IAB TCF 2.2: Warum der Einwilligungsrahmen der Branche immer noch nicht mit der GDPR vereinbar ist

Das Rahmenwerk, das die verhaltensbasierte Werbung retten sollte

Als die belgische Datenschutzbehörde (APD) im Februar 2022 entschied, dass das Transparenz- und Einwilligungs-Framework (TCF) von IAB Europe in mehrfacher Hinsicht gegen die DSGVO verstößt, beeilte sich die Branche, TCF 2.2 zu veröffentlichen. Die aktualisierte Spezifikation erschien im Mai 2023 mit verschärften Formulierungen zu berechtigten Interessen, der Streichung bestimmter Verarbeitungszwecke aus dieser Rechtsgrundlage und einer umbenannten „User Choice“-Signalarchitektur. Eine detaillierte technische und rechtliche Prüfung zeigt jedoch, dass TCF 2.2 die grundlegenden Widersprüche zwischen der Funktionsweise des Frameworks und den tatsächlichen Anforderungen der Artikel 5, 6 und 7 der DSGVO nicht auflöst. Für Datenschutzbeauftragte und Compliance-Beauftragte, die sich auf ein zertifiziertes CMP als Compliance-Schutz verlassen, bedeutet diese Lücke eine direkte organisatorische Haftung.

Die Einwilligungszeichenfolge ist keine Einwilligung

Der Kernmechanismus von TCF ist das euconsent-v2 Cookie – eine Base64-kodierte binäre Zeichenfolge, die unter der .consensu.org Domain gespeichert und über die __tcfapi JavaScript-API verbreitet wird. Diese Zeichenfolge kodiert die Entscheidungen eines Nutzers über Anbieter und Zwecke hinweg unter Verwendung von Bitfeld-Komprimierung. In der Entscheidung der APD aus dem Jahr 2022 wurde IAB Europe als gemeinsam Verantwortlicher für diese Zeichenfolge identifiziert, gerade weil die Organisation das Kodierungsschema festlegt und die Dekodierungsbibliotheken verteilt. TCF 2.2 versuchte, dies durch eine Neudefinition der Rolle von IAB Europe anzugehen, doch die Architektur der Einwilligungszeichenfolge bleibt unverändert.

Das tiefer liegende Problem ist epistemischer Natur: Die Zeichenfolge zeichnet ein Signal auf, nicht eine verifizierte Einwilligungshandlung. Gemäß Artikel 7 DSGVO und den Leitlinien 05/2020 des EDPB zur Einwilligung muss der Verantwortliche nachweisen können, dass die Einwilligung freiwillig, spezifisch, in Kenntnis der Sachlage und unmissverständlich erteilt wurde. Ein Bit, das 1 in einem TC-String erfüllt keines dieser Kriterien für sich genommen. Der String erfasst nicht, mit welchem UI-Element der Nutzer interagiert hat, ob die Einwilligungsschicht vorab angekreuzt war, wie lange das Banner angezeigt wurde, bevor der Nutzer darauf reagierte, oder ob die Schaltfläche „Alle akzeptieren“ unverhältnismäßig prominent war – alles Faktoren, die für eine Dark-Pattern-Analyse gemäß den Leitlinien 3/2022 des EDPB zu Dark Patterns relevant sind.

Prüfung der Anbieterliste: Eine strukturelle Lücke in der Rechenschaftspflicht

Die Global Vendor List (GVL) enthält derzeit mehrere hundert registrierte Anbieter. Die Registrierung erfordert, dass Anbieter ihre Verarbeitungszwecke, Datenaufbewahrungsfristen und Rechtsgrundlagen selbst angeben. IAB Europe führt keine unabhängige technische Prüfung des Anbieterverhaltens anhand dieser Erklärungen durch. Dies ist keine geringfügige Verfahrenslücke – es handelt sich um ein strukturelles Versagen mit direkten Folgen für die DSGVO.

Gemäß Artikel 5 Absatz 2 DSGVO verlangt der Grundsatz der Rechenschaftspflicht, dass Verantwortliche die Einhaltung der Vorschriften nachweisen können. Ein Publisher, der sich bei der Verwaltung der Einwilligungen von Drittanbietern auf TCF verlässt, ist faktisch der Verantwortliche für die Verarbeitung personenbezogener Daten, die von diesen Anbietern auf seinen Seiten ausgelöst wird. Wenn ein bei der GVL registrierter Anbieter angibt, Daten nur für „Basic Ads“ (Zweck 2) zu verarbeiten, seine JavaScript-Nutzlast jedoch auch den User-Agent identifiziert und domänenübergreifende Identifikatoren setzt, hat der Publisher eine unrechtmäßige Verarbeitung ermöglicht – und kann sich der Rechenschaftspflicht nicht entziehen, indem er auf die Selbsterklärung des Anbieters verweist.

