Norwegen feine Xandr 8,6 Mio. € für sensible Grindr-Daten, die in RTB ohne Rechtsgrundlage geteilt werden

Die Norwegische Datenschutzbehörde (Datatilsynet) hat Xandr - die Microsoft-verknüpfte Werbeeinheit - eine Verwaltungsstrafe von 8,6 Mio. € auferlegt, um sensible Daten von Grindr-Nutzern ohne angemessene Rechtsgrundlage an Dritte zu übertragen. Die Regulierungsstelle qualifiziert die Zuwiderhandlung als "sehr ernst": Die untersuchten Tatsachen traten zwischen Juli 2018 und April 2020 auf und nach der Entscheidung diente Xandr als Vermittler in Echtzeit-Gebotsverfahren (Realtime Bidding, RTB), die Daten verbreiteten, die die sexuelle Orientierung von Nutzern potenziell Tausenden von Akteuren im Werbe-Ökosystem zeigen könnten.

Fakten bestätigt: Datatilsynet kam zu dem Schluss, dass Xandr als gemeinsamer für die Verarbeitung Verantwortlicher bei Grindr fungierte und daher die ausdrückliche Zustimmung der Betroffenen vor der Verarbeitung und Berichterstattung dieser Daten geprüft und sichergestellt hätte; stattdessen nahm Xandr an, dass Grindr diese Einwilligung erhoben habe. Die Geldbuße von 8,6 Mio. € ist die bisher größte von der norwegischen Behörde auferlegte, und Xandr hat drei Wochen zu appellieren. Datenschutzgruppen, wie None Of Your Business (Noyb), hatten die Nachfrage an Regulierungsbehörden zusammen mit dem norwegischen Verbraucherrat.

Wie das Datenleck technisch funktionierte: Kern des Problems ist RTB, das System, mit dem Werbeflächen in Millisekunden versteigert werden, wenn ein Benutzer eine Seite oder eine App lädt. In einer RTB-Auktion überträgt die Plattform, die Sie zwischengeschaltet haben (in diesem Fall Xandr) ein Signalpaket an mehrere Käufer - Anzeigenkennungen, Sitzungsmetadaten und in diesem Fall aus dem Benutzerprofil abgeleitete Informationen - für Werbekunden, Angebote zu machen. Diese Massenübermittlung beinhaltet die Weitergabe von Daten mit vielen Lieferanten und erfordert eine strenge Kontrolle, welche Attribute enthalten sind und auf welcher Rechtsgrundlage sie verarbeitet werden. Gemäß der Entschließung, zwischen Juli 2018 und April 2020, wurden Grindr-Daten, die sexuelle Orientierung beinhalten könnten, über Xandr an viele Käufer weitergegeben, ohne dass Xandr die gesetzlich vorgeschriebene Zustimmung überprüft hat.

Die Betroffenen und warum es wichtig ist: die unmittelbar betroffen sind Nutzer von Grindr in Norwegen, deren Signale oder Attribute in RTB übertragen wurden. Der praktische Umfang ist jedoch größer: Wenn sensible Daten aus einer App zu Hunderten oder Tausenden von Werbedarstellern kommen, besteht das Risiko nicht nur darin, gezielte Anzeigen zu empfangen; es besteht die Möglichkeit, diese Signale mit anderen Datensätzen zu kreuzen, was zu unbeabsichtigten Abweichungen vom Schrank, Diskriminierung, Erpressung oder Stigmatisierung führen kann. Darüber hinaus weist die Entscheidung aus systemischer Sicht auf die gesamte Kette von Werbevermittlern hin: wenn eine Plattform, die gleichzeitig für Käufer und Verkäufer fungiert, die Rechtsgrundlage nicht überprüft, kann sie verantwortlich gemacht werden.

Die Strafe ist auch Teil eines regulatorischen Trends, der nicht nur einzelne Schäden verfolgt, sondern auch versucht, strukturelle Missstände des Werbegeschäftsmodells aufgrund der Massenüberwachung zu korrigieren. Der Fall kommt zu einer Zeit, in der andere Unternehmen in der Branche und damit verbundene Akteure (z.B. Grindr in einem britischen Prozess) Maßnahmen und Vereinbarungen für ähnliche Praktiken getroffen haben.

