Belgisches Gericht urteilt: Das TCF-Framework ist nicht DSGVO-konform

[English]Ein belgisches Gericht hat jetzt über eine Klage von Datenschützern zum TCF-Framework geurteilt. Die Richter sehen das TCF-Framework als nicht DSGVO-konform an. Damit bekommt die Online-Werbebranche um Microsoft, Google und Co. ein Problem, weil sie die Cookie-Zustimmung über das TCF-Framework einsetzt.

Nachfolgender Post auf Mastodon greift diesen Sachverhalt auf und schreibt, dass die lästigen Einwilligungs-Cookie-Popups, mit denen Big Tech die Einwilligung zum Werbetracking abfragt, nicht mit der DSGVO konform seien.

Hintergrund: Google, Microsoft, Amazon, X und die gesamte auf Tracking basierende Werbeindustrie verlassen sich auf das "Transparency & Consent Framework" (TCF), um eine Einwilligung für die Datenverarbeitung über Cookies zu erhalten. Das TCF wird bei 80 % der Internetseiten verwendet.

Konkret wird seit von den Werbenetzwerken in Europa das TCF seit sieben Jahren als rechtlichen Absicherung für Real-Time Bidding (RTB) eingesetzt. Über RTB werden Anzeigeplätze auf Websites und in Apps versteigert. RTB verfolgt, was Internetnutzer sich im Internet ansehen und teilt dies dann kontinuierlich mit einer Vielzahl Unternehmen. Dadurch kennen die Firmen, die Werbung schalten wollen, die Interessen der Internetnutzer. Da laut Kritikern das RTB-System es unmöglich macht, zu wissen, was dann mit den Daten geschieht, sei es auch nicht möglich, die notwendigen Informationen für die Einwilligung der Nutzer zum Werbetracking zu erteilen, so der Vorwurf.

Zum 15. Mai 2025 hat das belgische Berufungsgericht entschieden, dass das TCF nicht mit der DSGVO konform sei. Dieses belgische Urteil ergibt sich aus einer Kette von Beschwerden und Rechtsstreitigkeiten in ganz Europa, die Dr. Ryan 2018 gegen Real-Time Bidding (RTB) angestrengt hatte.

Die aktuelle Entscheidung (Download des Urteils in English) geht auf eine Klage der belgischen Datenschutzbehörde zurück, die von verschiedenen Beschwerdeführern eingereicht wurde. Diese wurden von Dr. Johnny Ryan, dem Direktor für Durchsetzung beim Irish Council for Civil Liberties, koordiniert. Die Gruppe der Beschwerdeführer sind laut dieser Mitteilung: Dr. Johnny Ryan von Enforce, Katarzyna Szymielewicz von der Panoptykon Foundation, Dr. Jef Ausloos, Dr. Pierre Dewitte, Stichting Bits of Freedom und die Ligue des Droits Humains.

Dr. Johnny Ryan kommentierte das Urteil: "Die heutige Entscheidung des Gerichts zeigt, dass das von Google, Amazon, X und Microsoft verwendete Einwilligungssystem Hunderte von Millionen Europäern täuscht. Die Tech-Industrie hat versucht, ihre riesigen Datenverstöße hinter gefälschten Einwilligungs-Popups zu verstecken. Die Tech-Unternehmen haben die Datenschutz-Grundverordnung in ein tägliches Ärgernis verwandelt und nicht in einen Schutzschild für die Menschen."

heise hat das Urteil, welches weitreichende Folgen für die Werbenetzwerke hat, in diesem Artikel mit weiterführenden Informationen, Einschätzungen und Kommentaren aufgegriffen. Hielke Hijmnans von der belgischen Datenschutzaufsichtsbehörde APD ist zufrieden: "Dass diese Entscheidung des Marktgerichts, ebenso wie die Entscheidung des EuGH 2024, unsere Position bestätigt, dass der TC String ein personenbezogenes Datum ist und dass IAB Europe als Verantwortlicher für die Verarbeitung der Nutzerpräferenzen im Rahmen des TCF fungiert."

Der Verband der Onlinewerbeindustrie, IAB Europe, der das TCF ursprünglich aufgesetzt hatte, äußert sich ebenfalls zufrieden. Einmal wurde die Entscheidung der Vorinstanz aus formalen Gründen aufgehoben. Das dort ausgesprochene Bußgeldzahlung von 250.000 Euro wird also nicht fällig. Der Verband ist über den TC-String hinaus nicht verantwortlicher Datenverarbeiter. Zudem hat die IAB Europe bereits das TCF 2.2 entwickelt,  welches dem Urteil aus Verbandssicht bereits Rechnung trage.

Hier im Blog kommt seit Herbst 2024 inzwischen eine Einwilligung über Contentpass zum Einsatz. Eine Lösung, die Abonnenten einen werbefreien Besuch der Webseiten ermöglicht, und die immer mehr Publisher stat der Cookie-Einwilligungs-Popups verwenden. Viel kommt bei der Contentpass-Lösung an Einnahmen für mich nicht zusammen, da die Abonnements über alle Contentpass-Seiten verteilt werden. Die Einnahmen decken bestenfalls 10 % der monatlichen Kosten, die ich für die Contentpass-Einwilligung zahle. Aber ich bin so von der IAB Europe-Cookie-Einwilligung weg.