Szybka odpowiedź: TDDDG (Ustawa o ochronie danych w zakresie cyfrowych usług telekomunikacyjnych) to krajowa ustawa Niemiec regulująca, jak strony internetowe i usługi cyfrowe muszą obsługiwać zgodę na pliki cookie oraz dostęp do pamięci urządzeń. Przechodzi poza GDPR, wymagając wcześniejszej, wyraźnej zgody przed aktywacją jakiegokolwiek nieistotnego pliku cookie lub technologii śledzenia, i dotyczy każdego podmiotu działającego cyfrowo w Niemczech, niezależnie od miejsca, w którym ma siedzibę.
Kluczowe informacje
- TDDDG został przemianowany z TTDSG 14 maja 2024 roku, aby dostosować się do Ustawy o usługach cyfrowych UE, chociaż jego podstawowe przepisy pozostały niezmienione [1]
- Artykuł 25 TDDDG wymaga wcześniejszej zgody przed przechowywaniem lub uzyskiwaniem dostępu do jakichkolwiek informacji na urządzeniu użytkownika, z wąskimi wyjątkami dla technicznie niezbędnych plików cookie [4]
- Ważna zgoda musi być dobrowolna, konkretna, poinformowana, jednoznaczna i odwołalna, a zaznaczone wcześniej pola i pasywne przeglądanie nie kwalifikują się [3]
- Nieprzestrzeganie przepisów może skutkować karami TDDDG do 300 000 € za naruszenie, plus kary GDPR do 20 milionów € lub 4% rocznego obrotu globalnego [2]
- Ustawa dotyczy firm, organów publicznych, instytucji edukacyjnych, stowarzyszeń i osób samozatrudnionych z obecnością online w Niemczech [1]
- Firmy z USA i podmioty spoza UE, które kierują swoje usługi do niemieckich użytkowników, muszą przestrzegać TDDDG
- Rozporządzenie o zarządzaniu zgodą (EinwV), obowiązujące od kwietnia 2025 roku, wprowadziło scentralizowane usługi zarządzania zgodą, aby zmniejszyć zmęczenie użytkowników związane z udzielaniem zgody [3]
- Banery cookie muszą oferować autentyczną opcję "odrzucenia", która jest tak samo widoczna jak opcja "zaakceptowania" [5]
Czym jest TDDDG? Krajowa ustawa o prywatności cyfrowej Niemiec wyjaśniona
TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, czyli Ustawa o ochronie danych w zakresie cyfrowych usług telekomunikacyjnych) to podstawowy akt prawny Niemiec regulujący przechowywanie i dostęp do informacji na urządzeniach końcowych użytkowników. Uzupełnia GDPR, adresując specyficzną lukę, której GDPR nie pokrywa bezpośrednio: moment, w którym plik cookie lub skrypt śledzący po raz pierwszy dotyka przeglądarki użytkownika.
Początkowo uchwalona jako TTDSG w grudniu 2021 roku, ustawa została przemianowana na TDDDG 14 maja 2024 roku, aby odzwierciedlić terminologię wprowadzoną przez Ustawę o usługach cyfrowych UE. Zmiana nazwy miała głównie charakter nominalny; zasady merytoryczne, szczególnie te w Artykule 25 regulujące zgodę na pliki cookie, pozostały niezmienione [1].
Ustawa jest egzekwowana przez wielowarstwową strukturę organów: Federalnego Komisarza ds. Ochrony Danych (BfDI), Federalną Agencję Sieci (BNetzA) oraz 16 stanowych organów ochrony danych koordynowanych przez Konferencję Ochrony Danych (DSK) [2]. Ten rozproszony model egzekwowania oznacza, że nie ma jednego wąskiego gardła, a naruszenia mogą być ścigane z wielu kierunków jednocześnie.
Jak TDDDG różni się od GDPR?
