TCF 2.2 wird eingeführt – Das müssen Sie jetzt wissen

Das Transparency and Consent Framework in der Version TCF 2.2 setzt neue Maßstäbe für den digitalen Datenschutz. Wer Werbeanzeigen monetarisiert, Programmatic Advertising nutzt oder Tracking-Dienste von Anbietern wie Google einsetzt, kommt an der technischen Anpassung seiner Consent Management Platform nicht vorbei. Fehlt die korrekte Konfiguration, drohen der Verlust von Werbeeinnahmen, fehlende Analytics-Daten und rechtliche Abmahnungen. Dieser Beitrag erläutert die technischen Vorgaben, vergleicht den alten mit dem neuen Standard und zeigt Ihnen den Weg zur vollständigen DSGVO Konformität.

Das IAB Europe hat das Framework überarbeitet, um den strengen Anforderungen europäischer Datenschutzbehörden zu entsprechen. Der Fokus liegt auf mehr Transparenz für Endverbraucher und einer klaren Strukturierung der Einwilligungen.

Das TCF 2.2 legt exakt fest, wie Informationen über Datensammlungen auf einer Website kommuniziert werden müssen. Verbraucher erhalten dadurch präzisere Einsichten darüber, welche Unternehmen ihre Daten verarbeiten, zu welchem Zweck dies geschieht und wie lange die Daten gespeichert bleiben.

Mit der Version 2.2 wurden juristische Formulierungen in den Cookie-Bannern durch leicht verständliche Beschreibungen ersetzt. Nutzer müssen nicht mehr verschachtelte Paragraphen lesen, um zu verstehen, was mit ihren Nutzerprofilen geschieht.

Gleichzeitig verlangt die Spezifikation, dass die genaue Anzahl der beteiligten Drittanbieter (Vendors) direkt im ersten Fenster der Cookie-Abfrage sichtbar ist. Das Verstecken dieser Informationen in Untermenüs ist nicht mehr erlaubt.

Google hat das Framework als verbindlichen Standard für die Ausspielung von Werbung im Europäischen Wirtschaftsraum sowie im Vereinigten Königreich verankert. Betreiber von Websites, die Google AdSense, Google Ad Manager oder Google AdMob nutzen, können ohne eine zertifizierte Consent Management Platform nach TCF 2.2 keine personalisierte Werbung mehr schalten.

Die Einbußen bei den Werbeeinnahmen können bei Nichtbeachtung erheblich sein. Unvollständige oder veraltete Consent-Signale führen dazu, dass Werbenetzwerke keine Gebote mehr auf den Datenstrom abgeben.

Die gravierendste Änderung betrifft die rechtliche Grundlage der Datenverarbeitung. Für die Zwecke 3, 4, 5 und 6 (darunter das Erstellen von Profilen für personalisierte Werbung und die Auswahl personalisierter Inhalte) ist die Rechtsgrundlage Berechtigtes Interesse gestrichen worden.

Unternehmen können sich für personalisierte Werbemaßnahmen nicht mehr auf ein eigenes geschäftliches Interesse berufen. Die Erfassung setzt nun ausnahmslos eine explizite, aktive Einwilligung des Nutzers voraus.

Jeder Drittanbieter, der über das CMP eingebunden wird, muss detaillierte Angaben hinterlegen. Dazu gehören:

Diese Daten müssen automatisch über die Transparency and Consent Framework API ausgelesen und im Banner zur Verfügung gestellt werden.

Eine korrekte Cookie Banner Umstellung erfordert technische Anpassungen im Quellcode und in den Einstellungen des Consent Managers. Die Schnittstelle übergibt den sogenannten TC-String (Transparency and Consent String) an die eingebundenen Skripte.

Das Design des Banners muss barrierefrei und eindeutig sein. Der Button zum Ablehnen von Cookies muss genauso leicht erreichbar sein wie der Button zum Akzeptieren. Irreführende Klick-Pfade oder visuelle Hervorhebungen, die den Nutzer zur Zustimmung verleiten (Dark Patterns), verstoßen gegen die Richtlinien.

Ebenso muss der Widerruf einer bereits erteilten Einwilligung jederzeit mit wenigen Klicks möglich sein. Ein dauerhaft sichtbares Icon oder ein Fußzeilen-Link ist dafür Standard.

Die technische Architektur von TCF 2.2 sieht vor, dass Speicherdauern nicht mehr pauschal angegeben werden. Wenn ein Vendor Cookies für 30 Tage setzt, aber Local Storage Daten für 365 Tage speichert, muss diese Differenzierung für den Nutzer transparent aufgeschlüsselt sein.

Die nachfolgende Übersicht zeigt die zentralen Unterschiede zwischen dem alten und dem aktuellen Standard:

Um die DSGVO Konformität sicherzustellen, sollten Sie systematisch vorgehen. Die technische Umsetzung gliedert sich in folgende Arbeitsschritte:

In vielen Cloud-basierten Consent Management Plattformen erfolgt das Update auf die Version 2.2 automatisch. Dennoch müssen die Bannervorlagen manuell angepasst werden, wenn individuelle Texte oder CSS-Styles verwendet werden. Eigenhändig gehostete Plugins benötigen ein manuelles Software-Update.

Jeder geladene Drittanbieter erhöht die Menge der zu übertragenden Daten im TC-String. Eine Liste mit hunderten Anbietern vergrößert die Skriptdateien und bremst die Performance Ihrer Website. Beschränken Sie die Vendor-Auswahl im CMP-Dashboard strikt auf die Partner, mit denen tatsächlich Kooperationen bestehen.

Ein häufiger Fehler ist das Verpassen von Aktualisierungen der Tag-Manager-Trigger. Wenn der Google Tag Manager Skripte abfeuert, bevor die Einwilligung des Nutzers verarbeitet wurde, liegt ein Datenschutzverstoß vor.

Ebenfalls kritisch ist die falsche Verknüpfung von Berechtigtem Interesse. Wer weiterhin versucht, Tracking-Pixel ohne Einwilligung über diese Rechtsgrundlage zu laden, wird von Werbenetzwerken blockiert.

Achten Sie zudem darauf, dass der Ablehnen-Button nicht durch Farbgebung oder Kontraste unsichtbar gemacht wird. Transparenz bedeutet verständliche Wahlfreiheit ohne psychologische Steuerung.

Die korrekte Einrichtung von Datenschutz-Tools erfordert technisches Verständnis an der Schnittstelle von Webentwicklung, Analytics und Digital Marketing. Falsch konfigurierte Banner führen schnell zu unvollständigen Messdaten in GA4 oder zu Umsatzeinbußen in Werbekampagnen.

Als spezialisierte Online-Marketing-Agentur unterstützen wir Sie bei der technischen Analyse, der sauberen Anbindung Ihrer Consent Management Platform und der Optimierung Ihrer Conversion-Raten unter Einhaltung aller aktuellen Vorgaben. Nehmen Sie direkt Kontakt mit uns auf, um Ihre Website rechtssicher und zukunftsfähig aufzustellen.