Cookie-Einwilligung im Onlineshop in Deutschland

Was § 25 TDDDG verlangt

Ein Onlineshop in Deutschland darf auf dem Endgerät seiner Besucher keine Informationen speichern und dort gespeicherte Informationen nicht auslesen, solange der Endnutzer nicht eingewilligt hat (§ 25 Abs. 1 Satz 1 TDDDG). Die Vorschrift ist technikneutral und erfasst Cookies, Local- und Session-Storage, Zählpixel, das Auslesen von Gerätekennungen oder Werbe-IDs und Browser-Fingerprinting. Auf einen Personenbezug kommt es nicht an; geschützt ist die Privatsphäre am Gerät (OH Digitale Dienste, Rn. 26 und 28).

Die Norm setzt Art. 5 Abs. 3 der Richtlinie 2002/58/EG in der durch die Richtlinie 2009/136/EG geänderten Fassung um (OH Digitale Dienste, Rn. 4); Art. 5 Abs. 3 verlangt von den Mitgliedstaaten, die Speicherung von Informationen im Endgerät eines Teilnehmers oder Nutzers und den Zugriff darauf nur mit dessen Einwilligung zu gestatten, außer wenn der alleinige Zweck die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz ist oder die Speicherung für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist (konsolidierte Fassung 02002L0058, Stand 19. Dezember 2009). Information und Einwilligung richten sich nach der DSGVO (§ 25 Abs. 1 Satz 2 TDDDG), also nach Art. 4 Nr. 11 und Art. 7 DSGVO.

Ohne Einwilligung erlaubt sind nur zwei Fallgruppen (§ 25 Abs. 2 TDDDG): Speicherung oder Zugriff, deren alleiniger Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist (Nr. 1), und Vorgänge, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen (Nr. 2). Nr. 1 richtet sich vornehmlich an Anbieter von Telekommunikationsdiensten (Rn. 64); für Nr. 2 geht die Gesetzesbegründung von technischer Erforderlichkeit aus, und die Behörden legen das Merkmal streng aus (Rn. 78). Auch ein ausdrücklicher Wunsch des Besuchers, etwa der Klick auf ein eingebettetes Video, gibt nicht jeden Zugriff des eingebundenen Dienstes frei: Von der Ausnahme sind nur die Speicherungen und Zugriffe umfasst, die technisch erforderlich sind, um gerade diesen gewünschten Dienst bereitzustellen (Rn. 76 und 78).

Wen die Pflicht trifft

Adressat ist der Shopbetreiber als Anbieter eines digitalen Dienstes (§ 2 Abs. 2 Nr. 1 TDDDG). Das Gesetz gilt für Unternehmen, die im Geltungsbereich eine Niederlassung haben, Dienstleistungen erbringen, daran mitwirken oder Waren auf dem Markt bereitstellen (§ 1 Abs. 3 TDDDG); ein ausländischer Shop mit Verkauf nach Deutschland kann danach ebenso betroffen sein.

Die Pflicht hängt an der Technik, nicht an der Betriebsgröße oder einer Umsatzschwelle: Speichert Ihr Shop nichts auf dem Endgerät und liest er dort nichts aus, greift § 25 TDDDG nicht. Für personenbezogene Daten, die Ihr Server beim Seitenaufruf verarbeitet, gilt die DSGVO unabhängig davon; die Pflichtangaben stehen in der Datenschutzerklärung für den Onlineshop.

§ 25 TDDDG schützt den Endnutzer des Geräts und nicht den Verbraucher (OH Digitale Dienste, Rn. 35). Ein B2B-Shop ist deshalb genauso betroffen wie ein Shop für Privatkunden. Für Österreich und die Schweiz gelten eigene Vorschriften (Cookie-Einwilligung in Österreich).

Der Entscheidungsbaum: Einwilligung oder nicht?

Vier Schritte führen zur Antwort. Die Kriterien stammen aus § 25 TDDDG, ausgeführt sind sie in der OH Digitale Dienste, Version 1.2 vom November 2024; die Randnummern in diesem Abschnitt beziehen sich auf diese Fassung.

