クイックアンサー： TDDDG（Telecommunications Digital Services Data Protection Act）は、ウェブサイトやデジタルサービスがクッキー同意とデバイスストレージアクセスをどのように扱うべきかを定めたドイツの国家法です。これはGDPRを超えて、非必須のクッキーやトラッキング技術が有効化される前に、事前に明示的な同意を求めることを要求しており、ドイツ国内でデジタルに運営されるすべての事業体に適用されます。
主なポイント
- TDDDGは、2024年5月14日にTTDSGから改名され、EUデジタルサービス法に合わせられましたが、その核心的な規定は変更されていません[1]
- TDDDGの第25条は、ユーザーのデバイス上の情報を保存またはアクセスする前に事前の同意を要求し、技術的に必要なクッキーには狭い例外があります[4]
- 有効な同意は自由に与えられ、特定され、情報に基づき、明確であり、撤回可能でなければなりません。事前にチェックされたボックスや受動的なブラウジングは有効ではありません[3]
- 違反があった場合、TDDDGの罰金は1回の違反につき最大€300,000に達する可能性があり、GDPRの罰金は最大€2000万または全世界の年間売上高の4%に達する可能性があります[2]
- この法律は、ドイツ国内でオンラインプレゼンスを持つ企業、公共機関、教育機関、団体、自営業者に適用されます[1]
- ドイツのユーザーをターゲットとする米国企業や非EU企業もTDDDGに準拠する必要があります
- 2025年4月に施行される同意管理条例（EinwV）は、ユーザーの同意疲れを軽減するために中央集権的な同意管理サービスを導入しました[3]
- クッキーバナーは、「拒否」オプションが「受け入れ」オプションと同じくらい目立つものである必要があります[5]
TDDDGとは？ドイツの国家デジタルプライバシー法の解説
TDDDG（Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz、または通信デジタルサービスデータ保護法）は、エンドユーザーのデバイス上の情報の保存とアクセスを規制するドイツの主要な法律です。これはGDPRと並行して存在し、GDPRが直接カバーしていない特定のギャップに対処しています：クッキーやトラッキングスクリプトがユーザーのブラウザに初めて触れる瞬間です。
2021年12月にTTDSGとして施行されたこの法律は、2024年5月14日にEUデジタルサービス法によって導入された用語を反映するためにTDDDGに改名されました。改名は主に名目的なものであり、特にクッキー同意を規定する第25条の実質的なルールは変更されていません[1]。
この法律は、データ保護連邦委員会（BfDI）、連邦ネットワーク庁（BNetzA）、およびデータ保護会議（DSK）を通じて調整された16の州データ保護当局によって執行されます[2]。この分散型の執行モデルは、単一のボトルネックが存在しないことを意味し、違反は同時に複数の方向から追及される可能性があります。
TDDDGはGDPRとどのように異なるのか？
TDDDGとGDPRは補完的であり、競合するものではありません。GDPRは、個人データが収集され処理された後に何が起こるかを規定しています。TDDDGは、ウェブサイトがユーザーのデバイスにデータを保存または読み取ることが許可されているかどうかという、より早い段階を規定しています[6]。
主な違い：
| 次元 | GDPR | TDDDG |
|---|---|---|
| 範囲 | 個人データの処理 | ユーザーデバイス上の保存/アクセス |
| 法的根拠の選択肢 | 6つの合法的根拠（同意、正当な利益など） | 同意または技術的必要性のみ |
| 適用対象 | データ管理者および処理者 | ドイツにデジタルプレゼンスを持つすべての事業体 |
| 執行 | データ保護当局 | BfDI、BNetzA、州DPA |
| トリガーポイント | データ処理活動 | クッキー/トラッカーの有効化 |
重要な実務上の違い：GDPRの下では、「正当な利益」が時には同意なしでのトラッキングを正当化することができますが、TDDDGの下ではデバイスストレージに対してそのオプションは存在しません。同意または厳格な技術的必要性が唯一の有効な根拠です[4]。
TDDDGのクッキー要件の解説
TDDDGの第25条は、法律の運用の核心です。これは、ユーザーの端末デバイス上の情報を保存すること、またはすでに保存されている情報にアクセスすることは、ユーザーの事前の同意を必要とし、通信を送信するためや、ユーザーが明示的に要求したサービスを提供するために厳密に必要な場合を除きます[4]。
この規定は、従来のHTTPクッキー以上のものをカバーします。これには以下が含まれます：
- ブラウザのlocalStorageおよびsessionStorage
- トラッキングピクセルおよびウェブビーコン
- デバイスフィンガープリンティングスクリプト
- フラッシュクッキーおよび同様の永続的識別子
- ユーザーのデバイスから読み書きする他のメカニズム
