Belgische Datenschutzaufsichtsbehörde genehmigt Aktionsplan des IAB Europe zum TCF 2.0 – Entscheidung des EuGH steht noch aus

Das Interactive Advertising Bureau Europe ("IAB") hatte der belgischen Datenschutzaufsichtsbehörde einen Plan unterbreitet, wie es das weit verbreitete Transparency and Consent Framework 2.0 ("TCF 2.0") in Einklang mit den datenschutzrechtlichen Anforderungen der Behörde bringen will. Dieser Streit ist relevant für nahezu sämtliche Webseitenbetreiber, die eine Consent Management Plattform ("CMP") des IAB einsetzen, um Einwilligungen für Tracking und Marketing Tools einzuholen.

Den Plan des IAB hat die in Brüssel ansässige Behörde am 11. Januar 2023 genehmigt und dem IAB sechs Monate Zeit gegeben, den eigens ausgearbeiteten Plan technisch umzusetzen. Im parallel anhängigen Gerichtsverfahren hat der belgische Market Court das Verfahren zuvor ausgesetzt und dem EuGH zwei Fragen zur Auslegung der DSGVO vorgelegt.

Zum Hintergrund und bisherigen Gang des Verfahrens

Das IAB ist eine Organisation der Werbebranche, die sich u. a. zum Ziel gesetzt hat, die Effektivität von Online-Marketing zu verbessern. Das TCF 2.0 ist ein von der IAB entwickeltes, vielfach genutztes Rahmenwerk, das Unternehmen dabei helfen soll, die DSGVO bei der Online-Werbung einzuhalten – insbesondere durch ein standardisiertes Einwilligungsmanagement. In diesem Zusammenhang ist auch der sogenannte Transparency and Consent String ("TC-String") relevant, der verwendet wird, um die Einwilligung und Präferenzen des Nutzers technisch zu kommunizieren.

Die belgische Datenaufsichtsbehörde (deren Zuständigkeit begründet ist, da das IAB ebenfalls in Belgien sitzt) hatte am 2. Februar 2022 das TCF 2.0 teilweise für unvereinbar mit der DSGVO erklärt, nachdem seit 2019 mehrere Beschwerden diesbezüglich eingegangen waren.

Bußgeld gegen das IAB; Vorlage zum EuGH

Dem IAB wurde durch die Entscheidung ein Bußgeld auferlegt und zudem verpflichtet, einen Aktionsplan für die Umsetzung verschiedener Abhilfemaßnahmen vorzulegen. Eine ausführlichere Erklärung – sowohl zu den technischen Hintergründen, als auch zur Entscheidung der belgischen Behörde – finden Sie in unserem Update Datenschutz Nr. 109.

Gegen das Bußgeld legte das IAB Rechtsmittel ein und zog vor den belgischen Market Court. Dieser setzte im Herbst 2022 das Verfahren aus und legte dem EuGH zwei Fragen zur Vorabentscheidung vor, die Grundlage der behördlichen Entscheidung waren (das Zwischenurteil des Market Courts ist hier abrufbar, allerdings bisweilen nur im Original auf Niederländisch).

Zum einen sollen die Richter in Luxemburg beantworten, ob der TC-String ein personenbezogenes Datum darstellt, zum anderen soll entschieden werden, ob das IAB im Rahmen der TCF 2.0 als für die Verarbeitung personenbezogener Daten (gemeinschaftlicher) Verantwortlicher angesehen wird (sowohl in Bezug auf den TC-String als auch in Bezug auf die weitere Verarbeitung). Alternativ kommen die Parteien, die das TCF 2.0 auf ihren Webseiten nutzen, als Verantwortliche in Frage. Eine Entscheidung des EuGH wird circa im Herbst 2023 bis Anfang 2024 erwartet.

Welche rechtliche Bedeutung hat der Aktionsplan?

Unabhängig davon unterbreitete das IAB zunächst im Frühjahr 2022 der belgischen Datenschutzaufsichtsbehörde, wie gefordert, einen Aktionsplan, um die angemahnten DSGVO-Verstöße abzustellen. Am 11. Januar 2023 wurde der Aktionsplan von der belgischen Datenschutzaufsicht genehmigt, sie hat also formell erklärt, der Plan stehe in Einklang mit ihrer Auslegung der DSGVO. Das IAB hat nun sechs Monate Zeit, den vorgeschlagenen Plan umzusetzen. Bedeutsam ist dabei auch, dass sich dabei gem. Art. 60 Abs. 3 DSGVO unionsweit abgestimmt wurde; nationale Datenschutzbehörden aller EU-Mitglieder wurden also in den Entscheidungsprozess mit eingebunden und konnten ihre Sichtweise einbringen.

Auch, wenn das IAB im Hinblick auf die ausstehende EuGH-Entscheidung natürlich an seiner ursprünglichen Rechtsauffassung festhält, erklärte es pragmatisch, es werde "jede Initiative ergreifen, um sicherzustellen, dass alle zukünftigen Entwicklungen der TCF 2.0 nachhaltig sind."

Ausblick: Es bleibt spannend

Insbesondere für alle Webseitenprovider, die eine CMP nach IAB TCF 2.0 verwenden, stellt die Genehmigung des Aktionsplans vom IAB eine positive Entwicklung dar. Gegenüber deutschen Datenschutzbehörden kann nun darauf verwiesen werden, dass das IAB das TCF 2.0 in einer Weise anpassen wird, welche der belgischen Aufsichtsbehörde genügt, die sich im Vorfeld gerade mit den anderen Datenschutzbehörden ausgetauscht hat. Es ist also davon auszugehen, dass die belgische Genehmigung faktisch unionsweit wirkt. Insofern erzeugt die Genehmigung auch in Deutschland einen Gewinn an Rechtssicherheit.

Gleichwohl läuft das gerichtliche Verfahren in Luxemburg noch – über dem gesamten Procedere liegt insofern das "Damoklesschwert" des anstehenden EuGH-Urteils, das der behördlichen Entscheidung widersprechen könnte. Vermutlich wird der EuGH gemäß seiner bisherigen Rechtsprechung entscheiden, dass der TC-String personenbezogen ist und, dass das IAB datenschutzrechtlich gemeinschaftlich Verantwortlicher ist und somit die belgische Datenschutzaufsicht also mit ihrer Auffassung aus dem Februar 2022 im Recht war und weiterhin ist. Dies dürfte dazu führen, dass sich das Konzept der gemeinsamen Verantwortlichkeit im Bereich des Online-Marketings weiter durchsetzen wird. Die Teilnehmer des TCF 2.0 werden dann mit dem IAB eine Vereinbarung über eine gemeinschaftliche Verantwortung schließen müssen; wie ein solches Vertragsverhältnis seitens des IAB ausgestaltet wird, bleibt abzuwarten. Ein Risiko kann sich allerdings daraus ergeben, dass gegen jeden der gemeinschaftlich Verantwortlichen ein Schadensersatzanspruch gem. Art. 82 DSGVO geltend gemacht werden kann.

Wir werden Sie auf dem Laufenden halten.