TDDDG i GDPR są uzupełniające, a nie konkurencyjne. GDPR reguluje, co się dzieje z danymi osobowymi po ich zebraniu i przetworzeniu. TDDDG reguluje wcześniejszy moment: czy strona internetowa ma w ogóle prawo przechowywać lub odczytywać dane na urządzeniu użytkownika w pierwszej kolejności [6].
Kluczowe różnice:
| Wymiar | GDPR | TDDDG |
|---|---|---|
| Zakres | Przetwarzanie danych osobowych | Przechowywanie/dostęp na urządzeniach użytkowników |
| Opcje podstawy prawnej | Sześć podstaw prawnych (zgoda, uzasadniony interes itp.) | Tylko zgoda lub techniczna konieczność |
| Dotyczy | Administratorów danych i procesorów | Każdego podmiotu z obecnością cyfrową w Niemczech |
| Egzekwowanie | Organy ochrony danych | BfDI, BNetzA, stanowe organy ochrony danych |
| Punkt wyzwalający | Działania związane z przetwarzaniem danych | Aktywacja pliku cookie/śledzenia |
Kluczowa praktyczna różnica: w ramach GDPR "uzasadniony interes" czasami może uzasadniać śledzenie bez zgody. W ramach TDDDG ta opcja nie istnieje dla przechowywania danych na urządzeniu. Zgoda lub ścisła techniczna konieczność to jedyne dwie ważne podstawy [4].
Wymagania dotyczące plików cookie TDDDG wyjaśnione
Artykuł 25 TDDDG stanowi operacyjne jądro ustawy. Nakłada obowiązek, że przechowywanie informacji na urządzeniu końcowym użytkownika lub uzyskiwanie dostępu do informacji już tam przechowywanych wymaga wcześniejszej zgody użytkownika, chyba że działanie jest ściśle konieczne do przesyłania komunikacji lub dostarczenia usługi, którą użytkownik wyraźnie zażądał [4].
Przepis ten obejmuje znacznie więcej niż tradycyjne pliki cookie HTTP. Dotyczy:
- localStorage i sessionStorage przeglądarki
- pikseli śledzących i web beaconów
- skryptów fingerprintingu urządzeń
- plików cookie Flash i podobnych identyfikatorów trwałych
- Każdego innego mechanizmu, który odczytuje lub zapisuje dane na urządzeniu użytkownika
Wyjątki są wąskie. Pliki cookie sesji koszyka zakupowego, tokeny uwierzytelniania logowania i pliki cookie równoważące obciążenie kwalifikują się jako technicznie niezbędne. Pliki cookie analityczne, śledzące reklamy, skrypty testów A/B i wtyczki mediów społecznościowych nie kwalifikują się, wymagają wcześniejszej zgody niezależnie od tego, jak są przedstawiane [5].
Jakie strony internetowe muszą przestrzegać TDDDG?
TDDDG dotyczy wszystkich podmiotów, które działają w Niemczech i przechowują lub uzyskują dostęp do informacji na urządzeniach użytkowników. Nie ogranicza się to tylko do niemieckich firm. Każdy biznes, instytucja lub osoba z witryną dostępną dla niemieckich użytkowników, która korzysta z nieistotnych plików cookie lub technologii śledzenia, podlega tym przepisom [1].
To obejmuje:
- Sklepy e-commerce i platformy SaaS
- Wydawców mediów i portale informacyjne
- Organy publiczne i portale rządowe
- Instytucje edukacyjne z obecnością online
- Stowarzyszenia non-profit i NGO
- Freelancerów i osoby samozatrudnione prowadzące strony biznesowe
Czy firmy z USA muszą przestrzegać TDDDG? Tak. Jeśli strona internetowa firmy z siedzibą w USA jest dostępna w Niemczech i korzysta z plików cookie lub technologii śledzenia na urządzeniach niemieckich odwiedzających, TDDDG ma zastosowanie. Zasięg ustawy określa miejsce, w którym znajduje się użytkownik, a nie miejsce, w którym operator jest zarejestrowany [2]. To odzwierciedla terytorialną logikę GDPR zgodnie z Artykułem 3.
