, Verschlüsselung), § 28 |
| Online-Shop mit Kundenkonto | zusätzlich § 19 Abs. 1 bis 3, §§ 22 bis 24 bei Behördenanfragen |
| App-Anbieter | § 25 für SDKs und Gerätekennungen, § 19, § 20 bei Altersprüfung |
| Plattform oder Forum mit Nutzerbeiträgen | § 21 (Auskunft an Verletzte nach Gerichtsbeschluss), §§ 22 bis 24 |
| Arbeitgeber, der private E-Mail-Nutzung erlaubt | § 3 umstritten, siehe unten |
| Telekommunikations- und Messenger-Anbieter | Teil 2 vollständig, Aufsicht durch BfDI und Bundesnetzagentur |
Zum Arbeitgeber: Ob er an das Fernmeldegeheimnis nach § 3 TDDDG gebunden ist, wenn er die private Nutzung von E-Mail oder Internet erlaubt, ist umstritten. Die Aufsichtsbehörden haben das in ihrer Orientierungshilfe von 2016 bejaht, einige Gerichte haben es verneint. Die Bundesnetzagentur sieht Arbeitgeber in einem Hinweispapier vom Juli 2025 regelmäßig nicht als Anbieter von Telekommunikationsdiensten. Solange die Frage nicht höchstrichterlich geklärt ist, regeln Sie die private Nutzung klar oder schließen sie aus. Mehr dazu im Artikel Darf der Arbeitgeber E-Mails von Mitarbeitern lesen?
§ 25 TDDDG kompakt
Wer Informationen auf dem Endgerät speichert oder dort ausliest, braucht eine Einwilligung (§ 25 Abs. 1 TDDDG). Das betrifft Cookies, Local Storage, Pixel, Fingerprinting und SDKs. Ausnahmen gibt es nur zwei (§ 25 Abs. 2 TDDDG): Der Zugriff dient allein der Übertragung einer Nachricht, oder er ist unbedingt erforderlich für einen Dienst, den der Nutzer ausdrücklich wünscht. Danach prüfen Sie getrennt, ob die weitere Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Art. 6 DSGVO hat. Ausnahmen, Beispiele und die Gestaltung des Banners erklärt der Artikel Brauche ich ein Cookie-Banner?
§ 19 TDDDG: Technische Vorkehrungen
§ 19 TDDDG wird oft übersehen. Anbieter digitaler Dienste müssen sicherstellen, dass
- Nutzer die Nutzung jederzeit beenden können, etwa durch einen Logout (Abs. 1 Nr. 1),
- Nutzer den Dienst geschützt gegen Kenntnisnahme Dritter nutzen können (Abs. 1 Nr. 2),
- anonyme oder pseudonyme Nutzung und Bezahlung möglich sind, soweit technisch möglich und zumutbar, und Nutzer darüber informiert werden (Abs. 2),
- eine Weitervermittlung zu einem anderen Anbieter angezeigt wird (Abs. 3),
- die eigenen Systeme nach dem Stand der Technik gegen unerlaubten Zugriff und Angriffe gesichert sind, insbesondere mit einem als sicher anerkannten Verschlüsselungsverfahren (Abs. 4).
Ein Online-Shop ohne HTTPS-Verschlüsselung oder ohne Logout im Kundenkonto kann damit bereits gegen § 19 TDDDG verstoßen.
§ 20 und §§ 21 bis 24: Minderjährige und Auskünfte
Erhebt ein Anbieter zum Jugendschutz Daten Minderjähriger, etwa bei einer Altersprüfung, darf er sie nicht für kommerzielle Zwecke verarbeiten (§ 20 TDDDG).
