Transparency & Consent Framework (TCF) nicht DSGVO-konform: Real-Time Bidding vor Aus?

May 16, 2025

Kategorien:

Datenschutz in Europa

Das belgische Berufungsgericht Marktenhof hat das Transparenz- und Einwilligungs-Management-System (Transparency & Consent Framework, TCF) des Online-Werbebranchenverbands IAB Europe für rechtswidrig erklärt. Damit folgt es einer Entscheidung der belgischen Datenschutzbehörde GBA (Gegevensbeschermingsautoriteit). Das Urteil dürfte in der EU Auswirkung auf die tracking-basierte Werbung haben.

"TC String" verstößt gegen DSGVO

In ihrer Entscheidung Nr. 21/2022 vom 2. Februar 2022 erklärte die Belgische Datenschutzbehörde (GBA), dass IAB Europe mit dem von ihr entwickelten TCF (Version 2.0) gegen wesentliche Vorschriften der DSGVO verstoßen habe. Im Zentrum stand die sogenannte „TC String”. Dabei handelt es sich um eine strukturierte Zeichenfolge, mit der Nutzerpräferenzen für personalisierte Werbung gespeichert werden. Die GBA stufte die TC String als personenbezogenes Daten ein und sah IAB Europe als (gemeinsam) Verantwortliche an. Sie verhängte eine Geldbuße in Höhe von 250.000 Euro und setzte eine Frist von zwei Monaten für einen DSGVO-konformen Aktionsplan.

Die Entscheidung wurde im Rahmen des One-Stop-Shop-Verfahrens mit Unterstützung anderer europäischer Aufsichtsbehörden getroffen und hatte europaweite Relevanz.

Gegen die Entscheidung der GBA legte die IAB Europe Berufung ein.

TCF-Entscheidung vor Berufungsgericht

In einer Zwischenverfügung (“tussenarrest”) bestätigte das zuständige Berufungsgericht “Marktenhof” in Brüssel zunächst die formelle Zulässigkeit der Berufung von IAB Europe. Eine Entscheidung in der Sache wurde zu diesem Zeitpunkt jedoch noch nicht getroffen.

Der Marktenhof setzte das Verfahren zunächst aus und setzte dem Europäischen Gerichtshof (EuGH) zwei Vorabentscheidungsfragen gemäß Art. 267 AEUV vor. Einerseits stellte das Berufungsgericht die Frage, ob die sogenannte „TC String“ – also eine strukturierte Zeichenfolge zur Speicherung von Einwilligungen und Ablehnungen der Nutzer – als personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO einzustufen ist. Andererseits wollte der Marktenhof klären, ob eine Organisation wie IAB Europe, die ein technisches Rahmenwerk zur Einwilligungsverwaltung standardisiert und vorgibt, als (gemeinsam) Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO anzusehen ist, obwohl sie selbst keine unmittelbare Kontrolle über die konkreten Verarbeitungsprozesse hat.

Mit dieser Vorlage sollte Rechtssicherheit für nationale Datenschutzaufsichtsbehörden und Marktteilnehmer geschaffen werden. Die datenschutzrechtliche Einordnung solcher branchenweiten Rahmenwerke wurde bisher weder auf europäischer Ebene noch durch die Rechtsprechung abschließend geklärt.

EuGH entscheidet über TC String und Verantwortlichkeit der IAB Europe

Mit Urteil vom März 2024 entschied der EuGH über die beiden ihm vom Marktenhof vorgelegten Fragen zur datenschutzrechtlichen Qualifikation der TC String sowie zur möglichen Verantwortlichkeit der IAB Europe.

TC Strings als personenbezogene Daten

Zunächst stellte der EuGH klar, dass TC Strings personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO darstellen. Maßgeblich hierfür ist, dass diese Zeichenfolge, die technisch betrachtet lediglich eine kodierte Präferenzinformation ist, durch Kombination mit anderen Daten wie der IP-Adresse, der Cookie-ID oder den Geräteinformationen mit einem bestimmten oder zumindest bestimmbaren Nutzer in Verbindung gebracht werden kann. Damit erfüllt sie die Kriterien der Identifizierbarkeit. Diese Auslegung entspricht einer weit gefassten Definition personenbezogener Daten, die auch pseudonyme und technisch vermittelte Informationen umfasst.

IAB Europe als (gemeinsam) Verantwortliche

Darüber hinaus entschied der EuGH, dass eine sektorale Organisation wie IAB Europe als (gemeinsam) Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO eingestuft werden kann. Der Gerichtshof betonte, dass es für die Einordnung als Verantwortlicher nicht erforderlich sei, dass die Organisation selbst unmittelbar personenbezogene Daten verarbeitet. Vielmehr sei entscheidend, ob sie durch die Definition von Mitteln und Zwecken der Verarbeitung maßgeblich Einfluss auf die Datenverarbeitungsvorgänge nehme.

