Nexvyra

EuGH C-604/22 (IAB Europe, DSGVO 2016/679) – TC String als personenbezogenes Datum und gemeinsame Verantwortlichkeit beim Real Time Bidding

Inhaltlich verantwortet von Andreas Warkentin (warepoint-media GbR) · zuletzt geprüft am 2026-09-01 · Quellenautorität A (amtliche Primärquelle) Fehler melden ✉

Kurzantwort

Mit Urteil vom 7. März 2024 in der Rechtssache C-604/22 (IAB Europe ./. Gegevensbeschermingsautoriteit), ECLI:EU:C:2024:214, hat der Gerichtshof der Europäischen Union (Vierte Kammer) zwei Fragen entschieden, die das gesamte Geschäftsmodell der personalisierten Online-Werbung betreffen:

Erstens: Der TC String („Transparency and Consent String") – die Zeichenkette, in der das Transparency & Consent Framework (TCF) von IAB Europe die Einwilligungs- und Widerspruchspräferenzen eines Nutzers kodiert – ist ein personenbezogenes Datum im Sinne von Art. 4 Nr. 1 DSGVO, sobald er mit einer Kennung wie der IP-Adresse des Endgeräts verknüpft werden kann. Dass die Branchenorganisation selbst den String nicht auflösen kann, ändert daran nichts.

Zweitens: IAB Europe ist für die Erzeugung und Speicherung des TC String gemeinsam Verantwortliche im Sinne von Art. 4 Nr. 7 und Art. 26 DSGVO – gemeinsam mit ihren Mitgliedern (Publisher, Consent-Management-Anbieter, Werbeplattformen). Dafür ist kein eigener Zugriff auf die personenbezogenen Daten erforderlich. Für die nachgelagerten Verarbeitungen in der Real-Time-Bidding-Kette (Profilbildung, Gebotsanfragen, Auslieferung der Werbung) ist IAB Europe dagegen nicht automatisch mitverantwortlich – nur wenn sich nachweisen lässt, dass sie auch dort auf Zwecke und Mittel Einfluss nimmt.

Praktische Folge für deutsche Website- und App-Betreiber: Wer ein TCF-basiertes Cookie-Banner einsetzt, verarbeitet mit dem TC String personenbezogene Daten und braucht dafür eine tragfähige Rechtsgrundlage, Transparenz nach Art. 13 DSGVO und – für den Zugriff auf das Endgerät – eine Einwilligung nach § 25 Abs. 1 TDDDG. Das VG Hannover hat diese Linie in seinem Cookie-Banner-Urteil vom 19.03.2025 (10 A 5385/22) ausdrücklich übernommen.

