Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) regelt Bestimmungen zum Fernmeldegeheimnis und zum Datenschutz bei Telekommunikationsdiensten und bei digitalen Diensten. Das Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG) ersetzte 2021 die Datenschutzregelungen des Telekommunikationsgesetzes (TKG) und des Telemediengesetzes (TMG), die mit dem TTDSG an die DSGVO angepasst wurden. Zudem wurde die Cookie-Regelung der E-Privacy-Richtlinie zum Schutz der Privatsphäre in Endeinrichtungen umgesetzt. Seinen heutigen Namen erhielt das Gesetz erst im Mai 2024.

Basisdaten
Titel:	Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei digitalen Diensten
Kurztitel:	Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz
Früherer Titel:	Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei Telemedien (Telekommunikation-Telemedien-Datenschutzgesetz – TTDSG)
Abkürzung:	TDDDG
Art:	Bundesgesetz
Geltungsbereich:	Bundesrepublik Deutschland
Erlassen aufgrund von:	Telekommunikation: Art. 73 Abs. 1 Nr. 7 GG, Digitale Dienste: Art. 74 Abs. 1 Nr. 11 GG
Rechtsmaterie:	Telekommunikationsrecht, Datenschutzrecht
Fundstellennachweis:	204-5
Erlassen am:	23. Juni 2021 (BGBl. I S. 1982, ber. 2022 I S. 1045)
Inkrafttreten am:	1. Dezember 2021
Letzte Änderung durch:	Art. 8 G vom 6. Mai 2024 (BGBl. 2024 I Nr. 149)
Inkrafttreten der letzten Änderung:	14. Mai 2024 (Art. 37 G vom 6. Mai 2024)
GESTA:	J020
Weblink:	Konsolidierte Fassung des Gesetzes
Bitte den Hinweis zur geltenden Gesetzesfassung beachten.

Regelungen

Teil 1: Anwendungsbereich und Begriffe

Das TDDDG regelt das Fernmeldegeheimnis und enthält Vorschriften für den Schutz von Nutzungsdaten, für die Rufnummernunterdrückung und -anzeige, für Endnutzerverzeichnisse, für den Schutz der Privatsphäre bei Cookies und für die Aufsichtsbehörden für Datenschutz und Schutz der Privatsphäre in der Telekommunikation. Die Bestimmungen zum Datenschutz bei digitalen Diensten ergänzen die DSGVO um die Vorgabe bestimmter technischer und organisatorischer Vorkehrungen, um die Regelung der Verarbeitung personenbezogener Daten von Minderjährigen sowie um Vorgaben zur Auskunftserteilung über Bestands- und Nutzungsdaten durch Diensteanbieter.

Das TDDDG verwendet die Begriffe des TKG, des Digitale-Dienste-Gesetz (DDG) und der DSGVO. Zusätzlich werden die sechs Begriffe „Anbieter von digitalen Diensten“, „Bestandsdaten“, „Nutzungsdaten“, „Nachricht“, „Dienst mit Zusatznutzen“ sowie „Endeinrichtung“ für den Anwendungsbereich des TDDDG legaldefiniert.

Teil 2: Datenschutz in der Telekommunikation

Fernmeldegeheimnis (§ 3)

Das Fernmeldegeheimnis schützt den Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere wer an einem Telekommunikationsvorgang beteiligt ist oder war. Es umfasst auch erfolglose Verbindungsversuche. Zur Wahrung des Fernmeldegeheimnisses verpflichtet sind die Anbieter von öffentlich zugänglichen und von geschäftsmäßig angebotenen Telekommunikationsdiensten einschließlich mitwirkender Personen und die Betreiber der Netze und Anlagen. Die Verpflichteten dürfen weder sich noch anderen Kenntnis vom Inhalt oder von den näheren Umständen der Telekommunikation verschaffen. Eine Weitergabe an andere ist nur zulässig, soweit eine gesetzliche Vorschrift dies vorsieht.

Erben des Endnutzers (§ 4)

Erben, rechtliche Betreuer oder Bevollmächtigte können die Rechte des Endnutzers wahrnehmen. Das Fernmeldegeheimnis steht dem nicht entgegen.

Abhörverbot (§ 5)

Mit einer Funkanlage dürfen nur solche Nachrichten abgehört werden, die für den Betreiber der Funkanlage, für Funkamateure, für die Allgemeinheit oder für einen unbestimmten Personenkreis bestimmt sind. Der Inhalt anderer Nachrichten sowie die Tatsache ihres Empfangs dürfen anderen nicht mitgeteilt werden, auch wenn die Nachricht unbeabsichtigt empfangen wurde.

