Mitä TTDSG ja TDDDG todella säätelevät

TTDSG siirtää EU:n ePrivacy-direktiivin Saksan lakiin epätavallisella tarkkuudella. Siinä missä GDPR säätelee henkilötietojen käsittelyä, TTDSG säätelee kaikkea tietojen tallentamista käyttäjän päätelaitteeseen tai siellä jo tallennettuihin tietoihin pääsyä — riippumatta siitä, ovatko nämä tiedot henkilötietoja. Yksinkertaisesti sanottuna: jokainen eväste, jokainen pikseli, jokainen paikallinen tallennuskirjoitus, jokainen sormenjälkiskripti on soveltamisalassa, vaikka se ei keräisi yhtään henkilötietoja.

Pykälä 25 — Ydinsuostumussääntö

Keskeinen säännös on TTDSG:n pykälä 25 (nyt TDDDG:n pykälä 25). Se kieltää tietojen tallentamisen tai niihin pääsyn käyttäjän päätelaitteessa, ellei jokin kahdesta ehdosta täyty:

• Käyttäjä on antanut tietoisen, vapaaehtoisen, erityisen ja aktiivisen suostumuksen sen jälkeen kun häntä on informoitu selkeällä ja kattavalla tavalla, tai
• Tallennus tai pääsy on ehdottomasti välttämätöntä käyttäjän nimenomaisesti pyytämän telemediapalvelun tarjoamiseksi.

Oikeutettua etua ei ole perusteena. Pehmeää opt-inia ei ole. Saksan tulkinta ehdottomasti välttämättömästä on kapeampi kuin monissa muissa eurooppalaisissa lainkäyttöalueissa — se kattaa istuntoevästeistä, kuormantasapainotuksen ja maksujen käsittelyn, mutta ei analytiikkaa, mainontaa eikä suurinta osaa personoinnista.

Vuorovaikutus GDPR:n kanssa

TTDSG ei korvaa GDPR:ää. Se on sen päällä. Vaikka läpäisette TTDSG-esteen evästeen asettamistoimelle, tarvitsette silti GDPR:n mukaisen oikeusperustan sitä seuraavalle henkilötietojen käsittelylle. Puhdas saksalainen vaatimustenmukaisuusasenne vaatii molemmista porteista läpimenneen. Yleinen virhe on kerätä suostumus GDPR:n artiklan 6(1)(a) nojalla ja olettaa, että se kattaa myös TTDSG:n — se tekee niin, edellyttäen että suostumus täyttää myös TTDSG:n erityisyysvaatimukset, jotka ovat tiukempia kuin GDPR:n useissa suhteissa.

Miten Saksa eroaa muusta EU:sta

Viranomaiset eri puolilla EU:ta tulkitsevat ePrivacy:ä hieman eri tavoin. Saksa on useissa kohdissa tiukan pään spektrissä.

Analytiikkaan tarvitaan nimenomainen suostumus

Saksan tietosuojaviranomaiset ovat johdonmukaisesti pitäneet, että Google Analytics, Matomo (pilvi), Adobe Analytics, Mixpanel ja vastaavat työkalut vaativat opt-in-suostumuksen. Itse isännöity, anonymisoitu analytiikka lyhyellä säilytysajalla voi joskus täyttää ehdottomasti välttämätön -kriteerin, mutta rima on korkea ja vaihtelee tietosuojaviranomaisen mukaan. Baijerina, Baden-Württemberg, Berliini ja Hampuri julkaisevat kaikki yksityiskohtaisia teknisiä ohjeita, eivätkä ne ole identtisiä.

Schrems II ja USA:n siirrot

Saksan tietosuojaviranomaiset ovat olleet Euroopan aggressiivisimpien joukossa Schrems II -siirtokysymyksissä. USA:ssa isännöidyn seurannan käyttäminen — jopa Data Privacy Framework -sertifikaatilla — herättää huomiota, jos seuranta on laajamittaista tai sisältää erityisen kategorian tietoja. Datenschutzkonferenz (DSK), Saksan liittovaltion ja osavaltioiden tietosuojaviranomaisten yhteiselin, on antanut toistuvasti ohjeistuksen, jonka mukaan telemetrian lähettäminen USA:n käsittelijöille ilman voimassa olevaa siirtomekanismia rikkoo samanaikaisesti sekä GDPR:ää että TTDSG:tä.

