Deutsch · 12. Oktober 2026

Norwegen belegt Microsoft-Tochter Xandr mit einer Geldstrafe von 9,6 Millionen Dollar wegen Missbrauchs von Grindr-Daten

Die norwegische Datenschutzbehörde hat die Adtech-Einheit von Microsoft, Xandr, mit 92 Millionen Kronen bestraft, weil sensible Grindr-Nutzerdaten ohne Zustimmung an Werbetreibende weitergegeben wurden.

Von Hermes-Vector AI Desk · Read in English

Illustration: Norwegen belegt Microsoft-Tochter Xandr mit einer Geldstrafe von 9,6 Millionen Dollar wegen Missbrauchs von Grindr-Daten

Kurz gesagt

Norwegens Datatilsynet belegte Microsofts Xandr mit einer Geldstrafe von 92 Millionen Kronen (9,61 Millionen Dollar) für die Weitergabe sensibler Grindr-Nutzerdaten.
Die Aufsichtsbehörde entschied, dass Xandr die rechtliche Verantwortung gemeinsam mit Grindr trug und Datenschutzpflichten nicht delegieren konnte.
Die Verstöße ereigneten sich zwischen Juli 2018 und April 2020, bevor Microsoft die Einheit übernahm.
Xandr hat drei Wochen Zeit, gegen die Entscheidung Einspruch einzulegen, bei der es sich um die höchste Geldstrafe handelt, die die norwegische Behörde jemals verhängt hat.

Norwegens Datenschutzbehörde, Datatilsynet, hat eine Geldstrafe von 92 Millionen Kronen (9,61 Millionen Dollar) gegen die Werbetechnologie-Einheit von Microsoft, Xandr, verhängt. Die am Montag bekannt gegebene Strafe ist die höchste Geldstrafe, die die norwegische Aufsichtsbehörde jemals verhängt hat. Die Behörde stellte fest, dass Xandr zwischen Juli 2018 und April 2020 unrechtmäßig sensible Daten von Nutzern der Dating-App Grindr an Tausende von Werbetreibenden weitergeleitet hat.

Datenaustausch und rechtliche Verantwortung

Im Zentrum des Falls steht die Nutzung von Real-Time Bidding, einem Prozess, bei dem Werbeflächen in Millisekunden verkauft werden, während ein Nutzer eine App öffnet. Laut Datatilsynet wurden die personenbezogenen Daten von Nutzern in Norwegen, wenn sie Grindr starteten, über Xandr versendet und potenziell mit zahlreichen Unternehmen in der Werbebranche geteilt. Da Grindr Nutzer bedient, die schwul, bisexuell, trans und queer sind, stellte die Aufsichtsbehörde fest, dass allein die Nutzung der App die sexuelle Orientierung einer Person offenlegen könnte. Nach den europäischen Datenschutzregeln handelt es sich hierbei um sensible Daten, die für die Verarbeitung eine ausdrückliche Zustimmung erfordern.

Xandr argumentierte, es sei davon ausgegangen, dass Grindr eine gültige Zustimmung von seinen Nutzern eingeholt habe, und habe dies nicht unabhängig überprüft. Die Aufsichtsbehörde wies diese Verteidigung zurück und entschied, dass Xandr die rechtliche Verantwortung für die Datenschutzverstöße gemeinsam mit Grindr trug. Die Generaldirektorin des Datatilsynet, Line Coll, erklärte: "Die Verantwortung für den Datenschutz kann nicht an andere delegiert werden", und betonte, dass jedes Unternehmen unabhängig sicherstellen muss, dass es eine Rechtsgrundlage für die Nutzung der von ihm beschafften Daten hat.

Reaktion von Microsoft und historischer Kontext

Microsoft erklärte, dass der Datenschutz der Nutzer oberste Priorität habe. In einer Stellungnahme merkte das Unternehmen an: "Diese Untersuchung und Entscheidung konzentrierten sich auf ein Verhalten, das vor der Übernahme von Xandr durch Microsoft lag, und in dieser Zeit haben sich die Interpretation und Anwendung rechtlicher Standards und Praktiken ständig weiterentwickelt. Wir prüfen die Entscheidung und bewerten unsere Optionen."

Die Geldstrafe wurde auf Basis des Umsatzes von Xandr und nicht auf Basis des Umsatzes von Microsoft berechnet, da Microsoft die Einheit zum Zeitpunkt der Verstöße nicht besaß. Xandr hat drei Wochen Zeit, gegen die Entscheidung Einspruch einzulegen. Dieses Urteil folgt auf eine Geldstrafe von 65 Millionen Kronen gegen Grindr im Jahr 2021 wegen ähnlicher Verstöße, die 2025 von norwegischen Gerichten bestätigt wurde.

Präzedenzfall für Adtech-Vermittler

Der Fall resultierte aus einer 2020 eingereichten Beschwerde des norwegischen Verbraucherrats und der österreichischen Datenschutzorganisation noyb. Felix Mikolasch, ein Datenschutzanwalt bei noyb, bezeichnete das Urteil als wichtigen Präzedenzfall, der Adtech-Firmen zu einer größeren Rechenschaftspflicht zwingen könnte. Finn Myrstad, Direktor für digitale Politik beim norwegischen Verbraucherrat, sagte, die Entscheidung setze Unternehmen, die auf Nutzer-Tracking setzen, in Kenntnis.

Die Entscheidung steht im Einklang mit einem jüngsten Urteil in Frankreich, bei dem der Conseil d’Etat eine Geldstrafe von 40 Millionen Euro gegen das Retargeting-Unternehmen Criteo bestätigte und ebenfalls die Behauptung zurückwies, dass Partner-Websites allein für die Einholung der Zustimmung verantwortlich seien. Diese Fälle stellen kollektiv fest, dass Adtech-Vermittler die Schuld für Datenschutzverletzungen nicht auf die Apps schieben können, von denen sie Daten kaufen.

Warum es wichtig ist

Dieses Urteil bekräftigt das Prinzip, dass Datenschutzverantwortlichkeiten innerhalb der Werbekette nicht ausgelagert oder delegiert werden können. Indem die norwegischen Regulierungsbehörden Xandr für Daten zur Rechenschaft ziehen, die es nicht direkt erhoben hat, signalisieren sie, dass Adtech-Vermittler die Zustimmung und die Rechtsgrundlagen für die Verarbeitung sensibler Nutzerinformationen aktiv prüfen müssen. Dies schafft einen bedeutenden Präzedenzfall für die Arbeitsweise globaler Adtech-Unternehmen in Europa und erfordert potenziell strengere Compliance-Prüfungen für Daten, die von Drittanbieter-Apps bezogen werden.

Quellen (auf Englisch)

KI-Übersetzung des englischen Originalartikels, automatisch geprüft, damit sie dasselbe aussagt wie das Original. Die Quellen wurden auf Englisch geprüft.