Zusammenfassung

  • Datatilsynets Entscheidung vom 2. Oktober 2026 verhängte gegen Xandr eine Geldbuße von 92 Millionen norwegischen Kronen (8,6 Millionen Euro) wegen der Verarbeitung norwegischer Grindr-Nutzerdaten zwischen Juli 2018 und April 2020.
  • Die Behörde stufte Xandr auf Angebots- und Nachfrageseite als gemeinsam Verantwortliche ein. Xandr hätte prüfen müssen, ob die Einwilligung wirksam war und die eigene Verarbeitung umfasste.

Der Vermittler bleibt Teil der Verarbeitung

Die norwegische Datenschutzbehörde Datatilsynet hat gegen Xandr Inc. nach eigener Darstellung die höchste Geldbuße ihrer Geschichte verhängt. Die Entscheidung datiert vom 2. Oktober 2026 und betrifft Echtzeitgebote für Werbung, bei denen Daten von Grindr-Nutzern in Norwegen verarbeitet wurden. Die Summe beträgt 92 Millionen norwegische Kronen, umgerechnet etwa 8,6 Millionen Euro. Der Europäische Datenschutzausschuss nahm die Entscheidung am 16. Oktober in seine nationale Nachrichtenübersicht auf.

Ausgangspunkt war eine Beschwerde des norwegischen Verbraucherrats aus dem Jahr 2020. Untersucht wurde der Zeitraum vom 20. Juli 2018 bis zum 7. April 2020. Die Entscheidung ist daher keine Prüfung der heutigen Xandr-Abläufe. Datatilsynet kam zu dem Ergebnis, dass Gebotsanfragen die Nutzung von Grindr, eine Werbekennung und eine IP-Adresse enthalten konnten. Nach Ansicht der Behörde ließ die App-Nutzung Rückschlüsse auf die sexuelle Orientierung zu und fiel deshalb unter die besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO.

Eine Echtzeitauktion wird oft als technischer Ablauf beschrieben: Eine App stellt Werberaum bereit, Plattformen leiten eine Gebotsanfrage weiter, und Käufer konkurrieren in Sekundenbruchteilen. Dieser Ablauf verteilt jedoch zugleich Datenverarbeitung und Entscheidungsmacht. Dass ein Nutzer die Übergaben nicht auf dem Bildschirm sieht, nimmt ihnen nicht den Charakter einer verantwortlichen Verarbeitung.

Einwilligung ist keine weiterreichende Blanko-Vollmacht

Datatilsynet stellte fest, dass Xandr sowohl als Supply-Side- als auch als Demand-Side-Plattform beteiligt war und gemeinsam mit Grindr für die Verarbeitung verantwortlich war. Die Behörde sah weder eine Rechtsgrundlage nach Artikel 6 Absatz 1 noch eine gültige Ausnahme vom Verbot nach Artikel 9. Für die sensiblen Daten war ausdrückliche Einwilligung relevant. Xandr verließ sich auf die von Grindr eingeholte Einwilligung, prüfte aber nicht selbst, ob sie wirksam war und die eigene Verarbeitung abdeckte.

Das ist kein allgemeines Verbot der Echtzeitwerbung. Die Entscheidung richtet sich gegen eine bestimmte Annahme: Die Einwilligung eines anderen Beteiligten ist nicht automatisch ein Nachweis für den eigenen Verarbeitungsschritt. Gemeinsam Verantwortliche müssen die Rechtsgrundlage ihrer eigenen Tätigkeit prüfen. Ein Vertrag kann Aufgaben verteilen, ersetzt aber nicht die Kenntnis darüber, welche Daten das jeweilige Unternehmen wozu verarbeitet.

Nach Angaben von Datatilsynet könnten die Informationen an Tausende weitere Unternehmen weitergeleitet worden sein. Das Wort „könnten“ ist entscheidend. Die öffentliche Entscheidung trägt die Feststellung, dass Daten in Gebotsanfragen verarbeitet wurden; sie belegt nicht, dass jeder mögliche Empfänger die Daten tatsächlich erhielt oder speicherte. Die potenzielle Reichweite macht die Intransparenz des Marktes sichtbar, ist aber keine verifizierte Empfängerzahl.