Kernfakten

PunktWert
AktenzeichenC-604/22 (Vorabentscheidungsersuchen)
BezeichnungIAB Europe ./. Gegevensbeschermingsautoriteit
Entscheidungsdatum07.03.2024
SpruchkörperGerichtshof (Vierte Kammer)
ECLIEU:C:2024:214
CELEX-Nummer62022CJ0604
Amtliche PressemitteilungNr. 44/24 vom 07.03.2024
dejure-Permalinkhttps://dejure.org/2024,3916
Vorlegendes GerichtHof van beroep te Brussel / Marktgericht Brüssel (Belgien)
Ausgelegte NormenArt. 4 Nr. 1 DSGVO (personenbezogene Daten), Art. 4 Nr. 7 und Art. 26 Abs. 1 DSGVO (gemeinsame Verantwortlichkeit)
StreitgegenstandBeschluss der belgischen Datenschutzbehörde (APD/GBA), Kammerentscheidung 21/2022 vom 02.02.2022 zum TCF v2.0
Leitsatz 1Der TC String ist ein personenbezogenes Datum, wenn er mit angemessenen Mitteln – etwa über die IP-Adresse – einer natürlichen Person zugeordnet werden kann
Leitsatz 1 (Ergänzung)Es ist nicht erforderlich, dass die Branchenorganisation selbst Zugriff auf die Zusatzinformationen hat oder den String selbst auflösen kann
Leitsatz 2IAB Europe ist gemeinsam Verantwortliche für die Erfassung der Einwilligungspräferenzen im TC String (Art. 4 Nr. 7, Art. 26 Abs. 1 DSGVO)
Leitsatz 2 (Grenze)Keine automatische Mitverantwortlichkeit für nachgelagerte Verarbeitungen nach Erzeugung des TC String – nur bei nachgewiesenem Einfluss auf deren Zwecke und Mittel
Kein Zugriff nötigGemeinsame Verantwortlichkeit setzt keinen eigenen Datenzugang voraus (Rn. 57 f., unter Verweis auf C-25/17 Jehovan todistajat)
Keine förmliche Vereinbarung nötigEine schriftliche Vereinbarung nach Art. 26 DSGVO ist nicht Voraussetzung der gemeinsamen Verantwortlichkeit (unter Verweis auf C-683/21)
Anknüpfende EuGH-RechtsprechungC-582/14 (Breyer); C-210/16 (Wirtschaftsakademie); C-25/17 (Jehovan todistajat); C-40/17 (Fashion ID); C-683/21 (Nacionalinis visuomenės sveikatos centras)
Nationale Anschlussnorm (DE)§ 25 Abs. 1 TDDDG – Einwilligung für Speichern/Auslesen von Informationen auf Endeinrichtungen
Bußgeldrahmen bei Verstoßbis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO)
Ausgangsverfahren: Geldbuße250.000 EUR (APD-Entscheidung 21/2022)
Ausgangsverfahren: StandMarktgericht Brüssel, Urteil vom 14.05.2025; Folgeurteil zur Aktionsplan-Validierung Januar 2026 – Verfahrensstand prüfen
TCF-Versionv2.0 war Streitgegenstand; seit Februar 2026 gilt in der Branche TCF v2.3 – Konformität nicht gerichtlich bestätigt
BindungswirkungVorabentscheidung bindet das vorlegende Gericht und alle mitgliedstaatlichen Gerichte in gleichgelagerten Fällen

Geltungsbereich

Das Urteil legt die Verordnung (EU) 2016/679 (DSGVO) aus. Die DSGVO ist eine EU-Verordnung und gilt in Deutschland unmittelbar – ein nationales Umsetzungsgesetz ist nicht erforderlich. Die Auslegung durch den EuGH ist für deutsche Gerichte und Aufsichtsbehörden verbindlich.

Betroffen sind praktisch alle Akteure der digitalen Werbewirtschaft mit EU-Bezug:

Ergänzend gilt in Deutschland für das Speichern und Auslesen von Informationen auf dem Endgerät (Cookies, Local Storage, Device Fingerprinting) § 25 TDDDG. Diese Norm setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG um und verlangt – von engen Ausnahmen abgesehen – eine Einwilligung, unabhängig davon, ob personenbezogene Daten betroffen sind.

Was der EuGH konkret entschieden hat

1. Der TC String ist ein personenbezogenes Datum. Der Begriff „personenbezogene Daten" ist nach ständiger Rechtsprechung weit auszulegen (Rn. 36 f.). Für die Einstufung genügt eine indirekte Identifizierbarkeit; es ist nicht erforderlich, dass sich alle zur Identifizierung nötigen Informationen in einer Hand befinden (Rn. 39, unter Verweis auf Breyer, C-582/14). Der TC String kodiert Präferenzen eines konkreten Nutzers und wird zusammen mit einem Cookie gesetzt; werden beide kombiniert, lässt sich der String mit der IP-Adresse des Endgeräts verknüpfen. Damit lässt sich ein Profil erstellen und die Person identifizieren. Dass IAB Europe selbst die Zusatzinformationen nicht besitzt, ist unerheblich – entscheidend ist, dass sie nach ihren Statuten von den Mitgliedern die erforderlichen Angaben verlangen kann.

2. IAB Europe ist gemeinsam Verantwortliche – für den TC String. Der Begriff „Verantwortlicher" ist ebenfalls weit gefasst, um einen wirksamen Schutz zu gewährleisten (Rn. 55). Er erfasst „allein oder gemeinsam mit anderen" entscheidende Stellen (Rn. 56). Wer aus Eigeninteresse auf die Verarbeitung Einfluss nimmt und an der Entscheidung über Zwecke und Mittel mitwirkt, ist Verantwortlicher (Rn. 57). Und ausdrücklich: Die gemeinsame Verantwortlichkeit setzt nicht voraus, dass jeder Beteiligte Zugang zu den Daten hat (Rn. 58). IAB Europe gibt ihren Mitgliedern verbindliche technische Spezifikationen und Regeln für die Erzeugung, Speicherung und Auslesung des TC String vor – das genügt. Eine förmliche Vereinbarung nach Art. 26 DSGVO ist keine Voraussetzung; sie ist eine Rechtsfolge, keine Bedingung.

