Tracking ohne Fallstricke: Wie § 25 TDDDG und § 7 UWG gemeinsam Ihre Datenschutz-Compliance im Online-Marketing definieren – und wo die meisten B2B-Teams jetzt noch Luecken haben
Tracking ohne Fallstricke: § 25 TDDDG und § 7 UWG im Online-Marketing
Dieser Artikel referiert zwei Normen, die für Digital-Teams im Online-Marketing unmittelbar relevant sind: § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) und § 7 des Gesetzes gegen den unlauteren Wettbewerb (UWG). Ergänzend wird dargestellt, wie die Datenschutz-Grundverordnung (DSGVO) – insbesondere Art. 6 – in diesem Rahmen greift. Das Referat stützt sich ausschließlich auf den amtlichen Gesetzestext sowie veröffentlichte Orientierungshilfen der deutschen Datenschutzaufsicht (DSK).
---
§ 25 TDDDG: Einwilligung vor dem Zugriff auf Endeinrichtungen
Was die Norm verlangt
§ 25 Abs. 1 TDDDG ¹ regelt, dass das Speichern von Informationen in der Endeinrichtung eines Nutzers oder der Zugriff auf bereits gespeicherte Informationen nur dann zulässig ist, wenn der Endnutzer zuvor seine Einwilligung erteilt hat. Die Norm setzt damit einen klaren Startpunkt: Bevor Cookies, Pixel, Local-Storage-Einträge oder ähnliche Mechanismen auf dem Gerät eines Nutzers aktiviert werden, muss eine aktive Zustimmung vorliegen.
§ 25 Abs. 2 TDDDG ¹ enthält zwei eng gefasste Ausnahmen, bei denen keine Einwilligung erforderlich ist:
- Der Zugriff ist ausschließlich erforderlich, um eine Kommunikation über ein öffentliches Telekommunikationsnetz zu übermitteln.
- Der Zugriff ist unbedingt erforderlich, damit der Anbieter einen Telemediendienst bereitstellen kann, der vom Nutzer ausdrücklich gewünscht wird.
Die zweite Ausnahme entspricht dem, was in der Praxis häufig als „technisch notwendige Cookies" bezeichnet wird. Entscheidend ist dabei das Wort „unbedingt": Cookies für Warenkorbfunktionen oder Session-Management können darunter fallen, Analyse- oder Marketing-Cookies hingegen nicht.
Was das im Arbeitsalltag bedeutet
Für ein Digital-Team bedeutet § 25 TDDDG ¹ konkret: Jedes Tracking-Tool – Google Analytics, Meta Pixel, LinkedIn Insight Tag, Hotjar, serverseitiges Tracking über Drittdienste – fällt in den Anwendungsbereich der Norm, sobald es Informationen auf dem Endgerät des Nutzers speichert oder ausliest. Der Zeitpunkt der Einwilligung ist entscheidend: Sie muss vor dem ersten Zugriff vorliegen, nicht nachgelagert. Ein Consent-Management-System, das Tracking-Tags erst nach Bestätigung durch den Nutzer aktiviert, entspricht diesem Erfordernis; ein sogenannter „Opt-out"-Ansatz, bei dem Tracking standardmäßig aktiv ist und Nutzer widersprechen können, genügt der Norm nicht.
Ein häufiges Missverständnis im B2B-Kontext: Auch wenn die besuchende Person nicht als Privatperson, sondern im beruflichen Kontext auf einer Website ist, greift § 25 TDDDG ¹. Die Norm knüpft an die Endeinrichtung, nicht an die Eigenschaft der Person als Verbraucher oder Unternehmer.
Was daran offen oder umstritten ist
Eine in der Aufsichtspraxis noch nicht abschließend geklärte Frage betrifft serverseitiges Tracking, bei dem Daten nicht über ein auf dem Endgerät ablaufendes Skript, sondern über Server-zu-Server-Verbindungen übermittelt werden. Die Frage, ob und wann ein solcher Mechanismus einen „Zugriff auf die Endeinrichtung" im Sinne des § 25 TDDDG darstellt, ist derzeit nicht einheitlich beantwortet. Die DSK hat zu verschiedenen Aspekten des Trackings Orientierungshilfen veröffentlicht ², ohne diese spezifische Konstellation abschließend zu entscheiden.
