Norwegens Datenschutzbehörde hat gegen Microsofts Xandr eine Geldstrafe von rund 8,5 Millionen Euro wegen des Umgangs mit personenbezogenen Daten von Grindr-Nutzern verhängt, darunter sensible Informationen über die sexuelle Orientierung. Die Xandr-Grindr-Datengeldstrafe ist bemerkenswert, weil sie ein Unternehmen weiter hinten in der Werbekette ins Visier nimmt und nicht nur die App, die die Daten ursprünglich erhoben hat.

Die Zusammenfassung der Entscheidung, die uns vorliegt, ist kurz, daher beschränkt sich dieser Beitrag auf das, was bestätigt ist, und erklärt den breiteren Kontext für die Leser.

Wofür Norwegens Regulierungsbehörde Xandr bestraft hat

Dem Bericht zufolge steht die Strafe von rund 8,5 Millionen Euro damit in Zusammenhang, wie Xandr, ein werbetreibendes Unternehmen im Besitz von Microsoft, personenbezogene Daten von Grindr-Nutzern verarbeitet hat. Zu diesen Daten gehörten sensible Informationen über die sexuelle Orientierung.

Dies ist nicht das erste Mal, dass Grindrs Datenpraktiken die Aufmerksamkeit Norwegens auf sich gezogen haben. Die Datenschutzbehörde des Landes hat zuvor gegen Grindr selbst eine Geldstrafe von 65 Millionen norwegischen Kronen (rund 5,5 Millionen Euro) wegen eines Verstoßes gegen Artikel 9 der DSGVO verhängt, der die Verarbeitung besonderer Kategorien personenbezogener Daten einschränkt. Diese Geldstrafe wurde später vom Borgarting-Berufungsgericht bestätigt. Die neue Maßnahme gegen Xandr weitet den Fokus von der App auf ein Unternehmen aus, das die Daten nachgelagert verarbeitet hat.

Wie sensible App-Daten Werbeplattformen erreichen

Die meisten kostenlosen Apps verdienen Geld mit Werbung. Um relevante Anzeigen zu zeigen, kann eine App Informationen über einen Nutzer, wie eine Gerätekennung, den ungefähren Standort oder Profildetails, an Werbepartner weitergeben. Zu diesen Partnern können Ad-Exchanges und Plattformen gehören, die Anzeigen mit Zielgruppen abgleichen, oft innerhalb von Millisekunden nach dem Öffnen einer App.

Das Problem entsteht, wenn die betroffenen Informationen sensibel sind. Nach der DSGVO gehören Daten, die die sexuelle Orientierung offenbaren, zu einer geschützten Kategorie. Allein die Tatsache, dass jemand bestimmte Apps nutzt, kann bereits etwas Sensibles offenbaren. Sobald dieses Signal in eine Ad-Tech-Pipeline gelangt, kann es kopiert, mit anderen Kennungen kombiniert und zwischen mehreren Unternehmen weitergegeben werden, was es für Nutzer schwer macht zu wissen, wo es gelandet ist oder es zurückzuziehen.

Deshalb betrachten Regulierungsbehörden die gesamte Kette. Ein Unternehmen, das solche Daten erhält oder verarbeitet, übernimmt seine eigenen rechtlichen Verantwortlichkeiten, auch wenn es nicht dasjenige war, das sie zuerst erhoben hat.

Was die DSGVO-Durchsetzung für Nutzer bedeutet

Die Geldstrafe ist ein Signal, dass europäische Regulierungsbehörden bereit sind, Unternehmen im gesamten Werbeökosystem zu verfolgen, einschließlich derjenigen, die großen Technologiekonzernen gehören. Für Nutzer gibt es einige praktische Schlussfolgerungen.