Wymagania dotyczące zgody TDDDG na śledzenie
Ważna zgoda zgodnie z TDDDG musi spełniać pięć kumulatywnych kryteriów: musi być dobrowolna, konkretna, poinformowana, jednoznaczna i odwołalna [3]. Każde kryterium ma realne znaczenie operacyjne.
- Dobrowolna oznacza, że użytkownik nie ponosi kary za odmowę. Blokowanie dostępu do treści, chyba że pliki cookie są zaakceptowane (tzw. "ściana cookie"), jest prawnie kwestionowane i ogólnie uznawane za niezgodne.
- Konkretna oznacza, że zgoda jest uzyskiwana na każdy cel, analityka nie może być łączona z reklamą.
- Poinformowana oznacza, że użytkownik dokładnie wie, na co się zgadza, zanim zgoda zostanie zarejestrowana.
- Jednoznaczna oznacza, że wymagana jest afirmatywna akcja. Zaznaczone wcześniej pola, przewijanie lub kontynuowanie przeglądania nie stanowią zgody [3].
- Odwołalna oznacza, że wycofanie zgody musi być tak łatwe, jak jej udzielenie.
Ustawienia na poziomie przeglądarki (takie jak wbudowany sygnał "nie śledź") nie są akceptowane jako ważna zgoda zgodnie z TDDDG [2]. Prawidłowo skonfigurowana platforma zarządzania zgodą jest standardowym mechanizmem do rejestrowania i dokumentowania zgodnej zgody.
Kary i sankcje TDDDG za brak zgodności
Naruszenia TDDDG mogą skutkować administracyjnymi karami do 300 000 € za każde indywidualne naruszenie [2]. Ponieważ każde umieszczenie pliku cookie bez zgody w każdej sesji użytkownika może technicznie stanowić osobne naruszenie, łączna ekspozycja dla stron internetowych o dużym ruchu jest znaczna.
Poza karami specyficznymi dla TDDDG, organy regulacyjne mogą jednocześnie ścigać kary GDPR za dalsze przetwarzanie danych zebranych bez ważnej zgody. Kary GDPR mogą wynosić do 20 milionów € lub 4% rocznego obrotu globalnego, w zależności od tego, która kwota jest wyższa [2].
Co się stanie, jeśli naruszysz TDDDG? Działania egzekwujące mogą obejmować formalne ostrzeżenia, nakazy zaprzestania praktyk niezgodnych oraz kary pieniężne. Biorąc pod uwagę, że egzekwowanie jest rozproszone wśród 17 organów (BfDI oraz 16 stanowych organów ochrony danych), prawdopodobieństwo kontroli jest znacznie wyższe niż w jurysdykcjach z jednym regulatorem.
Kto jest zwolniony z zasad TDDDG?
Wyjątki w ramach TDDDG są ograniczone do technicznie niezbędnych plików cookie i operacji przechowywania. Operacja kwalifikuje się jako technicznie niezbędna tylko wtedy, gdy spełnia oba warunki: jest wymagana wyłącznie do przesyłania komunikacji przez sieć lub jest ściśle konieczna do świadczenia usługi, którą użytkownik wyraźnie zażądał [4].
Typowe przypadki zwolnień:
- Pliki cookie sesji, które utrzymują stan zalogowania
- Utrzymywanie koszyka zakupowego podczas jednej sesji przeglądania
- Pliki cookie równoważące obciążenie, które kierują ruch między serwerami
- Pliki cookie zabezpieczające, które zapobiegają fałszywym żądaniom między witrynami (CSRF)
Funkcje analityczne, personalizacja, retargeting i funkcjonalności udostępniania w mediach społecznościowych nie są zwolnione, nawet jeśli operator uznaje je za operacyjnie ważne. Testem jest to, czy usługa mogłaby funkcjonować dla użytkownika żądającego bez tej konkretnej operacji przechowywania, a nie to, czy firma wolałaby mieć te dane.
