Kurz gesagt: Seit dem 17. Oktober 2025 gibt es erstmals einen von der Bundesbeauftragten für den Datenschutz (BfDI) anerkannten Dienst zur Einwilligungsverwaltung nach § 26 TDDDG. Für die meisten Website-Betreiber ändert das aktuell nichts Verpflichtendes – der eigene Cookie-Banner bleibt Pflicht nach § 25 TDDDG. Aber das lange rein theoretische Konzept „PIMS" (Personal Information Management System) ist damit erstmals real. Im Detail:
Was ist ein „anerkannter Dienst zur Einwilligungsverwaltung"?
§ 26 TDDDG beschreibt Dienste, bei denen Nutzer:innen ihre nach § 25 Abs. 1 TDDDG erteilten Cookie-Einwilligungen zentral verwalten können – statt auf jeder einzelnen Website neu zu entscheiden. Damit ein Anbieter als „anerkannt" gilt, muss er laut § 26 Abs. 1 TDDDG vier Bedingungen erfüllen:
- nutzerfreundliche und wettbewerbskonforme Verfahren zur Einholung und Verwaltung der Einwilligung,
- kein wirtschaftliches Eigeninteresse an der Einwilligung selbst oder an den verwalteten Daten – und Unabhängigkeit von Unternehmen mit einem solchen Interesse,
- keine Verarbeitung der Daten für andere Zwecke als die Einwilligungsverwaltung,
- ein geprüftes Sicherheitskonzept, das DSGVO-konforme technische und organisatorische Maßnahmen belegt.
Wer diese vier Punkte erfüllt, kann sich von der zuständigen unabhängigen Stelle anerkennen lassen (§ 26 Abs. 1 TDDDG). Welche Stelle das im Einzelnen ist und wie das Verfahren genau abläuft, legt eine Rechtsverordnung der Bundesregierung fest (§ 26 Abs. 2 TDDDG).
Der Sinn dieser vier Bedingungen liegt auf der Hand: Wer selbst wirtschaftlich von möglichst vielen erteilten Einwilligungen profitiert, sollte nicht gleichzeitig darüber entscheiden, wie diese eingeholt werden. Die Unabhängigkeitsanforderung (Nr. 2) und die Zweckbindung (Nr. 3) sollen genau diesen Interessenkonflikt ausschließen. Das geprüfte Sicherheitskonzept (Nr. 4) stellt sicher, dass ein zentraler Dienst – der potenziell die Einwilligungspräferenzen vieler Nutzer:innen über viele Websites hinweg bündelt – nicht selbst zum Datenschutzrisiko wird.
Gibt es einen solchen Dienst schon wirklich?
Ja. Nach Recherchestand hat die BfDI am 17. Oktober 2025 mit „Consenter" (Law & Innovation Technology GmbH) den ersten Dienst nach § 26 TDDDG offiziell anerkannt. Dieser Fakt stammt aus WebSearch-Quellen (Fachpresse, u. a. eine Kanzleimeldung), nicht aus dem MCP-Gesetzeskorpus – der Text der zugrunde liegenden Rechtsverordnung selbst ist dort nicht hinterlegt, weil sie kein eigenständiges der 25 im Korpus geführten Gesetze ist. Der Gesetzestext von § 26 TDDDG ist über MCP geprüft; das konkrete Anerkennungsdatum und der Dienstname sind es nicht.
Ändert sich dadurch etwas für meine Website?
Rechtlich: noch nicht verpflichtend. § 26 TDDDG schreibt Website-Betreibern keine Pflicht vor, einen anerkannten Dienst einzubinden. Die Norm regelt das Anerkennungsverfahren für die Dienste selbst – nicht unmittelbar Ihre Pflichten als Websitebetreiber. Ihre bestehende Cookie-Consent-Pflicht aus § 25 Abs. 1 TDDDG bleibt davon unberührt.
Was sich langfristig ändern kann: § 26 Abs. 2 Nr. 3 Buchst. b TDDDG sieht vor, dass Anbieter digitaler Dienste bei der Verwaltung von Einwilligungen die Einbindung anerkannter Dienste „berücksichtigen" sollen. Wie konkret diese Berücksichtigungspflicht technisch aussehen wird, regelt die Rechtsverordnung im Detail – deren vollständiger Text liegt außerhalb des hier verifizierten Gesetzeskorpus und wurde nicht im Detail geprüft (Einordnung: vermute, nicht MCP-bestätigt).