Tummat kaavat nimenomaisesti kielletty

Useat Saksan tietosuojaviranomaiset ovat antaneet täytäntöönpano-ohjeistuksen, jonka mukaan vahvistushäpeä, esimerkkivalitut valintaruudut, epätasa-arvoinen painikkeiden näkyvyys ja pakkopaljastavat kaavat ovat yhteensopimattomia pätevän TTDSG-suostumuksen kanssa. Banneri, jossa „Hyväksy kaikki” on visuaalisesti hallitseva ja „Hylkää kaikki” on hautautunut toisen napsautuksen taakse, ei läpäise saksalaista auditointia vuonna 2026.

Käytännön CMP-vaatimukset Saksan markkinoille

TTDSG/TDDDG:n täyttämiseksi tuotantoympäristössä suostumushallintaalustasi ja taginhallintasi on pakotettava useita erityisiä käytöksiä.

Tasapuolinen näkyvyys hyväksymiselle ja hylkäämiselle

Ensimmäisen tason bannerin on näytettävä Hylkää kaikki -painike visuaalisella tasavertaisuudella Hyväksy kaikki -painikkeen kanssa. Värin, koon, sijainnin ja vuorovaikutuskustannuksen on oltava tasapainoisia. Monet CMP:t toimittavat oletusmallin, joka ei täytä tätä rimaa saksalaisessa lokalisaatiossaan.

Toimittajakohtainen tarkkuus

Saksan viranomaiset odottavat, että käyttäjät voivat suostua toimittaja- tai tarkoituskohtaisesti, ei vain yhdellä globaalilla vaihtimella. IAB TCF v2.2 täyttää tämän odotuksen, mutta vain jos toimittajaluettelosi on ajan tasalla ja tarkoitukset on selkeästi selitetty.

Estäminen ennen suostumusta

Yksikään kolmannen osapuolen skripti ei saa ladata, yhtään evästettä ei saa kirjoittaa eikä yksikään pikseli saa aktivoitua ennen kuin myönteinen suostumus on kirjattu. Tämä koskee Google Analyticsia, Meta Pixeliä, LinkedIn Insight Tagia, Hotjaria, Criteota, TikTokia ja jokaista mainospalvelinta. Tagihallinnan suostumustietoisten tilojen käyttö — kuten Google Tag Managerin suostumuksen alustus — on odotettu malli.

Peruutettavissa yhdellä napsautuksella

Saksan tietosuojaviranomaiset vaativat, että suostumuksen peruuttaminen on yhtä helppoa kuin sen myöntäminen. Pysyvän, näkyvän mekanismin — kelluvan uudelleen avaamispainikkeen, alatunnistelinkin tai vastaavan UI-toiminnallisuuden — on oltava käytettävissä jokaisella sivuston sivulla.

Suostumustietueet ja auditointipolku

TTDSG perii GDPR:n artiklan 7(1): rekisterinpitäjän on pystyttävä osoittamaan, että suostumus annettiin. Säilytä tietueet siitä, milloin, miten ja mitä tarkoituksia varten suostumus annettiin, mieluiten vähintään 36 kuukauden ajan Saksan siviilioikeuden vanhentumisajan vuoksi. Useimmat Googlen sertifioimat CMP:t hoitavat tämän oletuksena.

Mobiilisovellukset ja SDK-seuranta

TTDSG soveltuu mobiilisovelluksiin yhtäläisellä voimalla. Android-laitteiden mainostunniste, iOS:n idfa, kaikki SDK-tason sormenjälkien otto ja kaikki sovellusten välinen evästekäyttäytyminen kuuluvat kaikki suostumussäännön piiriin.

Android- ja iOS-tasapuolisuus

Käytännössä iOS App Tracking Transparency -kehotteeseen tukeutuvat julkaisijat eivät voi olettaa, että se täyttää TTDSG:n — Applen kehote on alustatason ohjaus eikä sinällään ole pätevä TTDSG-suostumus. Tarvitset sovellunsisäisen CMP-kerroksen, joka kerää TTDSG-yhteensopivan suostumuksen ennen kuin yksikään ei-ehdottomasti-välttämätön SDK alustaa.

Sovellunsisäiset suostumusmerkkijonot

Mobiilisovellusten mainonnassa IAB TCF -merkkijono tai IAB GPP -merkkijono on luotava ja levitettävä jokaiselle SDK:lle, joka osallistuu tarjousprosessiin. Ilman voimassa olevaa suostumusmerkkijonoa jokainen tarjous on oikeudellisesti altistunut riippumatta siitä, miten SDK määrittää oman käyttäytymisensä.

