Stručná odpověď: TDDDG (Telecommunications Digital Services Data Protection Act) je německý národní zákon, který upravuje, jak musí webové stránky a digitální služby nakládat se souhlasem se soubory cookie a přístupem k úložišti zařízení. Překračuje rámec GDPR tím, že vyžaduje předchozí, výslovný souhlas před aktivací jakéhokoli nepodstatného souboru cookie nebo sledovací technologie, a platí pro každý subjekt působící digitálně v Německu, bez ohledu na to, kde má sídlo.
Klíčové poznatky
- TDDDG byl 14. května 2024 přejmenován z TTDSG, aby se sladila s nařízením EU o digitálních službách, ačkoli jeho základní ustanovení zůstala nezměněna [1]
- Oddíl 25 TDDDG vyžaduje předchozí souhlas před uložením nebo přístupem k jakýmkoli informacím na zařízení uživatele, s úzkými výjimkami pro technicky nezbytné soubory cookie [4]
- Platný souhlas musí být svobodný, konkrétní, informovaný, jednoznačný a odvolatelný; předem zaškrtnutá políčka a pasivní prohlížení se nekvalifikují [3]
- Nedodržení může vést k pokutám TDDDG až do výše 300 000 EUR za porušení, plus pokuty GDPR až do výše 20 milionů EUR nebo 4 % celkového ročního obratu [2]
- Zákon se vztahuje na podniky, veřejné orgány, vzdělávací instituce, sdružení a osoby samostatně výdělečně činné s online přítomností v Německu [1]
- Americké společnosti a podniky mimo EU, které cílí na německé uživatele, musí dodržovat TDDDG
- Nařízení o správě souhlasu (EinwV), účinné od dubna 2025, zavedlo centralizované služby správy souhlasu s cílem snížit únavu uživatelů ze souhlasu [3]
- Bannery souborů cookie musí nabízet skutečnou možnost „odmítnout“, která je stejně prominentní jako možnost „přijmout“ [5]
Co je TDDDG? Vysvětlení německého národního zákona o digitálním soukromí
TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, neboli Telecommunications Digital Services Data Protection Act) je německý primární zákon upravující ukládání a přístup k informacím na zařízeních koncových uživatelů. Stojí vedle GDPR a doplňuje jej, řeší specifickou mezeru, kterou GDPR přímo nepokrývá: okamžik, kdy se soubor cookie nebo sledovací skript poprvé dotkne prohlížeče uživatele.
Původně byl zákon přijat jako TTDSG v prosinci 2021 a 14. května 2024 byl přejmenován na TDDDG, aby odrážel terminologii zavedenou nařízením EU o digitálních službách. Přejmenování bylo z velké části nominální; podstatná pravidla, zejména ta v oddíle 25 upravující souhlas se soubory cookie, zůstala nezměněna [1].
Zákon je vymáhán vícevrstvou strukturou orgánů: Federálním komisařem pro ochranu údajů (BfDI), Federální síťovou agenturou (BNetzA) a 16 státními úřady pro ochranu údajů koordinovanými prostřednictvím Konference pro ochranu údajů (DSK) [2]. Tento distribuovaný model vymáhání znamená, že neexistuje žádné jediné úzké hrdlo, porušení lze stíhat z více směrů současně.
Jak se TDDDG liší od GDPR?
TDDDG a GDPR se doplňují, nikoli si konkurují. GDPR upravuje, co se děje s osobními údaji, jakmile jsou shromážděny a zpracovány. TDDDG upravuje dřívější okamžik: zda je webové stránce vůbec povoleno ukládat nebo číst data na zařízení uživatele [6].
Klíčové rozdíly:
| Rozměr | GDPR | TDDDG |
|---|---|---|
| Rozsah | Zpracování osobních údajů | Ukládání/přístup na uživatelských zařízeních |
| Možnosti právního základu | Šest právních základů (souhlas, oprávněný zájem atd.) | Pouze souhlas nebo technická nezbytnost |
| Platí pro | Správce a zpracovatele údajů | Jakýkoli subjekt s digitální přítomností v Německu |
| Vymáhání | Úřady pro ochranu údajů | BfDI, BNetzA, státní úřady pro ochranu údajů |
| Spouštěcí bod | Činnosti zpracování dat | Aktivace souboru cookie/sledovače |
Kritický praktický rozdíl: podle GDPR může „oprávněný zájem“ někdy ospravedlnit sledování bez souhlasu. Podle TDDDG tato možnost pro ukládání na zařízení neexistuje. Souhlas nebo přísná technická nezbytnost jsou jediné dva platné důvody [4].
