Norwegen verhängt gegen Microsofts Xandr eine Rekordstrafe von 8,6 Mio. € wegen der Weitergabe von Grindr-Daten

Die norwegische Datenschutzbehörde verhängte gegen Xandr – die Ad-Tech-Einheit, die AT&T aus AppNexus aufbaute und die später Microsoft gehörte – eine Geldbuße von 8,6 Mio. € (9,62 Mio. US-Dollar), weil das Unternehmen rechtswidrig sensible Daten von Grindr-Nutzern an Werbetreibende weitergegeben hatte. Die Verstöße reichten von Juli 2018 bis April 2020, und die Datenschutzbehörde bezeichnete den Verstoß als „sehr schwerwiegend“ genug, um die höchste Verwaltungsstrafe zu rechtfertigen, die sie jemals verhängt hat; bemessen wurde sie am Gesamtjahresumsatz von Xandr in diesem Zweijahreszeitraum, der vor der Übernahme durch Microsoft liegt. Xandr hat drei Wochen Zeit, Einspruch einzulegen; Microsoft erklärte, man prüfe die Entscheidung.

Der Mechanismus war Real-Time-Bidding. Wenn eine Person Grindr öffnete, wurden ihre personenbezogenen Daten in vielen Fällen über Xandr an potenziell Tausende Akteure weitergegeben, wobei Werbetreibende darauf boten, zielgerichtete Anzeigen zu schalten – für den Nutzer unsichtbar. Zu den Daten gehörten Signale, die die sexuelle Orientierung offenlegten, also besondere Kategorien personenbezogener Daten nach europäischem Datenschutzrecht. Die Datenschutzbehörde stellte fest, dass Xandr gemeinsam mit Grindr für die Verarbeitung verantwortlich war und damit für die Einholung der Einwilligung der Nutzer zuständig war; statt sicherzustellen, dass es eine Rechtsgrundlage für seine eigene Verarbeitung hatte, verwies Xandr auf Grindr und erklärte, man sei davon ausgegangen, dass die Dating-App die Einwilligung eingeholt habe.

Der Fall begann mit einer Beschwerde des norwegischen Verbraucherrats gemeinsam mit der österreichischen Datenschutz-Nichtregierungsorganisation noyb aus dem Jahr 2020, in der geltend gemacht wurde, Xandr habe personenbezogene Daten norwegischer Nutzer ohne ausdrückliche Einwilligung unrechtmäßig weitergegeben. Das Unternehmen Xandr existiert inzwischen nicht mehr – AT&T gründete es nach der Übernahme von AppNexus im Juni 2018, verkaufte es Ende Dezember 2021 an Microsoft, und die Marke wurde im Juni 2023 in Microsoft Ads eingegliedert –, doch die Haftung haftete an der juristischen Person, die die Verarbeitung durchgeführt hatte. Die Entscheidung ergeht einen Monat, nachdem Grindr 26 Mio. £ gezahlt hat, um eine britische Klage wegen der Weitergabe von Nutzerdaten, einschließlich des HIV-Status, beizulegen.

8,6 Mio. € (9,62 Mio. US-Dollar), die höchste jemals von der norwegischen Datenschutzbehörde verhängte Geldbuße, bemessen am Umsatz von Xandr für 2018–2020; drei Wochen Zeit für einen Einspruch.

Als gemeinsam Verantwortlicher benötigte Xandr eine eigene Rechtsgrundlage für die Verarbeitung und konnte nicht einfach davon ausgehen, dass Grindr die Einwilligung der Nutzer eingeholt hatte.

Real-Time-Bidding gab jedes Öffnen der Grindr-App an potenziell Tausende Bieter weiter – für den Nutzer unsichtbar und nach dem Versand nicht mehr kontrollierbar.

Die Daten offenbarten die sexuelle Orientierung, also besondere Kategorien personenbezogener Daten nach der DSGVO, weshalb die Datenschutzbehörde eine Rekordstrafe statt einer routinemäßigen Geldbuße verhängte.

Die Geldbuße wurde am Umsatz von Xandr im Verstoßzeitraum, also vor der Eigentümerschaft von Microsoft, bemessen, sodass die Sanktion dem Verhalten folgte, nicht dem aktuellen Eigentümer.

Ein Vermittler zu sein, ist kein Schutzschild: Wer als gemeinsam Verantwortlicher gilt, trägt die Verantwortung für die Frage der Einwilligung, selbst bei Daten, die jemand anderes erhoben hat.

Xandr hat drei Wochen Zeit, gegen die Entscheidung Einspruch einzulegen, und Microsoft erklärt, man prüfe sie und schätze die Optionen ab. Noyb bezeichnete die Geldbuße als „schweren Schlag für die Online-Werbung und die kommerzielle Überwachungsindustrie“. Die Entscheidung schließt einen Kreis, der begann, als Grindrs eigene Datenpraktiken 2021 Norwegens höchste Datenschutzstrafe nach sich zogen: Nun wurde auch der Ad-Tech-Vermittler mit einer Geldbuße belegt, der den Zugang gekauft und weiterverkauft hatte.