快速回答： TDDDG（电信数字服务数据保护法）是德国的国家法律，规定网站和数字服务如何处理 Cookie 同意和设备存储访问。它超越了 GDPR，要求在激活任何非必要的 Cookie 或跟踪技术之前，必须事先获得明确同意，并适用于在德国数字运营的每个实体，无论其总部位于何处。
关键要点
- TDDDG 于 2024 年 5 月 14 日从 TTDSG 更名，以与欧盟数字服务法对齐，尽管其核心条款保持不变 [1]
- TDDDG 第 25 条要求在存储或访问用户设备上的任何信息之前，必须获得事先同意，技术上必要的 Cookie 有狭窄的例外 [4]
- 有效同意必须是自愿的、具体的、知情的、明确的和可撤销的，预先勾选的框和被动浏览不符合要求 [3]
- 不合规可能导致 TDDDG 罚款高达每次违规 30 万欧元，以及 GDPR 罚款高达 2000 万欧元或全球年营业额的 4% [2]
- 该法律适用于在德国有在线存在的企业、公共机构、教育机构、协会和自雇个人 [1]
- 针对德国用户的美国公司和非欧盟企业必须遵守 TDDDG
- 自 2025 年 4 月起生效的同意管理条例（EinwV）引入了集中式同意管理服务，以减少用户同意疲劳 [3]
- Cookie 横幅必须提供一个真正的“拒绝”选项，其显著性与“接受”选项相当 [5]
什么是 TDDDG？德国国家数字隐私法解读
TDDDG（电信数字服务数据保护法）是德国主要的法规，规范终端用户设备上信息的存储和访问。它与 GDPR 并行，并补充 GDPR，解决 GDPR 未直接涵盖的特定空白：Cookie 或跟踪脚本首次接触用户浏览器的时刻。
该法律最初于 2021 年 12 月作为 TTDSG 制定，2024 年 5 月 14 日更名为 TDDDG，以反映欧盟数字服务法引入的术语。更名主要是名义上的；实质性规则，特别是第 25 条关于 Cookie 同意的规定，保持不变 [1]。
该法律由多层次的监管机构执行：联邦数据保护专员（BfDI）、联邦网络局（BNetzA）以及通过数据保护会议（DSK）协调的 16 个州数据保护机构 [2]。这种分散的执法模式意味着没有单一的瓶颈，违规行为可以从多个方向同时追究。
TDDDG 与 GDPR 有何不同？
TDDDG 和 GDPR 是互补的，而不是竞争的。GDPR 规范个人数据被收集和处理后的情况。TDDDG 规范的是更早的时刻：一个网站是否被允许在用户设备上存储或读取数据 [6]。
关键区别：
| 维度 | GDPR | TDDDG |
|---|---|---|
| 范围 | 个人数据的处理 | 用户设备上的存储/访问 |
| 法律依据选项 | 六种合法依据（同意、合法利益等） | 仅同意或技术必要性 |
| 适用对象 | 数据控制者和处理者 | 在德国有数字存在的任何实体 |
| 执法 | 数据保护机构 | BfDI、BNetzA、州 DPAs |
| 触发点 | 数据处理活动 | Cookie/跟踪器激活 |
关键的实际区别：根据 GDPR，“合法利益”有时可以在没有同意的情况下证明跟踪的合理性。在 TDDDG 下，该选项在设备存储方面不存在。只有同意或严格的技术必要性是有效的理由 [4]。
TDDDG Cookie 要求解读
TDDDG 第 25 条是该法律的操作核心。它要求在用户终端设备上存储信息或访问已存储的信息，必须获得用户的事先同意，除非该行为是严格必要的，以传输通信或提供用户明确请求的服务 [4]。
该条款涵盖的范围远远超过传统的 HTTP Cookies。它适用于：
- 浏览器 localStorage 和 sessionStorage
- 跟踪像素和网络信标
- 设备指纹脚本
- Flash Cookies 和类似的持久标识符
- 任何其他读取或写入用户设备的机制