1. Zugriff auf das Endgerät? Wird dort etwas gespeichert oder ausgelesen? Wenn nein, ist § 25 TDDDG nicht anwendbar; die DSGVO kann es sein.
2. Nur Nachrichtenübertragung? Dann entfällt die Einwilligung (§ 25 Abs. 2 Nr. 1 TDDDG).
3. Unbedingt erforderlich für den gewünschten Dienst? Prüfen Sie vier Dimensionen: Wann darf der Zugriff beginnen, was wird gespeichert, wie lange gilt es, wer liest es aus (Rn. 79 und 95)? Der gewünschte Dienst ist granular zu bestimmen: Basisdienst eines Webshops ist der Verkauf, Warenkorb und Zahlung verlangt der Nutzer erst mit der Handlung (Rn. 74 bis 76). Ein Cookie für mehrere Zwecke ist nur ausgenommen, wenn jeder Zweck die Voraussetzungen erfüllt (Rn. 86).
4. Sonst: Einwilligung nach § 25 Abs. 1 TDDDG. Für die anschließende Verarbeitung personenbezogener Daten kommt eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO hinzu; im Tracking sind nach Auffassung der Behörden die Voraussetzungen des Buchst. f nur in wenigen Konstellationen erfüllt (Rn. 109). Eine Handlung kann beide Einwilligungen erteilen, wenn das Banner das erkennbar macht (Rn. 29 und 123).

Die Übersicht ordnet typische Kategorien ein; maßgeblich bleibt die Konfiguration Ihres Shops.

Kategorie	Einwilligung nötig?	Warum
Sitzung und Warenkorb (Session-Cookie, Kundenkonto)	Nein, sobald die Funktion genutzt wird	Unbedingt erforderlich für den gewünschten Dienst; der Warenkorb zählt erst ab der Handlung (Rn. 76 und 80)
Lastverteilung, Einwilligungsnachweis	Nein, soweit ohne eindeutige Kennung	Nach Auffassung der Behörden ist dafür kein langfristiges Cookie mit Nutzer-ID erforderlich (Rn. 81 und 84)
Anzeige-Einstellungen (Sprache, Währung)	Nein, solange die Angabe nicht identifizierend ist	“language: de” genügt; eine Nutzer-ID ist dafür nicht erforderlich (Rn. 81)
Schutz des Login-Systems	Nein, wenn nutzerorientiert und dafür erforderlich	“Sicherheitscookie” als pauschale Einordnung genügt nicht; Sicherheit für Dritte fällt nicht darunter (Rn. 83)
Betrugsprävention, gewählte Zahlfunktion	Nein, soweit dafür unbedingt erforderlich	Die Zahlfunktion gehört zum gewünschten Dienst, aber erst ab Beginn des Zahlprozesses (Rn. 76 und 80)
Reichweitenmessung	Einzelfallprüfung nach Konfiguration und Zweck	Die Behörden lehnen eine pauschale Einordnung ab; eine reine Zählung ohne Nutzerdaten braucht keinen Gerätezugriff, ein Werkzeug, das dort etwas speichert oder ausliest, fällt unter § 25 Abs. 1 TDDDG (Rn. 87 bis 90)
Werbung und Retargeting	Ja	Werbung dient den Interessen des Betreibers und nicht dem Nutzerwunsch (Rn. 78 und 90)
Eingebettete Drittdienste (Video, Karte)	Automatisches Laden: Ja. Nach einem Klick nur die für die angeforderte Funktion unbedingt erforderlichen Zugriffe	Der Wunsch entsteht erst mit dem Klick; vorher darf kein solches Skript laden, und der Klick allein rechtfertigt keinen weitergehenden Gerätezugriff (§ 25 Abs. 2 Nr. 2 TDDDG; Rn. 76, 95 und 121)
A/B-Tests, Heatmaps, Sitzungsaufzeichnung	Einzelfallprüfung nach dem Zweck	Nicht per se dem Basisdienst zuzurechnen; ob die konkreten Zwecke nutzerorientiert sind, ist für jede Funktion gesondert zu prüfen (Rn. 77)
E-Mail-Werbung	Eigene Prüfung nach § 7 UWG und DSGVO	§ 25 TDDDG betrifft den Gerätezugriff, nicht den Mailversand