Nachrichtenübermittlung mit Zwischenspeicherung (§ 6)

Nachrichteninhalte wie Sprach-, Ton-, Text- oder Grafikmitteilungen dürfen nur aufgrund von Eingaben des Endnutzers verarbeitet werden. Der Anbieter muss die erforderlichen technischen und organisatorischen Maßnahmen treffen, um Fehlübermittlungen und unbefugte Zugriffe innerhalb des Unternehmens und durch Dritte auszuschließen.

Personalausweis (§ 7)

Bei der Beantragung eines Telekommunikationsanschlusses kann der Anbieter die Vorlage eines amtlichen Ausweises verlangen und eine Kopie fertigen, die er nach Feststellung der Endnutzerdaten zu löschen hat. Wird eine Prepaidkarte verkauft, besteht sogar die Pflicht, die Personenfeststellung anhand eines Ausweises durchzuführen, (§ 172) TKG.

Missbrauch von Telekommunikationsanlagen (§ 8)

Telekommunikationsanlagen, die geeignet und dazu bestimmt sind, jemand anderes heimlich abzuhören oder aufzunehmen, sind verboten. Ausnahmen können von den zuständigen obersten Bundes- oder Landesbehörden genehmigt werden, wenn es zum Beispiel aus Gründen der öffentlichen Sicherheit erforderlich ist.

Verkehrsdaten, Standortdaten (§§ 9–13)

Verkehrsdaten (einschließlich Berechtigungskennungen, Kundenkartennummern oder bei mobilen Anschlüssen Standortdaten) dürfen nur für die Durchführung der Kommunikationsvorgänge und zur Entgeltabrechnung verwendet werden. Für die Entgeltabrechnung dürfen Daten bis zu sechs Monate nach Versendung der Rechnung gespeichert werden. Für die Abrechnung nicht erforderliche Daten sind unverzüglich zu löschen. Darüber hinaus gehende Verwendungen sind nur nach Einwilligung des Nutzers zulässig. Für Einzelverbindungsnachweise muss der Anschlussinhaber erklären, dass alle Haushaltsangehörigen informiert sind, in Betrieben und Behörden muss der Betriebsrat oder die Personalvertretung beteiligt werden. Für Dienste mit Zusatznutzen (z. B. Beratung hinsichtlich der billigsten Tarifpakete, Navigationshilfen, Handyortung, Verkehrsinformationen, Wettervorhersage oder touristische Informationen) dürfen Standortdaten nur in dem Umfang verarbeitet werden, der für den Dienst erforderlich ist, wenn sie anonymisiert wurden oder wenn der Nutzer eingewilligt hat.

Rufnummernanzeige und automatische Anrufweiterschaltung (§§ 14–16)

Anrufende und angerufene Endnutzer müssen die Möglichkeit haben, die Rufnummernanzeige dauernd oder für jeden Anruf einzeln zu unterdrücken. Die Anzeige von Rufnummern darf bei Notrufnummern sowie bei Anschlüssen von Sicherheitsbehörden nicht ausgeschlossen werden.

Verzeichnisse (§§ 17–18)

Jeder Anschlussinhaber kann sich mit seiner Rufnummer, seinem Namen und seiner Anschrift in öffentlich zugängliche Endnutzerverzeichnisse eintragen lassen. Er ist über weitere Nutzungsmöglichkeiten aufgrund der eingebetteten Suchfunktionen zu informieren. Er kann jederzeit verlangen, dass seine Angaben unentgeltlich eingetragen, gespeichert, berichtigt oder gelöscht werden. Die Anbieter müssen die Verzeichnisdaten anderen Unternehmen zur Bereitstellung von öffentlich zugänglichen Auskunftsdiensten oder von Endnutzerverzeichnissen bereitstellen. Sie dürfen dafür angemessene Entgelte verlangen.

Teil 3: Datenschutz bei digitalen Diensten

Technische und organisatorische Vorkehrungen (§ 19)

Anbieter von digitalen Diensten müssen durch technische und organisatorische Vorkehrungen sicherstellen, dass der Nutzer die Nutzung des Dienstes jederzeit beenden kann. Die Nutzung muss gegen Kenntnisnahme Dritter geschützt sein. Die Anbieter müssen Nutzung und Bezahlung anonym oder unter Pseudonym ermöglichen. Sie müssen durch technische und organisatorische Vorkehrungen ausschließen, dass jemand unerlaubt auf ihre technischen Einrichtungen zugreift. Sie müssen sicherstellen, dass ihre Einrichtungen gegen Verletzungen des Schutzes personenbezogener Daten und gegen Störungen gesichert sind. Die Vorkehrungen müssen den Stand der Technik berücksichtigen.

