Norwegische Datenschutzbehörde verhängt Bußgeld gegen Xandr
Die norwegische Datenschutzbehörde Datatilsynet hat gegen Xandr Inc. ein Verwaltungsbußgeld in Höhe von 8,6 Mio. Euro verhängt. Nominal beläuft sich die Sanktion auf NOK 92.000.000. Nach Angaben der Behörde handelt es sich um das höchste Bußgeld, das Datatilsynet bislang ausgesprochen hat.
Gegenstand des Verfahrens war die Verarbeitung personenbezogener Daten von Nutzerinnen und Nutzern der Dating-App Grindr im Zusammenhang mit Real-Time-Bidding. Die App richtet sich insbesondere an schwule, bisexuelle, trans und queere Personen. Der Bescheid datiert auf den 2. Oktober 2026 und wurde am 12. Oktober 2026 veröffentlicht.
Xandr kann nach den vorliegenden Informationen innerhalb von drei Wochen nach Erhalt des Bescheids Einspruch einlegen. Der Bescheid ist daher noch nicht als rechtskräftig zu behandeln.
Ursprung des Verfahrens und beteiligte Unternehmen
Beschwerden des norwegischen Verbraucherrats
Ausgangspunkt des Verfahrens waren Beschwerden, die der norwegische Verbraucherrat Forbrukerrådet am 14. Januar 2020 bei Datatilsynet einreichte. Die Beschwerden wurden nach Art. 80 Abs. 1 DSGVO im Namen einer betroffenen Person erhoben.
Die Beschwerden richteten sich gegen Grindr sowie gegen mehrere Unternehmen aus dem Bereich der Werbetechnologie. Genannt wurden unter anderem:
- MoPub, damals Twitter zugeordnet,
- AppNexus, heute Xandr,
- OpenX,
- AdColony,
- Smaato.
Die gegen Xandr gerichtete Beschwerde betraf ursprünglich AppNexus Inc. Xandr firmiert heute als Microsoft Advertising. Microsoft übernahm Xandr im Jahr 2022.
Technische Grundlage der Beschwerde
Die Beschwerde stützte sich unter anderem auf eine Untersuchung von Datenflüssen der Grindr-App. Diese Untersuchung wurde nach den vorliegenden Angaben durch das Sicherheitsunternehmen mnemonic für den Verbraucherrat durchgeführt und betraf den Zeitraum vom 8. Juli bis zum 31. Dezember 2019.
Bereits am 21. Februar 2020 forderte Datatilsynet Xandr zur Auskunft über grenzüberschreitende Verarbeitungen auf. Auf Antrag wurde die Frist vom 16. März 2020 auf den 17. Juli 2020 verlängert. Xandr antwortete am 16. Juli 2020.
Zwischen dem Eingang der Beschwerden am 14. Januar 2020 und dem Bescheiddatum am 2. Oktober 2026 lagen 2.453 Tage.
Feststellungen der Behörde zur Datenverarbeitung
Verarbeitung im Rahmen von Real-Time-Bidding
Datatilsynet kam zu dem Ergebnis, es sei mit klar überwiegender Wahrscheinlichkeit nachgewiesen, dass Xandr im Rahmen von Real-Time-Bidding personenbezogene Daten von Grindr-Nutzerinnen und -Nutzern verarbeitet habe. Nach der behördlichen Bewertung betraf dies jedenfalls die Information, dass eine Person Grindr nutzte, außerdem Werbe-IDs und IP-Adressen.
Diese Informationen wertete die Behörde als personenbezogene Daten im Sinne von Art. 4 Nr. 1 DSGVO. Zugleich ordnete Datatilsynet die betroffenen Daten als Angaben zur sexuellen Orientierung im Sinne von Art. 9 Abs. 1 DSGVO ein.
Nach den Behördenangaben erfolgte die Datenweitergabe im Zusammenhang mit Echtzeitauktionen an potenziell tausende Unternehmen. Betroffen gewesen seien nach Angaben der Behörde auch Nutzerinnen und Nutzer außerhalb Norwegens. Die Entscheidung gegenüber Xandr betrifft jedoch die Verarbeitung personenbezogener Daten von Grindr-Nutzerinnen und -Nutzern in Norwegen.
Zeitraum der beanstandeten Verarbeitung
Der von der Behörde zugrunde gelegte Verstoßzeitraum liegt nach den vorliegenden Angaben zwischen Juli 2018 und April 2020. Nach Auswertung des Bescheids umfasst er konkret den Zeitraum vom 20. Juli 2018 bis zum 7. April 2020.
Damit lag der maßgebliche Zeitraum vor der Übernahme von Xandr durch Microsoft im Jahr 2022. Microsoft erklärte hierzu, das beanstandete Verhalten liege vor der Übernahme von Xandr; zudem werde die Entscheidung geprüft.
Rechtliche Würdigung durch Datatilsynet
Gemeinsame Verantwortlichkeit von Xandr
Datatilsynet stufte Xandr als gemeinsam Verantwortlichen für die Verarbeitung ein. Dies galt nach der behördlichen Bewertung sowohl für die Rolle als Supply-Side-Plattform als auch für die Rolle als Demand-Side-Plattform.
Die Behörde ging davon aus, dass für die Verarbeitung besonderer Kategorien personenbezogener Daten eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO erforderlich gewesen sei. Zusätzlich war nach Art. 6 Abs. 1 DSGVO eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten erforderlich.
