Norwegische Behörde verhängt Rekordstrafe gegen Microsoft-Tochter Xandr

Ausgangslage

Die norwegische Datenschutzbehörde Datatilsynet hat am 12. Oktober 2023 eine Rekordstrafe gegen Xandr verhängt. Das Unternehmen, das seit 2023 zu Microsoft Advertising gehört, muss 92 Millionen Kronen, umgerechnet rund 9,6 Millionen Dollar, zahlen. Der Grund: Verstösse gegen den Datenschutz zwischen Juli 2018 und April 2020.

Die Strafe gilt für die Zeitspanne von Juli 2018 bis April 2020, als Xandr noch nicht zu Microsoft gehörte. Die ursprüngliche Beschwerde wurde bereits 2020 von der Datenschutzorganisation noyb eingereicht. Die norwegische Datenschutzbehörde Datatilsynet hat nun nach eingehender Prüfung die höchste Strafe ihrer Geschichte verhängt.

Sie zeigt, dass Datenschutzverstösse nicht nur hohe finanzielle Kosten verursachen können, sondern auch das Vertrauen der Nutzer in digitale Dienste untergraben. Die norwegische Datenschutzbehörde hat mit dieser Entscheidung klargestellt, dass sie bereit ist, konsequent gegen Verstösse vorzugehen.

Hintergrund

Xandr war für die Werbeauktionen innerhalb der Dating-App Grindr zuständig. Dabei wurden Nutzerdaten in Echtzeit-Bieterverfahren weitergegeben, wo Tausende von Unternehmen sie einsehen konnten. Diese Daten enthielten sensible Informationen über die sexuelle Orientierung der Nutzer, die nach europäischem Recht eine ausdrückliche Einwilligung erfordern.

Xandr argumentierte, dass man davon ausgegangen sei, Grindr habe die erforderliche Einwilligung der Nutzer eingeholt. Datatilsynet wies diese Argumentation zurück und stellte klar, dass Xandr als gemeinsamer Verantwortlicher für die Datenverarbeitung galt und daher selbst die Einwilligung hätte prüfen müssen.

Die Weitergabe der Daten erfolgte im Rahmen von Echtzeit-Gebotsverfahren (Real-Time Bidding, RTB). Dabei werden Nutzerdaten an potenzielle Werbetreibende weitergegeben, um gezielte Werbung zu schalten. Diese Praktiken sind in der Werbebranche weit verbreitet, aber sie bergen auch erhebliche Risiken für den Datenschutz.

Einordnung für die Schweiz

Sie unterstreicht die zunehmende Aufmerksamkeit der Behörden für Datenschutzverstösse im digitalen Werbebereich. Der Fall zeigt auch, wie wichtig es ist, dass Unternehmen die Einwilligung der Nutzer für die Verarbeitung sensibler Daten einholen.

Dies könnte dazu führen, dass Unternehmen ihre Datenschutzpraktiken überprüfen und anpassen müssen.

Was das für Unternehmen bedeutet

Für Schweizer Unternehmen bedeutet dies, dass sie besonders auf die Einhaltung der Datenschutzbestimmungen achten müssen. Die Strafe zeigt, dass Verstösse gegen den Datenschutz schwerwiegende finanzielle Folgen haben können.

Unternehmen sollten sicherstellen, dass sie die Einwilligung der Nutzer für die Verarbeitung sensibler Daten einholen. Dies könnte dazu führen, dass Unternehmen ihre Datenschutzpraktiken überprüfen und anpassen müssen. Es ist auch wichtig, dass Unternehmen ihre Mitarbeiter über die Bedeutung des Datenschutzes aufklären und schulen.

Ausblick

Microsoft prüft die Entscheidung und hat drei Wochen Zeit, Berufung einzulegen. Der Fall könnte auch Auswirkungen auf andere Unternehmen in der Branche haben, die ähnliche Praktiken anwenden. Es ist zu erwarten, dass die Behörden weiterhin streng gegen Verstösse gegen den Datenschutz vorgehen werden.

Einordnung

Die Strafe unterstreicht die zunehmende Aufmerksamkeit der Behörden für Datenschutzverstösse im digitalen Werbebereich. Der Fall zeigt, wie wichtig es ist, dass Unternehmen die Einwilligung der Nutzer für die Verarbeitung sensibler Daten einholen.

Was das für KMU bedeutet

Für Schweizer KMU bedeutet dies, dass sie besonders auf die Einhaltung der Datenschutzbestimmungen achten müssen. Dies gilt insbesondere für Unternehmen, die mit sensiblen Daten arbeiten oder in der digitalen Werbung tätig sind.