Was ist das TCF?
Das Transparency & Consent Framework, kurz TCF, ist ein Regelwerk des Werbeverbands IAB Europe. Es legt fest, wie eine Website die Einwilligung ihrer Besucher für Werbung abfragt, speichert und an Werbepartner weitergibt — in einem Format, das alle Beteiligten lesen können.
Das Problem dahinter: Auf einer Nachrichtenseite mit Werbeflächen können in Sekunden Dutzende Firmen mitbieten. Jede braucht die Information, ob der Besucher eingewilligt hat. Das TCF packt diese Information in eine einheitliche Zeichenkette, den TC-String.
Wichtig: Das TCF ist kein Gesetz, sondern ein privater Branchenstandard. Die Regeln kommen weiter aus der DSGVO und in Deutschland für Cookies und Gerätezugriffe aus § 25 TDDDG.
Wie das TCF funktioniert
- CMP: Die Consent-Management-Plattform zeigt das Banner und fragt die Einwilligung ab. Sie muss bei IAB Europe registriert sein.
- Zwecke: Das TCF kennt elf Zwecke, etwa „Informationen auf einem Gerät speichern“ (Zweck 1), „Profile für personalisierte Werbung erstellen“ (Zweck 3) oder „Werbe-Performance messen“ (Zweck 7).
- Besondere Funktionen: genaue Standortdaten und das aktive Abfragen von Gerätemerkmalen brauchen eine eigene Zustimmung.
- Global Vendor List: das Verzeichnis aller teilnehmenden Werbe-Anbieter mit ihren Zwecken. Im Oktober 2026 standen dort gut 1.000 aktive Anbieter.
- TC-String: die Zeichenkette mit allen Entscheidungen des Besuchers. Sie wird mit den Werbepartnern geteilt und auf dem Gerät gespeichert.
Versionen des TCF
Version
Seit
1.1
April 2018
2.0
August 2019
2.2
Mai 2023
2.3
April 2025
Für Version 2.3 lief die Übergangsfrist bis zum 28. Februar 2026. Neu ist vor allem, dass der TC-String festhalten muss, welche Anbieter dem Besucher tatsächlich angezeigt wurden.
Was Gerichte und Behörden entschieden haben
Um das TCF gibt es seit Jahren Streit. Die wichtigsten Stationen:
- Februar 2022: Die belgische Datenschutzbehörde verhängt gegen IAB Europe ein Bußgeld von 250.000 € und verlangt Nachbesserungen. Es ging um die damalige Version 2.0.
- 7. März 2024: Der Europäische Gerichtshof entscheidet (Rechtssache C-604/22): Der TC-String ist ein personenbezogenes Datum, sobald er sich etwa über die IP-Adresse einer Person zuordnen lässt. IAB Europe kann gemeinsam mit den Nutzern des Standards verantwortlich sein.
- 14. Mai 2025: Das Marktgericht Brüssel hebt die Entscheidung von 2022 aus Verfahrensgründen auf, folgt aber in der Sache der Behörde und bestätigt das Bußgeld.
- Januar 2026: Dasselbe Gericht kippt die Freigabe des Aktionsplans, mit dem IAB Europe nachgebessert hatte. Die Behörde muss neu prüfen.
Häufige Fehler
Fehler 1 · „TCF-Banner heißt DSGVO-konform“
Das TCF soll bei der Einhaltung der Regeln helfen, mehr nicht. Ein Banner kann dem Standard entsprechen und trotzdem gegen die DSGVO verstoßen — etwa wenn „Ablehnen“ versteckt ist oder Anbieter Daten trotz Nein verarbeiten. Verantwortlich bleibst du als Websitebetreiber.
Fehler 2 · Jede Website braucht TCF
Das TCF ist für Websites gedacht, die Werbeflächen über Werbenetzwerke verkaufen. Wer nur Google Analytics, ein Meta Pixel oder ein Kontaktformular nutzt, braucht ein Consent-Banner, aber meist kein TCF. Ein TCF-Banner mit 1.000 Anbietern auf einer kleinen Firmenseite schreckt eher ab.
Fehler 3 · Berechtigtes Interesse als Hintertür
Früher stützten viele Anbieter Werbeprofile auf das „berechtigte Interesse“ statt auf eine Einwilligung. Für die Zwecke 3 bis 6, also Profile und personalisierte Werbung, lässt das TCF das inzwischen nicht mehr zu. Für Messung und einfache Werbung taucht es weiter auf — dort lohnt ein genauer Blick in die CMP.
Fehler 4 · Die Google-Vorgabe missverstehen
Google verlangt seit Januar 2024 von Publishern mit AdSense, Ad Manager oder AdMob eine von Google zertifizierte CMP mit TCF — und zwar für personalisierte Werbung im EWR, in Großbritannien und seit Juli 2024 in der Schweiz. Wer nur Google Ads schaltet, also Werbung kauft, ist davon nicht betroffen.
Was das für deine Website heißt
- Du verkaufst Werbeflächen (AdSense, Ad Manager, programmatische Werbung): Du brauchst eine CMP mit TCF 2.3. Usercentrics, Cookiebot, OneTrust, Didomi, Borlabs Cookie und Sourcepoint gehören zu den von Google zertifizierten Anbietern.
- Du schaltest nur selbst Anzeigen und misst: Eine gute CMP mit echtem Ablehnen-Knopf reicht in der Regel, dazu für Google-Dienste der Consent Mode.
- In beiden Fällen: Liste nur die Dienste auf, die du wirklich nutzt, und halte die Datenschutzerklärung aktuell.
Häufige Fragen
Brauche ich das TCF für meine Website?
Nur, wenn du Werbeflächen über Werbenetzwerke vermarktest, etwa mit AdSense oder Ad Manager und personalisierten Anzeigen. Für Analytics, Pixel und eigene Anzeigen reicht meist eine CMP ohne TCF. Im Zweifel klär das mit deiner Datenschutzberatung.
Was ist der TC-String und ist er ein personenbezogenes Datum?
Der TC-String ist die Zeichenkette, in der die Entscheidungen eines Besuchers gespeichert sind. Laut Europäischem Gerichtshof (C-604/22, März 2024) ist er ein personenbezogenes Datum, sobald er mit Angaben wie der IP-Adresse einer Person zugeordnet werden kann.
Ist meine Website mit einer TCF-CMP automatisch DSGVO-konform?
Nein. Das TCF ist ein Branchenstandard, kein Gütesiegel. Entscheidend sind die Gestaltung des Banners, die Rechtsgrundlagen der eingebundenen Anbieter und ob deren Datenverarbeitung zur Einwilligung passt. Das bleibt deine Verantwortung.
Welche Version des TCF gilt aktuell?
Version 2.3, eingeführt im April 2025. Die Übergangsfrist endete am 28. Februar 2026. Prüf in deiner CMP, ob sie 2.3 unterstützt, und frag im Zweifel beim Anbieter nach.
Was ist der Unterschied zwischen TCF und Consent Mode?
Das TCF ist ein herstellerübergreifender Standard für viele Werbe-Anbieter. Der Consent Mode ist Googles eigenes Signal, mit dem Google-Dienste wie Analytics und Ads die Einwilligung erfahren. Eine CMP kann beides bedienen.
