Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz – Wikipedia

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) regelt Bestimmungen zum Fernmeldegeheimnis und zum Datenschutz bei Telekommunikationsdiensten und bei digitalen Diensten. Das Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG) ersetzte 2021 die Datenschutzregelungen des Telekommunikationsgesetzes (TKG) und des Telemediengesetzes (TMG), die mit dem TTDSG an die DSGVO angepasst wurden. Zudem wurde die Cookie-Regelung der E-Privacy-Richtlinie zum Schutz der Privatsphäre in Endeinrichtungen umgesetzt. Seinen heutigen Namen erhielt das Gesetz erst im Mai 2024.^[1]

Das TDDDG regelt das Fernmeldegeheimnis und enthält Vorschriften für den Schutz von Nutzungsdaten, für die Rufnummernunterdrückung und -anzeige, für Endnutzerverzeichnisse, für den Schutz der Privatsphäre bei Cookies und für die Aufsichtsbehörden für Datenschutz und Schutz der Privatsphäre in der Telekommunikation. Die Bestimmungen zum Datenschutz bei digitalen Diensten ergänzen die DSGVO um die Vorgabe bestimmter technischer und organisatorischer Vorkehrungen, um die Regelung der Verarbeitung personenbezogener Daten von Minderjährigen sowie um Vorgaben zur Auskunftserteilung über Bestands- und Nutzungsdaten durch Diensteanbieter.

Das TDDDG verwendet die Begriffe des TKG, des Digitale-Dienste-Gesetz (DDG) und der DSGVO. Zusätzlich werden die sechs Begriffe „Anbieter von digitalen Diensten“, „Bestandsdaten“, „Nutzungsdaten“, „Nachricht“, „Dienst mit Zusatznutzen“ sowie „Endeinrichtung“ für den Anwendungsbereich des TDDDG legaldefiniert.

Das Fernmeldegeheimnis schützt den Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere wer an einem Telekommunikationsvorgang beteiligt ist oder war. Es umfasst auch erfolglose Verbindungsversuche. Zur Wahrung des Fernmeldegeheimnisses verpflichtet sind die Anbieter von öffentlich zugänglichen und von geschäftsmäßig angebotenen Telekommunikationsdiensten einschließlich mitwirkender Personen und die Betreiber der Netze und Anlagen. Die Verpflichteten dürfen weder sich noch anderen Kenntnis vom Inhalt oder von den näheren Umständen der Telekommunikation verschaffen. Eine Weitergabe an andere ist nur zulässig, soweit eine gesetzliche Vorschrift dies vorsieht.

Erben, rechtliche Betreuer oder Bevollmächtigte können die Rechte des Endnutzers wahrnehmen. Das Fernmeldegeheimnis steht dem nicht entgegen.

Mit einer Funkanlage dürfen nur solche Nachrichten abgehört werden, die für den Betreiber der Funkanlage, für Funkamateure, für die Allgemeinheit oder für einen unbestimmten Personenkreis bestimmt sind. Der Inhalt anderer Nachrichten sowie die Tatsache ihres Empfangs dürfen anderen nicht mitgeteilt werden, auch wenn die Nachricht unbeabsichtigt empfangen wurde.

Nachrichteninhalte wie Sprach-, Ton-, Text- oder Grafikmitteilungen dürfen nur aufgrund von Eingaben des Endnutzers verarbeitet werden. Der Anbieter muss die erforderlichen technischen und organisatorischen Maßnahmen treffen, um Fehlübermittlungen und unbefugte Zugriffe innerhalb des Unternehmens und durch Dritte auszuschließen.

Bei der Beantragung eines Telekommunikationsanschlusses kann der Anbieter die Vorlage eines amtlichen Ausweises verlangen und eine Kopie fertigen, die er nach Feststellung der Endnutzerdaten zu löschen hat. Wird eine Prepaidkarte verkauft, besteht sogar die Pflicht, die Personenfeststellung anhand eines Ausweises durchzuführen, (§ 172) TKG.