---
§ 7 UWG: Einwilligung vor der Direktansprache
Was die Norm verlangt
§ 7 Abs. 1 UWG ³ untersagt geschäftliche Handlungen gegenüber Marktteilnehmern, wenn diese als unzumutbare Belästigung einzustufen sind. § 7 Abs. 2 UWG ³ konkretisiert diesen Tatbestand und nennt bestimmte Kommunikationswege, bei denen eine unzumutbare Belästigung stets anzunehmen ist – ohne dass eine Abwägung im Einzelfall stattfindet:
- Werbung mit einem Telefonanruf gegenüber einem Verbraucher ohne dessen vorherige ausdrückliche Einwilligung oder gegenüber einem sonstigen Marktteilnehmer ohne dessen zumindest mutmaßliche Einwilligung (§ 7 Abs. 2 Nr. 1 UWG) ³.
- Werbung mit einer automatischen Anrufmaschine, einem Faxgerät oder elektronischer Post – also E-Mail, SMS, MMS und vergleichbare Dienste –, ohne dass der Empfänger zuvor ausdrücklich eingewilligt hat (§ 7 Abs. 2 Nr. 2 UWG) ³.
§ 7 Abs. 3 UWG ³ enthält eine Rückausnahme für E-Mail-Werbung an bestehende Kunden: Elektronische Post ist ausnahmsweise ohne neue Einwilligung zulässig, wenn vier Voraussetzungen kumulativ erfüllt sind: Der Anbieter hat die E-Mail-Adresse im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten, er verwendet die Adresse zur Direktwerbung für eigene ähnliche Waren oder Dienstleistungen, der Kunde hatte der Nutzung nicht widersprochen, und bei jeder Verwendung wird klar und deutlich auf die Widerspruchsmöglichkeit hingewiesen.
Was das im Arbeitsalltag bedeutet
Für B2B-Marketing-Teams liegt die praktische Schnittstelle des § 7 UWG ³ vor allem bei E-Mail-Kampagnen und Retargeting über Direktkanäle. Die Norm unterscheidet explizit zwischen Verbrauchern (immer ausdrückliche Einwilligung bei Telefonwerbung) und sonstigen Marktteilnehmern (mutmaßliche Einwilligung genügt). Diese Differenzierung ist für B2B-Kontexte relevant: Bei der Kaltansprache eines Unternehmens per Telefon kann eine mutmaßliche Einwilligung unter Umständen angenommen werden, wenn ein sachlicher Zusammenhang zwischen dem Angebot und dem Tätigkeitsbereich des angesprochenen Unternehmens besteht. Was unter „mutmaßlicher Einwilligung" konkret zu verstehen ist und wie eng dieser Begriff auszulegen ist, ist allerdings in Rechtsprechung und Aufsichtspraxis nicht vollständig einheitlich bestimmt.
Bei E-Mail-Werbung – ob B2B oder B2C – gilt § 7 Abs. 2 Nr. 2 UWG ³ ohne diese Differenzierung: Elektronische Post ohne vorherige ausdrückliche Einwilligung ist unzumutbare Belästigung. Die Bestandskunden-Ausnahme nach § 7 Abs. 3 UWG ³ greift ausschließlich für eigene ähnliche Waren oder Dienstleistungen – nicht für branchenübergreifende Angebote oder für weitergegebene Adressen.
Was daran offen oder umstritten ist
Die Frage, welche digitalen Kommunikationswege unter „elektronische Post" im Sinne des § 7 Abs. 2 Nr. 2 UWG ³ fallen, wird mit der Verbreitung neuer Nachrichtendienste – etwa Messenger-Nachrichten auf LinkedIn oder WhatsApp-Business-Kommunikation – zunehmend diskutiert. Eine höchstrichterliche Klärung für alle Dienste liegt noch nicht vor. Ebenso ist offen, unter welchen Bedingungen ein sogenanntes Double-Opt-in als Nachweis der „ausdrücklichen Einwilligung" gilt – faktisch wird es in der Aufsichtspraxis häufig als Standard angesehen, ohne dass die Norm es ausdrücklich vorschreibt.
---
Zusammenspiel: § 25 TDDDG, § 7 UWG und Art. 6 DSGVO
Die drei Regelwerke greifen an verschiedenen Punkten im Marketing-Prozess, überschneiden sich aber in ihrem Einwilligungserfordernis.
§ 25 TDDDG ¹ betrifft den Moment des Datenzugriffs auf das Endgerät – also den technischen Akt des Setzens oder Auslesens eines Cookies oder Pixels. Art. 6 DSGVO ⁴ setzt einen Schritt später an: Er regelt, auf welcher Rechtsgrundlage die durch diesen Zugriff erlangten personenbezogenen Daten weiterverarbeitet werden dürfen. Art. 6 Abs. 1 DSGVO ⁴ zählt diese Rechtsgrundlagen abschließend auf; liegt keine vor, ist die Verarbeitung unzulässig. Zu den sechs Tatbeständen gehören unter anderem die Einwilligung (lit. a), die Vertragserfüllung (lit. b) und die Erfüllung einer rechtlichen Verpflichtung (lit. c).
