# IAB TCF 2.2 erklärt: Was Publisher und Werbetreibende wissen müssen

> Was IAB TCF 2.2 ist, wie TC String und Global Vendor List funktionieren, was sich gegenüber Version 2.1 geändert hat und was Publisher und Werbetreibende tun müssen.

Source: https://www.cookiesh.eu/de/blog/iab-tcf-2-2-explained  
Published: 2026-07-21

## Key takeaways

- Das IAB Transparency and Consent Framework (TCF) ist ein Branchenstandard, mit dem Websites Einwilligungsentscheidungen nach der DSGVO an Ad-Tech-Anbieter weitergeben.
- TCF 2.2, veröffentlicht 2023, hat das berechtigte Interesse als Rechtsgrundlage für die Zwecke 3 bis 6 zur Personalisierung von Werbung und Inhalten gestrichen.
- Nach TCF 2.2 muss die erste Ebene eines Cookie-Banners anzeigen, wie viele Anbieter die Daten des Besuchers verarbeiten möchten.
- Registrierte CMPs kodieren die Entscheidungen in einem TC String, den Skripte über die JavaScript-API __tcfapi auslesen und in Ad Requests weitergeben.
- Die Nutzung des TCF allein macht eine Website nicht DSGVO-konform; Banner und Verarbeitung müssen weiterhin den gesetzlichen Anforderungen entsprechen.

Das IAB Transparency and Consent Framework (TCF) ist ein Branchenstandard, mit dem eine Website die Einwilligung nach der DSGVO einmal einholt und sie als kodierten TC String an die Ad-Tech-Anbieter weitergibt, die Anzeigen ausliefern und messen. Version 2.2, veröffentlicht 2023, hat die Regeln verschärft: kein berechtigtes Interesse mehr für Personalisierungszwecke, die Anzahl der Anbieter auf der ersten Ebene und verständlichere Zweckbeschreibungen.

## Was ist das IAB TCF?

Das TCF ist ein Framework von IAB Europe, dem europäischen Branchenverband für digitale Werbung. Es standardisiert, wie eine Consent-Management-Plattform (CMP) um Einwilligung bittet, wie sie die Antwort speichert und wie Ad-Tech-Anbieter sie auslesen.

Es besteht aus vier Bausteinen:

- **Richtlinien:** die Regeln, zu deren Einhaltung sich teilnehmende Publisher, Anbieter und CMPs verpflichten.
- **Zwecke und Funktionen:** eine feste, nummerierte Liste dessen, was Anbieter mit Daten tun dürfen, auf jedem TCF-Banner gleich beschrieben.
- **Global Vendor List (GVL):** das öffentliche Verzeichnis der teilnehmenden Anbieter mit den Zwecken, die jeder nutzt, und der Rechtsgrundlage, auf die er sich beruft.
- **Technische Spezifikationen:** gemeinsam mit dem IAB Tech Lab gepflegt, legen sie das Format des TC String und die JavaScript-API `__tcfapi` fest.

## Wer übernimmt im TCF welche Rolle?

Publisher betreiben die Websites und entscheiden, mit welchen Anbietern sie zusammenarbeiten. Anbieter (Vendors) sind in der GVL registrierte Ad-Tech-Unternehmen. CMPs sind registrierte Dienstleister, die den Banner anzeigen und den TC String erzeugen.

Ein typischer Ablauf sieht so aus:

1. Ein Besucher landet auf der Website des Publishers, und die CMP zeigt den Banner an.
2. Der Besucher akzeptiert, lehnt ab oder passt Zwecke und Anbieter individuell an.
3. Die CMP kodiert die Entscheidungen in einem TC String und speichert ihn.
4. Skripte auf der Seite lesen die Entscheidungen über die API `__tcfapi` aus.
5. Der TC String wird mit Ad Requests weitergereicht, sodass nachgelagerte Plattformen wie Supply-Side- und Demand-Side-Plattformen (SSPs und DSPs), die Werbeflächen verkaufen und einkaufen, die Einwilligung prüfen können, bevor sie handeln.

Werbetreibende kommen mit dem TCF meist indirekt in Berührung. Ihre Werbeplattformen und Messpartner nehmen als Anbieter teil und müssen den TC String bei jeder Impression beachten, die sie einkaufen oder messen.