Telekommunikationsanlagen, die geeignet und dazu bestimmt sind, jemand anderes heimlich abzuhören oder aufzunehmen, sind verboten. Ausnahmen können von den zuständigen obersten Bundes- oder Landesbehörden genehmigt werden, wenn es zum Beispiel aus Gründen der öffentlichen Sicherheit erforderlich ist.

Verkehrsdaten (einschließlich Berechtigungskennungen, Kundenkartennummern oder bei mobilen Anschlüssen Standortdaten) dürfen nur für die Durchführung der Kommunikationsvorgänge und zur Entgeltabrechnung verwendet werden. Für die Entgeltabrechnung dürfen Daten bis zu sechs Monate nach Versendung der Rechnung gespeichert werden. Für die Abrechnung nicht erforderliche Daten sind unverzüglich zu löschen. Darüber hinaus gehende Verwendungen sind nur nach Einwilligung des Nutzers zulässig. Für Einzelverbindungsnachweise muss der Anschlussinhaber erklären, dass alle Haushaltsangehörigen informiert sind, in Betrieben und Behörden muss der Betriebsrat oder die Personalvertretung beteiligt werden. Für Dienste mit Zusatznutzen (z. B. Beratung hinsichtlich der billigsten Tarifpakete, Navigationshilfen, Handyortung, Verkehrsinformationen, Wettervorhersage oder touristische Informationen) dürfen Standortdaten nur in dem Umfang verarbeitet werden, der für den Dienst erforderlich ist, wenn sie anonymisiert wurden oder wenn der Nutzer eingewilligt hat.

Anrufende und angerufene Endnutzer müssen die Möglichkeit haben, die Rufnummernanzeige dauernd oder für jeden Anruf einzeln zu unterdrücken. Die Anzeige von Rufnummern darf bei Notrufnummern sowie bei Anschlüssen von Sicherheitsbehörden nicht ausgeschlossen werden.

Jeder Anschlussinhaber kann sich mit seiner Rufnummer, seinem Namen und seiner Anschrift in öffentlich zugängliche Endnutzerverzeichnisse eintragen lassen. Er ist über weitere Nutzungsmöglichkeiten aufgrund der eingebetteten Suchfunktionen zu informieren. Er kann jederzeit verlangen, dass seine Angaben unentgeltlich eingetragen, gespeichert, berichtigt oder gelöscht werden. Die Anbieter müssen die Verzeichnisdaten anderen Unternehmen zur Bereitstellung von öffentlich zugänglichen Auskunftsdiensten oder von Endnutzerverzeichnissen bereitstellen. Sie dürfen dafür angemessene Entgelte verlangen.

Anbieter von digitalen Diensten müssen durch technische und organisatorische Vorkehrungen sicherstellen, dass der Nutzer die Nutzung des Dienstes jederzeit beenden kann. Die Nutzung muss gegen Kenntnisnahme Dritter geschützt sein. Die Anbieter müssen Nutzung und Bezahlung anonym oder unter Pseudonym ermöglichen. Sie müssen durch technische und organisatorische Vorkehrungen ausschließen, dass jemand unerlaubt auf ihre technischen Einrichtungen zugreift. Sie müssen sicherstellen, dass ihre Einrichtungen gegen Verletzungen des Schutzes personenbezogener Daten und gegen Störungen gesichert sind. Die Vorkehrungen müssen den Stand der Technik berücksichtigen.

Anbieter von digitalen Diensten dürfen personenbezogene Daten Minderjähriger, die sie aus Jugendschutzgründen zur Altersverifikation erhoben haben, nicht für kommerzielle Zwecke verarbeiten.

Anbieter von digitalen Diensten dürfen auf Anordnung der zuständigen Stellen im Einzelfall Auskunft über Bestandsdaten erteilen, soweit dies zur Durchsetzung der Rechte am geistigen Eigentum erforderlich ist. Dies gilt auch in Bezug auf die Durchsetzung zivilrechtlicher Ansprüche wegen der Verletzung absolut geschützter Rechte auf Grund bestimmter rechtswidriger Inhalte, sofern der Verletzte eine vorherige gerichtliche Anordnung erwirkt hat.

