IAB TCF v2.4: Anforderungen und Änderungen gegenüber v2.3

Wie die Bausteine des TCF zusammenspielen

Eine Consent-Management-Plattform (CMP) zeigt Besuchern, welche Anbieter ihre Daten nutzen möchten und wofür. Sie speichert das Ergebnis als TC String, den teilnehmende Anbieter lesen, bevor sie handeln. Die Tabelle erklärt die Begriffe, die in diesem Leitfaden verwendet werden.

Anbieter lesen das Signal über die Standardschnittstelle der CMP auf der Seite oder erhalten es mit Anzeigenanfragen. Das Framework funktioniert nur, wenn Oberfläche, gespeichertes Signal und das Verhalten der Anbieter übereinstimmen.

Was TCF v2.3 geändert hat

IAB Europe hat TCF v2.3 am 19. Juni 2025 veröffentlicht. Die wichtigste Änderung: Das Segment „Disclosed Vendors“ des TC String wurde verpflichtend. Es markiert jeden Anbieter, der dem Besucher in der Oberfläche der CMP angezeigt wurde.

Damit wurde eine Lücke für Anbieter geschlossen, die sich bei Besonderen Zwecken auf berechtigte Interessen stützen: Vor v2.3 konnten sie nicht erkennen, ob sie überhaupt angezeigt worden waren. Die Offenlegung wird nun aus einem eigenen Segment gelesen, getrennt von den Signalen für Einwilligung und berechtigtes Interesse.

Die Übergangsfrist endete am 28. Februar 2026. Seit dem 1. März 2026 muss jeder neue TC String das Segment enthalten, während früher erstellte Strings ohne das Segment gültig bleiben, bis Besucher ihre Entscheidungen erneuern oder ändern. Laut den Hinweisen zur Umstellung von IAB Europe mussten CMPs die Oberfläche für diese Änderung auch nicht erneut anzeigen.

Was TCF v2.4 ändert

TCF v2.4 ist die technische Spezifikation zu den TCF Policies v5.0.b von IAB Europe, die am 29. Mai 2026 veröffentlicht wurden. IAB Europe hat v2.4 und das passende GVL-Update am 23. Juli 2026 veröffentlicht. Policies und Spezifikationen werden getrennt nummeriert, v5.0.b macht daraus also kein „TCF v5“.

• Standarderklärung für Funktionen: Die GVL hat ein neues Feld standardTexts mit einem Text für Funktionen: Sie sind Mittel der Verarbeitung, die nur für Zwecke eingesetzt werden, zu denen der Besucher eine Wahl erhält. CMPs zeigen diesen Text an, dazu eine Illustration für jede Funktion.
• Keine Bedienelemente neben Funktionen: Laut den Oberflächenregeln von IAB Europe sollen Funktionen nicht mit Bedienelementen verknüpft werden, etwa einem fest eingeschalteten Schalter, damit Besucher nicht in die Irre geführt werden. Besucher entscheiden über Zwecke und Besondere Funktionen, nicht über Funktionen.
• Neuer Name für die Besondere Funktion 2: Aus „Actively scan device characteristics for identification“ wird „Identify devices based on information actively requested“. Die zugehörigen Hinweise für Anbieter erfassen auch Informationen, die aktiv über User-Agent Client Hints abgefragt werden.
• Eine Änderung im TC String: Der alte Workaround, der für Anbieter mit ausschließlich Besonderen Zwecken das Bit für berechtigtes Interesse setzte, entfällt. Ihre Offenlegung wird aus dem mit v2.3 eingeführten Segment „Disclosed Vendors“ gelesen.
• Klarstellungen zur geräteübergreifenden Nutzung: Die Policies v5.0.b erläutern, wie Publisher Entscheidungen geräteübergreifend beibehalten können, etwa für angemeldete Nutzer, und wie mit kollidierenden Entscheidungen umzugehen ist. Der geräteübergreifende Geltungsbereich ist eine Option des Frameworks, keine Pflicht für jede Website.

IAB Europe weist darauf hin, dass die aktualisierte GVL-Spezifikation keine neuen Anforderungen an Anbieter stellt, sodass die meiste Arbeit bei den CMPs liegt. Die technische Spezifikation auf GitHub führt die Änderungen in ihrer Versionshistorie auf.

