IAB Transparency and Consent Framework (TCF v2.4)

Welche Änderungen hat das IAB am Transparency and Consent Framework vorgenommen?

Am 2. Februar 2022 stellte die belgische Datenschutzbehörde fest, dass das Transparency and Consent Framework (TCF) der IAB gegen mehrere Bestimmungen der DSGVO verstieß. Die Behörde forderte die IAB auf, einen Maßnahmenplan vorzulegen, um die festgestellten Verstöße zu beheben und das TCF mit der DSGVO in Einklang zu bringen.

Als Reaktion auf das Feedback aus dem Markt sowie auf die Weiterentwicklung der Rechtsprechung und Leitlinien verschiedener nationaler Datenschutzbehörden führte die IAB das TCF v2.2 ein. Ziel dieser Version war es, die Standardisierung der für Nutzer:innen bereitgestellten Informationen zu verbessern und ihnen mehr Kontrolle darüber zu geben, wie ihre personenbezogenen Daten verarbeitet werden.

Für TCF v2.3 galt der 28. Februar 2026 als Umsetzungsfrist. Die Änderungen waren zwar weniger umfangreich, entwickelten das Framework jedoch weiter, um Transparenz und Datenschutzkonformität zu stärken.

Inzwischen wurde das Framework auf TCF v2.4 aktualisiert. Das IAB Tech Lab veröffentlichte die aktualisierten Spezifikationen und eine entsprechende Aktualisierung der Global Vendor List (GVL) am 23. Juli 2026. CMPs müssen die neuen Angaben in Web-Umgebungen bis zum 23. Oktober 2026 und in mobilen Apps sowie CTV-Umgebungen bis zum 23. Februar 2027 implementieren.

Was ist neu im IAB Transparency and Consent Framework v2.4 (TCF v2.4)?

Das Update auf TCF v2.4 konzentriert sich darauf, Nutzer:innen ein besseres Verständnis der Features von Vendors zu ermöglichen. Im Gegensatz zu Purposes verfügen Features nicht über eine eigene Ein-/Auswahlmöglichkeit.

Geräteübergreifende Verwaltung von Einwilligungen

Auf Grundlage der Empfehlungen der französischen Datenschutzbehörde CNIL zur geräteübergreifenden Einwilligung bieten die Richtlinien Publishern jetzt mehr Flexibilität, um die Datenschutzeinstellungen von Nutzer:innen über mehrere Geräte hinweg zu speichern, beispielsweise wenn Nutzer:innen in einem Konto angemeldet sind. CMPs müssen Nutzer:innen darüber informieren, wenn ihre Einstellungen auf diese Weise geräteübergreifend gespeichert werden. Außerdem gibt es für Publisher jetzt klarere Regeln für den Umgang mit Konflikten, zum Beispiel wenn die Entscheidungen aus der aktuellen Sitzung von denen abweichen, die vor dem Login im Konto hinterlegt waren.

Standardisierte Erläuterungstexte für Features

Die GVL enthält jetzt das Feld standardTexts, über das CMPs für jedes Feature einen standardisierten Text anzeigen können. Dieser Text erklärt, dass Features Verarbeitungsvorgänge darstellen, die ausschließlich zur Erfüllung von Purposes eingesetzt werden, für die Nutzer:innen eine Auswahl treffen können. Dadurch soll verhindert werden, dass Features als separate, steuerbare Einstellungen missverstanden werden.

Verbindliche Illustrationen für Features

Jedes Feature muss jetzt in der CMP-Benutzeroberfläche mit einer Illustration dargestellt werden. Damit gelten für Features dieselben Anforderungen wie bisher für die Darstellung von Purposes.

Special Feature 2 umbenannt und Vendor Guidance aktualisiert

Special Feature 2, bisher „Actively scan device characteristics for identification“, wurde in „Identify devices based on information actively requested“ umbenannt. Auch die Vendor Guidance in Kapitel V, Anhang A(D), wurde aktualisiert. Sie berücksichtigt nun die aktive Anforderung von Client Hints für Zwecke des Fingerprinting.

