{"id":37847,"date":"2025-05-16T13:25:51","date_gmt":"2025-05-16T13:25:51","guid":{"rendered":"https:\/\/2b-advice.com\/?p=37847"},"modified":"2025-06-02T07:45:07","modified_gmt":"2025-06-02T07:45:07","slug":"transparency-consent-framework-tcf-nicht-dsgvo-konform-real-time-bidding-vor-aus","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/de\/2025\/05\/16\/transparency-consent-framework-tcf-nicht-dsgvo-konform-real-time-bidding-vor-aus\/","title":{"rendered":"Transparency & Consent Framework (TCF) nicht DSGVO-konform: Real-Time Bidding vor Aus?"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Das belgische Berufungsgericht Marktenhof hat das Transparenz- und Einwilligungs-Management-System (Transparency & Consent Framework, TCF) des Online-Werbebranchenverbands IAB Europe f\u00fcr rechtswidrig erkl\u00e4rt. Damit folgt es einer Entscheidung der belgischen Datenschutzbeh\u00f6rde GBA (Gegevensbeschermingsautoriteit). Das Urteil d\u00fcrfte in der EU Auswirkung auf die tracking-basierte Werbung haben.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

\"TC String\" verst\u00f6\u00dft gegen DSGVO<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

In ihrer Entscheidung Nr. 21\/2022 vom 2. Februar 2022 erkl\u00e4rte die Belgische Datenschutzbeh\u00f6rde (GBA), dass IAB Europe mit dem von ihr entwickelten TCF (Version 2.0) gegen wesentliche Vorschriften der DSGVO versto\u00dfen habe. Im Zentrum stand die sogenannte \u201eTC String\u201d. Dabei handelt es sich um eine strukturierte Zeichenfolge, mit der Nutzerpr\u00e4ferenzen f\u00fcr personalisierte Werbung gespeichert werden. Die GBA stufte die TC String als personenbezogenes Daten ein und sah IAB Europe als (gemeinsam) Verantwortliche an. Sie verh\u00e4ngte eine Geldbu\u00dfe in H\u00f6he von 250.000 Euro und setzte eine Frist von zwei Monaten f\u00fcr einen DSGVO-konformen Aktionsplan.<\/p>

Die Entscheidung wurde im Rahmen des One-Stop-Shop-Verfahrens mit Unterst\u00fctzung anderer europ\u00e4ischer Aufsichtsbeh\u00f6rden getroffen und hatte europaweite Relevanz.<\/p>

Gegen die Entscheidung der GBA legte die IAB Europe Berufung ein.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

TCF-Entscheidung vor Berufungsgericht<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

In einer Zwischenverf\u00fcgung (“tussenarrest”) best\u00e4tigte das zust\u00e4ndige Berufungsgericht “Marktenhof” in Br\u00fcssel zun\u00e4chst die formelle Zul\u00e4ssigkeit der Berufung von IAB Europe. Eine Entscheidung in der Sache wurde zu diesem Zeitpunkt jedoch noch nicht getroffen.<\/p>

Der Marktenhof setzte das Verfahren zun\u00e4chst aus und setzte dem Europ\u00e4ischen Gerichtshof (EuGH) zwei Vorabentscheidungsfragen gem\u00e4\u00df Art. 267 AEUV vor. Einerseits stellte das Berufungsgericht die Frage, ob die sogenannte \u201eTC String\u201c \u2013 also eine strukturierte Zeichenfolge zur Speicherung von Einwilligungen und Ablehnungen der Nutzer \u2013 als personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO einzustufen ist. Andererseits wollte der Marktenhof kl\u00e4ren, ob eine Organisation wie IAB Europe, die ein technisches Rahmenwerk zur Einwilligungsverwaltung standardisiert und vorgibt, als (gemeinsam) Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO anzusehen ist, obwohl sie selbst keine unmittelbare Kontrolle \u00fcber die konkreten Verarbeitungsprozesse hat.<\/p>

