Was ist das IAB Transparency & Consent Framework (TCF)?
TCF wird vor allem im europäischen Ökosystem für digitale Werbung eingesetzt. Es stellt standardisierte Richtlinien, technische Spezifikationen, Einwilligungssignale, Anbieterinformationen und APIs bereit, die teilnehmenden Organisationen helfen, die Entscheidungen der Nutzerinnen und Nutzer über die Verarbeitung personenbezogener Daten sowie über Speicherung auf oder Zugriff auf Endgeräte zu übermitteln.
Das aktuelle Framework ist TCF v2.3. Es wurde 2025 eingeführt und machte das Segment der offengelegten Anbieter (Disclosed Vendors) zu einem verpflichtenden Bestandteil des TC String, um Unklarheiten darüber zu beseitigen, ob bestimmte Anbieter den Nutzerinnen und Nutzern offengelegt wurden. Die Übergangsfrist für TCF v2.3 endete am 28. Februar 2026.
Was bedeutet IAB TCF?
IAB TCF steht für IAB Europe Transparency & Consent Framework.
Es bietet einen gemeinsamen Rahmen für das Ökosystem der digitalen Werbung, darunter:
- Publisher
- Medienunternehmen
- Werbetreibende
- Werbeagenturen
- Consent-Management-Plattformen
- Ad-Tech-Anbieter
- Demand-Side-Plattformen (DSPs)
- Supply-Side-Plattformen (SSPs)
- Ad-Server
- Anbieter von Messlösungen
- Weitere Technologiepartner
Ein typisches Werbeökosystem kann viele Anbieter umfassen. TCF bietet einen standardisierten Weg, Informationen über diese Anbieter, ihre erklärten Verarbeitungszwecke, die einschlägigen Rechtsgrundlagen und die Entscheidungen der Nutzerinnen und Nutzer zu übermitteln.
IAB Europe beschreibt TCF als einen branchenübergreifenden freiwilligen Standard, der es Publishern und Technologiepartnern ermöglichen soll, zusammenzuarbeiten und Nutzerinnen und Nutzern zugleich ein standardisiertes Erlebnis bei Datenschutzentscheidungen zu bieten.
Ist IAB TCF ein Gesetz?
Nein.
Das IAB Transparency & Consent Framework ist ein Branchenframework, keine Gesetzgebung.
Es ersetzt nicht:
- GDPR
- Die ePrivacy-Richtlinie
- UK GDPR
- Nationale Datenschutzgesetze
- Aufsichtsbehördliche Leitlinien
- Gerichtsentscheidungen
- Weitere einschlägige Datenschutzanforderungen
Die aktuellen Richtlinien von IAB Europe stellen ausdrücklich fest, dass die Teilnahme am TCF die Verantwortung jedes Teilnehmers für die Einhaltung des anwendbaren Rechts nicht ersetzt.
Der Einsatz einer TCF-kompatiblen CMP macht eine Website daher nicht automatisch GDPR-konform.
TCF bietet vielmehr einen standardisierten Mechanismus, der bestimmte Datenschutz- und Werbe-Workflows unterstützen kann.
Was ist der Zweck des IAB TCF?
Der Hauptzweck von TCF besteht darin, eine gemeinsame Sprache für Datenschutzentscheidungen innerhalb der digitalen Werbelieferkette zu schaffen.
Stellen Sie sich einen Publisher vor, der mit Dutzenden von Werbe- und Messanbietern zusammenarbeitet.
Ohne ein standardisiertes Framework müsste der Publisher Datenschutzentscheidungen möglicherweise an jeden Anbieter über einen anderen technischen Mechanismus übermitteln.
TCF standardisiert wichtige Teile dieser Kommunikation.
Ein vereinfachter Workflow ist:
- Nutzerin oder Nutzer
- CMP
- TCF-Signal
- Werbeanbieter
- Verarbeitung
Das kann teilnehmenden Organisationen helfen zu verstehen:
- Welche Anbieter beteiligt sind
- Welche Zwecke Anbieter erklären
- Welche Rechtsgrundlagen innerhalb des Frameworks genutzt werden
- Welche Entscheidungen die Nutzerin oder der Nutzer getroffen hat
- Welche Anbieter offengelegt wurden
- Welche Publisher-Beschränkungen gelten
- Wie der Datenschutzstatus der Nutzerin oder des Nutzers übermittelt werden sollte
Was ist TCF v2.3?
TCF v2.3 ist die aktuelle Version des IAB Europe Transparency & Consent Framework.
IAB Europe hat TCF v2.3 im Jahr 2025 eingeführt. Die wichtigste Änderung bestand darin, den Abschnitt der offengelegten Anbieter (Disclosed Vendors) zu einem verpflichtenden Bestandteil des TC String zu machen.
