Rechtsgrundlage fehlt: EU-Beschluss stellt Tracking-Werbung in Frage

Seit Jahren wird darüber diskutiert, ob die allgegenwärtige personalisierte Werbung im Netz überhaupt DSGVO-konform ist. Nun gibt es eine klare Antwort.

Am 14. Mai 2025 hat das Brüsseler Marktgericht ein Urteil gefällt, das für die europäische Digital- und Medienbranche weitreichende Auswirkungen haben dürfte. Im Mittelpunkt steht das sogenannte Transparency & Consent Framework (TCF) der Branchenorganisation IAB Europe – eine technische Lösung, die in weiten Teilen des Online-Marketings zur Verwaltung von Nutzerzustimmungen (Consent) eingesetzt wird.

Was ist passiert?

Das Gericht kommt zum Schluss, dass das derzeit genutzte TCF in mehreren Punkten nicht den Vorgaben der DSGVO entspricht. Die Entscheidung basiert auf einem Beschluss des Europäischen Datenschutzausschusses (EDSA) und verpflichtet IAB Europe zur umfassenden Nachbesserung.

Wesentliche Punkte des Urteils

• Der TC String ist personenbezogen: Die technische Kennung zur Dokumentation der Einwilligung (der sogenannte „TC String“) sind laut Urteil personenbezogene Daten, weil es mit weiteren Informationen wie IP-Adresse oder Cookie-ID verknüpft werden kann.
• IAB Europe ist Verantwortlicher: Die Organisation wurde als (Mit-)Verantwortlicher für die Verarbeitung personenbezogener Daten im Rahmen des TCF eingestuft, auch wenn sie selbst nicht direkt auf alle Daten zugreift.
• Fehlende rechtliche Grundlage: Weder die eingeholten Einwilligungen noch das angeführte berechtigte Interesse wurden vom Gericht als gültige Rechtsgrundlage für die aktuelle Datenverarbeitung anerkannt.
• Verstöße gegen Transparenz und Sicherheit: Das Gericht bestätigt Verstöße gegen mehrere DSGVO-Pflichten, u. a. zur Transparenz, Datensicherheit, Datenschutz-Folgenabschätzung und zur Benennung eines Datenschutzbeauftragten.
• Sanktionen bleiben aufrecht: IAB Europe muss eine Verwaltungsstrafe von 250.000 Euro zahlen und hat sechs Monate Zeit, die Anforderungen umzusetzen. Andernfalls drohen zusätzliche Tagesstrafen.
• Abgrenzung zu OpenRTB: Das Urteil betrifft ausschließlich das TCF – die nachgelagerte Verwendung in Werbesystemen (z. B. Real-Time-Bidding via OpenRTB) ist nicht automatisch Teil der Verantwortung von IAB Europe.

Was bedeutet das Urteil für Unternehmen in Österreich?

Für viele österreichische Digitalunternehmen – insbesondere Medienhäuser, Publisher und Agenturen – ist das Urteil ein deutlicher Hinweis, bestehende Tracking- und Targeting-Modelle zu hinterfragen. Viele Systeme und Consent-Banner basieren auf Standards wie dem TCF und könnten nun nicht mehr rechtskonform sein.

Was jetzt wichtig ist:

• Transparenz prüfen: Werden Nutzer:innen verständlich und vollständig über die Datenverarbeitung informiert?
• Einwilligungen hinterfragen: Liegt eine rechtlich wirksame, freiwillige und informierte Zustimmung vor?
• Alternative Werbestrategien denken: Kontextbasierte Werbung, First-Party-Daten und Subscription-Modelle rücken stärker in den Fokus.
• CMPs überarbeiten: Wer ein Consent-Tool einsetzt, sollte prüfen, ob es dem aktuellen Stand der DSGVO entspricht.

Fazit

Das Urteil schafft rechtliche Klarheit, aber auch Handlungsbedarf. Unternehmen, die frühzeitig auf datenschutzkonforme Lösungen setzen, schaffen Vertrauen – und sichern sich langfristig Wettbewerbsvorteile in einem zunehmend regulierten digitalen Markt.

https://www.iccl.ie/wp-content/uploads/2025/05/Arrest-Marktenhof-14-05-2025-en.pdf
https://www.iccl.ie/digital-data/eu-ruling-tracking-based-advertising-by-google-microsoft-amazon-x-across-europe-has-no-legal-basis
https://iabeurope.eu/belgian-market-court-confirms-limited-role-of-iab-europe-in-tcf
https://www.engadget.com/big-tech/appeals-court-confirms-that-tracking-based-online-advertising-is-illegal-in-europe-223714124.html