{
    "slug": "eugh-c-604-22-iab-europe-tc-string-real-time-bidding",
    "titre": "EuGH C-604/22 (IAB Europe, DSGVO 2016/679) – TC String als personenbezogenes Datum und gemeinsame Verantwortlichkeit beim Real Time Bidding",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Mit Urteil vom 7. März 2024 in der Rechtssache C-604/22 (IAB Europe ./. Gegevensbeschermingsautoriteit), ECLI:EU:C:2024:214, hat der Gerichtshof der…",
    "resume_court": "Mit Urteil vom **7. März 2024** in der Rechtssache **C-604/22 (IAB Europe ./. Gegevensbeschermingsautoriteit)**, ECLI:**EU:C:2024:214**, hat der **Gerichtshof der Europäischen Union (Vierte Kammer)** zwei Fragen entschieden, die das gesamte Geschäftsmodell der personalisierten Online-Werbung betreffen:\n\n**Erstens:** Der **TC String** („Transparency and Consent String\u0022) – die Zeichenkette, in der das **Transparency \u0026 Consent Framework (TCF)** von IAB Europe die Einwilligungs- und Widerspruchspräferenzen eines Nutzers kodiert – **ist ein personenbezogenes Datum** im Sinne von Art. 4 Nr. 1 DSGVO, sobald er mit einer Kennung wie der **IP-Adresse** des Endgeräts verknüpft werden kann. Dass die Branchenorganisation selbst den String nicht auflösen kann, ändert daran nichts.\n\n**Zweitens:** IAB Europe ist für die Erzeugung und Speicherung des TC String **gemeinsam Verantwortliche** im Sinne von Art. 4 Nr. 7 und Art. 26 DSGVO – gemeinsam mit ihren Mitgliedern (Publisher, Consent-Management-Anbieter, Werbeplattformen). Dafür ist **kein eigener Zugriff** auf die personenbezogenen Daten erforderlich. Für die **nachgelagerten** Verarbeitungen in der Real-Time-Bidding-Kette (Profilbildung, Gebotsanfragen, Auslieferung der Werbung) ist IAB Europe dagegen **nicht** automatisch mitverantwortlich – nur wenn sich nachweisen lässt, dass sie auch dort auf Zwecke und Mittel Einfluss nimmt.\n\nPraktische Folge für deutsche Website- und App-Betreiber: Wer ein TCF-basiertes Cookie-Banner einsetzt, verarbeitet mit dem TC String **personenbezogene Daten** und braucht dafür eine tragfähige Rechtsgrundlage, Transparenz nach Art. 13 DSGVO und – für den Zugriff auf das Endgerät – eine Einwilligung nach **§ 25 Abs. 1 TDDDG**. Das VG Hannover hat diese Linie in seinem Cookie-Banner-Urteil vom 19.03.2025 (10 A 5385/22) ausdrücklich übernommen.",
    "faits": [
        {
            "point": "Aktenzeichen",
            "valeur": "C-604/22 (Vorabentscheidungsersuchen)",
            "autorite": "A"
        },
        {
            "point": "Bezeichnung",
            "valeur": "IAB Europe ./. Gegevensbeschermingsautoriteit",
            "autorite": "A"
        },
        {
            "point": "Entscheidungsdatum",
            "valeur": "07.03.2024",
            "autorite": "A"
        },
        {
            "point": "Spruchkörper",
            "valeur": "Gerichtshof (Vierte Kammer)",
            "autorite": "A"
        },
        {
            "point": "ECLI",
            "valeur": "EU:C:2024:214",
            "autorite": "A"
        },
        {
            "point": "CELEX-Nummer",
            "valeur": "62022CJ0604",
            "autorite": "A"
        },
        {
            "point": "Amtliche Pressemitteilung",
            "valeur": "Nr. 44/24 vom 07.03.2024",
            "autorite": "A"
        },
        {
            "point": "dejure-Permalink",
            "valeur": "https://dejure.org/2024,3916",
            "autorite": "A"
        },
        {
            "point": "Vorlegendes Gericht",
            "valeur": "Hof van beroep te Brussel / Marktgericht Brüssel (Belgien)",
            "autorite": "A"
        },
        {
            "point": "Ausgelegte Normen",
            "valeur": "Art. 4 Nr. 1 DSGVO (personenbezogene Daten), Art. 4 Nr. 7 und Art. 26 Abs. 1 DSGVO (gemeinsame Verantwortlichkeit)",
            "autorite": "A"
        },
        {
            "point": "Streitgegenstand",
            "valeur": "Beschluss der belgischen Datenschutzbehörde (APD/GBA), Kammerentscheidung 21/2022 vom 02.02.2022 zum TCF v2.0",
            "autorite": "A"
        },
        {
            "point": "Leitsatz 1",
            "valeur": "Der TC String ist ein personenbezogenes Datum, wenn er mit angemessenen Mitteln – etwa über die IP-Adresse – einer natürlichen Person zugeordnet werden kann",
            "autorite": "A"
        },
        {
            "point": "Leitsatz 1 (Ergänzung)",
            "valeur": "Es ist nicht erforderlich, dass die Branchenorganisation selbst Zugriff auf die Zusatzinformationen hat oder den String selbst auflösen kann",
            "autorite": "A"
        },
        {
            "point": "Leitsatz 2",
            "valeur": "IAB Europe ist gemeinsam Verantwortliche für die Erfassung der Einwilligungspräferenzen im TC String (Art. 4 Nr. 7, Art. 26 Abs. 1 DSGVO)",
            "autorite": "A"
        },
        {
            "point": "Leitsatz 2 (Grenze)",
            "valeur": "Keine automatische Mitverantwortlichkeit für nachgelagerte Verarbeitungen nach Erzeugung des TC String – nur bei nachgewiesenem Einfluss auf deren Zwecke und Mittel",
            "autorite": "A"
        },
        {
            "point": "Kein Zugriff nötig",
            "valeur": "Gemeinsame Verantwortlichkeit setzt keinen eigenen Datenzugang voraus (Rn. 57 f., unter Verweis auf C-25/17 Jehovan todistajat)",
            "autorite": "A"
        },
        {
            "point": "Keine förmliche Vereinbarung nötig",
            "valeur": "Eine schriftliche Vereinbarung nach Art. 26 DSGVO ist nicht Voraussetzung der gemeinsamen Verantwortlichkeit (unter Verweis auf C-683/21)",
            "autorite": "A"
        },
        {
            "point": "Anknüpfende EuGH-Rechtsprechung",
            "valeur": "C-582/14 (Breyer); C-210/16 (Wirtschaftsakademie); C-25/17 (Jehovan todistajat); C-40/17 (Fashion ID); C-683/21 (Nacionalinis visuomenės sveikatos centras)",
            "autorite": "A"
        },
        {
            "point": "Nationale Anschlussnorm (DE)",
            "valeur": "§ 25 Abs. 1 TDDDG – Einwilligung für Speichern/Auslesen von Informationen auf Endeinrichtungen",
            "autorite": "A"
        },
        {
            "point": "Bußgeldrahmen bei Verstoß",
            "valeur": "bis 20 Mio. EUR oder 4 % des weltweiten Jahresumsatzes (Art. 83 Abs. 5 DSGVO)",
            "autorite": "A"
        },
        {
            "point": "Ausgangsverfahren: Geldbuße",
            "valeur": "250.000 EUR (APD-Entscheidung 21/2022)",
            "autorite": "A"
        },
        {
            "point": "Ausgangsverfahren: Stand",
            "valeur": "Marktgericht Brüssel, Urteil vom 14.05.2025; Folgeurteil zur Aktionsplan-Validierung Januar 2026 – Verfahrensstand prüfen",
            "autorite": "A"
        },
        {
            "point": "TCF-Version",
            "valeur": "v2.0 war Streitgegenstand; seit Februar 2026 gilt in der Branche TCF v2.3 – Konformität nicht gerichtlich bestätigt",
            "autorite": "A"
        },
        {
            "point": "Bindungswirkung",
            "valeur": "Vorabentscheidung bindet das vorlegende Gericht und alle mitgliedstaatlichen Gerichte in gleichgelagerten Fällen",
            "autorite": "A"
        }
    ],
    "sources": [
        {
            "titre": "EuGH, Press Release No 44/24 of 7 March 2024 – Case C-604/22 IAB Europe (amtliche Pressemitteilung, PDF)",
            "url": "https://curia.europa.eu/site/upload/docs/application/pdf/2024-03/cp240044en.pdf",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Urteil C-604/22, CELEX 62022CJ0604 (Volltext, deutsch)",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62022CJ0604",
            "autorite": "A"
        },
        {
            "titre": "EUR-Lex – Zusammenfassung des Urteils, CELEX 62022CA0604",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62022CA0604",
            "autorite": "A"
        },
        {
