Ausgabe

Dies ist eine dauerhafte Ausgabe. Sie enthält das Briefing genau so, wie es an diesem Tag veröffentlicht wurde, und ändert sich nicht.

Norwegische Datenschutzbehörde verhängt 8,6 Millionen Euro Bußgeld gegen Microsofts Xandr wegen unrechtmäßiger Grindr-Datenweitergabe

Bußgeld: 92 Millionen norwegische Kronen

Die norwegische Datenschutzbehörde hat ihr bisher höchstes Bußgeld verhängt und den Werbedienst Xandr von Microsoft mit 92 Millionen norwegischen Kronen, umgerechnet 8,6 Millionen Euro, belegt. Die Strafe wurde wegen der unrechtmäßigen Verarbeitung und Weitergabe sensibler personenbezogener Daten, einschließlich der sexuellen Orientierung, von Grindr-Nutzern in Norwegen durch Xandr verhängt. Die Aufsichtsbehörde betonte, dass Unternehmen ihre Datenschutzpflichten nicht delegieren können.

Die norwegische Datenschutzbehörde (die norwegische DPA) hat gegen Xandr, einen zu Microsoft gehörenden Werbedienst, ein Bußgeld in Höhe von 92 Millionen norwegischen Kronen (8,6 Millionen Euro) verhängt. Dies ist das höchste Bußgeld, das die norwegische DPA jemals verhängt hat. Die Durchsetzungsmaßnahme resultiert aus der Verarbeitung und Weitergabe sensibler personenbezogener Daten, insbesondere Informationen, die die sexuelle Orientierung von Grindr-Nutzern in Norwegen offenbaren, an potenziell Tausende anderer Unternehmen durch Xandr. Die Verteidigung von Xandr, die angab, davon ausgegangen zu sein, dass Grindr die Einwilligung der Nutzer eingeholt hatte, wurde von der norwegischen DPA zurückgewiesen. Generaldirektorin Line Coll erklärte, dass die Verantwortung für den Datenschutz nicht weitergegeben werden kann; jedes Unternehmen muss sicherstellen und dokumentieren, dass es personenbezogene Daten rechtmäßig verarbeitet. Der Fall verdeutlicht die Undurchsichtigkeit des Werbe-Ökosystems für Einzelpersonen und die praktische Wertlosigkeit von Nutzerrechten, wenn Unternehmen die Verantwortung scheuen. Die Untersuchung begann im Jahr 2020 nach einer Beschwerde des norwegischen Verbraucherrats.

Aufsichtsbehörden befassen sich aufgrund seiner Komplexität, des Umfangs der verarbeiteten sensiblen Daten und der Schwierigkeit für Einzelpersonen, die Nutzung ihrer Daten zu verstehen und zu kontrollieren, immer wieder mit dem Adtech-Ökosystem.

Originaltitel: Datatilsynet gir Microsoft-selskap 92 millioner i gebyr

Verwaltungsbußgeld der norwegischen Datenschutzbehörde

Wen das bindet
Xandr, nach norwegischem Datenschutzrecht, das die DSGVO umsetzt. Die Entscheidung der Aufsichtsbehörde ist für das genannte Unternehmen bindend.
Was sich geändert hat
Xandr unterliegt nun einem Bußgeld von 92 Millionen norwegischen Kronen wegen unrechtmäßiger Verarbeitung und Weitergabe sensibler personenbezogener Daten.
Was zu prüfen ist
Überprüfen Sie Ihre Datenverarbeitungsverträge und Due-Diligence-Prozesse für Datenquellen Dritter, insbesondere in der Adtech-Kette, um sicherzustellen, dass die explizite Verantwortung für die Einwilligung und die rechtmäßige Verarbeitung klar zugewiesen und dokumentiert ist.
Was das nicht bedeutet
Dies bedeutet nicht, dass alle programmatische Werbung unrechtmäßig ist, aber es bekräftigt die strengen Anforderungen an die Verarbeitung sensibler personenbezogener Daten und die Notwendigkeit einer klaren Rechenschaftspflicht innerhalb der Adtech-Lieferkette.

An Ihr Team weiterleiten

Die norwegische Datenschutzbehörde hat Microsofts Xandr mit 8,6 Millionen Euro belegt, weil es sensible personenbezogene Daten von Grindr-Nutzern unrechtmäßig weitergegeben hat, was unterstreicht, dass Unternehmen die Verantwortung für die Sicherstellung einer rechtmäßigen Datenverarbeitung nicht delegieren können.

Die Frage des Tages

Ein Werbedienstleister wurde von der norwegischen Datenschutzbehörde mit einer hohen Geldstrafe belegt, weil er sensible personenbezogene Daten unrechtmäßig verarbeitet und weitergegeben hat. Der Werbedienstleister verteidigte sich damit, dass er davon ausgegangen sei, dass der Datenverantwortliche die Einwilligung der Nutzer eingeholt habe. Welches Prinzip wurde durch die Ablehnung dieser Verteidigung durch die Aufsichtsbehörde unterstrichen?

  1. Jedes Unternehmen ist für die rechtmäßige Verarbeitung personenbezogener Daten verantwortlich und muss dies dokumentieren.
  2. Die Einwilligung der Nutzer ist die einzige Rechtsgrundlage für die Verarbeitung sensibler personenbezogener Daten.
  3. Werbedienstleister sind von der Haftung befreit, wenn sie als Auftragsverarbeiter handeln.
  4. Die Höhe der Geldbuße hängt direkt von der Anzahl der betroffenen Personen ab.

Diese Frage auf der Website beantworten

Ebenfalls wissenswert

  1. noybs Jahresbericht 2025 hebt den Fokus auf Sammelklagen und KI-Beschwerden hervor

    Organisationen, die personenbezogene Daten in Österreich verarbeiten, sollten sich auf mögliche Sammelklagen von noyb vorbereiten, insbesondere wenn sie Kreditauskunfteien wie CRIF sind.

  2. Spanische DPA verhängt 100.000 Euro Bußgeld gegen Securitas Direct wegen Behinderung der Ausübung von Betroffenenrechten

    Verantwortliche müssen sicherstellen, dass alle zur Ausübung von Betroffenenrechten bereitgestellten Kanäle, insbesondere die explizit ausgewiesenen, kostenlos sind, wie das Bußgeld der spanischen DPA gegen Securitas Direct hervorhebt.

  3. Karaoke-Riese Daiichi Kosho meldet Datenpanne, die acht Millionen Kunden betrifft

    Organisationen müssen robuste Sicherheitsmaßnahmen und Incident-Response-Pläne auf ihre Drittanbieter ausweiten, da ein Verstoß bei einem Anbieter Kundendaten und den Ruf direkt beeinträchtigen kann, wie bei Daiichi Kosho zu sehen ist.

  4. Niederländische AP warnt vor dem Filmen anderer mit Kamerabrillen

    Organisationen sollten ihre Richtlinien zu tragbaren Kamerageräten überprüfen und klare Verbote in öffentlich zugänglichen Bereichen oder am Arbeitsplatz in Betracht ziehen, um Datenschutzverletzungen zu verhindern, wie von der niederländischen AP empfohlen.

  5. Future of Privacy Forum gibt europäische Preisträger 2026 bekannt

    Die FPF-Auszeichnungen würdigen wichtige Akteure wie den Europäischen Datenschutzbeauftragten und zeigen den anhaltenden Einfluss von Aufsichtsbehörden auf die Gestaltung europäischer Datenschutzstandards.

An jenem Morgen aus Behörden, Gerichts und Aufsichtsquellen zusammengestellt. Primärquellen sind bei jeder Meldung verlinkt.