Real Time Bidding: EU Judgment in Case C-604/22 IAB Europe

Thursday 7th March 2024

Judgment in Case C-604/22 IAB Europe

(Data protection)

When a user visits a website or application that contains advertising space, advertising companies, brokers and platforms that represent thousands of advertisers can bid for this advertising space in real time, to display ads tailored to the user’s profile (Real Time Bidding).

However, before such targeted advertising is displayed, the user’s prior consent must be obtained for the collection and processing of his or her data (notably concerning location, age, search history and recent purchases) for marketing or advertising purposes, or for the sharing of such data with certain suppliers. The user may also object to this.

IAB Europe is a non-profit association based in Belgium representing companies in the digital advertising and marketing industry at European level. IAB has

developed a solution that could make this auction system RGPD-compliant. Indeed, user preferences are encoded and stored in a string made up of a combination of letters and characters under the name “Transparency and Consent String” (TCString). This is shared with personal data brokers and advertising platforms; in this way, they know what the user has consented or objected to. A cookie is also placed on the user’s device. When combined, the TCString and cookie can be linked to the user’s IP address.

In 2022, the Belgian data protection authority considered that TCString constitutes personal data within the meaning of the General Data Protection Regulation (GDPR) and that IAB had acted as a data controller.

The authority imposed several corrective measures and an administrative fine. IAB is contesting this decision and has referred the matter to the Brussels Court of Appeal, which has referred questions to the Court of Justice.

Background Documents C-604/22

Donnerstag, 7. März 2024

Urteil des Gerichtshofs in der Rechtssache C-604/22 IAB Europe

Vereinbarkeit von Real Time Bidding-Standard mit der DSGVO

IAB Europe, ein Branchenverband für das digitale Marketing- und Werbeökosystem, hat das Transparency and Consent Framework (TCF) entwickelt. Dabei handelt es sich um einen Standard, mit dem Präferenzen von Nutzern im Hinblick auf Werbezwecke in einem Transparency and Consent String (im Folgenden: TC-String) einfach festgehalten werden können. Dieser spielt eine zentrale Rolle beim Real Time Bidding. Hierbei handelt es sich um die in Echtzeit stattfindende und automatisierte Online-Versteigerung von Nutzerprofilen für den Kauf und den Verkauf von Werbeplätzen im Internet.

Das TCF vereinfacht die Bestimmung der von den Consent Management Plattformen erfassten Nutzerpräferenzen. Diese Präferenzen werden anschließend im TC-String kodiert und gespeichert, der den Organisationen bereitgestellt wird, die am OpenRTB-System, einer der am meisten verwendeten technischen Standards für Real Time Bidding, teilnehmen. Sie wissen dann, wofür Nutzer ihre Zustimmung erteilt haben und was sie abgelehnt haben. Die CMP speichert auch ein Cookie (Euconsent-v2) auf dem Gerät des Nutzers. Der TC-String und das Euconsent-v2-Cookie können – miteinander kombiniert – der IP-Adresse des Nutzers zugeordnet werden.

Verschiedene belgische und ausländische Parteien, u.a. die Fundacja Panoptykon und Stichting Bits of Freedom, haben bei der belgischen Datenschutzbehörde Beschwerden gegen dieses Vorgehen eingereicht. Diese gab mit Entscheidung vom 22. Februar 2022 der Beschwerde statt und verpflichtete IAB Europe dazu, eine Reihe technischer und organisatorischer Maßnahmen zu ergreifen, um ihre Praktiken mit der DSGVO in Einklang zu bringen, und verhängte eine verwaltungsrechtliche Geldbuße von 250 000 Euro.

Gegen diese Entscheidung legte IAB Europe Berufung beim Appellationshof Brüssel ein. Hierzu hat der EuGH zu entscheiden.

Weitere Informationen