DSGVO: wat het betekent voor je website, cookies en tracking

DSGVO, AVG en GDPR zijn drie namen voor dezelfde EU-verordening. [1] Wie in Nederland de AVG op orde heeft, heeft dus al veel geregeld. Wat verschilt bij een website voor Duitse bezoekers, is vooral de handhaving: toezicht per deelstaat, concurrenten die je kunnen aanspreken en de Duitse cookieregels in het TDDDG. [2] [3] [4] Deze pagina hoort bij ons overzicht van ondernemen in Duitsland; hoe wij Duitse campagnes opzetten en meten, lees je bij online marketing voor Duitsland.

Deze pagina is informatie, geen juridisch advies. Peildatum: 30 september 2026.

Wat is de DSGVO?

De DSGVO is geen aparte Duitse privacywet, maar de Duitse naam voor dezelfde EU-verordening die in Nederland AVG en in het Engels GDPR heet. De toepasselijkheid hangt af van je vestiging, doelgroep en monitoring van personen in de EU. [1]

Verordening (EU) 2016/679 beschermt natuurlijke personen bij de verwerking van persoonsgegevens en regelt het vrije verkeer van persoonsgegevens binnen de EU. De verordening geldt sinds 25 mei 2018. Artikel 3 bepaalt wanneer de AVG territoriaal van toepassing is, bijvoorbeeld bij een EU-vestiging of bij het aanbieden van goederen of diensten aan personen in de EU. [1]

Tabel: de begrippen die je op Duitse websites en in privacydocumenten tegenkomt.

De DSK noemt op websites onder meer IP-adressen, cookie-ID's, accountgegevens en formulierinvoer als relevante gegevens. Duitsland vult de AVG onder meer aan via het BDSG. § 38 BDSG kan onder voorwaarden leiden tot een verplichting voor een functionaris voor gegevensbescherming. [3] [4]

DSGVO en AVG: dezelfde wet, wat is in Duitsland anders?

DSGVO en AVG zijn dezelfde verordening, maar de praktijk verschilt door Duits toezicht, nationale aanvullingen en een mogelijke concurrentierechtelijke route. Welke toezichthouder leidt, hangt af van hoofdvestiging, besluitvorming en de concrete grensoverschrijdende verwerking. [1]

Bij grensoverschrijdende verwerking is de toezichthouder van de hoofdvestiging in beginsel de leidende toezichthouder. Beslis je vanuit een Nederlandse hoofdvestiging over doelen en middelen, dan is dat in beginsel de Autoriteit Persoonsgegevens. Duitse toezichthouders kunnen betrokken zijn als personen in Duitsland wezenlijk worden geraakt of daar een klacht ontstaat. Artikel 60 AVG regelt de samenwerking. [1]

Duitsland heeft deelstaatautoriteiten. De BfDI heeft taken voor federale publieke instanties en voor telecom en post. De DSK is het samenwerkingsorgaan van toezichthouders van de bond en deelstaten, geen centrale Duitse privacyautoriteit. [3] [4]

Het Hof van Justitie oordeelde op 4 oktober 2024 in C-21/23 dat de AVG zich niet verzet tegen nationale regels waarmee concurrenten een vermeende AVG-schending via het concurrentierecht kunnen aanpakken. §§ 3a en 8 UWG beschrijven die mogelijke route. Dat betekent niet dat iedere privacyfout automatisch leidt tot een succesvolle vordering of Abmahnung. [5] [6]

Er is een rem op de kosten: concurrenten kunnen bij AVG-schendingen door bedrijven met doorgaans minder dan 250 medewerkers hun Abmahnkosten niet op je verhalen (§ 13 lid 4 nr. 2 UWG). Een vordering om de overtreding te staken blijft wel mogelijk. [7] Wat een Abmahnung is en wat je doet als je er een krijgt, lees je bij de Abmahnung-uitleg op onze Impressum-pagina.

Schakel voor jouw situatie een advocaat in die Duits recht kent. Duitse Partners helpt met taal en marktkennis en kan je de weg wijzen naar zulke kantoren. Juridisch advies geven wij geen van beiden.

Cookies en de cookiebanner onder § 25 TDDDG

§ 25 TDDDG vereist in beginsel voorafgaande toestemming voor opslag of uitlezing op een apparaat, behalve bij 2 uitzonderingen. De uitkomst hangt af van de techniek, de noodzakelijkheid en de dienst die de bezoeker uitdrukkelijk vraagt. [8]

De eerste stap gaat over het apparaat. Cookies, local storage en vergelijkbare technieken kunnen onder § 25 TDDDG vallen, ook als de opgeslagen informatie geen persoonsgegeven is. De tweede stap gaat over de verdere verwerking van persoonsgegevens onder de AVG. [4]

Tabel: toets eerst de technische handeling en daarna de persoonsgegevens.

