Das Transparency and Consent Framework (TCF) stellt eine Infrastruktur bereit, mit der Nutzereinwilligungen zur Datenverarbeitung im Werbekosmos erhoben und korrekt in der technologischen Kette weitergegeben werden. Das Interactive Advertising Bureau (IAB) hat es nach den Anforderungen der Datenschutz-Grundverordnung (DSGVO) entwickelt und der Werbeindustrie zur Verfügung gestellt, vor allem um das Ökosystem um die programmatische Werbung abzusichern. Heute greifen etliche Marktteilnehmer in der Digitalwerbung auf das Framework zurück.

Im Februar 2022 ging eine Beschwerde bei der belgischen Datenschutzbehörde L'Autorité de protection des données (APD) in Brüssel ein. Beschwerdeführer war das Irish Council for Civil Liberties (ICCL) rund um seine Galionsfigur Johnny Ryan. Ryan stammt ursprünglich selbst aus der Adtech-Industrie und kämpft jetzt als Bürgerrechtler dagegen an. Die Kläger sahen in dem TCF Verletzungen der DSGVO, die von der APD bestätigt wurden.

Das TCF kommt ins Spiel, wenn ein Nutzer eine Website besucht und seine Auswahl im Consent-Banner über die Zwecke der Datenverarbeitung trifft. Seine Entscheidungen werden von der Consent-Management-Plattform (CMP) im sogenannten TC String gespeichert und an die anderen Werbemarktteilnehmer weitergegeben. Gleichzeitig setzt die CMP einen Cookie.

Genau diese Kombination sah die APD als Problem an, denn Cookie und TC String können gemeinsam mit der IP-Adresse des Users in Verbindung gebracht werden. Ergo ist bereits das TC String personenbezogen und muss auch so im Sinne der DSGVO behandelt werden. Das berechtigte Interesse, das bisher als rechtliche Grundlage für die Verarbeitung genutzt wurde, reicht nicht aus.

Doch das war nicht der einzige große Kritikpunkt am TCF. Die APD betrachtete weiterhin das IAB Europe in der Position des Data Controller nach der DSGVO, obwohl sich der Verband vehement dagegen gewehrt hatte. Schließlich müsste er so einen Verantwortlichen stellen und überprüfen, ob die CMPs alle korrekt arbeiten. Die APD war jedoch dieser Auffassung und sah sich daher aufgrund der aktuellen Verstöße im Recht, eine Strafe von 250.000 Euro zu verhängen und das IAB dazu aufzufordern, entsprechend nachzubessern. Weiteren Nachholbedarf sah die Behörde unter anderem auch bei den standardisierten Consent-Bannern selbst, die User nicht ausreichend aufklären würden.

Das IAB Europe ging gerichtlich dagegen vor, womit der Streit vor dem Court of Appeal landete. Dieser reichte im September zwei entscheidende Fragen an den Europäischen Gerichtshof nach Luxemburg weiter: Erstens, ist der sogenannte TC String bereits ein personenbezogenes Datum? Zweitens, ist das IAB für das TCF verantwortlich im Sinne der DSGVO, das einen “Data Controller” definiert? Für die Beantwortung der Fragen benötigte der EuGH anderthalb Jahre.

In der Zwischenzeit nickte die belgische Datenschutzbehörde den Plan des IAB ab, das TCF zu überarbeiten, damit es an die Anforderungen angepasst werden konnte. Im Mai 2023 wurde das TCF in der Version 2.2 gelauncht. In dieser Version wurden unter anderem das “berechtigte Interesse” als Rechtsgrundlage für die Verarbeitung von Daten und das Opt-out-Verfahren überarbeitet. Die Iteration 2.1 existierte bereits vor der Beschwerde und wurde nach dem berühmten “Planet49-Urteil” 2020 zum Opt-in-Verfahren eingeführt.

Der EuGH fällte sein Urteil im März 2024. Seiner Ansicht nach ist der TC String ein personenbezogenes Datum. Das IAB Europe kann somit auch als gemeinsam Verantwortlicher für die die Nutzerpräferenzen im Sinne der DSGVO betrachtet werden. Jedoch ist der Verband kein “Joint Controller” in Bezug auf die nachfolgende Datenverarbeitung.

Nun konnte auch das Berufungsgericht ein Jahr später sein Urteil fällen. In Brüssel folgen die Richter erwartungsgemäß dem EuGH und weitgehend der Ansicht der APD. So bestätigt der Court of Appeal die von APD festgestellten Verstöße und die verhängten Sanktionen (im Klartext: 250.000 Euro Strafe). Der TC String ist ein personenbezogenes Datum im Sinne der Datenschutz-Grundverordnung und das IAB Europe handelt als “Joint Controller” für die Verarbeitung der Nutzerpräferenzen innerhalb des TCF. Wie der EuGH ist man jedoch auch im Market Court entgegen der APD der Meinung, dass das IAB Europe nicht gemeinsam für die weitere Datenverarbeitung verantwortlich ist.

Hielke Hijmans, Vorsitzender der Kammer für Rechtsstreitigkeiten der APD, ist sich sicher: “Diese Klärung von Schlüsselbegriffen in der Datenschutz-Grundverordnung hatte und wird auch weiterhin einen nachhaltigen positiven Einfluss auf alle Beteiligten in der EU haben.”

In dieser komplizierten Gemengelage ist es schwer auszumachen, wer am Ende gewonnen und wer verloren hat. Das IAB begrüßt offiziell den Standpunkt, dass es nicht als gemeinsamer Verantwortlicher in Bezug auf die nachfolgende Datenverarbeitung, also alles abseits des TC Strings, angesehen wird. Die erforderlichen Änderungen am TCF seien im Rahmen eines Aktionsplans vorgeschlagen worden, der der APD seit 2023 vorliegt und bereits bestätigt wurde. Die Änderungen könnten daher “schnell umgesetzt werden, um die Einhaltung des Urteils des Appellationsgerichts zu gewährleisten.” Townsend Feehan, CEO des IAB Europe, erklärt: „Wir hoffen, dass dies das Signal für die Rückkehr zu einem sinnvollen und konstruktiven Dialog mit den Regulierungsbehörden ist, der sich mit den technischen und praktischen Realitäten befasst.“

Aufseiten des ICCL, also des Beschwerdeführers, feiert man die Entscheidung als einen großen Sieg. So sagt Johnny Ryan: “Diese Entscheidung ist von großer Bedeutung. Sie schafft einen klaren Bedarf für die Industrie, innovativ zu sein und von der gefährlichen, ineffektiven und betrugsanfälligen Tracking-basierten Werbung wegzukommen. RTB kann auch ohne personenbezogene Daten funktionieren. Diese Entscheidung zeigt, dass sie das muss. Das ist eine gute Nachricht für alle Menschen, die online sind, und auch für die Publisher.“

Tom Peruzzi, Sprecher der Geschäftsführung und CTO Virtual Minds, hält die praktischen Auswirkungen der Entscheidung jedoch für “eher begrenzt”. “Als Industrie haben wir uns für die Umsetzung der Entscheidung längst vorbereitet. In diesem Sinne sehen wir sie als ein weiteres Signal der notwendigen Zusammenarbeit zwischen Regulatoren und Industrie. Die Entscheidung des Belgian Market Court ist endlich ein Schritt in Richtung mehr Rechtssicherheit, den wir prinzipiell begrüßen, auch wenn es noch Herausforderungen in der Umsetzung der DSGVO-Vorschriften, zum Beispiel bei Betroffenenrechte-Anfragen, gibt.”