Der Europäische Gerichtshof (EuGH) hat in seinem aktuellen Urteil vom 7. März 2024 (Az. C-604/22) die Definition von "personenbezogenen Daten" und die Verantwortlichkeit gemäß der Datenschutz-Grundverordnung (DSGVO) in der Online-Werbebranche präzisiert. Der Gerichtshof stellte fest, dass "Transparency and Consent Strings" (TC-String) personenbezogene Daten verarbeiten und Entwickler als Verantwortliche nach der DSGVO betrachtet werden können.

Der TC String ist eine Buchstaben-Zeichenfolge, mit der Information über erteilte Einwilligungen an das Interactive Advertising Bureau Europe (IAB) und über dieses an eingebundenen Akteure übermittelt werden. Es handelt sich nach Ansicht des EuGH um ein personenbezogenes Datum, wenn die Zeichenfolge mit vertretbarem Aufwand einer Kennung - wie insbesondere der IP‑Adresse des Geräts dieses Nutzers - zugeordnet werden kann, und damit eine Identifizierung der betreffenden Person ermöglicht wird. Dass das IAB im Besitz der Zeichenfolge ist, ohne einen Beitrag von außen weder Zugang zu den Daten hat, die von ihren Mitgliedern im Rahmen der von ihr aufgestellten Regeln verarbeitet werden, noch diese Zeichenfolge mit anderen Elementen kombinieren kann, schließe nicht aus, dass diese Zeichenfolge ein personenbezogenes Datum im Sinne von Art. 4 Nr. 1 DSGVO ist.

Der EuGH äußerte sich zudem zu der Frage, ob das IAB als gemeinsam Verantwortlicher im Sinne von Art. 4 Nr. 7 und Art. 26 Abs. 1 DSGVO anzusehen ist. Eine Branchenorganisation wie das IAB, das ihren Mitgliedern klare Regeln für die Einwilligung zur Verarbeitung von personenbezogenen Daten vorgibt und dabei auch festlegt, wie diese Daten gespeichert und verteilt werden sollen, kann als "gemeinsam Verantwortlicher" betrachtet werden, wenn es Einfluss auf diese Verarbeitung nimmt, so der EuGH. Das bedeute jedoch nicht automatisch, dass es auch für die Weiterverarbeitung dieser Daten durch Dritte, wie z. B. Website-Anbieter, verantwortlich ist, insbesondere wenn es um die Präferenzen der Nutzer für gezielte Online-Werbung geht. Im konkreten Fall sieht der Gerichtshof das IAB wohl als Verantwortliche bei der Datenverarbeitung, und zwar gemeinsam mit den anderen Akteuren. Das Gericht macht dies an der eigenständigen Entscheidung über die Art der Regeln fest. Demnach scheint das IAB Einfluss auf die Verarbeitungen personenbezogener Daten zu nehmen, wenn sie die Einwilligungspräferenzen der Nutzer in einem TC-String speichere.