TTDSGとTDDDGが実際に規制するもの

TTDSGはEUのePrivacy指令を異例の精度でドイツ法に転換しています。GDPRが個人データの処理を規制するのに対し、TTDSGは——その情報が個人データであるかどうかにかかわらず——ユーザーの端末機器における情報の保存、またはすでに保存されている情報へのアクセスを規制します。平たく言えば：クッキー、ピクセル、ローカルストレージへの書き込み、フィンガープリントスクリプトはすべて対象範囲に含まれ、個人データを一切収集しない場合でも同様です。

第25条——基本同意ルール

核心的条項はTTDSG第25条（現在はTDDDG第25条）です。次の2つの条件のいずれかが満たされない限り、ユーザーの端末機器への情報の保存またはアクセスを禁じています：

• ユーザーが明確かつ包括的に通知された後に十分な情報に基づく、自発的、特定的かつ積極的な同意を与えた場合、または
• 保存またはアクセスがユーザーが明示的に要請したテレメディアサービスの提供に厳密に必要な場合。

正当な利益の根拠はありません。ソフトオプトインもありません。厳密に必要のドイツの解釈は他の多くの欧州法域よりも狭く、セッションクッキー、負荷分散、支払い処理は対象となりますが、アナリティクス、広告、ほとんどのパーソナライゼーションは対象外です。

GDPRとの相互作用

TTDSGはGDPRに取って代わるものではありません。その上に重なっています。クッキー設定という行為についてTTDSGのハードルをクリアしても、その後の個人データ処理に対してGDPRの適法根拠が依然として必要です。ドイツでのクリーンな準拠には両方のゲートを通過する必要があります。よくある間違いは、GDPRの第6条(1)(a)に基づいて同意を収集し、それがTTDSGもカバーすると想定することですが——TTDSGの特定性要件も満たしている限りそれは正しく、その要件はいくつかの点でGDPRよりも厳格です。

ドイツがEUの他国と異なる点

EU全域の規制当局はePrivacyをやや異なる方法で解釈しています。ドイツはいくつかの点でスペクトルの厳格な側にあります。

アナリティクスには明示的な同意が必要

ドイツのDPAは一貫して、Google Analytics、Matomo（クラウド）、Adobe Analytics、Mixpanel、および類似ツールにはオプトイン同意が必要であると主張しています。短い保持期間で自己ホスト型の匿名化されたアナリティクスは、厳密に必要なものとして認められることがありますが、基準は高くDPAによって異なります。バイエルン、バーデン＝ヴュルテンベルク、ベルリン、ハンブルクはそれぞれ詳細な技術ガイダンスを公表しており、内容は同一ではありません。

Schrems IIと米国への転送

ドイツのDPAはSchrems II転送問題において欧州で最も積極的な当局の一つです。米国でホストされたトラッカーを実行すること——Data Privacy Frameworkの認証があっても——は、トラッキングが広範または特別カテゴリデータに関わる場合に精査を引き付けます。ドイツの連邦および州DPAの合同機関であるDatenschutzkonferenz（DSK）は、有効な転送メカニズムなしに米国のプロセッサーに送信されたテレメトリがGDPRとTTDSGの両方を同時に違反するという繰り返しのガイダンスを発出しています。

ダークパターンは明示的に禁止

複数のドイツDPAが、確認の恥さらし、事前選択されたチェックボックス、不均等なボタンの目立ち方、強制開示パターンは有効なTTDSG同意と両立しないという執行ガイダンスを発出しています。「Accept all」が視覚的に支配的で「Reject all」が2回目のクリックの後ろに隠れているバナーは、2026年のドイツ監査に合格しません。

ドイツ市場向けの実践的なCMP要件

本番環境でTTDSG/TDDDGを満たすために、同意管理プラットフォームとタグマネージャーはいくつかの特定の動作を強制する必要があります。

承認と拒否の同等の目立ち方

第1レイヤーバナーはすべて承認と視覚的に同等なすべて拒否ボタンを表示しなければなりません。色、サイズ、位置、インタラクションコストはバランスが取れていなければなりません。多くのCMPは、ドイツのロケールでこの基準を満たさないデフォルトテンプレートを提供しています。

ベンダー別の詳細度

ドイツの規制当局は、ユーザーが単一のグローバルトグルだけでなく、ベンダーごとまたは目的ごとに同意できることを期待しています。IAB TCF v2.2はこの期待を満たしますが、ベンダーリストが最新であり目的が明確に説明されている場合に限ります。

同意前のブロック

積極的な同意が記録される前に、サードパーティスクリプトをロードしたり、クッキーを書き込んだり、ピクセルを発火させたりすることはできません。これはGoogle Analytics、Meta Pixel、LinkedIn Insight Tag、Hotjar、Criteo、TikTok、およびすべての広告サーバーに適用されます。Google Tag Managerの同意初期化などのタグ管理の同意認識モードの使用が期待されるパターンです。