Mit dieser Vorlage sollte Rechtssicherheit f\u00fcr nationale Datenschutzaufsichtsbeh\u00f6rden und Marktteilnehmer geschaffen werden. Die datenschutzrechtliche Einordnung solcher branchenweiten Rahmenwerke wurde bisher weder auf europ\u00e4ischer Ebene noch durch die Rechtsprechung abschlie\u00dfend gekl\u00e4rt.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

EuGH entscheidet \u00fcber TC String und Verantwortlichkeit der IAB Europe<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Mit Urteil vom M\u00e4rz 2024 entschied der EuGH \u00fcber die beiden ihm vom Marktenhof vorgelegten Fragen zur datenschutzrechtlichen Qualifikation der TC String sowie zur m\u00f6glichen Verantwortlichkeit der IAB Europe.<\/p>\n

TC Strings als personenbezogene Daten<\/h4>\n

Zun\u00e4chst stellte der EuGH klar, dass TC Strings personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO darstellen. Ma\u00dfgeblich hierf\u00fcr ist, dass diese Zeichenfolge, die technisch betrachtet lediglich eine kodierte Pr\u00e4ferenzinformation ist, durch Kombination mit anderen Daten wie der IP-Adresse, der Cookie-ID oder den Ger\u00e4teinformationen mit einem bestimmten oder zumindest bestimmbaren Nutzer in Verbindung gebracht werden kann. Damit erf\u00fcllt sie die Kriterien der Identifizierbarkeit. Diese Auslegung entspricht einer weit gefassten Definition personenbezogener Daten, die auch pseudonyme und technisch vermittelte Informationen umfasst.<\/p>\n

IAB Europe als (gemeinsam) Verantwortliche<\/h4>\n

Dar\u00fcber hinaus entschied der EuGH, dass eine sektorale Organisation wie IAB Europe als (gemeinsam) Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO eingestuft werden kann. Der Gerichtshof betonte, dass es f\u00fcr die Einordnung als Verantwortlicher nicht erforderlich sei, dass die Organisation selbst unmittelbar personenbezogene Daten verarbeitet. Vielmehr sei entscheidend, ob sie durch die Definition von Mitteln und Zwecken der Verarbeitung ma\u00dfgeblich Einfluss auf die Datenverarbeitungsvorg\u00e4nge nehme.<\/p>\n

Dies sei gegeben, da IAB Europe durch die Ausgestaltung, Standardisierung und Durchsetzung des Consent Frameworks die grundlegenden Parameter f\u00fcr die Verarbeitung der TC Strings vorgebe. Zudem koordiniert sie das Zusammenspiel zahlreicher Marktteilnehmer und hat damit eine lenkende und strukturierende Rolle im gesamten \u00d6kosystem. Dass die IAB Europe selbst keine Werbeinhalte ausliefert oder individuelle Nutzerprofile erstellt, sei f\u00fcr die datenschutzrechtliche Verantwortlichkeit nicht ausschlaggebend.<\/p>\n

Bedeutung des EuGH-Urteils<\/h4>\n

Diese Grundsatzentscheidung hat unmittelbare Auswirkungen auf alle Beteiligten des digitalen Werbemarkts sowie auf andere Sektoren, in denen brancheneinheitliche technische Standards zur Datenverarbeitung wie der TCF Anwendung finden. Insbesondere unterstreicht das Urteil, dass rechtliche Verantwortung nicht delegiert oder auf technische Neutralit\u00e4t reduziert werden kann, wenn eine Institution zentral in ein datenschutzrelevantes System eingreift.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

IAB Europe als gemeinsam Verantwortlicher f\u00fcr TCF<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Best\u00e4tigung der materiell-rechtlichen Auffassung<\/strong><\/h4>

Auf Grundlage des EuGH-Urteils entschied der Marktenhof nun endg\u00fcltig \u00fcber die Berufung<\/strong> von IAB Europe. Zwar wurde die Entscheidung Nr. 21\/2022 der GBA formell wegen Verfahrensfehlern aufgehoben<\/strong>, jedoch:<\/p>