Die Strafe gegen Xandr ist nicht nur ein weiterer Datenschutzfall gegen ein Werbetechnikunternehmen. Sie greift eine technische Annahme an, auf der große Teile des programmatischen Werbemarkts laufen: Wenn eine App irgendwo eine Einwilligung einsammelt, können nachgelagerte Systeme damit arbeiten.
Die norwegische Datenschutzbehörde sieht das anders. Sie hat gegen Xandr Inc. ein Bußgeld von 8,6 Millionen Euro verhängt. Der Fall betrifft Real-Time Bidding in Grindr, einer standortbasierten Dating-App für schwule, bisexuelle, trans und queere Menschen. Xandr hieß früher AppNexus und gehört heute zu Microsoft. Das Verfahren begann 2020 nach einer Beschwerde des Norwegian Consumer Council.
Der entscheidende Satz in der Zusammenfassung des Europäischen Datenschutzausschusses ist trocken, aber folgenreich: Rechenschaftspflicht lasse sich nicht auslagern. Jeder gemeinsame Verantwortliche müsse selbst prüfen, ob eine Einwilligung gültig sei und die eigene Verarbeitung abdecke.
Der kritische Punkt liegt vor der Auktion
Real-Time Bidding wird häufig als technischer Vorgang beschrieben: Anfrage, Bewertung, Gebot, Auslieferung. Die juristische Schwachstelle sitzt aber davor. Bevor ein System Nutzerdaten für eine Werbeauktion verwendet, muss klar sein, auf welcher Rechtsgrundlage diese Verarbeitung stattfindet.
Nach Feststellung der norwegischen Behörde verarbeitete Xandr während des Real-Time Biddings personenbezogene Daten von Grindr-Nutzern. Genannt werden mindestens drei Elemente: die Tatsache, dass eine Person Grindr nutzte, die Advertising ID und IP-Adressen. Isoliert betrachtet wirken Advertising ID und IP-Adresse wie Standardmaterial der Werbeindustrie. Im Kontext von Grindr verändern sie ihre Qualität.
Die Behörde bewertet diese Daten nicht nur als personenbezogene Daten nach Artikel 4 Absatz 1 DSGVO. Sie sieht darin auch Daten zur sexuellen Orientierung im Sinne von Artikel 9 Absatz 1 DSGVO. Das verschiebt den Fall in eine andere Risikoklasse. Für solche besonderen Kategorien personenbezogener Daten reicht eine gewöhnliche Interessenabwägung nicht aus. Maßgeblich war nach der Entscheidung eine ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a DSGVO.
Warum die Nutzung von Grindr selbst zum sensiblen Datum wird
Der technische Kern des Falls ist nicht, dass ein Profil mit einer expliziten Angabe zur sexuellen Orientierung übertragen worden sein muss. Die Behörde setzt früher an. Schon die Information, dass eine identifizierbare oder identifizierbare Person Grindr verwendet, kann in diesem Kontext eine Aussage über sexuelle Orientierung enthalten.
Das ist für Ad-Tech-Systeme unbequem, weil viele Datenflüsse auf scheinbar neutralen Kennungen beruhen. Eine Advertising ID sieht aus wie eine technische Nummer. Eine IP-Adresse sieht aus wie Netzwerkinformation. Die App-Umgebung liefert jedoch die Bedeutung. Aus einem Kennwert wird ein sensibler Bezug, sobald er mit einem Dienst verknüpft ist, dessen Zielgruppe und Funktion eine solche Einordnung nahelegen.
Damit fällt ein Teil der üblichen Verteidigung weg. Es reicht nicht, Datenfelder als technisch oder pseudonym zu beschreiben. Entscheidend ist, was die Kombination der Felder im konkreten Nutzungskontext aussagt. Bei Grindr ist dieser Kontext nicht nebensächlich, sondern der Ausgangspunkt der rechtlichen Bewertung.
Xandr war nicht nur Dienstleister am Rand
Die norwegische Datenschutzbehörde stuft Xandr als gemeinsamen Verantwortlichen ein. Das gilt nach der Entscheidung sowohl für die Rolle als Supply-Side-Plattform als auch als Demand-Side-Plattform. Diese Einordnung ist wichtig, weil sie Xandr nicht als bloßes Durchleitungssystem behandelt.
