{"id":2372,"date":"2025-05-23T11:30:33","date_gmt":"2025-05-23T09:30:33","guid":{"rendered":"https:\/\/blog.eprivacy.eu\/?p=2372"},"modified":"2025-05-23T11:30:33","modified_gmt":"2025-05-23T09:30:33","slug":"belgisches-berufungsgericht-bestaetigt-dsgvo-verstoesse-in-frueherer-version-des-tcf-standards-fuer-tracking-einwilligungen","status":"publish","type":"post","link":"https:\/\/blog.eprivacy.eu\/?p=2372&lang=de","title":{"rendered":"Belgisches Berufungsgericht best\u00e4tigt DSGVO-Verst\u00f6\u00dfe in fr\u00fcherer Version des TCF-Standards f\u00fcr Tracking-Einwilligungen"},"content":{"rendered":"\n<p><strong>Was die Entscheidung f\u00fcr Unternehmen aus der Onlinemarketing-Branche bedeutet<\/strong><\/p>\n\n\n\n<p>Am 14. Mai hat das Br\u00fcsseler Berufungsgericht das vorl\u00e4ufig letzte Urteil im langj\u00e4hrigen Streit zwischen dem Verband der Onlinemarketingbranche IAB Europe und der belgischen Datenschutzbeh\u00f6rde APD gef\u00e4llt (Az.&nbsp;2022\/AR\/292). W\u00e4hrend die urspr\u00fcngliche Entscheidung der Datenschutzbeh\u00f6rde aus Verfahrensgr\u00fcnden aufgehoben wurde, best\u00e4tigte das Gericht mehrere ihrer wichtigsten inhaltlichen Feststellungen. Das Urteil hat weitreichende Folgen f\u00fcr das Transparency and Consent Framework, den von IAB Europe entwickelten Branchenstandard f\u00fcr die Erhebung und Nutzung von Tracking-Einwilligungen in der Onlinewerbung.<br><br>IAB Europe muss nach&nbsp;<strong>unserer Einsch\u00e4tzung des Urteils<\/strong>&nbsp;nun zus\u00e4tzlich zu den bereits in der TCF-Version 2.2 erfolgten Anpassungen voraussichtlich ein&nbsp;<strong>weiteres \u201eUpdate\u201c&nbsp;<\/strong>vornehmen. Unternehmen, die sich auf den TCF-Standard st\u00fctzen, sollten die Umsetzung des Urteils im Auge behalten.<br><br><strong>Hintergrund des Falls<\/strong><\/p>\n\n\n\n<p>Im Februar 2022 hatte die belgische Datenschutzbeh\u00f6rde in einer vielbeachteten Entscheidung festgestellt, dass der TCF-Standard von IAB Europe in mehrfacher Hinsicht gegen die Datenschutzgrundverordnung versto\u00dfe. Die APD war zu dem Schluss gekommen, dass IAB Europe bei der Verarbeitung von TCF-basierten Einwilligungs-Einstellungen von Nutzern (\u201eConsent Signals\u201c) als gemeinsamer Verantwortlicher der handelnden Unternehmen anzusehen sei. Sie verh\u00e4ngte eine Geldbu\u00dfe in H\u00f6he von 250.000 Euro und wies IAB Europe an, verschiedene Anpassungen am TCF-Standard vorzunehmen.<br><br>IAB Europe legte gegen die Entscheidung Berufung ein, woraufhin die Br\u00fcsseler Richter dem Europ\u00e4ischen Gerichtshof zun\u00e4chst eine Reihe von Vorfragen vorlegten. In seinem Urteil vom M\u00e4rz 2024 best\u00e4tigte der EuGH dann, dass es sich bei der nutzerspezifischen Einwilligungs-Codierung (\u201eTC String\u201c) in der Tat um personenbezogene Daten handele und dass IAB Europe bei deren Verarbeitung als gemeinsamer Verantwortlicher angesehen werden kann. Das jetzt gef\u00e4llte Urteil setzt die Vorabentscheidung des EuGH um und schlie\u00dft den Fall vorerst ab.