TL;DR
Mit bestandskräftiger Entscheidung vom 2. Oktober 2026, vom EDSA am 16. Oktober veröffentlicht, hat die norwegische Datenschutzbehörde gegen Xandr Inc. (früher AppNexus, heute Teil von Microsoft) ein Bußgeld von 8,6 Millionen Euro verhängt, 92 Millionen Kronen. Xandr verarbeitete Daten norwegischer Grindr-Nutzer beim Real-Time-Bidding ohne Rechtsgrundlage (Art. 6 Abs. 1) und ohne wirksame Ausnahme für Daten zur sexuellen Orientierung (Art. 9 Abs. 1). Die von Grindr eingeholte Einwilligung war unwirksam, und Xandr hatte sie nicht geprüft.
Wie der Fall begann
Die Beschwerde stammt aus dem Jahr 2020 und kam vom norwegischen Verbraucherrat (Forbrukerrådet). Sie betrifft das Real-Time-Bidding in Grindr, der standortbasierten Dating-App für schwule, bisexuelle, trans und queere Menschen: Jedes Mal, wenn sich ein Werbeplatz öffnet, werden die Nutzerdaten einer Vielzahl von Werbetreibenden angeboten, die binnen Millisekunden bieten. 2021 hatte dieselbe Behörde Grindr wegen der Weitergabe von Daten an Werbepartner mit 65 Millionen Kronen belegt.
Was die Behörde festgestellt hat
- VERARBEITETE DATEN. Mindestens die Tatsache, dass eine Person Grindr nutzte, die Werbe-ID und die IP-Adresse: personenbezogene Daten nach Art. 4 Nr. 1 und, schon wegen der Nutzung der App, Daten zur sexuellen Orientierung nach Art. 9 Abs. 1.
- GEMEINSAME VERANTWORTLICHKEIT. Xandr ist gemeinsam Verantwortlicher der Verarbeitung, sowohl als Supply-Side-Plattform (SSP) als auch als Demand-Side-Plattform (DSP).
- RECHTSGRUNDLAGE. Bei besonderen Kategorien war die einschlägige Grundlage die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a. Xandr holte sie nicht ein, sondern stützte sich auf die von Grindr.
- UNWIRKSAME EINWILLIGUNG. Die Einwilligung bei Grindr genügte Art. 4 Nr. 11 und Art. 7 nicht und konnte daher auch die Verarbeitung durch Xandr nicht tragen.
- SCHWERE. Mindestens fahrlässige Verstöße gegen zentrale Vorschriften der Verordnung und bei sensiblen Daten: nach Auffassung der Behörde von hoher Schwere.
Verantwortung lässt sich nicht auslagern
Das ist der Punkt, der über Adtech hinausgeht. Datatilsynet stellt fest, dass jeder gemeinsam Verantwortliche eigenständig prüfen muss, ob die Einwilligung wirksam ist und seine eigene Verarbeitung abdeckt. Eine Vertragsklausel, in der der Partner „zusichert“, die Einwilligung eingeholt zu haben, genügt nicht, wenn danach niemand kontrolliert, wie sie abgefragt wird.
Was das für den DSB bedeutet
Vier Prüfungen
Erstens: SDKs und Werbepartner in den Apps und Websites des Mandanten erfassen, samt der Daten, die sie erhalten. Zweitens: prüfen, ob schon der Kontext eine besondere Kategorie offenbart (eine App zu Gesundheit, Religion oder sexueller Orientierung): dann gilt ausdrückliche Einwilligung oder gar nichts. Drittens: für jede von Dritten erhaltene Einwilligung belegen, wie sie eingeholt wurde und dass sie genau diese Verarbeitung abdeckt. Viertens: die Vereinbarung nach Art. 26 mit allen schließen, die gemeinsam über Zwecke und Mittel entscheiden.
Die Entscheidung fügt sich in eine inzwischen gefestigte europäische Linie zum Real-Time-Bidding ein, vom Urteil des Gerichtshofs von 2024 zum TCF von IAB Europe bis zu den Verfahren gegen Werbeintermediäre. Wer Daten aus einer App erhält, sollte nicht mehr fragen „Hat der Partner eine Einwilligung?“, sondern „Habe ich sie selbst geprüft?“.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
