Norwegen bestraft Microsoft-Tochter Xandr mit 9,6 Millionen Dollar wegen Datenschutzverletzungen im Zusammenhang mit Grindr

Das norwegische Datenschutzregulierungsbehörde hat Microsofts Werbe-Tochter Xandr mit einer Geldstrafe in Höhe von 92 Millionen Kronen (9,6 Millionen US-Dollar) belegt, weil sie sensible Daten von Grindr-Nutzern ohne rechtliche Grundlage an Werbetreibende weitergegeben hat. Die Strafe ist die höchste, die die Behörde jemals gegen ein Unternehmen verhängt hat.

Die norwegische Aufsichtsbehörde Datatilsynet, die hinter der Entscheidung steht, behauptete, dass die betroffenen Daten Informationen enthalten könnten, die auf die sexuelle Orientierung der Nutzer hinweisen. Die endgültige Entscheidung schließt einen Fall, der in Norwegen seit über sechs Jahren anhält.

Wie Grindr-Daten an Tausende Bieter gelangten

Der Fall betrifft das Real-Time-Bidding, ein Prozess, bei dem Werbeflächen in Millisekunden verkauft werden, während ein Nutzer eine App öffnet. Wenn eine Person die Grindr-App in Norwegen startete, wurden ihre persönlichen Daten über Xandr gesendet und möglicherweise mit Tausenden von Unternehmen und Firmen der Werbebranche geteilt, so die Datatilsynet. Diese Unternehmen bewarben sich dann darum, dem Nutzer gezielte Werbung auszuspielen.

Da sich Grindr an schwule, bisexuelle, transgeschlechtliche und queere Nutzer richtet, betrachtete die Aufsichtsbehörde allein die Nutzung der App als ausreichend, um auf die sexuelle Orientierung einer Person schließen zu können. Nach den europäischen Datenschutzvorschriften handelt es sich dabei um sensible Daten, für deren Verarbeitung eine ausdrückliche Einwilligung erforderlich ist.

Die norwegische Behörde stellte fest, dass Xandr die erforderliche Einwilligung nicht eingeholt hatte. Sie urteilte zudem, dass das Unternehmen die Verantwortung für den Umgang mit den Daten gemeinsam mit Grindr trägt und nicht lediglich als Vermittler agierte. Der direkte finanzielle Vorteil von Xandr aus der Datenteilung war ein weiterer entscheidender Faktor bei der Bemessung eventueller Geldbußen.

Die Schuldzuweisung an die App hielt nicht stand

Xandr argumentierte, es sei davon ausgegangen, dass Grindr bereits eine gültige Einwilligung seiner Nutzer eingeholt habe – ein Argument, das von der Aufsichtsbehörde abgelehnt wurde.

„Die Verantwortung für den Datenschutz kann nicht an andere delegiert werden“, erklärte Line Coll, Generaldirektorin von Datatilsynet, in der Erklärung der Behörde, wie von Tech Xplore zitiert. Die Direktorin betonte, dass jedes Unternehmen eigenständig sicherstellen und nachweisen muss, dass es eine Rechtsgrundlage für die Nutzung der von ihm beschafften Daten hat.

Coll erklärte, die Verstöße seien besonders schwerwiegend und wies darauf hin, dass sensible persönliche Daten von Tausenden norwegischer Nutzer illegal weitergegeben wurden. Der Datenaustausch fand zwischen Juli 2018 und April 2020 statt, bevor Microsoft das damals als AppNexus bekannte Unternehmen übernahm, berichtete PPC Land. Xandr hat nun drei Wochen Zeit, das Urteil in einer Berufung anzufechten.

Die norwegische Entscheidung folgt einem ähnlichen Fall in Frankreich Anfang 2026, in dem der Conseil d’Etat eine Geldstrafe von 40 Millionen Euro gegen das Retargeting-Unternehmen Criteo aufrechterhielt und dessen Argument zurückwies, die Partner-Websites seien für das Einholen der Einwilligung verantwortlich. Die beiden Entscheidungen verdeutlichen klar, dass Unternehmen weiterhin für den Datenschutz verantwortlich sind und sich nicht darauf verlassen können, dass Partner die Einwilligung der Nutzer einholen.

Eine Beschwerde, die seit 2020 in Norwegen läuft

Die Beschwerde wurde im Jahr 2020 vom Norwegian Consumer Council und der Datenschutzgruppe noyb wegen der Datenweitergabepraktiken von Grindr eingereicht. Sie war eine von drei Beschwerden, die in jenem Jahr eingereicht wurden und sich sowohl gegen den Umgang der App mit Benutzerdaten richteten als auch gegen die AdTech-Unternehmen, die diese Daten erhielten.

Felix Mikolasch, Datenschutzanwalt bei noyb, sagte, die Entscheidung könnte zu mehr Rechenschaftspflicht von Adtech-Unternehmen wie Xandr führen, deren Aktivitäten oft weitgehend unbemerkt und unsichtbar für die Öffentlichkeit bleiben. Er bezeichnete die Entscheidung als wichtiges Präzedenzfall für ähnliche Fälle in einer Erklärung der Gruppe.

Finn Myrstad, Direktor für digitale Politik beim norwegischen Verbraucherrat, erklärte, dass die Entscheidung Unternehmen, die auf User-Tracking angewiesen sind, eine Warnung darstellt. Das neueste Urteil folgt auf eine ähnliche Strafe in Norwegen gegen Grindr. Im Jahr 2025 bestätigten die Gerichte des Landes eine Geldstrafe von 65 Millionen Kronen gegen die App wegen der illegalen Weitergabe sensibler personenbezogener Daten der Nutzer.

Die Strafe richtet sich gegen ein Unternehmen, das laut GuruFocus einen Wert von rund 3,97 Billionen US-Dollar aufweist. Allerdings hat noyb auch gewarnt, dass der Präzedenzfall seinen gewünschten Effekt verlieren könnte, wenn der von der Europäischen Kommission vorgeschlagene Digital Omnibus die Behandlung von Online-Tracking-IDs im Rahmen der DSGVO schwächen würde. Diese Vorschläge werden derzeit vom Europäischen Parlament und dem Rat geprüft.

Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.