Täytäntöönpanomaisema vuonna 2026

Saksan tietosuojaviranomaisista on tullut merkittävästi aktiivisempia TTDSG-täytäntöönpanossa vuosina 2024 ja 2025. Baijerin Landesdatenschutzbeauftragte on yksinään avannut satoja tutkimuksia vuodessa, ja Berliinin tietosuojaviranomainen on määrännyt sakkoja erityisesti evästebanneririkkomuksiin vedoten.

Tähän mennessä nähdyt sakot

TTDSG itse asettaa enimmäishallintosakon 300 000 euroksi rikkomusta kohden. Koska TTDSG-rikkomus on kuitenkin tyypillisesti myös GDPR-rikkomus, tietosuojaviranomaiset ovat usein pinonneet korkeamman GDPR-seuraamuksen — jopa 20 miljoonaa euroa tai 4 prosenttia maailmanlaajuisesta vuotuisesta liikevaihdosta. Saksan markkinoiden julkaisijoiden ja verkkokaupan toimijoiden tulisi suunnitella yhdistetty vastuu altistumisen laajuutta arvioidessaan.

Siviilioikeudellinen vastuu

Saksa on yksi harvoista EU-lainkäyttöalueista, joissa yksittäiset käyttäjät ovat menestyksekkäästi haastaneet oikeuteen ei-aineellisista vahingoista GDPR:n artiklan 82 nojalla evästeriikkomusten yhteydessä. Odota joukkokuluttajakanteita, jotka on usein organisoitu Verbraucherzentralenin ja kantajien asianajotoimistojen kautta, jatkuvan vuonna 2026.

Auditointitarkistuslista saksalaiselle liikenteelle

• CMP esittää Hyväksy kaikki ja Hylkää kaikki tasapuolisella visuaalisella näkyvyydellä ensimmäisellä tasolla
• Yksikään eväste, pikseli tai kolmannen osapuolen skripti ei lataudu ennen suostumusta, mukaan lukien analytiikka ja A/B-testaus
• Tarkoitus- ja toimittajakohtainen tarkkuus on tarjottu, selkokielisillä tarkoituskuvauksilla saksaksi
• Suostumuksen peruuttamismekanismi on pysyvä ja saavutettavissa jokaiselta sivulta
• Suostumustietueet säilytetään aikaleiman, suomusversion ja myönnettyjen tarkoitusten kanssa
• Mobiilisovellukset pakottavat TTDSG-suostumuksen ennen kuin yksikään ei-ehdottomasti-välttämätön SDK alustaa, riippumattomasti iOS ATT -kehotteesta
• Tietojenkäsittelylisäsopimukset ja Schrems II -siirtoarvioinnit on dokumentoitu jokaista USA-pohjaista toimittajaa varten
• Tumman kaavan tarkistus on suoritettu viimeisimmän DSK-ohjeistuksen mukaisesti
• Tietosuojakäytäntö nimeää kaikki käsittelijät, tunnistaa oikeusperustan GDPR:n nojalla ja suostumuksen perustan TTDSG:n nojalla erikseen, ja on saatavilla saksaksi
• Toimittajaluettelo on synkronoitu IAB TCF v2.2:n kanssa ja päivitetty kun uusia kumppaneita lisätään

Vuoden 2026 näkymät

Uudelleennimeäminen TDDDG:ksi vuonna 2024 ei pehmentänyt Saksan täytäntöönpanoa. Jos mitään, tietosuojaviranomaiset ovat DSK:n kautta paremmin resursoituja ja koordinoituja kuin kaksi vuotta sitten. Kehityssuunta on selvä: suostumusrimat nousevat, tumman kaavan tarkastelu tiivistyy ja Schrems II -siirtoarvioinnista tulee auditointikohdistuksen standardi. Saksassa toimivat julkaisijat ja mainostajat, jotka investoivat asianmukaiseen suostumuspinoon vuosina 2024–2025, ovat laajasti hyvässä asemassa. Ne, jotka jättivät saksalaisen vaatimustenmukaisuuden myöhemmäksi, astuvat vuoteen 2026 tunnettujen aukkojen ja kasvavan sääntelymielenkiinnon kanssa. Oikea siirto on sulkea nämä aukot nyt — ennen kuin Landesdatenschutzbeauftragte-tutkimus pakottaa kysymyksen aikatauluun, jota et hallitse.