Sensible Grindr-Daten: Microsoft-Tochter muss Rekordstrafe zahlen

Die Werbe-Tech-Firma Xandr hatte sensible Daten von Grindr-Nutzer:innen an zahlreiche andere Werbefirmen verteilt. Dafür soll sie nun das höchste Datenschutz-Bußgeld der norwegischen Geschichte zahlen. Daten- und Verbraucherschützer:innen sehen darin ein wichtiges Signal, dass die Online-Werbeindustrie endlich zur Verantwortung gezogen wird. 
<figure class="wp-caption entry-thumbnail"><img width="2560" height="1707" src="https://cdn.netzpolitik.org/wp-upload/2026/10/imago0866061652h-scaled.jpg" class="attachment-landscape-860 size-landscape-860 wp-post-image" alt="Eine Hand hält ein Smartphone in der Hand, auf dem Bildschirm ist die Präsentation der Anwendung im App-Store zu sehen, unter anderem mit dem Schriftzug "Grindr - Schwuler Chat"" decoding="async" loading="lazy" srcset="https://cdn.netzpolitik.org/wp-upload/2026/10/imago0866061652h-scaled.jpg 2560w, https://cdn.netzpolitik.org/wp-upload/2026/10/imago0866061652h-726x484.jpg 726w, https://cdn.netzpolitik.org/wp-upload/2026/10/imago0866061652h-1013x675.jpg 1013w, https://cdn.netzpolitik.org/wp-upload/2026/10/imago0866061652h-1536x1024... 1536w, https://cdn.netzpolitik.org/wp-upload/2026/10/imago0866061652h-2048x1365... 2048w" sizes="auto, (max-width: 2560px) 100vw, 2560px" /><figcaption class="wp-caption-text">Werbe-Daten von Grindr-Nutzer:innen können Auskunft über ihre sexuelle Orientierung geben – Alle Rechte vorbehalten: <a href="https://www.imago-images.de/st/0866061652?searchID=852b8c52-f710-4272-8f... >IMAGO / Rüdiger Wölk</a></figcaption></figure>Die norwegische Datenschutzbehörde Datatilsynet hat ein Bußgeld in Höhe von 8,5 Millionen Euro gegen die Werbe-Tech-Firma Xandr verhängt. Das Unternehmen soll in den Jahren 2018 bis 2020 Daten von Nutzer:innen der queeren Dating-App Grindr ohne gültige Rechtsgrundlage verarbeitet und im Ökosystem der Online-Werbung weiterverbreitet haben. Es sei die höchste Strafe, die man je verhängt habe, heißt in einer <a href="https://www.datatilsynet.no/en/news/news-2026/microsoft-company-fined-no... der Aufsichtsbehörde</a>.
<h2>Gemeinsame Verantwortung von App und Werbe-Firma</h2>
Grindr bezeichnet sich selbst als „die weltweite größte Social-Networking-App für schwule, bi, trans und queere Menschen“. Die Daten, die die App an potenziell tausende Firmen verschickt habe, damit diese Werbe-Plätze buchen können, hätten unter anderem Aufschluss über deren sexuelle Orientierung gegeben. Diese Informationen gelten wie solche zu politischen Ansichten, Religion oder dem Gesundheitszustand als besonders sensibel und sind durch die Datenschutzgrundverordnung besonders geschützt.
Xandr war ein wichtiger Infrastruktur-Betreiber im Ökosystem der Online-Werbung. Das Unternehmen wurde 2022 von Microsoft übernommen und ist inzwischen in den eigenen Werbe-Diensten des Tech-Konzerns aufgegangen. Im Rahmen von <a href="https://netzpolitik.org/2025/databroker-files-im-dschungel-der-datenhaen... zur Versteigerung von Werbeplätzen habe das Unternehmen über mehrere Jahre die Daten der Grindr-Nutzer:innen an potenziell tausende andere Unternehmen weitergeleitet. Allein in Norwegen gibt es der Aufsichtsbehörde zufolge tausende Betroffene.
Die Microsoft-Tochter habe sich damit verteidigen wollen, dass Grindr die Einwilligung der Betroffenen für die Nutzung ihrer Daten eingeholt habe, so Datatilsynet. Eine Begründung, die man nicht akzeptiere, so die Datenschutzbehörde. „Unsere Kernbotschaft lautet, dass man die Verantwortung für den Datenschutz nicht einfach an andere weiterreichen kann.“ 
Die von Grindr eingeholten Einwilligungen seien ungültig gewesen, unter anderem weil die Nutzer:innen nicht ausreichend informiert worden seien. Dafür musste der Betreiber der Dating-App bereits ein <a href="https://www.heise.de/news/Datenschutz-Norwegisches-Gericht-bestaetigt-Mi... zahlen</a>. Xandr trage jedoch eine gemeinsame datenschutzrechtliche Verantwortung mit Grindr und hätte die Einwilligungen überprüfen müssen, so Datatilsynet.<div id="netzpolitik-cta-532765" class="netzpolitik-cta">–––

Die Hütte brennt! Wir gehen rein. Wir treten der Faschisierung entgegen. Wir kämpfen für eine freie, offene und solidarische Gesellschaft. Wir verteidigen die Grundrechte für alle. <a href="https://netzpolitik.org/spenden/?via=rss">Das geht nur mit deiner Unterstützung.</a>