PIMS-Dienst vs. klassischer Cookie-Banner
| Cookie-Banner (§ 25 TDDDG) | PIMS-Dienst (§ 26 TDDDG) | |
|---|---|---|
| Pflicht? | Ja, für jede Website mit nicht notwendigen Cookies | Nein – freiwillige Ergänzung |
| Wo wird entschieden? | Pro Website einzeln | Zentral, geräteübergreifend beim Dienst |
| Wer bietet es an? | Jeder CMP-Anbieter (Cookiebot, Usercentrics, Consentmanager, CCM19, Eigenlösung) | Nur von der BfDI anerkannte, wirtschaftlich unabhängige Anbieter |
| Marktstand 08/2026 | Etablierter Standard | Ein anerkannter Dienst am Markt |
Was tun als Website-Betreiber?
Aktuell: nichts Akutes. Ihre Pflicht bleibt der rechtskonforme Cookie-Banner nach § 25 TDDDG – daran ändert die Anerkennung eines einzelnen PIMS-Dienstes nichts. Sinnvoll ist trotzdem, die Entwicklung im Blick zu behalten:
- Beobachten, nicht handeln. Es gibt aktuell keine Pflicht, einen anerkannten Dienst wie „Consenter" einzubinden oder zu unterstützen.
- CMP-Anbieter im Blick behalten. Tritt Ihr bestehender Cookie-Banner-Anbieter künftig selbst als anerkannter Dienst auf oder kooperiert mit einem, kann sich das auf die technische Anbindung auswirken – Ihre rechtliche Pflicht bleibt davon unberührt.
- Rechtsverordnung im Auge behalten. Wird das „Berücksichtigen" anerkannter Dienste aus § 26 Abs. 2 Nr. 3 Buchst. b TDDDG künftig konkretisiert, kann das perspektivisch neue technische Anforderungen an Ihre Consent-Lösung bedeuten.
Ein akuter Handlungsbedarf besteht daraus heute nicht.
Prüfe in 2 Minuten, ob deine Website beim Cookie-Consent bereits sauber aufgestellt ist – kostenlos: dsgvo.pro.
Häufige Fragen
Muss ich als Website-Betreiber jetzt einen PIMS-Dienst einbinden?
Nein. § 26 TDDDG regelt das Anerkennungsverfahren für Einwilligungsverwaltungsdienste, schreibt Website-Betreibern aber keine unmittelbare Einbindungspflicht vor. Ihre Pflicht bleibt der Cookie-Banner nach § 25 Abs. 1 TDDDG.
Was unterscheidet einen anerkannten Dienst von einem gewöhnlichen Cookie-Banner-Anbieter?
Ein anerkannter Dienst nach § 26 Abs. 1 TDDDG darf kein wirtschaftliches Eigeninteresse an den verwalteten Einwilligungen haben und muss unabhängig von Unternehmen mit einem solchen Interesse sein. Ein gewöhnlicher CMP-Anbieter unterliegt dieser Anforderung nicht.
Gibt es schon einen anerkannten Dienst?
Nach Recherchestand ja: Die BfDI hat am 17. Oktober 2025 erstmals einen Dienst namens „Consenter" nach § 26 TDDDG anerkannt (Quelle: Fachpresse, nicht MCP-Gesetzeskorpus).
Ersetzt ein anerkannter Dienst meinen Cookie-Banner?
Nein, er ergänzt ihn. Die Grundpflicht zur Einwilligung nach § 25 Abs. 1 TDDDG besteht unabhängig davon, ob ein Endnutzer diese über einen zentralen Dienst oder direkt auf Ihrer Website erteilt.
Was regelt die Rechtsverordnung nach § 26 Abs. 2 TDDDG genau?
Sie legt Anforderungen an das Anerkennungsverfahren, das Sicherheitskonzept der Dienste sowie technische und organisatorische Maßnahmen fest – etwa wie Software Endnutzereinstellungen befolgen und anerkannte Dienste einbinden soll. Der vollständige Verordnungstext liegt außerhalb des hier verifizierten Gesetzeskorpus.
Mehr zum Gesetzestext: TDDDG im Volltext.