Tatsächliche und vorhersehbare Folgen: Xandr kann sofort ansprechen und die Geldstrafe kann reduziert oder bestätigt werden; Microsoft hat erklärt, dass es die Entscheidung überprüft. In der Praxis schafft die Entschließung einen rechtlichen Präzedenzfall in der EU/EWR: Vermittler, die an RTB teilnehmen und wichtige Teile des Prozesses kontrollieren, könnten für die Gewährleistung einer Einwilligung und Transparenz der Behandlung verantwortlich sein. Für Nutzer und Werbetreibende kann dies zu technischen Veränderungen (reduzierte Übertragung von Attributen in Auktionen) und vertraglichen (Kriminierungsklauseln in Verträgen zwischen Plattformen und Editoren) führen.

Was bestätigt wird und was unsicher bleibt: bestätigt: die Geldbuße, der Untersuchungszeitraum, das Rating von Xandr als gemeinsamer Verantwortlicher in diesem Zeitraum und die Verantwortung für die Übermittlung sensibler Daten. Weniger klare / anhängige Auflösung: die genaue Anzahl der Nutzer, die in Norwegen betroffen sind, die Ausweitung der Verantwortung an Microsoft für Fakten vor dem Erwerb von Xandr und der Umfang der Beschwerde zur Änderung der rechtlichen Interpretation von Verantwortlichkeiten in RTB. Es ist auch eine vernünftige Schätzung - nicht eine offizielle Zahl -, dass "tausende" von Akteuren Signale empfangen; die Behörde spricht von Potenzial von Massenumfang, aber die detaillierte Anzahl der Empfänger kann nicht veröffentlicht werden.

Für das Werbe-Ökosystem bedeutet die Auflösung eine höhere Exposition gegenüber Sanktionen, wenn sie die aktive Einhaltung der Datenschutz-Grundverordnung (DSGVO) in allen Phasen des Datenflusses nicht nachweisen. Für den Nutzer werden spezifische Risiken bei der Verwendung von Apps hervorgehoben, die sensible Informationen behandeln.

Praktische Empfehlungen für Anwender: Wenn Sie Grindr oder andere Apps verwenden, die sensible Informationen behandeln, sofort handeln: überprüfen und anpassen Sie die Datenschutzeinstellungen der Anwendung (Begrenzen Sie die Sichtbarkeit des Profils und die Datenfreigabe), deaktivieren Sie die Anpassung der Anzeigen aus dem Betriebssystem (iOS: "Limit Ad Tracking", Android: "Opt out of Ads Personalization"), stellen Sie Ihre Werbung Identifier (Advertiser ID) neu ein, und wenn der Wert die App deinstalliert oder ein neues Profil mit minimalen wird. Üben Sie Ihre Rechte aus: Fragen Sie die für die Verarbeitung Verantwortlichen (Grindr und wem angemessen) auf die von ihnen verarbeiteten Daten, Berichtigung oder Löschung sowie einen Datensatz Dritter, mit denen sie diese Informationen teilten. Wenn Sie in der EU / EWR wohnen, können Sie Beschwerden bei der nationalen Datenschutzbehörde erheben.

Für IT-Experten und Manager: Überarbeitung von Verträgen mit Werbevermittlern und Behandlungsprotokollen; technische Kontrollen zur Minimierung gemeinsamer Daten in RTB (z.B. Anonymisierung oder Schreiben sensibler Signale), Durchführung von für RTB spezifischen Datenschutz-Wirkungsbewertungen (DPIA) und Gewährleistung von Vertragsklauseln, die Einverständnisprüfungspflichten auferlegen.

Dieser Fall ist deshalb relevant, weil er neben dem strafrechtlichen Verhalten einen Umdenken der technischen und kommerziellen Praktiken in einem Markt erfordert, der bisher Maßstäbe und Geschwindigkeit über die körnige Datenschutzkontrolle priorisiert hat. Die Nutzer müssen ihre sensiblen Daten mit praktischen Werkzeugen schützen und Werbebetreiber müssen technische und vertragliche Änderungen nachweisen oder größere rechtliche Risiken eingehen.

Weitere institutionelle Informationen und die Organisationen, die den Anspruch unterstützten, finden Sie auf der Seite der norwegischen Datenschutzbehörde. http://www.datatilsynet.no und die Mitteilungen der Verteidigungsgruppe NOYB https: / / noyb.eu. Presseberichterstattung über den Fall und seinen regulatorischen Kontext finden Sie in Mediendateien wie Reuters https: / / www.reuters.com.