Jak uczynić swoją stronę zgodną z TDDDG
Zgodność z TDDDG jest osiągalna dzięki uporządkowanemu podejściu. Poniższe kroki odzwierciedlają aktualny standard regulacyjny na rok 2026:
- Audyt wszystkich plików cookie i trackerów na swojej stronie. Skategoryzuj każdy jako ściśle niezbędny lub nieistotny.
- Zablokuj wszystkie nieistotne skrypty przed załadowaniem, dopóki użytkownik nie wyrazi wyraźnej zgody.
- Wdrożenie zgodnego banera zgody, który prezentuje opcje akceptacji i odrzucenia z równą wizualną wyrazistością. Opcja odrzucenia nie może być ukryta za pomocą drugorzędnych menu [5].
- Skonfiguruj szczegółowe cele zgody, aby użytkownicy mogli akceptować analitykę oddzielnie od reklamy, na przykład.
- Rejestruj zapisy zgody z znacznikami czasowymi, identyfikatorami użytkowników (gdzie to możliwe) oraz konkretną wersją zgody, która została pokazana.
- Umożliw łatwe wycofanie zgody, trwały link do ustawień zgody musi być dostępny z każdej strony.
- Przejrzyj ramy EinwV (obowiązujące od kwietnia 2025), jeśli chcesz zintegrować się z uznawanymi scentralizowanymi usługami zarządzania zgodą, które pozwalają użytkownikom przechowywać preferencje na wielu stronach [3].
Platforma zarządzania zgodą, taka jak Biscotti CMP, jest zaprojektowana do obsługi technicznej implementacji tych wymagań, w tym rejestrowania zgody, konfiguracji banera i blokowania skryptów.
Najlepsze praktyki dotyczące banerów cookie TDDDG
Zgodny baner cookie TDDDG to nie tylko powiadomienie, to funkcjonalny mechanizm zgody. Regulatorzy jasno określili, że banery zaprojektowane w celu nakłaniania użytkowników do akceptacji poprzez ciemne wzorce są niezgodne.
Najlepsze praktyki obejmują:
- Równorzędna wyrazistość przycisków: Przycisk "Akceptuj wszystkie" i "Odrzuć wszystkie" muszą być wizualnie równoważne pod względem rozmiaru, koloru i umiejscowienia.
- Brak wstępnie zaznaczonych opcji: Każde przełącznik zgody musi domyślnie być wyłączony.
- Brak blokowania treści: Baner nie powinien uniemożliwiać użytkownikom czytania strony, chociaż może pojawić się jako nakładka.
- Jasne opisy celów: Każda kategoria plików cookie musi być opisana w prostym języku, a nie prawniczym żargonie.
- Dostępny mechanizm wycofania: Link "Ustawienia plików cookie" w stopce, dostępny przez cały czas, spełnia ten wymóg.
- Brak wprowadzającego w błąd projektu: Używanie efektów szarości na przycisku odrzucenia lub wymaganie wielu kliknięć, aby odmówić, podczas gdy akceptacja wymaga jednego kliknięcia, stanowi ciemny wzorzec i jest niezgodne.
Najczęstsze błędy w zgodności z TDDDG, których należy unikać
Nawet dobrze intencjonowani operatorzy często popełniają błędy, które narażają ich na ryzyko egzekwowania.
Błąd 1: Traktowanie zgodności z GDPR jako wystarczającej. GDPR i TDDDG dotyczą różnych pytań prawnych. Strona może być zgodna z GDPR w swoich praktykach przetwarzania danych, a jednocześnie naruszać TDDDG, ładując trackery przed zarejestrowaniem zgody.
Błąd 2: Poleganie na sygnałach przeglądarki jako zgodzie. Ustawienia prywatności na poziomie przeglądarki nie spełniają standardu zgody TDDDG [2].
Błąd 3: Łączenie celów zgody. Prosząc użytkowników o zaakceptowanie "wszystkich plików cookie" jako jednego wyboru, bez możliwości zaakceptowania analityki, a odrzucenia reklamy, narusza wymóg konkretności.
