Warum Xandr laut Datatilsynet für die Grindr-Einwilligung haftet

Die norwegische Datenschutzbehörde Datatilsynet hat der Microsoft-Tochter Xandr ein Bußgeld von 92 Mio. NOK (laut Behörde rund 8,6 Mio. €) auferlegt, weil sich das Unternehmen auf die Einwilligung der Grindr-App verließ, statt sie selbst zu prüfen; die Entscheidung ist anfechtbar, ob sie bestandskräftig ist, ist offen. Für Adtech-Firmen heißt das: Wer als gemeinsam Verantwortlicher Daten im Real-Time-Bidding verarbeitet, kann die Rechenschaft nicht an den App-Anbieter abgeben. Xandr hat drei Wochen ab Zugang, um Rechtsmittel einzulegen.

Was die Behörde Xandr vorwirft

Real-Time-Bidding (RTB) ist ein Verfahren, bei dem Websites und Apps mit Werbeplätzen Daten ihrer Nutzenden in Sekundenbruchteilen an Werbeplattformen weitergeben, damit Werbetreibende automatisch darauf bieten. Laut Pressemitteilung des Datatilsynet vom 12. Oktober 2026 war Xandr auf beiden Seiten aktiv: als Supply-Side-Platform (SSP, vertritt die Anbieter von Werbeplätzen) und als Demand-Side-Platform (DSP, vertritt die Werbetreibenden).

Öffnete jemand Grindr, gelangten die Daten laut Behörde in vielen Fällen über Xandr an potenziell Tausende Akteure des Werbeökosystems. Nach der Zusammenfassung des Europäischen Datenschutzausschusses (EDSA) vom 16. Oktober 2026 wurden mindestens die Tatsache der App-Nutzung, die Werbe-ID (eine gerätebezogene Kennung für Werbezwecke) und die IP-Adresse verarbeitet.

Allein die Nutzung von Grindr lässt nach Ansicht der Behörde auf die sexuelle Orientierung schließen und gehört damit zu den besonders geschützten Datenkategorien. Wie viele Unternehmen die Daten tatsächlich erhielten, nennen weder Datatilsynet noch EDSA; die Behörde spricht von „potenziell“ Tausenden.

Warum reicht die Einwilligung von Grindr nicht aus?

Sie reicht nicht, weil Xandr laut Behörde eine eigene Verarbeitung vornahm, für die es selbst eine Rechtsgrundlage brauchte. Bei Daten, die auf die sexuelle Orientierung schließen lassen, wäre das die ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO gewesen, also eine Einwilligung, die sich gezielt auf diese besondere Datenkategorie bezieht.

Laut EDSA holte Xandr keine eigene Einwilligung ein, sondern stützte sich auf die von Grindr. Diese bewertete die Behörde als unwirksam nach Art. 4 Nr. 11 und Art. 7 DSGVO, also den Vorgaben an eine informierte, freiwillige und nachweisbare Einwilligung. Xandr hatte nach Angaben der Behörde angeführt, es habe angenommen, Grindr habe die Einwilligungen eingeholt. Das ließ die Behörde nicht gelten: Akteure dürften nicht einfach aufeinander verweisen.

Wie begründet die Behörde, dass Rechenschaft nicht delegierbar ist?

Die Behörde stützt sich auf Art. 5 Abs. 2, Art. 24 und Art. 26 DSGVO. In der veröffentlichten, geschwärzten Entscheidung vom 2. Oktober 2026 heißt es, die Rechenschaftspflicht gelte für beide Verantwortlichen. Wenn einer von ihnen die Einwilligung einholt, blieben beide dafür verantwortlich, dass sie eine tragfähige Grundlage für ihre jeweilige Verarbeitung bietet: „Compliance can never be outsourced.“

Art. 26 Abs. 1 DSGVO verpflichtet gemeinsam Verantwortliche, ihre Aufgaben transparent zu verteilen. Die Entscheidung betont aber, dass eine solche Vereinbarung keine Partei von ihren Pflichten befreit. Sie zitiert den EDSA mit dem Satz, beide Verantwortlichen müssten stets sicherstellen, dass sie eine Rechtsgrundlage für die Verarbeitung haben.

