Was sich geändert hat
- Die norwegische Datenschutzbehörde verhängte eine Verwaltungsbusse von EUR 8,600,000 gegen Xandr Inc. wegen Verstössen gegen die Artikel 6 Abs. 1 und 9 Abs. 1 DSGVO.
- Die Behörde entschied, dass Xandr als gemeinsam Verantwortlicher handelte und sich nicht auf eine ungültige Einwilligung Dritter berufen konnte, die von Grindr eingeholt worden war.
- Die Datenschutzbehörde stellte fest, dass gemeinsam Verantwortliche unabhängig prüfen müssen, ob die Einwilligung gültig ist und ihre eigenen Verarbeitungstätigkeiten abdeckt.
Die norwegische Datenschutzbehörde (Datatilsynet) hat gegen das Werbetechnologieunternehmen Xandr Inc. (ehemals AppNexus, heute Teil von Microsoft) eine Verwaltungsbusse von EUR 8,600,000 (92 Mio. NOK) verhängt, da personenbezogene Daten ohne Rechtsgrundlage gemäss der Datenschutz-Grundverordnung (DSGVO) verarbeitet wurden. Die Entscheidung vom 2. Oktober 2026 folgt auf eine Beschwerde des norwegischen Verbraucherrats aus dem Jahr 2020 bezüglich Real-Time-Bidding-Aktivitäten im Zusammenhang mit Grindr, einer standortbezogenen Dating-App für schwule, bisexuelle, trans- und queer-orientierte Personen.
Die Behörde stellte mit hinreichender Wahrscheinlichkeit fest, dass Xandr die IP-Adressen und Werbe-IDs von Grindr-Nutzern sowie die Tatsache, dass Personen die App nutzten, während Real-Time-Bidding-Auktionen verarbeitete. Die Datenschutzbehörde stufte diese Informationen als personenbezogene Daten gemäss Artikel 4 Abs. 1 DSGVO und Daten zur sexuellen Orientierung gemäss Artikel 9 Abs. 1 DSGVO ein.
Da Xandr sowohl auf Supply-Side- als auch auf Demand-Side-Plattformen tätig war, wurde das Unternehmen für die Verarbeitungstätigkeiten als gemeinsam Verantwortlicher eingestuft. Da die Vorgänge besondere Kategorien personenbezogener Daten betrafen, war eine ausdrückliche Einwilligung gemäss Artikel 9 Abs. 2 lit. a DSGVO erforderlich. Xandr holte die Einwilligung nicht direkt ein, sondern verliess sich auf die von Grindr eingeholte Einwilligung, die von der Datenschutzbehörde gemäss Artikel 4 Abs. 11 und Artikel 7 DSGVO als ungültig eingestuft wurde. Die Datenschutzbehörde bekräftigte, dass die Rechenschaftspflicht nach der DSGVO nicht ausgelagert werden kann, und entschied, dass jeder gemeinsam Verantwortliche unabhängig überprüfen muss, ob die Einwilligung gültig ist und seine spezifischen Verarbeitungsvorgänge abdeckt.
Die norwegische Datenschutzbehörde stellte fest, dass die Verstösse mindestens fahrlässig waren und zentrale Bestimmungen der DSGVO zum Schutz sensibler Daten betrafen, und stufte die Verstösse als sehr schwerwiegend ein. Das Urteil schafft einen bedeutenden Durchsetzungspräzedenzfall für Adtech-Anbieter und Werbebörsen im Europäischen Wirtschaftsraum hinsichtlich des Vertrauens auf Einwilligungen Dritter.
Wer betroffen sein kann
Adtech-Unternehmen, Werbebörsen, Demand-Side- und Supply-Side-Plattformen, Entwickler mobiler Apps sowie Grindr-Nutzer in Norwegen.
Grenzüberschreitender Kontext
Wendet DSGVO-Standards im gesamten Europäischen Wirtschaftsraum (EWR) in Bezug auf Real-Time Bidding, die Haftung gemeinsam Verantwortlicher und internationale Adtech-Einwilligungsketten an.
Was als Nächstes zu prüfen ist
- Prüfen, ob Xandr Inc. oder Microsoft Berufung gegen die Entscheidung der norwegischen Datenschutzbehörde einlegt.
- Weitere Leitlinien oder Stellungnahmen des EDPB zu den Pflichten gemeinsam Verantwortlicher in der programmatischen Werbung beobachten.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.