## Was hat sich mit TCF 2.2 geändert?

TCF 2.2 hat das berechtigte Interesse als Rechtsgrundlage für die Zwecke 3 bis 6, die die Personalisierung von Werbung und Inhalten abdecken, gestrichen und verlangt, dass die erste Ebene des Banners die Anzahl der Anbieter anzeigt. Das berechtigte Interesse ist eine Rechtsgrundlage der DSGVO, die keine Einwilligung erfordert, den Betroffenen aber ein Widerspruchsrecht einräumt.

So stellen sich die wichtigsten Zwecke nach der Änderung dar:

| Zweck | Was er abdeckt | In TCF 2.2 zulässige Rechtsgrundlage |
|---|---|---|
| 1 | Speichern von oder Zugriff auf Informationen auf einem Endgerät | Nur Einwilligung |
| 2 | Verwendung reduzierter Daten zur Auswahl von Werbung | Einwilligung oder berechtigtes Interesse |
| 3 | Erstellung von Profilen für personalisierte Werbung | Nur Einwilligung (berechtigtes Interesse gestrichen) |
| 4 | Verwendung von Profilen zur Auswahl personalisierter Werbung | Nur Einwilligung (berechtigtes Interesse gestrichen) |
| 5 | Erstellung von Profilen zur Personalisierung von Inhalten | Nur Einwilligung (berechtigtes Interesse gestrichen) |
| 6 | Verwendung von Profilen zur Auswahl personalisierter Inhalte | Nur Einwilligung (berechtigtes Interesse gestrichen) |
| 7 | Messung der Werbeleistung | Einwilligung oder berechtigtes Interesse |
| 8 | Messung der Performance von Inhalten | Einwilligung oder berechtigtes Interesse |

Das Framework definiert weitere Zwecke, etwa Zielgruppenforschung und Produktentwicklung. Die vollständige Liste und den genauen Wortlaut finden Sie in der aktuellen Richtlinie von IAB Europe.

Version 2.2 hat außerdem die Namen und Beschreibungen der Zwecke in verständlicherer Sprache neu formuliert, Anbieter zu mehr Offenlegung über ihre Verarbeitung aufgefordert, etwa zur Speicherdauer von Daten, und mehr Gewicht darauf gelegt, dass Besucher den Banner erneut öffnen und ihre Entscheidungen ändern können. Die vollständige Liste der Änderungen finden Sie in der Dokumentation von IAB Europe.

In der Praxis haben Banner, die sich für Profiling auf das berechtigte Interesse stützten, die meisten ihrer standardmäßig aktivierten Schalter verloren, und Anbieter, die Werbung auf dieser Grundlage personalisiert haben, brauchen jetzt eine Einwilligung.

## Wie lese ich die TCF-Einwilligung in JavaScript aus?

Rufen Sie die Funktion `__tcfapi` der CMP mit dem Befehl `addEventListener` auf. Ihr Callback läuft, sobald der TC String geladen ist, und erneut, wann immer der Besucher seine Entscheidung ändert.

```js
const VENDOR_ID = 123; // Ihre Vendor-ID in der Global Vendor List

window.__tcfapi('addEventListener', 2, (tcData, success) => {
  if (!success) return;

  const ready = tcData.eventStatus === 'tcloaded' ||
                tcData.eventStatus === 'useractioncomplete';
  if (!ready) return;

  const deviceAccess = tcData.purpose.consents[1] === true;
  const vendorConsent = tcData.vendor.consents[VENDOR_ID] === true;

  if (!tcData.gdprApplies || (deviceAccess && vendorConsent)) {
    loadAdScript(); // Ihr eigener Loader
  }
});
```

Eine echte Integration prüft jeden Zweck, den der Anbieter benötigt, nicht nur Zweck 1. Wo das berechtigte Interesse noch zulässig ist, liest sie außerdem `tcData.purpose.legitimateInterests` und `tcData.vendor.legitimateInterests` aus und beachtet alle im String kodierten Publisher-Einschränkungen.

