IAB-TCF-v2.3-Implementierung für EU-Publisher
Eine selbstgehostete TCF-v2.3-Implementierung aus der EU — vollständiger TC-String-Codec, GVL-Proxy, Google Consent Mode v2, AC-String. Feature-complete und bereit für den IAB-CMP-Validator. Publisher-aktivierbar, sobald IAB Europe unsere CMP-ID zuweist.
Wird mit dem Compliance-Plan (199 €*/Monat) ausgeliefert, sobald IAB Europe unsere CMP-ID zuweist. Solange die Registrierung aussteht, geben TC Strings cmpId=0 aus — Programmatic-Vendoren werten dies als ungültiges Signal, sodass Live-Anzeigen-Monetarisierung noch nicht möglich ist.
Registrierungsstatus: ausstehend
Unser TCF-v2.3-CMP ist technisch fertig und besteht unsere internen Conformance-Tests. Die IAB-Europe-Anmeldung ist noch nicht eingereicht, daher halten wir noch keine CMP-ID. Bis dahin ist das Produkt ausschließlich als technische Vorschau / Warteliste verfügbar — kein Live-Publisher-Traffic.
- Engine fertig (Codec, GVL, Widget, Consent-Log, 12 EU-Sprachen)
- Interaktive Demo live — kompletter Flow heute testbar
- IAB-Europe-Anmeldung + CMP-Validator-Iteration — nächster Schritt
- Live-Publisher-Aktivierung — sobald CMP-ID vergeben
Was TCF-Teilnahme ist — und was nicht
IAB Europe betreibt ein technisches Konformitätsprogramm. Die Registrierung unserer CMP bedeutet, dass unsere Implementierung von __tcfapi, TC String und GVL den IAB CMP Validator besteht. Sie zertifiziert Ihre Publikation NICHT als DSGVO-konform im Sinne von Art. 42 DSGVO. Der Europäische Datenschutzausschuss hat dies 2023 bestätigt, und der Brüsseler Marktgerichtshof (Mai 2025) hat wesentliche Teile der Feststellungen der belgischen Datenschutzbehörde gegen IAB Europe aufrechterhalten. Unsere CMP liefert Ihnen eine spezifikationskonforme Implementierung; der Publisher bleibt als Verantwortlicher für seine eigene DSGVO-Analyse zuständig.
Warum Publisher eine TCF-CMP benötigen
Wenn Sie über Google Ad Manager, Xandr, The Trade Desk oder die meisten anderen Programmatic-Partner monetarisieren, ist eine registrierte TCF-CMP Grundvoraussetzung. Ohne gültigen TC String ist Ihr Inventar nicht bietbar.
IAB Europe hat die Policy im Juni 2025 mit einem Stichtag am 28. Februar 2026 aktualisiert. TC Strings ohne das DisclosedVendors-Segment sind ungültig. Wir kodieren v2.3 nativ — ohne v2.2-Altlasten.
Das Widget läuft über unser Script-Tag auf Ihrer Domain; Einwilligungsdatensätze liegen in unserem EU-Rechenzentrum. Kein in den USA gehostetes CMP-SDK, keine Drittlandtransfers im Einwilligungs-Flow selbst.
Was enthalten ist
Alles, was eine TCF-CMP benötigt, um den IAB Validator zu bestehen und sich in Programmatic-Partner zu integrieren.
API-Oberfläche im Top-Frame mit Pre-Boot-Queue, Cross-Origin-postMessage-Bridge und vollständigem v2-Befehlssatz (ping, getTCData, addEventListener, removeEventListener, getVendorList).
Bit-genauer serverseitiger Codec für Core-, DisclosedVendors- (in v2.3 verpflichtend) und PublisherTC-Segmente. Range-/Bitfield-Heuristik für kompakte Kodierung.
Stündliche Aktualisierung der Global Vendor List in unseren EU-Cache. Historische GVL-Snapshots für das Dekodieren älterer TC Strings verfügbar.
First-Layer-Banner mit Akzeptieren/Ablehnen in gleicher Sichtbarkeit (Policy-Anforderung ab v2.2). Second-Layer-Präferenzen mit Schaltern pro Zweck und pro Vendor, Angaben zur Speicherdauer, LI-URL, Device-Storage-URL.
Automatisches gtag('consent','default','denied') beim Start, Live-Updates bei Nutzerentscheidung. wait_for_update = 2000 ms, damit Measurement-Tags auf den tatsächlichen Zustand warten.
Googles paralleles Consent-Signal für Nicht-IAB-Google-Partner, gemäß v1-Spezifikation kodiert und in addtlConsent ausgegeben.
Jede Entscheidung wird mit TC String, AC String, GVL-Version, Policy-Version, gehashter IP und UA gespeichert. Auditor-fertiger JSON- und CSV-Export.
Schwebendes Icon erfüllt Art. 7 Abs. 3 DSGVO — Einwilligung so leicht widerrufen, wie sie erteilt wurde.
EN, DE, FR, IT, ES, NL, PL, PT, SV, DA, FI, NB. Die übrigen 12 EU-Sprachen fallen bis zur Übersetzung auf Englisch zurück.
navigator.globalPrivacyControl = true löst Reject-All aus; Nutzern, die das Signal senden, wird kein Opt-in-Banner aufgezwungen.
Was wir nicht versprechen
Keine DSGVO-Zertifizierung.
Die TCF-Teilnahme wird von IAB Europe betrieben; sie ist keine Zertifizierung nach Art. 42 DSGVO, und keine Aufsichtsbehörde hat dem TCF diesen Status verliehen. Der EDSA hat dies 2023 klargestellt.
Kein rechtlicher Safe Harbor.
Der EuGH (C-604/22, März 2024) und der Brüsseler Marktgerichtshof (14. Mai 2025) haben festgestellt, dass der TC String personenbezogene Daten darstellen kann und IAB Europe gemeinsam Verantwortlicher sein kann. Eine Aufsichtsbehörde kann Ihre Nutzung des TCF dennoch aus anderen Gründen als nicht konform bewerten.
Kein Ersatz für Ihre eigene Verantwortlichen-Analyse.
Sie entscheiden, welche Vendoren offengelegt werden, welche Zwecke gelten und was in Ihrer Datenschutzerklärung steht. Wir stellen die technische Oberfläche bereit, um die Entscheidung zu erfassen, zu kodieren und zu speichern.
Live mit drei Script-Tags
Fügen Sie diese in Ihren <head> ein. Vendor-Tags, die __tcfapi vor dem Boot aufrufen, werden in eine Queue gestellt und abgespielt, sobald der Dispatcher geladen ist.
<script src="https://cmp.siteguardian.io/v1/tcf/tcfapi-stub.js"></script>
<script src="https://cmp.siteguardian.io/v1/tcf/tcfapi-core.js" defer></script>
<script src="https://cmp.siteguardian.io/v1/tcf/widget-tcf.js"
data-site-id="YOUR_SITE_ID" defer></script>Optional: Fügen Sie gcm-bridge.js hinzu, um Google-Consent-Mode-v2-Signale automatisch auszugeben.
Demo testen, auf die Warteliste setzen
Die Demo nutzt denselben Codec und dieselbe UI, die ein Publisher integrieren würde. Der Inspector zeigt den Live-TC-String, GVL-Version und Google-Consent-Mode-v2-Signale. Warteliste-Teilnehmer erhalten Early Access, sobald unsere IAB-CMP-ID zugewiesen ist.