Entfernung der technischen Lösung für Legitimate Interest bei Special Purposes

TCF v2.4 entfernt eine bisherige technische Lösung, bei der CMPs das Legitimate-Interest-Bit für Vendors, die ausschließlich Special Purposes angegeben hatten, auf 1 setzen mussten. Da das Segment „Disclosed Vendors“ mit TCF v2.3 verpflichtend wurde, ist diese Lösung nicht mehr erforderlich. Vendors können nun direkt über das Segment „Disclosed Vendors“ feststellen, ob sie gegenüber Nutzer:innen offengelegt wurden. Der Abschnitt zum Legitimate Interest von Vendors im TC String enthält damit nur noch Vendors, die tatsächlich ein Legitimate Interest angegeben haben.

So werden die Änderungen umgesetzt

Die Aktualisierung der GVL und ihre Übersetzungen wurden am 23. Juli 2026 veröffentlicht. Die neuen Felder werden automatisch von beim TCF registrierten CMPs übernommen. Die Änderungen an der CMP-Benutzeroberfläche zur Anzeige der neuen Texte und Illustrationen müssen jedoch vor den oben genannten Fristen durch ein entsprechendes Implementierungsupdate vorgenommen werden.

Was war neu im IAB Transparency and Consent Framework v2.3 (TCF v2.3)?

Das Transparency and Consent Framework (TCF) v2.3 war im Vergleich zu v2.2 ein kleineres Update. Dennoch brachte es wichtige Änderungen mit sich, die Transparenz und Datenschutzkonformität weiter stärken sollten.

„Disclosed Vendors“ wurde zu einem verpflichtenden Segment in TCF-Signalen

Dadurch können Vendors besser feststellen, ob sie Daten auf Grundlage von Special Purposes verarbeiten dürfen. Seit dem 28. Februar 2026 müssen alle neuen oder aktualisierten Einwilligungssignale das Segment „Disclosed Vendors“ enthalten. Special Purposes dürfen ausschließlich auf Grundlage des Legitimate Interest verarbeitet werden. Nutzer:innen haben dabei kein Widerspruchsrecht. Die betreffenden Vendors müssen jedoch ausdrücklich über die CMP offengelegt werden.

Zuvor wurde dies durch weniger optimale technische Lösungen umgesetzt. Mit dem Update auf v2.3 wurde die Transparenz hinsichtlich der Offenlegung von Vendors verbessert.

Bereits vor dem 28. Februar 2026 erstellte Einwilligungssignale, die noch nicht dem TCF-v2.3-Format entsprachen, blieben gültig, bis Nutzer:innen ihre Einwilligungseinstellungen aktualisierten oder erneuerten. Es bestand keine Verpflichtung, die CMP für alle Nutzer:innen erneut anzuzeigen.

Was war neu im IAB Transparency and Consent Framework v2.2 (TCF v2.2)?

Das Transparency and Consent Framework (TCF) v2.2 war ein umfangreiches Update der vorherigen Version. Die Änderungen zielten darauf ab, die Transparenz zu erhöhen und Nutzer:innen mehr Kontrolle über ihre Einwilligungsentscheidungen zu geben.

Abschaffung des Legitimate Interest

Mit der Einführung von TCF v2.2 ist das Legitimate Interest nicht mehr als Rechtsgrundlage für Verarbeitungsvorgänge im Zusammenhang mit Werbung und der Personalisierung von Inhalten zulässig. Für diese Zwecke können Vendors nur noch eine ausdrückliche Einwilligung als zulässige Rechtsgrundlage auswählen.

Verbesserte Benutzeroberfläche (UI)

Die für die Benutzeroberfläche von Consent Management Platforms (CMPs) erforderlichen Informationen wurden verbessert. Dazu gehören verständlichere standardisierte Texte, neue Verarbeitungskategorien und konkrete Anwendungsbeispiele. So sollen Nutzer:innen leichter verstehen können, wofür sie ihre Einwilligung erteilen und welche Auswahlmöglichkeiten sie haben.

Einfacherer Widerruf der Einwilligung

Nutzer:innen können ihre Entscheidung, Daten mit Vendors zu teilen, einfacher ändern und jederzeit erneut auf die CMP-Benutzeroberfläche zugreifen, um ihre Einwilligung zu ändern oder zu widerrufen. Der Widerruf muss genauso einfach möglich sein wie die Erteilung der Einwilligung. In der Praxis bedeutet dies, dass die CMP-Benutzeroberfläche für Nutzer:innen leicht zugänglich sein muss und nicht auf der Website versteckt werden darf.

