Brüsseler Berufungsgericht bestätigt EuGH-Linie bzgl. IAB TCF 2.0: TC-Strings sind personenbezogen, IAB teilweise gemeinsam Verantwortlicher

Rückblick und Sachverhalt der TCF-Verfahren

Nachdem seit 2019 mehrere Beschwerden bezüglich des weit verbreiteten Transparency and Consent Framework 2.0 („TCF 2.0") eingegangen sind, hat die belgische Datenschutzaufsichtsbehörde im Februar 2022 diesen für Onlinewerbung genutzten Standard als datenschutzrechtlich unzulässig eingestuft und ein Bußgeld gegen die ihn betreibende Organisation, das Interactive Advertising Bureau Europe („IAB“), verhängt. 

Diese Thematik ist für nahezu sämtliche Webseitenbetreiber relevant, die eine Consent Management Plattform („CMP“) des IAB für die Einholung von Einwilligung für Tracking und Marketingtools einsetzen.

Nachdem das IAB der belgischen Datenschutzaufsichtsbehörde einen Plan unterbreitet hat, wie es das TCF 2.0 in Einklang mit den datenschutzrechtlichen Vorgaben bringen möchte, wurde dies von der in Brüssel ansässigen Behörde 2023 genehmigt und dem IAB sechs Monate für die technische Umsetzung des Plans eingeräumt. Jedoch wurde auch ein Bußgeld gegen das IAB verhängt, da dieses gegen datenschutzrechtliche Vorgaben verstoßen habe. 

Gegen diese Entscheidung klagte das IAB beim belgischen Berufungsgericht, welches dem EuGH im Rahmen eines Vorabentscheidungsverfahrens zwei Fragen zur Auslegung der DSGVO vorlegte: insbesondere zur datenschutzrechtlichen Einordnung des TC-Strings sowie zur Verantwortlichkeit des IAB.

Im Jahr 2024 hatte der EuGH (Az. C-604/22) festgestellt, dass bei der Anwendung von Transparency and Consent Strings („TC-String“) personenbezogene Daten verarbeitet werden und dass IAB bei deren Verarbeitung teilweise als gemeinsamer Verantwortlicher angesehen werden kann. Eine detailliertere Darstellung des Sachverhalts finden Sie auch in unseren Updates Nr. 174 (Achtung Online-Marketer: Neues EuGH-Urteil zum IAB TCF), Nr. 131 (Belgische Datenschutzaufsichtsbehörde genehmigt Aktionsplan des IAB Europe zum TCF 2.0 – Entscheidung des EuGH steht noch aus) und Nr. 109 (Belgische Datenschutzaufsichtsbehörde entscheidet: TCF 2.0 – Weite Teile des programmatischen Online-Marketings – rechtswidrig!). 

Diese Linie bestätigt nun die Entscheidung des Brüsseler Berufungsgerichts (case number 2022/AR/292): Am 14. Mai 2025 hat das Gericht das TCF 2.0 in weiten Teilen für datenschutzwidrig erklärt. Der TC-String wurde endgültig als personenbezogen eingestuft und das IAB Europe teilweise als gemeinsamer Verantwortlicher eingestuft.

Alle Details zum IAB TCF finden sie darüber hinaus in unseren Updates Nr. 155 (Stichtag 1. Oktober 2023 – Die Umsetzungsfrist für das IAB TCF 2.2 läuft ab), Nr. 131 (Belgische Datenschutzaufsichtsbehörde genehmigt Aktionsplan des IAB Europe zum TCF 2.0 – Entscheidung des EuGH steht noch aus), Nr. 128 (Aktuelle Rechtslage zum Einsatz von Trackingtools auf Websites) und Nr. 76 (Der BGH stellt klar: Nicht notwendige Cookies nur mit Einwilligungserklärung!).

Kernaussagen des belgischen Urteils 

Das Urteil des belgischen Berufungsgerichts folgt den Vorgaben des EuGH. Dabei stellt das Berufungsgericht erstens klar, dass es sich bei dem TC-String (eine kodierte Zeichenkette, die alle relevanten Informationen rund um die Consent-Entscheidung des Nutzers enthält) um ein personenbezogenes Datum handelt. Weitere Informationen zur Funktionsweise des TC-Strings finden sie in unserem Datenschutz-Update Nr. 109 (Belgische Datenschutzaufsichtsbehörde entscheidet: TCF 2.0 – Weite Teile des programmatischen Online-Marketings – rechtswidrig!). Zweitens stellt das Gericht heraus, dass das IAB hinsichtlich der Erstellung und Speicherung von TC-Strings zusammen mit den Teilnehmern von IAB als datenschutzrechtlich gemeinsam Verantwortlicher anzusehen ist. Diese gemeinsame Verantwortlichkeit bezieht sich jedoch ausschließlich auf die Verarbeitung personenbezogener Daten bei der Speicherung der Einwilligungspräferenzen der betroffenen Personen in einem TC-String vor. 

Bei der anschließenden von SSPs, DSPs und anderen Tools auf Grundlage der gespeicherten Präferenzen vorgenommenen Verarbeitung dieser personenbezogenen Daten, wie z. B. die Weiterleitung an Dritte oder das Ausspielen personalisierter Werbeangebote, konnte durch das belgische Gericht hingegen keine gemeinsame Verantwortlichkeit festgestellt werden. 

In Bezug auf die Verarbeitung der TC-Strings muss jedoch nun sichergestellt werden, dass eine ausreichende Rechtsgrundlage vorliegt (z. B. eine Einwilligung der betroffenen Nutzer).

Praktische Folgen für Unternehmen 

Mit dem IAB TCF 2.2 wurden zwar viele der ursprünglichen Kritikpunkte der belgischen Aufsichtsbehörde bereits adressiert, jedoch bei weitem nicht alle Rechtsrisiken vollständig beseitigt, die im Bereich des personalisierten Onlinemarketings bestehen. Es ist zu erwarten, dass das IAB in Zukunft ein Muster für eine Vereinbarung über eine gemeinsame Verantwortlichkeit bereitstellen wird. Bis dahin sollte jedes Unternehmen Risiken und Nutzen des Onlinemarketings für sich bewerten. In der Praxis ist bislang keine massenhafte Abmahnwelle oder dergleichen als Reaktion auf das belgische Urteil zu beobachten. Man sollte aber darauf gefasst sein, dass dergleichen jederzeit erfolgen kann.

Zur Risikominimierung können Unternehmen aktuell folgende Maßnahmen ergreifen:

• Die Verarbeitung von TC-Strings in die Datenschutzerklärung aufnehmen;
• Für sich prüfen, ob die Nutzung des TC-Strings auf Basis des berechtigten Interesses erfolgt oder ob zur Sicherheit eine Einwilligungserklärung hierfür eingeholt werden sollte. Für eine solche Einwilligungserklärung gibt es zwar in den CMPs noch keine gesonderte Funktion, jedoch kann jeder Webseitenbetreiber/Publisher auf dem ersten Layer der CMP ausdrücklich auf die Verarbeitung mittels TC-String und dessen Personenbezug hinweisen und durch einen entsprechenden Wortlaut zum Gegenstand der Einwilligungserklärung machen;
• Aufnahme der Verarbeitung des TC-Strings in das Verzeichnis von Verarbeitungstätigkeiten.