Die Entscheidung der belgischen L'Autorité de protection des données (APD) kam nicht überraschend und zieht doch weite Kreise. Insbesondere auch daher, da sie in Abstimmung mit anderen Aufsichtsbehörden in Europa gefällt wurde und nach dem One-Stop-Shop-Prinzip EU-weit gültig ist. Die Behörde spricht davon, “Ordnung in der Online-Werbeindustrie wieder herzustellen”, und sieht hauptsächlich zwei Knackpunkte beim derzeitigen Verfahren des Frameworks.

Das TCF kommt ins Spiel, wenn ein Nutzer eine Website besucht und seine Auswahl im Consent-Banner über die Zwecke der Datenverarbeitung trifft. Seine Entscheidungen werden von der Consent-Management-Plattform (CMP) im sogenannten TC String gespeichert und an die anderen Werbemarktteilnehmer weitergegeben. Gleichzeitig setzt die CMP einen Cookie.

Genau diese Kombination sieht die APD als Problem an, denn Cookie und TC String können gemeinsam mit der IP-Adresse des Users in Verbindung gebracht werden. Ergo ist bereits das TC String personenbezogen und muss auch so im Sinne der DSGVO behandelt werden. Das berechtigte Interesse, das bisher als rechtliche Grundlage für die Verarbeitung genutzt wurde, reicht nicht aus.

Doch das ist nicht der einzige große Kritikpunkt am TCF. Die APD sieht weiterhin das IAB Europe in der Position des Data Controller nach der DSGVO an, obwohl sich der Verband vehement dagegen gewehrt hatte. Schließlich müsste er so einen Verantwortlichen stellen und überprüfen, ob die CMPs alle korrekt arbeiten. Die APD ist jedoch dieser Auffassung und sieht sich daher aufgrund der aktuellen Verstöße im Recht, eine Strafe von 250.000 Euro zu verhängen und das IAB dazu aufzufordern, entsprechend nachzubessern. Weiteren Nachholbedarf sieht die Behörde unter anderem auch bei den standardisierten Consent-Bannern selbst, die User nicht ausreichend aufklären würden.

Das IAB bekommt zwei Monate Zeit, um einen Plan vorzulegen, wie die Mängel innerhalb eines halben Jahres behoben werden können. Der Verband zeigt sich optimistisch, weil die APD das TCF nicht als solches verboten, sondern nur einige Punkte beanstandet hat. Allerdings will er als Data Controller auf keinen Fall auftreten: “Wir glauben, dass dieses Urteil rechtlich falsch ist und große unbeabsichtigte, negative Folgen haben wird, die weit über die digitale Werbeindustrie hinausgehen. Wir prüfen alle Optionen im Hinblick auf eine rechtliche Anfechtung.”

In Deutschland kommt das Urteil der APD ebenfalls nicht gut an. Der BVDW geht davon aus, dass “durch die einseitige Entscheidung nahezu jegliche digitale Datenverarbeitung zur Finanzierung von digitalen Angeboten infrage gestellt wird.” Immerhin erkenne die Behörde aber den systematischen Ansatz und somit den Kern des TCF an. Großen Widerspruch übt der BVDW hinsichtlich der Kritik am Einsatz des berechtigten Interesses: “Die DSGVO differenziert mehrere gleichwertige Rechtsgrundlagen zur Verarbeitung personenbezogener Daten und begrenzt eben nicht nur auf die Einwilligung als die einzig anwendbare”. Man hält es für erforderlich, dass das IAB gegen das Urteil gerichtlich vorgeht.

Thomas Adhumeau, Chief Privacy Officer des CMP-Anbieters Didomi, zeigt sich derweil zuversichtlich: “Wir haben mit dieser Entscheidung gerechnet. Folglich haben wir uns darauf vorbereitet. Es gibt noch viele Optionen für Publisher und Werbetreibende, um einige der Herausforderungen zu meistern, die diese Entscheidung mit sich bringt.” Sein Unternehmen möchte mit dem IAB Europe zusammenarbeiten, um das Transparency and Consent Framework zu einem nachhaltigen Instrument zur Einhaltung der DSGVO zu machen. “Wir hoffen, dass die nächsten sechs Monate genutzt werden können, um für alle Beteiligten eine Klarheit zu schaffen, die nachhaltig und belastbar ist.”

Vonseiten der belgischen Datenschutzaufsichtsbehörde heißt es hingegen: “Obwohl sie das TCF und nicht das gesamte Real-Time-Bidding-System betrifft, wird unsere heutige Entscheidung einen großen Einfluss auf den Schutz der personenbezogenen Daten von Internetnutzern haben. Im TCF-System muss die Ordnung wiederhergestellt werden, damit die Nutzer die Kontrolle über ihre Daten zurückerlangen”, lässt sich Hielke Hijmans, Vorsitzender der Kammer für Rechtsstreitigkeiten der APD, zitieren.

Hauptsächlicher Beschwerdeträger war das Irish Council for Civil Liberties (ICCL) unter der Federführung von Johnny Ryan. Ryan stammt ursprünglich aus der Adtech-Industrie und kämpft jetzt als Bürgerrechtler gegen an. Gemeinsam mit anderen europäischen Datenschützern hatte er in Belgien Beschwerde eingereicht und freut sich über den Urteilsspruch.

Das IAB muss nun also eine rechtliche Grundlage für die Funktionsweise des TCF liefern. Sollte der Verband nicht nachbessern können, wird das Framework für illegal erklärt. Außerdem sieht die Entscheidung der Behörde in dem Fall vor, dass alle Consent-Daten, die mit dem TCF gespeichert wurden, gelöscht werden müssen. Die Folgen sind bislang nicht absehbar. Das US-Branchenmagazin Ad Exchanger sieht hier wie immer Google als Gewinner. Demnach soll das RTB-Protokoll des Konzerns letztlich die einzige Alternative sein, um Nutzereinwilligungen zu sammeln und für die Online-Werbung zu nutzen.