–––</div>
Auf Anfrage von netzpolitik.org teilt ein Microsoft-Sprecher mit, dass die Untersuchung und die Entscheidung sich auf Verhaltensweisen beziehen, die vor der Übernahme von Xandr durch Microsoft stattfanden. Seitdem hätten sich die „Auslegung und Anwendung rechtlicher Standards und Praktiken weiterentwickelt“. Derzeit prüfe man die Entscheidung der Behörde und wäge die Optionen ab.
<h2>„Schlag gegen die Online-Adtech-Branche“</h2>
Xandr stand auch im Zentrum von Enthüllungen zur Datensammlung der Online-Werbe-Industrie, die netzpolitik.org und The Markup 2023 veröffentlicht haben. Damals konnten wir auf Basis einer Angebotsliste von Xandr über mehr als <a href="https://netzpolitik.org/2023/microsofts-datenmarktplatz-xandr-das-sind-6... Kategorien</a> berichten, in die die Werbeindustrie Menschen einteilt. Diese reichten von soziodemographischen und ökonomischen Daten über Gesundheitsinformationen bis zu Rubriken wie „Moms who shop like crazy“.
Das aktuelle Verfahren geht zurück auf eine Untersuchung der norwegischen Verbraucherschutz-Organisation Forbrukerrådet gemeinsam mit der Sicherheitsfirma Mnemonic, dem Tracking-Forscher Wolfie Christl vom Verein Cracked Labs und der Datenschutz-NGO noyb. Der 2020 unter dem Titel <a href="https://www.forbrukerradet.no/out-of-control/">„Out of Control“</a> veröffentlichte Bericht hatte gezeigt, wie umfangreich Apps für Zwecke der Online-Werbung selbst sensible Informationen über ihre Nutzer:innen mit potenziell tausenden Firmen teilen. Gegenstand der Untersuchung waren neben der Dating-App Grindr auch eine Anwendung für Perioden-Tracking und eine Tastatur-App. Durch die Weitergabe ihrer Daten würden Verbraucher:innen besonders anfällig für Manipulation und Ausbeutung, warnten die Forscher:innen.
Forbrukerrådet und noyb legten auf Basis der Untersuchung mehrere Beschwerden wegen DSGVO-Verstößen bei der norwegischen Aufsichtsbehörde ein. noyb begrüßte das Bußgeld gegen Xandr als <a href="https://noyb.eu/de/privacy-win-norwegian-authority-fines-microsofts-xand...„Schlag gegen die Online-Adtech-Branche“</a>. Unternehmen wie Xandr agierten oft im Hintergrund und würden selten für ihre Praktiken zur Rechenschaft gezogen, so Datenschutzjurist Felix Mikolasch von noyb. „Die Entscheidung stellt einen wertvollen Präzedenzfall für ähnliche Situationen dar.“
Auch Finn Myrstad, Direktor für digitale Strategie beim norwegischen Verbraucherrat Forbrukerrådet, sieht in der Entscheidung ein starkes Signal an alle, deren Geschäftsmodell auf dem Tracking und Profiling von Verbrauchern beruhe. „Da eine gültige Einwilligung tatsächlich informiert und aussagekräftig sein muss, ist es schwer vorstellbar, wie die heutige, auf Überwachung basierende Werbung überhaupt rechtmäßig sein kann.“
<h2>Tracking könnte bald noch schwerer zu kontrollieren sein</h2>
noyb verweist in diesen Zusammenhang auf laufende Verhandlungen zur Anpassung der Datenschutzgrundverordnung, die zur Folge haben könnten, dass Werbeunternehmen „freie Hand beim massenhaften Profiling von Nutzer:innen erhalten“. Konkret will die EU-Kommission im Rahmen des <a href="https://netzpolitik.org/tag/digitaler-omnibus/">Digital-Omnibus-Pakets</a> die Definition personenbezogener Daten ändern und pseudonymisierte Daten unter Umständen vom Datenschutz ausnehmen. Dies werde laut noyb dazu führen, dass Online-Tracking-IDs aus dem Anwendungsbereich der DSGVO fallen.<div id="netzpolitik-cta-533110" class="netzpolitik-cta">–––

–––</div>
Auch andere Expert:innen wie die <a href="https://netzpolitik.org/2026/digitaler-omnibus-die-eu-kommission-ruettel... Datenschutzbeauftragte Meike Kamp</a> hatten davor gewarnt, dass Datenflüsse in der Online-Werbe-Industrie noch schwerer zu kontrollieren seien, wenn die Änderung beschlossen würde.
Auf eine kurzfristige Bitte um Stellungnahme reagierte Microsoft bis zur Veröffentlichung dieses Artikels nicht. Sollte uns ein Statement erreichen, ergänzen wir dieses nachträglich.
Update, 12. Oktober, 14:45 Uhr: Statement von Microsoft eingebaut.
–––

Die Arbeit von netzpolitik.org finanziert sich aus den Spenden unserer Leser:innen. Werde Teil dieser einzigartigen Community und unterstütze auch Du unseren gemeinwohlorientierten, werbe- und trackingfreien Journalismus <a href="https://netzpolitik.org/spenden/?via=rss">jetzt mit einer Spende.</a><img decoding="async" src="https://vg03.met.vgwort.de/na/b4df511689274d5da4c46d14f834fa35" width="1" height="1" alt>

webadresse:

https://netzpolitik.org/2026/sensible-grindr-daten-microsoft-tochter-muss-rekordstrafe-zahlen/

Autor/Gruppe:

Ingo Dachwitz

Themen:

Netactivism

feed-date:

Montag, Oktober 12, 2026 - 14:14