            "titre": "dejure.org – EuGH, 07.03.2024 – C-604/22 (Permalink, Fundstellen und Zitatnachweise)",
            "url": "https://dejure.org/2024,3916",
            "autorite": "A"
        },
        {
            "titre": "Verordnung (EU) 2016/679 (DSGVO) – Volltext EUR-Lex",
            "url": "https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679",
            "autorite": "A"
        },
        {
            "titre": "§ 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen (gesetze-im-internet.de)",
            "url": "https://www.gesetze-im-internet.de/ttdsg/__25.html",
            "autorite": "A"
        },
        {
            "titre": "TDDDG – Gesamttext (gesetze-im-internet.de)",
            "url": "https://www.gesetze-im-internet.de/ttdsg/",
            "autorite": "A"
        },
        {
            "titre": "Belgische Datenschutzbehörde (APD/GBA) – Entscheidung der Streitkammer 21/2022 vom 02.02.2022 (englisch, PDF)",
            "url": "https://www.autoriteprotectiondonnees.be/publications/decision-quant-au-fond-n-21-2022-en.pdf",
            "autorite": "A"
        },
        {
            "titre": "Belgische Datenschutzbehörde – „IAB EUROPE case: The CJEU answers the questions referred for a preliminary ruling\u0022",
            "url": "https://www.dataprotectionauthority.be/citizen/iab-europe-case-the-cjeu-answers-the-questions-referred-for-a-preliminary-ruling",
            "autorite": "A"
        },
        {
            "titre": "Belgische Datenschutzbehörde – „The Market Court rules in the IAB Europe case\u0022 (Urteil vom 14.05.2025)",
            "url": "https://www.dataprotectionauthority.be/citizen/the-market-court-rules-in-the-iab-europe-case",
            "autorite": "A"
        },
        {
            "titre": "Belgische Datenschutzbehörde – „IAB Europe held responsible for a mechanism that infringes the GDPR\u0022",
            "url": "https://www.dataprotectionauthority.be/citizen/iab-europe-held-responsible-for-a-mechanism-that-infringes-the-gdpr",
            "autorite": "A"
        }
    ],
    "faq": [
        {
            "question": "Was regelt EuGH C-604/22 (IAB Europe, DSGVO 2016/679) – TC String als personenbezogenes Datum und gemeinsame Verantwortlichkeit beim Real Time Bidding?",
            "reponse": "Mit Urteil vom 7. März 2024 in der Rechtssache C-604/22 (IAB Europe ./. Gegevensbeschermingsautoriteit), ECLI:EU:C:2024:214, hat der Gerichtshof der Europäischen Union (Vierte Kammer) zwei Fragen entschieden, die das gesamte Geschäftsmodell der personalisierten Online-Werbung betreffen: Erstens: Der TC String („Transparency and Consent String\u0022) – die Zeichenkette, in der das Transparency \u0026 Consent Framework (TCF)…"
        },
        {
            "question": "Für wen gilt EuGH C-604/22 (IAB Europe, DSGVO 2016/679)?",
            "reponse": "Das Urteil legt die Verordnung (EU) 2016/679 (DSGVO) aus. Die DSGVO ist eine EU-Verordnung und gilt in Deutschland unmittelbar – ein nationales Umsetzungsgesetz ist nicht erforderlich. Die Auslegung durch den EuGH ist für deutsche Gerichte und Aufsichtsbehörden verbindlich."
        },
        {
            "question": "Welche häufigen Fehler gibt es bei EuGH C-604/22 (IAB Europe, DSGVO 2016/679)?",
            "reponse": "„Der TC String enthält nur ja/nein-Angaben, das sind keine personenbezogenen Daten.\u0022 Falsch – genau das hat der EuGH verworfen. Entscheidend ist die Verknüpfbarkeit mit einer Kennung wie der IP-Adresse. „Wir haben keinen Zugriff auf die Daten, also sind wir nicht verantwortlich.\u0022 Falsch – die gemeinsame Verantwortlichkeit setzt keinen eigenen Datenzugang voraus (Rn. 58). „Ohne Vertrag nach Art."
        }
    ],
    "wikidata": [],
    "valid_from": "2024-03-07",
    "valid_to": null,
    "derniere_revision": "2026-09-01",
    "derniere_verification": "2026-09-01",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/eugh-c-604-22-iab-europe-tc-string-real-time-bidding"
}