Im Jahr 2020 hat noyb, gemeinsam mit dem norwegischen Verbraucherrat, eine Beschwerde gegen das Online-Werbeunternehmen Xandr (mittlerweile Teil von Microsoft) eingereicht. Der Grund: Die Verarbeitung persönlicher Daten aus der Dating-App Grindr. Nun hat die norwegische Datenschutzbehörde entschieden – und Xandr wegen Verstößen gegen die DSGVO mit einer Geldbuße in der Höhe von € 8,5 Millionen (92 000 000 NOK) belegt. Diese Entscheidung ist ein schwerer Schlag für die Online-Adtech-Industrie.
Datenweitergabe im Hintergrund. Viele Smartphone-Apps übermitteln mithilfe von Online-Tracking-IDs höchst persönliche Daten ihrer Nutzer:innen an Tausende von Werbepartnern. Ein Bericht des norwegischen Verbraucherrats (NCC) deckte schon 2020 auf, dass bei der Nutzung von Smartphone-Apps persönliche Daten über unsere Interessen, Gewohnheiten und unser Verhalten im Hintergrund an eine Vielzahl undurchsichtiger Unternehmen gesendet werden. Diese Informationen dienen der Erstellung umfassender Profile, die anschließend für gezielte Werbung und andere Zwecke genutzt werden.
Drei Beschwerden. Im Jahr 2020 brachten der NCC und noyb drei DSGVO-Beschwerden gegen die Dating-App Grindr und mehrere Adtech-Unternehmen ein, die über die App personenbezogene Daten erhalten hatten. Eine dieser Beschwerden betraf Xandr, ein Online-Werbeunternehmen, das mittlerweile zu Microsoft gehört.
Strafe für Xandr. Nun hat die norwegische Datenschutzbehörde entschieden, dass Microsofts Xandr gegen die DSGVO verstoßen hat. Das Unternehmen verarbeitete personenbezogene Daten, darunter sensible Informationen zur sexuellen Orientierung, ohne gültige Rechtsgrundlage. Xandr wurde zur Zahlung einer Geldbuße in Höhe von rund € 8,5 Millionen verpflichtet.
Felix Mikolasch, Datenschutzjurist bei noyb: „Wir begrüßen diese Entscheidung sehr. Online-Adtech-Unternehmen wie Xandr agieren oft im Hintergrund und werden selten für ihre Praktiken zur Rechenschaft gezogen. Die Entscheidung stellt einen wertvollen Präzedenzfall für ähnliche Situationen dar.“
Schlag für die Online-Adtech-Branche. Die Entscheidung ist ein schwerer Schlag für die Online-Werbe- und kommerzielle Überwachungsbranche. Viele Webseiten, Apps, Plattformen, Betriebssysteme und andere Dienste senden Nutzerdaten an Adtech-Unternehmen. Diese Unternehmen erstellen Nutzerprofile und sammeln riesige Mengen an personenbezogenen Daten, die zu Werbe- und anderen Zwecken zwischen Tausenden von Unternehmen ausgetauscht werden. Die aktuelle Geldbuße zeigt, dass Unternehmen wie Xandr letztendlich für ihre zwielichtigen Praktiken zur Rechenschaft gezogen werden. Die Erstellung von Profilen über die Interessen, Gewohnheiten, den Standort und das Verhalten von Menschen erfordert eine gültige Einwilligung – die Adtech-Unternehmen so gut wie nie einholen.
Finn Myrstad, Direktor für digitale Strategie beim norwegischen Verbraucherrat: „Dies sendet ein starkes Signal an alle, deren Geschäftsmodell auf dem Tracking und Profiling von Verbrauchern beruht. Da eine gültige Einwilligung tatsächlich informiert und aussagekräftig sein muss, ist es schwer vorstellbar, wie die heutige, auf Überwachung basierende Werbung überhaupt rechtmäßig sein kann.“
Big Tech betreibt intensive Lobbyarbeit. Unterdessen will die Europäische Kommission die DSGVO im Rahmen des sogenannten „Digital Omnibus“ substanziell ändern. Big Tech hat intensive Lobbyarbeit betrieben, damit mit dieser Gesetzesänderung Online-Tracking-IDs aus dem Anwendungsbereich der DSGVO fallen. Die Kommission hat dem Lobbydruck nun nachgegeben. Dies könnte zur Folge haben, dass Werbeunternehmen nun freie Hand beim massenhaften Profiling von Nutzer:innen erhalten. Unternehmen wie Microsofts Xandr, Google, Meta, Apple, Amazon, Criteo, Grindr und andere könnten dann nicht mehr für Verstöße im Zusammenhang mit diesen Online-Tracking-IDs zur Rechenschaft gezogen werden. Dieser Vorschlag der EU-Kommission wird derzeit vom Europäischen Parlament und vom Rat diskutiert.