Anbieter von digitalen Diensten dürfen zur Erfüllung von Auskunftspflichten gegenüber Sicherheitsbehörden Bestandsdaten und Nutzungsdaten verwenden. Die in eine Auskunft aufzunehmenden Bestandsdaten dürfen auch anhand einer zu einem bestimmten Zeitpunkt zugewiesenen IP-Adresse bestimmt werden. Für die Auskunftserteilung muss der Anbieter von digitalen Diensten sämtliche unternehmensinterne Datenquellen berücksichtigen. Passwörter oder andere Zugriffsschutzdaten dürfen nur nach gerichtlicher Anordnung an Strafverfolgungsbehörden zum Zweck der Verfolgung besonders schwerer Straftaten oder an Sicherheitsbehörden zur Abwehr einer konkreten Gefahr für Leib, Leben oder Freiheit einer Person, für den Bestand des Bundes oder eines Landes gegeben werden. An andere öffentliche und nichtöffentliche Stellen dürfen diese Daten nicht übermittelt werden.

Informationen dürfen nur gespeichert oder ausgelesen werden, wenn der Endnutzer eingewilligt hat (§ 25 Abs. 1 TDDDG). Für die Einwilligung gelten die Voraussetzungen der DSGVO (Art. 7 DSGVO). Die Einwilligung muss auf der Grundlage von klaren und umfassenden Informationen beruhen und mit einer eindeutigen bestätigenden Handlung erfolgen. Eine Einwilligung ist aber nach § 25 Abs. 2 TDDDG nicht erforderlich, wenn die Cookies (nur Session- oder funktionelle, keine Performance-Cookies) allein der Durchführung der Übertragung einer Nachricht dienen, oder wenn sie unbedingt erforderlich sind, um einen ausdrücklich gewünschten digitalen Diensten von einem Anbieter zu erhalten (ausführlich RN 88 bis 101 zu Art. 7 DSGVO bei Bergmann/Möhrle/Herb^[2]).

Unabhängige PIMS-Dienste (Personal Information Management Systems) zur Verwaltung von Einwilligungen sind zulässig, wenn sie kein eigenes wirtschaftliches Interesse an der Erteilung der Einwilligung und an den verwalteten Daten haben. Sie müssen ein Sicherheitskonzept vorlegen. Voraussetzung ist ihre Anerkennung durch eine unabhängige Stelle. Die genauen Anforderungen und technischen Anwendungen für PIMS-Dienste sowie das Verfahren zur Anerkennung und die notwendigen technischen und organisatorischen Maßnahmen werden nicht direkt im TDDDG festgelegt, sondern bedürfen einer weiteren von der Bundesregierung zu erlassenden Verordnung.^[3]

Strafen und Bußgelder für Verstöße entsprechen weitgehend den seitherigen Vorschriften des TKG. Wesentliche Änderungen betreffen Spionagegeräte. Deren Besitz ist jetzt nicht mehr strafbar, sondern nur noch deren Herstellung und Auf-den-Markt-Bringen. Der Bußgeldkatalog orientiert sich am Bußgeldrahmen des TKG und an den Vorgaben des Ordnungswidrigkeitengesetzes. Für die unerlaubte Unterdrückung der Rufnummer bei Werbeanrufen wird der Bußgeldrahmen von bisher 100.000 Euro auf 300.000 Euro kräftig angehoben. Er entspricht jetzt demjenigen für unzulässige Werbeanrufe im Gesetz gegen den unlauteren Wettbewerb (UWG).

Der Bundesbeauftragte für den Datenschutz (BfDI) ist zuständig für die Datenschutzaufsicht für Telekommunikationsdienste. Das betrifft nicht nur Daten von natürlichen, sondern im Unterschied zum Bundesdatenschutzgesetz auch von juristischen Personen. Ebenso beaufsichtigt der BfDI Anbieter von Telekommunikationsdienstleistungen in Bezug auf die Speicherung und Nutzung von Cookies. Die Bundesnetzagentur ist zuständig für die Aufsicht über Telekommunikationsdienstleister, soweit es sich nicht um die Verarbeitung von Daten handelt, also zum Beispiel das Abhörverbot oder Maßnahmen zum Schutz von TK-Einrichtungen vor Missbrauch. Die Aufsicht über Anbieter von digitalen Diensten erfolgt durch die Datenschutzaufsichtsbehörden der Länder.