Wie ein zulässiges Banner aussieht

Die Einwilligung ist nach Art. 4 Nr. 11 DSGVO freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich zu erteilen, durch eine Erklärung oder eine eindeutig bestätigende Handlung. Daraus folgt für das Banner; die Randnummern beziehen sich auf die OH Digitale Dienste in der Version 1.2 vom November 2024:

• Informationen, die vor der Einwilligung erreichbar sein müssen. Wer auf die Endeinrichtung zugreift, in welcher Form, zu welchem Zweck, mit welcher Funktionsdauer und ob Dritte Zugriff erhalten, gehört zu den klaren und umfassenden Informationen (OH Digitale Dienste, Rn. 37; EuGH C-673/17, Rn. 75). Die Informationen dürfen gestuft erteilt werden; die Grundinformationen müssen aber auf der Ebene stehen, auf der die Einwilligung eingeholt wird (Rn. 38). Auf dieser ersten Ebene verlangt die DSK im Regelfall die konkreten Zwecke, einen Hinweis auf Profilbildung aus Daten anderer Websites, auf eine Verarbeitung außerhalb des EWR und darauf, an wie viele Verantwortliche Daten offengelegt werden (Rn. 119). Drittdienste sind einzeln zu benennen, “Partner” reicht nicht (Rn. 120).
• Aktive Handlung, keine Vorauswahl. Voreingestellte Häkchen, Untätigkeit, Scrollen und Weitersurfen tragen keine Einwilligung (EuGH C-673/17, Rn. 63; OH Digitale Dienste, Rn. 43 bis 45).
• Getrennt nach Zweck. Eine Generaleinwilligung für “Cookies” oder für verschiedene, nicht zusammenhängende Zwecke ist unzulässig (Rn. 51). Eine Handlung, mit der der Besucher in alle benannten Zwecke einwilligt, ist dagegen möglich, solange er daneben weiterhin getrennt einwilligen und ablehnen kann (Rn. 52 und 53).
• Ablehnen gleichwertig. Verdeckt das Banner Inhalte, muss die Ablehnung ohne Mehraufwand an Klicks möglich sein, und die Optionen müssen den gleichen Kommunikationseffekt haben (Rn. 48 bis 50). Als gleichwertige Alternative gilt nach Auffassung der Behörden ein in Größe, Farbe, Kontrast und Schriftbild vergleichbarer Button mit klarer Beschriftung (Rn. 135 bis 137).
• Vor der Entscheidung nichts nachladen. Einwilligungsbedürftige Skripte und Fremdinhalte laden erst nach der Entscheidung; Impressum und Datenschutzerklärung bleiben erreichbar (Rn. 121).
• Widerruf so einfach wie die Erteilung. Diese Anforderung folgt aus Art. 7 Abs. 3 Satz 4 DSGVO; ein sichtbarer Link auf die Einstellungen genügt, ein Umweg über ein Kontaktformular oder über die Datenschutzerklärung nicht (OH Digitale Dienste, Rn. 61 und 62).
• Kein Banner ohne Anlass. Ohne Einwilligungsbedarf entsteht sonst der Eindruck einer Wahl, die es nicht gibt (Rn. 116).
• Nachweis und Nachführung. Die Einwilligung ist nachzuweisen (Art. 7 Abs. 1 DSGVO); dafür genügt eine Speicherung ohne eindeutige Kennung (Rn. 84 und 85). Ändern sich Dienste oder Zwecke, ist sie erneut einzuholen (Rn. 63).

Seit wann das gilt

§ 25 TDDDG gilt seit 1. Dezember 2021; damals hieß die Norm § 25 TTDSG (Gesamtausgabe des TDDDG, Textnachweis ab 1. Dezember 2021). Mit Wirkung zum 14. Mai 2024 wurde “Telemedien” durch “digitale Dienste” ersetzt, seither heißt das Gesetz TDDDG (BGBl. 2024 I Nr. 149); der Inhalt der Norm blieb unverändert (OH Digitale Dienste, Rn. 5 und 6). Zuletzt geändert wurde das Gesetz durch Artikel 3 des Gesetzes vom 10. März 2026 (BGBl. 2026 I Nr. 64); die hier gelesene Fassung gibt diesen Stand wieder.