3. Grenze der Verantwortlichkeit: nachgelagerte Verarbeitungen. Unbeschadet einer etwaigen zivilrechtlichen Haftung nach nationalem Recht kann eine Stelle nicht für vor- oder nachgelagerte Vorgänge einer Verarbeitungskette verantwortlich sein, für die sie weder Zwecke noch Mittel festlegt (unter Verweis auf Fashion ID, C-40/17, Rn. 74). Für die Weiterverarbeitung im Real-Time-Bidding – Profilbildung, Gebotsanfragen, Auslieferung – ist IAB Europe daher nur dann mitverantwortlich, wenn das vorlegende Gericht einen entsprechenden Einfluss feststellt. Diese Prüfung hat der EuGH ausdrücklich dem nationalen Gericht überlassen.

Was das für Website- und App-Betreiber in Deutschland bedeutet

Der TC String ist kein „technisches Metadatum". Wer ihn setzt, ausliest oder weitergibt, verarbeitet personenbezogene Daten. Damit greifen sämtliche DSGVO-Pflichten: Rechtsgrundlage (Art. 6), Informationspflichten (Art. 13), Verzeichnis der Verarbeitungstätigkeiten (Art. 30), Betroffenenrechte (Art. 15–21).

Zwei Rechtsgrundlagen sind nötig, nicht eine. Für den technischen Zugriff auf das Endgerät: § 25 Abs. 1 TDDDG (Einwilligung). Für die anschließende Verarbeitung der so erlangten Daten: Art. 6 DSGVO. Beide Ebenen müssen getrennt geprüft und dokumentiert werden.

Die Rolle im TCF muss geklärt werden. Publisher und CMP-Anbieter sind nach der Logik des Urteils typischerweise gemeinsam Verantwortliche mit IAB Europe für die Erfassung der Präferenzen. Das löst die Pflicht aus Art. 26 Abs. 1 DSGVO aus, die jeweiligen Pflichten in einer Vereinbarung transparent festzulegen und das Wesentliche daraus den betroffenen Personen zugänglich zu machen (Art. 26 Abs. 2). Fehlt diese Vereinbarung, ist das ein eigenständiger Verstoß.

Betroffene können sich an jeden Verantwortlichen wenden. Nach Art. 26 Abs. 3 DSGVO kann die betroffene Person ihre Rechte gegenüber jedem einzelnen gemeinsam Verantwortlichen geltend machen – unabhängig davon, was intern vereinbart wurde. Für Publisher heißt das: Auskunfts- und Löschanfragen zum TC String können direkt bei ihnen landen.

Nachweislast. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO liegt beim Verantwortlichen. Im Aufsichtsverfahren wird verlangt: dokumentierte Rollenzuordnung, Art.-26-Vereinbarung, Einwilligungsnachweis mit Zeitstempel und Bannerversion, Verzeichnis der eingebundenen Vendoren, Prüfung, welche Zwecke tatsächlich auf Einwilligung und welche auf ein berechtigtes Interesse gestützt werden.

Sanktionsrisiko. Verstöße gegen Art. 5, 6 und die Betroffenenrechte fallen in den oberen Bußgeldrahmen des Art. 83 Abs. 5 DSGVO: bis 20 Mio. EUR oder 4 % des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist. Verstöße gegen Art. 26 DSGVO fallen in den Rahmen des Art. 83 Abs. 4 DSGVO: bis 10 Mio. EUR oder 2 %. Hinzu kommen Schadensersatzansprüche nach Art. 82 DSGVO und – nach der deutschen Rechtsprechung zu Tracking-Tools – Unterlassungs- und Auskunftsklagen von Nutzern.

Deutsche Anschlussrechtsprechung

Häufige Fehler

Quellen

Änderungsverlauf

Siehe auch

Stand