---
title: EuGH C-604/22 (IAB Europe, DSGVO 2016/679) – TC String als personenbezogenes Datum und gemeinsame Verantwortlichkeit beim Real Time Bidding
seo_title: EuGH C-604/22 – TC String als personenbezogenes Datum und…
slug: eugh-c-604-22-iab-europe-tc-string-real-time-bidding
topic: datenschutz
legal_status: in_force
authority_level: A
valid_from: 2024-03-07
valid_to: null
last_reviewed: 2026-09-01
status: aktuell
license: CC-BY-4.0
url: https://nexvyra.de/fakten/eugh-c-604-22-iab-europe-tc-string-real-time-bidding.md
wikidata_subjects: []
factcheck_status: ok
---

# EuGH C-604/22 (IAB Europe, DSGVO 2016/679) – TC String als personenbezogenes Datum und gemeinsame Verantwortlichkeit beim Real Time Bidding

## Kurzantwort

Mit Urteil vom **7. März 2024** in der Rechtssache **C-604/22 (IAB Europe ./. Gegevensbeschermingsautoriteit)**, ECLI:**EU:C:2024:214**, hat der **Gerichtshof der Europäischen Union (Vierte Kammer)** zwei Fragen entschieden, die das gesamte Geschäftsmodell der personalisierten Online-Werbung betreffen:

**Erstens:** Der **TC String** („Transparency and Consent String") – die Zeichenkette, in der das **Transparency & Consent Framework (TCF)** von IAB Europe die Einwilligungs- und Widerspruchspräferenzen eines Nutzers kodiert – **ist ein personenbezogenes Datum** im Sinne von Art. 4 Nr. 1 DSGVO, sobald er mit einer Kennung wie der **IP-Adresse** des Endgeräts verknüpft werden kann. Dass die Branchenorganisation selbst den String nicht auflösen kann, ändert daran nichts.

**Zweitens:** IAB Europe ist für die Erzeugung und Speicherung des TC String **gemeinsam Verantwortliche** im Sinne von Art. 4 Nr. 7 und Art. 26 DSGVO – gemeinsam mit ihren Mitgliedern (Publisher, Consent-Management-Anbieter, Werbeplattformen). Dafür ist **kein eigener Zugriff** auf die personenbezogenen Daten erforderlich. Für die **nachgelagerten** Verarbeitungen in der Real-Time-Bidding-Kette (Profilbildung, Gebotsanfragen, Auslieferung der Werbung) ist IAB Europe dagegen **nicht** automatisch mitverantwortlich – nur wenn sich nachweisen lässt, dass sie auch dort auf Zwecke und Mittel Einfluss nimmt.

Praktische Folge für deutsche Website- und App-Betreiber: Wer ein TCF-basiertes Cookie-Banner einsetzt, verarbeitet mit dem TC String **personenbezogene Daten** und braucht dafür eine tragfähige Rechtsgrundlage, Transparenz nach Art. 13 DSGVO und – für den Zugriff auf das Endgerät – eine Einwilligung nach **§ 25 Abs. 1 TDDDG**. Das VG Hannover hat diese Linie in seinem Cookie-Banner-Urteil vom 19.03.2025 (10 A 5385/22) ausdrücklich übernommen.