Die Änderung wurde eingeführt, um Unklarheiten darüber zu beseitigen, ob bestimmte Anbieter den Nutzerinnen und Nutzern tatsächlich offengelegt wurden - insbesondere in Szenarien, in denen die Verarbeitung für Special Purposes auf berechtigtem Interesse beruht.
Die Übergangsfrist endete am 28. Februar 2026. Aktuelle TCF-Umsetzungen sollten daher v2.3 unterstützen, statt sich auf die ältere Umsetzung nach v2.2 zu stützen.
Versionsgeschichte des TCF
Zu den wichtigsten TCF-Versionen gehören:
- TCF v1.12018
- TCF v2.02019
- TCF v2.12020
- TCF v2.22023
- TCF v2.32025
TCF v2.3 sollte die Version sein, auf die sich aktuelle Glossarinhalte und Umsetzungshinweise beziehen.
Was hat sich in TCF v2.3 geändert?
Die wichtigste Änderung in v2.3 ist das verpflichtende Segment der offengelegten Anbieter (Disclosed Vendors).
Das Segment übermittelt, ob ein Anbieter der Nutzerin oder dem Nutzer über die CMP-Oberfläche offengelegt wurde.
Die technische Struktur umfasst:
- Core-Segment
- Disclosed-Vendors-Segment
- optionales Publisher-TC-Segment
IAB Tech Lab erläutert, dass das Disclosed-Vendors-Segment ein binäres Signal dafür liefert, ob ein Anbieter der Nutzerin oder dem Nutzer offengelegt wurde.
Das ist besonders relevant, wenn Anbieter sich für bestimmte Verarbeitungstätigkeiten auf das berechtigte Interesse stützen und wissen müssen, ob die Nutzerin oder der Nutzer ordnungsgemäß über ihre Beteiligung informiert wurde.
Warum das wichtig ist
Die Offenlegung von Anbietern ist eine wichtige Transparenzanforderung.
Ein Anbieter sollte nicht raten müssen, ob er der Nutzerin oder dem Nutzer tatsächlich präsentiert wurde.
TCF v2.3 liefert ein standardisiertes Signal, um diese Unklarheit zu verringern.
Was ist ein TC String?
Der Transparency and Consent String, üblicherweise TC String genannt, ist eine maschinenlesbare Darstellung der einschlägigen Informationen und Nutzerentscheidungen innerhalb des TCF-Ökosystems.
Er kann Informationen übermitteln zu:
- Einwilligung der Nutzerin oder des Nutzers
- Widersprüchen der Nutzerin oder des Nutzers
- Anbietern
- Zwecken
- Rechtsgrundlagen
- Publisher-Beschränkungen
- Offengelegten Anbietern
- Metadaten des Frameworks
Der TC String ermöglicht es teilnehmenden Anbietern, standardisierte Informationen über den Datenschutzstatus zu erhalten, der über die CMP hergestellt wurde.
Der TC String ist damit eine der wichtigsten technischen Komponenten des TCF.
Ist der TC String dasselbe wie eine Einwilligung?
Nein.
Ein TC String ist eine technische Darstellung von Datenschutzinformationen und -entscheidungen.
Er ist selbst kein rechtlicher Ersatz für eine wirksame Einwilligung.
Ob eine Einwilligung rechtlich wirksam ist, hängt von Faktoren ab wie:
- Welche Informationen bereitgestellt wurden
- Ob die Entscheidung freiwillig getroffen wurde
- Ob der Zweck hinreichend bestimmt war
- Ob die Nutzerin oder der Nutzer die Einwilligung dort, wo erforderlich, aktiv erklärt hat
- Ob ein Widerruf möglich ist
- Ob die geltenden rechtlichen Anforderungen erfüllt sind
- Ob die tatsächliche Verarbeitung der offengelegten Verarbeitung entspricht
TCF sorgt für technische Standardisierung; es schafft nicht eigenständig die Rechtsgrundlage für eine Verarbeitung.
Was ist das Disclosed-Vendors-Segment?
Das Disclosed-Vendors-Segment ist eine zentrale Ergänzung in TCF v2.3.
Es übermittelt, ob Anbieter der Nutzerin oder dem Nutzer über die betreffende CMP-Oberfläche offengelegt wurden.
Zweck ist es, Unklarheiten zu beseitigen, wenn Anbieter feststellen müssen, ob sie der Nutzerin oder dem Nutzer tatsächlich präsentiert wurden.
Das ist besonders wichtig für Anbieter, die Daten in bestimmten Szenarien auf Grundlage berechtigter Interessen verarbeiten.
TCF v2.3 verlangt das Disclosed-Vendors-Segment in TC Strings.
Was ist die Global Vendor List (GVL)?
Die Global Vendor List (GVL) ist die standardisierte Liste der Anbieter, die am TCF-Ökosystem teilnehmen.