Dies sei gegeben, da IAB Europe durch die Ausgestaltung, Standardisierung und Durchsetzung des Consent Frameworks die grundlegenden Parameter für die Verarbeitung der TC Strings vorgebe. Zudem koordiniert sie das Zusammenspiel zahlreicher Marktteilnehmer und hat damit eine lenkende und strukturierende Rolle im gesamten Ökosystem. Dass die IAB Europe selbst keine Werbeinhalte ausliefert oder individuelle Nutzerprofile erstellt, sei für die datenschutzrechtliche Verantwortlichkeit nicht ausschlaggebend.

Bedeutung des EuGH-Urteils

Diese Grundsatzentscheidung hat unmittelbare Auswirkungen auf alle Beteiligten des digitalen Werbemarkts sowie auf andere Sektoren, in denen brancheneinheitliche technische Standards zur Datenverarbeitung wie der TCF Anwendung finden. Insbesondere unterstreicht das Urteil, dass rechtliche Verantwortung nicht delegiert oder auf technische Neutralität reduziert werden kann, wenn eine Institution zentral in ein datenschutzrelevantes System eingreift.

IAB Europe als gemeinsam Verantwortlicher für TCF

Bestätigung der materiell-rechtlichen Auffassung

Auf Grundlage des EuGH-Urteils entschied der Marktenhof nun endgültig über die Berufung von IAB Europe. Zwar wurde die Entscheidung Nr. 21/2022 der GBA formell wegen Verfahrensfehlern aufgehoben, jedoch:

Wurden sämtliche materiell-rechtlichen Einschätzungen der GBA bestätigt.
Die Geldbuße von 250.000 Euro bleibt bestehen.
Der Gerichtshof bekräftigte, dass die TC Strings personenbezogene Daten darstellen.
IAB Europe wird weiterhin als gemeinsam Verantwortlicher für die Verarbeitung von Nutzerpräferenzen im Rahmen des TCF angesehen.

Klarstellung zur OpenRTB-Komponente

Der Marktenhof stellte jedoch auch klar, dass IAB Europe nicht als (Mit-)Verantwortlicher für jene Verarbeitungen gilt, die ausschließlich innerhalb des OpenRTB-Protokolls stattfinden. Hiermit wird eine Grenzziehung zwischen dem Standardisierungsrahmen des TCF und der praktischen Durchführung einzelner Echtzeitwerbeaktionen vorgenommen.

Lese-Tipp: EuGH stärkt Transparenz – Auskunfteien müssen Entscheidungsprozesse offenlegen

GDA-Entscheidung über TCF mit Auswirkung auf Real-Time Bidding

Die Entscheidung hat mehrere grundlegende Implikationen für die AdTech-Industrie und für sektorspezifische Standardisierungsorganisationen:

TC Strings als personenbezogene Daten: Marktteilnehmer müssen diese Daten künftig unter den Schutzbereich der DSGVO fassen und entsprechende Rechtsgrundlagen und Schutzmaßnahmen vorsehen.
Verantwortlichkeit sektoraler Organisationen: Organisationen wie IAB Europe, die Standards und technische Regeln setzen, können als datenschutzrechtlich verantwortlich gelten – selbst ohne direkten Zugriff auf oder Nutzung von personenbezogenen Daten.
Klarheit zur Rollenverteilung: Der Ausschluss der Verantwortlichkeit von IAB Europe für OpenRTB-Prozesse signalisiert, dass der Fokus auf den organisatorischen Einflussbereichen liegt, nicht auf der technischen Übertragung an sich.

Auch wenn das ursprüngliche GBA-Verfahren wegen formeller Mängel aufgehoben wurde, bestätigt der Marktenhof im Ergebnis vollständig die Rechtsauffassung der GBA und des EuGH. Sollten andere europäische Datenschutzbehörden diesem Urteil folgen, könnte sich das auf die Ausspielung personalisierte Werbung und dem geräteübergreifenden Tracking auswirken.Denn betroffen ist vor allem das „Real-Time Bidding“ (RTB), bei dem Werbeanzeigen in Echtzeit versteigert werden.

Die Tatsache, dass die TC Strings personenbezogene Daten darstellen und deren Erhebung sowie Weitergabe im Rahmen des TCF durch eine gemeinsame Verantwortung geregelt werden muss, legt nahe, dass viele RTB-Akteure ihre datenschutzrechtlichen Rollen und technischen Abläufe neu bewerten müssen. Besonders im Fokus stehen Fragen der Einwilligungswirksamkeit, Zweckbindung, Transparenz und Minimierung bei der automatisierten Auktionierung von Werbeplätzen. Das Urteil dürfte daher mittelbar zu einer Reform oder zumindest tiefgreifenden Anpassung von RTB-Prozessen führen – sowohl technisch als auch organisatorisch.

Die GBA kündigte bereits an, die Urteilsbegründung detailliert zu analysieren.

Quelle: Urteil des Marktenhofs vom 14.05.2025

Tags: