8,6 Mio. € Xandr-Bußgeld: Real-Time Bidding & Joint-Controller-Fallen

Am 16. Oktober 2026 verhängte die norwegische Datenschutzbehörde (Datatilsynet) eine Geldbuße in Höhe von 8,6 Millionen Euro (92 Millionen NOK) gegen die Microsoft-Adtech-Tochter Xandr wegen der unrechtmäßigen Verarbeitung personenbezogener Daten nach Art. 6 Abs. 1 und Art. 9 Abs. 1 DSGVO. Die Entscheidung setzt einen verbindlichen Maßstab für europäische Softwareunternehmen: Rechenschaftspflicht kann nicht ausgelagert werden, und die Einbindung programmatischer Werbe-SDKs begründet eine gemeinsame Verantwortlichkeit, die nachgelagerte Consent-Strings nicht automatisch absichern.

Was ist im Xandr-Fall der norwegischen Datenschutzbehörde geschehen?

Datatilsynet schloss eine mehrjährige Untersuchung der programmatischen Real-Time-Bidding-Plattform (RTB) von Xandr ab. Die Untersuchung ging auf Beschwerden des norwegischen Verbraucherrats bezüglich personenbezogener Daten zurück, die über die mobile App Grindr übermittelt wurden.

Die Aufsichtsbehörde stellte fest, dass Xandr mobile Werbe-IDs, IP-Adressen und Nutzungsdaten während automatisierter Auktionsanfragen verarbeitete. Da sich die App an homosexuelle, bisexuelle, trans- und queer-orientierte Personen richtet, urteilte die Behörde, dass bereits die Information über die Nutzung dieser App besondere Kategorien personenbezogener Daten bezüglich der sexuellen Orientierung nach Art. 9 Abs. 1 DSGVO darstellt.

Xandr argumentierte, lediglich als technische Plattform für Angebot und Nachfrage agiert zu haben und sich auf die Einwilligung über das Consent-Management der App verlassen zu haben. Die Behörde wies diese Verteidigung vollständig zurück. Sie stufte Xandr als gemeinsamen Verantwortlichen (Joint Controller) nach Art. 26 DSGVO ein und betonte, dass Marktteilnehmer fremde Consent-Signale nicht ungeprüft übernehmen dürfen. Datatilsynet verhängte ein Bußgeld von 8.600.000 Euro wegen schwerer Fahrlässigkeit.

Warum können europäische KMU die Einwilligungsprüfung nicht auslagern?

Zahlreiche Apps, digitale Medien und B2B-SaaS-Plattformen binden Tracking-Skripte, Header-Bidding-Tags und Analyse-SDKs mit wenigen Codezeilen ein. Produktteams gehen häufig davon aus, dass ein standardisiertes Cookie-Banner oder ein IAB-TCF-Consent-String sämtliche Haftungsrisiken auf das Werbenetzwerk überträgt.

Die Xandr-Entscheidung beendet diese Praxis. Die zentralen Feststellungen der Behörde:

• Rechenschaftspflicht ist nicht delegierbar: Nach Art. 5 Abs. 2 und Art. 24 DSGVO muss jeder Verantwortliche eigenständig sicherstellen und nachweisen, dass eine wirksame Rechtsgrundlage für die eigene Verarbeitung vorliegt.
• Rückschluss auf sensible Daten: Sobald Metadaten, Nutzungskontext oder Telemetriedaten Rückschlüsse auf Gesundheit, weltanschauliche Überzeugungen oder die sexuelle Orientierung zulassen, genügt eine Standard-Einwilligung nach Art. 6 nicht. Erforderlich ist eine ausdrückliche Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO.
• Unwirksame weitergereichte Einwilligungen: Wenn vorgeschaltete Banner unklare Optionen, vorausgewählte Checkboxen oder unübersichtliche Partnerlisten nutzen, verarbeiten nachgelagerte Adtech-Partner diese Daten von Beginn an unrechtmäßig.

Überträgt Ihre Web- oder Mobilanwendung Telemetriedaten an programmatische Werbenetzwerke oder Datenbroker ohne unabhängig nachprüfbare Einwilligungsnachweise, haftet Ihr Unternehmen als gemeinsamer Verantwortlicher.

Welche Strafen drohen nach DSGVO Artikel 83?