Sie stellt Informationen bereit, die CMPs und andere Teilnehmer nutzen, um teilnehmende Anbieter und deren erklärte Tätigkeiten zu verstehen.
Zu den Anbieterinformationen können gehören:
- Anbieter-ID
- Anbietername
- Erklärte Zwecke
- Special Purposes
- Features
- Special Features
- Rechtsgrundlagen
- Datenkategorien
- Weitere Informationen des Frameworks
Die GVL ist wichtig, weil der TC String und die CMP-Oberfläche standardisierte Anbieterinformationen benötigen.
Die aktuellen TCF-Ressourcen von IAB Europe führen die GVL weiterhin als Kernbestandteil des Frameworks.
Sie ermöglicht es CMPs und anderen Teilnehmern, auf Grundlage standardisierter Informationen über teilnehmende Anbieter zu arbeiten.
Die GVL unterstützt dabei:
- Identifizierung von Anbietern
- Zweckerklärungen
- Erklärungen zu Special Purposes
- Informationen zu Features
- Informationen zur Rechtsgrundlage
- Offenlegung von Anbietern
Die GVL ist eine der zentralen Ressourcen, die die standardisierte Anbieterkommunikation im TCF überhaupt ermöglichen.
Was ist eine TCF-CMP?
Eine TCF-CMP ist eine Consent-Management-Plattform, die am TCF-Ökosystem von IAB Europe teilnimmt.
Eine TCF-CMP kann die nutzerseitige und technische Infrastruktur bereitstellen, die nötig ist, um:
- Datenschutzinformationen darzustellen.
- Einschlägige Anbieter und Zwecke offenzulegen.
- Nutzerentscheidungen zu erfassen.
- Den TC String zu erzeugen.
- Das Signal teilnehmenden Anbietern zur Verfügung zu stellen.
- Die einschlägige CMP-API zu unterstützen.
- Änderungen von Präferenzen zu verwalten.
- Die betreffenden TCF-Richtlinien und -Spezifikationen zu unterstützen.
Ein gewöhnliches Cookie-Banner ist nicht automatisch eine TCF-CMP.
Die Teilnahme am TCF ist mit besonderen Registrierungs-, Richtlinien-, Technik- und Compliance-Anforderungen verbunden.
TCF vs. CMP
TCF und CMP hängen zusammen, sind aber nicht dasselbe.
| TCF | CMP |
|---|---|
| Branchenframework | Software/Plattform |
| Definiert Richtlinien und Standards | Setzt Workflows für Datenschutzentscheidungen um |
| Definiert standardisierte Zwecke und Anbieterkonzepte | Stellt Nutzerinnen und Nutzern Informationen dar |
| Definiert technische Signalmechanismen | Erzeugt und übermittelt Signale |
| Definiert Teilnahmeanforderungen | Liefert die Umsetzung |
| Wird von IAB Europe mit technischer Zusammenarbeit verwaltet | Wird von einzelnen CMP-Unternehmen bereitgestellt |
Einfach gesagt:
- TCF ist das Framework.
- Eine CMP ist die Software, die das Framework umsetzen kann.
Was macht eine TCF-CMP?
Eine TCF-CMP deckt üblicherweise mehrere Phasen des Einwilligungsprozesses ab.
Transparenz
Die CMP erläutert die einschlägigen Zwecke, Anbieter und Verarbeitungstätigkeiten.
Entscheidung
Die Nutzerin oder der Nutzer kann die einschlägigen Einwilligungs- oder Präferenzentscheidungen treffen.
Signalerzeugung
Die CMP erzeugt den passenden TC String.
Signalverfügbarkeit
Die CMP stellt das betreffende Signal teilnehmenden Anbietern zur Verfügung.
Präferenzverwaltung
Die Nutzerin oder der Nutzer kann die einschlägigen Entscheidungen später ändern oder widerrufen.
Technische Durchsetzung
Die übergreifende Website-Umsetzung sollte sicherstellen, dass die tatsächliche Verarbeitung dem daraus folgenden Datenschutzstatus entspricht.
Dieser letzte Punkt ist entscheidend.
Einen TC String zu erzeugen ist nicht dasselbe, wie unbefugte Verarbeitung zu verhindern.
Was sind TCF Purposes?
TCF verwendet standardisierte Purposes (Zwecke), um zu beschreiben, warum teilnehmende Anbieter personenbezogene Daten verarbeiten oder damit verbundene Tätigkeiten ausführen.
Die aktuellen TCF-Richtlinien umfassen standardisierte Zwecke wie:
- Informationen auf einem Gerät speichern und/oder abrufen
- Begrenzte Daten zur Auswahl von Werbung verwenden
- Profile für personalisierte Werbung erstellen
- Profile zur Auswahl personalisierter Werbung verwenden
- Profile erstellen, um Inhalte zu personalisieren
- Profile zur Auswahl personalisierter Inhalte verwenden
- Werbeleistung messen
- Inhalteleistung messen
Die aktuelle TCF-Richtliniendokumentation definiert diese Zwecke und die zugehörigen Konzepte des Frameworks.
Die Zweckstruktur ist wichtig, weil sie ein standardisiertes Vokabular für CMP-Oberflächen und Anbietererklärungen bereitstellt.
Was sind Special Purposes?
Special Purposes sind eigene standardisierte Verarbeitungszwecke, die innerhalb des TCF definiert sind.
Sie werden anders behandelt als gewöhnliche Purposes und unterliegen im Framework besonderen Anforderungen.
Eine Website sollte TCF daher nicht verkürzen auf:
„Die Nutzerin oder der Nutzer akzeptiert oder lehnt Cookies ab.“
TCF deckt ein umfassenderes Ökosystem für Werbung und Datenverarbeitung ab, das Zwecke, Anbieter, Features, Special Purposes und Rechtsgrundlagen umfasst.
Was sind TCF Features und Special Features?
TCF definiert außerdem Features und Special Features.
Diese beschreiben bestimmte Fähigkeiten oder Merkmale, die mit der Verarbeitung durch Anbieter verbunden sind.
Special Features werden nach den TCF-Richtlinien zusätzlich behandelt.
Die Unterscheidungen sind wichtig, weil eine TCF-CMP die einschlägigen Informationen gemäß den aktuellen Framework-Anforderungen darstellen und übermitteln muss, statt jede Anbietertätigkeit wie ein generisches Cookie zu behandeln.
Einwilligung und berechtigtes Interesse im TCF
TCF hat historisch mehrere Konzepte von Rechtsgrundlagen unterstützt, darunter Einwilligung und berechtigtes Interesse.
Das Framework hat sich im Lauf der Zeit jedoch erheblich verändert.
TCF v2.2 hat das berechtigte Interesse als Rechtsgrundlage für die Purposes 3-6 gestrichen.
TCF v2.3 hat anschließend das verpflichtende Disclosed-Vendors-Segment eingeführt, um Unklarheiten darüber zu beseitigen, ob Anbieter den Nutzerinnen und Nutzern in bestimmten Szenarien mit berechtigtem Interesse offengelegt wurden.
Erklärt ein Anbieter ein berechtigtes Interesse, bedeutet das nicht, dass er automatisch eine uneingeschränkte Erlaubnis zur Verarbeitung personenbezogener Daten hat.
Das anwendbare Recht und die konkrete Verarbeitungstätigkeit bleiben maßgeblich.
Bedeutet TCF, dass eine Nutzerin oder ein Nutzer eingewilligt hat?
Nein.
TCF ist ein Framework für Transparenz und die Übermittlung von Datenschutzentscheidungen.
Es schafft nicht eigenständig eine wirksame Einwilligung.
Ein konformer Einwilligungs-Workflow muss weiterhin die geltenden rechtlichen Anforderungen erfüllen.
Ist die Einwilligung die Rechtsgrundlage, sollte die Organisation beispielsweise prüfen, ob die Einwilligung:
- Freiwillig erteilt ist
- Für den bestimmten Fall erfolgt
- Informiert ist
- Unmissverständlich ist
- Auf angemessenen Informationen beruht
- Widerrufbar ist
Auch die tatsächliche Benutzeroberfläche und das technische Verhalten müssen der angegebenen Rechtsgrundlage entsprechen.
Macht TCF eine Website GDPR-konform?
Nein.
TCF kann Teile eines Compliance-Workflows für Datenschutz und Werbung unterstützen, ist aber kein Zertifikat für GDPR-Konformität.
Die eigenen Richtlinien von IAB Europe stellen ausdrücklich fest, dass die Teilnahme am TCF nicht ersetzt, dass einzelne Teilnehmer Verantwortung für ihre rechtlichen Pflichten übernehmen.
Ein umfassenderes GDPR-Compliance-Programm kann außerdem Folgendes erfordern:
- Datenschutzhinweise
- Mechanismen für eine wirksame Einwilligung
- Prüfung der Rechtsgrundlagen
- Cookie- und Tracker-Kontrollen
- Betroffenenrechte
- Datenminimierung
- Datenaufbewahrung
- Anbietersteuerung
- Auftragsverarbeitungsverträge
- Sicherheitsmaßnahmen
- Garantien für internationale Datenübermittlungen
- Verarbeitungsverzeichnisse
- Governance und Rechenschaftspflicht
TCF und die GDPR
TCF wurde ausdrücklich als Antwort auf das europäische Datenschutzumfeld geschaffen und soll teilnehmenden Organisationen helfen, bestimmte Anforderungen der GDPR und der ePrivacy-Vorgaben im Ökosystem der digitalen Werbung zu adressieren.
IAB Europe beschreibt TCF als ein Instrument der Rechenschaftspflicht, das die Einhaltung bestimmter Vorgaben der GDPR und der ePrivacy-Richtlinie erleichtern soll.
Allerdings gilt:
Organisationen bleiben dafür verantwortlich, ihre eigenen rechtlichen Pflichten zu bestimmen.
TCF und die ePrivacy-Richtlinie
TCF ist auch für die ePrivacy-Richtlinie relevant, insbesondere für Technologien, die Informationen auf den Geräten von Nutzerinnen und Nutzern speichern oder darauf zugreifen.
Das bedeutet, dass europäische Werbe-Compliance mehrere rechtliche Ebenen umfassen kann:
Verarbeitung personenbezogener Daten
Speicherung auf und Zugriff auf Endgeräte sowie verwandte Technologien
standardisiertes Branchenframework für Signalisierung und Rechenschaftspflicht
TCF ersetzt keinen der beiden Rechtsrahmen.
Blockiert TCF Cookies?
Nein.
TCF ist in erster Linie ein Framework für standardisierte Transparenz und Signalisierung.
Es verhindert nicht automatisch, dass jedes Cookie oder jeder Tracker geladen wird.
Eine Website kann zusätzliche Durchsetzungsmechanismen benötigen, etwa:
- Prior-Script-Blocking
- Kontrollen im Tag-Management
- Cookie-Kontrollen
- CMP-Integrationen
- Anbieterblockierung
- Serverseitige Kontrollen
- Weitergabe des Einwilligungsstatus
Eine CMP kann beispielsweise korrekt einen TC String erzeugen, der zeigt, dass eine Nutzerin oder ein Nutzer einem Zweck nicht zugestimmt hat, während ein schlecht konfiguriertes Tag dennoch auslöst.
Das wäre ein Umsetzungsproblem.
TCF und vorherige Einwilligung
Vorherige Einwilligung und TCF sind verwandte, aber unterschiedliche Konzepte.
Vorherige Einwilligung bedeutet, dass die Einwilligung eingeholt wird, bevor die betreffende Verarbeitung oder der Zugriff auf das Endgerät stattfindet.
TCF sorgt für standardisierte Signalisierung nach oder als Teil des Prozesses der Datenschutzentscheidung.
Ein vereinfachter Workflow kann so aussehen:
- Nutzerin oder Nutzer besucht die Website
- CMP lädt
- Datenschutzinformationen erscheinen
- Nutzerin oder Nutzer entscheidet
- einschlägiger Einwilligungsstatus hergestellt
- erlaubte Technologien werden aktiviert
- TC String übermittelt
Die genaue Abfolge hängt von der technischen Architektur der Website und vom anwendbaren Recht ab.
TCF und programmatische Werbung
TCF ist für programmatische Werbung besonders wichtig.
Ein Publisher kann mit vielen Werbe- und Messanbietern zusammenarbeiten, darunter:
- SSPs
- DSPs
- Ad Exchanges
- Ad-Server
- Anbieter von Messlösungen
- Audience-Plattformen
- Anbieter von Verifizierungslösungen
- Datenanbieter
TCF gibt diesen Teilnehmern einen standardisierten Mechanismus, um einschlägige Datenschutzinformationen zu übermitteln.
Das ist einer der Hauptgründe, warum TCF für Publisher und Medienunternehmen besonders wertvoll ist.
TCF für Publisher
Publisher, die programmatische Werbung einsetzen, müssen unter Umständen Folgendes verwalten:
- Offenlegung von Anbietern
- Offenlegung von Zwecken
- Einwilligung der Nutzerinnen und Nutzer
- Widersprüche der Nutzerinnen und Nutzer
- Publisher-Beschränkungen
- Erzeugung des TC String
- CMP-Konfiguration
- Anbieterintegrationen
- Widerruf der Einwilligung
- Aktivierung von Trackern
- Datenschutzkonformität
IAB Europe benennt Publisher, CMPs und Anbieter ausdrücklich als zentrale TCF-Teilnehmer.
TCF für Anbieter
Ein TCF-Anbieter ist ein Technologieanbieter, der am Framework teilnimmt.
Zu den Anbietern können gehören:
- Werbeplattformen
- Anbieter von Messlösungen
- DSPs
- SSPs
- Ad-Server
- Audience-Anbieter
- Weitere Ad-Tech-Unternehmen
Ein teilnehmender Anbieter nutzt TCF-Signale, um den für seine erklärte Verarbeitung maßgeblichen Datenschutzstatus zu verstehen.
Anbieter bleiben jedoch für ihre eigenen Compliance-Pflichten verantwortlich.
