Kort svar: TDDDG (Telecommunications Digital Services Data Protection Act) er Tysklands nationale lov, der regulerer, hvordan hjemmesider og digitale tjenester skal håndtere cookie-samtykke og adgang til enhedslagring. Den går ud over GDPR ved at kræve forudgående, udtrykkeligt samtykke, før en ikke-essentiel cookie eller sporingsteknologi aktiveres, og den gælder for enhver enhed, der opererer digitalt i Tyskland, uanset hvor den har hovedkvarter.
Nøglepunkter
- TDDDG blev omdøbt fra TTDSG den 14. maj 2024 for at stemme overens med EU's Digital Services Act, selvom dens kernebestemmelser forblev uændrede [1]
- Afsnit 25 i TDDDG kræver forudgående samtykke, før der gemmes eller tilgås information på en brugers enhed, med snævre undtagelser for teknisk nødvendige cookies [4]
- Gyldigt samtykke skal være frit givet, specifikt, informeret, utvetydigt og tilbagekaldeligt; forudafkrydsede felter og passiv browsing kvalificerer ikke [3]
- Manglende overholdelse kan udløse TDDDG-bøder på op til €300.000 pr. overtrædelse, plus GDPR-sanktioner på op til €20 millioner eller 4% af den globale årlige omsætning [2]
- Loven gælder for virksomheder, offentlige myndigheder, uddannelsesinstitutioner, foreninger og selvstændige med en online tilstedeværelse i Tyskland [1]
- Amerikanske virksomheder og ikke-EU-virksomheder, der retter sig mod tyske brugere, skal overholde TDDDG
- Forordningen om samtykkestyring (EinwV), der trådte i kraft i april 2025, introducerede centraliserede samtykkestyringstjenester for at reducere brugernes samtykketræthed [3]
- Cookie-bannere skal tilbyde en ægte "afvis"-mulighed, der er lige så fremtrædende som "accepter"-muligheden [5]
Hvad er TDDDG? Tysklands nationale lov om digitalt privatliv forklaret
TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, eller Telecommunications Digital Services Data Protection Act) er Tysklands primære lov, der regulerer lagring af og adgang til information på slutbrugeres enheder. Den supplerer GDPR og adresserer et specifikt hul, som GDPR ikke dækker direkte: det øjeblik en cookie eller et sporingsscript først rammer en brugers browser.
Oprindeligt vedtaget som TTDSG i december 2021, blev loven omdøbt til TDDDG den 14. maj 2024 for at afspejle den terminologi, der blev introduceret af EU's Digital Services Act. Omdøbningen var stort set nominel; de materielle regler, især dem i afsnit 25, der regulerer cookie-samtykke, forblev uændrede [1].
Loven håndhæves af en flerlags myndighedsstruktur: Forbundskommissæren for databeskyttelse (BfDI), Forbundsnetværksagenturet (BNetzA) og de 16 statslige databeskyttelsesmyndigheder koordineret gennem Databeskyttelseskonferencen (DSK) [2]. Denne distribuerede håndhævelsesmodel betyder, at der ikke er nogen enkelt flaskehals; overtrædelser kan forfølges fra flere retninger samtidigt.
Hvordan adskiller TDDDG sig fra GDPR?
TDDDG og GDPR er komplementære, ikke konkurrerende. GDPR regulerer, hvad der sker med personoplysninger, når de er indsamlet og behandlet. TDDDG regulerer det tidligere øjeblik: om en hjemmeside overhovedet har tilladelse til at gemme eller læse data på en brugers enhed i første omgang [6].
Vigtige forskelle:
| Dimension | GDPR | TDDDG |
|---|---|---|
| Omfang | Behandling af personoplysninger | Lagring/adgang på brugerenheder |
| Muligheder for retsgrundlag | Seks lovlige grundlag (samtykke, legitim interesse osv.) | Kun samtykke eller teknisk nødvendighed |
| Gælder for | Dataansvarlige og databehandlere | Enhver enhed med en digital tilstedeværelse i Tyskland |
| Håndhævelse | Databeskyttelsesmyndigheder | BfDI, BNetzA, statslige DPAs |
| Udløsningspunkt | Databehandlingsaktiviteter | Cookie/tracker-aktivering |
Den kritiske praktiske forskel: under GDPR kan "legitim interesse" undertiden retfærdiggøre sporing uden samtykke. Under TDDDG eksisterer denne mulighed ikke for enhedslagring. Samtykke eller streng teknisk nødvendighed er de eneste to gyldige grunde [4].