Das TDDDG soll die seitherigen Datenschutzbestimmungen des TKG und des TMG an die DSGVO anpassen. Insbesondere regelt es die Datenschutzaufsicht. Entsprechend dem spezialgesetzlichen Verhältnis der E-Privacy-Richtlinie zur DSGVO gelten die Bestimmungen der DSGVO zur Verarbeitung von Verkehrsdaten und Standortdaten nur, soweit das TDDDG nichts anderes bestimmt.

Zudem enthält das TDDDG die Anpassung der Datenschutzbestimmungen für digitale Dienste an die DSGVO, die bisher in den §§ 11 bis 15d des TMG enthalten waren. Es enthält die Bestimmungen zum Datenschutz bei digitalen Diensten, die nicht durch die DSGVO verdrängt werden. Dazu gehören die Vorgabe bestimmter technischer und organisatorischer Vorkehrungen, die Regelung der Verarbeitung personenbezogener Daten Minderjähriger sowie Vorgaben zur Auskunftserteilung und zu Auskunftsverfahren durch Diensteanbieter.

Bezüglich der Frage, ob Webseitenbetreiber über Cookies hinreichend informieren und ob die Einwilligung wirksam erteilt wurde, gelten die Anforderungen der DSGVO.

Das TDDDG setzt die Datenschutzrichtlinie für elektronische Kommunikation (E-Privacy-Richtlinie) um. Dabei regelt es in § 25 TDDDG auch den Schutz der Privatsphäre bei Endeinrichtungen (Artikel 5 Absatz 3 der E-Privacy-Richtlinie) und setzt somit auch das Einwilligungserfordernis der so genannten Cookie-Richtlinie von 2009 um.

Die Europäische Kommission hat am 16. Januar 2017 einen Vorschlag für eine E-Privacy-Verordnung^[4] vorgelegt. Diese wird die seitherige Richtlinie ablösen und dann unmittelbar geltendes Recht sein. Das Parlament hat am 26. Oktober 2017 seinen Standpunkt für den Trilog beschlossen, aber der EU-Ministerrat einigte sich erst am 10. Februar 2021 auf eine Version für die jetzt folgenden Trilog-Verhandlungen.^[5] Das TDDDG muss dann in den Teilen angepasst werden, die durch die E-Privacy-Verordnung unmittelbar geregelt sind.

Die Richtlinie (EU) 2018/1972 vom 11. Dezember 2018 über den Europäischen Kodex für die elektronische Kommunikation (EKEK) setzt einen EU-weit harmonisierten Rahmen für die Regulierung elektronischer Kommunikationsnetze und -dienste, zugehöriger Einrichtungen und bestimmter Aspekte der Endeinrichtungen. Der EKEK legt fest, dass nicht nur die klassischen Telekommunikationsdienste, sondern auch die Over-the-Top-Dienste (OTT-Dienste) als nummernunabhängige inter-personelle Kommunikationsdienste der E-Privacy-Richtlinie und somit dem TDDDG unterliegen.^[6] OTT-Dienste sind z. B. Voice-over-IP-Telefonie, Instant-Messaging oder webgestützte E-Mail-Dienste.

Im EU-Kontext wird der Begriff „elektronische Kommunikation“ verwendet. Für die deutschen Gesetze wird der Begriff „Telekommunikation“ beibehalten. Beide Begriffe sind inhaltsgleich.^[7]

Vorgänger mit ähnlichem Regelungsgehalt war für den Bereich Telekommunikation die TELEKOM-Datenschutzverordnung (TDSV) (BGBl. 1991 I S. 1390), die für den damaligen Monopol-Anbieter Deutsche Bundespost TELEKOM galt. 1996 wurde sie von der Telekommunikationsdienstunternehmen-Datenschutzverordnung (TDSV) abgelöst (BGBl. 1996 I S. 982), die den Datenschutz bei den Telekommunikationsanbietern im jetzt liberalisierten Markt regelte. Sie wurde zum 21. Dezember 2000 durch die Telekommunikations-Datenschutzverordnung ersetzt. Von 2004 bis zum 1. Dezember 2021 war der Datenschutz im Telekommunikationsbereich zusammen mit dem Fernmeldegeheimnis in den §§ 88–107 des Telekommunikationsgesetzes (TKG) geregelt.

