Snabbt svar: TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) är Tysklands nationella lag som reglerar hur webbplatser och digitala tjänster måste hantera cookie-samtycke och åtkomst till enhetslagring. Den går längre än GDPR genom att kräva föregående, uttryckligt samtycke innan någon icke-nödvändig cookie eller spårningsteknik aktiveras, och den gäller för varje enhet som verkar digitalt inom Tyskland, oavsett var de har sitt huvudkontor.
Viktiga punkter
- TDDDG döptes om från TTDSG den 14 maj 2024 för att anpassa sig till EU:s lag om digitala tjänster, även om dess kärnbestämmelser förblev oförändrade [1]
- Avsnitt 25 i TDDDG kräver föregående samtycke innan någon information lagras eller nås på en användares enhet, med snäva undantag för tekniskt nödvändiga cookies [4]
- Giltigt samtycke måste ges fritt, vara specifikt, informerat, entydigt och återkalleligt; förvalda kryssrutor och passiv surfning kvalificerar inte [3]
- Bristande efterlevnad kan leda till TDDDG-böter på upp till €300,000 per överträdelse, plus GDPR-avgifter på upp till €20 miljoner eller 4% av den globala årliga omsättningen [2]
- Lagen gäller för företag, offentliga myndigheter, utbildningsinstitutioner, föreningar och egenföretagare med en online-närvaro i Tyskland [1]
- Amerikanska företag och icke-EU-företag som riktar sig till tyska användare måste följa TDDDG
- Förordningen om samtyckeshantering (EinwV), som träder i kraft i april 2025, introducerade centraliserade samtyckeshanteringstjänster för att minska användarnas samtyckeströtthet [3]
- Cookie-banners måste erbjuda ett genuint "avvisa" alternativ som är lika framträdande som "acceptera" alternativet [5]
Vad är TDDDG? Tysklands nationella lag om digital integritet förklarad
TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) är Tysklands primära lag som reglerar lagring av och åtkomst till information på slutanvändares enheter. Den kompletterar GDPR och adresserar ett specifikt gap som GDPR inte täcker direkt: ögonblicket då en cookie eller spårningsskript först berör en användares webbläsare.
Lagstiftningen antogs ursprungligen som TTDSG i december 2021 och döptes om till TDDDG den 14 maj 2024 för att återspegla terminologin som infördes av EU:s lag om digitala tjänster. Omnämningen var i stort sett nominell; de materiella reglerna, särskilt de i avsnitt 25 som reglerar cookie-samtycke, förblev oförändrade [1].
Lagen verkställs av en flerlagers myndighetsstruktur: den federala kommissionären för dataskydd (BfDI), den federala nätverksmyndigheten (BNetzA) och de 16 statliga dataskyddsmyndigheterna som koordineras genom dataskyddskonferensen (DSK) [2]. Denna distribuerade verkställighetsmodell innebär att det inte finns någon enskild flaskhals; överträdelser kan drivas från flera håll samtidigt.
Hur skiljer sig TDDDG från GDPR?
TDDDG och GDPR är komplementära, inte konkurrerande. GDPR reglerar vad som händer med personuppgifter när de har samlats in och bearbetats. TDDDG reglerar det tidigare ögonblicket: huruvida en webbplats ens får lagra eller läsa data på en användares enhet från början [6].
Viktiga skillnader:
| Dimension | GDPR | TDDDG |
|---|---|---|
| Omfattning | Behandling av personuppgifter | Lagring/åtkomst på användarens enheter |
| Juridiska grundvalar | Sex lagliga grunder (samtycke, berättigat intresse, etc.) | Endast samtycke eller teknisk nödvändighet |
| Gäller för | Dataansvariga och databehandlare | Alla enheter med en digital närvaro i Tyskland |
| Verkställighet | Dataskyddsmyndigheter | BfDI, BNetzA, statliga DPAs |
| Utlösande punkt | Datahanteringsaktiviteter | Cookie/spårare aktivering |
Den kritiska praktiska skillnaden: enligt GDPR kan "berättigat intresse" ibland rättfärdiga spårning utan samtycke. Under TDDDG finns det inget sådant alternativ för enhetslagring. Samtycke eller strikt teknisk nödvändighet är de enda två giltiga grunderna [4].