Was ist die TCF CMP API?
Die TCF CMP API ist eine standardisierte technische Schnittstelle, über die teilnehmende Anbieter und andere Komponenten mit einer TCF-CMP interagieren können.
Die API unterstützt Funktionen im Zusammenhang mit:
- Verfügbarkeit der CMP
- Einwilligungsinformationen
- Abruf des TC String
- Aktualisierungen der Einwilligung
- Übermittlung des Datenschutzstatus
Die technischen Spezifikationen und Umsetzungsrichtlinien des TCF definieren das einschlägige API-Verhalten. Die aktuelle Seite mit unterstützenden Ressourcen von IAB Europe führt die CMP API als zentrale technische Spezifikation des TCF.
Was ist aus getTCData geworden?
Die technischen Spezifikationen des TCF haben sich weiterentwickelt.
Die CMP API von TCF v2.2 hat den Befehl getTCData als veraltet markiert.
Entwicklerinnen und Entwickler, die ältere TCF-Integrationen pflegen, sollten daher die aktuellen Umsetzungshinweise prüfen, statt davon auszugehen, dass alte API-Muster weiterhin angemessen sind.
Das ist besonders wichtig, wenn ältere Integrationen nach TCF v2.2 für die aktuelle Umgebung mit v2.3 aktualisiert werden.
Was ist GPP und wie hängt es mit TCF zusammen?
Die Global Privacy Platform (GPP) ist ein umfassenderes Framework für Datenschutzsignale, das von IAB Tech Lab entwickelt wurde.
TCF und GPP hängen zusammen, sind aber nicht dasselbe.
Eine vereinfachte Abgrenzung lautet:
europäisches Transparency & Consent Framework
umfassenderes Framework für Datenschutzsignale, das mehrere Rechtsräume unterstützt
GPP kann einen TCF-Abschnitt neben regionalen Datenschutzabschnitten transportieren.
Eine international tätige Organisation kann TCF daher innerhalb einer umfassenderen GPP-Architektur einsetzen.
TCF vs. GPP
| TCF | GPP |
|---|---|
| Framework von IAB Europe | Framework von IAB Tech Lab |
| Vor allem europäisches Werbeökosystem | Datenschutzsignale über mehrere Rechtsräume hinweg |
| Nutzt den TC String | Nutzt GPP-Strings/-Abschnitte |
| Standardisiert europäische Anbieter- und Zweckinformationen | Unterstützt mehrere regionale Datenschutzrahmen |
| Stark mit Werbe-Workflows nach GDPR/ePrivacy verbunden | Für die Signalisierung im Rahmen umfassenderer Datenschutzregulierung konzipiert |
TCF und GPP sollten daher nicht als austauschbare Begriffe behandelt werden.
TCF vs. Google Consent Mode
IAB TCF und Google Consent Mode lösen unterschiedliche Probleme.
TCF standardisiert die Übermittlung von Datenschutzentscheidungen innerhalb des TCF-Ökosystems.
Google Consent Mode übermittelt einschlägige Einwilligungsstatus an unterstützte Google-Tags und -Dienste, damit deren Verhalten an diese Status angepasst werden kann.
Ein Publisher kann beides nutzen:
- CMP
- TCF / TC String
und:
- CMP
- Google Consent Mode
Die Technologien können sich daher ergänzen, statt konkurrierende Alternativen zu sein.
TCF vs. GPC
Global Privacy Control (GPC) ist ein Signal auf Browser-Ebene oder aus einem Datenschutzwerkzeug, das bestimmte Opt-out-Präferenzen übermittelt.
TCF ist ein Framework der Werbebranche für Transparenz und die Signalisierung von Einwilligungen.
Sie erfüllen unterschiedliche Zwecke.
Eine Website kann beides haben:
- GPC
- TCF
- CMP
- Cookie-Einwilligung
- Google Consent Mode
- Regionale Datenschutzregeln
innerhalb derselben Datenschutzarchitektur.
TCF vs. Cookie-Einwilligung
Ein Cookie-Einwilligungsbanner ist in erster Linie eine Benutzeroberfläche.
TCF ist ein standardisiertes Branchenframework, das die Kommunikation von Datenschutzentscheidungen innerhalb seines Ökosystems regelt.
Eine vereinfachte Architektur kann daher so aussehen:
- Cookie-Banner
- TCF-CMP
- TC String
- teilnehmende Anbieter
Das Banner ist das, womit die Nutzerin oder der Nutzer interagiert.
Das TCF-Framework liefert die standardisierten Richtlinien und technischen Mechanismen hinter dem Ökosystem.
Wie funktioniert IAB TCF?
Ein vereinfachter TCF-Workflow ist:
Teilnehmende Anbieter identifizieren
Der Publisher identifiziert die einschlägigen TCF-Anbieter.