Mehr Transparenz bei Vendors

Informationen zu Vendors, einschließlich der verarbeiteten Datenkategorien und Speicherdauern, wurden unter TCF v2.2 standardisiert und müssen Nutzer:innen in der zweiten Ebene der CMP zur Verfügung gestellt werden.

Erweiterte Compliance-Programme

Es wurden neue Prüfmechanismen und differenzierte Durchsetzungsverfahren eingeführt. Dazu gehören unter anderem proaktive Prüfungen einer größeren Anzahl zufällig ausgewählter CMPs und Vendors pro Monat.

Sie sind unsicher, ob Ihre Website DSGVO-konform ist? Testen Sie sie mit dem kostenlosen Cookiebot CMP Compliance-Test.

Cookiebot CMP und das neue IAB Framework (TCF v2.4)

CMPs müssen die neuen Richtlinien und Spezifikationen des TCF v2.4 bis zum 23. Oktober 2026 in Web-Umgebungen und bis zum 23. Februar 2027 in mobilen Apps und CTV-Umgebungen implementieren. Dazu gehört auch die Anzeige der neuen standardisierten Erläuterungstexte und Illustrationen für jedes Feature sowie die Berücksichtigung der umbenannten Special Feature 2 in der CMP-Benutzeroberfläche. Die IAB-Integration der Cookiebot CMP unterstützt das neue IAB Framework (TCF v2.4).

Die Integration der Cookiebot CMP in das IAB Transparency and Consent Framework v2.4 ist weiterhin eine optionale Ergänzung des grundlegenden Consent-Managements der Cookiebot CMP.

Die Cookiebot CMP-Integration besteht aus einem zusätzlichen Panel im Consent-Banner von Websites, die bei der IAB registriert sind. Dieses Panel heißt „Ad Settings“. Dort können Endnutzer:innen vor der Abgabe ihrer Einwilligung zwischen IAB Purposes und Vendors wählen.

Wir empfehlen, die IAB-Framework-Integration als Ergänzung und nicht als Ersatz für die reguläre Cookiebot CMP-Lösung einzusetzen. Der Grund: Das Einwilligungsmodell der IAB funktioniert über die Übermittlung des Einwilligungssignals an Werbe-Vendors, während die Cookiebot CMP nicht auf der bloßen Übermittlung von Einwilligungssignalen basiert, sondern nicht zugestimmte Vendors blockiert.

Das ist ein wichtiger Unterschied, denn gemäß DSGVO ist der Publisher, also der Website-Betreiber:innen, für sämtliche auf seiner Domain stattfindenden Tracking- und Datenerhebungsvorgänge verantwortlich, einschließlich der Verarbeitung durch Dritte.

Die Cookiebot CMP macht Website-Betreiber:innen unabhängig von der vertrauensvollen Zusammenarbeit mit einzelnen Vendors und gibt ihnen die tatsächliche Kontrolle über ihre Website. Durch die Integration der Cookiebot CMP in das IAB Framework (TCF v2.4) können Sie so Ihre laufende DSGVO-Konformität unterstützen.

Um sicherzustellen, dass die Einwilligungen der Nutzer:innen von Werbe-Vendors berücksichtigt werden, überwacht die patentierte Scan-Technologie der Cookiebot CMP alle auf der Website eingesetzten Cookies und ähnlichen Tracker und kennzeichnet sie im Scan-Bericht als nicht einwilligungskonform.

Die Cookiebot CMP unterstützt außerdem das IAB CCPA Compliance Framework.

Die patentierte Scan-Technologie der Cookiebot CMP unterstützt die fortlaufende Datenschutzkonformität

Die Cookiebot CMP gehört zu den wenigen Consent Management Platforms auf dem Markt, die umfassende Datenschutzkonformität mit Datenschutzvorschriften weltweit unterstützen.

Die leistungsstarke Scan-Technologie von Cookiebot CMP erkennt alle auf Ihrer Website eingesetzten Cookies und Tracker und übernimmt anschließend automatisch die Kontrolle, um deren Ausführung zu blockieren, bis Nutzer:innen ihre Einwilligung erteilt haben. Damit unterstützt die Cookiebot CMP die Anforderungen der Datenschutz-Grundverordnung der EU und der ePrivacy-Richtlinie.