Die unrechtmäßige Datenverarbeitung nach Art. 6 sowie Verstöße gegen die Vorgaben für sensible Daten nach Art. 9 unterliegen dem höchsten Sanktionsrahmen nach Art. 83 Abs. 5 DSGVO:

• Gesetzlicher Bußgeldrahmen: Bis zu 20.000.000 Euro oder bis zu 4 % des gesamten weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist.
• Gesamtschuldnerische Haftung: Nach Art. 26 und Art. 82 DSGVO können betroffene Personen vollen Schadensersatz von jedem beteiligten Verantwortlichen verlangen.
• Anordnung zur Datenlöschung: Neben Geldbußen verfügen Datenschutzbehörden regelmäßig die unverzügliche Löschung rechtswidrig erhobener Datensätze und darauf trainierter Modellparameter nach Art. 58 Abs. 2 lit. g DSGVO.

In Verbindung mit Prüfroutinen aus unserem Leitfaden zur KI-Verordnung und dem Hochrisiko-KI-Assessor geraten automatisierte Zielgruppen- und Profiling-Systeme zunehmend in den Fokus europäischer Aufsichtsbehörden.

Wie prüfen KMU SDKs und Vereinbarungen zur gemeinsamen Verantwortlichkeit?

Europäische Softwareunternehmen sollten Anbieterversprechen systematisch verifizieren. Empfohlen wird ein vierstufiger Ablauf:

1. Drittanbieter-Tracker im Verzeichnis von Verarbeitungstätigkeiten erfassen

Nach Art. 30 DSGVO müssen Verarbeitungsverzeichnisse alle externen Datenempfänger aufführen. Überprüfen Sie den Netzwerkverkehr Ihrer Produktionsanwendungen auf nicht dokumentierte SDKs, Werbe-IDs und Pixel. Hinterlegen Sie diese Datenflüsse in Ihrem VVT-Leitfaden.

2. Vereinbarungen nach Artikel 26 DSGVO abschließen

Tauscht Ihre Software Daten mit Werbenetzwerken oder Analyseplattformen aus, schließen Sie transparente Vereinbarungen nach Art. 26 DSGVO ab. Die Vereinbarung muss klar regeln:

• Die Erfüllung von Informationspflichten nach Art. 13 und 14 DSGVO.
• Die Bearbeitung von Betroffenenrechten nach Art. 15 bis 22 DSGVO.
• Die revisionssichere Speicherung von Einwilligungsnachweisen.

3. Technische Filter für sensible Metadaten etablieren

Übertragen Sie keine sensiblen Nutzungskontexte an programmatische Bieterverfahren oder mandantenfähige Analysedienste. Bei Software in den Bereichen Gesundheit, Communitys oder Lebensführung sollten Geräte-IDs, IP-Adressen und Standortdaten vor der API-Übertragung bereinigt werden. Führen Sie eine DSFA durch, um Re-Identifikationsrisiken zu bewerten.

4. Technische Kontrollen mit NIS-2 und IT-Sicherheit abstimmen

Stellen Sie sicher, dass Ihre Datenarchitektur den Standards der NIS-2-Richtlinie und von DORA entspricht. Unkontrollierte Drittanbieter-Skripte stellen sowohl ein Sicherheitsrisiko für die Software-Lieferkette als auch einen Datenschutzverstoß dar.

Was sollten Entwicklungs- und Produktteams zuerst umsetzen?

Warten Sie nicht auf behördliche Anfragen oder Kundenbeschwerden. Setzen Sie diese drei Schritte zeitnah um:

1. Netzwerkverkehr in Produktion analysieren: Prüfen Sie ausgehende API-Aufrufe Ihrer Web- und Mobilanwendungen auf IP-Adressen, Cookie-IDs und Werbe-Identifikatoren.
2. Consent-Banner-Logik validieren: Stellen Sie sicher, dass Tracking- und Adtech-Skripte blockiert bleiben, bis eine aktive, informierte Einwilligung vorliegt.
3. Prüffähige Nachweisakten zusammenstellen: Bündeln Sie Verträge, Verarbeitungsverzeichnisse und Einwilligungsnachweise in strukturierter Form, damit Ihr Datenschutzbeauftragter oder Rechtsbeistand Ihre Position validieren kann.

Haftungsausschluss: EuroComply bietet Tools und Nachweisentwürfe zur Vorbereitung auf die EU-Compliance. Dieser Leitfaden dient ausschließlich Informationszwecken und stellt keine rechtliche, regulatorische oder steuerliche Beratung dar. Technische Dokumentationen und Bewertungen sollten von qualifizierten Rechtsanwälten geprüft werden.