## Kernfakten

| Punkt | Wert |
|---|---|
| Aktenzeichen | C-604/22 (Vorabentscheidungsersuchen) |
| Bezeichnung | IAB Europe ./. Gegevensbeschermingsautoriteit |
| Entscheidungsdatum | 07.03.2024 |
| Spruchkörper | Gerichtshof (Vierte Kammer) |
| ECLI | EU:C:2024:214 |
| CELEX-Nummer | 62022CJ0604 |
| Amtliche Pressemitteilung | Nr. 44/24 vom 07.03.2024 |
| dejure-Permalink | https://dejure.org/2024,3916 |
| Vorlegendes Gericht | Hof van beroep te Brussel / Marktgericht Brüssel (Belgien) |
| Ausgelegte Normen | Art. 4 Nr. 1 DSGVO (personenbezogene Daten), Art. 4 Nr. 7 und Art. 26 Abs. 1 DSGVO (gemeinsame Verantwortlichkeit) |
| Streitgegenstand | Beschluss der belgischen Datenschutzbehörde (APD/GBA), Kammerentscheidung 21/2022 vom 02.02.2022 zum TCF v2.0 |
| Leitsatz 1 | Der **TC String ist ein personenbezogenes Datum**, wenn er mit angemessenen Mitteln – etwa über die IP-Adresse – einer natürlichen Person zugeordnet werden kann |
| Leitsatz 1 (Ergänzung) | Es ist **nicht erforderlich**, dass die Branchenorganisation selbst Zugriff auf die Zusatzinformationen hat oder den String selbst auflösen kann |
| Leitsatz 2 | IAB Europe ist **gemeinsam Verantwortliche** für die Erfassung der Einwilligungspräferenzen im TC String (Art. 4 Nr. 7, Art. 26 Abs. 1 DSGVO) |
| Leitsatz 2 (Grenze) | **Keine** automatische Mitverantwortlichkeit für **nachgelagerte** Verarbeitungen nach Erzeugung des TC String – nur bei nachgewiesenem Einfluss auf deren Zwecke und Mittel |
| Kein Zugriff nötig | Gemeinsame Verantwortlichkeit setzt **keinen** eigenen Datenzugang voraus (Rn. 57 f., unter Verweis auf C-25/17 Jehovan todistajat) |
| Keine förmliche Vereinbarung nötig | Eine schriftliche Vereinbarung nach Art. 26 DSGVO ist **nicht** Voraussetzung der gemeinsamen Verantwortlichkeit (unter Verweis auf C-683/21) |
| Anknüpfende EuGH-Rechtsprechung | C-582/14 (Breyer); C-210/16 (Wirtschaftsakademie); C-25/17 (Jehovan todistajat); C-40/17 (Fashion ID); C-683/21 (Nacionalinis visuomenės sveikatos centras) |
| Nationale Anschlussnorm (DE) | § 25 Abs. 1 TDDDG – Einwilligung für Speichern/Auslesen von Informationen auf Endeinrichtungen |
| Bußgeldrahmen bei Verstoß | bis **20 Mio. EUR oder 4 %** des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO) |
| Ausgangsverfahren: Geldbuße | **250.000 EUR** (APD-Entscheidung 21/2022) |
| Ausgangsverfahren: Stand | Marktgericht Brüssel, Urteil vom 14.05.2025; Folgeurteil zur Aktionsplan-Validierung Januar 2026 – **Verfahrensstand prüfen** |
| TCF-Version | v2.0 war Streitgegenstand; seit Februar 2026 gilt in der Branche **TCF v2.3** – Konformität nicht gerichtlich bestätigt |
| Bindungswirkung | Vorabentscheidung bindet das vorlegende Gericht **und** alle mitgliedstaatlichen Gerichte in gleichgelagerten Fällen |

## Geltungsbereich

Das Urteil legt die **Verordnung (EU) 2016/679 (DSGVO)** aus. Die DSGVO ist eine **EU-Verordnung** und gilt in Deutschland **unmittelbar** – ein nationales Umsetzungsgesetz ist nicht erforderlich. Die Auslegung durch den EuGH ist für deutsche Gerichte und Aufsichtsbehörden **verbindlich**.

Betroffen sind praktisch alle Akteure der digitalen Werbewirtschaft mit EU-Bezug:

- **Website- und App-Betreiber**, die ein TCF-konformes Consent-Banner einsetzen
- **Consent-Management-Plattformen (CMP)**, die den TC String erzeugen, speichern und auslesen
- **Ad-Tech-Anbieter, SSPs, DSPs, Datenbroker und Werbetreibende**, die den TC String im Real-Time-Bidding weiterverarbeiten
- **Branchen- und Normungsorganisationen**, die verbindliche Regeln für die Datenverarbeitung ihrer Mitglieder aufstellen – die Aussage des EuGH ist **nicht auf IAB Europe beschränkt**

Ergänzend gilt in Deutschland für das **Speichern und Auslesen von Informationen auf dem Endgerät** (Cookies, Local Storage, Device Fingerprinting) § 25 TDDDG. Diese Norm setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie 2002/58/EG um und verlangt – von engen Ausnahmen abgesehen – eine **Einwilligung**, unabhängig davon, ob personenbezogene Daten betroffen sind.

