Was ist die ePrivacy-Richtlinie?
Die ePrivacy-Richtlinie ist die Richtlinie 2002/58/EG vom 12. Juli 2002. Amtlich heißt sie „Datenschutzrichtlinie für elektronische Kommunikation“. Sie regelt den Datenschutz dort, wo Daten über Leitungen und Geräte laufen: Vertraulichkeit der Kommunikation, Verkehrs- und Standortdaten, Zugriffe auf Endgeräte und unerbetene Werbung.
2009 wurde sie durch die Richtlinie 2009/136/EG geändert. Dabei bekam die Regel zu Cookies ihre heutige Fassung. Deshalb hört man oft auch den Spitznamen Cookie-Richtlinie.
Wichtig: Eine Richtlinie gilt nicht direkt. Jeder EU-Staat muss sie in eigenes Recht gießen. In Deutschland stecken die Regeln vor allem im TDDDG (früher TTDSG) und im Gesetz gegen den unlauteren Wettbewerb (UWG).
Art. 5 Abs. 3: Cookies und Endgeräte
Der bekannteste Satz der Richtlinie steht in Art. 5 Abs. 3. Informationen auf dem Gerät eines Nutzers speichern oder dort auslesen darfst du nur mit seiner Einwilligung. Vorher musst du ihn klar und umfassend über die Zwecke informieren.
Es gibt zwei Ausnahmen:
- Der Zugriff dient allein dazu, eine Nachricht zu übertragen.
- Der Zugriff ist unbedingt erforderlich, damit ein Dienst funktioniert, den der Nutzer ausdrücklich will, etwa der Warenkorb im Shop.
Die Regel ist technikneutral. Sie gilt nicht nur für Cookies, sondern auch für Local Storage, Tracking-Pixel und Fingerprinting. Und sie gilt unabhängig davon, ob die Daten personenbezogen sind. In Deutschland setzt § 25 TDDDG das fast wortgleich um. Verstöße kosten dort bis zu 300.000 Euro Bußgeld.
Art. 13: Werbe-Mails und Soft Opt-in
Der zweite große Block betrifft Werbung. Nach Art. 13 braucht Direktwerbung per E-Mail, Fax oder automatischer Anrufmaschine die vorherige Einwilligung. In Deutschland steht das in § 7 Abs. 2 UWG.
Die Ausnahme heißt Soft Opt-in. Bestandskunden darfst du ohne Einwilligung mailen, wenn alle vier Bedingungen aus § 7 Abs. 3 UWG erfüllt sind:
- Du hast die Adresse beim Verkauf einer Ware oder Dienstleistung bekommen.
- Du wirbst nur für eigene ähnliche Produkte.
- Der Kunde hat nicht widersprochen.
- Du weist ihn bei der Erhebung und in jeder Mail darauf hin, dass er jederzeit widersprechen kann.
Fall
Einwilligung nötig?
Analyse-Cookie
ja
Warenkorb-Cookie
nein
Newsletter an Fremde
ja
Mail an Käufer
nein (Soft Opt-in)
ePrivacy und DSGVO: Wer regelt was?
Die beiden werden ständig verwechselt. Die DSGVO ist das allgemeine Datenschutzrecht und gilt als Verordnung direkt in jedem EU-Staat. Die ePrivacy-Richtlinie ist das speziellere Recht für Kommunikation und Endgeräte.
Für dein Cookie-Banner heißt das: Zwei Prüfungen laufen nacheinander. Erst fragt das TDDDG, ob du überhaupt auf das Gerät zugreifen darfst. Danach fragt die DSGVO, ob du die gewonnenen Daten verarbeiten darfst. Ein „berechtigtes Interesse“ aus der DSGVO hilft dir beim ersten Schritt nicht.