TDDDG:s cookiekrav förklarade
Avsnitt 25 i TDDDG är lagens operativa kärna. Det föreskriver att lagring av information på en användares terminalenhet, eller åtkomst till information som redan lagrats där, kräver användarens föregående samtycke, såvida åtgärden inte är strikt nödvändig för att överföra en kommunikation eller för att leverera en tjänst som användaren uttryckligen har begärt [4].
Denna bestämmelse omfattar långt mer än traditionella HTTP-cookies. Den gäller för:
- Webbläsarens localStorage och sessionStorage
- Spårningspixlar och web beacons
- Enhetsfingeravtrycksskript
- Flash-cookies och liknande beständiga identifierare
- Alla andra mekanismer som läser från eller skriver till en användares enhet
Undantagen är snäva. Varukorgsessioncookies, inloggningsautentiseringstokens och lastbalanseringscookies kvalificerar som tekniskt nödvändiga. Analytiska cookies, annonseringsspårare, A/B-testningsskript och sociala medieplugins gör inte det; de kräver föregående samtycke oavsett hur de presenteras [5].
Vilka webbplatser behöver följa TDDDG?
TDDDG gäller för alla enheter som verkar i Tyskland och lagrar eller får åtkomst till information på användarnas enheter. Detta är inte begränsat till tyska företag. Alla företag, institutioner eller individer med en webbplats som är tillgänglig för tyska användare och som använder icke-nödvändiga cookies eller spårning faller inom tillämpningsområdet [1].
Detta inkluderar:
- E-handelsbutiker och SaaS-plattformar
- Medieförlag och nyhetsutgivare
- Offentliga myndigheter och regeringsportaler
- Utbildningsinstitutioner med online-närvaro
- Ideella föreningar och NGO:er
- Frilansare och egenföretagare som driver affärswebbplatser
Måste amerikanska företag följa TDDDG? Ja. Om en amerikansk företags webbplats är tillgänglig i Tyskland och använder cookies eller spårningsteknologier på tyska besökares enheter, gäller TDDDG. Lagens räckvidd bestäms av var användaren befinner sig, inte var operatören är registrerad [2]. Detta speglar GDPR:s territoriella logik enligt artikel 3.
TDDDG:s samtyckeskrav för spårning
Giltigt samtycke enligt TDDDG måste uppfylla fem kumulativa kriterier: det måste ges fritt, vara specifikt, informerat, entydigt och återkalleligt [3]. Varje kriterium har verklig operativ vikt.
- Fritt givet betyder att användaren inte möter några straff för att vägra. Att blockera åtkomst till innehåll om inte cookies accepteras (en "cookievägg") är juridiskt omstridd och anses generellt vara icke-compliant.
- Specifikt betyder att samtycke erhålls per syfte; analytik kan inte slås ihop med annonsering.
- Informerat betyder att användaren vet exakt vad de samtycker till innan samtycket registreras.
- Entydigt betyder att en bekräftande åtgärd krävs. Förvalda kryssrutor, scrollande eller fortsatt surfande utgör inte samtycke [3].
- Återkalleligt betyder att det måste vara lika enkelt att återkalla samtycke som att ge det.
Webbläsarnivåinställningar (såsom en webbläsares inbyggda "spåra inte"-signal) accepteras inte som giltigt samtycke enligt TDDDG [2]. En korrekt konfigurerad samtyckeshanteringsplattform är den standardmekanism som används för att fånga och dokumentera compliant samtycke.
TDDDG-böter och straff för bristande efterlevnad
Överträdelser av TDDDG kan resultera i administrativa böter på upp till €300,000 per individuell överträdelse [2]. Eftersom varje icke-samtyckt cookieplacering på varje användarsession tekniskt kan utgöra en separat överträdelse, är den sammanlagda exponeringen för webbplatser med hög trafik betydande.