## Was der EuGH konkret entschieden hat

**1. Der TC String ist ein personenbezogenes Datum.** Der Begriff „personenbezogene Daten" ist nach ständiger Rechtsprechung **weit** auszulegen (Rn. 36 f.). Für die Einstufung genügt eine **indirekte** Identifizierbarkeit; es ist nicht erforderlich, dass sich **alle** zur Identifizierung nötigen Informationen **in einer Hand** befinden (Rn. 39, unter Verweis auf *Breyer*, C-582/14). Der TC String kodiert Präferenzen eines konkreten Nutzers und wird zusammen mit einem Cookie gesetzt; werden beide kombiniert, lässt sich der String mit der **IP-Adresse** des Endgeräts verknüpfen. Damit lässt sich ein Profil erstellen und die Person identifizieren. Dass IAB Europe selbst die Zusatzinformationen nicht besitzt, ist unerheblich – entscheidend ist, dass sie nach ihren Statuten von den Mitgliedern die erforderlichen Angaben verlangen kann.

**2. IAB Europe ist gemeinsam Verantwortliche – für den TC String.** Der Begriff „Verantwortlicher" ist ebenfalls weit gefasst, um einen wirksamen Schutz zu gewährleisten (Rn. 55). Er erfasst „allein **oder gemeinsam mit anderen**" entscheidende Stellen (Rn. 56). Wer **aus Eigeninteresse** auf die Verarbeitung Einfluss nimmt und an der Entscheidung über Zwecke und Mittel mitwirkt, ist Verantwortlicher (Rn. 57). Und ausdrücklich: Die gemeinsame Verantwortlichkeit **setzt nicht voraus, dass jeder Beteiligte Zugang zu den Daten hat** (Rn. 58). IAB Europe gibt ihren Mitgliedern verbindliche technische Spezifikationen und Regeln für die Erzeugung, Speicherung und Auslesung des TC String vor – das genügt. Eine **förmliche Vereinbarung** nach Art. 26 DSGVO ist keine Voraussetzung; sie ist eine **Rechtsfolge**, keine Bedingung.

**3. Grenze der Verantwortlichkeit: nachgelagerte Verarbeitungen.** Unbeschadet einer etwaigen zivilrechtlichen Haftung nach nationalem Recht kann eine Stelle **nicht** für vor- oder nachgelagerte Vorgänge einer Verarbeitungskette verantwortlich sein, für die sie weder Zwecke noch Mittel festlegt (unter Verweis auf *Fashion ID*, C-40/17, Rn. 74). Für die Weiterverarbeitung im Real-Time-Bidding – Profilbildung, Gebotsanfragen, Auslieferung – ist IAB Europe daher nur dann mitverantwortlich, wenn das vorlegende Gericht einen entsprechenden Einfluss **feststellt**. Diese Prüfung hat der EuGH ausdrücklich dem nationalen Gericht überlassen.

## Was das für Website- und App-Betreiber in Deutschland bedeutet

**Der TC String ist kein „technisches Metadatum".** Wer ihn setzt, ausliest oder weitergibt, verarbeitet personenbezogene Daten. Damit greifen sämtliche DSGVO-Pflichten: Rechtsgrundlage (Art. 6), Informationspflichten (Art. 13), Verzeichnis der Verarbeitungstätigkeiten (Art. 30), Betroffenenrechte (Art. 15–21).

