Xandr haftet für Grindr-Daten: Norwegens Bußgeld trifft die Mitte der Programmatic-Kette
Das Wichtigste in Kürze
- Die norwegische Datenschutzbehörde hat gegen Xandr, die Adtech-Einheit von Microsoft, ein Bußgeld von 92 Millionen Kronen verhängt, rund 8,5 Millionen Euro.
- Xandr hat laut noyb Daten aus der Dating-App Grindr, darunter Hinweise auf die sexuelle Orientierung, ohne gültige Rechtsgrundlage verarbeitet.
- Nach Darstellung von ADZINE sieht die Behörde Xandr neben Grindr in der Verantwortung; der Verweis auf die Einwilligung des Lieferanten reichte nicht.
- Microsoft prüft die Entscheidung, Xandr kann Rechtsmittel einlegen.
Inhalt
Die norwegische Datenschutzbehörde Datatilsynet hat gegen Xandr, die Adtech-Einheit von Microsoft, ein Bußgeld von 92 Millionen Kronen verhängt, rund 8,5 Millionen Euro. Das teilte die Datenschutzorganisation noyb am 12. Oktober mit, die das Verfahren 2020 zusammen mit dem norwegischen Verbraucherrat angestoßen hatte. Für die Branche zählt weniger die Summe als der Adressat: Diesmal trifft es nicht die App, die Daten herausgab, sondern einen Vermittler in der Mitte der Programmatic-Kette.
Worum geht es in dem Verfahren?#
Die Dating-App Grindr hatte Daten ihrer Nutzer an mehrere Adtech-Firmen übermittelt, eine davon war Xandr. Laut noyb verarbeitete Xandr diese Daten ohne gültige Rechtsgrundlage, darunter sensible Informationen zur sexuellen Orientierung. ADZINE nennt als Zeitraum Juli 2018 bis April 2020; die Daten flossen über programmatische Auktionen. Grindr selbst war wegen desselben Vorgangs 2021 mit 65 Millionen Kronen belegt worden.
Warum reicht die Einwilligung des Lieferanten nicht?#
Xandr hatte sich nach einem Bericht von Reuters, den ADZINE zitiert, darauf berufen, Grindr habe die nötigen Einwilligungen eingeholt; selbst geprüft wurde das demnach nicht. Datatilsynet sieht Xandr laut ADZINE gemeinsam mit Grindr in der Verantwortung. Das ist der Teil, der jede SSP, DSP und Datenplattform angeht, die Bid-Requests aus Apps und Websites verarbeitet: Ein Vertrag, der dem Publisher die Einwilligung zuschiebt, schützt den Einkäufer nicht automatisch.
Eine ähnliche Linie liegt gerade in Karlsruhe. Der Bundesgerichtshof verhandelte am 8. Oktober über die Haftung eines Cookie-Drittanbieters; das Oberlandesgericht Frankfurt hatte verlangt, dass sich der Anbieter die Einwilligung vom Seitenbetreiber übermitteln lässt, bevor er Cookies setzt. Kommt der BGH zum selben Ergebnis, steht auch das deutsche Recht für eine Pflicht entlang der ganzen Kette.
Trifft das Microsofts heutiges Werbegeschäft?#
Die Vorgänge liegen vor der Übernahme durch Microsoft 2022, das Bußgeld bemisst sich laut ADZINE am damaligen Xandr-Umsatz. Microsoft hat die aus Xandr hervorgegangene DSP Invest Ende Februar 2026 eingestellt und setzt seither auf die SSP Monetize und auf Curate. Gegenüber Reuters erklärte Microsoft, die Entscheidung zu prüfen.
Ob Xandr Rechtsmittel einlegt, entscheidet sich in den nächsten drei Wochen; dafür hat das Unternehmen laut ADZINE so lange Zeit. Bleibt die Begründung stehen, werden Einkaufsplattformen in Europa die Einwilligungssignale ihrer Lieferanten künftig selbst prüfen müssen, statt sie nur weiterzureichen.