例外は狭いです。 ショッピングカートのセッションクッキー、ログイン認証トークン、負荷分散クッキーは技術的に必要と見なされます。分析クッキー、広告トラッカー、A/Bテストスクリプト、ソーシャルメディアプラグインはそうではなく、どのようにフレーミングされても事前の同意が必要です[5]。
TDDDGに準拠する必要があるウェブサイトは？
TDDDGは、ドイツで運営され、ユーザーのデバイス上の情報を保存またはアクセスするすべての事業体に適用されます。これはドイツ企業に限られません。ドイツのユーザーがアクセスできるウェブサイトを持ち、非必須のクッキーやトラッキングを使用する企業、機関、個人はすべて対象となります[1]。
これには以下が含まれます：
- EコマースストアおよびSaaSプラットフォーム
- メディア出版社およびニュースメディア
- 公共機関および政府ポータル
- オンラインプレゼンスを持つ教育機関
- 非営利団体およびNGO
- ビジネスウェブサイトを運営するフリーランサーおよび自営業者
米国企業はTDDDGに従う必要がありますか？ はい。米国に本社を置く企業のウェブサイトがドイツでアクセス可能で、ドイツの訪問者のデバイスでクッキーやトラッキング技術を使用している場合、TDDDGが適用されます。この法律の適用範囲は、ユーザーの所在地によって決定され、オペレーターの法人所在地ではありません[2]。これは、GDPRの第3条に基づく領域論理と一致しています。
TDDDGのトラッキングに関する同意要件
TDDDGの下で有効な同意は、自由に与えられ、特定され、情報に基づき、明確であり、撤回可能であるという5つの累積的な基準を満たさなければなりません[3]。各基準は実際の運用上の重みを持っています。
- 自由に与えられるとは、ユーザーが拒否した場合にペナルティがないことを意味します。クッキーが受け入れられない限りコンテンツへのアクセスをブロックすること（「クッキーボール」）は法的に争われており、一般的に非準拠と見なされます。
- 特定されているとは、同意が目的ごとに取得されることを意味し、分析は広告と束ねることができません。
- 情報に基づいているとは、ユーザーが同意が記録される前に、何に同意しているのかを正確に知っていることを意味します。
- 明確であるとは、肯定的な行動が必要であることを意味します。事前にチェックされたボックス、スクロール、または継続的なブラウジングは同意を構成しません[3]。
- 撤回可能であるとは、同意を撤回することが与えることと同じくらい簡単でなければなりません。
ブラウザレベルの設定（ブラウザの組み込み「トラッキングしない」信号など）は、TDDDGの下で有効な同意として受け入れられません[2]。適切に構成された同意管理プラットフォームが、準拠した同意を取得し文書化するための標準的なメカニズムです。
TDDDGの違反に対する罰金とペナルティ
TDDDGの違反は、個々の違反につき最大€300,000の行政罰金をもたらす可能性があります[2]。各ユーザーセッションでの非同意のクッキー配置は、技術的に別々の違反と見なされる可能性があるため、高トラフィックのウェブサイトにとっては総合的なリスクが大きいです。
TDDDG特有の罰金を超えて、規制当局は有効な同意なしに収集されたデータの下流処理に対してGDPRの罰金を同時に追及することができます。GDPRの罰金は最大€20 millionまたは全世界の年間売上高の4%に達する可能性があります、いずれか高い方が適用されます[2]。
TDDDGに違反した場合はどうなりますか？ 執行措置には、正式な警告、非準拠の慣行を停止する命令、金銭的罰金が含まれる可能性があります。17の当局（BfDIと16の州DPA）にわたる執行が分散しているため、監視される可能性は単一の規制当局が存在する管轄区域よりも意味的に高くなります。
TDDDGの規則から免除されるのは誰か？
TDDDGの下での例外は、技術的に必要なクッキーとストレージ操作に限られています。操作が技術的に必要と見なされるためには、通信をネットワーク上で送信するためにのみ必要であるか、ユーザーが明示的に要求したサービスを提供するために厳密に必要である必要があります[4]。
一般的な免除使用例：
- ログイン状態を維持するセッションクッキー
- 単一のブラウジングセッション中のショッピングカートの持続性
- サーバー間でトラフィックをルーティングする負荷分散クッキー
- クロスサイトリクエストフォージェリ（CSRF）を防ぐセキュリティクッキー
分析、パーソナライズ、リターゲティング、ソーシャルシェアリング機能は、オペレーターがそれらを運用上重要と見なしていても免除されません。テストは、要求するユーザーに対してその特定のストレージ操作なしでサービスが機能するかどうかであり、ビジネスがデータを持つことを好むかどうかではありません。
ウェブサイトをTDDDGに準拠させる方法
TDDDGの準拠は、構造化されたアプローチで達成可能です。以下のステップは、2026年の現在の規制基準を反映しています：
- サイト上のすべてのクッキーとトラッカーを監査します。それぞれを厳密に必要なものか非必須のものかに分類します。
- ユーザーが明示的な同意を与えるまで、すべての非必須スクリプトの読み込みをブロックします。
