Die norwegische Datenschutzaufsicht Datatilsynet hat gegen das Werbetechnikunternehmen Xandr ein Bußgeld von 92 Millionen norwegischen Kronen verhängt. Nach Angaben der Behörde ist es ihr bisher höchstes Bußgeld. Der Bescheid ist noch nicht rechtskräftig: Xandr kann binnen drei Wochen nach Erhalt Beschwerde einlegen.

Im Mittelpunkt stehen Daten von Grindr-Nutzern in Norwegen aus der Zeit von Juli 2018 bis April 2020. Über sogenannte Echtzeitauktionen wurden Informationen im digitalen Werbeökosystem weitergegeben. Die Nutzung von Grindr kann auf die sexuelle Orientierung schließen lassen und betrifft damit eine besonders geschützte Kategorie personenbezogener Daten.

Xandr argumentierte laut Behörde, Grindr sei für die Einwilligung der Nutzer verantwortlich gewesen. Datatilsynet akzeptierte diese Abgrenzung nicht. Xandr habe selbst an der Verarbeitung und Weitergabe mitgewirkt und sei gemeinsam verantwortlich gewesen. Deshalb hätte das Unternehmen eigenständig sicherstellen und belegen müssen, dass eine wirksame Rechtsgrundlage auch die eigene Verarbeitung abdeckt.

Diese Begründung ist für lange Datenketten wichtig. Ein Datenempfänger darf sich bei sensiblen Profilen nicht nur auf die Zusicherung des vorherigen Unternehmens verlassen. Er muss zumindest nachvollziehen können, woher die Daten stammen, für welchen Zweck sie erhoben wurden, welche Einwilligung vorliegt, wer sie erhält und welche eigene Rolle er übernimmt.

Bei der Höhe berücksichtigte die Behörde unter anderem die Schwere, die fast zweijährige Dauer und den wirtschaftlichen Nutzen der Verarbeitung. Microsofts Umsatz floss nach Angaben von Datatilsynet nicht in die Berechnung ein, weil Xandr im betroffenen Zeitraum noch nicht zum Microsoft-Konzern gehörte. Der Kauf wurde erst 2022 abgeschlossen.

Der Fall gilt im Europäischen Wirtschaftsraum, zu dem Norwegen gehört. Er zeigt zunächst die Rechtsauffassung einer Aufsichtsbehörde; eine Beschwerde kann zu weiterer Prüfung führen. Bis dahin ist präzise zwischen dem erlassenen Bescheid und einer endgültigen gerichtlichen Bestätigung zu unterscheiden.

Für Unternehmen ergibt sich eine praktische Prüfkette: Datenart und Herkunft feststellen, eigenen Zweck dokumentieren, die Rechtsgrundlage für die konkrete Verarbeitung nachweisen, Empfänger begrenzen und die Verarbeitung stoppen, wenn dieser Nachweis fehlt. Gerade bei Echtzeitwerbung genügt es nicht, Verantwortung vertraglich an den vorherigen Akteur zurückzureichen.