  • Daten besonderer Kategorien unterliegen strengeren Regeln. Informationen über sexuelle Orientierung, Gesundheit, Religion und ähnliche Themen dürfen nach der DSGVO grundsätzlich nicht ohne eine gültige Rechtsgrundlage verarbeitet werden.
  • Die Durchsetzung kann langsam sein. Der frühere Grindr-Fall durchlief eine Geldstrafe, eine Berufung und ein Gerichtsurteil. Regulatorische Maßnahmen machen eine bereits eingetretene Exposition nicht rückgängig.
  • Geldstrafen sind nicht dasselbe wie Abhilfe. Eine Strafe bestraft ein Unternehmen, aber Einzelpersonen müssen ihre eigene Exposition weiterhin selbst managen.

Unternehmen dieser Größe halten auch in anderen Kontexten große Datenmengen, und Sicherheitsvorfälle anderswo im Ökosystem sind eine Erinnerung daran, dass zentral gespeicherte Daten ein Ziel sind. Zum Beispiel haben wir über einen Teen-Bug-Hunter berichtet, der angeblich Admin-Zugriff auf Microsofts internen Analyse-Dienst Titan erlangte, und über Behauptungen, dass Mitarbeiterdatenbanken aus der Microsoft-Azure-Infrastruktur gestohlen wurden. Dies sind separate Angelegenheiten von der Xandr-Entscheidung, aber sie veranschaulichen, warum es wichtig ist, von vornherein einzuschränken, was man teilt.

Was das für Sie bedeutet

Sie können nicht sehen, welche Werbepartner Daten von einer App erhalten, daher ist der zuverlässigste Ansatz, zu reduzieren, was die App senden kann. Hier ist, wo Sie anfangen sollten:

  • Überprüfen Sie App-Berechtigungen. Prüfen Sie Standort-, Kontakt-, Foto- und Tracking-Berechtigungen auf Ihrem Telefon. Entziehen Sie alles, was eine App nicht eindeutig benötigt.
  • Setzen Sie Ihre Werbe-ID zurück oder deaktivieren Sie sie. Sowohl Android als auch iOS ermöglichen es Ihnen, Ihre Werbekennung zu löschen oder zurückzusetzen oder das Ad-Tracking einzuschränken, was es für Werbeplattformen schwieriger macht, Aktivitäten über Apps hinweg zu verknüpfen.
  • Sehen Sie sich die Datenschutzeinstellungen in der App an. Viele Apps enthalten Schalter für personalisierte Werbung oder Datenweitergabe an Partner. Schalten Sie aus, was Sie können.
  • Seien Sie selektiv bei sensiblen Profildetails. Wenn eine App nach Informationen fragt, die Sie nicht teilen möchten, lassen Sie sie gegebenenfalls leer.
  • Löschen Sie Konten, die Sie nicht mehr nutzen. Inaktive Konten können weiterhin Daten enthalten.

Wo ein VPN passt

Ein VPN kann Ihre IP-Adresse maskieren und Ihren Datenverkehr zwischen Ihrem Gerät und dem VPN-Server verschlüsseln, was in öffentlichen WLANs nützlich ist und dabei hilft, einzuschränken, was Ihr Internetanbieter sieht. Es hindert eine App jedoch nicht daran, die Daten, die Sie ihr gegeben haben, wie Profildetails oder eine Werbe-ID, an ihre Partner zu senden. Betrachten Sie ein VPN als eine teilweise Schutzschicht, nicht als Lösung für Datenteilung innerhalb von Apps.

Wichtige Erkenntnisse

Die Xandr-Grindr-Datengeldstrafe zeigt, dass Regulierungsbehörden über die Apps hinausblicken, die sensible Informationen sammeln, hin zu den Ad-Tech-Unternehmen, die sie verarbeiten. Für alltägliche Nutzer liegen die wirksamsten Schritte in Ihrer Kontrolle: Prüfen Sie App-Berechtigungen, setzen Sie Ihre Werbe-ID zurück oder deaktivieren Sie sie, passen Sie die Datenschutzeinstellungen in Apps an und nutzen Sie ein VPN nur für das, was es gut kann. Nehmen Sie sich diese Woche zehn Minuten Zeit, um die Apps auf Ihrem Telefon durchzugehen, beginnend mit denen, die die meisten persönlichen Informationen enthalten.