Dieser Beitrag wurde mit KI-Unterstützung erstellt, fachlich geprüft und redaktionell freigegeben.

Artikelbild-Kennzeichnung: AI GENERATED

Ein Gast lehnt Statistik-Cookies am Laptop ab, meldet sich später am Smartphone an und findet dort eine ältere Zustimmung vor. Welche Entscheidung gilt? Genau solche Situationen rücken mit TCF 2.4 vom Rand in den regulären Consent-Prozess. IAB Europe hat am 16. Juli 2026 den Zeitplan bestätigt: Die technischen Spezifikationen und die aktualisierte Global Vendor List wurden am 23. Juli veröffentlicht. Für Web-CMPs endet die Umsetzungsfrist am 23. Oktober 2026; mobile Apps und Connected TV folgen am 23. Februar 2027.

Für österreichische Unternehmen ist das kein neues Gesetz und auch keine allgemeine Pflicht, das Transparency & Consent Framework einzusetzen. Das TCF ist ein freiwilliger Branchenstandard. Wer es für Online-Werbung, Reichweitenmessung oder die Kommunikation mit teilnehmenden Anbietern nutzt, sollte die Änderung dennoch als konkreten Projekttermin behandeln. Vor allem Agenturen müssen nicht nur einen Banner aktualisieren, sondern Kundenbestand, Verantwortlichkeiten, Tests und Freigaben koordinieren.

Dieser Beitrag erklärt, was TCF 2.4 praktisch verändert, wo Multi-Device Consent beginnt und warum die Frist nicht mit einer pauschalen Zusage zur Rechtskonformität verwechselt werden darf. Er bietet allgemeine Information und keine individuelle Rechtsberatung.

Der 23. Oktober betrifft Offenlegung und Nutzerverständnis

Die bestätigte TCF-Timeline enthält drei sichtbare Neuerungen. Erstens bekommt die Global Vendor List ein Feld mit standardisierten Erklärtexten für sogenannte Features. Diese Texte sollen verständlich machen, dass ein Feature eine Art der Verarbeitung ist, die nur zur Verfolgung eines oder mehrerer Zwecke eingesetzt werden kann, über die Nutzer entscheiden. Zweitens kommen Illustrationen hinzu, die das Verständnis dieser Features unterstützen sollen. Drittens erhält Special Feature 2 einen klareren Namen: Statt einer abstrakten Formulierung zum aktiven Scannen von Geräteeigenschaften lautet die nutzernahe Bezeichnung künftig sinngemäß, Geräte anhand aktiv angeforderter Informationen zu identifizieren.

Das klingt nach Textpflege, hat aber technische Folgen. Eine CMP muss neue Informationen aus der Global Vendor List aufnehmen, korrekt darstellen und in der jeweiligen Sprache ausgeben. Gleichzeitig darf die Oberfläche Features nicht neben Schaltern zeigen, die gar nicht deaktiviert werden können. Sonst könnte der Eindruck entstehen, Nutzer hätten eine Wahl, obwohl an dieser Stelle keine angeboten wird.

Für ein Agenturteam ergeben sich daraus vier Prüffelder: Datenquelle und Version, Darstellung im Banner, Übersetzungen sowie die technische Signalweitergabe. Ein visueller Vergleich allein reicht nicht. Die Live-Installation muss zeigen, dass die richtige Version geladen wird und Entscheidungen in den angebundenen Werbe- oder Messsystemen ankommen.

Multi-Device Consent ist mehr als ein synchronisiertes Cookie

Geräteübergreifende Einwilligung betrifft angemeldete Bereiche. Die Entscheidung wird nicht nur einem Browser, sondern einem Nutzerkonto zugeordnet und kann dadurch auf Smartphone, Tablet, Computer oder Smart-TV gelten. Das reduziert wiederholte Banner, erweitert aber den Wirkungsbereich einer einzelnen Auswahl. Deshalb muss vor der Entscheidung verständlich sein, dass sie für mehrere angemeldete Geräte gilt.

Die französische Datenschutzaufsicht CNIL hat dazu Anfang 2026 eine ausführliche Empfehlung veröffentlicht, auf die IAB Europe bei der TCF-Änderung verweist. Ihr praktischer Grundsatz ist symmetrisch: Wenn eine Zustimmung auf allen Geräten wirkt, müssen auch Ablehnung und Widerruf mit derselben Reichweite funktionieren. Außerdem empfiehlt die CNIL beim Login auf einem neuen Gerät einen vorübergehenden Hinweis, dass kontoabhängige Einstellungen übernommen oder geändert wurden.

