„Wir haben in diesem Fall ein so hohes Bußgeld verhängt, weil die festgestellten Verstöße sehr schwerwiegend waren", sagte Line Coll, Direktorin von Datatilsynet. „Tausende Nutzer in Norwegen waren von der unrechtmäßigen Weitergabe ihrer sensiblen Daten betroffen."

Nach den Feststellungen der Behörde steuerte Xandr zwischen Juli 2018 und April 2020 Echtzeit-Werbeauktionen innerhalb von Grindr, durch die Nutzerdaten – darunter sensible Informationen zur sexuellen Orientierung – potenziell gegenüber Tausenden Unternehmen offengelegt wurden. Bei diesen Auktionen bieten Werbetreibende um das Recht, einem Grindr-Nutzer eine Anzeige auszuspielen, nachdem sie von Xandr als Vermittler Profilinformationen erhalten haben. Grindr ist eine standortbasierte Dating-App, die sich vor allem an die LGBTQ+-Gemeinschaft richtet.

Xandr war damals gemeinsam mit Grindr Verantwortlicher im datenschutzrechtlichen Sinn und damit mitverantwortlich für die Verwendung der Daten. Das Unternehmen hätte eine ausdrückliche Einwilligung der Betroffenen einfordern und einholen müssen. Stattdessen sei Xandr davon ausgegangen, dass Grindr eine gültige Einwilligung eingeholt habe, ohne dies zu überprüfen. „Xandr hat es unterlassen zu prüfen, ob die Einwilligungen von Grindr gültig waren, und hat nichts unternommen, um eine Rechtsgrundlage für die eigene Verarbeitung sicherzustellen", erklärte Coll.

Im Ergebnis wurden sensible Informationen über Grindr-Nutzer aus Norwegen und anderen Ländern gegenüber Tausenden Werbetreibenden offengelegt, ohne dass die Betroffenen davon wussten oder jemals ausdrücklich eingewilligt hätten.

Die ursprüngliche Beschwerde hatte die österreichische Datenschutzorganisation Noyb im Januar 2020 gemeinsam mit dem norwegischen Verbraucherrat Forbrukerrådet eingereicht. Beide begrüßten die Entscheidung von Datatilsynet und bezeichneten sie als „schweren Schlag für die Online-Adtech-Industrie". Nach Einschätzung von Noyb setzt der Beschluss den Praktiken großer Akteure der Online-Werbe- und Überwachungsbranche Grenzen, darunter dem unbeschränkten und verdeckten Austausch sensibler Nutzerdaten zwischen Websites, Apps, Plattformen und Betriebssystemen. „Das aktuelle Bußgeld zeigt, dass Unternehmen wie Xandr für ihre zwielichtigen Praktiken letztlich zur Verantwortung gezogen werden", erklärte Noyb. „Wer Interessen, Gewohnheiten, Standort und Verhalten von Menschen profiliert, braucht eine gültige Einwilligung – die Adtech-Unternehmen kaum jemals einholen."

Xandr, das inzwischen unter dem Namen Microsoft Advertising firmiert, hat drei Wochen Zeit, um gegen die Entscheidung Einspruch einzulegen. Ein Microsoft-Sprecher betonte, Untersuchung und Ergebnis bezögen sich auf Verhalten, das vor der Übernahme von Xandr durch Microsoft liege. Seither hätten sich die rechtlichen Rahmenbedingungen sowie deren Auslegung und Durchsetzung verändert; Microsoft prüfe die Entscheidung und wäge die Optionen ab.