例外情况很狭窄。 购物车会话 Cookies、登录身份验证令牌和负载均衡 Cookies 被视为技术上必要。分析 Cookies、广告跟踪器、A/B 测试脚本和社交媒体插件不符合要求，无论它们如何被表述，都需要事先同意 [5]。
哪些网站需要遵守 TDDDG？
TDDDG 适用于所有在德国运营并存储或访问用户设备上信息的实体。这不仅限于德国公司。任何可以被德国用户访问的网站，并使用非必要 Cookies 或跟踪的企业、机构或个人，都在适用范围内 [1]。
这包括：
- 电子商务商店和 SaaS 平台
- 媒体出版商和新闻机构
- 公共机构和政府门户
- 具有在线存在的教育机构
- 非营利协会和 NGO
- 经营商业网站的自由职业者和自雇个人
美国公司需要遵循 TDDDG 吗？ 是的。如果一家美国公司的网站在德国可访问，并在德国访客的设备上使用 Cookies 或跟踪技术，则 TDDDG 适用。该法律的适用范围取决于用户的位置，而不是运营商的注册地 [2]。这与 GDPR 第 3 条的领土逻辑相吻合。
TDDDG 跟踪的同意要求
根据 TDDDG，有效的同意必须满足五个累积标准：必须是自愿的、具体的、知情的、明确的和可撤销的 [3]。每个标准都具有实际操作意义。
- 自愿 意味着用户拒绝不会面临惩罚。阻止访问内容，除非接受 Cookies（“Cookie 墙”）在法律上有争议，通常被视为不合规。
- 具体 意味着同意是针对每个目的获得的，分析不能与广告捆绑在一起。
- 知情 意味着用户在记录同意之前确切知道他们同意的内容。
- 明确 意味着需要采取肯定的行动。预先勾选的复选框、滚动或继续浏览不构成同意 [3]。
- 可撤销 意味着撤回同意必须与给予同意一样容易。
浏览器级设置（例如浏览器内置的“请勿追踪”信号）在 TDDDG 下不被接受为有效同意 [2]。正确配置的同意管理平台是捕获和记录合规同意的标准机制。
TDDDG 不合规的罚款和处罚
违反 TDDDG 可能导致每次单独违规最高 30 万欧元的行政罚款 [2]。因为每次未同意的 Cookie 放置在每个用户会话中都可能构成单独的违规，因此高流量网站的总风险是相当可观的。
除了 TDDDG 特定的罚款外，监管机构还可以同时追究因未获得有效同意而收集的数据的 GDPR 罚款。GDPR 罚款可高达 2000 万欧元或全球年营业额的 4%，以较高者为准 [2]。
如果您违反 TDDDG 会发生什么？ 执法行动可能包括正式警告、停止不合规行为的命令和罚款。考虑到执法分布在 17 个机构（BfDI 加上 16 个州 DPAs）之间，受到审查的可能性明显高于只有一个监管机构的司法管辖区。
谁可以免于 TDDDG 规则？
TDDDG 下的例外仅限于技术上必要的 Cookies 和存储操作。一个操作只有在满足两个条件时才被视为技术上必要：它仅用于通过网络传输通信，或者它是严格必要的，以提供用户明确请求的服务 [4]。
常见的免除使用案例：
- 维持登录状态的会话 Cookies
- 在单次浏览会话中保持购物车
- 在服务器之间路由流量的负载均衡 Cookies
- 防止跨站请求伪造（CSRF）的安全 Cookies
分析、个性化、重定向和社交分享功能不在免除范围内，即使运营商认为它们在操作上很重要。测试是该服务是否可以在没有特定存储操作的情况下为请求用户正常运行，而不是企业是否希望拥有这些数据。
如何使您的网站符合 TDDDG
TDDDG 合规性可以通过结构化的方法实现。以下步骤反映了截至 2026 年的当前监管标准：
- 审核您网站上的所有 Cookies 和跟踪器。 将每个分类为严格必要或非必要。
- 阻止所有非必要脚本 在用户给予明确同意之前加载。
- 实施合规的同意横幅， 以同等视觉显著性呈现接受和拒绝选项。拒绝选项不得隐藏在次级菜单后面 [5]。
- 配置细化的同意目的， 例如用户可以单独接受分析而拒绝广告。