Utöver TDDDG-specifika böter kan reglerande myndigheter samtidigt driva GDPR-avgifter för den efterföljande behandlingen av data som samlats in utan giltigt samtycke. GDPR-böter kan nå upp till €20 miljoner eller 4% av den globala årliga omsättningen, beroende på vilket som är högst [2].
Vad händer om du bryter mot TDDDG? Verkställighetsåtgärder kan inkludera formella varningar, order om att upphöra med icke-compliant praxis och penningböter. Med tanke på att verkställigheten är distribuerad över 17 myndigheter (BfDI plus 16 statliga DPAs) är sannolikheten för granskning betydligt högre än i jurisdiktioner med en enda regulator.
Vem är undantagen från TDDDG-reglerna?
Undantagen enligt TDDDG är begränsade till tekniskt nödvändiga cookies och lagringsoperationer. En operation kvalificerar som tekniskt nödvändig endast om den uppfyller båda villkoren: den krävs enbart för att överföra en kommunikation över ett nätverk, eller den är strikt nödvändig för att tillhandahålla en tjänst som användaren uttryckligen har begärt [4].
Vanliga undantagna användningsfall:
- Sessionscookies som upprätthåller ett inloggat tillstånd
- Varukorgens beständighet under en enda surfsession
- Lastbalanseringscookies som dirigerar trafik över servrar
- Säkerhetscookies som förhindrar cross-site request forgery (CSRF)
Analys, personalisering, retargeting och funktioner för social delning är inte undantagna, även om operatören anser att de är operationellt viktiga. Testet är huruvida tjänsten skulle kunna fungera för den begärande användaren utan den specifika lagringsoperationen, inte huruvida företaget skulle föredra att ha datan.
Hur gör du din webbplats TDDDG-compliant
TDDDG-efterlevnad är möjlig med en strukturerad metod. Följande steg återspeglar den aktuella regulatoriska standarden från och med 2026:
- Granska alla cookies och spårare på din webbplats. Kategorisera varje som strikt nödvändig eller icke-nödvändig.
- Blockera alla icke-nödvändiga skript från att laddas tills användaren har gett uttryckligt samtycke.
- Implementera en compliant samtyckesbanner som presenterar accept- och avvisa-alternativ med lika visuell framträdande. Avvisa-alternativet får inte döljas bakom sekundära menyer [5].
- Konfigurera detaljerade samtyckesändamål så att användare kan acceptera analytik separat från annonsering, till exempel.
- Logga samtyckesregister med tidsstämplar, användaridentifierare (där det är tillämpligt) och den specifika samtyckesversion som visades.
- Möjliggör enkel återkallelse av samtycke, en ständig länk till samtyckesinställningarna måste vara tillgänglig från varje sida.
- Granska EinwV-ramverket (som träder i kraft i april 2025) om du vill integrera med erkända centraliserade samtyckeshanteringstjänster, som gör att användare kan lagra preferenser över flera webbplatser [3].
En samtyckeshanteringsplattform som Biscotti CMP är utformad för att hantera den tekniska implementeringen av dessa krav, inklusive samtyckesloggning, bannerkonfiguration och skriptblockering.
Bästa praxis för TDDDG-cookiebanner
En compliant TDDDG-cookiebanner är inte bara en avisering, det är en funktionell samtyckesmekanism. Reglerande myndigheter har klargjort att banners som är utformade för att pressa användare mot acceptans genom mörka mönster är icke-compliant.
Bästa praxis inkluderar:
- Lika knappframträdande: "Acceptera alla" och "Avvisa alla" knappar måste vara visuellt likvärdiga i storlek, färg och placering.
- Inga förvalda alternativ: Varje samtyckesväljare måste som standard vara avstängd.
- Ingen innehållshinder: Bannen får inte hindra användare från att läsa sidan, även om den kan visas som en överlagring.
- Tydliga syftesbeskrivningar: Varje cookiekategori måste beskrivas på ett enkelt språk, inte juridiskt jargong.