Daten Minderjähriger (§ 20)

Anbieter von digitalen Diensten dürfen personenbezogene Daten Minderjähriger, die sie aus Jugendschutzgründen zur Altersverifikation erhoben haben, nicht für kommerzielle Zwecke verarbeiten.

Auskunftserteilung (§§ 21–24)

Anbieter von digitalen Diensten dürfen auf Anordnung der zuständigen Stellen im Einzelfall Auskunft über Bestandsdaten erteilen, soweit dies zur Durchsetzung der Rechte am geistigen Eigentum erforderlich ist. Dies gilt auch in Bezug auf die Durchsetzung zivilrechtlicher Ansprüche wegen der Verletzung absolut geschützter Rechte auf Grund bestimmter rechtswidriger Inhalte, sofern der Verletzte eine vorherige gerichtliche Anordnung erwirkt hat.

Anbieter von digitalen Diensten dürfen zur Erfüllung von Auskunftspflichten gegenüber Sicherheitsbehörden Bestandsdaten und Nutzungsdaten verwenden. Die in eine Auskunft aufzunehmenden Bestandsdaten dürfen auch anhand einer zu einem bestimmten Zeitpunkt zugewiesenen IP-Adresse bestimmt werden. Für die Auskunftserteilung muss der Anbieter von digitalen Diensten sämtliche unternehmensinterne Datenquellen berücksichtigen. Passwörter oder andere Zugriffsschutzdaten dürfen nur nach gerichtlicher Anordnung an Strafverfolgungsbehörden zum Zweck der Verfolgung besonders schwerer Straftaten oder an Sicherheitsbehörden zur Abwehr einer konkreten Gefahr für Leib, Leben oder Freiheit einer Person, für den Bestand des Bundes oder eines Landes gegeben werden. An andere öffentliche und nichtöffentliche Stellen dürfen diese Daten nicht übermittelt werden.

Datenschutz bei Endeinrichtungen, Cookies, Fingerprints etc. (§ 25)

Informationen dürfen nur gespeichert oder ausgelesen werden, wenn der Endnutzer eingewilligt hat (§ 25 Abs. 1 TDDDG). Für die Einwilligung gelten die Voraussetzungen der DSGVO (Art. 7 DSGVO). Die Einwilligung muss auf der Grundlage von klaren und umfassenden Informationen beruhen und mit einer eindeutigen bestätigenden Handlung erfolgen. Eine Einwilligung ist aber nach § 25 Abs. 2 TDDDG nicht erforderlich, wenn die Cookies (nur Session- oder funktionelle, keine Performance-Cookies) allein der Durchführung der Übertragung einer Nachricht dienen, oder wenn sie unbedingt erforderlich sind, um einen ausdrücklich gewünschten digitalen Diensten von einem Anbieter zu erhalten (ausführlich RN 88 bis 101 zu Art. 7 DSGVO bei Bergmann/Möhrle/Herb).

Dienste zur Einwilligungsverwaltung (§ 26)

Unabhängige PIMS-Dienste (Personal Information Management Systems) zur Verwaltung von Einwilligungen sind zulässig, wenn sie kein eigenes wirtschaftliches Interesse an der Erteilung der Einwilligung und an den verwalteten Daten haben. Sie müssen ein Sicherheitskonzept vorlegen. Voraussetzung ist ihre Anerkennung durch eine unabhängige Stelle. Die genauen Anforderungen und technischen Anwendungen für PIMS-Dienste sowie das Verfahren zur Anerkennung und die notwendigen technischen und organisatorischen Maßnahmen werden nicht direkt im TDDDG festgelegt, sondern bedürfen einer weiteren von der Bundesregierung zu erlassenden Verordnung.

Teil 4: Sanktionen und Aufsicht

Sanktionen (§§ 27–28)

Strafen und Bußgelder für Verstöße entsprechen weitgehend den seitherigen Vorschriften des TKG. Wesentliche Änderungen betreffen Spionagegeräte. Deren Besitz ist jetzt nicht mehr strafbar, sondern nur noch deren Herstellung und Auf-den-Markt-Bringen. Der Bußgeldkatalog orientiert sich am Bußgeldrahmen des TKG und an den Vorgaben des Ordnungswidrigkeitengesetzes. Für die unerlaubte Unterdrückung der Rufnummer bei Werbeanrufen wird der Bußgeldrahmen von bisher 100.000 Euro auf 300.000 Euro kräftig angehoben. Er entspricht jetzt demjenigen für unzulässige Werbeanrufe im Gesetz gegen den unlauteren Wettbewerb (UWG).

