IAB Transparency and Consent Framework (TCF)

Definition: Das IAB Transparency and Consent Framework (TCF) ist ein technischer und organisatorischer Branchenstandard, der vom Interactive Advertising Bureau (IAB) Europe entwickelt wurde. Er ermöglicht es Consent-Management-Plattformen (CMPs), Publishern, Demand-Side-Plattformen (DSPs), Supply-Side-Plattformen (SSPs) und anderen Adtech-Anbietern, Einwilligungsentscheidungen von Website-Nutzern in standardisierter, maschinenlesbarer Form zu erfassen und entlang der gesamten programmatischen Werbewertschöpfungskette weiterzugeben. Das Framework basiert auf dem sogenannten TC-String (Transparency and Consent String) – einer kodierten Zeichenkette, die den Einwilligungsstatus eines Nutzers für verschiedene Zwecke und gegenüber registrierten Werbetechnologieanbietern (sogenannten Vendors) enthält. Dieser TC-String wird bei Bid-Requests in der programmatischen Auktion mitübergeben, sodass alle beteiligten Plattformen erkennen können, welche Datenverarbeitungszwecke der Nutzer genehmigt hat. Das TCF ist der dominierende Standard in der europäischen programmatischen Werbung und wird von den meisten großen Ad-Exchanges, DSPs und SSPs unterstützt. Es befindet sich aktuell in der Version 2.2, die als Reaktion auf eine Entscheidung der belgischen Datenschutzbehörde (APD) überarbeitet wurde.

Erläuterung

Das Grundproblem, das das TCF lösen soll, ist strukturell bedingt: In der programmatischen Werbung sind an einer einzigen Anzeigenauktion möglicherweise Dutzende von Technologieanbietern beteiligt – von der SSP des Publishers über mehrere Ad-Exchanges bis hin zur DSP des Werbetreibenden und verschiedenen Daten- und Mess-Dienstleistern. Wenn der Nutzer auf dem Publisher-Webseite seine Einwilligung zu bestimmten Zwecken (z. B. Interessenbezogene Werbung) erteilt oder verweigert, muss diese Information schnell, maschinenlesbar und verlässlich an alle beteiligten Stellen kommuniziert werden – manuell oder über individuelle Schnittstellen wäre dies technisch nicht skalierbar.

Das TCF standardisiert diesen Kommunikationsprozess. Der TC-String enthält binär kodierte Informationen darüber, welcher Nutzer (über die CMP-ID), zu welchem Zeitpunkt, welche Einwilligungen erteilt oder verweigert hat – und zwar differenziert nach Verarbeitungszwecken (sogenannten Purposes, z. B. Zweck 1 = Cookie-Speicherung und Gerätezugriff, Zweck 3 = Personalisierte Werbung) sowie nach einzelnen Vendors, die im IAB Global Vendor Register gelistet sind.

Im März 2022 stellte die belgische Datenschutzbehörde (APD) in einer viel beachteten Entscheidung fest, dass das damalige TCF 2.0 mehrere DSGVO-Anforderungen nicht erfüllte. Beanstandet wurden unter anderem die unzureichende Beschreibung der berechtigten Interessen als Rechtsgrundlage, die mangelhafte Transparenz gegenüber Nutzern sowie Sicherheitslücken im TC-String. Als Reaktion überarbeitete IAB Europe das Framework und veröffentlichte die Version TCF 2.2, die u. a. strengere Anforderungen an Vendor-Beschreibungen, die Consent-Oberfläche und die Darstellung berechtigter Interessen enthält.

Technische Kernkomponenten des IAB TCF

TC-String (Transparency and Consent String): Binär kodierte Zeichenkette, die Einwilligungsstatus und Objection-Status für bis zu mehrere hundert Vendors und Verarbeitungszwecke enthält. Wird im Browser-Cookie und in Bid-Requests gespeichert.
Global Vendor Register (GVL): Öffentlich einsehbare Liste aller beim IAB registrierten Adtech-Anbieter (Vendors). Publisher und CMPs wählen aus dieser Liste die relevanten Vendors für ihre Website aus.
CMP API (Consent Management Platform API): Standardisierte JavaScript-API, über die andere Skripte den Einwilligungsstatus abrufen können, bevor sie Datenverarbeitungen starten.
TCF-Zwecke (Purposes): Standardisierte Beschreibungen von Datenverarbeitungszwecken (Purposes 1–11) und Special Features, für die Einwilligung oder Widerspruch erfasst werden.

Bedeutung und Grenzen des TCF für Datenschutz-Compliance

Notwendig, aber nicht hinreichend: Das TCF stellt eine technische Infrastruktur bereit, ersetzt aber nicht die eigenständige Pflicht des Publishers, rechtswirksame Einwilligungen einzuholen. Die Rechtmäßigkeit der Einwilligung hängt von der konkreten Ausgestaltung des Cookie-Banners ab.
Aufsichtsbehördliche Kritik: Trotz TCF 2.2 stehen programmatische Werbepraktiken und die Einwilligungsqualität im TCF weiterhin im Fokus europäischer Datenschutzbehörden.
Vendor-Listenpflege: Publisher müssen ihre Vendor-Liste aktiv pflegen und sicherstellen, dass nur tatsächlich eingesetzte Vendors im CMP konfiguriert sind.
Google als separates Signal: Google nutzt für seine Dienste neben dem TCF zusätzlich den Google Consent Mode. Publisher müssen beide Signalpfade korrekt implementieren, um Google-Werbedienste und TCF-basierte programmatische Werbung rechtskonform zu betreiben.

Praxistipp: Nutzen Sie eine TCF-zertifizierte CMP und konfigurieren Sie Ihre Vendor-Liste auf Basis einer aktuellen Inventarisierung der tatsächlich auf Ihrer Website eingesetzten Adtech-Dienste. Überprüfen Sie regelmäßig, ob neue Partner dem IAB Global Vendor Register beigetreten sind und aktualisieren Sie Ihre Konfiguration entsprechend. Stellen Sie sicher, dass Ihre CMP sowohl TCF-Signale als auch Google-Consent-Mode-v2-Signale korrekt und synchronisiert überträgt, um sowohl programmatische Werbung als auch Google-Werbedienste rechtskonform betreiben zu können.