DSGVO-Bußgeld für Xandr: Wer Daten bekommt, haftet mit
Norwegens Datenschutzbehörde hat gegen das Werbetechnologieunternehmen Xandr ein Bußgeld von 8,6 Millionen Euro verhängt. Es ist die höchste Strafe, die die Behörde je ausgesprochen hat. Bemerkenswert ist weniger die Summe als der Grund: Xandr hatte sich auf die Einwilligung eines anderen berufen und nicht selbst geprüft.
Was tatsächlich passiert ist
Die norwegische Datenschutzaufsicht Datatilsynet hat mit Entscheidung vom 2. Oktober 2026 gegen Xandr Inc., früher AppNexus und heute Teil von Microsoft, ein Verwaltungsbußgeld von 8,6 Millionen Euro verhängt, umgerechnet 92 Millionen Kronen. Auslöser war eine Beschwerde des norwegischen Verbraucherrats aus dem Jahr 2020.
Gegenstand ist das Real-Time-Bidding in der Dating-App Grindr, bei dem Werbeplätze in Millisekunden automatisiert versteigert werden. Xandr verarbeitete dabei personenbezogene Daten norwegischer Nutzer, mindestens die Tatsache der App-Nutzung, die Werbe-ID und die IP-Adresse. Die Behörde stufte die bloße Information, dass jemand Grindr nutzt, als Datum zur sexuellen Orientierung und damit als besondere Kategorie nach Art. 9 DSGVO ein.
Xandr berief sich nach den Feststellungen auf die von Grindr eingeholte Einwilligung. Diese war jedoch unwirksam und deckte die Verarbeitung durch Xandr nicht ab. Die Behörde ordnete Xandr sowohl als Supply-Side- als auch als Demand-Side-Plattform als gemeinsam Verantwortlichen ein und stellte fest, dass jeder gemeinsam Verantwortliche eigenständig prüfen muss, ob eine Einwilligung wirksam ist und die eigene Verarbeitung trägt. Bereits 2021 hatte dieselbe Behörde gegen Grindr ein Bußgeld von 65 Millionen Kronen verhängt.
Meine Einordnung
Der Satz „die Einwilligung haben wir uns vom Partner zusichern lassen" ist in der Praxis der Klassiker, an dem Datenschutzprojekte scheitern. Xandr hat genau das getan und wurde dafür bestraft. Was die Behörde hier klarstellt, ist unbequem, aber konsequent: Eine Vertragsklausel, in der der Gegenüber versichert, alles sei rechtmäßig, entbindet niemanden von der eigenen Prüfpflicht. Kontrolle ist nicht einholbar. Wer Daten in seine Systeme bekommt, muss wissen, woher sie kommen, und selbst belegen können, dass die Rechtsgrundlage trägt.
Der zweite Punkt ist der, den viele unterschätzen: dass der Kontext allein schon eine besonders geschützte Angabe offenbart. Wer eine Dating-App für queere Menschen nutzt, gibt damit etwas über sich preis, auch wenn technisch nur eine Werbe-ID übertragen wird. Dieselbe Logik gilt für Apps und Websites rund um Gesundheit, Religion oder Gewerkschaft. Ich sehe in Mandaten regelmäßig Werbe- und Analysetools, deren Einsatz niemand rechtlich bewertet hat, weil „das macht ja die Agentur". Genau dort entsteht das Risiko.
Für den Mittelstand übersetze ich den Fall so: Jedes SDK und jeder Werbepartner, der Daten aus Ihrer Website oder App erhält, ist ein potenziell gemeinsamer Verantwortlicher. Wer das nicht sauber dokumentiert, weiß im Streitfall nicht, wer wofür haftet, und kann nicht nachweisen, dass Einwilligungen überhaupt gültig erteilt wurden. Das plakative Consent-Banner ändert daran nichts, solange dahinter keine Inventur steht.