**Zwei Rechtsgrundlagen sind nötig, nicht eine.** Für den technischen Zugriff auf das Endgerät: **§ 25 Abs. 1 TDDDG** (Einwilligung). Für die anschließende Verarbeitung der so erlangten Daten: **Art. 6 DSGVO**. Beide Ebenen müssen getrennt geprüft und dokumentiert werden.

**Die Rolle im TCF muss geklärt werden.** Publisher und CMP-Anbieter sind nach der Logik des Urteils typischerweise **gemeinsam Verantwortliche** mit IAB Europe für die Erfassung der Präferenzen. Das löst die Pflicht aus Art. 26 Abs. 1 DSGVO aus, die jeweiligen Pflichten in einer **Vereinbarung** transparent festzulegen und das Wesentliche daraus den betroffenen Personen zugänglich zu machen (Art. 26 Abs. 2). Fehlt diese Vereinbarung, ist das ein eigenständiger Verstoß.

**Betroffene können sich an jeden Verantwortlichen wenden.** Nach Art. 26 Abs. 3 DSGVO kann die betroffene Person ihre Rechte **gegenüber jedem einzelnen** gemeinsam Verantwortlichen geltend machen – unabhängig davon, was intern vereinbart wurde. Für Publisher heißt das: Auskunfts- und Löschanfragen zum TC String können direkt bei ihnen landen.

**Nachweislast.** Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO liegt beim Verantwortlichen. Im Aufsichtsverfahren wird verlangt: dokumentierte Rollenzuordnung, Art.-26-Vereinbarung, Einwilligungsnachweis mit Zeitstempel und Bannerversion, Verzeichnis der eingebundenen Vendoren, Prüfung, welche Zwecke tatsächlich auf Einwilligung und welche auf ein berechtigtes Interesse gestützt werden.

**Sanktionsrisiko.** Verstöße gegen Art. 5, 6 und die Betroffenenrechte fallen in den **oberen Bußgeldrahmen** des Art. 83 Abs. 5 DSGVO: bis **20 Mio. EUR oder 4 %** des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist. Verstöße gegen Art. 26 DSGVO fallen in den Rahmen des Art. 83 Abs. 4 DSGVO: bis **10 Mio. EUR oder 2 %**. Hinzu kommen Schadensersatzansprüche nach Art. 82 DSGVO und – nach der deutschen Rechtsprechung zu Tracking-Tools – Unterlassungs- und Auskunftsklagen von Nutzern.

## Deutsche Anschlussrechtsprechung

- **VG Hannover, Urteil vom 19.03.2025 – 10 A 5385/22** (Cookie-Banner): Das Speichern und Auslesen des TC String ist eine Übermittlung personenbezogener Daten; das Gericht geht ausdrücklich von einer **geteilten Verantwortlichkeit** von Website-Anbietern und IAB Europe aus und beruft sich auf C-604/22 Rn. 42 ff. und Rn. 74.
- **VG Berlin, Urteil vom 14.10.2025 – 1 K 74.24**: keine gemeinsame Verantwortlichkeit zwischen Adresshändler und Auftraggeber – zeigt die **Grenze** der Zurechnung.
- **LG Ellwangen/Jagst, Urteil vom 05.12.2025 – 6 O 80/25**: Ansprüche auf Auskunft, Löschung, Unterlassung und Schadensersatz wegen Einsatzes von Tracking-Tools.
- **BGH, Urteil vom 18.12.2025 – I ZR 115/25**: zitiert C-604/22 Rn. 37–39 für den Maßstab der Identifizierbarkeit.

