Die Norwegische Datenschutzaufsicht hat Xandr, ein Werbetechnologieunternehmen im Besitz von Microsoft, eine Rekordstrafe von 92 Millionen norwegischen Kronen (9,6 Millionen US-Dollar) verhängt, weil sie sensible personenbezogene Daten, die über die Grindr-Dating-App gesammelt wurden, unrechtmäßig behandelt haben. Die Entscheidung hebt die Verantwortung von Werbefirmen hervor, die Nutzerdaten verarbeiten, ohne direkt mit den betroffenen Personen zu interagieren.
Die norwegische Datenschutzbehörde, bekannt als Datatilsynet, gab die Strafe am 12. Oktober 2026 nach einer Untersuchung zu Werbepraktiken zwischen Juli 2018 und April 2020 bekannt. In diesem Zeitraum ermöglichte Xandr automatisierte Werbeauktionen mit Grindr-Nutzern, wodurch persönliche Informationen möglicherweise Tausenden von Unternehmen zur Verfügung gestellt wurden.
Grindr bedient hauptsächlich LGBTQ+-Nutzer, was bedeutet, dass Informationen, die jemanden als App-Nutzer identifizieren, sensible Informationen über seine sexuelle Orientierung offenbaren können. Die europäische Datenschutzgesetzgebung setzt zusätzliche Einschränkungen für die Verarbeitung solcher Informationen, einschließlich der ausdrücklichen Zustimmung.
Laut der Aufsichtsbehörde nahm Xandr an einem System namens Echtzeit-Bidding teil, bei dem Werbetreibende darum konkurrieren, Anzeigen anzuzeigen, wenn jemand eine Anwendung öffnet. Während dieses Prozesses werden persönliche Informationen an potenzielle Bieter verteilt, sodass Unternehmen entscheiden können, ob sie einen bestimmten Nutzer ansprechen.
Die Ermittler kamen zu dem Schluss, dass Xandr keine gültige rechtliche Grundlage für die Verarbeitung der Informationen hatte. Obwohl das Unternehmen glaubte, Grindr habe die notwendigen Genehmigungen bereits eingeholt, hatte es nicht unabhängig überprüft, ob diese Genehmigungen die Datenschutzanforderungen erfüllten.
Datatilsynet stellte fest, dass Xandr die Verantwortung für die Verarbeitungsaktivitäten mit Grindr teilte. Das Urteil stellt fest, dass Werbevermittler ihre Datenschutzverpflichtungen nicht einfach durch Zusicherungen der Anwendungen, die personenbezogene Daten liefern, umgehen können.
Die Untersuchung entstand aus Beschwerden, die 2020 vom norwegischen Verbraucherrat und der europäischen Datenschutzorganisation noyb eingereicht wurden. Ihre Forschung zeigte, wie mobile Anwendungen persönliche Informationen an Werbeunternehmen übermittelten, oft ohne dass die Nutzer verstanden, wie umfangreich ihre Daten verbreitet wurden.
Grindr erhielt bereits 2021 eine Geldstrafe von 65 Millionen Kronen wegen verwandter Verstöße. Das norwegische Berufungsgericht bestätigte diese Strafe im Oktober 2025.
Microsoft erwarb Xandr, nachdem die in der Untersuchung untersuchten Aktivitäten bereits stattgefunden hatten. Als Reaktion auf die jüngste Entscheidung betonte das Unternehmen, dass das Verhalten bereits vor seiner Eigentümerschaft statthabe und erklärte, dass es die Ergebnisse der Aufsichtsbehörde prüfe und seine Optionen prüfe.
Die Strafe, berechnet mit den Einnahmen von Xandr statt mit denen von Microsoft, ist die höchste, die von der norwegischen Datenschutzbehörde verhängt wurde. Xandr hat drei Wochen Zeit, Berufung einzulegen.