<br><br><strong>Inhalt des Urteils<\/strong><\/p>\n\n\n\n<p>Das Br\u00fcsseler Berufungsgericht erkl\u00e4rte die Entscheidung der belgischen Datenschutzbeh\u00f6rde aufgrund von Verfahrensm\u00e4ngeln zwar f\u00fcr nichtig \u2013 best\u00e4tigte ihre inhaltlichen Schlussfolgerungen jedoch weitgehend:&nbsp;<\/p>\n\n\n\n<ul><li>Die Einwilligungs-Codes&nbsp;<strong>(\u201eTC Strings\u201c) sind personenbezogene<\/strong>&nbsp;Daten, auf ihre Verarbeitung ist die DSGVO ist also voll anwendbar. Diese Einsch\u00e4tzung hatten wir seit dem Beginn des Verfahrens geteilt \u2013 sofern man den TC String zusammen mit den jeweiligen Tracking-Identifikatoren betrachtet \u2013 und mit unseren Kunden umgesetzt.<\/li><li>IAB Europe ist hinsichtlich der Erstellung, Speicherung und Weiterleitung von TC Strings zusammen mit den am TCF teilnehmenden Unternehmen als&nbsp;<strong>datenschutzrechtlich gemeinsam Verantwortlicher<\/strong>&nbsp;anzusehen. Das Berufungsgericht setzt damit die Linie der Datenschutzbeh\u00f6rden und Gerichte fort, den Anwendungsbereich der gemeinsamen Verantwortlichkeit weit zu ziehen.<\/li><li>IAB Europe muss sicherstellen, dass f\u00fcr die&nbsp;<strong>Verarbeitung der TC&nbsp;Strings eine Rechtsgrundlage<\/strong>&nbsp;(sprich: eine Einwilligung der betroffenen Nutzer) vorliegt.<\/li><li>Dar\u00fcber hinaus m\u00fcssen hinsichtlich Transparenz und Datensicherheit bei der Verarbeitung von TC Strings zus\u00e4tzliche Schritte getroffen werden.<\/li><li>Die gegen IAB Europe verh\u00e4ngte Geldbu\u00dfe in H\u00f6he von 250.000 \u20ac wurde aufrecht erhalten.<\/li><\/ul>\n\n\n\n<p><strong>Praktische Folgen des Urteils f\u00fcr Unternehmen, die Online-Werbung auf der Grundlage des TCF schalten oder ausspielen<\/strong><\/p>\n\n\n\n<p>Auch wenn das IAB Europe als Reaktion auf die Entscheidung der belgischen Datenschutzbeh\u00f6rde bereits Anpassungen vorgenommen und dazu im Mai 2023 auf die Version 2.2 umgestellt hatte, wird das Urteil eine&nbsp;<strong>weitere \u00dcberarbeitung des TCF-Standards<\/strong>&nbsp;erforderlich machen. Diese k\u00f6nnte folgenderma\u00dfen aussehen:&nbsp;<\/p>\n\n\n\n<ol><li>Es ist davon auszugehen, dass die dem TCF zugrunde liegende&nbsp;<strong>Nutzungsvereinbarung um eine Vereinbarung \u00fcber eine gemeinsame Verantwortlichkeit&nbsp;<\/strong>gem\u00e4\u00df Art. 26 DSGVO hinsichtlich der Verarbeitung der TC Strings erg\u00e4nzt wird. Darin w\u00fcrden die teilnehmenden Unternehmen lediglich erneut vertraglich zur Einhaltung der Transparenzvorschriften und zum ordnungsgem\u00e4\u00dfen Einwilligungsmanagement verpflichtet; dar\u00fcber hinaus w\u00fcrde darin die Verantwortlichkeit insbesondere f\u00fcr die Beantwortung von Betroffenenrechteanfragen geregelt. F\u00fcr am TCF teilnehmende Unternehmen, die das TCF 2.2 bereits jetzt ordnungsgem\u00e4\u00df umgesetzt haben, ist die praktische Bedeutung dieser Anpassung gering.<br>&nbsp;<\/li><li>Eine M\u00f6glichkeit, um eine ausreichende Rechtsgrundlage f\u00fcr die Erstellung, Speicherung und \u00dcbermittlung der TC Strings zu schaffen, kann der bei der Umstellung auf das TCF 2.2 bereits aufgenommene&nbsp;<strong>zus\u00e4tzliche Verarbeitungszweck<\/strong>&nbsp;(\u201eConsent Purpose\u201c) sein, der bei den Nutzern regelm\u00e4\u00dfig mit abgefragt wird. Alle Unternehmen, die diese Daten als so genannte Vendoren empfangen und nutzen, wurden von IAB Europe bereits aufgefordert, ihre Registrierung dementsprechend zu erg\u00e4nzen. Hier k\u00f6nnte es sich jetzt also lohnen, die ordnungsgem\u00e4\u00dfe Umsetzung dieser Anforderung noch einmal zu \u00fcberpr\u00fcfen. Wer innerhalb des TCF lediglich als Publisher agiert, muss hier jedoch weiterhin nichts tun, au\u00dfer f\u00fcr die Einwilligungsabfrage einen TCF-konformen CMP-Dienst einzusetzen.