Weitere Stichtage: Die DSGVO gilt seit 25. Mai 2018, das EuGH-Urteil zu Planet49 ist vom 1. Oktober 2019. Aktuell ist die Orientierungshilfe in Version 1.2 vom November 2024; die früheren Fassungen für Telemedien wurden dafür überarbeitet (OH Digitale Dienste, Rn. 4 bis 6).

Seit 1. April 2025 gilt die Einwilligungsverwaltungsverordnung (EinwV vom 6. Februar 2025, BGBl. 2025 I Nr. 32), die die Anerkennung von Diensten zur Einwilligungsverwaltung regelt (§ 26 TDDDG). Die Einbindung ist freiwillig (§ 18 Abs. 1 EinwV); verantwortlich bleibt der Shopbetreiber (§ 1 Abs. 2 EinwV).

Was bei einem Verstoß droht

Wer entgegen § 25 Abs. 1 Satz 1 TDDDG Informationen speichert oder auf eine Information zugreift, handelt ordnungswidrig (§ 28 Abs. 1 Nr. 13 TDDDG); die Geldbuße beträgt bis zu 300.000 Euro (§ 28 Abs. 2 TDDDG). Für die Aufsicht über Anbieter digitaler Dienste bleiben nach § 1 Abs. 1 Nr. 8 TDDDG die nach Landesrecht zuständigen Behörden und § 40 BDSG zuständig; der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit ist nach § 28 Abs. 3 Nr. 2 TDDDG nur für Telekommunikationsanbieter und Bundesbehörden Verwaltungsbehörde.

Ein Verstoß gegen § 25 TDDDG ist für sich noch kein DSGVO-Verstoß, weil die Norm auch nicht personenbezogene Informationen erfasst und damit über den Anwendungsbereich der DSGVO hinausgeht (OH Digitale Dienste, Rn. 26 und 28). Verarbeitet Ihr Shop im Zusammenhang mit dem Zugriff personenbezogene Daten, braucht diese Verarbeitung mindestens eine der Bedingungen des Art. 6 Abs. 1 DSGVO; die Einwilligung nach Buchst. a steht dort neben der Erfüllung eines Vertrags, einer rechtlichen Verpflichtung, lebenswichtigen Interessen, einer Aufgabe im öffentlichen Interesse und einem berechtigten Interesse (Buchst. b bis f). Eine fehlende Einwilligung allein macht eine Verarbeitung deshalb nicht rechtswidrig; die Rechtsgrundlage fehlt nur, soweit Sie die Verarbeitung allein auf die Einwilligung stützen und diese unwirksam ist. Verstöße gegen die Grundsätze für die Verarbeitung einschließlich der Bedingungen für die Einwilligung nach den Artikeln 5, 6, 7 und 9 DSGVO werden mit einer Geldbuße bis 20.000.000 Euro oder bei Unternehmen bis 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs geahndet, je nachdem, welcher Betrag höher ist (Art. 83 Abs. 5 Buchst. a DSGVO).

Der Fall Planet49 zeigt den zivilrechtlichen Weg: Geklagt hatte ein in die Liste nach § 4 des Unterlassungsklagengesetzes eingetragener Verbraucherverband, der einen Verstoß gegen § 7 Abs. 2 Nr. 2 UWG geltend machte (EuGH C-673/17, Rn. 32). Wie häufig das geschieht, nennen die geöffneten Quellen nicht.

Checkliste für Ihren Shop

• Liste aller Cookies, Pixel und Storage-Einträge mit Zweck und Laufzeit anlegen.
• Jeden Eintrag gegen die vier Dimensionen der Ausnahme prüfen: Wann, was, wie lange, für wen auslesbar.
• Bei eingebetteten Diensten erst nach dem Klick laden und prüfen, welche Zugriffe die angeforderte Funktion tatsächlich braucht.
• Für Reichweitenmessung, A/B-Tests und Heatmaps Konfiguration und Zweck dokumentieren, statt sich auf die Kategorie zu verlassen.
• Banner so bauen, dass die Grundinformationen auf der Ebene der Einwilligungsabfrage stehen und davor nichts nachgeladen wird.
• Ablehnen mit gleichwertigem Button auf derselben Ebene, Widerruf über einen dauerhaft sichtbaren Link.
• Bei neuen Diensten oder Zwecken die Einwilligung neu einholen und Entscheidungen mit Datum, Banner-Version und Diensteliste dokumentieren.