Die Direktorin der Behörde, Line Coll, fasst es so: „Our key message is that responsibility for data protection cannot be passed on to others. Each and every company must itself ensure, and be able to document, that they process personal data lawfully.“

Wo die Zuspitzung endet

Gemeinsame Verantwortung bedeutet nicht gleiche Verantwortung. Die Entscheidung zitiert dazu den EuGH (Rechtssache C-210/16), wonach gemeinsame Verantwortlichkeit nicht zwingend gleichen Umfang der Verantwortung bedeutet. Xandr haftet für die eigene Verarbeitung, nicht für alles, was Grindr tat.

Die Grenze verläuft damit entlang der Frage, welche Verarbeitungsschritte Xandr selbst vornahm. Hier sah die Behörde sie klar erreicht, weil Xandr die Daten als SSP und DSP verarbeitete und nichts unternahm, um die Wirksamkeit der Einwilligung zu klären.

Wie hoch ist die Strafe, und wie wurde sie bemessen?

Dieses Bild wurde komplett mit KI generiertProviderhiggsfieldModellgpt_image_2PromptFormal government office in Oslo style Scandinavian design, an official reviewing a thick stack of printed decision documents with a blank seal stamp, a laptop showing abstract network graphs, calm serious mood. Photorealistic editorial magazine photo, 16:9. Absolutely no text, no letters, no numbers, no logos, no brand marks.

Die Höhe liegt bei 92 Mio. NOK, laut Behörde die höchste Strafe, die sie bisher verhängt hat. Maßgeblich war der eigene Jahresumsatz von Xandr. Der Umsatz von Microsoft floss nicht ein, weil Xandr im fraglichen Zeitraum nicht zu Microsoft gehörte. Die Entscheidung nennt als Übernahmedatum den 6. Juni 2022; zuvor hatte AT&T AppNexus erworben, das am 1. Juli 2019 in Xandr umbenannt wurde.

Als erschwerend wertete die Behörde den direkten finanziellen Vorteil aus der unrechtmäßigen Weitergabe und die Dauer. Die Verstöße liefen laut Pressemitteilung von Juli 2018 bis April 2020; die Untersuchung der Behörde beschränkte sich auf den Zeitraum 20. Juli 2018 bis 7. April 2020. Die norwegische Datenschutzbehörde (Datatilsynet) wertet die Verstöße als mindestens fahrlässig und von hoher Schwere, weil sie zentrale Bestimmungen der DSGVO und sensible Daten betreffen; so gibt es die Zusammenfassung des EDSA wieder.

dm-Rechnung: Vom 20.7.2018 bis zum 7.4.2020 sind es rund 20 Monate und 18 Tage, also gut 20 Monate und damit knapp zwei Jahre. Das 2021 gegen Grindr verhängte Bußgeld von 65 Mio. NOK liegt bei 65 ÷ 92 ≈ 0,71, also etwa 71 Prozent der Xandr-Summe. Das ist ein Größenvergleich, kein Maßstab: Die Entscheidung hält fest, dass die Festsetzung einer Geldbuße keine arithmetisch exakte Übung ist, sie muss wirksam, verhältnismäßig und abschreckend sein (Art. 83 Abs. 1 DSGVO).

Xandr gab zudem an, nicht in jedem Monat des Zeitraums Gebotsanfragen zu Grindr-Nutzenden in Norwegen erhalten zu haben. Dass solche Anfragen eingingen, bestätigte das Unternehmen laut Entscheidung. Wie Behörden die Höhe grundsätzlich herleiten und wann sie überhaupt eine Buße verhängen, ordnen die EDPB-Leitlinien mit ihren fünf Schritten vor der Bußgeldhöhe ein.

Gilt die Entscheidung auch außerhalb Norwegens?

