IAB TCF: Das Transparency and Consent Framework erklärt

Im Umfeld von Online-Werbung und Programmatic Advertising begegnet man früher oder später dem Begriff TCF. Das Transparency and Consent Framework von IAB Europe ist ein technischer Standard, der festlegt, wie Einwilligungen für Werbezwecke erhoben, übertragen und verarbeitet werden. Es ist kein Gesetz, aber ein weit verbreiteter Industriestandard mit erheblicher praktischer Bedeutung.

Was ist das IAB TCF?

IAB Europe ist eine Vereinigung europäischer Akteure der digitalen Werbewirtschaft. Das Transparency and Consent Framework (TCF) wurde entwickelt, um einen einheitlichen Standard für die Einwilligung im digitalen Werbeökosystem zu schaffen. Die Idee dahinter ist einfach: Wenn Hunderte von Werbenetzwerken, Datenbroker und Technologieanbieter auf einer Website tätig sind, braucht es eine einheitliche Sprache, in der Einwilligungsentscheidungen übertragen werden können.

Das TCF definiert, wie diese Einwilligungen technisch kodiert, gespeichert und zwischen den Beteiligten ausgetauscht werden. Es legt fest, welche Verarbeitungszwecke unterschieden werden, welche Anbieter als registrierte Teilnehmer am Framework gelten und wie die Einwilligung für jeden Zweck und jeden Anbieter einzeln erteilt oder verweigert werden kann.

Aufbau des Frameworks

Das TCF besteht aus mehreren Schichten:

Global Vendor List (GVL): Eine zentrale Liste aller Anbieter, die am TCF teilnehmen. Jeder Anbieter hat eine eindeutige ID und muss deklarieren, zu welchen Zwecken er Daten verarbeitet und ob er sich auf Einwilligung oder berechtigtes Interesse stützt.

Purposes und Special Purposes: Das Framework definiert standardisierte Verarbeitungszwecke, zum Beispiel “Speicherung und Zugriff auf Geräteinformationen” (Purpose 1), “Erstellen eines personalisierten Anzeigenprofils” (Purpose 3) oder “Messung von Anzeigenleistung” (Purpose 7). Jeder Zweck kann einzeln akzeptiert oder abgelehnt werden.

TC String: Die Einwilligungsentscheidung wird als komprimierter Base64-kodierter String gespeichert. Dieser TC String wird im Browser gespeichert und bei Werbeanfragen an die beteiligten Systeme übertragen.

CMP-API: Jede TCF-konforme CMP muss eine JavaScript-API bereitstellen, über die andere Skripte den aktuellen TC String und den Einwilligungsstatus abfragen können. Diese API ist standardisiert, damit alle Werbetechnologie-Systeme sie einheitlich nutzen können.

Relevanz für Website-Betreiber

Für Website-Betreiber ist das TCF vor allem dann relevant, wenn sie ihre Werbeflächen über programmatische Kanäle vermarkten oder Werbeflächen über ein Ad Network belegen lassen. Die großen Werbeplattformen verlangen in diesem Fall eine TCF-konforme CMP.

Für Websites ohne Werbeanzeigen oder mit direkten Werbepartnerschaften ist das TCF in der Regel nicht notwendig. Eine einfache, korrekt konfigurierte CMP reicht aus, um DSGVO-konform zu handeln.

Kritik und Datenschutzprobleme

Das IAB TCF ist in der Datenschutzgemeinschaft umstritten. Die belgische Datenschutzbehörde hat 2022 in einem weitreichenden Beschluss festgestellt, dass das damalige TCF v2.0 mehrere Anforderungen der DSGVO nicht erfüllte. Kritisiert wurden unter anderem die unzureichende Kontrolle über die Weitergabe von TC Strings an Hunderte von Anbietern und die Frage, ob IAB Europe als Mitverantwortlicher für die dadurch entstehende Datenverarbeitung gilt.

IAB Europe hat daraufhin mit TCF v2.2 Anpassungen vorgenommen. Gleichwohl bleibt das Framework komplex, und seine Konformität ist weiterhin Gegenstand rechtlicher Prüfung in verschiedenen europäischen Ländern.

Was bedeutet das praktisch?

Wer eine Website mit programmatischer Werbung betreibt und TCF-konform sein möchte, muss eine CMP nutzen, die bei IAB Europe registriert und gelistet ist. Die Konfiguration muss alle relevanten Zwecke und Anbieter korrekt abbilden. Nutzer müssen die Möglichkeit haben, für jeden Zweck und jeden Anbieter getrennt zu entscheiden.

Für einfachere Setups ohne Programmatic Advertising genügt eine CMP ohne TCF-Integration. Mit dem Generator auf dieser Website lässt sich ein Cookie-Banner konfigurieren, der für solche Szenarien geeignet ist und die wesentlichen Einwilligungsanforderungen abdeckt.

TCF und Real-Time Bidding

Das TCF wurde maßgeblich für das Real-Time Bidding (RTB) System entwickelt. Beim RTB wird in Millisekunden entschieden, welche Werbeanzeige einem Nutzer gezeigt wird. Dazu werden Nutzerdaten und der TC String in einer Werbeanfrage an Dutzende oder Hunderte von Bietern übertragen. Genau diese massenhafte Weitergabe von Daten ist aus Datenschutzsicht problematisch und war Gegenstand der Kritik der Datenschutzbehörden.

Fazit

Das IAB TCF ist ein technischer Standard für die Einwilligungsverwaltung im programmatischen Werbeökosystem. Es ist mächtig, aber komplex und war in der Vergangenheit Gegenstand erheblicher datenschutzrechtlicher Kritik. Website-Betreiber sollten prüfen, ob sie das TCF tatsächlich brauchen. Für die meisten Websites ohne Programmatic Advertising ist eine einfachere CMP-Lösung nicht nur ausreichend, sondern auch datenschutztechnisch vorzuziehen.