Microsoft hat ein Datenschutzproblem in Höhe von 9,6 Millionen US-Dollar geerbt, das ein Unternehmen betrifft, das der Konzern erst Jahre nach den mutmaßlichen Verstößen übernommen hat.
Norwegens Datenschutzbehörde Datatilsynet hat Microsofts Werbetechnologie-Tochter Xandr mit einer Geldstrafe von 92 Millionen norwegischen Kronen (etwa 9,6 Millionen US-Dollar) belegt, weil sie personenbezogene Daten im Zusammenhang mit Grindr-Nutzern unrechtmäßig verarbeitet hat. Das Verhalten ereignete sich zwischen Juli 2018 und April 2020, bevor Microsoft Xandr 2022 übernahm.
Die Entscheidung beleuchtet einen Teil der digitalen Werbung, den Nutzer nur selten zu sehen bekommen: die Vermittler, die Informationen über sie verarbeiten, um Werbetreibenden beim Wettbewerb um Werbeplätze zu helfen. Sie zeigt außerdem, wie Datenschutzverstöße, die vor einer Übernahme begangen wurden, für das Unternehmen, das später die Eigentümerschaft übernimmt, zum Problem werden können – selbst wenn der neue Eigentümer nicht für das ursprüngliche Verhalten verantwortlich war.
Norwegen: Xandr verarbeitete Grindr-Nutzerdaten ohne Einwilligung
Bei der nach Angaben der Behörde bislang größten verhängten Geldstrafe wurde Microsofts Xandr zur Zahlung von 92 Millionen NOK (etwa 9,6 Millionen US-Dollar) aufgefordert. Die Aufsichtsbehörde erklärt, die Werbetechnologie habe die Daten über Systeme verarbeitet, die Werbetreibenden beim Kauf und Verkauf von Werbeplätzen helfen.
Da Grindr eine LGBTQ+-Dating-App ist, könnten mit ihren Nutzern verbundene Informationen ihre sexuelle Orientierung offenlegen, die nach Europas Datenschutz-Grundverordnung (DSGVO) als besonders schützenswerte personenbezogene Daten eingestuft wird.
BleepingComputer, stellte unter Berufung auf die Behörde fest, dass die Aufsichtsbehörde zu dem Schluss kam, Xandr habe angenommen, Grindr habe die erforderliche Einwilligung eingeholt, dies jedoch weder überprüft noch eine gültige Rechtsgrundlage für die eigene Verarbeitung geschaffen.
Die Geldstrafe beendet einen mehr als sechs Jahre dauernden Fall, nachdem die österreichische gemeinnützige Organisation für Datenschutzrechte Noyb im Januar 2020 Beschwerde gegen Xandr eingereicht hatte. Das Unternehmen hat jedoch drei Wochen Zeit, um Berufung einzulegen.
Warum die Geldstrafe über Xandr hinaus von Bedeutung ist
Der Fall beleuchtet einen weniger sichtbaren Teil der digitalen Werbung: Unternehmen, die hinter den Kulissen personenbezogene Daten verarbeiten, um Werbetreibenden beim Kauf und Verkauf von Werbeplätzen zu helfen.
Nutzer können Informationen mit einer Plattform teilen, ohne zu wissen, dass auch Werbepartner und andere Vermittler Daten im Zusammenhang mit ihrer Aktivität erhalten oder verarbeiten könnten.
Aus diesem Grund ziehen Aufsichtsbehörden Unternehmen entlang der gesamten Datenweitergabekette zunehmend für ihre Rolle zur Rechenschaft. Die Geldstrafe gegen Microsofts Xandr wegen Grindr-Nutzerdaten ist ein Beispiel dafür, wie sich diese Verantwortung auf Anbieter von Werbetechnologie erstrecken kann, anstatt bei der App stehen zu bleiben, mit der die Nutzer interagieren.
Der Fall ist kein Einzelfall. Hims & Hers, etwa, sah sich wegen des Umgangs mit sensiblen Gesundheitsdaten ebenfalls einer Prüfung ausgesetzt. Das veranschaulicht die Datenschutzrisiken, die entstehen, wenn Unternehmen Daten über Menschen auf eine Weise erheben und nutzen, der diese Personen nie zugestimmt haben.
Die Umstände unterscheiden sich zwar von Xandrs Fall, doch die Entscheidung gegen Xandr verdeutlicht die regulatorischen Risiken für Anbieter von Werbetechnologie, die auf von anderen Unternehmen erhobene Daten zurückgreifen – insbesondere, wenn die Informationen sensible Details über Nutzer offenlegen könnten.
Für Unternehmen, die in diesem Ökosystem tätig sind, unterstreicht der Fall, wie wichtig es ist, Einwilligungen zu überprüfen und die eigenen Verantwortlichkeiten zu verstehen, bevor sie personenbezogene Daten verarbeiten.
Ihre Daten bleiben nicht unbedingt bei der Plattform, mit der Sie sie geteilt haben
Wenn Sie Ihre personenbezogenen Daten mit einer Plattform teilen, erwarten Sie möglicherweise, dass sie innerhalb dieses Dienstes bleiben und für den Zweck verwendet werden, für den Sie sich registriert haben. Digitale Dienste greifen jedoch häufig für Werbung, Analysen und andere Funktionen auf Drittunternehmen zurück. Das bedeutet, dass die von einer Plattform bereitgestellten Informationen an mehrere andere Parteien weitergegeben werden können.
Was also als einfache Interaktion mit einem einzelnen Dienst beginnt, kann Ihre Daten einem weit größeren Netz von Unternehmen zugänglich machen, als Sie vielleicht erwarten.
Noch problematischer wird das, wenn die betreffenden Informationen sensible Details über Ihr Leben offenlegen können. Nutzer haben möglicherweise kaum Einblick in diese Übermittlungen, sodass es schwierig ist zu wissen, wer sonst noch Zugriff auf ihre Informationen hat oder wie sie verwendet werden.
Der Fall zeigt außerdem, dass die Pflichten zur Einhaltung des Datenschutzes über die Plattformen hinausgehen, mit denen Nutzer direkt interagieren. Werbevermittler haben beim Umgang mit personenbezogenen Daten eigene Verantwortlichkeiten, und es reicht möglicherweise nicht aus, sich auf die Einwilligungspraktiken eines anderen Unternehmens zu verlassen, um die Aufsichtsbehörden zufriedenzustellen.
Für Microsofts Tochter Xandr stellt sich nun unmittelbar die Frage, ob das Unternehmen gegen die Entscheidung Berufung einlegen wird. Für die Werbebranche insgesamt unterstreicht das Urteil die Risiken der Verarbeitung sensibler Informationen ohne eine eindeutig festgelegte Rechtsgrundlage.
Weitere Meldungen: Sicherheitsforscher entdeckten 135 Exploit-Versuche die bereits zwei Tage nach der Veröffentlichung von Patches eine kritische Sicherheitslücke in SonicWall SMA1000 ins Visier nahmen.