Gemeinsame DSGVO-Verantwortliche können Einwilligungen nicht auslagern

Eine nicht eingeholte Einwilligung bleibt Ihre Verantwortung. Das ist die zentrale Botschaft des Bußgelds in Höhe von 8,6 Millionen Euro, das die norwegische Datenschutzbehörde gerade gegen Xandr, das mittlerweile zu Microsoft gehörende Werbetechnologieunternehmen, verhängt hat. Diese Entscheidung sollte die Sichtweise jedes Datenschutzbeauftragten auf die Aussage „Unser Partner kümmert sich um die Einwilligung“ grundlegend verändern.

Die Fakten sind eindeutig. Die norwegische Datatilsynet unterzeichnete ihre endgültige Entscheidung am 2. Oktober 2026, verkündete das Bußgeld am 12. Oktober in Norwegen, und der Europäische Datenschutzausschuss veröffentlichte die Entscheidung am 16. Oktober auf seiner nationalen News-Seite erneut. Der Fall begann mit einer Beschwerde des norwegischen Verbraucherrats aus dem Jahr 2020 über Real-Time-Bidding, das Nutzer von Grindr betraf, einer Dating-App für schwule, bi, trans und queere Menschen. Xandr holte bei diesen Nutzern keine Einwilligung ein, sondern verließ sich auf die von Grindr erklärte Einwilligung – die Behörde bewertete diese jedoch als ungültig.

Werbetechnologie ist hier der Kontext, aber das Prinzip gilt überall. Jedes Unternehmen, das personenbezogene Daten von einem Partner erhält, sie an einen Partner weitergibt oder sie per E-Mail, Filesharing, API oder KI-Agenten teilt, befindet sich im selben Risiko wie Xandr, sobald eine Aufsichtsbehörde nachfragt, wer was geprüft hat. Dieser Beitrag erläutert, was die Behörde entschieden hat, warum die Begründung für CISOs und Compliance-Verantwortliche relevant ist und wie ein gesteuerter Austausch wie der Kiteworks Secure Data Exchange Sie dabei unterstützen kann, eigene Entscheidungen durchzusetzen und zu belegen – und wo dies nicht möglich ist.

Wichtige Erkenntnisse

1. Eine vorgelagerte Einwilligung schützt nicht vor Haftung.

Die Behörde entschied, dass jeder gemeinsam Verantwortliche prüfen muss, ob die Einwilligung gültig ist und die eigene Verarbeitung abdeckt – eine Zusicherung des Partners entbindet nicht von der Verantwortung.

2. Eine Vertragsklausel ändert nichts an der gemeinsamen Verantwortlichkeit.

Xandr untersagte Partnern die Weitergabe besonderer Kategorien personenbezogener Daten, dennoch stellte die Behörde fest, dass Xandr gemeinsam mitbestimmte, welche Datenkategorien geteilt wurden.

3. Die Nutzung einer App kann besondere Kategorien personenbezogener Daten offenbaren.

Die Behörde wertete die Tatsache, dass eine Person Grindr nutzte, zusammen mit Werbe-ID und IP-Adresse, als Angabe zur sexuellen Orientierung gemäß Artikel 9(1).

4. Fahrlässigkeit erfordert keine böse Absicht.

Die Behörde stufte die Verstöße mindestens als fahrlässig und von hoher Schwere ein, da sie zentrale DSGVO-Vorgaben und sensible Daten betrafen.

5. Beweise sind die beste Verteidigung.

Compliance-Verantwortliche, die nachweisen können, welche Daten wohin, unter welcher Regel und mit wessen Freigabe weitergegeben wurden, sind deutlich besser aufgestellt als jene, die sich nur auf vertragliche Zusicherungen verlassen.

Was die norwegische Datenschutzbehörde entschieden hat

Die Behörde verhängte gegen Xandr Inc. eine Geldstrafe von 92.000.000 NOK, was laut EDPB 8.600.000 EUR entspricht, weil Xandr die Daten von Grindr-Nutzern ohne Rechtsgrundlage nach Artikel 6(1) DSGVO und unter Verstoß gegen Artikel 9(1) verarbeitet hat – da keine gültige Ausnahme vorlag. Die betroffenen Daten waren die Tatsache der Grindr-Nutzung, die Werbe-ID und die IP-Adresse der Nutzer. Laut der veröffentlichten, geschwärzten Version der Entscheidung des norwegischen Verbraucherrats wurden auch App-IDs als Teil dieses Datensatzes behandelt.

Zwei Aspekte der Begründung verdienen besondere Aufmerksamkeit. Erstens wertete die Behörde bereits die bloße Nutzung von Grindr als Offenbarung der sexuellen Orientierung. Niemand musste diese Information explizit in einem Formularfeld angeben – der Kontext reichte aus, um die Daten unter das Verarbeitungsverbot besonderer Kategorien zu stellen. Zweitens stellte die Behörde fest, dass die einzig in Frage kommende Ausnahme eine ausdrückliche Einwilligung sei – und dass für die Verarbeitung durch Xandr keine gültige ausdrückliche Einwilligung vorlag.

