Der Europäische Gerichtshof (EuGH) hat ein Urteil zur Rolle von IAB Europe im Rahmen des Transparency and Consent Framework (TCF) veröffentlicht. Im Mittelpunkt steht die Frage, ob und in welchem Umfang IAB Europe datenschutzrechtlich für die Nutzung des TCF mitverantwortlich ist. Das Urteil grenzt die Verantwortung nun deutlich ein.
Der Europäische Gerichtshof (EuGH) hat am 7. März 2024 eine zentrale Frage zur datenschutzrechtlichen Verantwortung im Rahmen des Transparency and Consent Framework (TCF) beantwortet. Im Kern ging es um die Rolle von IAB Europe als mögliche mitverantwortliche Stelle bei der Verarbeitung personenbezogener Daten durch TCF-Teilnehmer.
Keine gemeinsame Verantwortung beim Werbezweck
Das Urteil bestätigt, dass IAB Europe nicht gemeinsam mit den einzelnen Teilnehmern für deren Werbezwecke verantwortlich ist. Diese Verarbeitung liegt allein in der Verantwortung der jeweiligen Unternehmen. Damit wird die Sichtweise der belgischen Datenschutzbehörde teilweise korrigiert.
Gemeinsame Verantwortung bei Erstellung und Nutzung
Gleichzeitig stellt der EuGH klar, dass IAB Europe jedoch als gemeinsam Verantwortlicher für die Erstellung und Nutzung der sogenannten TC Strings gilt. Diese Strings enthalten Informationen zur Einwilligung und werden von Webseiten und Anbietern im Rahmen des TCF genutzt. Die gemeinsame Verantwortung bezieht sich ausschließlich auf diesen technischen Teil.
Urteil der Datenschutzbehörde teilweise aufgehoben
Das belgische Berufungsgericht hat auf dieser Grundlage das ursprüngliche Urteil der Datenschutzbehörde teilweise aufgehoben. Besonders relevant ist dabei, dass die frühere Annahme, TC Strings seien in jedem Fall personenbezogene Daten, nicht ausreichend begründet war. Der Gerichtshof verlangt eine präzise Einzelfallprüfung.
Für Betreiber von Webseiten und Anbieter änderte sich erstmal wenig
Für Betreiber von Webseiten und Anbieter von Werbetechnologie ändert sich zunächst wenig. Die Verantwortlichkeiten für Datenverarbeitung müssen weiterhin im Einzelfall geprüft und dokumentiert werden. Das Urteil schafft aber mehr Klarheit darüber, dass IAB Europe nicht automatisch für alle Verarbeitungen im Rahmen des TCF haftet.
Eine Anpassung der bestehenden Prozesse ist nicht unmittelbar erforderlich. Dennoch sollten Anbieter die Rolle von TC Strings in ihren Systemen erneut prüfen und bewerten, ob technische und organisatorische Maßnahmen ausreichen, um die datenschutzrechtlichen Anforderungen zu erfüllen.
weiterführende Links:
Onlinewerbung: Belgisches Gericht beendet Cookiebanner-Streit mit klarem Urteil | heise online
Urteil zu Werbe-Einwilligungen: Ringen um Deutungshoheit
Third Party Cookies bleiben oder Totgesagte leben länger!
Cookiedämmerung: Warum Third-Party-Cookies verschwinden
Bild: DALL·E 3 | OpenAI