Diese Empfehlung stammt von der französischen Aufsicht und ist nicht automatisch eine österreichische Einzelfallentscheidung. Sie zeigt aber nachvollziehbar, welche Fragen bei informiertem, freiwilligem und widerrufbarem Consent entstehen. Für österreichische Verantwortliche bleiben insbesondere DSGVO und § 165 Abs. 3 TKG 2021 maßgeblich. Bei komplexen Werbe- oder Login-Systemen ist eine fachliche Prüfung sinnvoll.

Der schwierigste Fall entsteht beim Login

Ein Konflikt tritt auf, wenn ein nicht angemeldeter Browser eine andere Auswahl gespeichert hat als das Konto. Beispiel: Eine Kundin lehnt auf dem Smartphone Marketing ab. Danach meldet sie sich in ihrem Kundenkonto an, für das aus einer früheren Laptop-Sitzung eine Zustimmung hinterlegt ist. Das System braucht eine eindeutige Regel und muss diese verständlich kommunizieren.

Die CNIL beschreibt zwei mögliche Modelle. Entweder hat die zuletzt im Banner abgegebene Entscheidung Vorrang, auch wenn sie vor dem Login getroffen wurde. Oder die im Konto gespeicherte Präferenz bleibt maßgeblich. Entscheidend ist nicht eine universell richtige Rangfolge, sondern dass die gewählte Logik klar, konsistent und für Nutzer erkennbar ist. Eine stille Zusammenführung, bei der jeweils die werbefreundlichere Auswahl gewinnt, wäre kein belastbarer Prozess.

Im Pflichtenheft sollte deshalb nicht nur „Consent synchronisieren“ stehen. Benötigt werden mindestens Ereignis, Ausgangszustände, Prioritätsregel, Hinweistext, technischer Effekt und Protokollierung. Erst diese Details erlauben Entwicklern, Datenschutzverantwortlichen und Kunden eine gemeinsame Freigabe.

Welche Kundenprojekte tatsächlich auf die Liste gehören

Nicht jede Domain braucht ein TCF-2.4-Projekt. Eine österreichische Unternehmensseite ohne teilnehmende Werbeanbieter und ohne TCF-Signale hat einen anderen Bedarf als ein Medienportal, ein werbefinanziertes Branchenverzeichnis oder ein Shop mit umfangreicher programmatischer Werbung. Auch Multi-Device Consent ist nur relevant, wenn Entscheidungen über ein angemeldetes Konto auf mehrere Geräte übertragen werden sollen.

Agenturen sollten den Bestand daher zuerst klassifizieren:

  • TCF-Nutzung: Wird eine TC String erzeugt und an teilnehmende Vendoren übermittelt?
  • Umgebung: Handelt es sich um Web, native App, Connected TV oder mehrere Kanäle?
  • Login: Gibt es ein Nutzerkonto, und werden Consent-Einstellungen daran gebunden?
  • Konfliktpotenzial: Können Browser- und Kontoeinstellung voneinander abweichen?
  • Verantwortung: Wer betreibt die CMP, wer verwaltet Vendoren und wer gibt Texte frei?

Diese Inventur verhindert zwei typische Fehler: unnötige Umbauten auf einfachen Websites und übersehene Abhängigkeiten in komplexen Kundenprojekten. Sie trennt außerdem die TCF-Frist von allgemeinen Cookie-Prüfungen. Der interne Beitrag „Der Cookie-Banner bleibt ein Beweisstück“ zeigt, welche technischen Nachweise unabhängig vom Framework sinnvoll sind.

Praxisbeispiel: Vom Hotel-Laptop zum Gäste-Smartphone

Ein österreichischer Hotelbetrieb bietet Direktbuchung, Kundenkonto und eine mobile App. Auf der Website sind Analyse- und Werbepartner über eine TCF-fähige CMP angebunden. Ein Stammgast lehnt beim ersten Besuch am Laptop personalisierte Werbung ab, erstellt danach ein Konto und installiert vor der Anreise die App. Dort besteht aus einem früheren Test noch eine Zustimmung. Obwohl alle Oberflächen denselben Gast betreffen, liegen drei unterschiedliche Zustände vor: Browserentscheidung, Kontopräferenz und lokale App-Einstellung.