- 受け入れと拒否のオプションを同等の視覚的な目立ち具合で提示する準拠した同意バナーを実装します。拒否オプションは二次メニューの背後に隠れていてはいけません[5]。
- ユーザーが分析を広告とは別に受け入れることができるように、細分化された同意目的を設定します。
- 同意記録をタイムスタンプ、ユーザー識別子（該当する場合）、および表示された特定の同意バージョンと共にログします。
- 同意の撤回を容易にするために、すべてのページからアクセス可能な同意設定への持続的なリンクを提供します。
- EinwVフレームワークを確認します（2025年4月施行）し、認識された中央集権的な同意管理サービスと統合したい場合は、ユーザーが複数のサイトでの好みを保存できるようにします[3]。
Biscotti CMPのような同意管理プラットフォームは、これらの要件の技術的な実装、同意のログ記録、バナーの設定、スクリプトのブロックを処理するように設計されています。
TDDDGクッキーバナーのベストプラクティス
準拠したTDDDGクッキーバナーは単なる通知ではなく、機能的な同意メカニズムです。規制当局は、ユーザーを受け入れに誘導するように設計されたダークパターンのバナーは非準拠であることを明確にしています。
ベストプラクティスには以下が含まれます：
- ボタンの同等の目立ち具合： 「すべて受け入れる」と「すべて拒否する」ボタンは、サイズ、色、配置において視覚的に同等でなければなりません。
- 事前選択されたオプションなし： すべての同意トグルはデフォルトでオフでなければなりません。
- コンテンツの遮蔽なし： バナーはユーザーがページを読むのを妨げてはいけませんが、オーバーレイとして表示されることは許可されます。
- 明確な目的の説明： 各クッキーのカテゴリは、法律用語ではなく平易な言葉で説明されなければなりません。
- アクセス可能な撤回メカニズム： フッターに「クッキー設定」リンクを設置し、常にアクセス可能にすることがこの要件を満たします。
- 欺瞞的なデザインなし： 拒否ボタンにグレーアウト効果を使用したり、受け入れが1クリックで拒否が複数のクリックを必要とする場合は、ダークパターンと見なされ、非準拠となります。
TDDDG準拠で避けるべき一般的なミス
意図的なオペレーターでも、執行リスクにさらされるエラーを頻繁に犯します。
ミス1：GDPR準拠を十分と見なすこと。 GDPRとTDDDGは異なる法的問題に対処しています。サイトはデータ処理慣行においてGDPRに準拠していても、同意が記録される前にトラッカーを読み込むことでTDDDGに違反する可能性があります。
ミス2：ブラウザ信号を同意として依存すること。 ブラウザレベルのプライバシー設定は、TDDDGの同意基準を満たしません[2]。
ミス3：同意目的を束ねること。 ユーザーに「すべてのクッキー」を単一の選択肢として受け入れるよう求め、分析を受け入れつつ広告を拒否する能力を与えないことは、特定性の要件に違反します。
ミス4：サードパーティスクリプトをブロックしないこと。 多くのサードパーティツール（分析プラットフォーム、タグマネージャー、広告ピクセル）は、ページレンダリング時に自動的に読み込まれます。技術的なブロックがなければ、同意が得られる前にアクティブ化され、直接的なTDDDG違反となります。
ミス5：同意記録を更新しないこと。 同意が得られた目的が変更された場合、以前に収集された同意は新しい目的にはもはや有効ではありません。ユーザーには再度促す必要があります。
TDDDGとePrivacy指令：主な違い
TDDDGは、ePrivacy指令（2002/58/EC、2009年改正）のドイツにおける国内実施ですが、いくつかの点でさらに進んでいます。ePrivacy指令は、EU全体の枠組みを設定し、加盟国にクッキー同意を義務付けることを要求しました。ドイツのTDDDGは、その義務を果たす国内法であり、一部の領域ではそれを超えています[6]。
予想されるePrivacy規則は、すべてのEU加盟国において指令を直接適用可能な規則に置き換えるものであり、数年間立法的な停滞にあります。それが採択されるまで、TDDDGのような国内法がドイツでの運用基準として残ります。他のEU加盟国のePrivacy実施に準拠しているからといって、ドイツの要件が満たされると仮定することはできません。
結論：2026年のTDDDG準拠のための実践的な次のステップ
TDDDGは、EUの最低基準よりも厳格にデジタルプライバシー基準を施行するというドイツの意図的な選択を示しています。ドイツ市場で運営されるウェブサイトの所有者、開発者、マーケティングチームにとって、この法律の要件は具体的であり、執行可能であり、17の異なる当局によって積極的に監視されています。
実行可能な次のステップ：
- スキャンツールを使用して、サイト上のすべてのトラッカーを特定する完全なクッキー監査を実施します。
- 同意が得られる前に、すべての非必須スクリプトが技術的にブロックされていることを確認します。
- 同等の目立ち具合と事前選択なしの要件に対して同意バナーを見直します。
- 監査された場合に準拠を示すために、同意記録が十分な詳細でログされていることを確認します。