Aufsichtsbehörden (§§ 29–30)

Der Bundesbeauftragte für den Datenschutz (BfDI) ist zuständig für die Datenschutzaufsicht für Telekommunikationsdienste. Das betrifft nicht nur Daten von natürlichen, sondern im Unterschied zum Bundesdatenschutzgesetz auch von juristischen Personen. Ebenso beaufsichtigt der BfDI Anbieter von Telekommunikationsdienstleistungen in Bezug auf die Speicherung und Nutzung von Cookies. Die Bundesnetzagentur ist zuständig für die Aufsicht über Telekommunikationsdienstleister, soweit es sich nicht um die Verarbeitung von Daten handelt, also zum Beispiel das Abhörverbot oder Maßnahmen zum Schutz von TK-Einrichtungen vor Missbrauch. Die Aufsicht über Anbieter von digitalen Diensten erfolgt durch die Datenschutzaufsichtsbehörden der Länder.

Verhältnis zum EU-Recht

DSGVO

Das TDDDG soll die seitherigen Datenschutzbestimmungen des TKG und des TMG an die DSGVO anpassen. Insbesondere regelt es die Datenschutzaufsicht. Entsprechend dem spezialgesetzlichen Verhältnis der E-Privacy-Richtlinie zur DSGVO gelten die Bestimmungen der DSGVO zur Verarbeitung von Verkehrsdaten und Standortdaten nur, soweit das TDDDG nichts anderes bestimmt.

Zudem enthält das TDDDG die Anpassung der Datenschutzbestimmungen für digitale Dienste an die DSGVO, die bisher in den §§ 11 bis 15d des TMG enthalten waren. Es enthält die Bestimmungen zum Datenschutz bei digitalen Diensten, die nicht durch die DSGVO verdrängt werden. Dazu gehören die Vorgabe bestimmter technischer und organisatorischer Vorkehrungen, die Regelung der Verarbeitung personenbezogener Daten Minderjähriger sowie Vorgaben zur Auskunftserteilung und zu Auskunftsverfahren durch Diensteanbieter.

Bezüglich der Frage, ob Webseitenbetreiber über Cookies hinreichend informieren und ob die Einwilligung wirksam erteilt wurde, gelten die Anforderungen der DSGVO.

E-Privacy-Richtlinie

Das TDDDG setzt die Datenschutzrichtlinie für elektronische Kommunikation (E-Privacy-Richtlinie) um. Dabei regelt es in § 25 TDDDG auch den Schutz der Privatsphäre bei Endeinrichtungen (Artikel 5 Absatz 3 der E-Privacy-Richtlinie) und setzt somit auch das Einwilligungserfordernis der so genannten Cookie-Richtlinie von 2009 um.

E-Privacy-Verordnung

Die Europäische Kommission hat am 16. Januar 2017 einen Vorschlag für eine E-Privacy-Verordnung vorgelegt. Diese wird die seitherige Richtlinie ablösen und dann unmittelbar geltendes Recht sein. Das Parlament hat am 26. Oktober 2017 seinen Standpunkt für den Trilog beschlossen, aber der EU-Ministerrat einigte sich erst am 10. Februar 2021 auf eine Version für die jetzt folgenden Trilog-Verhandlungen. Das TDDDG muss dann in den Teilen angepasst werden, die durch die E-Privacy-Verordnung unmittelbar geregelt sind.

Europäischer Kodex für die elektronische Kommunikation (EKEK)

Die Richtlinie (EU) 2018/1972 vom 11. Dezember 2018 über den Europäischen Kodex für die elektronische Kommunikation (EKEK) setzt einen EU-weit harmonisierten Rahmen für die Regulierung elektronischer Kommunikationsnetze und -dienste, zugehöriger Einrichtungen und bestimmter Aspekte der Endeinrichtungen. Der EKEK legt fest, dass nicht nur die klassischen Telekommunikationsdienste, sondern auch die Over-the-Top-Dienste (OTT-Dienste) als nummernunabhängige inter-personelle Kommunikationsdienste der E-Privacy-Richtlinie und somit dem TDDDG unterliegen. OTT-Dienste sind z. B. Voice-over-IP-Telefonie, Instant-Messaging oder webgestützte E-Mail-Dienste.

Im EU-Kontext wird der Begriff „elektronische Kommunikation“ verwendet. Für die deutschen Gesetze wird der Begriff „Telekommunikation“ beibehalten. Beide Begriffe sind inhaltsgleich.