Eine Einwilligung nach § 25 TDDDG deckt dabei nicht automatisch die Anforderungen von Art. 6 DSGVO ab – beide Normen stellen eigenständige Anforderungen, und eine Consent-Lösung muss technisch und rechtlich beiden gerecht werden. Die DSK hat in ihren Orientierungshilfen ² auf dieses Nebeneinander hingewiesen.
§ 7 UWG ³ wiederum reguliert nicht den Datenzugriff, sondern den Kommunikationsakt selbst: das Ausspielen einer Werbenachricht an eine konkrete Person. Eine valide Einwilligung nach TDDDG und DSGVO legitimiert das Tracking, ersetzt aber nicht die für die direkte Werbeansprache per E-Mail oder Telefon erforderliche Einwilligung nach § 7 UWG.
Ein Szenario zur Veranschaulichung: Ein Unternehmen erhebt über ein Consent-konformes Setup Tracking-Daten eines Website-Besuchers (§ 25 TDDDG ✓) und verarbeitet sie auf Basis von Einwilligung (Art. 6 Abs. 1 lit. a DSGVO ✓). Anschließend wird dieselbe Person per E-Mail mit einer personalisierten Kampagne angesprochen – ohne dass sie zuvor in den E-Mail-Empfang eingewilligt hat. In diesem Moment greift § 7 Abs. 2 Nr. 2 UWG ³, unabhängig davon, dass die Tracking-Grundlage sauber ist.
---
Grenzen und offene Fragen
Mehrere Rechtsfragen sind derzeit nicht abschließend geklärt:
- Serverseitiges Tracking: Ob und wann es unter § 25 TDDDG fällt, ist offen.
- Reichweite von „mutmaßlicher Einwilligung" im B2B-Telefonmarketing (§ 7 Abs. 2 Nr. 1 UWG): Die Gerichte wenden den Begriff nicht einheitlich an.
- Neue Kommunikationskanäle (Messenger, Social-Media-DMs): Ihre Einordnung unter § 7 UWG ist nicht höchstrichterlich entschieden.
- Verhältnis von TDDDG-Einwilligung und DSGVO-Rechtsgrundlage: Ob eine einheitliche Consent-Erklärung beiden Anforderungen genügen kann, oder ob es strukturell getrennte Akte braucht, ist in der Aufsichtspraxis noch nicht vollständig vereinheitlicht.
- Konsentierungstiefe: Wie granular ein Consent-Banner die Zwecke aufschlüsseln muss, damit er den Anforderungen der DSK-Orientierungshilfen ² entspricht, ist Gegenstand laufender Diskussionen zwischen Aufsichtsbehörden und Wirtschaft.
---
Fazit
§ 25 TDDDG reguliert den technischen Zugriff auf Endeinrichtungen und verlangt in aller Regel eine aktive Einwilligung vor dem Tracking. § 7 UWG setzt an der Direktkommunikation an und untersagt E-Mail-Werbung sowie bestimmte Telefonanrufe ohne vorherige Einwilligung; für Bestandskunden gelten eng gefasste Ausnahmen. Art. 6 DSGVO regelt eigenständig, auf welcher Rechtsgrundlage erhobene personenbezogene Daten weiterverarbeitet werden dürfen – mit einer abschließenden Liste von sechs Tatbeständen. Alle drei Normen stehen nebeneinander; eine Einwilligungslösung, die einer Norm genügt, erfüllt die Anforderungen der anderen nicht automatisch. Mehrere Anwendungsfragen – insbesondere zu serverseitigem Tracking, neuen Kommunikationskanälen und der Konsentierungstiefe – sind derzeit nicht abschließend geklärt.
---
Quellen
- [1] § 25 TDDDG — Einwilligung für Zugriff auf Endeinrichtungen — Bundesamt für Justiz (gesetze-im-internet.de)
- [2] DSK — Orientierungshilfen der deutschen Datenschutzaufsicht — Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK)
- [3] § 7 UWG — unzumutbare Belästigung durch Werbung — Bundesamt für Justiz (gesetze-im-internet.de)
- [4] Art. 6 DSGVO — Rechtsgrundlagen der Verarbeitung — Amt für Veröffentlichungen der EU (EUR-Lex)