- EinwV中央集権的同意フレームワークがユーザーベースや技術スタックに関連しているかどうかを評価します。
- 技術的および文書要件を自動化するために、Biscotti CMPのような目的特化型の同意管理プラットフォームを評価します。
TDDDGの下での違反に対する罰金は、1回の違反につき最大€300,000に達し、GDPRの追加リスクも考慮すると、準拠した同意ワークフローを実装するために必要な投資をはるかに上回ります。ドイツでの重要なウェブトラフィックを持つ事業体にとって、準拠はオプションではなく、基本的な運用要件です。
FAQ
TDDDGは何の略ですか？
TDDDGはTelekommunikation-Digitale-Dienste-Datenschutz-Gesetzの略で、通信デジタルサービスデータ保護法を意味します。これは、クッキー同意とデバイスストレージアクセスを規定するドイツの国家法です。
TTDSGはいつTDDDGに改名されましたか？
改名は2024年5月14日に施行されました。この変更は、法律の用語をEUデジタルサービス法に合わせるものでした。第25条の実質的なクッキー同意ルールは変更されていません[1]。
TDDDGは小規模企業にも適用されますか？
はい。TDDDGは、ドイツでオンラインプレゼンスを持ち、ユーザーのデバイス上の情報を保存またはアクセスするすべての事業体に適用されます。これには小規模企業、フリーランサー、団体も含まれます[1]。
TDDDGの下で同意の代わりに正当な利益を使用できますか？
いいえ。GDPRとは異なり、TDDDGはデバイスのストレージまたはアクセスに対して正当な利益を法的根拠として許可していません。唯一の有効な根拠は同意または技術的必要性です[4]。
EinwVとは何で、TDDDGとどのように関連していますか？
Einwilligungsverwaltungsverordnung（EinwV）は、2025年4月に施行され、認識された中央集権的な同意管理サービスのためのフレームワークを確立しました。これにより、ユーザーは複数のウェブサイトでクッキーの好みを保存できるようになり、繰り返しの同意プロンプトを減少させます[3]。
分析クッキーはTDDDGの同意要件から免除されますか？
いいえ。分析クッキーは技術的に必要ではなく、第25条の下で事前のユーザー同意が必要です。これは、個人データを処理するかどうかに関係なく適用されます[5]。
TDDDGの下でクッキーバナーが非準拠となるのはどのような場合ですか？
一般的な非準拠の指標には、受け入れオプションよりも見つけにくい拒否オプション、事前選択された同意トグル、同意が記録される前にトラッキングスクリプトを読み込むバナー、細分化された目的レベルの制御が欠如していることが含まれます[2]。
TDDDGはドイツのウェブサイトだけのものですか？
いいえ。TDDDGは、ウェブサイトオペレーターの所在地ではなく、ユーザーの所在地に基づいて適用されます。ドイツのユーザーにアクセス可能な非必須のクッキーを使用するウェブサイトはすべて準拠する必要があります[2]。
TDDDGに違反した場合の最大罰金はいくらですか？
TDDDG自体は、1回の違反につき最大€300,000の罰金を規定しています。さらに、非同意のデータ収集によって引き起こされたGDPR違反は、最大€20 millionまたは全世界の年間売上高の4%の罰金をもたらす可能性があります[2]。
TDDDGはePrivacy指令とどのように関連していますか？
TDDDGは、EUのePrivacy指令のドイツにおける国内実施です。これは指令の要件を満たし、一部の点ではそれを超えており、提案されたePrivacy規則がEUレベルで採択されるまで、ドイツでの運用基準として残ります[6]。
参考文献
[1] Tdddg - https://skill-sprinters.de/foerderungen/glossar/tdddg/?utm_source=openai
[2] De Tdddg - https://www.consentstack.io/regulations/de-tdddg?utm_source=openai
[3] Germany Gdpr Compliance Bdsg Dpo Rules And Penalties - https://legalclarity.org/germany-gdpr-compliance-bdsg-dpo-rules-and-penalties/?utm_source=openai
[4] Cookies Einwilligung Tdddg - https://konfora.de/ratgeber/cookies-einwilligung-tdddg?utm_source=openai
[5] Cookie Banner Pflicht - https://cookie-consent-tools.com/cookie-banner-pflicht.html?utm_source=openai
[6] Ttdsg - https://www.preeco.de/en/glossary/data-protection/ttdsg?utm_source=openai