- 记录同意记录， 包括时间戳、用户标识符（如适用）和显示的具体同意版本。
- 启用轻松撤回同意， 每个页面都必须可以访问持久链接到同意设置。
- 审查 EinwV 框架（自 2025 年 4 月起生效），如果您希望与认可的集中式同意管理服务集成，这些服务允许用户在多个网站上存储偏好 [3]。
像 Biscotti CMP 这样的同意管理平台旨在处理这些要求的技术实施，包括同意记录、横幅配置和脚本阻止。
TDDDG Cookie 横幅最佳实践
合规的 TDDDG Cookie 横幅不仅仅是通知，它是一个功能性同意机制。监管机构明确表示，旨在通过黑暗模式引导用户接受的横幅是不合规的。
最佳实践包括：
- 按钮显著性相等： “接受所有”和“拒绝所有”按钮在大小、颜色和位置上必须视觉等同。
- 没有预选选项： 每个同意切换必须默认关闭。
- 没有内容阻塞： 横幅不应阻止用户阅读页面，尽管它可以作为覆盖层出现。
- 清晰的目的描述： 每个 Cookie 类别必须用简单的语言描述，而不是法律术语。
- 可访问的撤回机制： 页脚中的“Cookie 设置”链接，随时可访问，满足此要求。
- 没有欺骗性设计： 在拒绝按钮上使用灰色效果，或要求多次点击才能拒绝，而接受只需一次点击，构成黑暗模式并且不合规。
常见的 TDDDG 合规错误
即使是出于良好意图的运营商也常常犯错误，使他们面临执法风险。
错误 1：将 GDPR 合规视为足够。 GDPR 和 TDDDG 解决不同的法律问题。一个网站在其数据处理实践中可以符合 GDPR，但在记录同意之前加载跟踪器仍可能违反 TDDDG。
错误 2：依赖浏览器信号作为同意。 浏览器级隐私设置不满足 TDDDG 的同意标准 [2]。
错误 3：捆绑同意目的。 要求用户接受“所有 Cookies”作为单一选择，而没有接受分析但拒绝广告的能力，违反了具体性要求。
错误 4：未能阻止第三方脚本。 许多第三方工具（分析平台、标签管理器、广告像素）在页面渲染时自动加载。如果没有技术阻止，它们在获得同意之前激活，直接违反 TDDDG。
错误 5：未更新同意记录。 如果获得同意的目的发生变化，之前收集的同意不再适用于新目的。用户必须重新提示。
TDDDG 与电子隐私指令：关键区别
TDDDG 是德国对电子隐私指令（2002/58/EC，2009 年修订）的国家实施，但在多个方面更进一步。电子隐私指令设定了要求成员国强制 Cookie 同意的欧盟范围框架；德国的 TDDDG 是满足并在某些方面超越该义务的国内法规 [6]。
预计的电子隐私法规将取代指令，在所有欧盟成员国实施直接适用的法规，已经在立法上停滞多年。在其通过之前，像 TDDDG 这样的国家法律仍然是德国的操作标准。运营商不能假设遵守其他欧盟成员国的电子隐私实施就满足德国的要求。
结论：2026 年 TDDDG 合规的实际下一步
TDDDG 代表了德国在数字隐私标准上比欧盟最低标准更严格的执行选择。对于在德国市场运营的网站所有者、开发者和营销团队，该法律的要求是具体的、可执行的，并由 17 个独立机构积极监控。
可行的下一步：
- 使用扫描工具进行全面的 Cookie 审核，以识别您网站上的每个跟踪器。
- 验证所有非必要脚本在同意之前被技术性阻止，而不仅仅是披露。
- 根据平等显著性和无预选要求审查您的同意横幅。
- 确保您的同意记录以足够的细节记录，以便在审计时证明合规。
- 评估 EinwV 集中同意框架是否与您的用户基础和技术栈相关。
- 评估像 Biscotti CMP 这样的专用同意管理平台，以自动化技术和文档要求。
不合规的成本，最高可达每次违规 30 万欧元，加上额外的 GDPR 风险，远远超过实施合规同意工作流所需的投资。对于任何具有重要德国网络流量的实体，合规性不是可选的；它是基本的运营要求。
