Norwegen verhängt DSGVO-Bußgeld gegen Xandr

(openPR) Oslo, 21. Oktober 2026: Die norwegische Datenschutzbehörde Datatilsynet hat gegen Xandr Inc. ein Verwaltungsbußgeld von 8,6 Millionen Euro verhängt. Im Mittelpunkt stehen Daten von Nutzerinnen und Nutzern der Dating-App Grindr, die nach behördlicher Bewertung im Real-Time-Bidding ohne tragfähige Rechtsgrundlage verarbeitet wurden.

Der Bescheid datiert auf den 2. Oktober 2026 und wurde am 12. Oktober 2026 veröffentlicht. Nominal beträgt die Sanktion NOK 92.000.000; nach Angaben von Datatilsynet ist es das bislang höchste Bußgeld der Behörde. Xandr kann nach den vorliegenden Informationen innerhalb von drei Wochen nach Erhalt des Bescheids Einspruch einlegen, sodass die Entscheidung derzeit nicht als rechtskräftig zu behandeln ist.

Datatilsynet beanstandet Datenverarbeitung bei Echtzeitauktionen

Ausgangspunkt des Verfahrens waren Beschwerden des norwegischen Verbraucherrats Forbrukerrådet vom 14. Januar 2020. Sie wurden nach Art. 80 Abs. 1 DSGVO im Namen einer betroffenen Person eingereicht und richteten sich gegen Grindr sowie mehrere Unternehmen aus der Werbetechnologie. Die Xandr betreffende Beschwerde bezog sich ursprünglich auf AppNexus Inc.; Xandr firmiert heute als Microsoft Advertising und wurde 2022 von Microsoft übernommen.

Nach der Bewertung von Datatilsynet ist mit klar überwiegender Wahrscheinlichkeit belegt, dass Xandr im Rahmen des Real-Time-Bidding personenbezogene Daten von Grindr-Nutzerinnen und -Nutzern verarbeitet habe. Erfasst gewesen seien jedenfalls die Information über die Nutzung von Grindr sowie Werbe-IDs und IP-Adressen. Die Behörde ordnete diese Angaben als personenbezogene Daten nach Art. 4 Nr. 1 DSGVO und zugleich als Angaben zur sexuellen Orientierung im Sinne von Art. 9 Abs. 1 DSGVO ein.

Der von der Behörde zugrunde gelegte Zeitraum betrifft nach den vorliegenden Angaben die Verarbeitung vom 20. Juli 2018 bis zum 7. April 2020. Damit lag der maßgebliche Zeitraum vor der Übernahme von Xandr durch Microsoft. Microsoft erklärte nach den vorliegenden Informationen, das beanstandete Verhalten falle in die Zeit vor der Übernahme; außerdem werde die Entscheidung geprüft.

Einwilligungen genügten nach Auffassung der Behörde nicht

Datatilsynet stufte Xandr als gemeinsam Verantwortlichen ein, sowohl in der Rolle als Supply-Side-Plattform als auch als Demand-Side-Plattform. Für besondere Kategorien personenbezogener Daten verlangte die Behörde eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO sowie zusätzlich eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Nach behördlicher Darstellung erfolgte die Weitergabe im Kontext von Echtzeitauktionen an potenziell tausende Unternehmen.

Xandr soll sich auf Einwilligungen gestützt haben, die Grindr von den Nutzerinnen und Nutzern eingeholt haben soll. Datatilsynet hielt diese Einwilligungen jedoch nach Art. 4 Nr. 11 und Art. 7 DSGVO für unwirksam, unter anderem wegen unzureichender Information der Betroffenen. Die Behörde betonte, Rechenschaftspflichten könnten nicht auf andere Beteiligte verlagert werden; jeder gemeinsam Verantwortliche müsse selbst prüfen, ob eine Einwilligung die eigene Verarbeitung abdeckt.

Die Behörde sah Verstöße gegen Art. 6 Abs. 1 DSGVO und Art. 9 Abs. 1 DSGVO und bewertete diese mindestens als fahrlässig. Bei der Zumessung berücksichtigte Datatilsynet insbesondere Art, Schwere und Dauer der Verstöße, den Verantwortungsgrad, die betroffenen Datenkategorien und einen finanziellen Vorteil. Mildernd wurde nach Auswertung des Bescheids unter anderem eine Kooperation durch freiwillige Teilnahme an einem Treffen im Februar 2025 einbezogen.

• Bußgeldhöhe: 8,6 Millionen Euro beziehungsweise NOK 92.000.000.
• Betroffene Verarbeitung: personenbezogene Daten von Grindr-Nutzerinnen und -Nutzern in Norwegen.
• Rechtsfragen: Einwilligung, gemeinsame Verantwortlichkeit und Verarbeitung besonderer Datenkategorien.
• Verfahrensstand: Einspruch ist nach den vorliegenden Informationen noch möglich.

Bedeutung für Unternehmen und Investoren

Die Entscheidung verdeutlicht, dass Datenschutzbehörden datengetriebene Werbemodelle nicht nur bei App-Anbietern, sondern auch bei zwischengeschalteten Technologieunternehmen prüfen. Besonders sensibel sind Konstellationen, in denen aus der Nutzung eines Dienstes Rückschlüsse auf besondere Kategorien personenbezogener Daten möglich sein können. Für Unternehmen mit Plattformmodellen, Werbenetzwerken oder umfangreichen Datenweitergaben kann die Rollenverteilung daher erhebliches Gewicht haben.

Rechtsanwalt Michael Rainer, MTR Legal Rechtsanwälte, ordnet ein: „Unternehmen sollten bei komplexen Datenketten nicht allein auf Zusicherungen anderer Beteiligter vertrauen, sondern die eigene Verantwortlichkeit und die Reichweite von Einwilligungen belastbar prüfen. Für Investoren kann die Entscheidung zudem zeigen, dass Datenschutzrisiken bei datenbasierten Geschäftsmodellen einen unmittelbaren wirtschaftlichen Einfluss haben können.“

Betroffene Unternehmen sollten ihre Datenflüsse, Informationspflichten und Einwilligungsprozesse sorgfältig überprüfen, insbesondere wenn mehrere Anbieter an einer Verarbeitung beteiligt sind. Zu prüfen sind regelmäßig die tatsächliche Rolle der Beteiligten, die Art der Daten, die Transparenz gegenüber betroffenen Personen und die tragende Rechtsgrundlage. MTR Legal Rechtsanwälte berät Unternehmen, Investoren und vermögende Privatpersonen zu datenschutzrechtlichen Fragen im nationalen und internationalen Kontext.

Weitere Informationen: https://www.mtrlegal.com/dsgvo-bussgeld-gegen-xandr-wegen-grindr-daten/