- Tillgänglig återkallelsesmekanism: En länk till "Cookie-inställningar" i sidfoten, som är tillgänglig hela tiden, uppfyller detta krav.
- Ingen vilseledande design: Att använda gråa effekter på avvisa-knappen, eller kräva flera klick för att avvisa medan acceptans är ett klick, utgör ett mörkt mönster och är icke-compliant.
Vanliga misstag i TDDDG-efterlevnad att undvika
Även välmenande operatörer gör ofta misstag som utsätter dem för verkställighetsrisk.
Misstag 1: Att behandla GDPR-efterlevnad som tillräcklig. GDPR och TDDDG adresserar olika juridiska frågor. En webbplats kan vara GDPR-compliant i sina databehandlingspraxis men fortfarande bryta mot TDDDG genom att ladda spårare innan samtycke registreras.
Misstag 2: Att förlita sig på webbläsarsignaler som samtycke. Webbläsarnivåns integritetsinställningar uppfyller inte TDDDG:s samtyckesstandard [2].
Misstag 3: Att slå ihop samtyckesändamål. Att be användare att acceptera "alla cookies" som ett enda val, utan möjlighet att acceptera analytik men avvisa annonsering, bryter mot specificitetskravet.
Misstag 4: Att inte blockera tredjepartsskript. Många tredjepartsverktyg (analysplattformar, tagghanterare, annonseringspixlar) laddas automatiskt vid sidrendering. Utan teknisk blockering aktiveras de innan samtycke erhålls, vilket är en direkt överträdelse av TDDDG.
Misstag 5: Att inte uppdatera samtyckesregister. Om syftena för vilket samtycke erhölls ändras, är tidigare insamlat samtycke inte längre giltigt för de nya syftena. Användare måste ombe om samtycke.
TDDDG vs. ePrivacy-direktivet: Nyckelskillnader
TDDDG är Tysklands nationella genomförande av ePrivacy-direktivet (2002/58/EG, som ändrades 2009), men det går längre på flera sätt. ePrivacy-direktivet satte den EU-omfattande ramen som kräver att medlemsländerna ålägger cookie-samtycke; Tysklands TDDDG är den inhemska lagen som uppfyller, och i vissa avseenden överträffar, den skyldigheten [6].
Den förväntade ePrivacy-förordningen, som skulle ersätta direktivet över alla EU-medlemsstater med en direkt tillämplig förordning, har varit i lagstiftningslimbo i flera år. Tills den antas förblir nationella lagar som TDDDG den operativa standarden i Tyskland. Operatörer kan inte anta att efterlevnad av en annan EU-medlemsstats ePrivacy-genomförande uppfyller tyska krav.
Slutsats: Praktiska nästa steg för TDDDG-efterlevnad 2026
TDDDG representerar Tysklands medvetna val att verkställa digitala integritetsstandarder mer rigoröst än EU:s minimikrav. För webbplatsägare, utvecklare och marknadsföringsteam som verkar på den tyska marknaden är lagens krav specifika, verkställbara och aktivt övervakade av 17 separata myndigheter.
Genomförbara nästa steg:
- Genomför en fullständig cookie-granskning med hjälp av ett skanningsverktyg för att identifiera varje spårare på din webbplats.
- Verifiera att alla icke-nödvändiga skript är tekniskt blockerade innan samtycke, inte bara avslöjade.
- Granska din samtyckesbanner mot kraven för lika framträdande och inga förvalda alternativ.
- Se till att dina samtyckesregister loggas med tillräcklig detaljrikedom för att visa efterlevnad om de granskas.
- Bedöm om EinwV:s centraliserade samtyckesramverk är relevant för din användarbas och tekniska stack.
- Utvärdera en specialiserad samtyckeshanteringsplattform som Biscotti CMP för att automatisera de tekniska och dokumentationskraven.