TDDDG Cookie-krav forklaret
Afsnit 25 i TDDDG er lovens operationelle kerne. Det kræver, at lagring af information på en brugers terminalenhed, eller adgang til information, der allerede er gemt der, kræver brugerens forudgående samtykke, medmindre handlingen er strengt nødvendig for at transmittere en kommunikation eller for at levere en tjeneste, som brugeren udtrykkeligt har anmodet om [4].
Denne bestemmelse dækker langt mere end traditionelle HTTP-cookies. Den gælder for:
- Browser localStorage og sessionStorage
- Sporingspixels og web-beacons
- Enhedsfingeraftryksscripts
- Flash-cookies og lignende vedvarende identifikatorer
- Enhver anden mekanisme, der læser fra eller skriver til en brugers enhed
Undtagelser er snævre. Session-cookies til indkøbskurve, login-autentificeringstokens og load-balancing-cookies kvalificerer som teknisk nødvendige. Analyse-cookies, annoncesporere, A/B-testscripts og sociale medie-plugins gør ikke; de kræver forudgående samtykke, uanset hvordan de er formuleret [5].
Hvilke hjemmesider skal overholde TDDDG?
TDDDG gælder for alle enheder, der opererer i Tyskland og gemmer eller tilgår information på brugeres enheder. Dette er ikke begrænset til tyske virksomheder. Enhver virksomhed, institution eller enkeltperson med en hjemmeside, der er tilgængelig for tyske brugere, og som bruger ikke-essentielle cookies eller sporing, falder inden for anvendelsesområdet [1].
Dette inkluderer:
- E-handelsbutikker og SaaS-platforme
- Medieudgivere og nyhedsmedier
- Offentlige myndigheder og regeringsportaler
- Uddannelsesinstitutioner med online tilstedeværelse
- Non-profit foreninger og NGO'er
- Freelancere og selvstændige, der driver forretningshjemmesider
Skal amerikanske virksomheder følge TDDDG? Ja. Hvis en amerikansk virksomheds hjemmeside er tilgængelig i Tyskland og bruger cookies eller sporingsteknologier på tyske besøgendes enheder, gælder TDDDG. Lovens rækkevidde bestemmes af, hvor brugeren befinder sig, ikke hvor operatøren er registreret [2]. Dette afspejler GDPR's territoriale logik under artikel 3.
TDDDG Samtykkekrav til sporing
Gyldigt samtykke under TDDDG skal opfylde fem kumulative kriterier: det skal være frit givet, specifikt, informeret, utvetydigt og tilbagekaldeligt [3]. Hvert kriterium har reel operationel vægt.
- Frit givet betyder, at brugeren ikke straffes for at nægte. At blokere adgang til indhold, medmindre cookies accepteres (en "cookie-væg"), er juridisk omstridt og betragtes generelt som ikke-kompatibelt.
- Specifikt betyder, at samtykke opnås pr. formål; analyse kan ikke bundtes med annoncering.
- Informeret betyder, at brugeren ved præcis, hvad de giver samtykke til, før samtykke registreres.
- Utvetydigt betyder, at en bekræftende handling er påkrævet. Forudafkrydsede felter, scrolling eller fortsat browsing udgør ikke samtykke [3].
- Tilbagekaldeligt betyder, at det skal være lige så nemt at trække samtykke tilbage som at give det.
Indstillinger på browserniveau (såsom en browsers indbyggede "do not track"-signal) accepteres ikke som gyldigt samtykke under TDDDG [2]. En korrekt konfigureret platform til samtykkestyring er den standardmekanisme til at indhente og dokumentere kompatibelt samtykke.
TDDDG Bøder og sanktioner for manglende overholdelse
Overtrædelser af TDDDG kan resultere i administrative bøder på op til €300.000 pr. individuel overtrædelse [2]. Da hver cookie-placering uden samtykke på hver brugersession teknisk set kan udgøre en separat overtrædelse, er den samlede eksponering for hjemmesider med høj trafik betydelig.