Die CMP konfigurieren
Die CMP nutzt die aktuellen TCF-Richtlinien, -Spezifikationen und GVL-Informationen.
Transparenzinformationen darstellen
Die CMP erläutert die einschlägigen Zwecke, Anbieter und weitere erforderliche Informationen.
Die Entscheidungen der Nutzerin oder des Nutzers erfassen
Die Nutzerin oder der Nutzer trifft die einschlägigen Einwilligungs- oder Widerspruchsentscheidungen.
Den TC String erzeugen
Die CMP kodiert die einschlägigen Informationen in den TC String.
Das Signal verfügbar machen
Teilnehmende Anbieter können über die einschlägigen technischen Mechanismen auf das Signal zugreifen.
Anbieter interpretieren das Signal
Anbieter bestimmen den maßgeblichen Verarbeitungsstatus gemäß dem TCF-Framework und ihren erklärten Tätigkeiten.
Den daraus folgenden Status durchsetzen
Website und Anbieter müssen sicherstellen, dass die tatsächliche Verarbeitung dem einschlägigen Datenschutzstatus entspricht.
Checkliste für die Umsetzung des IAB TCF
Vor dem Start oder der Aktualisierung einer TCF-Umsetzung sollten Publisher prüfen:
- Die CMP unterstützt die aktuelle TCF-Version.
- Die CMP ist für die Teilnahme am TCF ordnungsgemäß registriert.
- Die aktuellen TCF-Richtlinien werden eingehalten.
- Die aktuellen technischen Spezifikationen werden verwendet.
- Die Anbieterinformationen sind mit der einschlägigen GVL synchronisiert.
- Die richtigen TCF-Zwecke werden offengelegt.
- Die einschlägigen Anbieter werden offengelegt.
- Das Disclosed-Vendors-Segment ist korrekt umgesetzt.
- Die Einwilligung wird durch eine geeignete Nutzerhandlung eingeholt.
- Die einschlägige Verarbeitung auf Grundlage berechtigter Interessen wird korrekt behandelt.
- Publisher-Beschränkungen sind konfiguriert, wo erforderlich.
- Der korrekte TC String wird erzeugt.
- Anbieter können das einschlägige Signal abrufen.
- Tracker werden nicht entgegen den Entscheidungen der Nutzerin oder des Nutzers aktiviert.
- Der Widerruf der Einwilligung funktioniert korrekt.
- Anbieterintegrationen wurden getestet.
- Das Verhalten der CMP API wurde getestet.
- Die Umsetzung wurde nach Aktualisierungen des Frameworks getestet.
IAB Europe pflegt aktuelle unterstützende TCF-Ressourcen zu Richtlinien, technischen Spezifikationen, Umsetzungsrichtlinien, CMP-Registrierung, Anbieterregistrierung und v2.3.
Häufige Fehler bei der Umsetzung des IAB TCF
TCF als GDPR-Compliance behandeln
TCF ist ein Branchenframework, kein Zertifikat für die Einhaltung des Rechts.
Die Website auf TCF v2.2 belassen
Aktuelle Umsetzungen sollten anhand von TCF v2.3 überprüft werden.
Den TC String selbst als Einwilligung behandeln
Der TC String stellt technische Informationen über Datenschutzentscheidungen dar. Er schafft nicht eigenständig eine rechtlich wirksame Einwilligung.
Tracker vor der Einwilligung laden
Eine Website braucht weiterhin geeignete technische Kontrollen für Verarbeitungen, die eine vorherige Einwilligung erfordern.
Das Verhalten der Anbieter ignorieren
Einen korrekten TC String zu erzeugen reicht nicht aus, wenn Anbieter entgegen dem daraus folgenden Status weiterverarbeiten.
Berechtigtes Interesse als unbegrenzte Erlaubnis behandeln
Die von einem Anbieter erklärte Rechtsgrundlage beseitigt nicht die Pflicht der Organisation, das anwendbare Recht einzuhalten.
Veralteten API-Code verwenden
Ältere TCF-Integrationen können veraltete API-Methoden wie getTCData enthalten.
Anbieterinformationen nicht pflegen
Anbieterinformationen und Anforderungen des Frameworks können sich ändern.
Nur „Alle akzeptieren“ testen
Eine ernsthafte TCF-Umsetzung sollte auch Ablehnung, Teilentscheidungen, Widerruf, wiederkehrende Nutzerinnen und Nutzer sowie regionale Konfigurationen testen.
Wie sollte TCF getestet werden?
Ein ordentliches TCF-Audit sollte sowohl die CMP-Oberfläche als auch das tatsächliche technische Verhalten prüfen.