Błąd 4: Nieblokowanie skryptów stron trzecich. Wiele narzędzi stron trzecich (platformy analityczne, menedżery tagów, piksele reklamowe) ładowanych jest automatycznie podczas renderowania strony. Bez technicznego blokowania aktywują się przed uzyskaniem zgody, co stanowi bezpośrednie naruszenie TDDDG.
Błąd 5: Nieaktualizowanie zapisów zgody. Jeśli cele, dla których uzyskano zgodę, się zmieniają, wcześniej zebrana zgoda nie jest już ważna dla nowych celów. Użytkownicy muszą być ponownie poproszeni o zgodę.
TDDDG a dyrektywa ePrivacy: Kluczowe różnice
TDDDG jest krajową implementacją Niemiec dyrektywy ePrivacy (2002/58/EC, zmienionej w 2009 roku), ale w wielu aspektach idzie dalej. Dyrektywa ePrivacy ustanowiła ogólnounijną ramę wymagającą od państw członkowskich nakazania zgody na pliki cookie; TDDDG jest krajowym aktem prawnym, który spełnia, a w niektórych obszarach przekracza, ten obowiązek [6].
Oczekiwana regulacja ePrivacy, która zastąpiłaby dyrektywę we wszystkich państwach członkowskich UE bezpośrednio stosowaną regulacją, od lat znajduje się w legislacyjnym limbo. Dopóki nie zostanie przyjęta, krajowe przepisy, takie jak TDDDG, pozostają obowiązującym standardem w Niemczech. Operatorzy nie mogą zakładać, że zgodność z implementacją ePrivacy innego państwa członkowskiego UE spełnia niemieckie wymagania.
Podsumowanie: Praktyczne następne kroki w celu zgodności z TDDDG w 2026 roku
TDDDG reprezentuje świadomy wybór Niemiec, aby egzekwować standardy prywatności cyfrowej bardziej rygorystycznie niż minimalny poziom UE. Dla właścicieli stron internetowych, deweloperów i zespołów marketingowych działających na rynku niemieckim wymagania ustawy są konkretne, egzekwowalne i aktywnie monitorowane przez 17 oddzielnych organów.
Wykonalne następne kroki:
- Przeprowadź pełny audyt plików cookie za pomocą narzędzia skanującego, aby zidentyfikować każdy tracker na swojej stronie.
- Zweryfikuj, że wszystkie nieistotne skrypty są technicznie zablokowane przed uzyskaniem zgody, a nie tylko ujawnione.
- Przejrzyj swój baner zgody pod kątem wymagań dotyczących równorzędnej wyrazistości i braku wstępnego zaznaczenia.
- Upewnij się, że Twoje zapisy zgody są rejestrowane z wystarczającą szczegółowością, aby wykazać zgodność w przypadku audytu.
- Oceń, czy ramy scentralizowanej zgody EinwV są istotne dla Twojej bazy użytkowników i stosu technologicznego.
- Rozważ platformę zarządzania zgodą, taką jak Biscotti CMP, aby zautomatyzować wymagania techniczne i dokumentacyjne.
Koszt braku zgodności, do 300 000 € za naruszenie na podstawie TDDDG, z dodatkową ekspozycją na GDPR, znacznie przewyższa inwestycję wymaganą do wdrożenia zgodnego przepływu pracy dotyczącego zgody. Dla każdego podmiotu z istotnym ruchem internetowym w Niemczech, zgodność nie jest opcjonalna; to podstawowy wymóg operacyjny.
FAQ
Co oznacza TDDDG?
TDDDG oznacza Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, czyli Ustawę o ochronie danych w zakresie cyfrowych usług telekomunikacyjnych. To krajowa ustawa Niemiec regulująca zgodę na pliki cookie i dostęp do pamięci urządzeń.
Kiedy TTDSG zostało przemianowane na TDDDG?