Vysvětlení požadavků TDDDG na soubory cookie
Oddíl 25 TDDDG je operačním jádrem zákona. Stanoví, že ukládání informací na koncové zařízení uživatele nebo přístup k informacím tam již uloženým vyžaduje předchozí souhlas uživatele, pokud akce není nezbytně nutná k přenosu komunikace nebo k poskytnutí služby, kterou uživatel výslovně požadoval [4].
Toto ustanovení pokrývá mnohem více než tradiční HTTP soubory cookie. Platí pro:
- localStorage a sessionStorage prohlížeče
- Sledovací pixely a webové majáky
- Skripty pro otisk zařízení
- Flash soubory cookie a podobné trvalé identifikátory
- Jakýkoli jiný mechanismus, který čte ze zařízení uživatele nebo do něj zapisuje
Výjimky jsou úzké. Soubory cookie relace nákupního košíku, ověřovací tokeny pro přihlášení a soubory cookie pro vyrovnávání zátěže se kvalifikují jako technicky nezbytné. Analytické soubory cookie, reklamní sledovače, skripty pro A/B testování a pluginy sociálních médií se nekvalifikují, vyžadují předchozí souhlas bez ohledu na to, jak jsou formulovány [5].
Které webové stránky musí dodržovat TDDDG?
TDDDG se vztahuje na všechny subjekty, které působí v Německu a ukládají nebo přistupují k informacím na zařízeních uživatelů. To se neomezuje pouze na německé společnosti. Jakýkoli podnik, instituce nebo jednotlivec s webovou stránkou přístupnou německým uživatelům, a který používá nepodstatné soubory cookie nebo sledování, spadá do rozsahu působnosti [1].
To zahrnuje:
- E-commerce obchody a SaaS platformy
- Vydavatele médií a zpravodajské portály
- Veřejné orgány a vládní portály
- Vzdělávací instituce s online přítomností
- Neziskové organizace a nevládní organizace
- Freelancery a osoby samostatně výdělečně činné provozující obchodní webové stránky
Musí americké společnosti dodržovat TDDDG? Ano. Pokud je webová stránka americké společnosti přístupná v Německu a používá soubory cookie nebo sledovací technologie na zařízeních německých návštěvníků, platí TDDDG. Rozsah zákona je určen tím, kde se uživatel nachází, nikoli tím, kde je provozovatel registrován [2]. To odráží teritoriální logiku GDPR podle článku 3.
Požadavky TDDDG na souhlas se sledováním
Platný souhlas podle TDDDG musí splňovat pět kumulativních kritérií: musí být svobodný, konkrétní, informovaný, jednoznačný a odvolatelný [3]. Každé kritérium má skutečnou provozní váhu.
- Svobodně udělený znamená, že uživatel nečelí žádnému trestu za odmítnutí. Blokování přístupu k obsahu, pokud nejsou přijaty soubory cookie („cookie wall“), je právně sporné a obecně se považuje za nevyhovující.
- Konkrétní znamená, že souhlas je získán pro každý účel, analytika nemůže být spojena s reklamou.
- Informovaný znamená, že uživatel přesně ví, s čím souhlasí, než je souhlas zaznamenán.
- Jednoznačný znamená, že je vyžadována kladná akce. Předem zaškrtnutá políčka, posouvání nebo pokračování v prohlížení nepředstavují souhlas [3].
- Odvolatelný znamená, že odvolání souhlasu musí být stejně snadné jako jeho udělení.
Nastavení na úrovni prohlížeče (jako je vestavěný signál „nesledovat“ prohlížeče) nejsou podle TDDDG přijímána jako platný souhlas [2]. Správně nakonfigurovaná platforma pro správu souhlasu je standardním mechanismem pro získávání a dokumentování vyhovujícího souhlasu.