Kostnaden för bristande efterlevnad, upp till €300,000 per överträdelse enligt TDDDG, med ytterligare GDPR-exponering, överstiger långt den investering som krävs för att implementera ett compliant samtyckesarbetsflöde. För varje enhet med betydande tysk webbtrafik är efterlevnad inte valfri; det är ett grundläggande operationellt krav.
FAQ
Vad står TDDDG för? TDDDG står för Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, översatt som lagen om dataskydd för digitala tjänster inom telekommunikation. Det är Tysklands nationella lag som reglerar cookie-samtycke och åtkomst till enhetslagring.
När döptes TTDSG om till TDDDG? Omnämningen trädde i kraft den 14 maj 2024. Ändringen anpassade lagens terminologi till EU:s lag om digitala tjänster. De materiella cookie-samtyckesreglerna i avsnitt 25 ändrades inte [1].
Gäller TDDDG för små företag? Ja. TDDDG gäller för alla enheter med en online-närvaro i Tyskland som lagrar eller får åtkomst till information på användarnas enheter, inklusive små företag, frilansare och föreningar [1].
Kan berättigat intresse användas istället för samtycke enligt TDDDG? Nej. Till skillnad från GDPR tillåter TDDDG inte berättigat intresse som en juridisk grund för enhetslagring eller åtkomst. Endast samtycke eller teknisk nödvändighet är giltiga grunder [4].
Vad är EinwV och hur relaterar den till TDDDG? Einwilligungsverwaltungsverordnung (EinwV), som träder i kraft i april 2025, etablerade en ram för erkända centraliserade samtyckeshanteringstjänster. Den gör det möjligt för användare att lagra cookie-preferenser över flera webbplatser, vilket minskar repetitiva samtyckesfrågor [3].
Är analytiska cookies undantagna från TDDDG:s samtyckeskrav? Nej. Analytiska cookies är inte tekniskt nödvändiga och kräver föregående användarsamtycke enligt avsnitt 25 i TDDDG, oavsett om de behandlar personuppgifter [5].
Vad gör en cookie-banner icke-compliant enligt TDDDG? Vanliga indikatorer på icke-efterlevnad inkluderar: ett avvisa-alternativ som är svårare att hitta än acceptalternativet, förvalda samtyckesväljare, banners som laddar spårningsskript innan samtycke registreras, och avsaknad av detaljerade syftesnivåkontroller [2].
Är TDDDG endast för tyska webbplatser? Nej. TDDDG gäller baserat på var användaren befinner sig, inte var webbplatsoperatören är baserad. Alla webbplatser som är tillgängliga för användare i Tyskland och som använder icke-nödvändiga cookies måste följa [2].
Vad är den maximala böter för att bryta mot TDDDG? TDDDG föreskriver böter på upp till €300,000 per överträdelse. Separat kan GDPR-överträdelser som utlöses av icke-samtyckt datainsamling resultera i böter på upp till €20 miljoner eller 4% av den globala årliga omsättningen [2].
Hur relaterar TDDDG till ePrivacy-direktivet? TDDDG är Tysklands nationella genomförande av EU:s ePrivacy-direktiv. Det uppfyller och i vissa avseenden överträffar direktivets krav, och det förblir den operativa standarden i Tyskland tills den föreslagna ePrivacy-förordningen antas på EU-nivå [6].
Referenser
[1] Tdddg - https://skill-sprinters.de/foerderungen/glossar/tdddg/?utm_source=openai
[2] De Tdddg - https://www.consentstack.io/regulations/de-tdddg?utm_source=openai
[3] Germany Gdpr Compliance Bdsg Dpo Rules And Penalties - https://legalclarity.org/germany-gdpr-compliance-bdsg-dpo-rules-and-penalties/?utm_source=openai
[4] Cookies Einwilligung Tdddg - https://konfora.de/ratgeber/cookies-einwilligung-tdddg?utm_source=openai
[5] Cookie Banner Pflicht - https://cookie-consent-tools.com/cookie-banner-pflicht.html?utm_source=openai
[6] Ttdsg - https://www.preeco.de/en/glossary/data-protection/ttdsg?utm_source=openai