Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) enthält Regelungen zum Schutz personenbezogener Daten und der Privatsphäre bei Telekommunikationsdiensten und bei digitalen Diensten. Es trat zum Dezember 2021 zunächst unter dem Titel "Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG)" in KraftHintergründe und Zusammenfassung abrufbar via https://dip.bundestag.de/vorgang/gesetz-zur-regelung-des-datenschutzes-und-des-schutzes-der-privatsph%C3%A4re/273898 und wurde im Mai 2024 umbenannt in "Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz" mit "TDDDG" als neuer amtlicher AbkürzungÄnderung durch das - Hintergründe und Zusammenfassung abrufbar via https://dip.bundestag.de/vorgang/gesetz-zur-durchf%C3%BChrung-der-verordnung-eu-2022-2065-des-europ%C3%A4ischen-parlaments/307296. Diese Änderung im Titel, also die Ersetzung des Begriffs "Telemedien" durch "Digitale Dienste", geht auf die zwischenzeitlich auf EU-Ebene etablierte Bezeichnung Digital Services zurück.
Mit dem TTDSG wurden 2021 insbesondere spezifische Regelungen zum Datenschutzrecht an die bereits seit Mai 2018 geltende DSGVO angepasst und Regelungen zu sog. Cookies aus der E-Privacy-Richtlinie zum Schutz der Privatsphäre in Endeinrichtungen ausdrücklich umgesetzt, nachdem die Frist hierzu bereits im Mai 2011 abgelaufen war. Eine weitere wesentliche Neuerung war, dass im TTDSG Regelungen zusammengeführt wurden, die bis dahin auf das Telekommunikationsgesetz (TKG) und das Telemediengesetz (TMG) verteilt waren. Mit der Umbenennung zum TDDDG im Jahr 2024 wurden u. a. Anpassungen und Neuerungen aufgrund von EU-Regelungen im Bereich des sog. Digitalen Binnenmarkts bzw. der Digital Decade vorgenommen, insbesondere im Zusammenhang mit den Verordnungen zu Digitalen Diensten sowie zu Online-Plattformen und Suchmaschinen.
Regelungen Teil 1: Anwendungsbereich und Begriffe Das TDDDG regelt das Fernmeldegeheimnis und enthält Vorschriften für den Schutz von Nutzungsdaten, für die Rufnummernunterdrückung und -anzeige, für Endnutzerverzeichnisse, für den Schutz der Privatsphäre bei Cookies und für die Aufsichtsbehörden für Datenschutz und Schutz der Privatsphäre in der Telekommunikation. Die Bestimmungen zum Datenschutz bei digitalen Diensten ergänzen die DSGVO um die Vorgabe bestimmter technischer und organisatorischer Vorkehrungen, um die Regelung der Verarbeitung personenbezogener Daten von Minderjährigen sowie um Vorgaben zur Auskunftserteilung über Bestands- und Nutzungsdaten durch Diensteanbieter.
Das TDDDG verwendet die Begriffe des TKG, des Digitale-Dienste-Gesetz (DDG) und der DSGVO. Zusätzlich werden die sechs Begriffe „Anbieter von digitalen Diensten“, „Bestandsdaten“, „Nutzungsdaten“, „Nachricht“, „Dienst mit Zusatznutzen“ sowie „Endeinrichtung“ für den Anwendungsbereich des TDDDG legaldefiniert.
Teil 2: Datenschutz in der Telekommunikation
Fernmeldegeheimnis () Das Fernmeldegeheimnis schützt den Inhalt der Telekommunikation und ihre näheren Umstände, insbesondere wer an einem Telekommunikationsvorgang beteiligt ist oder war. Es umfasst auch erfolglose Verbindungsversuche. Zur Wahrung des Fernmeldegeheimnisses verpflichtet sind die Anbieter von öffentlich zugänglichen und von geschäftsmäßig angebotenen Telekommunikationsdiensten einschließlich mitwirkender Personen und die Betreiber der Netze und Anlagen. Die Verpflichteten dürfen weder sich noch anderen Kenntnis vom Inhalt oder von den näheren Umständen der Telekommunikation verschaffen. Eine Weitergabe an andere ist nur zulässig, soweit eine gesetzliche Vorschrift dies vorsieht.
Erben des Endnutzers () Erben, rechtliche Betreuer oder Bevollmächtigte können die Rechte des Endnutzers wahrnehmen. Das Fernmeldegeheimnis steht dem nicht entgegen.
Abhörverbot () Mit einer Funkanlage dürfen nur solche Nachrichten abgehört werden, die für den Betreiber der Funkanlage, für Funkamateure, für die Allgemeinheit oder für einen unbestimmten Personenkreis bestimmt sind. Der Inhalt anderer Nachrichten sowie die Tatsache ihres Empfangs dürfen anderen nicht mitgeteilt werden, auch wenn die Nachricht unbeabsichtigt empfangen wurde.