Pokuty a sankce TDDDG za nedodržení
Porušení TDDDG může vést k administrativním pokutám až do výše 300 000 EUR za jednotlivé porušení [2]. Protože každé umístění souboru cookie bez souhlasu v každé uživatelské relaci by technicky mohlo představovat samostatné porušení, celková expozice pro webové stránky s vysokou návštěvností je značná.
Kromě pokut specifických pro TDDDG mohou regulační orgány současně uplatňovat sankce GDPR za následné zpracování dat shromážděných bez platného souhlasu. Pokuty GDPR mohou dosáhnout 20 milionů EUR nebo 4 % celkového ročního obratu, podle toho, co je vyšší [2].
Co se stane, když porušíte TDDDG? Vymáhací opatření mohou zahrnovat formální varování, příkazy k zastavení nevyhovujících praktik a peněžní pokuty. Vzhledem k tomu, že vymáhání je rozděleno mezi 17 úřadů (BfDI plus 16 státních úřadů pro ochranu osobních údajů), pravděpodobnost kontroly je výrazně vyšší než v jurisdikcích s jedním regulátorem.
Kdo je osvobozen od pravidel TDDDG?
Výjimky podle TDDDG jsou omezeny na technicky nezbytné soubory cookie a operace ukládání. Operace se kvalifikuje jako technicky nezbytná pouze tehdy, pokud splňuje obě podmínky: je vyžadována výhradně k přenosu komunikace přes síť, nebo je nezbytně nutná k poskytnutí služby, kterou uživatel výslovně požadoval [4].
Běžné případy použití s výjimkou:
- Soubory cookie relace, které udržují přihlášený stav
- Trvalost nákupního košíku během jedné relace prohlížení
- Soubory cookie pro vyrovnávání zátěže, které směrují provoz mezi servery
- Bezpečnostní soubory cookie, které zabraňují padělání požadavků mezi weby (CSRF)
Analytické, personalizační, retargetingové a funkce sdílení na sociálních sítích nejsou vyňaty, i když je provozovatel považuje za provozně důležité. Testem je, zda by služba mohla fungovat pro požadujícího uživatele bez této konkrétní operace ukládání, nikoli zda by podnik preferoval mít data.
Jak zajistit soulad vašeho webu s TDDDG
Soulad s TDDDG je dosažitelný strukturovaným přístupem. Následující kroky odrážejí aktuální regulační standard k roku 2026:
- Auditujte všechny soubory cookie a sledovače na vašem webu. Každý z nich kategorizujte jako nezbytně nutný nebo nepodstatný.
- Blokujte všechny nepodstatné skripty před načtením, dokud uživatel neudělí výslovný souhlas.
- Implementujte vyhovující banner souhlasu, který nabízí možnosti přijmout a odmítnout se stejnou vizuální prominencí. Možnost odmítnout nesmí být skryta za sekundárními menu [5].
- Nakonfigurujte granulární účely souhlasu, aby uživatelé mohli například přijmout analytiku odděleně od reklamy.
- Zaznamenávejte záznamy souhlasu s časovými razítky, identifikátory uživatelů (pokud jsou relevantní) a konkrétní zobrazenou verzí souhlasu.
- Umožněte snadné odvolání souhlasu, trvalý odkaz na nastavení souhlasu musí být přístupný z každé stránky.
- Projděte si rámec EinwV (účinný od dubna 2025), pokud chcete integrovat s uznávanými centralizovanými službami správy souhlasu, které uživatelům umožňují ukládat preference napříč více weby [3].
Platforma pro správu souhlasu, jako je Biscotti CMP, je navržena tak, aby zvládla technickou implementaci těchto požadavků, včetně zaznamenávání souhlasu, konfigurace banneru a blokování skriptů.
Nejlepší postupy pro banner souborů cookie TDDDG
Vyhovující banner souborů cookie TDDDG není pouhé oznámení, je to funkční mechanismus souhlasu. Regulační orgány jasně uvedly, že bannery navržené tak, aby uživatele naváděly k přijetí prostřednictvím temných vzorů, jsou nevyhovující.
Mezi osvědčené postupy patří:
- Stejná prominence tlačítek: Tlačítka „Přijmout vše“ a „Odmítnout vše“ musí být vizuálně ekvivalentní velikostí, barvou a umístěním.