Ein historischer Vorgang, getrennte Verantwortliche

Datatilsynet hatte Grindr bereits 2021 mit einer eigenen Geldbuße von 65 Millionen Kronen für die Verarbeitung und Offenlegung durch die App belegt. Die Entscheidung von 2026 prüft Xandrs Rolle in derselben historischen Werbeumgebung. Sie addiert nicht einfach eine weitere Position zu einer Strafe gegen dasselbe Unternehmen, sondern untersucht, ob der Vermittler die Rechtsgrundlage seiner eigenen Tätigkeit sicherstellen musste.

Für Compliance-Verantwortliche ist diese Trennung praktisch. Die App kann nicht annehmen, die Werbeplattform übernehme alle Pflichten. Die Plattform kann ebenso wenig unterstellen, die Einwilligung in der App decke jede spätere Verwendung ab. Aufgaben können geteilt werden; jede Organisation muss dennoch wissen, welche Daten sie erhält, welche Rolle sie übernimmt und welcher Nachweis den eigenen Zweck abdeckt.

Bemessung nach der betroffenen Gesellschaft und Zeit

Microsoft erwarb Xandr 2022, also nach dem untersuchten Zeitraum. Datatilsynet erklärt, die Geldbuße anhand des Jahresumsatzes von Xandr berechnet und den Microsoft-Umsatz nicht herangezogen zu haben, weil Xandr während des relevanten Verhaltens noch nicht zu Microsoft gehörte. Damit knüpft die Behörde den Betrag an die untersuchte Gesellschaft und den damaligen Zeitraum, nicht an die spätere Konzernzugehörigkeit.

Xandr kann innerhalb von drei Wochen nach Erhalt der Entscheidung Rechtsmittel einlegen. Die öffentliche Mitteilung nennt den Empfangstag nicht; die Frist lässt sich daher nicht einfach vom 2. Oktober aus berechnen. Sie bestätigt auch nicht, ob bereits ein Rechtsmittel eingereicht wurde. Fest steht die abschließende Entscheidung der norwegischen Behörde, während der angekündigte Rechtsweg Teil des Verfahrens bleibt.

Anwendung bestehenden Rechts statt neuer Verbotsregel

Die Behörde wendet geltende DSGVO-Pflichten auf Belege aus einem historischen Gebotsstrom an. Sie sagt nicht, jede Auktionsplattform sei automatisch gemeinsam verantwortlich, jede Echtzeitauktion sei rechtswidrig oder Microsoft hafte für Vorgänge vor dem Erwerb. Maßgeblich sind die tatsächliche Rolle und die konkrete Verarbeitung jedes Beteiligten.

Daniel Kade schlägt einen überprüfbaren Einwilligungsnachweis je Beteiligtem und Zweck vor: verarbeitete Daten, Rolle des Empfängers, angezeigte Einwilligungsversion, weitergegebener Umfang, geltend gemachte Rechtsgrundlage und Beleg einer eigenen Prüfung. Das ist ein redaktioneller Vorschlag, keine von Datatilsynet angeordnete Pflicht. Er soll die Übergabe vor dem Gebot nachvollziehbar machen, statt sie erst nach einer Beschwerde rekonstruieren zu müssen.

Die öffentliche Akte erlaubt keine Aussage über heutige Xandr- oder Microsoft-Abläufe; der untersuchte Zeitraum endete im April 2020. Sie listet auch nicht alle möglichen Empfänger und klärt einen Rechtsmittelverlauf nicht. Sie zeigt jedoch, warum eine unsichtbare Gebotsanfrage ein Governance-Akt bleibt: Verantwortung folgt der Verarbeitung, nicht dem Eigentümer der Einwilligungsoberfläche.

Quellen