Die Cookiebot CMP führt monatlich umfassende Scans Ihrer Domain durch, damit Sie stets wissen, welche Tracking-Technologien auf Ihrer Website geladen werden, auch wenn sich Ihre Prozesse verändern. Der Scan-Bericht kann als Cookie-Erklärung auf Ihrer Website veröffentlicht werden, beispielsweise als Bestandteil Ihrer Datenschutz- oder Cookie-Richtlinie.

Einwilligungen müssen regelmäßig erneuert werden. Ein Zeitraum von 12 Monaten ist zwar weit verbreitet, einige nationale Datenschutzbehörden empfehlen jedoch eine häufigere Erneuerung, beispielsweise alle sechs Monate. Prüfen Sie die für Sie geltenden lokalen Datenschutzvorgaben. Wenn Sie mehrere Rechtsordnungen berücksichtigen müssen, empfiehlt es sich, als Best Practice den kürzesten erforderlichen Erneuerungszeitraum zu wählen.

Was ist das IAB Framework und wie erfüllt es die Anforderungen der DSGVO?

Das Interactive Advertising Bureau Europe (IAB Europe) ist ein Wirtschaftsverband für Online-Werbung und digitales Marketing. Die Organisation entwickelt und verwaltet Branchenstandards und Best Practices, führt Forschungsprojekte durch und bietet rechtliche Unterstützung.

Im Vorfeld der Durchsetzung der EU-Datenschutz- und Datenschutzgrundverordnung im Mai 2018 entwickelte das IAB Tech Lab gemeinsam mit IAB Europe ein Framework. Dabei handelt es sich um das IAB Europe Transparency & Consent Framework (TCF).

Das TCF schafft eine gemeinsame Grundlage für die Zusammenarbeit zwischen Publishern, Werbetreibenden und Consent-Management-Anbietern und kann dabei helfen, die Einhaltung der DSGVO sicherzustellen und aufrechtzuerhalten.

Das TCF dient als standardisierte Möglichkeit, den Status der Einwilligung von Nutzer:innen zwischen First Parties wie Publishern, Third Parties wie Werbetreibenden und der auf der Website eingesetzten Consent-Management-Lösung zu kommunizieren.

Welche Anforderungen stellt die DSGVO und was bedeuten sie für Werbetreibende?

Die DSGVO stellt strenge Anforderungen daran, wie personenbezogene Daten von in Europa ansässigen Personen erhoben, gespeichert, verwendet und weitergegeben werden dürfen.

Anforderungen an eine DSGVO-konforme Einwilligung

Damit Ihr Consent Management DSGVO-konform ist, muss es bestimmte Anforderungen erfüllen. Jede Verarbeitung personenbezogener Daten muss auf einer von sechs Rechtsgrundlagen beruhen: Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, Wahrnehmung einer Aufgabe im öffentlichen Interesse oder berechtigte Interessen. Wird eine Einwilligung als Rechtsgrundlage verwendet, muss sie vor oder zum Zeitpunkt der Erhebung und Verarbeitung der Daten eingeholt werden. Außerdem muss der Widerruf der Einwilligung genauso einfach möglich sein wie ihre Erteilung.

Anforderungen der DSGVO an die Einwilligung

Freiwillig

Nutzer:innen dürfen nicht zur Einwilligung manipuliert oder daran gehindert werden, eine Einwilligung abzulehnen.

Spezifisch

Es muss klar sein, wofür Nutzer:innen ihre Einwilligung erteilen. Für alle Zwecke müssen granulare Auswahlmöglichkeiten angeboten werden. Eine alleinige Option „Alle akzeptieren“ ist nicht DSGVO-konform.

Informiert

Welche Daten werden verarbeitet und zu welchem Zweck? Wer kann darauf zugreifen? Diese Informationen müssen verständlich und ohne unnötigen Fachjargon bereitgestellt werden.

Eindeutig

Nutzer:innen müssen eine aktive Entscheidung treffen und durch eine ausdrückliche Handlung ihre Einwilligung erteilen, beispielsweise durch das Klicken auf eine Schaltfläche. Vorausgewählte Kontrollkästchen sind nicht zulässig.

