Norwegische Datenschutzbehörde verhängt 8,6 Millionen Euro Bußgeld gegen Microsoft-Tochter Xandr wegen Grindr-Daten
Die norwegische Datenschutzbehörde hat gegen das Werbetechnologie-Unternehmen Xandr Inc. ein Bußgeld von 8.600.000 Euro verhängt, weil es personenbezogene Daten von Grindr-Nutzern in Norwegen ohne Rechtsgrundlage verarbeitet hat. Laut EDSA stellte die Behörde zudem fest, dass Xandr Daten zur sexuellen Orientierung ohne eine gültige Ausnahme nach der DSGVO verarbeitet hat.
- Die norwegische Datenschutzbehörde hat gegen Xandr Inc. ein Bußgeld von 8.600.000 Euro wegen der Verarbeitung von Grindr-Nutzerdaten in Norwegen verhängt.
- Der Fall begann 2020 mit einer Beschwerde des Norwegischen Verbraucherrats; Xandr hieß damals AppNexus und gehört heute zu Microsoft.
- Die Behörde stellte Verstöße gegen Artikel 6 Absatz 1 und Artikel 9 Absatz 1 DSGVO fest, da sich Xandr auf eine unwirksame Einwilligung von Grindr stützte.
- Nach Ansicht der Behörde lässt sich Rechenschaftspflicht nicht auslagern, jeder gemeinsam Verantwortliche muss die Einwilligung selbst prüfen.
- Die endgültige Entscheidung datiert vom 2. Oktober 2026.
Wie der Fall begann
Der Fall reicht bis ins Jahr 2020 zurück, als der Norwegische Verbraucherrat bei der norwegischen Datenschutzbehörde eine Beschwerde gegen Xandr einreichte. Das Unternehmen hieß damals AppNexus und gehört inzwischen zu Microsoft.
Die Beschwerde betrifft Real-Time-Bidding in Grindr, einer standortbasierten Dating-App für schwule, bisexuelle, trans und queere Menschen. Die endgültige Entscheidung datiert vom 2. Oktober 2026, der EDSA veröffentlichte am 16. Oktober 2026 eine Zusammenfassung.
Was die Behörde festgestellt hat
Die norwegische Datenschutzbehörde sah es mit überwiegender Wahrscheinlichkeit als erwiesen an, dass Xandr beim Real-Time-Bidding personenbezogene Daten von Grindr-Nutzern verarbeitet hat. Dazu gehörten mindestens die Tatsache, dass Personen Grindr nutzten, ihre Werbe-ID und ihre IP-Adressen. Die Behörde stufte diese Angaben als personenbezogene Daten nach Artikel 4 Absatz 1 DSGVO und als Daten zur sexuellen Orientierung nach Artikel 9 Absatz 1 DSGVO ein.
Xandr wurde für die Verarbeitung als gemeinsam Verantwortlicher betrachtet, sowohl als Supply-Side- als auch als Demand-Side-Plattform. Da die Daten besonderen Kategorien angehörten, war die ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a die maßgebliche Rechtsgrundlage.
Xandr holte keine eigene Einwilligung ein. Das Unternehmen stützte sich auf die von Grindr eingeholte Einwilligung, die die Behörde nach Artikel 4 Nummer 11 und Artikel 7 DSGVO als unwirksam ansah. Nach Auffassung der Datenschutzbehörde lässt sich Rechenschaftspflicht nicht auslagern: Jeder gemeinsam Verantwortliche müsse eigenständig prüfen, ob die Einwilligung gültig ist und seine eigene Verarbeitung abdeckt.
Das Bußgeld und seine Begründung
Die Behörde verhängte gegen Xandr Inc. ein Bußgeld von 8.600.000 Euro. Sie stellte zwei Verstöße fest:
- die Verarbeitung personenbezogener Daten von Grindr-Nutzern in Norwegen ohne Rechtsgrundlage, ein Verstoß gegen Artikel 6 Absatz 1 DSGVO;
- die Verarbeitung personenbezogener Daten besonderer Kategorien zur sexuellen Orientierung ohne gültige Ausnahme, ein Verstoß gegen Artikel 9 Absatz 1 DSGVO.
Die Datenschutzbehörde kam zu dem Schluss, dass die Verstöße zumindest fahrlässig begangen wurden. Da sie einige der zentralsten Bestimmungen der DSGVO betreffen, darunter den Schutz sensibler Daten, stuft sie die Verstöße als besonders schwerwiegend ein. In der eigenen Pressemitteilung der norwegischen Behörde wird das Bußgeld mit 92 Millionen norwegischen Kronen angegeben.
Was das für die Ad-Tech-Branche bedeutet
Die Entscheidung unterstreicht, dass sich Unternehmen in der Real-Time-Bidding-Kette nicht einfach auf die Einwilligung verlassen können, die eine App oder ein Publisher eingeholt hat. Laut der Datenschutzbehörde muss jeder gemeinsam Verantwortliche selbst prüfen, ob die Einwilligung gültig ist und seine eigene Verarbeitung abdeckt. Für Werbeplattformen, die sensible Datenkategorien verarbeiten, formuliert die Entscheidung damit die klare Erwartung einer eigenständigen Überprüfung.