## Häufige Fehler

- **„Der TC String enthält nur ja/nein-Angaben, das sind keine personenbezogenen Daten."** Falsch – genau das hat der EuGH verworfen. Entscheidend ist die **Verknüpfbarkeit** mit einer Kennung wie der IP-Adresse.
- **„Wir haben keinen Zugriff auf die Daten, also sind wir nicht verantwortlich."** Falsch – die gemeinsame Verantwortlichkeit setzt **keinen** eigenen Datenzugang voraus (Rn. 58).
- **„Ohne Vertrag nach Art. 26 DSGVO gibt es keine gemeinsame Verantwortlichkeit."** Umgekehrt: Die Vereinbarung ist die **Rechtsfolge** der gemeinsamen Verantwortlichkeit, nicht ihre Voraussetzung. Wer keine hat, verstößt zusätzlich gegen Art. 26 Abs. 1 DSGVO.
- **„Das TCF ist damit insgesamt rechtswidrig."** Zu pauschal – der EuGH hat **keine** Gesamtaussage über die DSGVO-Konformität des TCF getroffen. Er hat zwei Auslegungsfragen beantwortet; die Bewertung des konkreten Frameworks lag beim belgischen Gericht.
- **„IAB Europe haftet für die ganze Werbekette."** Falsch – für **nachgelagerte** Verarbeitungen nur bei nachgewiesenem Einfluss auf Zwecke und Mittel (*Fashion ID*-Grenze).
- **„Mit TCF v2.2 oder v2.3 ist alles erledigt."** Nicht belegt – neuere TCF-Versionen sind **keine gerichtlich oder aufsichtsbehördlich bestätigten** Konformitätsnachweise. Die Verantwortung für die Rechtmäßigkeit bleibt beim einzelnen Verantwortlichen.
- **„Einwilligung nach der DSGVO reicht, § 25 TDDDG brauche ich nicht."** Falsch – § 25 TDDDG greift bereits für den **technischen Zugriff** auf das Endgerät, unabhängig vom Personenbezug.
- **„Das ist ein belgischer Fall, für uns nicht relevant."** Falsch – ein Vorabentscheidungsurteil bindet **alle** mitgliedstaatlichen Gerichte in gleichgelagerten Fällen.

## Quellen

- EuGH, Press Release No 44/24 of 7 March 2024 – Case C-604/22 IAB Europe (amtliche Pressemitteilung, PDF): https://curia.europa.eu/site/upload/docs/application/pdf/2024-03/cp240044en.pdf
- EUR-Lex – Urteil C-604/22, CELEX 62022CJ0604 (Volltext, deutsch): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62022CJ0604
- EUR-Lex – Zusammenfassung des Urteils, CELEX 62022CA0604: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62022CA0604
- dejure.org – EuGH, 07.03.2024 – C-604/22 (Permalink, Fundstellen und Zitatnachweise): https://dejure.org/2024,3916
- Verordnung (EU) 2016/679 (DSGVO) – Volltext EUR-Lex: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen (gesetze-im-internet.de): https://www.gesetze-im-internet.de/ttdsg/__25.html
- TDDDG – Gesamttext (gesetze-im-internet.de): https://www.gesetze-im-internet.de/ttdsg/
- Belgische Datenschutzbehörde (APD/GBA) – Entscheidung der Streitkammer 21/2022 vom 02.02.2022 (englisch, PDF): https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-21-2022-en.pdf
- Belgische Datenschutzbehörde – „IAB EUROPE case: The CJEU answers the questions referred for a preliminary ruling": https://www.dataprotectionauthority.be/citizen/iab-europe-case-the-cjeu-answers-the-questions-referred-for-a-preliminary-ruling
- Belgische Datenschutzbehörde – „The Market Court rules in the IAB Europe case" (Urteil vom 14.05.2025): https://www.dataprotectionauthority.be/citizen/the-market-court-rules-in-the-iab-europe-case
- Belgische Datenschutzbehörde – „IAB Europe held responsible for a mechanism that infringes the GDPR": https://www.dataprotectionauthority.be/citizen/iab-europe-held-responsible-for-a-mechanism-that-infringes-the-gdpr