Für den Bereich Telemedien regelte seit 1997 das Teledienstedatenschutzgesetz (TDDSG) den Datenschutz der Nutzer von Telediensten. Es wurde am 1. März 2007 durch das Telemediengesetz (TMG) abgelöst, das seither in einem eigenen Abschnitt (§§ 11–15d TMG) den Telemediendatenschutz regelt.

Im Juli 2020 wurde ein TDDDG-Entwurf aus dem Bundeswirtschaftsministerium mit Stand vom 14. Juli 2020^[8] geleakt. Den zwischen den Ministerien abgestimmten offiziellen Referentenentwurf veröffentlichte das Bundesministerium für Wirtschaft und Energie am 12. Januar 2021 und leitete die Verbändeanhörung ein. Bis zum 22. Januar 2021 wurden 31 Stellungnahmen abgegeben.^[9] Das Bundeskabinett beschloss den Entwurf des Gesetzes am 10. Februar 2021.^[10] Er wurde am 12. Februar 2021 als Artikel 1 des Gesetzes zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien in den Bundesrat unter BR-Drucksache 163/21^[11] und am 9. März 2021 unter BT-Drucksache 19/27441^[12] in den Bundestag eingebracht. Der Bundesrat beschloss seine Stellungnahme^[13] in der 1002. Sitzung am 26. März 2021. Ebenfalls am 26. März 2021 überwies der Bundestag das Gesetz nach seiner Ersten Lesung an die Ausschüsse für Wirtschaft und Energie (federführend), Inneres und Heimat, Recht und Verbraucherschutz, Verkehr und digitale Infrastruktur, Kultur und Medien und Digitale Agenda.

Das Gesetz wurde vom Bundestag am 20. Mai 2021 in zweiter und dritter Lesung mit den Stimmen der Fraktionen von SPD und CDU/CSU verabschiedet.^[14] Nach der Zustimmung des Bundesrats und der Unterzeichnung durch den Bundespräsidenten wurde es am 28. Juni 2021 im Bundesgesetzblatt 35/2021 verkündet. Es tritt am 1. Dezember 2021 gleichzeitig mit der Neufassung des Telekommunikationsgesetzes vom 23. Juni 2021 in Kraft.

Zentraler Kritikpunkt war in der Debatte im Bundestag zur 1. Lesung am 25. März 2021 die Bestandsdatenauskunft. Die FDP sah die Regelung zur Herausgabe von Passwörtern kritisch. Die Linke kritisierte, dass nicht nur die Anbieter von Telemediendiensten, sondern auch wer an der Erbringung mitwirkt oder wer einen Nutzungszugang vermittelt, z. B. Krankenhäuser und Cafés, Nutzerdaten herausgeben müssen.

Ein weiterer Punkt war in der Aussprache die Neuregelung zu den Cookies. Sie reiche nicht aus, um das ständige Wegklicken von Cookiewarnungen zu verhindern. Gewünscht würden pauschale Entscheidungen pro oder kontra Tracking zum Beispiel mittels Do-not-track-Funktionen im Browser oder in Apps. Die Grünen bekräftigten zudem, dass Regelungen zum digitalen Nachlass in Telemediendiensten dringend erforderlich seien.^[15]

Bekräftigt wurde die Kritik an der Praxis zur Einholung von Einwilligungen für Cookies und andere Tracking-Mechanismen. Der Anreiz, wegen der umständlichen Ausführungen und einem Labyrinth von Unterseiten den „Alle akzeptieren“-Button anzuklicken, werde nicht verhindert. Das Einwilligungsprinzip fördere auch soziale Ungleichheit: wer Privatsphäre will, der solle dafür zahlen.^[14]