Was aus der ePrivacy-Verordnung wurde
2017 schlug die EU-Kommission vor, die Richtlinie durch eine ePrivacy-Verordnung zu ersetzen. Sie sollte direkt gelten, wie die DSGVO. Acht Jahre lang einigten sich die EU-Staaten nicht. 2025 hat die Kommission den Vorschlag zurückgezogen.
Stattdessen will die Kommission mit dem Digital Omnibus vom November 2025 die Cookie-Regeln ändern. Geplant sind etwa Ausnahmen für einfache Reichweitenmessung und Ablehnen mit einem Klick. Der Rat hat im Oktober 2026 seine Position festgelegt, das Parlament noch nicht. Bis der Omnibus beschlossen ist, gilt alles wie bisher.
Häufige Fehler
Fehler 1 · Cookies nur als DSGVO-Thema sehen
Die Einwilligungspflicht greift schon beim Zugriff aufs Gerät. Ob ein Cookie personenbezogene Daten enthält, ist für § 25 TDDDG egal.
Fehler 2 · Analyse für „technisch notwendig“ halten
Unbedingt erforderlich ist nur, was der Nutzer für den gewünschten Dienst braucht. Reichweitenmessung gehört heute nicht dazu, auch wenn sie dir sehr wichtig ist.
Fehler 3 · Soft Opt-in zu weit dehnen
Adressen aus Gewinnspielen, Messen oder Whitepaper-Downloads stammen nicht aus einem Verkauf. Für sie gilt die Ausnahme nicht. Dort brauchst du eine echte Einwilligung, am besten per Double-Opt-in.
Fehler 4 · Auf neue Regeln vorgreifen
„Ab nächstem Jahr fallen die Cookie-Banner weg“: Dafür gibt es keinen Beschluss. Bau dein Banner nach geltendem Recht, nicht nach Entwürfen.
Was du jetzt tun solltest
- Banner prüfen: Laden Analyse- und Marketing-Tools erst nach der Zustimmung? Gibt es „Ablehnen“ auf der ersten Ebene?
- Technik prüfen: In den Entwicklerwerkzeugen des Browsers siehst du, welche Cookies vor dem Klick gesetzt werden.
- Newsletter-Liste sortieren: Welche Adressen haben eine Einwilligung, welche laufen über Soft Opt-in?
- Abmeldehinweis: in jeder Werbe-Mail, ohne Ausnahme.
Häufige Fragen
Gilt die ePrivacy-Richtlinie in Deutschland direkt?
Nein. Als Richtlinie muss sie in deutsches Recht umgesetzt werden. Die Regel zu Cookies und Endgeräten steht in § 25 TDDDG, die Regeln zu Werbe-Mails in § 7 UWG.
Was ist der Unterschied zwischen ePrivacy-Richtlinie und DSGVO?
Die DSGVO regelt allgemein, wie personenbezogene Daten verarbeitet werden dürfen. Die ePrivacy-Richtlinie regelt speziell elektronische Kommunikation, also auch den Zugriff auf Endgeräte und Werbe-Mails, teils auch ohne Personenbezug.
Was ist aus der ePrivacy-Verordnung geworden?
Sie kam nie. Der Vorschlag von 2017 scheiterte an fehlender Einigung, die EU-Kommission hat ihn 2025 zurückgezogen. Es gilt weiter die Richtlinie von 2002 in der Fassung von 2009.
Brauche ich für jedes Cookie eine Einwilligung?
Nein. Cookies, die für einen vom Nutzer gewünschten Dienst unbedingt erforderlich sind, brauchen keine, etwa für Warenkorb, Login oder die Speicherung der Cookie-Auswahl selbst. Für Analyse und Marketing brauchst du sie.
Darf ich Bestandskunden ohne Einwilligung Newsletter schicken?
Ja, wenn alle vier Bedingungen des Soft Opt-in erfüllt sind: Adresse aus einem Kauf, Werbung nur für eigene ähnliche Produkte, kein Widerspruch und ein Hinweis aufs Widerspruchsrecht bei der Erhebung und in jeder Mail.
