Xandr erhält DSGVO-Bußgeld von 9,6 Millionen Dollar wegen Weitergabe von Grindr-Daten

Norwegens Datenschutzbehörde hat gegen das zu Microsoft gehörende Werbeunternehmen Xandr ein Bußgeld von 92 Millionen norwegischen Kronen, umgerechnet etwa 9,6 Millionen Dollar, wegen der rechtswidrigen Verarbeitung und Weitergabe von Daten von Grindr-Nutzern verhängt. Das DSGVO-Bußgeld gegen Xandr ist die höchste Geldstrafe, die Norwegens Datenschutzbehörde jemals verhängt hat.

Die Behörde Datatilsynet erklärte, dass Tausende norwegische Nutzer von den Verstößen betroffen waren. Die Untersuchungsergebnisse beziehen sich auf Werbeaktivitäten zwischen Juli 2018 und April 2020, bevor Microsoft Xandr übernahm.

Werbeauktionen legten sensible Informationen offen

Im untersuchten Zeitraum verwaltete Xandr Echtzeit-Werbeauktionen innerhalb von Grindr, einer standortbasierten Dating-App, die sich hauptsächlich an LGBTQ+-Personen richtet.

Bei diesen Auktionen erhielten Werbetreibende Profilinformationen, bevor sie Gebote für die Anzeige einer Werbung abgaben. Xandr fungierte als Vermittler zwischen der App und den beteiligten Werbeunternehmen.

Laut Datatilsynet könnten durch diesen Prozess personenbezogene Daten gegenüber Tausenden von Unternehmen offengelegt worden sein. Dazu gehörten sensible Informationen über die sexuelle Orientierung der Nutzer.

Die Behörde stellte fest, dass diese Weitergabe ohne die für die Verarbeitung erforderliche ausdrückliche Einwilligung erfolgte.

Xandr überprüfte die Einwilligung der Nutzer nicht

Datatilsynet stellte fest, dass Xandr gemeinsam mit Grindr als Verantwortlicher für die Datenverarbeitung handelte. Damit trug das Werbeunternehmen eine gemeinsame Verantwortung dafür, wie die personenbezogenen Daten verwendet wurden.

Xandr ging jedoch davon aus, dass Grindr gültige Einwilligungen eingeholt hatte. Das Unternehmen überprüfte diese Annahme nicht und schuf auch keine rechtmäßige Grundlage für seine eigene Datenverarbeitung, erklärte die Behörde.

Folglich kam Datatilsynet zu dem Schluss, dass Xandr seinen Pflichten beim Umgang mit sensiblen Informationen nicht nachgekommen war.

Die Behörde begründete die Höhe des Bußgeldes mit der Schwere der Verstöße und deren Auswirkungen auf Tausende von Nutzern.

Datenschutzorganisationen begrüßen DSGVO-Bußgeld gegen Xandr

Die Entscheidung folgt auf eine Beschwerde, die die Datenschutzorganisation noyb und der norwegische Verbraucherrat im Januar 2020 eingereicht hatten.

Beide Organisationen beanstandeten den Umgang mit den Daten von Grindr-Nutzern innerhalb des Werbeökosystems. Nach der Entscheidung begrüßte noyb das Bußgeld als wichtigen Schritt, um Werbetechnologieunternehmen zur Verantwortung zu ziehen.

Die Organisation kritisierte außerdem Praktiken, die es ermöglichen, sensible Informationen ohne gültige Einwilligung zwischen Apps, Websites und Werbeplattformen auszutauschen.

Die Feststellungen der Behörde verdeutlichen einen zentralen Aspekt des Falls: Ein Werbevermittler kann nicht einfach davon ausgehen, dass ein anderes Unternehmen die erforderlichen Einwilligungen eingeholt hat.

Microsoft erklärt, dass die Vorgänge vor der Übernahme stattfanden

Xandr ist inzwischen als Microsoft Advertising tätig. Microsoft betonte jedoch, dass sich die Untersuchung auf Vorgänge beziehe, die vor der Übernahme des Unternehmens stattgefunden hätten.

Das Unternehmen erklärte außerdem, dass sich die rechtlichen Rahmenbedingungen, deren Auslegung und die Durchsetzungspraxis seit dem untersuchten Zeitraum verändert hätten.

Microsoft prüft die Entscheidung und bewertet seine Handlungsmöglichkeiten. Unterdessen hat Xandr drei Wochen Zeit, um gegen die Entscheidung der norwegischen Datenschutzbehörde Einspruch einzulegen.