Tests der Benutzeroberfläche
Testen Sie:
- Erstinformation
- Offenlegung von Anbietern
- Offenlegung von Zwecken
- Bedienelemente zum Akzeptieren
- Bedienelemente zum Ablehnen
- Präferenzcenter
- Widerruf
- Darstellung auf Mobilgeräten
- Barrierefreiheit
- Lokalisierung
Technische Tests
Testen Sie:
- Erzeugung des TC String
- CMP API
- Weitergabe des Signals an Anbieter
- Cookies
- Ausführung von JavaScript
- Netzwerkanfragen
- Werbepixel
- Drittanbieter-Anfragen
- Änderungen des Einwilligungsstatus
- Widerruf
Negativtests
Testen Sie außerdem:
- Alles ablehnen
- Teileinwilligung
- Ablehnung einzelner Anbieter
- Ablehnung einzelner Zwecke
- Keine Interaktion
- Widerruf
- Wiederkehrende Nutzerinnen und Nutzer
- Unterschiedliche Regionen
- Unterschiedliche Browser
- Mobilgeräte
IAB TCF und ConsentX
ConsentX kann innerhalb einer umfassenderen Datenschutzarchitektur als Ebene für Consent-Management und Durchsetzung fungieren.
Für Organisationen, die TCF einsetzen, sieht der gewünschte Workflow so aus:
- Entscheidung der Nutzerin oder des Nutzers
- CMP
- TCF-Signal
- Anbieterkontrollen
- tatsächliche Verarbeitung
ConsentX kann helfen, Consent-Management und technische Durchsetzung in Bereichen zu verbinden wie:
Cookie-Einwilligung
Prior-Script-Blocking
Einwilligungsaufzeichnungen
Auditnachweise
Regionale Datenschutzregeln
Google Consent Mode
Global Privacy Control
Anbieter- und Tracker-Kontrollen
Verwaltung von Datenschutzpräferenzen
Der wichtige Grundsatz lautet:
Die Signalisierung von Einwilligungen sollte von technischer Durchsetzung begleitet werden.
Ein TC String, der besagt, dass eine Nutzerin oder ein Nutzer eine bestimmte Erlaubnis nicht erteilt hat, sollte nicht als ausreichend gelten, wenn die Website die entsprechende Verarbeitung weiterhin durchführt.
Ersetzt ConsentX das IAB TCF?
Nein.
IAB TCF und ConsentX erfüllen unterschiedliche Rollen.
TCF ist das Branchenframework mit Richtlinien, Spezifikationen, technischer Signalisierung und Teilnahmeanforderungen.
ConsentX ist eine Consent-Management-Plattform, die die nutzerseitigen und technischen Kontrollen bereitstellen kann, die für die Verwaltung von Datenschutzentscheidungen nötig sind.
Organisationen, die TCF einsetzen, sollten prüfen, ob ihre CMP-Umsetzung die einschlägigen TCF-Teilnahme- und Technikanforderungen erfüllt.
Das Wichtigste in Kürze
- IAB TCF steht für IAB Europe Transparency & Consent Framework.
- TCF ist ein freiwilliges Branchenframework, kein Gesetz.
- Es standardisiert die Kommunikation von Datenschutzentscheidungen innerhalb des Ökosystems der digitalen Werbung.
- TCF v2.3 ist die aktuelle Version des Frameworks.
- TCF v2.3 hat ein verpflichtendes Disclosed-Vendors-Segment im TC String eingeführt.
- Der TC String übermittelt standardisierte Informationen über Datenschutzentscheidungen.
- Die Global Vendor List (GVL) stellt standardisierte Informationen über teilnehmende Anbieter bereit.
- Eine TCF-CMP setzt den einschlägigen Workflow für das Consent-Management um.
- TCF ist besonders wichtig für Publisher und programmatische Werbung.
- TCF macht eine Website nicht automatisch GDPR-konform.
- TCF blockiert selbst keine Cookies oder Tracker.
- TCF unterscheidet sich von GPC, GPP, Google Consent Mode und einem generischen Cookie-Banner.
- Aktuelle Umsetzungen sollten anhand der neuesten TCF-Richtlinien und technischen Spezifikationen getestet werden.
- Eine wirksame Umsetzung erfordert sowohl korrekte Signalisierung als auch tatsächliche technische Durchsetzung.
Verbinden Sie die TCF-Signalisierung mit technischer Durchsetzung
Die Signalisierung von Einwilligungen sollte von technischer Durchsetzung begleitet werden. ConsentX kann innerhalb einer umfassenderen Datenschutzarchitektur als Ebene für Consent-Management und Durchsetzung fungieren und Cookie-Einwilligung, Prior-Script-Blocking, Einwilligungsaufzeichnungen, regionale Datenschutzregeln und Anbieterkontrollen mit den Signalen verbinden, die Ihre CMP erzeugt.