Das Projektteam darf diese Situation nicht erst im Abnahmetest entdecken. Im Fachkonzept wird festgelegt, ob die letzte ausdrückliche Entscheidung oder die gespeicherte Kontopräferenz Vorrang erhält. Außerdem braucht es einen Hinweis beim Login, eine zentrale Änderungsmöglichkeit und die technische Regel, wie der Widerruf an Web und App verteilt wird. Für jeden Schritt wird festgehalten, welcher Zeitstempel, welche Version und welche Auswahl gespeichert werden.

Wichtig ist auch die unterschiedliche Frist: Für die Web-Installation nennt IAB Europe den 23. Oktober 2026, für native Apps und Connected TV den 23. Februar 2027. Das erlaubt einen gestaffelten Rollout, rechtfertigt aber keine widersprüchliche Nutzerinformation. Wenn Website und App in der Übergangszeit unterschiedliche technische Versionen verwenden, muss das Team testen, ob Signale kompatibel bleiben und wie Konflikte sichtbar behandelt werden.

Ein Gegenbeispiel macht die Grenze klar: Hat ein kleines Gasthaus nur eine Informationswebsite ohne Login, programmatische Werbung oder TCF-Teilnahme, entsteht aus TCF 2.4 kein Multi-Device-Projekt. Dort bleibt die allgemeine Prüfung von eingebetteten Karten, Videos, Statistik- und Marketingdiensten relevant. Die Framework-Inventur sollte solche Domains bewusst als „nicht betroffen“ dokumentieren, statt sie still aus der Liste zu löschen.

Ein Agentur-Rollout in sechs Arbeitspaketen

1. Portfolio und Vertrag abgleichen

Erfassen Sie pro Domain CMP, Tarif, TCF-Status, eingebundene Vendoren, verantwortliche Kontaktperson und Wartungsvertrag. Klären Sie, ob Framework-Updates bereits Teil der laufenden Betreuung sind oder einen gesonderten Auftrag brauchen. Eine Frist im Branchenstandard erweitert nicht automatisch den vereinbarten Leistungsumfang.

2. Herstellerinformationen einholen

Fragen Sie beim CMP-Anbieter nach Version, Rollout-Termin, Migrationsbedarf und Auswirkungen auf bestehende Konfigurationen. Die öffentliche AdSimple-Leistungsseite nennt beim Consent Manager derzeit IAB TCF 2.2. Daraus lässt sich keine TCF-2.4-Zusage ableiten. Agenturen sollten den konkreten Update-Pfad deshalb separat verifizieren und keine Funktion vorwegnehmen, die noch nicht dokumentiert ist.

3. Texte und Oberfläche prüfen

Nach dem Update kontrollieren Sie standardisierte Erklärtexte, Illustrationen, Sprachvarianten und die neue Bezeichnung von Special Feature 2. Entscheidend ist, ob die Inhalte im konkreten Banner verständlich bleiben. Lange Standardtexte können auf Mobilgeräten neue Scroll- oder Fokusprobleme erzeugen. Testen Sie daher nicht nur Desktop, sondern auch schmale Viewports, Tastaturbedienung und Screenreader-Ausgabe.

4. Signale technisch testen

Starten Sie mit einem leeren Browserprofil. Dokumentieren Sie Ablehnung, Zustimmung, Teilwahl und Widerruf. Prüfen Sie anschließend, welche TC String erzeugt wird und wie angebundene Vendoren reagieren. Bei Login-Systemen folgt derselbe Ablauf mit zwei Geräten und bewusst widersprüchlichen Ausgangswerten. Ein Screenshot belegt die Oberfläche; Netzwerkprotokoll und gespeicherter Status belegen die Wirkung.

5. Freigabe und Rückfallplan festlegen

Ein Consent-Update kann Messdaten, Werbung und eingebettete Funktionen beeinflussen. Vereinbaren Sie ein Wartungsfenster, Verantwortliche für technische und fachliche Freigabe sowie Kriterien für einen Rollback. Der Rückfallplan darf nicht darin bestehen, den Banner vollständig abzuschalten. Besser ist eine bekannte stabile Konfiguration, die bei einem Fehler wiederhergestellt werden kann.

