Nexvyra

Norwegische Datenschutzbehörde verhängt 8,6 Mio. Euro DSGVO-Bußgeld gegen Xandr wegen Real-Time-Bidding mit Grindr-Daten (Art. 6, Art. 9 DSGVO)

Veröffentlicht: 2026-10-16 · Ereignis: 2026-10-16 · behoerden

# Norwegische Datenschutzbehörde verhängt 8,6 Mio. Euro DSGVO-Bußgeld gegen Xandr wegen Real-Time-Bidding mit Grindr-Daten (Art. 6, Art. 9 DSGVO)

Kurzmeldung

Die norwegische Datenschutzaufsicht Datatilsynet hat gegen das Werbetechnologie-Unternehmen Xandr Inc. (früher AppNexus, heute Teil von Microsoft) ein Bußgeld von 8.600.000 Euro verhängt. Xandr hat nach Feststellung der Behörde beim Real-Time-Bidding in der Dating-App Grindr personenbezogene Daten norwegischer Nutzer ohne Rechtsgrundlage verarbeitet – darunter Daten über die sexuelle Orientierung. Die endgültige Entscheidung datiert vom 2. Oktober 2026; der Europäische Datenschutzausschuss (EDPB) hat sie am 16. Oktober 2026 veröffentlicht.

Kernfakten

| Punkt | Wert | |---|---| | Datum | 2026-10-16 (Veröffentlichung durch EDPB); endgültige Entscheidung 2026-10-02 | | Gericht/Institution | Datatilsynet (Norwegen), nationaler Fall | | Aktenzeichen | Verantwortlicher Xandr Inc.; Beschwerde des Norwegischen Verbraucherrats (Forbrukerrådet) aus 2020 | | Rechtsgrundlage | Art. 6 Abs. 1 DSGVO (Rechtmäßigkeit), Art. 9 Abs. 1 DSGVO (besondere Kategorien), Art. 4 Nr. 11 und Art. 7 DSGVO (Einwilligung) | | Wirkung | Bußgeld 8.600.000 Euro (laut Datatilsynet 92 Mio. NOK) |

Was das bedeutet

Nach Feststellung der Datatilsynet verarbeitete Xandr beim Real-Time-Bidding zumindest die Information, dass jemand Grindr nutzt, sowie Werbe-ID und IP-Adresse. Weil die App sich an schwule, bi, trans und queere Menschen richtet, wertet die Behörde schon die Nutzung als Datum über die sexuelle Orientierung im Sinne von Art. 9 Abs. 1 DSGVO – erforderlich war daher eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO. Xandr galt als gemeinsam Verantwortlicher (als Supply- und Demand-Side-Plattform) und stützte sich auf die Einwilligung, die Grindr eingeholt hatte; diese war nach Art. 4 Nr. 11 und Art. 7 DSGVO unwirksam. Kernaussage für Adtech-Anbieter und Werbetreibende: Rechenschaftspflicht lässt sich nicht auslagern – jeder gemeinsam Verantwortliche muss selbst prüfen, ob eine Einwilligung wirksam ist und die eigene Verarbeitung abdeckt. Die Behörde stuft die Verstöße als mindestens fahrlässig und von hoher Schwere ein.

Für vertiefte Information

Quelle

Stand

Passende Themen