Die Informationen zur Einwilligung müssen außerdem sicher gespeichert und regelmäßig aktualisiert werden. Im Fall einer Prüfung oder einer Anfrage einer betroffenen Person müssen Sie nachweisen können, wofür die Nutzer:innen ihre Einwilligung erteilt hat, welche Informationen ihr dabei angezeigt wurden und wann die Einwilligung erteilt wurde.

Was ist der Zweck des IAB Frameworks?

Das IAB Framework soll eine standardisierte Zusammenarbeit zwischen Publishern, Werbetreibenden und den Technologieunternehmen ermöglichen, die Consent-Management-Lösungen bereitstellen, wenn es um die Einhaltung der DSGVO-Anforderungen an Transparenz und Einwilligungen von Nutzer:innen geht.

Innerhalb des Frameworks werden diese drei Gruppen als „Publisher“, „Vendors“ und „CMPs“ (Consent Management Providers) bezeichnet.

Publisher, Vendors und CMPs im Rahmen des IAB TCF

IAB-TCF-Kategorien

Publisher

Im IAB Framework umfasst dieser Begriff digitale Medien, die Inhalte online veröffentlichen. Publisher repräsentieren in der Regel die First Party, also die Website, die Nutzer:innen besuchen. Im Bereich der digitalen Werbung sind Publisher häufig darauf angewiesen, Werbung von Drittanbietern auf ihren Websites anzuzeigen, um Einnahmen zu erzielen. Dabei wird in der Regel ein Werbenetzwerk eingesetzt, das relevante Werbung an Website-Besucher:innen ausspielt.

Vendors

Im TCF umfasst der Begriff Vendors Werbenetzwerke und Werbetreibende sowie andere Drittanbieter, mit denen Publisher für die Schaltung von Werbung zusammenarbeiten. Vendors stellen Inhalte von Drittanbietern auf den Websites der Publisher bereit. Sie setzen Marketing-Cookies im Browser der Endnutzer:innen, um relevante Werbung anzeigen zu können.

Anbieter von Consent-Management-Lösungen

Diese Anbieter stellen die Plattform bereit, über die Publisher eine gültige Einwilligung von Nutzer:innen zur Erhebung und Verarbeitung personenbezogener Daten auf ihren Websites einholen können. Die Consent Management Platform übermittelt anschließend die Einwilligungsentscheidungen der Endnutzer:innen an die auf der jeweiligen Website eingesetzten Vendors. So wird gesteuert, welche Daten für Werbezwecke wie die Personalisierung erhoben und verarbeitet werden dürfen.

Wie funktioniert das IAB TCF?

Das IAB Framework ermöglicht die Kommunikation des Einwilligungsstatus zwischen Publishern und dem Werbeökosystem auf den Websites von Publishern, Vendors und Consent Management Platforms.

Im TCF wählen Publisher ihre bevorzugten Vendors aus einer Liste von Vendors aus, die sich für die Teilnahme am TCF registriert haben. Diese Liste wird als Global Vendor List oder GVL bezeichnet.

Um am TCF teilnehmen zu können, müssen Vendors bestimmte Bedingungen erfüllen:

• Sie müssen ihren Code so aktualisieren, dass keine Cookies gesetzt werden, bevor sie ein Einwilligungssignal von einer CMP erhalten haben oder eine entsprechende Rechtsgrundlage für das Setzen eines Cookies besteht.
• Sie dürfen personenbezogene Daten für einen Zweck, der eine Einwilligung voraussetzt, erst verarbeiten, nachdem sie ein entsprechendes Einwilligungssignal direkt von einer CMP erhalten haben.

Die Global Vendor List ist eine Art Register zugelassener Vendors, die sich zur Einhaltung der Regeln des TCF verpflichtet haben. Wenn sich ein Publisher registriert, wählt er einen oder mehrere Vendors aus der Global Vendor List aus, mit denen er zusammenarbeiten möchte.

Der Einwilligungsstatus einer Nutzer:innen wird über ein First-Party-Cookie im Browser gespeichert und entlang der Werbeinformationskette des TCF weitergegeben. Sobald Nutzer:innen ihre Einwilligungsentscheidung getroffen haben, können diese Vendors und keine anderen auf die Verarbeitung ihrer Daten für die entsprechenden offengelegten Zwecke zugreifen.