6. Nachweise an den Kunden übergeben

Das Übergabepaket kann kompakt bleiben: geprüfte URLs, CMP-Version, Testfälle, Ergebnis je Auswahl, Screenshots, besondere Vendoren, offene Punkte und nächster Prüftermin. Mit dem AdSimple Agency-Paket können Agenturen Impressum, Datenschutzerklärungen und Cookie-Consent-Tools für mehrere Kundendomains zentral verwalten; laut Leistungsseite werden Kundenwebsites außerdem monatlich nach Cookies und externen Ressourcen gescannt. Diese Verwaltung ersetzt den beschriebenen TCF-2.4-Funktionstest nicht, erleichtert aber die geordnete Zuordnung von Domains und Datenschutzbausteinen.

Drei Fehlannahmen, die den Rollout gefährden

„Das Update erledigt die CMP automatisch.“ Selbst wenn der Anbieter die technische Version ausrollt, bleiben Vendor-Auswahl, Texte, kundenspezifische Einbindungen und Tests in der Verantwortung des jeweiligen Setups. Automatisch verteilt bedeutet nicht automatisch fachlich freigegeben.

„Multi-Device Consent ist immer nutzerfreundlicher.“ Weniger Banner können angenehm sein. Eine kontoübergreifende Wirkung kann aber überraschen, wenn sie nicht vorab erklärt wird oder ein lokaler Widerspruch still überschrieben wird. Nutzerfreundlich ist die Funktion erst mit Transparenz und gleich einfacher Ablehnung.

„Die TCF-Frist beweist DSGVO-Konformität.“ Das Framework strukturiert Informationen und Signale zwischen Beteiligten. Es ersetzt weder die Wahl einer passenden Rechtsgrundlage noch Datenminimierung, Verträge, Datenschutzerklärung oder die Prüfung des tatsächlichen Datenflusses. Auch eine formal aktuelle TC String kann neben einem falsch eingebundenen Tag bestehen.

Die praktische Checkliste bis 23. Oktober

  • Betroffene Web-Domains und TCF-Teilnahme bestätigt
  • CMP-Anbieter nach dokumentiertem TCF-2.4-Fahrplan gefragt
  • Vendoren, Zwecke, Features und Sprachvarianten inventarisiert
  • Multi-Device-Logik nur für tatsächlich angemeldete Bereiche bewertet
  • Konfliktregel zwischen Browser- und Kontoeinstellung festgelegt
  • Zustimmung, Ablehnung und Widerruf mit gleicher Reichweite getestet
  • Desktop, Mobil, Tastatur und Screenreader kontrolliert
  • TC String und Reaktion angebundener Dienste technisch geprüft
  • Datenschutzerklärung und interne Verfahrensdokumentation abgeglichen
  • Kundenfreigabe, Nachweis und nächster Prüftermin dokumentiert

Wer mehrere Kundenwebsites betreut, sollte diese Punkte nicht in einzelnen E-Mails verteilen. Ein gemeinsamer Domainstatus mit Ampel, Verantwortlichem und Termin macht den Fortschritt sichtbar. Das Agency-Paket für Agenturen und Wiederverkäufer bietet dafür die zentrale Verwaltung der enthaltenen Datenschutz- und Consent-Bausteine. Die projektspezifische TCF-2.4-Prüfung gehört als eigener Nachweis daneben.

Fazit: Die Frist ist ein Inventurtermin, kein Banner-Tausch

TCF 2.4 macht zwei Dinge greifbarer: Nutzer sollen besser verstehen, welche technischen Features eingesetzt werden, und geräteübergreifende Entscheidungen brauchen eine transparente Reichweite sowie eine definierte Konfliktregel. Für österreichische Agenturen entsteht daraus ein überschaubares, aber echtes Rollout-Projekt.

Der sinnvollste erste Schritt ist keine Designänderung. Erstellen Sie eine Liste der TCF-Kundendomains, markieren Sie Login- und Multi-Device-Fälle und holen Sie den dokumentierten Update-Fahrplan der jeweiligen CMP ein. Danach lassen sich Texte, Technik, Freigabe und Nachweis bis zum 23. Oktober planbar abarbeiten. Bei unklaren Rechtsgrundlagen oder komplexen Werbeketten sollte die technische Bestandsaufnahme durch fachliche Datenschutzberatung ergänzt werden.

Quellen