Die norwegische Datenschutzaufsichtsbehörde hat ein Datenschutzverfahren gegen Xandr, ein Werbetechnologie-Unternehmen im Besitz von Microsoft, mit einer erheblichen Geldbusse von 8,6 Millionen Euro abgeschlossen. Den Ermittlungen zufolge verarbeitete Xandr bis zum Jahr 2020 Nutzerdaten aus der schwulen Dating-App Grindr ohne angemessene rechtliche Grundlage.
Der Fall offenbart ein klassisches Datenschutzproblem im digitalen Werbeökosystem: Xandr hatte Zugriff auf sensible Informationen über Grindr-Nutzer, die über Tracking-Technologien gesammelt wurden. Diese Daten wurden dann für Werbezwecke verwendet, ohne dass die Nutzer dem ausdrücklich und informiert zugestimmt hatten. Besonders problematisch war die Verarbeitung sensibler Daten, die Aussagen über die sexuelle Orientierung von Personen ermöglichen.
Für Schweizer Unternehmen und deren IT-Dienstleister ist dieser Fall ein wichtiges Lehrstück zur DSGVO-Konformität und zum Umgang mit Drittanbieterdaten. Er zeigt, dass Datenschutzbehörden europaweit konsequent gegen Verstösse vorgehen, unabhängig davon, wie gross oder einflussreich das Unternehmen ist. Besonders relevant ist die Erkenntnis, dass die Verarbeitung von Daten über Tracking-Pixel und ähnliche Technologien auf Websites Dritter scharf reguliert ist. KMU-Kunden, die Werbetechnologien einsetzen oder B2B-Datenhandel betreiben, sollten ihre Datenschutz-Compliance-Prozesse überprüfen. Eine explizite, informierte Zustimmung und Transparenz sind nicht nur rechtlich geboten, sondern schützen auch das Vertrauen von Kunden und Geschäftspartnern.