De 2 uitzonderingen zijn noodzakelijk transport van een bericht via een openbaar telecomnetwerk en strikte noodzakelijkheid voor een uitdrukkelijk gewenste digitale dienst. [8]

Een vooraf aangevinkt vakje levert geen geldige cookietoestemming op, oordeelde het Hof van Justitie op 1 oktober 2019 in Planet49. Toestemming is vrij, specifiek, geïnformeerd en ondubbelzinnig. Je moet die keuze aantoonbaar maken en intrekken moet even eenvoudig zijn als geven. [1] [9]

Controleer op de eerste bannerlaag:

1. Benoem concrete doeleinden, eventuele profilering en gegevensverrijking.
2. Benoem doorgiften buiten de EER als die spelen.
3. Noem derden concreet. Een algemene verwijzing naar partners is onvoldoende.
4. Blokkeer toestemmingplichtige scripts en externe inhoud.
5. Blokkeer nooit toegang tot het Impressum of de Datenschutzerklärung. [4]

Een afwijsoptie hoeft niet in ieder ontwerp categorisch op laag één te staan. Moet iemand eerst met de banner interacteren om verder te gaan, of blokkeert de banner inhoud, dan kan die optie volgens de DSK wel nodig zijn. Staan accepteren en weigeren naast elkaar, dan moeten ze duidelijk en gelijkwaardig zijn. [4]

Hoe werken toestemming en Google Consent Mode?

Consent Mode v2 laat Google-tags reageren op 4 consent-signalen, maar levert zelf geen cookiebanner of rechtsgeldige toestemming. De gegevensstroom hangt af van Basic of Advanced Mode, de standaardstatus en je tagconfiguratie. [10] [11]

De 4 signalen zijn ad_storage, analytics_storage, ad_user_data en ad_personalization. Ze gaan respectievelijk over advertentieopslag, analytics-opslag, gebruikersgegevens voor advertenties en gepersonaliseerde advertenties. [12]

Tabel: Basic en Advanced Consent Mode volgens Google, stand 30 september 2026.

Basic stuurt vóór toestemming geen data of consentstatus naar Google. Advanced kan vóór toestemming beperkte cookieloze metingen sturen. [10]

Daaruit volgt niet dat zulke pings juridisch altijd zijn toegestaan. Laat de concrete gegevensstroom en inrichting juridisch beoordelen.

Google verlangt voor EER-verkeer consent-signalen voor relevante advertentie- en meetdoeleinden. Die eis is een platformvoorwaarde en staat los van je beoordeling onder AVG en TDDDG. [13] [14]

Google Analytics, Google Ads en de Meta-pixel: wat zeggen toezichthouders?

Google Analytics, Google Ads en de Meta-pixel zijn niet zonder context toegestaan of verboden. De beoordeling hangt af van toestemming, gegevensstromen, rollen, contracten, transparantie, configuratie en doorgiften buiten de EER.

In 2022 stelden toezichthouders in Frankrijk en Oostenrijk vast dat een concrete Google Analytics-inrichting persoonsgegevens onrechtmatig naar de Verenigde Staten doorgaf. [15] [16] Die besluiten gingen over het toenmalige doorgiftekader; je kunt ze niet zonder meer op een huidige inrichting toepassen.

Het EU-VS Data Privacy Framework kwam op 10 juli 2023 tot stand. Het Gerecht verwierp op 3 september 2025 een vordering tegen dat adequaatheidsbesluit. Zaak C-703/25 P was op 30 september 2026 nog aanhangig. Controleer vóór publicatie de status van die zaak en de certificering van de concrete Amerikaanse ontvanger. [17] [18] [19]

Tabel: controlepunten voor tracking en externe inhoud.

Artikel 28 AVG vraagt om voldoende garanties en een contractuele regeling met verwerkers. Artikelen 44 tot en met 49 AVG regelen doorgiften naar derde landen. [1]

Fashion ID ging over een Facebook Like-plug-in. Het Hof oordeelde dat een websitebeheerder samen met Facebook verantwoordelijk kan zijn voor verzameling en doorgifte door die inbedding. Het arrest is geen uitspraak over iedere huidige Meta-pixel. [20]

Wat moet er in de Datenschutzerklärung staan?

