Was ist ein TC-String?
Woher weiß ein Werbeanbieter, ob ein Besucher zugestimmt hat? Über den TC-String. Das ist die maschinenlesbare Fassung dessen, was jemand im Cookie-Banner entschieden hat.
TC steht für Transparency and Consent. Der String gehört zum Transparency & Consent Framework (TCF) von IAB Europe, dem Regelwerk der Online-Werbebranche. Er sieht aus wie Buchstabensalat, enthält aber klar definierte Felder und wird entlang der Werbekette weitergereicht. So kann jeder Anbieter prüfen, ob er für diesen Nutzer eine Rechtsgrundlage hat.
Erstellen darf ihn nur eine bei IAB Europe registrierte Consent-Management-Plattform (CMP). Anbieter und Dritte dürfen ihn weder anlegen noch ändern.
Was steht im TC-String?
Der String hat bis zu drei Teile, durch Punkte getrennt:
Segment
Inhalt
Core String
Pflicht: Zwecke, Anbieter, Datum, CMP
Disclosed Vendors
Pflicht seit v2.3: gezeigte Anbieter
Publisher TC
Optional: Angaben des Website-Betreibers
In den Feldern stehen unter anderem Erstell- und Änderungsdatum, die Kennung der CMP, die Version der Global Vendor List und die Einwilligungen je Zweck und Anbieter. Keine IP-Adresse, kein Name. Wo der String liegt, schreibt die Spezifikation nicht vor. Das entscheidet die CMP. Ein Cookie ist also möglich, aber keine Pflicht.
Zur Größenordnung: Die Global Vendor List führte Ende Oktober 2026 in Version 183 rund 1.230 Einträge, gut 1.000 davon aktiv.
Warum der String personenbezogen ist
Keine Namen, keine IP. Also anonym? Nein. Der Europäische Gerichtshof entschied am 7. März 2024 (C-604/22, IAB Europe): Der TC-String enthält Informationen über einen identifizierbaren Nutzer, weil er sich einer Kennung wie der IP-Adresse zuordnen lässt. Damit ist er ein personenbezogenes Datum.
Zugleich sah der Gerichtshof IAB Europe als gemeinsam Verantwortlichen, vorbehaltlich der Prüfung durch das nationale Gericht. Das Brüsseler Marktgericht bestätigte im Mai 2025 das Bußgeld von 250.000 Euro der belgischen Datenschutzbehörde. Die Verantwortung beschränkte es aber auf die Verarbeitung innerhalb des TCF, nicht auf die nachgelagerte Werbeauslieferung.
Im Januar 2026 hob dasselbe Gericht die Billigung des Aktionsplans durch die Behörde auf, die Sache ging zurück. Die Einstufung des Strings und das Bußgeld blieben davon unberührt. Das Verfahren ist also nicht ganz abgeschlossen, das TCF aber auch nicht verboten.
Was das mit Google-Anzeigen zu tun hat
Hier wird es für Publisher praktisch. Google verlangt im EWR und im Vereinigten Königreich seit dem 16. Januar 2024 eine zertifizierte, ins TCF integrierte CMP, wenn du personalisierte Anzeigen über AdSense, Ad Manager oder AdMob auslieferst. Der TC-String ist der Weg, auf dem Google die Entscheidung erfährt.
Stimmt der String nicht, gibt es Fehlercodes. Bei Fehler 1.4 fehlt das Segment Disclosed Vendors, ist fehlerhaft oder enthält Google nicht. Dann kann die Anfrage nicht bearbeitet werden. Die Abhilfe: CMP auf aktuellen Stand bringen und Google Advertising Products (ID 755) als Anbieter einrichten.
Das Framework entwickelt sich weiter. TCF v2.3 machte Disclosed Vendors zur Pflicht, die Übergangsfrist lief am 28. Februar 2026 ab. Die Spezifikation v2.4 kam im Juli 2026, für CMPs auf Websites galt die Frist bis zum 23. Oktober 2026.
Häufige Fehler
Fehler 1 · Den String für anonym halten
Entscheidend ist die Verknüpfbarkeit, nicht der Inhalt. Behandle ihn wie jedes andere personenbezogene Datum.
Fehler 2 · Zertifizierung mit Rechtssicherheit verwechseln
Eine zertifizierte CMP erfüllt Googles Vorgabe. Mehr nicht. Google prüft laut eigener Hilfe nicht die volle Rechtskonformität. Deine Pflichten aus der DSGVO bleiben bei dir.
Fehler 3 · Die CMP nie aktualisieren
Das TCF ändert sich regelmäßig. Neue Strings ohne Disclosed Vendors gelten als ungültig. Ältere bleiben zwar gültig, aber wer sein Banner seit Jahren nicht angefasst hat, läuft irgendwann in Fehlermeldungen.
Fehler 4 · Einwilligung für ewig halten
Die Spezifikation verlangt, Nachweise mindestens alle 13 Monate zu erneuern. Ändert sich die Richtlinien-Version, muss die CMP den String verwerfen und neu fragen.
Was musst du tun?
- Du zeigst Google-Anzeigen auf deiner Website? Dann brauchst du für personalisierte Anzeigen eine zertifizierte CMP. Prüf sie in Googles Liste.
- Du schaltest nur selbst Anzeigen? Dann erzeugst du meist keinen TC-String. Für dein Tracking brauchst du trotzdem eine saubere Einwilligung, etwa über den Consent Mode.
- Du willst nachsehen? Im Fehlerbericht von Ad Manager siehst du TCF-Fehler. Einzelne Strings entschlüsselt der Decoder von IAB Europe.
Häufige Fragen
Ist das TCF nach dem EuGH-Urteil verboten?
Nein. Das Urteil stuft den String als personenbezogen ein und sieht IAB Europe in der Mitverantwortung. Ein Verbot sprach der Gerichtshof nicht aus. Das Verfahren betraf TCF 2.0, neuere Versionen wurden gerichtlich noch nicht geprüft.
Wo wird der TC-String gespeichert?
Das schreibt die Spezifikation nicht vor, die CMP entscheidet. Oft liegt er im Browser, etwa in einem Cookie.
Wie lange ist ein TC-String gültig?
Eine feste Laufzeit nennt die Spezifikation nicht. Sie verlangt, Nachweise mindestens alle 13 Monate zu erneuern, und bei einer neuen Richtlinien-Version muss neu gefragt werden.
Brauche ich als kleine Website das TCF?
Nur wenn du personalisierte Google-Anzeigen oder andere TCF-Anbieter auf deiner Seite nutzt. Ohne Werbeflächen brauchst du das TCF in der Regel nicht, eine Einwilligungslösung für Cookies aber trotzdem.
