8,6 Millionen Euro Bußgeld: Warum Tracking-Partner Sie nicht entlasten
13. Oktober 2026
KI-generiert, redaktionell von 8thsense ausgewählt, geprüft und freigegeben. EU AI Act, Art. 50
Die norwegische Datenschutzbehörde Datatilsynet hat gegen Xandr, eine Werbetechnik-Firma, die heute zu Microsoft gehört, ein Bußgeld von 92 Millionen norwegischen Kronen verhängt. Das ist das höchste Bußgeld in der Geschichte der Behörde. Xandr hatte über Jahre Daten von Nutzern der Dating-App Grindr an potenziell tausende Werbefirmen weitergereicht, darunter Informationen, die auf die sexuelle Orientierung schließen lassen. Für Geschäftsführer ist weniger die Summe interessant als die Begründung: Wer sich darauf verlässt, dass ein Partner die Einwilligung schon eingeholt hat, ist nicht aus dem Schneider.
Was genau passiert ist
Laut Datatilsynet nahm Xandr (früher AppNexus) zwischen Juli 2018 und April 2020 an sogenanntem Real-Time-Bidding teil, also an automatisierten Echtzeit-Auktionen für Werbeplätze. Öffnete jemand in Norwegen die Grindr-App, wurden seine Daten häufig über Xandr an potenziell tausende Akteure im Werbe-Ökosystem weitergeleitet, ohne dass die Betroffenen davon wussten (Quelle: datatilsynet.no). Schon die Tatsache, Grindr zu nutzen, gilt der Behörde als Hinweis auf die sexuelle Orientierung und damit als besonders geschütztes Datum. Für solche Daten wäre eine ausdrückliche Einwilligung nötig gewesen. Die Dauer des Verstoßes und der direkte finanzielle Nutzen für Xandr wirkten sich verschärfend aus. Xandr kann binnen drei Wochen nach Zustellung Rechtsmittel einlegen.
Zahlen, Herkunft und eine kleine Unschärfe
Bei der Umrechnung gibt es eine leichte Abweichung: Die Behörde selbst nennt 8,6 Millionen Euro, die Datenschutzorganisation noyb und netzpolitik.org berichten von 8,5 Millionen Euro (Quelle: noyb.eu). Gemeint ist dasselbe Bußgeld von 92 Millionen Kronen. Bemerkenswert ist die Berechnungsgrundlage: Weil Xandr im Tatzeitraum noch nicht zu Microsoft gehörte, legte die Behörde nur den Umsatz von Xandr zugrunde, nicht den des Konzerns. Ausgelöst hat das Verfahren eine Beschwerde des norwegischen Verbraucherrats Forbrukerrådet aus dem Jahr 2020, gestützt auf den Bericht „Out of Control”. Grindr selbst war bereits 2021 mit 65 Millionen Kronen belegt worden, das Berufungsgericht Borgarting bestätigte diese Strafe. Microsoft erklärte laut netzpolitik.org, der Fall betreffe die Zeit vor der Übernahme, man prüfe die Entscheidung und seine Optionen (Quelle: netzpolitik.org).
Der Kern: Verantwortung lässt sich nicht weiterreichen
Xandr argumentierte, man sei davon ausgegangen, dass Grindr gültige Einwilligungen eingeholt habe. Die Behörde wies das zurück. Xandr sei gemeinsam mit Grindr verantwortlich gewesen und hätte die Einwilligungen prüfen müssen, zumal diese ungültig waren, weil die Nutzer nicht ausreichend informiert wurden. Behördenchefin Line Coll formuliert es so: Tausende Nutzer in Norwegen seien von der unrechtmäßigen Weitergabe sensibler Daten betroffen gewesen. Die Botschaft, die netzpolitik.org zitiert, lautet sinngemäß: Man kann die Verantwortung für den Datenschutz nicht einfach an andere weiterreichen. Das Prinzip ist für deutsche Websitebetreiber nicht neu. Der EuGH entschied bereits im Juli 2019 im Fall Fashion ID (C-40/17), dass ein Händler, der den Facebook-Like-Button einbindet, für das Erheben und Übermitteln der Besucherdaten gemeinsam mit Facebook verantwortlich ist (Quelle: srd-rechtsanwaelte.de).
Warum das Gesundheits- und Sozialanbieter besonders betrifft
Die Datenschutz-Grundverordnung behandelt neben der sexuellen Orientierung auch Gesundheitsdaten, religiöse und politische Überzeugungen als besondere Kategorien. Und genau wie bei Grindr kann schon der Kontext sensibel sein: Wer auf der Website einer Pflegevermittlung die Seite „Betreuung bei Demenz” aufruft, bei einer logopädischen Praxis einen Termin anfragt oder sich bei einer Suchtberatung informiert, verrät womöglich etwas über seine Gesundheit oder die eines Angehörigen. Laufen auf diesen Seiten Werbe-Pixel, Retargeting-Skripte oder eingebettete Dienste, die Seitenaufrufe samt Kennung an Dritte schicken, kann aus einem harmlosen Klick eine heikle Datenübermittlung werden. Der Cookie-Banner hilft dabei nur, wenn er wirklich informiert und erst nach Zustimmung lädt.
Was das für Unternehmen bedeutet
Das norwegische Verfahren richtet sich gegen einen Werbetechnik-Anbieter, nicht gegen einen Websitebetreiber. Die Logik dahinter gilt aber für alle Glieder der Kette. Wer Tracking einbindet, sollte nicht darauf bauen, dass der Tool-Anbieter, die Agentur oder das Consent-Plugin schon alles richtig macht. Ein pragmatischer Start in einem Nachmittag:
Inventur: Mit den Entwicklerwerkzeugen des Browsers oder einem kostenlosen Scanner prüfen, welche Drittanbieter beim Aufruf Ihrer Website tatsächlich Daten erhalten, vor und nach dem Klick auf den Cookie-Banner.
Sensible Seiten identifizieren: Leistungsseiten, Kontaktformulare und Terminbuchungen zu Gesundheit, Pflege oder Beratung von Werbe-Pixeln freihalten.
Datensparsam messen: Für Besucherstatistiken reichen oft cookielose, selbst gehostete Analyse-Tools. Retargeting auf Gesundheitsthemen ist ein Risiko, das kaum ein Werbeeffekt rechtfertigt.
Verträge und Texte prüfen: Bei eingebundenen Diensten klären, ob eine Vereinbarung zur gemeinsamen Verantwortlichkeit oder Auftragsverarbeitung nötig ist, und die Datenschutzerklärung an den realen Zustand anpassen.
Zuständig ist im Mittelstand meist niemand Bestimmtes, und genau das ist das Problem. Sinnvoll ist, die Prüfung einer Person (Marketing oder Office-Leitung) zuzuweisen und mit dem Datenschutzbeauftragten oder der Webagentur einmal jährlich zu wiederholen. Wer ohnehin gerade eine Bestandsaufnahme seiner digitalen Werkzeuge und KI-Dienste plant, sollte Tracking-Skripte und Chatbot-Widgets gleich mit auf die Liste nehmen, denn auch diese senden Eingaben an Dritte. Politisch bleibt das Thema in Bewegung: Laut noyb würde der von der EU-Kommission vorgeschlagene Digital Omnibus Tracking-Kennungen teilweise aus dem Anwendungsbereich der DSGVO nehmen. Beschlossen ist das nicht. Bis dahin gilt: Was auf der eigenen Website lädt, verantwortet man mit.