Ud over TDDDG-specifikke bøder kan tilsynsmyndigheder samtidig forfølge GDPR-sanktioner for den efterfølgende behandling af data indsamlet uden gyldigt samtykke. GDPR-bøder kan nå €20 millioner eller 4% af den globale årlige omsætning, alt efter hvad der er højest [2].
Hvad sker der, hvis du overtræder TDDDG? Håndhævelsesforanstaltninger kan omfatte formelle advarsler, påbud om at ophøre med ikke-kompatibel praksis og bøder. Da håndhævelsen er fordelt på 17 myndigheder (BfDI plus 16 statslige DPAs), er sandsynligheden for kontrol betydeligt højere end i jurisdiktioner med en enkelt regulator.
Hvem er undtaget fra TDDDG-reglerne?
Undtagelser under TDDDG er begrænset til teknisk nødvendige cookies og lagringsoperationer. En operation kvalificerer kun som teknisk nødvendig, hvis den opfylder begge betingelser: den er udelukkende påkrævet for at transmittere en kommunikation over et netværk, eller den er strengt nødvendig for at levere en tjeneste, som brugeren udtrykkeligt har anmodet om [4].
Almindelige undtagne brugsscenarier:
- Sessionscookies, der opretholder en logget-ind-tilstand
- Vedvarende indkøbskurv under en enkelt browsersession
- Load-balancing-cookies, der dirigerer trafik på tværs af servere
- Sikkerhedscookies, der forhindrer cross-site request forgery (CSRF)
Analyse, personalisering, retargeting og sociale delingsfunktioner er ikke undtaget, selvom operatøren anser dem for operationelt vigtige. Testen er, om tjenesten kunne fungere for den anmodende bruger uden den specifikke lagringsoperation, ikke om virksomheden ville foretrække at have dataene.
Sådan gør du dit websted TDDDG-kompatibelt
TDDDG-overholdelse kan opnås med en struktureret tilgang. Følgende trin afspejler den nuværende lovgivningsmæssige standard fra 2026:
- Gennemgå alle cookies og trackere på dit websted. Kategoriser hver som strengt nødvendig eller ikke-essentiel.
- Bloker alle ikke-essentielle scripts fra at indlæses, indtil brugeren har givet udtrykkeligt samtykke.
- Implementer et kompatibelt samtykkebanner, der præsenterer accept- og afvisningsmuligheder med lige visuel fremtræden. Afvisningsmuligheden må ikke være skjult bag sekundære menuer [5].
- Konfigurer granulære samtykkeformål, så brugere f.eks. kan acceptere analyse separat fra annoncering.
- Log samtykkeregistreringer med tidsstempler, brugeridentifikatorer (hvor relevant) og den specifikke samtykkeversion, der blev vist.
- Gør det nemt at trække samtykke tilbage; et vedvarende link til samtykkeindstillingerne skal være tilgængeligt fra hver side.
- Gennemgå EinwV-rammen (gældende fra april 2025), hvis du ønsker at integrere med anerkendte centraliserede samtykkestyringstjenester, som giver brugere mulighed for at gemme præferencer på tværs af flere websteder [3].
En platform til samtykkestyring som Biscotti CMP er designet til at håndtere den tekniske implementering af disse krav, herunder samtykkelogning, bannerkonfiguration og scriptblokering.
TDDDG Cookie Banner Bedste Praksis
Et kompatibelt TDDDG cookie-banner er ikke blot en meddelelse; det er en funktionel samtykkemekanisme. Tilsynsmyndigheder har gjort det klart, at bannere, der er designet til at lokke brugere til accept gennem mørke mønstre, ikke er kompatible.
Bedste praksis inkluderer:
- Lige knapfremtræden: "Accepter alle" og "Afvis alle" knapperne skal være visuelt ækvivalente i størrelse, farve og placering.
- Ingen forudvalgte muligheder: Hver samtykke-toggle skal som standard være slået fra.
- Ingen indholdsblokering: Banneret bør ikke forhindre brugere i at læse siden, selvom det kan vises som et overlay.