Technisch lässt sich dies überprüfen. Tools wie die Analyse von Browser-HAR-Dateien, die Protokollierung von DNS-over-HTTPS-Abfragen und Berichte über Verstöße gegen die Content Security Policy (CSP) können ausgehende Anfragen erfassen, die von Anbietertags getätigt werden. Ein robuster Workflow für die Anbieterauditierung sollte Folgendes umfassen:

• Jedes Tag eines GVL-Anbieters in einem isolierten Browserprofil mit einer bekannten TC-Zeichenkette bereitstellen, die nur bestimmte Zwecke zulässt, und anschließend alle Netzwerkanfragen mithilfe eines Proxys (z. B. mitmproxy) abfangen, um Aufrufe außerhalb des zulässigen Rahmens zu erkennen.
• die Set-Cookie Antwort-Header und document.cookie Schreibvorgänge anhand der vom Anbieter in der GVL angegebenen Speicherhinweise überprüfen.
• DNS-Abfragen auf bekannte Datenbroker-Domains überwachen, die nicht im GVL-Eintrag des Anbieters aufgeführt sind, und zwar mithilfe eines lokalen DNS-Resolvers mit Protokollierung.
• Vergleichen Sie die vom Anbieter angegebene Datenaufbewahrungsdauer mit den tatsächlichen Cookie-Ablaufwerten in der Max-Age oder Expires .

Diese Art der technischen Sorgfaltsprüfung ist nicht optional – sie ist das Minimum, das Artikel 28 DSGVO für Auftragsverarbeiter und der Rechenschaftsgrundsatz für jeden Verantwortlichen vorschreibt, der sich auf Signale von Dritten stützt.

Berechtigte Interessen und das Problem mit Zweck 2

Die wichtigste Änderung in TCF 2.2 war die Einschränkung der Verwendung berechtigter Interessen (LI) als Rechtsgrundlage. Konkret können die Zwecke 3 bis 6 (Anzeigenpersonalisierung, Profilerstellung, Inhaltspersonalisierung und Messung) nicht mehr auf berechtigten Interessen beruhen – sondern nur noch auf Einwilligung. Zweck 2 (Basiswerbung) behält die Eignung für berechtigte Interessen bei, was ihn zu einem Magneten für Missbrauch gemacht hat. Publisher und SSPs haben einen Anreiz, die Verarbeitung unter Zweck 2 einzuordnen, um die Einwilligungsanforderungen zu umgehen, selbst wenn die tatsächliche Verarbeitung – insbesondere Datenflüsse aus Echtzeit-Auktionen – weit über kontextbezogene Werbung hinausgeht.

Aus Sicht der Rechtsgrundlage gemäß Artikel 6 Absatz 1 Buchstabe f DSGVO muss eine Bewertung des berechtigten Interesses (LIA) für Zweck 2 weiterhin den Abwägungstest erfüllen und den angemessenen Erwartungen der betroffenen Personen Rechnung tragen. Die Begründung des EuGH in der Rechtssache C-252/21 (Meta/Bundeskartellamt) bekräftigte, dass Verhaltensprofilierung nicht durch das bloße Anbringen eines kontextuell klingenden Etiketts als berechtigtes Interesse „gewaschen“ werden kann. Die TC-Zeichenkette bietet keinen Mechanismus zur Durchsetzung der Qualität oder Gültigkeit der LIA eines Publishers – sie hält lediglich fest, dass das berechtigte Interesse als Grundlage angegeben wurde.

Signalintegrität und Weiterverbreitung

Selbst unter der Annahme, dass ein gültiges Einwilligungssignal erfasst wird, birgt die Weitergabe der TC-Zeichenkette durch die programmatische Lieferkette Integritätsrisiken. In einer typischen Header-Bidding-Konfiguration wird die TC-Zeichenkette als URL-Parameter in OpenRTB-Gebotsanfragen übergeben – häufig als &gdpr;_consent= Anhang an den Auktions-Endpunkt. Es gibt keine kryptografische Signatur des Strings, keinen Zeitstempel, der ihn an eine bestimmte Seitenaufruf bindet, und keinen Mechanismus, der einen nachgelagerten Käufer daran hindert, den String zu speichern und für eine spätere Verarbeitung außerhalb des ursprünglichen Zustimmungsumfangs wiederzugeben.