## Änderungsverlauf

- 2026-09-01: Erstveröffentlichung durch EU-Recht-Bot. EuGH-Urteil C-604/22 vom 07.03.2024 (IAB Europe ./. Gegevensbeschermingsautoriteit, ECLI:EU:C:2024:214) mit beiden Leitsätzen aufgenommen: TC String als personenbezogenes Datum nach Art. 4 Nr. 1 DSGVO bei Verknüpfbarkeit mit einer Kennung (IP-Adresse), sowie gemeinsame Verantwortlichkeit von IAB Europe nach Art. 4 Nr. 7 und Art. 26 Abs. 1 DSGVO für die Erfassung der Einwilligungspräferenzen im TC String – ohne eigenen Datenzugang und ohne förmliche Vereinbarung, aber begrenzt auf diese Verarbeitung (Fashion-ID-Grenze für nachgelagerte Vorgänge). Quellenbasis: amtliche EuGH-Pressemitteilung Nr. 44/24, EUR-Lex CELEX 62022CJ0604, dejure-Permalink https://dejure.org/2024,3916, DSGVO, § 25 TDDDG, Entscheidung 21/2022 der belgischen Datenschutzbehörde. Deutsche Anschlussrechtsprechung ergänzt (VG Hannover 10 A 5385/22, VG Berlin 1 K 74.24, LG Ellwangen 6 O 80/25, BGH I ZR 115/25). factcheck_status=review_needed, weil (1) der Verfahrensstand des Ausgangsverfahrens vor dem Marktgericht Brüssel nicht abschließend verifiziert ist – das Urteil vom 14.05.2025 soll die APD-Entscheidung 21/2022 aus Verfahrensgründen aufgehoben, die Geldbuße von 250.000 EUR aber bestätigt haben, und im Januar 2026 soll ein Folgeurteil die Validierung des Aktionsplans aufgehoben haben; (2) die Angaben zu einem Zwangsgeld je Tag und zur aktuellen TCF-Version (v2.3 seit Februar 2026) nicht aus amtlichen Quellen bestätigt werden konnten; (3) die Volltexte auf eur-lex.europa.eu und curia.europa.eu im Lauf dieser Erstellung nicht maschinell abrufbar waren, sodass die Randnummernangaben aus Zitatnachweisen (dejure.org) und der amtlichen Pressemitteilung rekonstruiert wurden. | change_type=initial_publication field="topic_lifecycle" new="published" reviewed_by="Nexvyra EU-Recht-Bot"

## Siehe auch

- [DSGVO Art. 6 – Rechtsgrundlagen der Verarbeitung](/fakten/dsgvo-rechtsgrundlagen-art-6.html)
- [DSGVO Art. 7 – Einwilligung](/fakten/dsgvo-einwilligung-art-7.html)
- [DSGVO Art. 26 – Gemeinsame Verantwortlichkeit](/fakten/dsgvo-gemeinsame-verantwortlichkeit-art-26.html)
- [DSGVO Art. 13/14 – Informationspflichten](/fakten/dsgvo-informationspflichten-art-13-14.html)
- [DSGVO Art. 82 – Schadensersatz in der EuGH-Rechtsprechung](/fakten/dsgvo-schadensersatz-art-82-eugh.html)
- [EuGH C-413/23 P – Personenbezug pseudonymisierter Daten](/fakten/eugh-c-413-23-p-pseudonymisierte-daten-personenbezug.html)
- [EuGH C-446/21 (Schrems ./. Meta) – Datenminimierung bei Werbung](/fakten/eugh-c-446-21-schrems-meta-datenminimierung-werbung.html)
- [DSA – Plattformregulierung und Nutzerrechte](/fakten/dsa-verordnung-plattform-nutzerrechte.html)

## Stand

- Stand: 2026-09-01
- Entscheidungsdatum: 2024-03-07 (EuGH, Vierte Kammer, C-604/22, ECLI:EU:C:2024:214)
- Verfahrensstand: Vorabentscheidung ergangen und bindend; Ausgangsverfahren vor dem Marktgericht Brüssel und die Folgeentscheidungen zum Aktionsplan sind gesondert zu verifizieren
- Status: aktuell
- Quellenautorität: A (EuGH-Pressemitteilung Nr. 44/24, EUR-Lex CELEX 62022CJ0604, VO 2016/679, TDDDG, belgische Datenschutzbehörde)
- Lizenz: CC BY 4.0