Datenschutzverstoß: Hohe Strafe für Microsoft-Tochter Xandr

Der Fall ist von großer internationaler Bedeutung: Darf ein Unternehmen Daten weiterverarbeiten, die ein anderes Unternehmen rechtswidrig weitergegeben hat? Die zumindest vorläufige Antwort ist ein klares Nein. 92 Millionen norwegische Kronen muss die heutige Microsoft-Tochter Xandr als Geldbuße bezahlen – das hat Norwegens Datenschutzaufsichtsbehörde festgesetzt. Rechtskräftig ist der Bescheid noch nicht: Xandr kann binnen drei Wochen nach Erhalt Einspruch einlegen.

Xandr hatte personenbezogene Daten verarbeitet, die über die App des Gay-Dating-Dienstes Grindr erhoben worden waren. Dazu gehörten etwa solche zur sexuellen Orientierung, die unter der Datenschutzgrundverordnung (DSGVO) der Kategorie besonders schützenswerter Daten zugehörig sind. Xandr ist ein Adtech-Unternehmen, das AT&T Ende 2021 an Microsoft verkauft hat; abgeschlossen wurde der Kauf im Juni 2022. Weil der Fall vor dem Kauf Xandrs durch Microsoft lag, wurde bei der Bußgeldberechnung nur der damalige Xandr-Umsatz als Maßstab angelegt.

Die norwegische Datenschutzaufsicht Datatilsynet hatte bereits im Ursprungsfall Grindr bemerkenswerte Bußgelder verhängt. Im aktuellen Fall seien „tausende Nutzer in Norwegen“ von dem „sehr ernsthaften“ Vorgang betroffen gewesen. Xandr habe unmittelbar Profit aus diesen Daten gezogen. „Die Verantwortlichkeit für Datenschutz kann nicht ausgelagert werden“, heißt es unzweideutig in einer Mitteilung der Datatilsynet. Jedes Unternehmen müsse die Rechtmäßigkeit der vorgenommenen Datenverarbeitungen für sich prüfen und verantworten. Xandr habe als Onlineauktionator von personenbezogenen Daten für Werbezwecke versucht, die Verantwortung auf Grindr abzuwälzen, was aber unzulässig sei. Der für Endnutzer undurchsichtige Werbemarkt sei dabei ein zusätzliches Problem, so die norwegischen Datenschützer.

Gegen Grindr, Xandr (damals AppNexus) und vier weitere Adtech-Unternehmen hatten der norwegische Verbraucherrat (Forbrukerrådet) und die zivilgesellschaftliche österreichische Datenschutz-Organisation NOYB Beschwerde bei der norwegischen Datenschutzaufsicht eingelegt. Norwegen gehört zwar nicht zur Europäischen Union, aber zum Europäischen Wirtschaftsraum (EWR). Dort gilt die DSGVO seit dem 20. Juli 2018 ebenfalls.