Kurzdefinition: Die Cookie-Einwilligung ist die Zustimmung des Nutzers zum Speichern von oder Zugriff auf Informationen in seiner Endeinrichtung. Nach § 25 TDDDG ist beides nur mit vorheriger Einwilligung zulässig; technisch unbedingt erforderliche Vorgänge sind ausgenommen. [N-TDDDG-25]
Der Normwortlaut
§ 25 Abs. 1 TDDDG bestimmt, dass die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff darauf „nur zulässig“ sind, „wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat“; die Einwilligung hat gemäß der DSGVO zu erfolgen. [N-TDDDG-25]
Wann braucht man eine Cookie-Einwilligung?
Beim Zugriff auf die Endeinrichtung. Wenn Informationen auf dem Gerät des Nutzers gespeichert oder von dort ausgelesen werden — etwa durch Cookies oder ähnliche Technologien —, ist grundsätzlich eine vorherige Einwilligung erforderlich. § 25 Abs. 2 TDDDG nennt die Ausnahmen; außerdem muss die Einwilligung nach klarer und umfassender Information und nach den Maßstäben der DSGVO erfolgen. [N-TDDDG-25]
Welche Cookies sind ausgenommen?
Die gesetzlich ausgenommenen Fälle. Nach § 25 Abs. 2 TDDDG entfällt die Einwilligung, wenn der alleinige Zweck die Übertragung einer Nachricht ist oder wenn der Zugriff unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst bereitgestellt werden kann. Analyse-, Tracking- und Marketing-Zugriffe sind deshalb jeweils daran zu messen, ob sie für diesen ausdrücklich gewünschten Dienst unbedingt erforderlich sind. [N-TDDDG-25]
Wie verhält sich das zur DSGVO?
§ 25 TDDDG verweist auf sie. Information und Einwilligung haben gemäß der DSGVO zu erfolgen; die Einwilligung muss deren Anforderungen genügen — freiwillig, informiert, unmissverständlich und jederzeit widerrufbar (Art. 7 DSGVO). Eine vorangekreuzte Zustimmung genügt daher nicht; Cookie-Banner müssen eine echte Wahl bieten. Die weitere konkrete Bannergestaltung ist am DSGVO-Maßstab zu prüfen. [N-TDDDG-25] [N-DSGVO-7]
Welche Informationen sind vor der Einwilligung nötig?
Klare und umfassende. § 25 Abs. 1 TDDDG lässt die Speicherung oder den Zugriff nur zu, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Ein knapper oder verschleiernder Hinweis genügt dieser Anforderung nicht. [N-TDDDG-25]
Nach welchem Maßstab richtet sich die Einwilligung?
Nach der DSGVO. § 25 Abs. 1 TDDDG bestimmt ausdrücklich, dass die Einwilligung gemäß der Datenschutz-Grundverordnung zu erfolgen hat. Damit gelten die Anforderungen an eine wirksame Einwilligung — freiwillig, informiert, aktiv und widerrufbar — auch für Cookies. [N-TDDDG-25] [N-DSGVO-7]
Häufige Fehlannahmen
- „Alle Cookies brauchen eine Einwilligung.“ Nein. Technisch unbedingt erforderliche Cookies sind ausgenommen. [N-TDDDG-25]
- „Auch Warenkorb- und Log-in-Cookies brauchen ein Banner.“ Nein. Cookies, die zwingend erforderlich sind, um einen ausdrücklich gewünschten Dienst technisch bereitzustellen (etwa Warenkorb, Log-in, Zahlungsvorgang), sind einwilligungsfrei. [N-TDDDG-25]
- „Ein einmal gesetzter Analyse- oder Werbe-Cookie ist unproblematisch.“ Nein. Werbe-, Tracking- und Marketing-Cookies setzen stets eine vorherige aktive Einwilligung voraus. [N-TDDDG-25]
- „Ein bloßer Hinweis auf Cookies genügt.“ Nein. Für nicht erforderliche Cookies ist eine wirksame Einwilligung nötig. [N-TDDDG-25]
- „Eine vorangekreuzte Zustimmung reicht aus.“ Nein. Die Einwilligung muss den DSGVO-Anforderungen genügen; eine Vorauswahl genügt nicht (Art. 7 DSGVO). [N-TDDDG-25] [N-DSGVO-7]
Was die Geschäftsleitung tun sollte
- Cookies kategorisieren. Erforderliche von einwilligungsbedürftigen Cookies trennen.
- Banner rechtssicher gestalten. Die Auswahlgestaltung am DSGVO-Maßstab prüfen.
- Einwilligung dokumentieren. Erteilung und Widerruf nachweisbar festhalten.
- Widerruf ermöglichen. Einen einfachen Weg zum Widerruf bereitstellen.
Für die Geschäftsleitung
§ 25 TDDDG macht die Cookie-Einwilligung zur Pflicht für Zugriffe auf Endgeräte, soweit keine Ausnahme aus § 25 Abs. 2 TDDDG greift. Für Unternehmen mit Websites oder Apps ist ein rechtssicheres Einwilligungsmanagement entscheidend: notwendige Übertragungs- oder Dienstbereitstellungsfälle sind anders zu behandeln als sonstige Zugriffe.
Quellen
- [N-TDDDG-25] § 25 TDDDG (Schutz der Privatsphäre bei Endeinrichtungen), Abs. 1 und 2. Geltende Fassung, Stand 11. Juli 2026. Amtlich: https://www.gesetze-im-internet.de/ttdsg/__25.html
- [N-DSGVO-7] Art. 7 DSGVO (Bedingungen für die Einwilligung). Konsolidierte Fassung (CELEX 02016R0679-20160504). Amtlich: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02016R0679-20160504