§ 21 TDDDG erlaubt Auskunft über Bestandsdaten zur Durchsetzung von Rechten am geistigen Eigentum. Bei bestimmten rechtswidrigen Inhalten, etwa Beleidigungen, muss der Anbieter dem Verletzten Auskunft geben, aber nur nach vorheriger Anordnung des Landgerichts. Die §§ 22 bis 24 TDDDG regeln Auskünfte an Behörden wie Polizei, Staatsanwaltschaft und Verfassungsschutz. Die Behörde muss ihr Verlangen schriftlich oder elektronisch stellen und die gesetzliche Grundlage nennen. Eine verantwortliche Fachkraft prüft die formalen Voraussetzungen, danach übermitteln Sie unverzüglich und wahren gegenüber Betroffenen Stillschweigen (§ 22 Abs. 5 und 6 TDDDG). Passwörter und Zugangsdaten dürfen nur unter engen Voraussetzungen und nach gerichtlicher Anordnung herausgegeben werden (§ 23 TDDDG).
§ 26 TDDDG: Einwilligungsverwaltung
Seit dem 01.04.2025 gilt die Einwilligungsverwaltungsverordnung (EinwV). Sie regelt Dienste, bei denen Nutzer ihre Cookie-Entscheidungen zentral verwalten. Anerkannt werden solche Dienste von der oder dem Bundesbeauftragten für den Datenschutz (BfDI). Die Einbindung ist für Website-Betreiber freiwillig (§ 18 Abs. 1 EinwV).
Aufsicht, Bußgelder und Strafen
Für Websites und Apps gewöhnlicher Unternehmen sind die Datenschutzaufsichtsbehörden der Länder zuständig (§ 1 Abs. 1 Nr. 8 TDDDG, § 40 BDSG). Die BfDI beaufsichtigt Telekommunikationsanbieter und öffentliche Stellen des Bundes (§ 29 TDDDG). Die Bundesnetzagentur überwacht im Übrigen Teil 2 (§ 30 TDDDG).
| Verstoß | Bußgeld bis (§ 28 Abs. 2 TDDDG) |
|---|---|
| Zugriff auf Endgeräte ohne Einwilligung (§ 25 Abs. 1) | 300.000 Euro |
| Kommerzielle Nutzung von Daten Minderjähriger (§ 20) | 300.000 Euro |
| Fehlende Vorkehrungen nach § 19 Abs. 1 | 10.000 Euro |
Für die anschließende Datenverarbeitung gelten zusätzlich die Bußgelder der DSGVO. Das Abhören von Nachrichten nach § 5 TDDDG ist sogar strafbar (§ 27 TDDDG).
Verhältnis zur DSGVO und Ausblick
Wo sich TDDDG und DSGVO überschneiden, gilt die Kollisionsregel des Art. 95 DSGVO. Nach Auffassung der Aufsichtsbehörden geht § 25 TDDDG deshalb für den Zugriff auf Endgeräte vor, für alles Weitere gilt die DSGVO.
Die geplante ePrivacy-Verordnung kommt nicht. Die EU-Kommission hat den Entwurf zurückgezogen, die Rücknahme wurde am 06.10.2025 im Amtsblatt bekannt gemacht. Mit dem Digital Omnibus (COM(2025) 837 vom 19.11.2025) schlägt die Kommission vor, die Cookie-Regeln in die DSGVO zu verschieben. Das ist nur ein Vorschlag, er ist nicht in Kraft. Bis auf Weiteres gilt § 25 TDDDG.
Praktische Schritte
- Erfassen Sie alle Cookies, Skripte, Pixel und SDKs auf Website und App.
- Prüfen Sie jede Technik nach § 25 TDDDG und danach nach Art. 6 DSGVO.
- Kontrollieren Sie HTTPS, Logout und Absicherung nach § 19 TDDDG.
- Legen Sie fest, wer Auskunftsersuchen von Behörden prüft und beantwortet.
- Regeln Sie die private Nutzung von E-Mail und Internet schriftlich.
Datenkodex unterstützt als externer Datenschutzbeauftragter Unternehmen dabei, Website, App und interne Abläufe am TDDDG auszurichten. Wo Sie heute stehen, zeigt ein Datenschutz-Audit.