Was Sie jetzt konkret tun können
1. Werkzeuge erfassen. Listen Sie alle Cookies, Pixel, SDKs und Werbepartner auf, die auf Website und in Apps eingesetzt werden, jeweils mit den Daten, die sie erhalten.
2. Kontext prüfen. Bewerten Sie, ob Ihre Anwendung selbst schon eine besondere Kategorie nahelegt. Dann gilt die ausdrückliche Einwilligung oder die Verarbeitung ist unzulässig.
3. Einwilligungen belegen. Für jede von Dritten erhaltene Einwilligung sollten Sie nachweisen können, wie sie eingeholt wurde und dass sie genau Ihre Verarbeitung abdeckt.
4. Rollen klären. Schließen Sie mit allen Partnern, die über Zwecke und Mittel mitentscheiden, eine Vereinbarung über die gemeinsame Verantwortlichkeit; bei reinen Dienstleistern einen Auftragsverarbeitungsvertrag.
5. Zuständigkeiten festlegen. Benennen Sie intern, wer neue Tools freigibt und die Prüfung dokumentiert — bevor eingebunden wird, nicht danach.
Wenn Sie unsicher sind, welche Tools bei Ihnen eine besondere Kategorie berühren, ist eine Standortbestimmung sinnvoll. Ein Datenschutz-Audit bringt hier schneller Klarheit als monatelanges Nachbessern im Betrieb. Wenn Sie dauerhaft jemanden brauchen, der die Aufsicht über solche Fragen führt, finden Sie mehr zum externen Datenschutzbeauftragten. Rechtsberatung im Einzelfall ersetzt das nicht — die Zulässigkeit konkreter Verarbeitungen gehört in die Hände einer Kanzlei.
Quellen
- Datatilsynet (Norwegen), „Microsoft company fined NOK 92 million for unlawfully sharing personal data", Entscheidung vom 02.10.2026 — https://www.datatilsynet.no/en/news/news-2026/microsoft-company-fined-nok-92-million-for-unlawfully-sharing-personal-data/
- DPO Workspace, „Norwegen: 8,6 Millionen Euro Bußgeld gegen Xandr (Microsoft) – die Einwilligung bei Grindr deckte die Werbeauktionen nicht", 15.10.2026 — https://www.dpoworkspace.eu/de/news/norvegia-datatilsynet-xandr-8-6-milioni-grindr-real-time-bidding-consenso-contitolare
Häufige Fragen
Was bedeutet „gemeinsam Verantwortlicher"?
Zwei oder mehr Stellen entscheiden gemeinsam über Zwecke und Mittel einer Verarbeitung. Dann haftet nicht nur einer, sondern jeder für die Einhaltung der DSGVO — auch wenn er sich auf die Einwilligung eines anderen stützt.
Reicht es, sich die Einwilligung vom Partner zusichern zu lassen?
Nein. Die Entscheidung zeigt, dass jeder Verantwortliche die Einwilligung eigenständig prüfen muss. Eine Vertragszusicherung ersetzt diese Prüfung nicht.
Betrifft das nur Werbenetzwerke?
Nein. Die Logik gilt überall dort, wo mehrere Stellen gemeinsam Daten verarbeiten — etwa beim gemeinsamen Betrieb von Kundenportalen oder bei geteilter Webanalyse über verbundene Unternehmen hinweg.
Eigene Einordnung, keine Rechtsberatung. Quellen: Datatilsynet (Norwegen), „Microsoft company fined NOK 92 million for unlawfully sharing personal data", Entscheidung vom 02.10.2026 — https://www.datatilsynet.no/en/news/news-2026/microsoft-company-fined-nok-92-million-for-unlawfully-sharing-personal-data/ · DPO Workspace, „Norwegen: 8,6 Millionen Euro Bußgeld gegen Xandr (Microsoft) – die Einwilligung bei Grindr deckte die Werbeauktionen nicht", 15.10.2026 — https://www.dpoworkspace.eu/de/news/norvegia-datatilsynet-xandr-8-6-milioni-grindr-real-time-bidding-consenso-contitolare