- Klare formålsbeskrivelser: Hver cookie-kategori skal beskrives i almindeligt sprog, ikke juridisk jargon.
- Tilgængelig tilbagetrækningsmekanisme: Et "Cookieindstillinger"-link i sidefoden, tilgængeligt til enhver tid, opfylder dette krav.
- Ingen vildledende design: Brug af gråtonede effekter på afvisningsknappen, eller at kræve flere klik for at afvise, mens accept er et enkelt klik, udgør et mørkt mønster og er ikke-kompatibelt.
Almindelige TDDDG-overholdelsesfejl, der skal undgås
Selv velmenende operatører begår ofte fejl, der udsætter dem for håndhævelsesrisiko.
Fejl 1: At behandle GDPR-overholdelse som tilstrækkelig. GDPR og TDDDG adresserer forskellige juridiske spørgsmål. Et websted kan være GDPR-kompatibelt i sine databehandlingspraksisser, men stadig overtræde TDDDG ved at indlæse trackere, før samtykke er registreret.
Fejl 2: At stole på browsersignaler som samtykke. Privatlivsindstillinger på browserniveau opfylder ikke TDDDG's samtykkestandard [2].
Fejl 3: At bundte samtykkeformål. At bede brugere om at acceptere "alle cookies" som et enkelt valg, uden mulighed for at acceptere analyse, men afvise annoncering, overtræder specificitetskravet.
Fejl 4: Manglende blokering af tredjepartsscripts. Mange tredjepartsværktøjer (analyseplatforme, tag-managere, annonceringspixels) indlæses automatisk ved sideindlæsning. Uden teknisk blokering aktiveres de, før samtykke er opnået, hvilket er en direkte TDDDG-overtrædelse.
Fejl 5: Ikke at opdatere samtykkeregistreringer. Hvis formålene, som samtykke blev opnået til, ændres, er tidligere indsamlet samtykke ikke længere gyldigt til de nye formål. Brugere skal genanmodes.
TDDDG vs. ePrivacy-direktivet: Nøgleforskelle
TDDDG er Tysklands nationale implementering af ePrivacy-direktivet (2002/58/EF, som ændret i 2009), men det går videre på flere punkter. ePrivacy-direktivet fastsatte den EU-dækkende ramme, der kræver, at medlemsstaterne skal kræve cookie-samtykke; Tysklands TDDDG er den nationale lov, der opfylder, og på nogle områder overgår, denne forpligtelse [6].
Den forventede ePrivacy-forordning, som ville erstatte direktivet i alle EU-medlemsstater med en direkte anvendelig forordning, har været i lovgivningsmæssig limbo i årevis. Indtil den er vedtaget, forbliver nationale love som TDDDG den gældende standard i Tyskland. Operatører kan ikke antage, at overholdelse af en anden EU-medlemsstats ePrivacy-implementering opfylder tyske krav.
Konklusion: Praktiske næste skridt for TDDDG-overholdelse i 2026
TDDDG repræsenterer Tysklands bevidste valg om at håndhæve digitale privatlivsstandarder mere stringent end EU's minimumsniveau. For webstedsejere, udviklere og marketingteams, der opererer på det tyske marked, er lovens krav specifikke, håndhævelige og aktivt overvåget af 17 separate myndigheder.
Handlingsorienterede næste skridt:
- Udfør en fuld cookie-revision ved hjælp af et scanningsværktøj for at identificere hver tracker på dit websted.
- Verificer, at alle ikke-essentielle scripts er teknisk blokeret før samtykke, ikke blot oplyst.
- Gennemgå dit samtykkebanner i forhold til kravene om lige fremtræden og ingen forudvalg.
- Sørg for, at dine samtykkeregistreringer logges med tilstrækkelig granularitet til at demonstrere overholdelse, hvis der foretages revision.
- Vurder, om EinwV's centraliserede samtykkeramme er relevant for din brugerbase og tekniske stak.
- Evaluer en specialbygget platform til samtykkestyring som Biscotti CMP for at automatisere de tekniske og dokumentationsmæssige krav.
