Die digitale Werbeindustrie steht vor einer bedeutenden Wegmarke nach einer richtungsweisenden Entscheidung des belgischen Berufungsgerichts. In einem Urteil, das weitreichende Konsequenzen für Branchenriesen wie Google, Microsoft, Amazon sowie die Plattform X (ehemals Twitter) hat, bestätigte das Gericht die Feststellung der belgischen Datenschutzbehörde (DPA), dass das von IAB Europe entwickelte Transparency & Consent Framework (TCF) nicht den Anforderungen der Datenschutz-Grundverordnung (DSGVO) entspricht. Dieses Urteil nimmt nicht nur Einfluss auf die Rechtslage in Belgien, sondern könnte als Präzedenzfall für die gesamte Europäische Union dienen und damit die Zukunft der digitalen Werbekonsentverwaltung nachhaltig verändern. Das TCF wurde ursprünglich entwickelt, um Werbetreibenden und Verlagen ein praktikables Instrument an die Hand zu geben, mit dem sie die Einwilligung der Nutzer für die Verarbeitung ihrer personenbezogenen Daten, insbesondere im Rahmen von Real-Time Bidding (RTB), effizient einholen und verwalten können. Mit einem zentralen Transparenz- und Einwilligungsstring – dem sogenannten Transparency and Consent (TC) String – werden Datenpräferenzen der Nutzer über verschiedene Anbieter hinweg geteilt.
Mittels Consent Management Platforms (CMPs) ist dieses Framework bereits in rund 80 Prozent der Webseiten weltweit integriert. Bereits im Februar 2022 hatte die belgische Datenschutzbehörde nach intensiven Untersuchungen IAB Europe zusammen mit weiteren Teilnehmern im Ökosystem, darunter Publisher und AdTech Anbieter, als gemeinsame Datenverantwortliche eingestuft. Die Ermittlungen ergaben mehrere schwerwiegende Verstöße gegen die DSGVO. Besonders kritisiert wurde die fehlende Rechtsgrundlage für die Verarbeitung der TC Strings. Die von IAB Europe und den damit verbundenen AdTech-Dienstleistern angegebenen Rechtsgrundlagen wurden als unzureichend bewertet und entsprachen nicht dem strengen Anforderungsprofil der DSGVO.
Ein weiteres Problem stellte die mangelhafte Transparenz gegenüber den Nutzern dar. Die Informationen, die über die CMP-Oberflächen bereitgestellt wurden, waren nach Ansicht der Behörde zu allgemein gehalten, sodass Nutzer nicht in der Lage waren, den vollständigen Umfang und die Art der Datenverarbeitungen klar zu verstehen. Diese unzureichende Transparenz steht im direkten Widerspruch zur DSGVO, die eine klare, verständliche und spezifische Informationserteilung fordert, um eine informierte und freiwillige Zustimmung sicherzustellen. Zudem bemängelte die Behörde unzureichende organisatorische und technische Maßnahmen bei IAB Europe, die erforderlich sind, um den Datenschutz von Anfang an (Privacy by Design) und standardmäßig (Privacy by Default) zu gewährleisten. Auch wurden zentrale Pflichtaufgaben wie die Führung eines Verzeichnisses der Verarbeitungstätigkeiten, die Bestellung eines Datenschutzbeauftragten sowie die Durchführung einer Datenschutz-Folgenabschätzung nicht umgesetzt.
Als Konsequenz dieser Verstöße verhängte die belgische DPA eine Geldstrafe in Höhe von 250.000 Euro gegen IAB Europe und forderte das Unternehmen auf, innerhalb von zwei Monaten einen Maßnahmenplan zur Regulierung des TCF vorzulegen, der den Vorgaben der DSGVO entspricht. In der nun gefällten Entscheidung bestätigte das belgische Berufungsgericht diese Feststellungen umfassend und stärkte damit die Position der Datenschutzbehörde. Insbesondere unterstrich das Gericht, dass das TCF in seiner Gestaltung und Umsetzung die Anforderungen an eine informierte, spezifische und freiwillige Einwilligung gemäß DSGVO nicht erfüllt. Dies ist ein entscheidender Punkt, denn die Rechtmäßigkeit der Datenverarbeitung beruht maßgeblich auf der Wirksamkeit der Einwilligung der betroffenen Personen.
Die Bedeutung dieser Entscheidung für die Werbeindustrie ist kaum zu überschätzen. Unternehmen, die das TCF einsetzen, sind nunmehr gezwungen, ihre Einwilligungserklärungen und die dahinterliegenden Prozesse kritisch zu hinterfragen und neu zu gestalten. Gerade internationale Konzerne, die auf Online-Werbung in Europa setzen, sehen sich mit erheblichen Herausforderungen konfrontiert, da sie die komplexen Anforderungen der DSGVO auf der Basis dieser Gerichtsentscheidung noch strenger umsetzen müssen. Transparenz und Rechenschaftspflicht sind zentrale Säulen der DSGVO und finden sich nunmehr auch verstärkt im Fokus regulatorischer Überprüfungen wider. Die Nutzer verlangen, und die Gesetzgebung verlangt, dass ihnen klar und verständlich erklärt wird, wie und wofür ihre personenbezogenen Daten genutzt werden.
Entsprechend müssen Unternehmen sicherstellen, dass der Nutzer die volle Kontrolle über seine Datenverwendung hat und seine Einwilligung nicht durch unklare oder irreführende Informationen beeinträchtigt wird. Die anhaltende Kritik am TCF löst eine intensive Debatte innerhalb der AdTech-Branche aus und ruft die Notwendigkeit hervor, neue Standards in Sachen Datenschutz zu entwickeln, die nicht nur rechtskonform, sondern auch nutzerfreundlich sind. Es steht zu erwarten, dass alternative Modelle entstehen, die den strengen Anforderungen der DSGVO besser gerecht werden. Das Urteil ist auch ein Weckruf für andere EU-Mitgliedstaaten und deren Datenschutzbehörden, die ähnliche Verfahren gegen digitale Werbekonzepte anstreben könnten. Die Frage der gemeinsamen Verantwortlichkeit von Plattformen, Werbetreibenden und Technologieanbietern wird dabei verstärkt in den Mittelpunkt rücken, ebenso wie die Aufsicht über komplexe Datenverarbeitungsnetzwerke.
Zusammenfassend zeigt das Urteil des belgischen Berufungsgerichts deutlich die Konsequenzen auf, die entstehen, wenn zentrale Datenschutzprinzipien missachtet werden. Die digitale Werbeindustrie steht an einem Scheideweg, an dem Datenschutz und Nutzerrechte nicht als Hindernis, sondern als integraler Bestandteil des Geschäftsmodells betrachtet werden müssen, um langfristiges Vertrauen zu sichern. Für Unternehmen bedeutet dies, erneute Anstrengungen zur vollständigen DSGVO-Konformität zu unternehmen und zugleich innovative Wege zu finden, wie Werbekampagnen effektiv und datenschutzgerecht gestaltet werden können. Die Einhaltung der Datenschutzgrundsätze darf nicht länger als optional angesehen werden, sondern ist die Voraussetzung für eine nachhaltige Teilnahme an Europas digitalem Markt. Die Rolle von IAB Europe als zentraler Anbieter von Consent-Management-Lösungen wird ebenfalls neu bewertet werden müssen.
