Eine Woche vor dem erwarteten Datum hat das Appellationsgericht in Brüssel, Hof Van Beroep, am Mittwoch ein Urteil in der TCF-Streitfrage zwischen der belgischen Datenschutzbehörde und dem IAB Europe gefällt. Der Branchenverband IAB war beim Market Court gegen die Einschätzung der Datenschutzbehörde vorgegangen, dass Teile des Transparency and Consent Framework gegen die Datenschutzgrundverordnung verstoßen und vor allem auch, dass der Verband dafür verantwortlich ist. Mit zwei offenen Fragen, die in Brüssel nicht geklärt wurden, muss sich nun der Europäische Gerichtshof in Luxemburg auseinandersetzen. Gleichzeitig schauen beide Streitparteien auf den vorgelegten Aktionsplan des IAB.

Das Transparency and Consent Framework (TCF) wird derzeit als technischer Standard im Werbekosmos eingesetzt, um Nutzereinwilligungen zur Datenverarbeitung korrekt zu erheben und in der technologischen Kette weiterzugeben. Der Branchenverband Interactive Advertising Bureau (IAB) war federführend beim Framework, das von etlichen Marktteilnehmern der Werbewirtschaft aktuell in der zweiten Version (TCF 2.0) für ihr Consent-Management eingesetzt wird.

Allerdings sehen Datenschützer seit jeher Probleme bei der Verwendung des TCF. Daher hatte unter anderem das Irish Council for Civil Liberties (ICCL) mit seiner Galionsfigur Johnny Ryan Beschwerde bei der belgischen Datenschutzbehörde L'Autorité de protection des données (APD) eingereicht. Die APD hatte den Klägern im Februar in diesem Verfahren recht gegeben und einige Punkte des Frameworks bemängelt, die nachgebessert werden müssen. Das IAB ging gegen dieses Urteil gerichtlich vor und legte im März Berufung ein, daher die erneuten Verhandlungen beim Appellationsgericht in Brüssel. Zwei zentrale Fragestellungen konnte dieses nicht abschließend klären, also geht es in die nächste Instanz zum EuGH. Dieser Ausgang war jedoch laut Beobachtern zu erwarten.

Einer dieser Punkte betrifft die technische Ebene. Das TCF kommt zum Einsatz, wenn ein User eine Website besucht und im Consent-Banner seine Auswahl über die Zwecke der Datenverarbeitung trifft. Diese Auswahl speichert eine Consent-Management-Plattform (CMP) im sogenannten TC String und gibt sie an andere Werbemarktteilnehmer weiter. Die CMP setzt darüber hinaus einen Cookie. Der Cookie und TC String können gemeinsam mit der IP-Adresse des Users in Verbindung gebracht werden, was den TC String laut Argumentation der APD zu einem personenbezogenen Datum macht. Demnach erfordert das Verfahren laut DSGVO eine Einwilligung – das berechtigte Interesse, das bislang als rechtliche Grundlage genommen wird, reicht nicht aus.

Der zweite große Streitpunkt betrifft die Verantwortlichkeit für das Framework. Die APD ist der Auffassung, dass das IAB Europe die Rolle des “Data Controller” im Sinne der DSGVO einnehmen muss. Dies bestreitet der Verband, denn dann müsste er einen Verantwortlichen stellen und überprüfen, ob die CMPs alle korrekt arbeiten. Das ist eine Mammutaufgabe, der man sich nicht nur aus finanziellen Gründen ungern stellen will.

Die beiden Fragen lauten also (weiterhin): Ist der TC-String schon ein personenbezogenes Datum? Und muss das IAB im Sinne der DSGVO als Controller für das TCF agieren?

In der Adtech-Branche gibt man sich entspannt. “Das Urteil des Market Court in Sachen TCF 2.0 fällt wie erwartet aus, und der Gang zum EuGH wird hoffentlich Klarheit und Rechtssicherheit in den zentralen Fragen – ‚Ist der TCF-String ein personenbezogenes Datum?‘ und ‚Ist das IAB ein Joint Controller?‘ – schaffen”, sagt Tom Peruzzi, Sprecher der Geschäftsführung und CTO von Virtual Minds. „Sicherlich werden beide Parteien das Urteil genau lesen und ihre jeweiligen Verhandlungspositionen daraus ableiten. Am Ende, davon bin ich überzeugt, wird dieser Prozess die Beziehungen zwischen der digitalen Wirtschaft und den Datenschutzaufsichtsbehörden stärken und eine robustere und (rechts)verlässlichere Handlungsgrundlage für das digitale Werbegeschäft hervorbringen.”

Derzeit beraten demnach sowohl die APD als auch das IAB Europe über das jeweilige weitere Vorgehen und es ist davon auszugehen, dass beide Seiten zeitnah in Verhandlungen zum Aktionsplan einsteigen werden. Die Branche hat bereits einige im vorangegangenem Urteil der APD adressierte Themen in Arbeit, sodass es berechtigte Hoffnung auf ein robustes aktualisiertes TCF gibt, sagt Peruzzi. Er muss es wissen – als Vice Chair der TCF Steering Group engagiert er sich schließlich auch im IAB Europe.

Townsend Feehan, CEO des IAB Europe, findet deutliche Worte in Richtung der Datenschutzbehörde: “Die Interpretation der Begriffe ‘Personal Data’ und ‘Controllership’ durch die APD ist aus Sicht des Verbraucherschutzes unnötig weit gefasst und hat erhebliche negative Auswirkungen auf die Entwicklung offener Standards und der in der Datenschutz-Grundverordnung vorgesehenen Codes of Conduct. Sie würde eine inakzeptable finanzielle Belastung für die Host-Organisationen darstellen und die Entwicklung dieser wichtigen Compliance-Tools behindern”.

Die Adressatin freut sich über die Entscheidung in Brüssel. “Der Fall IAB Europe, über den wir im Februar entschieden haben, hat Auswirkungen, die weit über Belgien hinausgehen”, meint Hielke Hijmans, Vorsitzender der Kammer für Rechtsstreitigkeiten der APD. “Deshalb finden wir es gut, dass er auf europäischer Ebene, vor dem Europäischen Gerichtshof, diskutiert wird.” Darüber hinaus heißt es, dass weitere Schritte mit den EU-Kollegen besprochen werden.