Das TCF in der aktuellen Version 2.0 stellt die Infrastruktur bereit, mit der Nutzereinwilligungen zur Datenverarbeitung im Werbekosmos erhoben und korrekt in der technologischen Kette weitergegeben werden. Vom Interactive Advertising Bureau (IAB) federführend aus der Taufe gehoben, greifen heute etliche Marktteilnehmer in der Digitalwerbung auf das Framework zurück.

Im Februar des vergangenen Jahres ging jedoch eine Beschwerde bei der belgischen Datenschutzbehörde L'Autorité de protection des données (APD) ein. Das Irish Council for Civil Liberties (ICCL) sah in dem TCF Verletzungen der Datenschutz-Grundverordnung (DSGVO), die von der APD bestätigt wurden. Dagegen ging das IAB wiederum gerichtlich vor und man stritt sich vor dem Appellationsgericht in Brüssel. Im September ging es nach dem Market Court erwartungsgemäß in die nächste Instanz vor den Europäischen Gerichtshof in Luxemburg, denn zwei Fragen konnten nicht geklärt werden: Erstens, ist der sogenannte TC String bereits ein personenbezogenes Datum? Dabei handelt es sich um ein Signal mit Informationen zur Entscheidung des Nutzers für oder gegen die Zwecke der Datenverarbeitung, das in der Kette weitergereicht wird. Zweitens, ist das IAB für das TCF verantwortlich im Sinne der DSGVO, das einen “Data Controller” definiert?

Heiko Staab, Co-Founder der Traffective GmbH und Datenschutzexperte, macht die Komplexität dieser Fragestellung deutlich: “Ist der Artikel 4.1 der DSGVO in Verbindung mit den Artikeln 7 und 8 der Charta der Grundrechte der Europäischen Union dahin auszulegen, dass eine Zeichenkette, die die Präferenzen eines Internetnutzers im Zusammenhang mit der Verarbeitung seiner personenbezogenen Daten in strukturierter und maschinenlesbarer Form erfasst, tatsächlich ein personenbezogenes Datum?” EU-Bürger hätten schließlich Grundrechte zum Schutz der sie betreffenden personenbezogenen Daten und hierzu müsse dies auch individuell konfigurierbar bleiben. “Falls ja, wer ist dann Verantwortlicher? Der Verband IAB, der seinen Mitgliedern einen Standard zur Verfügung stellt, mit dem er vorschreibt, wie diese Zeichenkette in der Praxis technisch erzeugt, gespeichert und/oder verbreitet werden muss, oder die Parteien, die diesen Standard auf ihren Websites oder in ihren Apps nutzen und somit Zugang zu dieser Zeichenfolge haben?”

Das IAB arbeitete nach der Entscheidung der APD einen Aktionsplan mit technischen Änderungen am TCF aus, um den Ansprüchen der Datenschutzbehörde gerecht zu werden, und legte diesen bereits im April vor. Die APD lässt jetzt verlauten, dass sie mit den Vorschlägen d’accord ist. Aber der Verband möchte den Plan wiederum gar nicht in die Tat umsetzen, da der EuGH sich immer noch gegen die Interpretation der DSGVO durch die APD entscheiden kann – und für diejenige des IAB – oder gar gravierendere Änderungen fordert. Dann müsste das TCF 2.0 entweder nicht weiter angepasst, oder anders überarbeitet und somit etwaige Änderungen, die bis dato erfolgten, wieder rückgängig gemacht werden.

Infolgedessen spricht das IAB in einer offiziellen Meldung von “großen Vorbehalten“, da die APD den Antworten des EuGH vorgreife. “Es ist wichtig zu bedenken, dass die Umsetzung des Aktionsplans, den das IAB Europe nun innerhalb von sechs Monaten umsetzen muss, für die TCF-Teilnehmer operative Änderungen mit sich bringen würde, die letztendlich vom Europäischen Gerichtshof als unzureichend eingestuft werden könnten”, folgert Townsend Feehan, CEO vom IAB Europe.

Nicht nur das IAB, die APD und die klagenden Datenschützer blicken gespannt nach Luxemburg. Auch die Werbeindustrie wartet auf eine endgültige Entscheidung des EuGH, denn nur diese kann Rechtssicherheit für das TCF herstellen. So sagt Tom Peruzzi, Sprecher der Geschäftsführung und CTO Virtual Minds, er hätte auf die Beantwortung der ausstehenden Fragen durch den EuGH vorab gehofft, sähe aber jeden Schritt in Richtung Rechtssicherheit für alle Teilnehmer als positiv an. "Als Adtech-Anbieter wünschen wir uns ein zeitnah in der Werbe- und Digitalindustrie in Europa herbeigeführtes, abgestimmtes Vorgehensmodell zur Umsetzung des Aktionsplans, damit der gesamte Markt möglichst schnell auf einer zukunftssicheren Grundlage agieren kann." Peruzzi sieht hier allem die großen Player wie auch sein Unternehmen selbst als Teil der Intermediäre in der Pflicht. "Unabhängig vom Ausgang des EuGH-Verfahrens sind wir der Ansicht, dass viele im Aktionsplan genannten Punkte eine generell positive Weiterentwicklung des TCF-Standards darstellen, Unsicherheiten der Vergangenheit eliminieren und daher umgesetzt werden sollten." An der Klärung aller Punkte bestehe trotzdem großes Interesse, "damit der Industrie nicht unnötig Kosten und weitere Risiken entstehen."