Die __tcfapi API stellt zwar einen listenerId Mechanismus und das eventStatus Feld (tcloaded, cmpuishown, useractioncomplete), der es Anbietern ermöglicht, zwischen Signalen beim Laden einer Seite und aktiven Nutzerentscheidungen zu unterscheiden. Die Einhaltung dieser Unterscheidung ist jedoch freiwillig und wird nicht überprüft. Ein Anbieter, der eine TC-Zeichenkette in einem Server-zu-Server-Aufruf erhält, hat keine zuverlässige Möglichkeit festzustellen, ob diese durch ein useractioncomplete Ereignis generiert oder lediglich aus einer früheren Sitzung zwischengespeichert wurde.

Umsetzbare Empfehlungen für Datenschutzbeauftragte und technische Teams

1. Behandeln Sie die CMP-Zertifizierung nicht als Konformitätsbescheinigung. Eine zertifizierte CMP bestätigt, dass die Benutzeroberfläche den technischen Spezifikationen der IAB entspricht – sie bescheinigt nicht, dass Ihre Implementierung, Ihre Anbieterauswahl oder Ihre LIA-Dokumentation den Anforderungen der DSGVO entspricht.
2. Führen Sie vierteljährlich eigene technische Audits bei Anbietern durch, wobei Sie die oben beschriebene proxy-basierte Methodik anwenden. Dokumentieren Sie die Ergebnisse und die Antworten der Anbieter als Teil Ihrer Nachweisdokumentation gemäß Artikel 5 Absatz 2.
3. Verpflichten Sie GVL-Anbieter vertraglich, auf Anfrage aktualisierte LIAs und DPIAs vorzulegen. Standard-Auftragsverarbeitervereinbarungen gemäß Artikel 28 reichen nicht aus, wenn der Anbieter auch Verantwortlicher ist – nutzen Sie gegebenenfalls Vereinbarungen für gemeinsam Verantwortliche gemäß Artikel 26.
4. Konfigurieren Sie Ihre CMP so, dass sie den eventStatus Wert neben jeder gespeicherten TC-Zeichenkette zu protokollieren. Dadurch entsteht ein überprüfbares Protokoll, das passive Ladevorgänge von echten Benutzeraktionen unterscheidet.
5. Prüfen Sie die Nutzung von Zweck 2 bei Ihren aktiven Anbietern. Jeder Anbieter, der LI für Zweck 2 nutzt und gleichzeitig an RTB teilnimmt, sollte verpflichtet werden, eine dokumentierte LIA vorzulegen – und diese LIA sollte von Ihrer Rechtsabteilung geprüft und nicht einfach auf Vertrauen hin akzeptiert werden.
6. Ziehen Sie eine serverseitige Durchsetzung der Einwilligung in Betracht, anstatt sich ausschließlich auf die clientseitige Weitergabe von TC-Strings zu verlassen. Eine Ebene zur Durchsetzung der Einwilligung in Ihrem CDN oder Tag-Management-Server kann das Auslösen von Anbieter-Tags blockieren, sofern kein verifiziertes, sitzungsgebundenes Einwilligungssignal vorliegt.

Die Compliance-Illusion

TCF 2.2 ist ein ausgeklügelter Koordinationsmechanismus für die programmatische Werbebranche. In seiner derzeitigen Form ist es kein zuverlässiges Tool zur Einhaltung der DSGVO. Die Lücke zwischen einem korrekt dargestellten Einwilligungsbanner und einer nachweislich rechtmäßigen Verarbeitung bei Hunderten von nachgelagerten Anbietern ist der Ort, an dem das regulatorische Risiko liegt. Datenschutzbeauftragte, die die Bereitstellung einer CMP als das Ende des Workflows zur Einhaltung der Einwilligungsvorschriften betrachten – anstatt als den Beginn eines kontinuierlichen Programms zur Rechenschaftspflicht der Anbieter –, übernehmen eine Haftung, die sie möglicherweise nicht quantifiziert haben.

Dieser Artikel wurde mit Unterstützung von KI erstellt und redaktionell geprüft. Rechtliche Fragen sollten stets mit einem qualifizierten Datenschutzexperten besprochen werden.

Dieser Artikel wurde mit KI-Unterstützung erstellt und gegen verifizierte DSGVO-Rechtsprechung (GDPRhub) geprüft. Für Rechtsberatung wenden Sie sich an einen qualifizierten Datenschutzexperten.