常见问题解答
TDDDG 代表什么？
TDDDG 代表电信数字服务数据保护法（Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz）。它是德国的国家法律，规范 Cookie 同意和设备存储访问。
TTDSG 何时更名为 TDDDG？
更名于 2024 年 5 月 14 日生效。该更改使法律术语与欧盟数字服务法对齐。第 25 条中的实质性 Cookie 同意规则没有改变 [1]。
TDDDG 是否适用于小企业？
是的。TDDDG 适用于所有在德国有在线存在的实体，存储或访问用户设备上的信息，包括小企业、自雇人士和协会 [1]。
在 TDDDG 下，合法利益可以替代同意吗？
不可以。与 GDPR 不同，TDDDG 不允许合法利益作为设备存储或访问的法律依据。只有同意或技术必要性是有效的理由 [4]。
EinwV 是什么，它与 TDDDG 有何关系？
Einwilligungsverwaltungsverordnung（EinwV）自 2025 年 4 月起生效，建立了认可的集中式同意管理服务框架。它允许用户在多个网站上存储 Cookie 偏好，从而减少重复的同意提示 [3]。
分析 Cookies 是否免于 TDDDG 同意要求？
不。分析 Cookies 不是技术上必要的，根据 TDDDG 第 25 条需要事先用户同意，无论它们是否处理个人数据 [5]。
什么使 Cookie 横幅在 TDDDG 下不合规？
常见的不合规指标包括：拒绝选项比接受选项更难找到、预选同意切换、在记录同意之前加载跟踪脚本的横幅，以及缺乏细化的目的级控制 [2]。
TDDDG 仅适用于德国网站吗？
不。TDDDG 根据用户的位置适用，而不是网站运营商的注册地。任何可以被德国用户访问并使用非必要 Cookies 的网站都必须遵守 [2]。
违反 TDDDG 的最高罚款是多少？
TDDDG 本身规定每次违规最高罚款 30 万欧元。此外，由于未同意的数据收集引发的 GDPR 违规可能导致最高 2000 万欧元或全球年营业额的 4% 的罚款，以较高者为准 [2]。
TDDDG 与电子隐私指令有何关系？
TDDDG 是德国对欧盟电子隐私指令的国家实施。它满足并在某些方面超越指令的要求，并且在提议的电子隐私法规在欧盟层面通过之前，仍然是德国的操作标准 [6]。
参考文献
[1] Tdddg - https://skill-sprinters.de/foerderungen/glossar/tdddg/?utm_source=openai
[2] De Tdddg - https://www.consentstack.io/regulations/de-tdddg?utm_source=openai
[3] Germany Gdpr Compliance Bdsg Dpo Rules And Penalties - https://legalclarity.org/germany-gdpr-compliance-bdsg-dpo-rules-and-penalties/?utm_source=openai
[4] Cookies Einwilligung Tdddg - https://konfora.de/ratgeber/cookies-einwilligung-tdddg?utm_source=openai
[5] Cookie Banner Pflicht - https://cookie-consent-tools.com/cookie-banner-pflicht.html?utm_source=openai
[6] Ttdsg - https://www.preeco.de/en/glossary/data-protection/ttdsg?utm_source=openai