TCF v2.3 und v2.4 im Vergleich

Eine kürzere Übersicht für Publisher finden Sie im Beitrag TCF v2.3 und v2.4: Was ändert sich?.

Offenlegung, Einwilligung und Rechtmäßigkeit sind nicht dasselbe

Ein Anbieter im Segment „Disclosed Vendors“ wurde dem Besucher angezeigt. Das ist keine Einwilligung: Signale für Einwilligung und berechtigtes Interesse stehen in eigenen Feldern, und der Besucher hat die Einwilligung möglicherweise verweigert oder widersprochen.

Auch die Registrierung in der GVL macht die Verarbeitung eines Anbieters nicht rechtmäßig. Die TCF Policies von IAB Europe stellen klar, dass die Teilnahme die gesetzlichen Pflichten der einzelnen Teilnehmer nicht ersetzt und dass im Konfliktfall das Gesetz Vorrang hat.

Halten Sie bei der Bewertung eines Setups drei Arten von Anforderungen auseinander:

• Gesetzliche Anforderungen: DSGVO und ePrivacy-Vorschriften bestimmen, wann eine Einwilligung nötig ist und welche Rechtsgrundlage gilt. Die Hinweise des EDSA zur rechtmäßigen Verarbeitung erläutern diese Wahl.
• Anforderungen des Frameworks: Die Policies von IAB Europe und die Spezifikation bestimmen, was die Oberfläche zeigt, wie das Signal kodiert wird und wann CMPs aktualisieren müssen.
• Anforderungen der Partner: Eine Werbeplattform kann eigene Bedingungen hinzufügen, etwa die unten beschriebenen Regeln von Google für Publisher.

Googles Anforderungen an Publisher

Publisher, die Google AdSense, Ad Manager oder AdMob nutzen, um Nutzern im EWR, im Vereinigten Königreich oder in der Schweiz personalisierte Anzeigen auszuliefern, benötigen eine von Google zertifizierte CMP, die in das TCF integriert ist. Das ist eine Bedingung von Google, keine Regel von IAB Europe, und TCF-Unterstützung allein ist keine Google-Zertifizierung. Unser Leitfaden zur EU User Consent Policy von Google behandelt die Richtlinie und zeigt, wo Sie Googles Liste zertifizierter CMPs finden.

Google Consent Mode ist ein eigener Mechanismus mit eigenen Anforderungen. Unser Leitfaden zu Google Consent Mode erklärt ihn.

Prüfen Sie Ihre TCF-Implementierung

Verwenden Sie die Live-Konfiguration, ein frisches Browserprofil und eine Seite, auf der Werbung läuft. Wählen Sie einen Anbieter, der tatsächlich Daten erhält, und verfolgen Sie ihn durch jeden Schritt.

• Anbieter bestimmen: Notieren Sie seinen Namen und seine Anbieter-ID aus der GVL und prüfen Sie, ob die Oberfläche ihn aufführt.
• Offenlegung und Signal vergleichen: Dekodieren Sie nach einer Entscheidung den TC String und prüfen Sie, ob die ID des Anbieters im Segment „Disclosed Vendors“ steht.
• Zwecke und Berechtigungen prüfen: Vergleichen Sie die für den Anbieter angezeigten Zwecke und Rechtsgrundlagen mit seinen Signalen für Einwilligung und berechtigtes Interesse.
• Neue Entscheidung testen: Akzeptieren Sie in einer neuen Sitzung alles und prüfen Sie, ob der String die Einwilligung für die Zwecke des Anbieters festhält.
• Ablehnung testen: Lehnen Sie in einer neuen Sitzung alles ab; der Anbieter sollte im Segment „Disclosed Vendors“ bleiben, ohne Einwilligungssignale.
• Spätere Änderung testen: Öffnen Sie die Datenschutzeinstellungen auf der Seite erneut, ändern Sie die Entscheidung und prüfen Sie, ob ein neuer String den alten ersetzt.
• Darstellung der Funktionen prüfen: Funktionen zeigen die Standarderklärung und die Illustrationen, ohne Schalter oder gesperrte Umschalter daneben.
• Besondere Funktion 2 prüfen: Die Oberfläche verwendet „Identify devices based on information actively requested“, auch in übersetzten Fassungen.

Die technischen Implementierungsrichtlinien des Frameworks beschreiben, wie CMPs und Anbieter den String weitergeben und lesen, auch in Anzeigenanfragen.

FAQ