1クリックで撤回可能

ドイツのDPAは、同意の撤回が付与と同じくらい簡単であることを要求しています。フローティング再開ボタン、フッターリンク、または同等のUIアフォーダンスとして、サイトのすべてのページで持続的かつ目に見えるメカニズムが利用可能でなければなりません。

同意記録と監査証跡

TTDSGはGDPR第7条(1)を継承しています：管理者は同意が与えられたことを証明できなければなりません。ドイツの民事時効を考慮して、理想的には少なくとも36か月間、いつ、どのように、どのような目的で同意が付与されたかの記録を保持してください。ほとんどのGoogle認定CMPはこれをデフォルトで処理します。

モバイルアプリとSDKトラッキング

TTDSGは同等の強制力でモバイルアプリに適用されます。Androidの広告識別子、iOSのIDFA、SDKレベルのフィンガープリンティング、アプリ間のクッキー動作はすべて同意ルールの対象です。

AndroidとiOSの同等性

実際には、iOS App Tracking Transparencyプロンプトに依存しているパブリッシャーは、それがTTDSGを満たすと想定することはできません——Appleのプロンプトはプラットフォームレベルの制御であり、それ自体では有効なTTDSG同意ではありません。厳密に必要でないSDKが初期化される前にTTDSG準拠の同意を収集するアプリ内CMPレイヤーが必要です。

アプリ内同意文字列

モバイルアプリ広告では、IAB TCF文字列またはIAB GPP文字列が生成され、入札パイプラインに参加するすべてのSDKに伝播される必要があります。有効な同意文字列がなければ、SDKが自身の動作をどのように設定するかにかかわらず、すべての入札は法的にリスクにさらされます。

2026年の執行状況

ドイツのDPAは2024年と2025年にTTDSG執行においてかなり積極的になっています。バイエルン州だけのLandesdatenschutzbeauftragteが年間数百件の調査を開始しており、ベルリンDPAはクッキーバナー違反を具体的に引用した罰金を発出しています。

これまでに見られた罰金

TTDSG自体は違反ごとに最大EUR 300,000の行政罰金を定めています。しかし、TTDSGの違反は通常GDPRの違反でもあるため、DPAはより高いGDPRの罰則——最大EUR 2,000万または世界年間売上高の4パーセント——を重ねて課すことが多くなっています。ドイツ市場のパブリッシャーやeコマース事業者は、露出範囲を検討する際に積み重ねられた責任を計画しておく必要があります。

民事責任

ドイツはクッキー違反に関連して個人ユーザーがGDPR第82条に基づく非物質的損害の訴訟に成功した数少ないEU法域の一つです。Verbraucherzentralenや原告法律事務所を通じて組織されることが多い集団的消費者請求が2026年も続くと予想してください。

ドイツトラフィックの監査チェックリスト

• CMPは第1レイヤーで同等の視覚的目立ち方でするすべて承認とすべて拒否を表示する
• アナリティクスとA/Bテストを含め、同意前にクッキー、ピクセル、またはサードパーティスクリプトはロードされない
• ドイツ語での分かりやすい目的説明を伴う目的別およびベンダー別の詳細度が提供される
• 同意撤回メカニズムは持続的で、すべてのページからアクセス可能である
• 同意記録はタイムスタンプ、同意バージョン、付与された目的とともに保持される
• モバイルアプリはiOS ATTプロンプトとは独立して、厳密に必要でないSDKを初期化する前にTTDSG同意を強制する
• データ処理補遺書とSchrems II転送評価はすべての米国ベースのベンダーについて文書化されている
• ダークパターンレビューは最新のDSKガイダンスに対して完了している
• プライバシーポリシーはすべてのプロセッサーを列挙し、GDPRに基づく適法根拠とTTDSGに基づく同意根拠を別々に特定し、ドイツ語で利用可能である
• ベンダーリストはIAB TCF v2.2と同期されており、新しいパートナーが追加された際に更新される

2026年の見通し

2024年のTDDDGへの改称はドイツの執行を軟化させませんでした。むしろ、DPAは2年前よりもDSKを通じてより資源が豊富で調整されています。軌跡は明確です：同意の基準は高くなり、ダークパターンの精査は強化され、Schrems II転送評価は標準的な監査の焦点となります。2024-2025年に適切な同意スタックに投資したドイツで事業を行うパブリッシャーや広告主は概ね良い状態にあります。ドイツのコンプライアンスを後回しにした者は、既知のギャップと高まる規制の関心を抱えて2026年を迎えることになります。正しい行動は今すぐそのギャップを閉じることです——Landesdatenschutzbeauftragteの調査があなたがコントロールできないタイムラインで問題を強制する前に。