Vorgeschichte und Gesetzgebungsverfahren

Vorgänger mit ähnlichem Regelungsgehalt war für den Bereich Telekommunikation die TELEKOM-Datenschutzverordnung (TDSV) (BGBl. 1991 I S. 1390), die für den damaligen Monopol-Anbieter Deutsche Bundespost TELEKOM galt. 1996 wurde sie von der Telekommunikationsdienstunternehmen-Datenschutzverordnung (TDSV) abgelöst (BGBl. 1996 I S. 982), die den Datenschutz bei den Telekommunikationsanbietern im jetzt liberalisierten Markt regelte. Sie wurde zum 21. Dezember 2000 durch die Telekommunikations-Datenschutzverordnung ersetzt. Von 2004 bis zum 1. Dezember 2021 war der Datenschutz im Telekommunikationsbereich zusammen mit dem Fernmeldegeheimnis in den §§ 88–107 des Telekommunikationsgesetzes (TKG) geregelt.

Für den Bereich Telemedien regelte seit 1997 das Teledienstedatenschutzgesetz (TDDSG) den Datenschutz der Nutzer von Telediensten. Es wurde am 1. März 2007 durch das Telemediengesetz (TMG) abgelöst, das seither in einem eigenen Abschnitt (§§ 11–15d TMG) den Telemediendatenschutz regelt.

Im Juli 2020 wurde ein TDDDG-Entwurf aus dem Bundeswirtschaftsministerium mit Stand vom 14. Juli 2020 geleakt. Den zwischen den Ministerien abgestimmten offiziellen Referentenentwurf veröffentlichte das Bundesministerium für Wirtschaft und Energie am 12. Januar 2021 und leitete die Verbändeanhörung ein. Bis zum 22. Januar 2021 wurden 31 Stellungnahmen abgegeben. Das Bundeskabinett beschloss den Entwurf des Gesetzes am 10. Februar 2021. Er wurde am 12. Februar 2021 als Artikel 1 des Gesetzes zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien in den Bundesrat unter BR-Drucksache 163/21 und am 9. März 2021 unter BT-Drucksache 19/27441 in den Bundestag eingebracht. Der Bundesrat beschloss seine Stellungnahme in der 1002. Sitzung am 26. März 2021. Ebenfalls am 26. März 2021 überwies der Bundestag das Gesetz nach seiner Ersten Lesung an die Ausschüsse für Wirtschaft und Energie (federführend), Inneres und Heimat, Recht und Verbraucherschutz, Verkehr und digitale Infrastruktur, Kultur und Medien und Digitale Agenda.

Das Gesetz wurde vom Bundestag am 20. Mai 2021 in zweiter und dritter Lesung mit den Stimmen der Fraktionen von SPD und CDU/CSU verabschiedet. Nach der Zustimmung des Bundesrats und der Unterzeichnung durch den Bundespräsidenten wurde es am 28. Juni 2021 im Bundesgesetzblatt 35/2021 verkündet. Es tritt am 1. Dezember 2021 gleichzeitig mit der Neufassung des Telekommunikationsgesetzes vom 23. Juni 2021 in Kraft.

Kritik

Opposition im Bundestag in der Debatte zur Ersten Lesung

Zentraler Kritikpunkt war in der Debatte im Bundestag zur 1. Lesung am 25. März 2021 die Bestandsdatenauskunft. Die FDP sah die Regelung zur Herausgabe von Passwörtern kritisch. Die Linke kritisierte, dass nicht nur die Anbieter von Telemediendiensten, sondern auch wer an der Erbringung mitwirkt oder wer einen Nutzungszugang vermittelt, z. B. Krankenhäuser und Cafés, Nutzerdaten herausgeben müssen.

Ein weiterer Punkt war in der Aussprache die Neuregelung zu den Cookies. Sie reiche nicht aus, um das ständige Wegklicken von Cookiewarnungen zu verhindern. Gewünscht würden pauschale Entscheidungen pro oder kontra Tracking zum Beispiel mittels Do-not-track-Funktionen im Browser oder in Apps. Die Grünen bekräftigten zudem, dass Regelungen zum digitalen Nachlass in Telemediendiensten dringend erforderlich seien.

Opposition im Bundestag in der Debatte zur Zweiten Lesung

Bekräftigt wurde die Kritik an der Praxis zur Einholung von Einwilligungen für Cookies und andere Tracking-Mechanismen. Der Anreiz, wegen der umständlichen Ausführungen und einem Labyrinth von Unterseiten den „Alle akzeptieren“-Button anzuklicken, werde nicht verhindert. Das Einwilligungsprinzip fördere auch soziale Ungleichheit: wer Privatsphäre will, der solle dafür zahlen.