Überarbeitet am 8. September 2026.

Als dieser Artikel 2021 erschien, trat gerade das TTDSG in Kraft. Inzwischen trägt das Gesetz einen anderen Namen: Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Für Webseitenbetreiber bleibt besonders § 25 wichtig.

Vereinfacht gesagt geht es dort nicht nur um klassische Cookies, sondern allgemein darum, ob Informationen auf dem Endgerät eines Nutzers gespeichert oder bereits gespeicherte Informationen ausgelesen werden.

Grundsatz: Einwilligung erforderlich

§ 25 Abs. 1 TDDDG sagt grundsätzlich: Informationen auf einem Endgerät speichern oder daraus auslesen darf ein Anbieter nur, wenn der Nutzer auf Grundlage klarer und umfassender Informationen eingewilligt hat.

Das kann klassische Tracking- oder Marketing-Cookies betreffen, aber beispielsweise auch andere Browser-Speichertechniken. Entscheidend ist nicht der Name „Cookie“, sondern der Zugriff auf die Endeinrichtung.

Wann ist keine Einwilligung nötig?

Das Gesetz nennt in § 25 Abs. 2 zwei wichtige Ausnahmen. Eine Einwilligung ist nicht nötig, wenn:

  • der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, oder
  • der Zugriff beziehungsweise die Speicherung unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann.

Gerade der zweite Punkt wird bei Webseiten oft als „technisch notwendige Cookies“ zusammengefasst. Wichtig ist das Wort unbedingt: Nur weil ein Cookie für den Betreiber praktisch oder für Statistik interessant ist, wird es dadurch nicht automatisch erforderlich.

Beispiele für technisch notwendige Funktionen

Je nach konkreter Anwendung können beispielsweise Session-Cookies für einen Login, ein Warenkorb oder bestimmte Sicherheitsfunktionen erforderlich sein. Ob eine konkrete Technik wirklich unter die Ausnahme fällt, hängt aber vom tatsächlichen Zweck ab.

Bei Analyse-, Werbe- oder Profiling-Diensten sollte man nicht einfach davon ausgehen, dass sie erforderlich sind, nur weil man sie gerne einsetzen möchte.

Cookie-Banner ist nicht automatisch die Lösung

Ein Cookie-Banner macht eine Website nicht automatisch rechtskonform. Entscheidend ist unter anderem, dass nicht einwilligungsfreie Technologien wirklich erst nach einer wirksamen Einwilligung aktiviert werden und eine Ablehnung nicht künstlich erschwert wird.

Ebenso unsinnig wäre es, ein Banner nur deshalb einzublenden, weil eine Website ein technisch notwendiges Session-Cookie verwendet. Erst prüfen, welche Speicher- und Zugriffsvorgänge tatsächlich stattfinden, dann das Einwilligungskonzept bauen.

WordPress und Selfhosting

Bei WordPress lohnt sich ein Blick auf alle Plugins, eingebetteten Inhalte, Statistikdienste und externen Ressourcen. Ein schlankes selbst gehostetes Setup kann Datenschutz deutlich einfacher machen, bedeutet aber nicht automatisch, dass keine Einwilligung erforderlich ist.

Wer beispielsweise externe Videos, Karten, Fonts oder Analysewerkzeuge einbindet, muss deren Verhalten separat betrachten.

TDDDG und DSGVO sind zwei verschiedene Ebenen

§ 25 TDDDG betrifft den Zugriff auf beziehungsweise die Speicherung in der Endeinrichtung. Wenn dabei personenbezogene Daten verarbeitet werden, kommt zusätzlich die DSGVO ins Spiel. Ein Vorgang kann deshalb mehrere datenschutzrechtliche Fragen gleichzeitig auslösen.

Technische Sicherheit gehört trotzdem dazu

Datenschutz und Webserver-Sicherheit sind nicht dasselbe, gehören für mich beim Betrieb einer Website aber zusammen. Meine aktualisierte Anleitung zu sinnvollen Security-Headern findest du hier: Webserver mit Security-Headern absichern.

Fazit

Der wichtigste Punkt aus dem alten TTDSG-Artikel ist weiterhin gültig, nur unter neuem Namen: Nicht jedes Cookie braucht automatisch eine Einwilligung – aber für nicht unbedingt erforderliche Zugriffe auf das Endgerät gilt grundsätzlich der Einwilligungsvorbehalt des § 25 TDDDG.

Hinweis: Das ist eine allgemeine technische Einordnung und keine individuelle Rechtsberatung.

Quelle: § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen.