TCF Feature 3: wann Google die IP-Adresse zur Geräteerkennung nutzen darf

Google hat am 3. August 2026 begonnen, IP-gestützte Messung und Personalisierung im EWR, im Vereinigten Königreich und in der Schweiz einzuschalten. AdSense-Publisher hatten die Mitteilung am 17. Juni erhalten. Sie war kurz, und der Satz mit dem Gewicht nannte ein Feld, das die meisten Einwilligungsdialoge nie als etwas gezeigt haben, worüber sich entscheiden ließe.

Das Feld heißt TCF Feature 3. Was sich geändert hat, versteht nur, wer zuerst versteht, was ein Feature ist – denn im Transparency and Consent Framework ist es nicht dieselbe Art von Gegenstand wie ein Zweck.

Vier Klassen, zwei davon Entscheidungen

TCF v2.2 teilt die Angaben eines Anbieters in vier Gruppen, und die verhalten sich verschieden.

Zwecke           11   Einwilligung oder berechtigtes Interesse, je Anbieter
Sonderzwecke      2   nur berechtigtes Interesse, keine Wahl
Features          3   nur Offenlegung, keine eigene Wahl
Sondermerkmale    2   ausdrueckliche Zustimmung, aus bis angehakt

Feature 3   "Geraete anhand automatisch uebermittelter
             Informationen erkennen"

  greift, wo der Anbieter fuer einen Zweck, unter dem das
  Feature erklaert ist, eine gueltige Grundlage hat
  wird nie fuer sich erteilt, nie fuer sich verweigert
  muss in der Offenlegung des Banners auftauchen

Der Unterschied zwischen einem Feature und einem Sondermerkmal ist die ganze Geschichte. Genaue Standortdaten sind ein Sondermerkmal: aus, bis jemand anhakt, und ohne diesen Haken darf ein Anbieter sie nicht nutzen. Feature 3 ist ein gewöhnliches Feature. Es wird in der Oberfläche beschrieben und wirkt als Folge der Zwecke, für die ein Anbieter ohnehin eine Grundlage hat.

Warum es aussieht, als sei nichts entschieden worden

Weil auch nichts entschieden wurde, jedenfalls nicht unmittelbar. Wer ein Banner annimmt, erteilt Zwecke. Die daran hängenden Features kommen mit, und ein Schalter, der beides trennt, existiert nicht. Das ist so gewollt: Features beschreiben, wie Daten im Dienst eines Zwecks behandelt werden, statt selbst ein Zweck zu sein.

Praktisch heißt das: Eine Änderung dessen, was ein Anbieter unter Feature 3 tut, erzeugt kein neues Einwilligungsereignis, keinen neuen Zeichenkettenwert und nirgends eine neue Zahl in der Auswertung. Der TC-String hält Zwecke und Zustimmungen zu Sondermerkmalen fest. Features hält er nicht fest, weil es je Person nichts festzuhalten gibt.

Was Google tatsächlich eingeschaltet hat

Die Verarbeitung betrifft IP-Adressen, die ohnehin über bestehende Einbindungen aus Auftritten und Apps eintreffen. Das gehört deutlich gesagt, weil die Ankündigung vielfach als neue Erhebung gelesen wurde. Sie ist keine: Die Adressen standen bereits in der Anfrage. Geändert hat sich, dass sie nun zur Geräteerkennung und zur Personalisierung genutzt werden dürfen, sofern für mindestens einen verbundenen Zweck eine Einwilligung vorliegt.

Google nennt drei Techniken, die die Verarbeitung absichern: Berechnung auf dem Gerät, vertrauenswürdige Ausführungsumgebungen und sichere Mehrparteienberechnung. Das sind ernstzunehmende technische Zusagen und zugleich von außen nicht überprüfbar. Nichts in der Netzwerkaufzeichnung unterscheidet eine IP-Adresse, die in einer geschützten Umgebung verarbeitet wird, von einer, die es nicht wird.

Was das für eine Einwilligungsoberfläche heißt

Die Pflicht, die tatsächlich bei Publishern landet, ist die Offenlegung. Google hat Feature 3 in seine TCF-Registrierung aufgenommen, und eine Oberfläche, die Googles erklärte Zwecke und Features auflistet, muss dieses eine mit auflisten. Ein gepflegtes Banner erledigt das von allein; eines, dessen Anbieterdaten vor einem Jahr zuletzt erneuert wurden, nicht – und von vorn sieht man die Lücke nicht.

Drei Prüfungen lohnen sich einmalig. Ob die Anbieterliste des Banners seit Juni 2026 erneuert wurde. Ob der für Google angezeigte Offenlegungstext die Geräteerkennung aus automatisch übermittelten Informationen jetzt benennt. Und ob die Zwecke, unter denen das Feature erklärt ist, überhaupt zu denen gehören, nach denen das Banner fragt – denn davon hängt ab, wann es greift.

Der Teil, der unverändert bleibt

Eine IP-Adresse ist weiterhin ein personenbezogenes Datum, und daran ändert nichts davon etwas. Die Pflichten aus der DSGVO, die an ihrer Verarbeitung hängen, sind dieselben wie vorher, und ein Verfahren, das die Adresse in einer geschützten Umgebung hält, verschiebt das Risiko, nicht die rechtliche Einordnung.

Geändert hat sich etwas Engeres und Konkreteres: Eine ruhende Fähigkeit ist jetzt aktiv, sie aktiviert sich über einen Mechanismus ohne sichtbaren Schalter, und die einzige Spur davon in einem normalen Aufbau ist eine Zeile Offenlegungstext, die fast niemand liest. Wer ein Verarbeitungsverzeichnis führt, hat mit dieser Zeile ab jetzt eine tragende Stelle.