Seit 2022 gehört das Adtech-Unternehmen Xandr zu Microsoft. Nun hat die norwegische Datenschutzbehörde, Datatilsynet, gegen Xandr ein Bußgeld in Höhe von 8,6 Millionen Euro ausgesprochen. Hintergrund ist die unzulässige Verarbeitung personenbezogener Daten. Xandr fungierte als Vermittler und gab Daten von Grindr-Nutzern in Norwegen an potenziell zahlreiche weitere Unternehmen weiter. Dazu gehörten nach Angaben der Behörde auch Informationen, aus denen sich Rückschlüsse auf die sexuelle Orientierung der Nutzer ziehen ließen.
Rechtskräftig ist der Bescheid noch nicht. Xandr argumentiert soweit, davon ausgegangen zu sein, dass Grindr die erforderlichen Einwilligungen eingeholt habe. Entscheidend ist jedoch: Verarbeitet Xandr die Daten für eigene Zwecke, trägt das Unternehmen auch eine eigene datenschutzrechtliche Verantwortung.
Echtzeit-Auktion mit personenbezogenen Daten
Der Fall geht auf eine Beschwerde des norwegischen Verbraucherschutzverbands gegen das Werbetechnologieunternehmen Xandr aus dem Jahr 2020 zurück.
Die norwegische Datenschutzbehörde kam nun zu dem Ergebnis, dass Xandr mit hoher Wahrscheinlichkeit personenbezogene Daten von Grindr-Nutzern verarbeitet hat. Dazu gehörten insbesondere die Information über die Nutzung von Grindr sowie Werbe-IDs und IP-Adressen. Grindr ist eine standortbasierte Dating-App, die sich vorrangig an schwule, bisexuelle, transsexuelle und queere Menschen richtet. Somit kann bereits die Nutzung der App Rückschlüsse auf die sexuelle Orientierung zulassen.
Die Verarbeitung erfolgte im Rahmen des sogenannten Real-Time-Bidding (RTB). Dabei übermitteln Webseiten und Apps personenbezogene Daten über Nutzer an Werbeplattformen. Werbetreibende können so anschließend automatisiert und innerhalb von Sekundenbruchteilen darum bitten, ihre Werbung anzeigen zu dürfen.
Dieses Verfahren ermöglicht stark personalisierte Werbung. Gleichzeitig werden dabei personenbezogene Daten in komplexen Werbenetzwerken an zahlreiche Beteiligte weitergegeben. Gerade bei sensiblen Daten kann dies erhebliche datenschutzrechtliche Risiken mit sich bringen.
Verarbeitung besonderer Kategorien personenbezogener Daten
Daten über das Sexualleben oder die sexuelle Orientierung gehören zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Ihre Verarbeitung ist nur unter den engen Voraussetzungen des Art. 9 Abs. 2 DSGVO zulässig. Im vorliegenden Fall kam insbesondere eine ausdrückliche Einwilligung der betroffenen Personen in Betracht.
Die norwegische Datenschutzbehörde geht davon aus, dass Xandr für die Verarbeitung jedenfalls mitverantwortlich war. Das Unternehmen ist im digitalen Werbehandel sowohl auf Anbieter- als auch auf Nachfrageseite eingebunden und verarbeitete die von Grindr übermittelten Daten für eigene Werbezwecke weiter.
Dass Grindr eine Einwilligung seiner Nutzer eingeholt hatte, reichte aus Sicht der Behörde nicht aus. Eine Einwilligung für die Nutzung der Dating-App lässt sich nicht automatisch auf weitere Verarbeitungen durch Xandr übertragen. Die Zwecke, die durch Xandr bei der Datenverarbeitung verfolgt werden, sind von den Zwecken der Dating-App zu trennen und erfordern somit eine eigene zulässige Rechtsgrundlage.
Nach Auffassung der Behörde hätte Xandr daher sicherstellen müssen, dass für die Verarbeitung der sensiblen Daten eine wirksame ausdrückliche Einwilligung vorlag. Entsprechende Maßnahmen habe das Unternehmen jedoch nicht getroffen.
„Sensible“ Daten können schneller betroffen sein als gedacht
Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nach Art. 9 DSGVO grundsätzlich untersagt, aber nicht ausnahmslos. Art. 9 Abs. 2 DSGVO enthält eigene Erlaubnistatbestände, etwa für Beschäftigung, Gesundheitsvorsorge oder Arbeitsmedizin. Eine ausdrückliche Einwilligung ist daher nicht in jedem Fall erforderlich. Entscheidend ist, ob die Verarbeitung für einen klar bestimmten Zweck erforderlich ist und eine der Voraussetzungen des Art. 9 Abs. 2 DSGVO greift.
Für Unternehmen wichtig: Besondere Kategorien können auch dann betroffen sein, wenn dies zunächst nicht offensichtlich erscheint. Aus Nutzungsverhalten, Profilen oder Kombinationen verschiedener Informationen können sich etwa Rückschlüsse auf Gesundheit, Biometrie oder sexuelle Orientierung ergeben.
Die Höhe des Bußgelds von 8,6 Millionen Euro begründet die norwegische Datenschutzbehörde auch mit der erforderlichen Wirksamkeit, Verhältnismäßigkeit und Abschreckungswirkung. Zudem berücksichtigte sie, dass Xandr als großes Adtech-Unternehmen mit der Verarbeitung personenbezogener Daten wirtschaftlich profitiert und aus der beanstandeten Weitergabe einen direkten finanziellen Vorteil gezogen habe.
Fazit
Datenverarbeitungen zu Werbezwecken sind besonders anspruchsvoll, wenn personenbezogene Daten aus Drittquellen stammen. Fehlt eine tragfähige Rechtsgrundlage oder bleibt die Weitergabe für Betroffene intransparent, lässt sich der Weg der Daten kaum nachvollziehen. Das gilt umso mehr, wenn Daten aus sensiblen Kontexten wie einer Dating-App in personalisierte Werbung einfließen.
Gerade bei besonderen Kategorien personenbezogener Daten sollten Werbetreibende deshalb Herkunft, Zweck und Rechtsgrundlage jeder Verarbeitung sorgfältig prüfen. In unserem Beitrag vom 25. August stellen wir einen weiteren Fall der norwegischen Datenschutzbehörde Datatilsynet vor, der ebenfalls den Datenschutz im Marketing betrifft.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