In der Werbetechnik wird Verantwortung gern entlang der Oberfläche verteilt. Die App hat den Nutzerkontakt. Das Consent-Banner erscheint dort. Der Ad-Tech-Anbieter verarbeitet Signale, IDs und Anfragen im Hintergrund. Diese Arbeitsteilung ist technisch plausibel, aber rechtlich nicht automatisch entlastend.
Wenn ein Unternehmen über Zwecke und Mittel einer Verarbeitung mitentscheidet oder in einer gemeinsamen Verantwortlichkeit steht, trägt es eigene Prüfpflichten. Die Behörde akzeptiert nicht, dass Xandr die Einwilligungskette einfach an Grindr zurückdelegiert. Xandr holte die Einwilligung nicht selbst ein, sondern stützte sich auf Grindrs Einwilligung. Diese war nach der Bewertung der Behörde ungültig, unter anderem gemessen an den Anforderungen der Artikel 4 Absatz 11 und 7 DSGVO.
Die Einwilligungskette reißt an der Prüfpflicht
Technisch lässt sich dieser Fall als Problem einer Vertrauenskette lesen. Ein System übernimmt ein Signal aus einem vorgelagerten System. Dieses Signal soll anzeigen, dass eine Verarbeitung erlaubt ist. In vielen Architekturen wird daraus eine operative Abkürzung: Wenn das Signal vorhanden ist, läuft die Verarbeitung weiter.
Die Entscheidung setzt hier eine Grenze. Ein Consent-Signal ist kein universeller Freifahrtschein. Es muss inhaltlich zur konkreten Verarbeitung passen. Es muss gültig erlangt worden sein. Es muss die Datenkategorie erfassen. Und es muss die Rolle des jeweiligen Verantwortlichen abdecken.
Für normale personenbezogene Daten ist das bereits anspruchsvoll. Bei besonderen Kategorien nach Artikel 9 DSGVO wird die Toleranz geringer. Die Behörde bezeichnete die Verstöße als mindestens fahrlässig und wegen der betroffenen zentralen DSGVO-Vorschriften sowie sensibler Daten als schwerwiegend. Das Bußgeld stützt sich auf Verstöße gegen Artikel 6 Absatz 1 DSGVO und Artikel 9 Absatz 1 DSGVO.
Was die Entscheidung operativ bedeutet
Für Ad-Tech-Anbieter ist der Fall weniger eine Frage der Bußgeldhöhe als der Architektur. Wer an Real-Time Bidding beteiligt ist, kann sich nicht darauf beschränken, Verträge, Schnittstellen und Consent-Strings entgegenzunehmen. Die eigene Verarbeitung muss rechtlich kartiert sein: Welche Daten werden verarbeitet? In welchem Kontext entstehen sie? Welche Kategorie haben sie? Welche Rechtsgrundlage deckt welchen Verarbeitungsschritt ab?
Das klingt administrativ, ist aber operativ. Systeme müssen erkennen können, wann Daten aus sensiblen Nutzungskontexten stammen. Compliance darf nicht erst im Vertrag mit dem Publisher stattfinden. Sie muss an den Stellen greifen, an denen Daten für Auktionen, Matching oder Auslieferung nutzbar gemacht werden.
Auch App-Betreiber stehen damit nicht außerhalb der Analyse. Wenn ihre Dienste Daten in Werbeökosysteme einspeisen, reicht ein generischer Einwilligungsdialog nicht aus. Besonders heikel wird es bei Anwendungen, deren Nutzung selbst Rückschlüsse auf geschützte Merkmale zulässt: Gesundheit, Religion, politische Orientierung, Sexualität.
Die Entscheidung aus Norwegen ist daher präziser als eine allgemeine Kritik an personalisierter Werbung. Sie sagt: In einer verteilten Werbeinfrastruktur bleibt Verantwortung an jedem Knoten hängen, der personenbezogene Daten für eigene Verarbeitungsschritte nutzt. Wer sensible Daten verarbeitet, braucht mehr als Vertrauen in den vorgelagerten Bildschirm.
Für Xandr endet diese Prüfung mit einer Verwaltungsstrafe von 8,6 Millionen Euro. Für den Rest des Marktes ist der härtere Teil die technische Konsequenz. Die bequeme Trennung zwischen Nutzerinterface und Datenmaschine trägt nicht, wenn die Maschine auf eine Einwilligung angewiesen ist, die sie selbst nicht überprüft.