Omkostningerne ved manglende overholdelse, op til €300.000 pr. overtrædelse under TDDDG, med yderligere GDPR-eksponering, overstiger langt den investering, der kræves for at implementere en kompatibel samtykkearbejdsgang. For enhver enhed med betydelig tysk webtrafik er overholdelse ikke valgfrit; det er et grundlæggende operationelt krav.
Ofte stillede spørgsmål
Hvad står TDDDG for? TDDDG står for Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, oversat som Telecommunications Digital Services Data Protection Act. Det er Tysklands nationale lov, der regulerer cookie-samtykke og adgang til enhedslagring.
Hvornår blev TTDSG omdøbt til TDDDG? Omdøbningen trådte i kraft den 14. maj 2024. Ændringen tilpassede lovens terminologi til EU's Digital Services Act. De materielle regler for cookie-samtykke i afsnit 25 blev ikke ændret [1].
Gælder TDDDG for små virksomheder? Ja. TDDDG gælder for alle enheder med en online tilstedeværelse i Tyskland, der gemmer eller tilgår information på brugeres enheder, herunder små virksomheder, freelancere og foreninger [1].
Kan legitim interesse bruges i stedet for samtykke under TDDDG? Nej. I modsætning til GDPR tillader TDDDG ikke legitim interesse som et retsgrundlag for enhedslagring eller adgang. Kun samtykke eller teknisk nødvendighed er gyldige grunde [4].
Hvad er EinwV, og hvordan relaterer det sig til TDDDG? Einwilligungsverwaltungsverordnung (EinwV), der trådte i kraft i april 2025, etablerede en ramme for anerkendte centraliserede samtykkestyringstjenester. Den giver brugere mulighed for at gemme cookie-præferencer på tværs af flere websteder, hvilket reducerer gentagne samtykkeanmodninger [3].
Er analyse-cookies undtaget fra TDDDG's samtykkekrav? Nej. Analyse-cookies er ikke teknisk nødvendige og kræver forudgående brugersamtykke i henhold til afsnit 25 i TDDDG, uanset om de behandler personoplysninger [5].
Hvad gør et cookie-banner ikke-kompatibelt under TDDDG? Almindelige indikatorer for manglende overholdelse inkluderer: en afvisningsmulighed, der er sværere at finde end acceptmuligheden, forudvalgte samtykke-toggles, bannere, der indlæser sporingsscripts, før samtykke er registreret, og fraværet af granulære formålsbaserede kontroller [2].
Er TDDDG kun for tyske hjemmesider? Nej. TDDDG gælder baseret på, hvor brugeren befinder sig, ikke hvor webstedets operatør er baseret. Ethvert websted, der er tilgængeligt for brugere i Tyskland, og som bruger ikke-essentielle cookies, skal overholde loven [2].
Hvad er den maksimale bøde for overtrædelse af TDDDG? TDDDG selv giver mulighed for bøder på op til €300.000 pr. overtrædelse. Separat kan GDPR-overtrædelser udløst af dataindsamling uden samtykke resultere i bøder på op til €20 millioner eller 4% af den globale årlige omsætning [2].
Hvordan relaterer TDDDG sig til ePrivacy-direktivet? TDDDG er Tysklands nationale implementering af EU's ePrivacy-direktiv. Det opfylder og overgår på nogle punkter direktivets krav, og det forbliver den gældende standard i Tyskland, indtil den foreslåede ePrivacy-forordning vedtages på EU-niveau [6].
Referencer
[1] Tdddg - https://skill-sprinters.de/foerderungen/glossar/tdddg/?utm_source=openai [2] De Tdddg - https://www.consentstack.io/regulations/de-tdddg?utm_source=openai [3] Germany Gdpr Compliance Bdsg Dpo Rules And Penalties - https://legalclarity.org/germany-gdpr-compliance-bdsg-dpo-rules-and-penalties/?utm_source=openai [4] Cookies Einwilligung Tdddg - https://konfora.de/ratgeber/cookies-einwilligung-tdddg?utm_source=openai [5] Cookie Banner Pflicht - https://cookie-consent-tools.com/cookie-banner-pflicht.html?utm_source=openai [6] Ttdsg - https://www.preeco.de/en/glossary/data-protection/ttdsg?utm_source=openai