<br>&nbsp;<\/li><li>Publisher und an sie angeschlossene Vermarktungsunternehmen (Vendoren) m\u00fcs- sen die&nbsp;<strong>Einhaltung der Anforderungen an TCF-Teilnehmer<\/strong>&nbsp;strenger kontrollie-<br>ren &#8211; wovon letztlich alle teilnehmenden Unternehmen profitieren sollten.<\/li><\/ol>\n\n\n\n<p>Eine alternative Vorgehensweise f\u00fcr IAB Europe w\u00e4re, die Nutzungsvereinbarung f\u00fcr am TCF teilnehmende Unternehmen dahin gehend umzuschreiben, dass es seine eigene Rolle noch weiter zur\u00fcck nimmt, um eine gemeinsame Verantwortlichkeit doch noch zu vermeiden. Auf diese Weise w\u00fcrden die praktischen Konsequenzen der Entscheidung noch weiter reduziert.<br><br>Da im Netz teilweise Gegenteiliges zu lesen ist, sei an dieser Stelle aber noch einmal ausdr\u00fccklich festgehalten: An der grunds\u00e4tzlichen&nbsp;<strong>Architektur des TCF<\/strong>&nbsp;wird sich in der Folge dieses Urteils aller Voraussicht nach&nbsp;<strong>nichts \u00e4ndern<\/strong>.<br><br><strong>Ausblick<\/strong><\/p>\n\n\n\n<p>F\u00fcr Unternehmen, die Online-Werbung auf der Grundlage des TCF schalten oder ausspielen, kann die jetzt vorliegende Entscheidung aber zum Anlass dienen, die eigene&nbsp;<strong>TCF-Compliance zu \u00fcberpr\u00fcfen<\/strong>&nbsp;\u2013 wir helfen gern dabei. Wer bislang au\u00dferhalb des TCF-Standards agierte, kann seine Entscheidung nun noch einmal \u00fcberdenken. Da die beschriebenen Anforderungen im Wesentlichen bereits umgesetzt sind, ist die&nbsp;<strong>Rechtssicherheit des Einwilligungsmanagements f\u00fcr die Online-Werbung<\/strong>&nbsp;f\u00fcr die teilnehmenden Unternehmen in der aktuellen TCF-Version letztlich sogar&nbsp;<strong>gewachsen<\/strong>.<\/p>\n\n\n\n<p>(Dr. Lukas Mezger, Unverzagt Law)<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Was die Entscheidung f\u00fcr Unternehmen aus der Onlinemarketing-Branche bedeutet Am 14. Mai hat das Br\u00fcsseler Berufungsgericht das vorl\u00e4ufig letzte Urteil im langj\u00e4hrigen<\/p>\n<p class=\"link-more\"><a class=\"myButt \" href=\"https:\/\/blog.eprivacy.eu\/?p=2372&#038;lang=de\">Read More<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":[],"categories":[10],"tags":[],"_links":{"self":[{"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/posts\/2372"}],"collection":[{"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=2372"}],"version-history":[{"count":1,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/posts\/2372\/revisions"}],"predecessor-version":[{"id":2373,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=\/wp\/v2\/posts\/2372\/revisions\/2373"}],"wp:attachment":[{"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=2372"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=2372"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/blog.eprivacy.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=2372"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}