## Was müssen Publisher tun?

Setzen Sie eine registrierte CMP mit Unterstützung für TCF 2.2 ein, halten Sie Ihre Anbieterliste ehrlich und machen Sie das Ablehnen so einfach wie das Akzeptieren. Eine praktische Checkliste:

1. **Wählen Sie eine registrierte CMP**, die TCF 2.2 unterstützt und stets mit der aktuellen GVL abgeglichen wird.
2. **Wählen Sie nur die Anbieter aus, mit denen Sie zusammenarbeiten**, nicht die gesamte GVL, damit die Anbieterzahl auf Ihrer ersten Ebene korrekt und vertretbar ist.
3. **Bieten Sie „Alle ablehnen“ auf der ersten Ebene an**, genauso prominent wie „Alle akzeptieren“. Das TCF setzt die Leitlinien der Aufsichtsbehörden zu [Dark Patterns in Cookie-Bannern](/de/blog/cookie-banner-dark-patterns) nicht außer Kraft.
4. **Fügen Sie einen dauerhaft verfügbaren Link hinzu**, über den sich der Banner erneut öffnen lässt, damit Besucher ihre Einwilligung jederzeit ändern oder widerrufen können.
5. **Steuern Sie auch Skripte außerhalb des TCF**, etwa Analyse- oder Social-Pixel, über die Kategorieeinstellungen Ihrer CMP.
6. **Halten Sie Google synchron.** Wenn Sie Google-Tags einsetzen, setzen Sie [Google Consent Mode v2](/de/blog/google-consent-mode-v2-guide) aus derselben Entscheidung und prüfen Sie Googles aktuelle CMP-Anforderungen für seine Publisher-Produkte in Europa.

## Macht die Nutzung des TCF Sie DSGVO-konform?

Nein. Das TCF ist ein technischer und richtlinienbasierter Standard, keine Zertifizierung. Die DSGVO verlangt weiterhin eine Einwilligung, die freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben wird (Artikel 4 Nr. 11), und Sie müssen sie nachweisen können (Artikel 7 Absatz 1).

Das Framework selbst stand in Europa unter regulatorischer und rechtlicher Beobachtung, unter anderem bei der Frage, ob ein TC String ein personenbezogenes Datum ist. Der Gerichtshof der Europäischen Union hat entschieden, dass dies der Fall sein kann, wenn er mit einer Kennung wie einer IP-Adresse verknüpft werden kann.

Behandeln Sie TC Strings als personenbezogene Daten, bewahren Sie [Einwilligungsnachweise](/de/blog/proof-of-consent-records) für Ihre Unterlagen auf und prüfen Sie Ihren Banner anhand der [Voraussetzungen für eine wirksame Einwilligung](/de/blog/valid-consent-checklist), statt davon auszugehen, dass die Teilnahme am TCF diese abdeckt.

## Fazit

TCF 2.2 ist relevant, wenn Sie programmatische Werbung verkaufen oder einkaufen, die europäische Besucher erreicht. Publisher brauchen eine registrierte CMP, eine Anbieterliste, die sie begründen können, und einen Banner, der eine Ablehnung fair behandelt. Werbetreibende brauchen Partner, die den TC String auslesen und beachten. Keine der beiden Gruppen sollte das Framework allein mit Compliance verwechseln.

*Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.*

## FAQ

### Brauche ich das TCF, wenn ich keine programmatische Werbung ausspiele?

In der Regel nicht. Das TCF dient dazu, Einwilligungen durch die Lieferkette der programmatischen Werbung zu transportieren. Wenn Sie nur Analysen und einige Marketing-Pixel einsetzen, reicht meist ein Standard-Banner mit kategoriebasierter Auswahl.

### Kann jeder Cookie-Banner einen TC String erzeugen?

Nein. Nur bei IAB Europe registrierte Consent-Management-Plattformen können TC Strings für das Framework erzeugen. Jede registrierte CMP hat eine ID, die im String kodiert ist, sodass Anbieter sehen können, welche CMP ihn erzeugt hat.

### Ist das TCF gesetzlich vorgeschrieben?

Nein. Es ist ein freiwilliges Branchen-Framework, das von IAB Europe betrieben wird. Einige Werbeplattformen verlangen von Publishern für europäischen Traffic eine TCF-registrierte CMP, doch das ist eine geschäftliche und keine rechtliche Bedingung.

### Wie hängt das TCF mit Google Consent Mode zusammen?

Es sind getrennte Systeme. Das TCF übermittelt die Einwilligung über einen gemeinsamen String an viele Ad-Tech-Anbieter, während Consent Mode sie an Google-Tags übermittelt. Publisher, die beides nutzen, sollten beide aus derselben Besucherentscheidung setzen, damit sie nie voneinander abweichen.

## Sources

- [IAB Europe Transparency & Consent Framework](https://iabeurope.eu/transparency-consent-framework/)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)