Unmittelbar nicht (dm-Einordnung). Norwegen gehört zum Europäischen Wirtschaftsraum, nicht zur EU, die DSGVO gilt dort aber. Der EDSA führt den Fall als „National case“ und nennt als Rechtsgrundlagen Art. 6 und Art. 9. Es handelt sich also nicht um ein grenzüberschreitendes Verfahren mit mehreren Aufsichtsbehörden.

Das Datum „final decision“ im EDSA-Register meint die Behördenentscheidung vom 2. Oktober 2026, nicht ihre Bestandskraft. Sie kann binnen drei Wochen nach Zugang angefochten werden. Ob Xandr das getan hat, ist den Mitteilungen von Datatilsynet, EDSA und noyb nicht zu entnehmen, ebenso wenig eine Reaktion von Microsoft oder Xandr.

Aussagen über die Rechtslage in einzelnen EU-Staaten lassen sich aus den Mitteilungen von Datatilsynet, EDSA und noyb nicht ableiten. Die Interessenvertretung noyb, die 2020 gemeinsam mit dem norwegischen Verbraucherrat Beschwerde eingereicht hatte und daher keine unabhängige Quelle ist, nennt den Fall einen „wertvollen Präzedenzfall für ähnliche Situationen“. Das ist eine Einschätzung des Juristen Felix Mikolasch, kein Befund der Behörde. noyb nennt außerdem 8,5 Mio. € als eigene Umrechnung; verbindlich ist der Betrag in NOK.

Was Werbedienstleister, Apps und Compliance-Teams daraus ableiten können

Die folgenden Punkte sind eine Ableitung aus der Begründung der Behörde, keine Vorgabe von ihr und keine Rechtsberatung. Sie betreffen Organisation und Dokumentation, nicht Technik.

• SSPs und DSPs sollten für jede Verarbeitung klären, auf welcher eigenen Rechtsgrundlage sie beruht, und die Einwilligung der Partner nicht bloß vertraglich zusichern lassen, sondern auf Wirksamkeit und Reichweite für die eigene Verarbeitung prüfen und die Prüfung dokumentieren.
• App-Anbieter und Publisher sollten ihre Einwilligungstexte daraufhin ansehen, ob sie die Weitergabe an nachgelagerte Plattformen tatsächlich abdecken, und Vereinbarungen nach Art. 26 DSGVO konkret fassen.
• Compliance-Teams sollten Datenflüsse identifizieren, aus denen sich besondere Kategorien ableiten lassen, etwa wenn schon die Nutzung einer App Rückschlüsse erlaubt. Für sie ist laut EDSA eine ausdrückliche Einwilligung nötig.

Eine Zusicherung des Partners, die Einwilligung liege vor, ersetzt nach dieser Begründung weder die eigene Prüfung noch den Nachweis. Dass die Werbekette für Außenstehende schwer zu durchschauen ist, zeigt auch ein anderer Zusammenhang: Das Citizen Lab dokumentiert, wie Spyware über Online-Werbung ausgeliefert wird. Das ist ein anderer Sachverhalt und kein Teil des norwegischen Falls.

Welche Rolle spielt der Digital Omnibus?

Hier gibt es nur eine Position, keinen Beschluss. noyb kritisiert, die EU-Kommission wolle die DSGVO im „Digital Omnibus“ so ändern, dass Online-Tracking-IDs aus dem Anwendungsbereich fallen könnten. Nach noyb liegt der Vorschlag bei Parlament und Rat. Ob und wie er umgesetzt wird, lässt sich der noyb-Mitteilung nicht entnehmen.

Für den norwegischen Fall spielt das keine Rolle, denn er betrifft den Zeitraum 2018 bis 2020 und die geltende DSGVO. Wird die Entscheidung angefochten und vom Datatilsynet aufrechterhalten, geht sie laut Entscheidungsschreiben an die norwegische Beschwerdekammer für Datenschutz, das Privacy Appeals Board.