Nachrichtenübermittlung mit Zwischenspeicherung () Nachrichteninhalte wie Sprach-, Ton-, Text- oder Grafikmitteilungen dürfen nur aufgrund von Eingaben des Endnutzers verarbeitet werden. Der Anbieter muss die erforderlichen technischen und organisatorischen Maßnahmen treffen, um Fehlübermittlungen und unbefugte Zugriffe innerhalb des Unternehmens und durch Dritte auszuschließen.
Personalausweis () Bei der Beantragung eines Telekommunikationsanschlusses kann der Anbieter die Vorlage eines amtlichen Ausweises verlangen und eine Kopie fertigen, die er nach Feststellung der Endnutzerdaten zu löschen hat. Wird eine Prepaidkarte verkauft, besteht sogar die Pflicht, die Personenfeststellung anhand eines Ausweises durchzuführen, () TKG.
Missbrauch von Telekommunikationsanlagen () Telekommunikationsanlagen, die geeignet und dazu bestimmt sind, jemand anderes heimlich abzuhören oder aufzunehmen, sind verboten. Ausnahmen können von den zuständigen obersten Bundes- oder Landesbehörden genehmigt werden, wenn es zum Beispiel aus Gründen der öffentlichen Sicherheit erforderlich ist.
Verkehrsdaten, Standortdaten () Verkehrsdaten (einschließlich Berechtigungskennungen, Kundenkartennummern oder bei mobilen Anschlüssen Standortdaten) dürfen nur für die Durchführung der Kommunikationsvorgänge und zur Entgeltabrechnung verwendet werden. Für die Entgeltabrechnung dürfen Daten bis zu sechs Monate nach Versendung der Rechnung gespeichert werden. Für die Abrechnung nicht erforderliche Daten sind unverzüglich zu löschen. Darüber hinaus gehende Verwendungen sind nur nach Einwilligung des Nutzers zulässig. Für Einzelverbindungsnachweise muss der Anschlussinhaber erklären, dass alle Haushaltsangehörigen informiert sind, in Betrieben und Behörden muss der Betriebsrat oder die Personalvertretung beteiligt werden. Für Dienste mit Zusatznutzen (z. B. Beratung hinsichtlich der billigsten Tarifpakete, Navigationshilfen, Handyortung, Verkehrsinformationen, Wettervorhersage oder touristische Informationen) dürfen Standortdaten nur in dem Umfang verarbeitet werden, der für den Dienst erforderlich ist, wenn sie anonymisiert wurden oder wenn der Nutzer eingewilligt hat.
Rufnummernanzeige und automatische Anrufweiterschaltung () Anrufende und angerufene Endnutzer müssen die Möglichkeit haben, die Rufnummernanzeige dauernd oder für jeden Anruf einzeln zu unterdrücken. Die Anzeige von Rufnummern darf bei Notrufnummern sowie bei Anschlüssen von Sicherheitsbehörden nicht ausgeschlossen werden.
Verzeichnisse () Jeder Anschlussinhaber kann sich mit seiner Rufnummer, seinem Namen und seiner Anschrift in öffentlich zugängliche Endnutzerverzeichnisse eintragen lassen. Er ist über weitere Nutzungsmöglichkeiten aufgrund der eingebetteten Suchfunktionen zu informieren. Er kann jederzeit verlangen, dass seine Angaben unentgeltlich eingetragen, gespeichert, berichtigt oder gelöscht werden. Die Anbieter müssen die Verzeichnisdaten anderen Unternehmen zur Bereitstellung von öffentlich zugänglichen Auskunftsdiensten oder von Endnutzerverzeichnissen bereitstellen. Sie dürfen dafür angemessene Entgelte verlangen.
Teil 3: Datenschutz bei digitalen Diensten
Technische und organisatorische Vorkehrungen () Anbieter von digitalen Diensten müssen durch technische und organisatorische Vorkehrungen sicherstellen, dass der Nutzer die Nutzung des Dienstes jederzeit beenden kann. Die Nutzung muss gegen Kenntnisnahme Dritter geschützt sein. Die Anbieter müssen Nutzung und Bezahlung anonym oder unter Pseudonym ermöglichen - kein Klarnamenszwang. Sie müssen durch technische und organisatorische Vorkehrungen ausschließen, dass jemand unerlaubt auf ihre technischen Einrichtungen zugreift. Sie müssen sicherstellen, dass ihre Einrichtungen gegen Verletzungen des Schutzes personenbezogener Daten und gegen Störungen gesichert sind. Die Vorkehrungen müssen den Stand der Technik berücksichtigen.