Voor de Datenschutzerklärung controleer je de 12 informatiecategorieën uit artikel 13 lid 1 en 2 AVG en werk je uit welke daarvan van toepassing zijn. De taal en detaillering hangen af van je doelgroep, gegevensbron en werkelijke verwerkingen. [1]

Artikel 12 AVG vraagt om beknopte, transparante, begrijpelijke en makkelijk toegankelijke informatie in duidelijke en eenvoudige taal. Richt je je op een Duitstalige doelgroep, laat dan beoordelen of een Duitse versie nodig is om de informatie werkelijk begrijpelijk en toegankelijk te maken. [1] [21]

Tabel: controleer welke van de 6 plus 6 informatiecategorieën in je Datenschutzerklärung van toepassing zijn.

Artikel 14 AVG kan aanvullend relevant zijn als je persoonsgegevens niet rechtstreeks bij de bezoeker krijgt. Laat juridische teksten opstellen of controleren door een jurist. Verkoop je via een webshop, lees dan ook wat er verder anders is bij een Duitse webshop starten. Duitse Partners kan helpen met de Duitse tekst voor je Datenschutzerklärung en cookiebanner, maar geeft geen juridisch advies. [1]

Hoe meet MarketingBuddy campagnes met toestemming?

MarketingBuddy richt campagnes voor Duitsland zo in dat tags pas na toestemming meten, gebruikt een Duitstalige cookiebanner en Consent Mode, en maakt zichtbaar welk deel van conversies mogelijk niet rechtstreeks wordt waargenomen. De inrichting hangt af van kanalen, gekozen Consent Mode en verleende toestemming.

We onderscheiden rechtstreeks gemeten conversies, gemodelleerde conversies en conversies die niet zichtbaar zijn in de gebruikte meetomgeving. We presenteren die categorieën zonder verzonnen percentages.

Bekijk hoe dit past bij online adverteren in Duitsland. Juridische teksten laat je opstellen of controleren door een jurist. Duitse Partners helpt met de Duitse taal en marktcontext.

Welke checklist gebruik je voor je Duitse website?

Controleer 12 onderdelen voor je Duitse website. Welke aanvullende beoordeling nodig is, hangt af van technieken, leveranciers en bedrijfsstructuur.

1. Breng cookies, local storage, tags, formulieren en externe inhoud in kaart.
2. Toets opslag en uitlezing eerst aan § 25 TDDDG.
3. Toets verdere verwerking van persoonsgegevens daarna aan de AVG.
4. Blokkeer toestemmingplichtige scripts totdat toestemming is gegeven.
5. Controleer de eerste bannerlaag op doeleinden, derden, doorgiften en gelijkwaardige keuzes waar het ontwerp dat vraagt.
6. Zorg dat het Impressum en de Datenschutzerklärung niet door de banner worden geblokkeerd.
7. Maak intrekken van toestemming even eenvoudig als geven.
8. Controleer alle 12 informatiecategorieën uit artikel 13 lid 1 en 2 AVG en werk de toepasselijke categorieën uit.
9. Controleer verwerkersafspraken, rollen en internationale doorgiften.
10. Controleer de DPF-certificering van relevante Amerikaanse ontvangers.
11. Gebruik TDDDG en DDG als actuele wetsnamen, niet TTDSG en TMG.
12. Laat juridische teksten en twijfelgevallen beoordelen door een advocaat die Duits recht kent. [1] [8] [22] [4]

Bronnen

• Verordening (EU) 2016/679
• Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, § 1
• Bundesdatenschutzgesetz
• DSK Orientierungshilfe Digitale Dienste, versie 1.2
• Hof van Justitie, C-21/23
• Gesetz gegen den unlauteren Wettbewerb
• § 13 UWG
• Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, § 25
• Hof van Justitie, C-673/17, Planet49
• Google Consent Mode concepts
• Google Consent Mode, server-side
• Google Consent Mode implementation
• Google EER-consenteisen
• Google Ads, EER-consenteisen
• EDPB, samenvatting Google Analytics-besluit
• EDPB, samenvatting Oostenrijks Google Analytics-besluit
• Uitvoeringsbesluit (EU) 2023/1795
• Gerecht, T-553/23
• Hof van Justitie, C-703/25 P
• Hof van Justitie, C-40/17, Fashion ID
• WP260 rev.01
• Digitale-Dienste-Gesetz