TCF einfach erklärt: Was es ist, warum es zählt und welche CMPs zertifiziert sind

Das Transparency and Consent Framework (TCF) standardisiert die Kommunikation über Datenschutzeinstellungen im digitalen Werbeumfeld. Eine Consent Management Platform (CMP) zeigt Informationen und Auswahlmöglichkeiten an. Der daraus erzeugte TC String übermittelt strukturierte Signale an angebundene Teilnehmer. Eine gültige Zeichenfolge allein beweist noch keine gültige Einwilligung oder korrekt blockierte Tags.

Was im TC String steht

Das Rahmenwerk von IAB Europe und die technischen Spezifikationen von IAB Tech Lab legen ein gemeinsames Format fest. Die Signale betreffen unter anderem Zwecke, Anbieter, Einwilligungen und Informationen zum berechtigten Interesse. Das ist differenzierter als ein einziges globales Ja oder Nein.

Ein Vergleich mit einem standardisierten Bestellzettel hilft: Die Auswahl wird in ein lesbares Format übersetzt. Der Zettel bereitet jedoch kein Essen zu und kontrolliert keine Küche. Ebenso ersetzt ein TC String weder die technische Anbindung noch die Prüfung des tatsächlichen Datenverkehrs.

Was TCF erleichtert – und was weiterhin eingerichtet werden muss

Teilnehmende Anbieter können dieselben definierten Signale auswerten. Das reduziert individuelle Schnittstellen. TCF ist jedoch nicht die einzige Möglichkeit, Entscheidungen zu übertragen. Eine CMP kann zusätzlich eigene Kategorien und andere standardisierte Schnittstellen anbieten.

Die Website muss Empfänger auswählen, erforderliche Zwecke korrekt zuordnen und die tatsächlichen Tags verbinden. Ein Skript ohne passende Integration reagiert nicht allein deshalb auf Ablehnung, weil irgendwo ein TC String existiert. Auch Updates und Widerruf müssen die betroffenen Datenwege erreichen.

CMP-Registrierung und Zertifizierung unterscheiden

IAB Europe führt eine Liste der zur Teilnahme zugelassenen CMPs mit CMP-ID und unterstützten Umgebungen. Für bestimmte Google-Publisher-Produkte besteht zusätzlich ein eigenes Google-Zertifizierungsprogramm. Ein Eintrag ist keine behördliche DSGVO-Freigabe und keine Garantie für jede Kundenkonfiguration.

Die Google-Publisher-Liste führte bei der Prüfung am 24. Oktober 2026 unter anderem Usercentrics (ID 5), Cookiebot (134), OneTrust/Cookiepro (28), Didomi (7) und InMobi Choice (10). Diese Beispiele sind keine Rangliste. Vor einer Auswahl zählen der aktuelle Status, die benötigte Umgebung und der angebotene Funktionsumfang. Die verlinkten offiziellen Listen sind maßgeblich.

TCF und Google Consent Mode

Eine pauschale Pflicht zu zwei unabhängig laufenden Signalwegen wäre falsch. Google dokumentiert eine TCF-Integration, die bestimmte TCF-Zwecke auf Consent-Mode-Signale abbildet. Für Google-Analytics-Cookies verlangt die Anleitung eine Consent-Mode-Anbindung. Das konkrete Produkt und die CMP-Integration bestimmen den Aufbau.

Mehrere widersprüchliche Signale sind kein Qualitätsmerkmal. Statt zusätzlicher Befehle auf Verdacht sollte ein dokumentierter Datenweg geprüft werden: Anfangszustand, Auswahl, Aktualisierung und ausgehende Anfragen. TCF-Unterstützung einer CMP beweist nicht automatisch die korrekte Google-Konfiguration.

Auch die Zeichenfolge kann personenbezogen sein

Der EuGH hat im Urteil C-604/22 vom 7. März 2024 klargestellt, dass ein TC String personenbezogene Daten darstellen kann, wenn die Zuordnung über vernünftigerweise einsetzbare Mittel, etwa eine IP-Adresse, die Identifizierung ermöglicht. Die Codierung macht Einstellungen also nicht automatisch anonym. Zugriff, Speicherung und Weitergabe gehören ebenfalls in die Datenschutzprüfung.