Daten Minderjähriger () Anbieter von digitalen Diensten dürfen personenbezogene Daten Minderjähriger, die sie aus Jugendschutzgründen zur Altersverifikation erhoben haben, nicht für kommerzielle Zwecke verarbeiten.
Auskunftserteilung () Anbieter von digitalen Diensten dürfen auf Anordnung der zuständigen Stellen im Einzelfall Auskunft über Bestandsdaten erteilen, soweit dies zur Durchsetzung der Rechte am geistigen Eigentum erforderlich ist. Dies gilt auch in Bezug auf die Durchsetzung zivilrechtlicher Ansprüche wegen der Verletzung absolut geschützter Rechte auf Grund bestimmter rechtswidriger Inhalte, sofern der Verletzte eine vorherige gerichtliche Anordnung erwirkt hat.
Anbieter von digitalen Diensten dürfen zur Erfüllung von Auskunftspflichten gegenüber Sicherheitsbehörden Bestandsdaten und Nutzungsdaten verwenden. Die in eine Auskunft aufzunehmenden Bestandsdaten dürfen auch anhand einer zu einem bestimmten Zeitpunkt zugewiesenen IP-Adresse bestimmt werden. Für die Auskunftserteilung muss der Anbieter von digitalen Diensten sämtliche unternehmensinterne Datenquellen berücksichtigen. Passwörter oder andere Zugriffsschutzdaten dürfen nur nach gerichtlicher Anordnung an Strafverfolgungsbehörden zum Zweck der Verfolgung besonders schwerer Straftaten oder an Sicherheitsbehörden zur Abwehr einer konkreten Gefahr für Leib, Leben oder Freiheit einer Person, für den Bestand des Bundes oder eines Landes gegeben werden. An andere öffentliche und nichtöffentliche Stellen dürfen diese Daten nicht übermittelt werden.
Datenschutz bei Endeinrichtungen, Cookies, Fingerprints etc. () Informationen dürfen nur gespeichert oder ausgelesen werden, wenn der Endnutzer eingewilligt hat (§ 25 Abs. 1 TDDDG). Für die Einwilligung gelten die Voraussetzungen der DSGVO (Art. 7 DSGVO). Die Einwilligung muss auf der Grundlage von klaren und umfassenden Informationen beruhen und mit einer eindeutigen bestätigenden Handlung erfolgen. Eine Einwilligung ist aber nach § 25 Abs. 2 TDDDG nicht erforderlich, wenn die Cookies (nur Session- oder funktionelle, keine Performance-Cookies) allein der Durchführung der Übertragung einer Nachricht dienen, oder wenn sie unbedingt erforderlich sind, um einen ausdrücklich gewünschten digitalen Diensten von einem Anbieter zu erhalten (ausführlich RN 88 bis 101 zu Art. 7 DSGVO bei Bergmann/Möhrle/HerbLutz Bergmann, Roland Möhrle, Armin Herb: Kommentar zum Datenschutzrecht. 65. Liefg. Januar 2024, Boorberg-Verlag, Stuttgart, ISBN 978-3-415-00616-4).
Dienste zur Einwilligungsverwaltung () Die Einwilligungsverwaltung ermöglicht es Endnutzern, ihre Einstellungen zu verwalten, also zu speichern, zu übermitteln und zu widerrufen ( Abs. 1 Nr. 2 der Einwilligungsverwaltungsverordnung). Ein Dienst zur Einwilligungsverwaltung kann eine informationstechnische Anwendung oder ein digitaler Dienst sein (auch Consent Management System [CMS] oder Personal Information Management System [PIMS]). Dienste zur Einwilligungsverwaltung sind zulässig, wenn sie nutzerfreundlich sind, kein eigenes wirtschaftliches Interesse an der Erteilung der Einwilligung und an den verwalteten Daten haben und unabhängig von Unternehmen sind, die ein solches Interesse haben können. Sie müssen ein Sicherheitskonzept vorlegen. Die Einwilligungsverwaltungsverordnung regelt in die Anforderungen, die ein Dienst zur Einwilligungsverwaltung erfüllen muss, um anerkannt zu werden, in das Verfahren für dessen Anerkennung durch den Bundesbeauftragten für den Datenschutz und in die technischen und organisatorischen Maßnahmen, die getroffen werden sollen. Der Endnutzer hat das Recht, jederzeit einfach zu einem anderen anerkannten Dienst zur Einwilligungsverwaltung zu wechseln ( der Einwilligungsverwaltungsverordnung).
Teil 4: Sanktionen und Aufsicht Sanktionen ()