- Žádné předem vybrané možnosti: Každý přepínač souhlasu musí být ve výchozím nastavení vypnutý.
- Žádné překážky obsahu: Banner by neměl bránit uživatelům v čtení stránky, ačkoli se může objevit jako překrytí.
- Jasné popisy účelů: Každá kategorie souborů cookie musí být popsána jednoduchým jazykem, nikoli právnickým žargonem.
- Přístupný mechanismus pro odvolání: Odkaz „Nastavení souborů cookie“ v zápatí, přístupný kdykoli, splňuje tento požadavek.
- Žádný klamavý design: Používání šedých efektů na tlačítku odmítnutí nebo vyžadování více kliknutí k odmítnutí, zatímco přijetí je jedno kliknutí, představuje temný vzor a je nevyhovující.
Běžné chyby v souladu s TDDDG, kterým je třeba se vyhnout
I dobře mínění provozovatelé se často dopouštějí chyb, které je vystavují riziku vymáhání.
Chyba 1: Považování souladu s GDPR za dostatečný. GDPR a TDDDG řeší různé právní otázky. Web může být v souladu s GDPR ve svých postupech zpracování dat, zatímco stále porušuje TDDDG načítáním sledovačů před zaznamenáním souhlasu.
Chyba 2: Spoléhání na signály prohlížeče jako souhlas. Nastavení ochrany soukromí na úrovni prohlížeče nesplňují standard souhlasu TDDDG [2].
Chyba 3: Seskupování účelů souhlasu. Žádost uživatelů o přijetí „všech souborů cookie“ jako jedné volby, bez možnosti přijmout analytiku, ale odmítnout reklamu, porušuje požadavek specifičnosti.
Chyba 4: Neschopnost blokovat skripty třetích stran. Mnoho nástrojů třetích stran (analytické platformy, správci značek, reklamní pixely) se automaticky načítá při vykreslení stránky. Bez technického blokování se aktivují před získáním souhlasu, což je přímé porušení TDDDG.
Chyba 5: Neaktualizace záznamů souhlasu. Pokud se změní účely, pro které byl souhlas získán, dříve shromážděný souhlas již není platný pro nové účely. Uživatelé musí být znovu vyzváni.
TDDDG vs. směrnice ePrivacy: Klíčové rozdíly
TDDDG je německá národní implementace směrnice ePrivacy (2002/58/ES, ve znění z roku 2009), ale v několika ohledech jde dál. Směrnice ePrivacy stanovila celoevropský rámec vyžadující, aby členské státy nařídily souhlas se soubory cookie; německý TDDDG je domácí zákon, který tuto povinnost plní a v některých oblastech překračuje [6].
Očekávané nařízení ePrivacy, které by nahradilo směrnici ve všech členských státech EU přímo použitelným nařízením, je již léta v legislativním limbu. Dokud nebude přijato, národní zákony jako TDDDG zůstávají v Německu platným standardem. Provozovatelé nemohou předpokládat, že soulad s implementací ePrivacy jiného členského státu EU splňuje německé požadavky.
Závěr: Praktické další kroky pro soulad s TDDDG v roce 2026
TDDDG představuje záměrnou volbu Německa prosazovat standardy digitálního soukromí přísněji než minimální úroveň EU. Pro vlastníky webových stránek, vývojáře a marketingové týmy působící na německém trhu jsou požadavky zákona specifické, vymahatelné a aktivně monitorované 17 samostatnými úřady.
Akční další kroky:
- Proveďte úplný audit souborů cookie pomocí skenovacího nástroje k identifikaci každého sledovače na vašem webu.
- Ověřte, že všechny nepodstatné skripty jsou technicky blokovány před souhlasem, nikoli pouze zveřejněny.
- Zkontrolujte svůj banner souhlasu s požadavky na stejnou prominenci a žádné předvolby.
- Zajistěte, aby vaše záznamy souhlasu byly zaznamenány s dostatečnou granularitou k prokázání souladu v případě auditu.
- Posuďte, zda je centralizovaný rámec souhlasu EinwV relevantní pro vaši uživatelskou základnu a technický stack.
- Vyhodnoťte účelovou platformu pro správu souhlasu, jako je Biscotti CMP, pro automatizaci technických a dokumentačních požadavků.