Einwilligungen nach Auffassung der Behörde unwirksam
Xandr holte nach den Feststellungen der Behörde keine eigenen Einwilligungen ein, sondern berief sich auf Einwilligungen, die Grindr von den Nutzerinnen und Nutzern eingeholt haben soll. Datatilsynet bewertete diese Einwilligungen jedoch als unwirksam im Sinne von Art. 4 Nr. 11 und Art. 7 DSGVO.
Nach Auffassung der Behörde waren die Einwilligungen unter anderem deshalb ungültig, weil die Nutzerinnen und Nutzer nicht ausreichend informiert worden seien. Xandr verteidigte sich nach den vorliegenden Informationen damit, davon ausgegangen zu sein, Grindr habe die erforderlichen Einwilligungen eingeholt. Datatilsynet wies diese Einlassung zurück.
Die Behörde stellte in diesem Zusammenhang klar, dass Rechenschaftspflichten nicht ausgelagert werden könnten. Jeder gemeinsam Verantwortliche müsse eigenständig prüfen, ob eine Einwilligung wirksam sei und die eigene Verarbeitung erfasse.
Vertragsbedingungen als Rechtfertigungsansatz
Xandr legte der Behörde am 25. August 2023 Vertragsbedingungen vor. Dabei berief sich das Unternehmen unter anderem auf Klausel 9(a) der IDA. Datatilsynet sah darin jedoch keine tragfähige Grundlage, um die beanstandete Verarbeitung ohne wirksame Einwilligung zu rechtfertigen.
Nach der behördlichen Bewertung lagen Verstöße gegen Art. 6 Abs. 1 DSGVO und Art. 9 Abs. 1 DSGVO vor. Die Behörde bewertete die Verstöße mindestens als fahrlässig.
Höhe des Bußgelds und Zumessung
Maßgebliche Erwägungen der Behörde
Datatilsynet bewertete die festgestellten Verstöße als schwerwiegend. Zur Begründung verwies die Behörde darauf, dass zentrale Vorgaben der DSGVO betroffen seien und die Verarbeitung sensible Daten umfasst habe.
Die Direktorin von Datatilsynet, Line Coll, begründete die Höhe des Bußgelds nach den vorliegenden Angaben unter anderem damit, dass die festgestellten Verstöße sehr schwerwiegend seien und tausende Nutzerinnen und Nutzer in Norwegen betroffen gewesen seien.
Als erschwerende Zumessungsfaktoren wurden nach Auswertung des Bescheids insbesondere berücksichtigt:
- Art, Schwere und Dauer der Verstöße,
- der Verantwortungsgrad,
- die betroffenen Datenkategorien,
- ein finanzieller Vorteil.
Mildernd berücksichtigte die Behörde insbesondere eine Kooperation in Form der freiwilligen Teilnahme an einem Treffen im Februar 2025.
Bußgeldrahmen und Bemessungsgrundlage
Die öffentliche Fassung des Bescheids umfasst 54 Seiten. Der Bußgeldrahmen lag nach den vorliegenden Angaben bei 20 Mio. Euro beziehungsweise rund NOK 215,8 Mio., weil vier Prozent des Umsatzes von Xandr darunter lagen. Der konkrete Umsatz ist in der veröffentlichten Fassung geschwärzt.
Die Bußgeldhöhe wurde nach den vorliegenden Informationen auf Grundlage des Umsatzes von Xandr bemessen. Der Umsatz des Microsoft-Konzerns wurde ausdrücklich nicht berücksichtigt.
Einordnung im Verhältnis zu früheren Verfahren
Gegen Grindr selbst hatte Datatilsynet nach einer entsprechenden Beschwerde des Forbrukerrådet bereits zuvor ein Bußgeld in Höhe von NOK 65 Mio. verhängt. Diese Entscheidung datiert auf den 15. Dezember 2021.
Das Verfahren gegen Xandr betrifft demgegenüber die Rolle des Werbetechnologieunternehmens bei der Verarbeitung von Daten im Rahmen von Real-Time-Bidding. Die behördlichen Feststellungen beziehen sich auf die konkrete Verarbeitung personenbezogener Daten von Grindr-Nutzerinnen und -Nutzern in Norwegen und auf die hierfür aus Sicht der Behörde fehlende wirksame Rechtsgrundlage.
Bedeutung für Datenschutz und digitale Werbung
Die Entscheidung zeigt, dass Datenschutzbehörden bei datengetriebenen Werbemodellen eine eigenständige Prüfung der Verantwortlichkeiten und der Rechtsgrundlagen verlangen. Dies gilt insbesondere, wenn besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO betroffen sein können.
Für Unternehmen mit digitalen Werbestrukturen, Plattformmodellen oder Datenweitergaben an mehrere Beteiligte kann die Entscheidung erhebliche praktische Relevanz haben. Maßgeblich bleibt jedoch der jeweilige Einzelfall, insbesondere die konkrete Rollenverteilung, die Art der Daten, die Informationslage der betroffenen Personen und die jeweils herangezogene Rechtsgrundlage.
MTR Legal Rechtsanwälte begleitet Unternehmen, Investoren und vermögende Privatpersonen bei datenschutzrechtlichen Fragestellungen im nationalen und internationalen Kontext. Bei rechtlichen Fragen zu Datenverarbeitung, Einwilligungen, Verantwortlichkeiten oder behördlichen Verfahren kann eine individuelle Beratung im Bereich Rechtsberatung im Datenschutzrecht durch MTR Legal sinnvoll sein.