Zmiana nazwy weszła w życie 14 maja 2024 roku. Zmiana dostosowała terminologię ustawy do Ustawy o usługach cyfrowych UE. Zasady dotyczące zgody na pliki cookie w Artykule 25 nie zostały zmienione [1].
Czy TDDDG dotyczy małych firm?
Tak. TDDDG dotyczy wszystkich podmiotów z obecnością online w Niemczech, które przechowują lub uzyskują dostęp do informacji na urządzeniach użytkowników, w tym małych firm, freelancerów i stowarzyszeń [1].
Czy uzasadniony interes może być użyty zamiast zgody w ramach TDDDG?
Nie. W przeciwieństwie do GDPR, TDDDG nie zezwala na uzasadniony interes jako podstawę prawną dla przechowywania lub dostępu do urządzenia. Tylko zgoda lub techniczna konieczność są ważnymi podstawami [4].
Czym jest EinwV i jak odnosi się do TDDDG?
Einwilligungsverwaltungsverordnung (EinwV), obowiązująca od kwietnia 2025 roku, ustanowiła ramy dla uznawanych scentralizowanych usług zarządzania zgodą. Umożliwia użytkownikom przechowywanie preferencji dotyczących plików cookie na wielu stronach internetowych, zmniejszając powtarzające się prośby o zgodę [3].
Czy pliki cookie analityczne są zwolnione z wymagań dotyczących zgody TDDDG?
Nie. Pliki cookie analityczne nie są technicznie niezbędne i wymagają wcześniejszej zgody użytkownika zgodnie z Artykułem 25 TDDDG, niezależnie od tego, czy przetwarzają dane osobowe [5].
Co sprawia, że baner cookie jest niezgodny z TDDDG?
Typowe wskaźniki niezgodności obejmują: opcję odrzucenia, która jest trudniejsza do znalezienia niż opcja akceptacji, wstępnie zaznaczone przełączniki zgody, banery, które ładują skrypty śledzące przed zarejestrowaniem zgody, oraz brak kontroli na poziomie celu [2].
Czy TDDDG dotyczy tylko niemieckich stron internetowych?
Nie. TDDDG ma zastosowanie w zależności od miejsca, w którym znajduje się użytkownik, a nie miejsca, w którym operator strony jest zarejestrowany. Każda strona dostępna dla użytkowników w Niemczech, która korzysta z nieistotnych plików cookie, musi przestrzegać [2].
Jaka jest maksymalna kara za naruszenie TDDDG?
TDDDG przewiduje kary do 300 000 € za naruszenie. Oddzielnie, naruszenia GDPR wywołane zbieraniem danych bez zgody mogą skutkować karami do 20 milionów € lub 4% rocznego obrotu globalnego, w zależności od tego, która kwota jest wyższa [2].
Jak TDDDG odnosi się do dyrektywy ePrivacy?
TDDDG jest krajową implementacją Niemiec dyrektywy ePrivacy. Spełnia i w niektórych aspektach przekracza wymagania dyrektywy, a także pozostaje obowiązującym standardem w Niemczech, dopóki proponowana regulacja ePrivacy nie zostanie przyjęta na poziomie UE [6].
Źródła
[1] Tdddg - https://skill-sprinters.de/foerderungen/glossar/tdddg/?utm_source=openai
[2] De Tdddg - https://www.consentstack.io/regulations/de-tdddg?utm_source=openai
[3] Germany Gdpr Compliance Bdsg Dpo Rules And Penalties - https://legalclarity.org/germany-gdpr-compliance-bdsg-dpo-rules-and-penalties/?utm_source=openai
[4] Cookies Einwilligung Tdddg - https://konfora.de/ratgeber/cookies-einwilligung-tdddg?utm_source=openai
[5] Cookie Banner Pflicht - https://cookie-consent-tools.com/cookie-banner-pflicht.html?utm_source=openai
[6] Ttdsg - https://www.preeco.de/en/glossary/data-protection/ttdsg?utm_source=openai