Náklady na nedodržení, až 300 000 EUR za porušení podle TDDDG, s dodatečnou expozicí GDPR, daleko převyšují investice potřebné k implementaci vyhovujícího pracovního postupu souhlasu. Pro jakýkoli subjekt s významným německým webovým provozem není soulad volitelný; je to základní provozní požadavek.
Často kladené otázky
Co znamená TDDDG? TDDDG znamená Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, přeloženo jako Zákon o ochraně údajů v telekomunikačních digitálních službách. Je to německý národní zákon upravující souhlas se soubory cookie a přístup k úložišti zařízení.
Kdy byl TTDSG přejmenován na TDDDG? Přejmenování vstoupilo v platnost 14. května 2024. Změna sladila terminologii zákona s nařízením EU o digitálních službách. Podstatná pravidla pro souhlas se soubory cookie v oddíle 25 nebyla změněna [1].
Platí TDDDG pro malé podniky? Ano. TDDDG se vztahuje na všechny subjekty s online přítomností v Německu, které ukládají nebo přistupují k informacím na zařízeních uživatelů, včetně malých podniků, freelancerů a sdružení [1].
Lze oprávněný zájem použít místo souhlasu podle TDDDG? Ne. Na rozdíl od GDPR TDDDG nepovoluje oprávněný zájem jako právní základ pro ukládání nebo přístup k zařízením. Pouze souhlas nebo technická nezbytnost jsou platné důvody [4].
Co je EinwV a jak souvisí s TDDDG? Einwilligungsverwaltungsverordnung (EinwV), účinná od dubna 2025, zavedla rámec pro uznávané centralizované služby správy souhlasu. Umožňuje uživatelům ukládat preference souborů cookie napříč více webovými stránkami, čímž snižuje opakované výzvy k souhlasu [3].
Jsou analytické soubory cookie osvobozeny od požadavků TDDDG na souhlas? Ne. Analytické soubory cookie nejsou technicky nezbytné a vyžadují předchozí souhlas uživatele podle oddílu 25 TDDDG, bez ohledu na to, zda zpracovávají osobní údaje [5].
Co činí banner souborů cookie nevyhovujícím podle TDDDG? Mezi běžné indikátory nedodržení patří: možnost odmítnutí, která je obtížněji nalezitelná než možnost přijetí, předem vybrané přepínače souhlasu, bannery, které načítají sledovací skripty před zaznamenáním souhlasu, a absence granulárních kontrol na úrovni účelu [2].
Je TDDDG pouze pro německé webové stránky? Ne. TDDDG se uplatňuje na základě toho, kde se uživatel nachází, nikoli kde sídlí provozovatel webové stránky. Jakákoli webová stránka přístupná uživatelům v Německu, která používá nepodstatné soubory cookie, musí být v souladu [2].
Jaká je maximální pokuta za porušení TDDDG? Samotný TDDDG stanoví pokuty až do výše 300 000 EUR za porušení. Samostatně mohou porušení GDPR způsobená shromažďováním dat bez souhlasu vést k pokutám až do výše 20 milionů EUR nebo 4 % celkového ročního obratu [2].
Jak souvisí TDDDG se směrnicí ePrivacy? TDDDG je německá národní implementace směrnice EU ePrivacy. Plní a v některých ohledech překračuje požadavky směrnice a zůstává v Německu platným standardem, dokud nebude na úrovni EU přijato navrhované nařízení ePrivacy [6].
Odkazy
[1] Tdddg - https://skill-sprinters.de/foerderungen/glossar/tdddg/?utm_source=openai [2] De Tdddg - https://www.consentstack.io/regulations/de-tdddg?utm_source=openai [3] Germany Gdpr Compliance Bdsg Dpo Rules And Penalties - https://legalclarity.org/germany-gdpr-compliance-bdsg-dpo-rules-and-penalties/?utm_source=openai [4] Cookies Einwilligung Tdddg - https://konfora.de/ratgeber/cookies-einwilligung-tdddg?utm_source=openai [5] Cookie Banner Pflicht - https://cookie-consent-tools.com/cookie-banner-pflicht.html?utm_source=openai [6] Ttdsg - https://www.preeco.de/en/glossary/data-protection/ttdsg?utm_source=openai