Unternehmen können die Verantwortung für rechtswidrige Datenverarbeitungen nicht einfach an Geschäftspartner weiterreichen. Das zeigt das Vorgehen der norwegischen Datenschutzaufsicht gegen Xandr: 92 Millionen norwegische Kronen soll die Microsoft-Tochter wegen der Verarbeitung von Grindr-Daten zahlen – der Bescheid ist allerdings noch nicht rechtskräftig.
Auch empfangende Unternehmen müssen die Rechtmäßigkeit selbst prüfen
Nach Auffassung der norwegischen Datenschutzaufsicht Datatilsynet verarbeitete Xandr bis 2020 personenbezogene Daten, die über die Dating-App Grindr erhoben worden waren. Dazu gehörten unter anderem Informationen zur sexuellen Orientierung. Diese gelten nach der DSGVO als besonders geschützte Daten.
Entscheidend ist nicht nur, dass Grindr die Daten ursprünglich erhoben hatte. Xandr nutzte sie als Adtech-Unternehmen für Werbezwecke und erzielte nach Darstellung der Aufsicht unmittelbar wirtschaftlichen Nutzen daraus. Die Behörde betont deshalb: Jedes Unternehmen muss die Rechtmäßigkeit seiner eigenen Verarbeitung prüfen und verantworten.
Der Bescheid ist noch nicht endgültig. Xandr kann innerhalb von drei Wochen nach Erhalt Einspruch einlegen. Dennoch ist der Fall für Unternehmen relevant, weil er eine zentrale Datenschutzfrage deutlich macht: Die Zusicherung eines Geschäftspartners ersetzt keine eigene rechtliche Prüfung.
Besonders sensible Daten erhöhen das Risiko einer falschen Verarbeitung
Informationen zur sexuellen Orientierung gehören zu einer Datenkategorie, deren Verarbeitung die DSGVO besonders schützt. Werden solche Daten ohne ausreichende rechtliche Grundlage, für einen nicht abgedeckten Zweck oder in einem für Betroffene undurchsichtigen Verfahren verarbeitet, steigt die datenschutzrechtliche Tragweite.
Unternehmen sollten daher nicht nur fragen, ob Daten technisch verfügbar sind. Entscheidend ist auch, welche Daten tatsächlich übermittelt werden, zu welchem Zweck sie genutzt werden und ob die eigene Verarbeitung von der ursprünglichen Erhebung gedeckt ist.
Das betrifft nicht ausschließlich Werbeplattformen. Ein vergleichbares Prüfproblem kann entstehen, wenn Unternehmen Kundendaten, Nutzungsinformationen oder Beschäftigtendaten von Dienstleistern, Plattformen oder anderen Geschäftspartnern übernehmen und anschließend für eigene Zwecke verwenden.
Verträge allein beantworten die entscheidende Datenschutzfrage nicht
Datenschutzvereinbarungen und Leistungsbeschreibungen können Zuständigkeiten regeln. Sie nehmen dem empfangenden Unternehmen jedoch nicht die Pflicht ab, die konkrete Verarbeitung selbst zu bewerten. Genau diese Verantwortlichkeit wollte Xandr nach Darstellung von Datatilsynet auf Grindr verlagern, was die Behörde als unzulässig bewertete.
Für die Praxis bedeutet das: Vor einer Datenübernahme sollte nachvollziehbar dokumentiert sein, welche Datenkategorien betroffen sind, aus welcher Verarbeitung sie stammen und auf welcher Rechtsgrundlage die eigene Nutzung beruht. Ebenso wichtig ist die Prüfung, ob Betroffene die weitere Nutzung erkennen können.
Besonders kritisch sind Prozesse, bei denen Daten automatisiert an mehrere Unternehmen weitergereicht werden. Datatilsynet bezeichnete den Werbemarkt in diesem Zusammenhang als für Endnutzer undurchsichtig. Je weniger transparent ein Datenfluss ist, desto schwieriger wird es, Verantwortlichkeiten und rechtliche Grundlagen belastbar nachzuweisen.
Ein Datenfluss kann mehrere eigenständige Prüfungen erfordern
Der Fall legt nahe, Datenverarbeitungen nicht nur am Anfang der Prozesskette zu prüfen. Unternehmen sollten auch bei bestehenden Kooperationen regelmäßig nachvollziehen, welche personenbezogenen Daten tatsächlich anfallen und ob die Nutzung noch dem dokumentierten Zweck entspricht.
- Welche personenbezogenen Daten erhält das Unternehmen von externen Partnern?
- Enthalten die Datensätze besonders geschützte Informationen?
- Für welchen eigenen Zweck werden die Daten verarbeitet?
- Ist diese Verarbeitung rechtlich gedeckt und für Betroffene nachvollziehbar?
- Welche Verantwortlichkeiten bestehen zwischen den beteiligten Unternehmen?
Eine solche Prüfung ist insbesondere dort sinnvoll, wo Geschäftsmodelle auf Datenaustausch, personalisierter Werbung oder automatisierten Plattformprozessen beruhen. Der konkrete Fall belegt nicht, dass jedes Unternehmen in diesen Bereichen rechtswidrig handelt. Er zeigt aber, dass die eigene Verantwortung nicht mit dem Hinweis auf einen Datenlieferanten endet.
Datenschutz braucht nachvollziehbare Prozesse und klare Verantwortlichkeiten
Datenschutz und Informationssicherheit sollten nach dem Verständnis von Tulos gemeinsam mit organisatorischen Abläufen betrachtet werden. Bei komplexen Datenflüssen reicht es nicht, technische Schnittstellen oder Verträge isoliert zu betrachten. Verantwortliche müssen auch Zweck, Datenkategorien, Zugriffe und Entscheidungswege nachvollziehen können.
Ein Datenschutz-Audit kann dabei helfen, bestehende Verarbeitungen, Zuständigkeiten und Nachweise systematisch zu prüfen. So lassen sich Schwachstellen erkennen, bevor aus einer unklaren Datenweitergabe ein aufsichtsrechtliches Verfahren oder ein Vertrauensverlust entsteht.
Die wichtigsten Fragen und Antworten
Warum kann ein Unternehmen für Daten eines Geschäftspartners verantwortlich sein?
Weil jedes Unternehmen die Rechtmäßigkeit seiner eigenen Verarbeitung prüfen muss. Nach der Bewertung von Datatilsynet kann sich ein Unternehmen nicht allein darauf berufen, dass ein anderer Partner die Daten ursprünglich erhoben oder weitergegeben hat.
Welche Daten waren im Fall Xandr besonders sensibel?
Xandr verarbeitete nach Angaben der norwegischen Datenschutzaufsicht unter anderem Informationen zur sexuellen Orientierung. Diese gehören nach der DSGVO zu den besonders geschützten Kategorien personenbezogener Daten.
Ist die Geldbuße gegen Xandr bereits rechtskräftig?
Nein. Datatilsynet setzte eine Geldbuße von 92 Millionen norwegischen Kronen fest. Xandr kann nach den vorliegenden Informationen innerhalb von drei Wochen nach Erhalt des Bescheids Einspruch einlegen.
Quelle: heise.de