1. ↑ Bundesgesetzblatt Teil I - Gesetz zur Durchführung der Verordnung (EU) 2022/2065 des Europäischen Parlaments und des Rates vom 19. Oktober 2022 über einen Binnenmarkt für digitale Dienste und zur Änderung der Richtlinie 2000/31/EG sowie zur Durchführung der Verordnung (EU) 2019/1150 des Europäischen Parlaments und des Rates vom 20. Juni 2019 zur Förderung von Fairness und Transparenz für gewerbliche Nutzer von Online-Vermittlungsdiensten und zur Änderung weiterer Gesetze - Bundesgesetzblatt. Abgerufen am 19. Mai 2024. 
2. ↑ Lutz Bergmann, Roland Möhrle, Armin Herb: Kommentar zum Datenschutzrecht. 65. Liefg. Januar 2024, Boorberg-Verlag, Stuttgart, ISBN 978-3-415-00616-4
3. ↑ Siehe § 26 Absatz 2 TDDDG.
4. ↑ EU-Kommission: Vorschlag für eine Verordnung des Europäischen Parlaments und des Rates über die Achtung des Privatlebens und den Schutz personenbezogener Daten in der elektronischen Kommunikation und zur Aufhebung der Richtlinie 2002/58/EG (Verordnung über Privatsphäre und elektronische Kommunikation) COM/2017/010 final , abgerufen am 21. April 2017. In: EUR-Lex. 10. Januar 2017.
5. ↑ Florian Dietrich, Reemt Matthiesen: EU-Ministerrat einigt sich auf Position zur ePrivacy-Verordnung. In: E-Privacy Newsletter. CMS Hasche Sigle Partnerschaft von Rechtsanwälten und Steuerberatern mbB, 9. März 2021, abgerufen am 21. April 2021. 
6. ↑ Bundesministerium für Wirtschaft und Energie: Gesetzentwurf Drucksache 19/27441: Telekommunikation-Telemedien-Datenschutz-Gesetz – TDDDG. (PDF) In: DIP. Bundestag, 9. März 2021, S. 33, abgerufen am 17. April 2021 (Vorbemerkungen zu den Begründungen zum TDDDG-E). 
7. ↑ Bundesministerium für Wirtschaft und Energie: Gesetzentwurf Drucksache 19/26108: Telekommunikationsmodernisierungsgesetz. (PDF) In: DIP. Bundestag, 25. Januar 2021, S. 226, abgerufen am 19. April 2021 (in der Begründung zu § 1 TKG-E). 
8. ↑ Stefan Krempl: Geleakter TDDDG-Entwurf vom 14. Juli 2020. Heise online, 3. August 2020, abgerufen am 20. April 2021. 
9. ↑ Bundesministerium für Wirtschaft und Energie: Stellungnahmen zum Referentenentwurf eines Gesetzes zur Regelung des Datenschutzes und des Schutzes der Privatsphäre in der Telekommunikation und bei Telemedien. Januar 2021, abgerufen am 15. April 2021. 
10. ↑ Bundesministerium für Wirtschaft und Energie: Kabinettsbeschluss. 10. Februar 2021, abgerufen am 20. April 2021. 
11. ↑ Bundesministerium für Wirtschaft und Energie: Drucksache 163/21. (PDF) In: DIP. Bundestag, 12. Februar 2021, abgerufen am 20. April 2021. 
12. ↑ BT-Drs. 19/27441
13. ↑ Bundesrat: Drucksache 0163/21(B). (PDF) In: DIP. Bundestag, 26. März 2021, abgerufen am 20. April 2021. 
14. ↑ ^{a b} Deutscher Bundestag: Stenografischer Bericht 230. Sitzung. (PDF) In: Plenarprotokoll 19/230, TOP 16 a. DIP, 20. Mai 2021, S. 29431–29438, abgerufen am 8. Juli 2021. 
15. ↑ Deutscher Bundestag: Stenografischer Bericht 218. Sitzung. (PDF) In: Plenarprotokoll 19/218, TOP 13. DIP, 25. März 2021, S. 27632–27636 + 27696, abgerufen am 12. April 2021.