Die Strafe und was sie abdeckt
Die norwegische Datenschutzbehörde Datatilsynet hat am 12. Oktober gegen Xandr, heute Teil von Microsoft, 92 Millionen NOK verhängt, weil das Unternehmen sensible personenbezogene Daten von Grindr-Nutzern unter Verstoß gegen das Datenschutzrecht verarbeitet und weitergegeben hat.
| Punkt | Einzelheit |
|---|---|
| Bußgeld | 92 Millionen NOK, nach Umrechnung der Behörde rund 8,6 Millionen Euro (noyb nennt 8,5 Millionen, BleepingComputer 9,6 Millionen US-Dollar) |
| Rang | Höchstes Bußgeld, das Datatilsynet bisher verhängt hat |
| Zeitraum | Juli 2018 bis April 2020, fast zwei Jahre |
| Berechnungsgrundlage | Xandrs eigener Jahresumsatz, nicht der von Microsoft |
| Früheres Grindr-Bußgeld | 65 Millionen NOK im Jahr 2021 für gleichartige Verstöße |
| Frist für den Einspruch | Drei Wochen ab Erhalt der Entscheidung |
Xandr nahm als Käufer und Verkäufer am Real-Time-Bidding teil. Öffnete jemand Grindr, wurden seine personenbezogenen Daten in vielen Fällen über Xandr an potenziell tausende Werbetreibende weitergereicht, die darauf boten, der Person eine Anzeige zu zeigen, alles verborgen vor dem Nutzer. Dazu gehörten Angaben, die auf die sexuelle Orientierung schließen lassen. Die Behörde betont, dass solche Angaben besonderen Schutz genießen: Schon die Nutzung von Grindr deutet darauf hin. Das Berufungsgericht Borgarting entschied im Fall des eigenen Grindr-Bußgelds von 65 Millionen NOK für gleichartige Verstöße im Jahr 2021 ebenso.
Warum der Verweis auf Grindrs Einwilligung scheiterte
Datatilsynet kam zu dem Schluss, dass für diese Daten eine ausdrückliche Einwilligung nötig war und Xandr nichts unternommen hatte, um eine gültige Einwilligung sicherzustellen. Xandr verteidigte sich damit, es habe geglaubt, Grindr habe die Einwilligungen der Nutzer eingeholt, doch die Behörde akzeptiert nicht, dass Unternehmen die Verantwortung einfach hin- und herschieben.
Die Behörde stufte Xandr als gemeinsam Verantwortlichen mit Grindr ein, weshalb die Pflicht zu einer Rechtsgrundlage bei Xandr selbst lag. Generaldirektorin Line Coll formulierte das Prinzip klar: Verantwortung für den Datenschutz lasse sich nicht abgeben, und jedes Unternehmen müsse selbst sicherstellen und belegen können, dass es personenbezogene Daten rechtmäßig verarbeitet.
Angaben zum Sexualleben oder zur sexuellen Orientierung gehören zu den besonderen Kategorien des Artikels 9 DSGVO, deren Verarbeitung verboten ist, sofern keine Ausnahme greift. Zwei Umstände erhöhten das Bußgeld: Die Praxis dauerte fast zwei Jahre, und Xandr zog aus der unzulässigen Weitergabe einen unmittelbaren finanziellen Vorteil.
Was Microsoft sagt und was noyb ergänzt
Microsoft erklärte gegenüber BleepingComputer, die Untersuchung und ihr Ergebnis beträfen ein Verhalten, das vor der Übernahme von Xandr liege, Rechtsrahmen und ihre Durchsetzung hätten sich seither geändert, und man prüfe die Entscheidung und die Optionen. Xandr firmiert heute als Microsoft Advertising.
Die Behörde berechnete den Betrag nach Xandrs eigenem Gesamtjahresumsatz und nicht nach dem von Microsoft, weil Xandr im fraglichen Zeitraum nicht zu Microsoft gehörte. Dennoch liegt das Bußgeld jetzt bei einem Unternehmen in Microsoft-Besitz, eine Erinnerung daran, dass die Datenhistorie mit dem gekauften Unternehmen mitwandert.
noyb, das die ursprüngliche Beschwerde 2020 gemeinsam mit dem Norwegischen Verbraucherrat einreichte, nennt die Entscheidung einen schweren Schlag für die Online-Werbung. Außerdem argumentiert es, der Digital-Omnibus-Vorschlag der Europäischen Kommission, der derzeit in Parlament und Rat besprochen wird, würde Online-Tracking-Kennungen nach starkem Lobbying der Big Tech aus dem Anwendungsbereich der DSGVO nehmen. Das ist noybs Lesart des Vorschlags, keine Aussage der Kommission.
Eine Prüfgewohnheit für alle, die Daten erhalten
Die praktische Lehre lautet: Die Aussage eines Partners, es gebe eine Einwilligung, ist eine Behauptung, die man prüfen muss, und die Prüfung liegt bei Ihnen.
Die Entscheidung betrifft Werbetechnik, doch ihre Begründung passt auf jedes Unternehmen, das personenbezogene Daten über eine Werbeplattform, ein SDK, einen Lead-Partner oder eine gekaufte Liste erhält. Die Tabelle ist Servolas Vorschlag, das Prinzip anzuwenden, und kein Wortlaut der Entscheidung.
| Woher Sie personenbezogene Daten erhalten | Was zu prüfen ist | Welche Belege zu behalten sind |
|---|---|---|
| Werbeplattform oder SDK-Feed | Welche Einwilligung der Absender eingeholt hat und ob ihr Wortlaut Ihre Nutzung abdeckt | Der Einwilligungstext und die schriftliche Bestätigung der Plattform |
| Lead- oder Listenpartner | Ob jede Person zugestimmt hat, von Ihnen kontaktiert zu werden | Eine Stichprobe der Einwilligungsnachweise und die Vertragsklausel zur Rechtsgrundlage |
| Tags und Pixel auf Ihrer eigenen Website | Was jeder Anbieter mit Besucherdaten macht und ob Ihr Banner es abdeckt | Die Anbieterliste und das Einwilligungsprotokoll mit Datum |
Behandeln Sie jeden Feed, der Gesundheit, Überzeugungen oder sexuelle Orientierung offenlegen könnte, als Daten nach Artikel 9 und prüfen Sie, bevor der erste Datensatz genutzt wird. Eine einzige ungeprüfte Quelle kann alles Nachgelagerte zum Verstoß machen.
Weiterlesen: Google wurde für fehlende Nachweise bestraft | Twitch trainiert Amazons KI standardmäßig mit deinen Streams