Die Behörde bewertete die Verstöße als mindestens fahrlässig und von hoher Schwere. Für diese Einstufung ist kein Nachweis erforderlich, dass jemand absichtlich gegen das Gesetz verstoßen wollte. Fahrlässigkeit bedeutet in diesem Zusammenhang, dass ein Unternehmen die Sorgfalt vermissen ließ, die von einem Verantwortlichen in dieser Position verlangt wird. Dieser Maßstab ist für eine Aufsichtsbehörde viel leichter zu erfüllen als Vorsatz – und genau daran wird auch Ihr eigenes Vorgehen gemessen.

Ein Hinweis zu den Daten hilft, Missverständnisse zu vermeiden: Die Entscheidung ist auf den 2. Oktober 2026 datiert. Die Berichterstattung in Norwegen und Europa begann am 12. Oktober. Die EDPB-Seite, auf die viele zuerst stoßen, trägt das Veröffentlichungsdatum 16. Oktober. Alle drei Daten beziehen sich auf dieselbe Entscheidung.

Warum das Vertrauen auf die Grindr-Einwilligung scheiterte

Xandr holte die Einwilligung nicht selbst ein, sondern verließ sich laut Entscheidungstext auf die von Grindr über dessen früheres Consent-Management-Tool eingeholte Einwilligung. Die Behörde stellte fest, dass diese Einwilligungen nicht den DSGVO-Anforderungen entsprachen, die laut Artikel 4(11) und 7 freiwillig, spezifisch, informiert, eindeutig und ebenso leicht widerrufbar wie erteilbar sein müssen. Ist die vorgelagerte Einwilligung ungültig, ist jede darauf aufbauende Verarbeitung ebenfalls ungültig.

Die strukturelle Lehre liegt eine Ebene über der Einwilligungsmechanik. Xandr hatte ein nachvollziehbares Geschäftsargument: Grindr hatte die Nutzerbeziehung, steuerte den Einwilligungsprozess, und Xandr erhielt ein Signal, dass eine Einwilligung vorlag. Die Behörde wies dieses Argument dennoch zurück – in einem Satz, den jedes Compliance-Team an ein Whiteboard schreiben sollte: Verantwortung kann nicht ausgelagert werden.

Der Wortlaut von Artikel 7 erklärt, warum das so ist. Die Beweislast liegt beim Verantwortlichen, der nachweisen muss, dass die betroffene Person eingewilligt hat. Ein Signal vom Partner, dass eine Einwilligung besteht, ist kein Nachweis. Ein Nachweis ist ein Dokument, das zeigt, was die Person wann, für welche Zwecke und für welche Verarbeitung genehmigt hat – und dass Ihre eigene Verarbeitung davon abgedeckt ist.

Aus Sicht eines CISOs ist das eher ein Data-Lineage-Problem als ein juristisches. Die Frage ist, ob Sie einen Datensatz vom Eingang in Ihr System bis zum Empfänger zurückverfolgen und die jeweils zugrunde liegende Rechtsgrundlage dokumentieren können. Unternehmen, die das schnell beantworten können, sind selten. Unternehmen, die das für Datenbewegungen per E-Mail und Filesharing – außerhalb einzelner Anwendungen – nachweisen können, sind noch seltener.

Warum eine Vertragsklausel die gemeinsame Verantwortlichkeit nicht verhindert hat

Die Behörde stellte fest, dass Xandr gemeinsam mit Grindr als Verantwortlicher agierte – sowohl als Supply-Side- als auch als Demand-Side-Plattform in der Auktion. Die Begründung stützte sich auf die im Beschluss beschriebenen konvergierenden Entscheidungen über Zwecke und Mittel der Verarbeitung. Xandrs eigenes Vertragswerk und die Plattform bestimmten mit, welche Daten und Empfänger beteiligt waren.

Xandrs Verträge untersagten Partnern die Weitergabe besonderer Kategorien personenbezogener Daten. Diese Klausel änderte am Ergebnis jedoch nichts. Die Behörde lehnte die Klausel als ausreichende Schutzmaßnahme ab und stellte fest, dass Xandr gemeinsam mit Grindr Verantwortlicher war. Ein Verbot auf dem Papier hilft nicht, wenn das von Ihnen gebaute System die Daten dennoch verarbeitet.

Auch der Wortlaut von Artikel 26 weist in diese Richtung. Gemeinsame Verantwortliche müssen ihre jeweiligen Zuständigkeiten transparent regeln, und die betroffene Person kann ihre Rechte gegenüber jedem von ihnen geltend machen. Die Entscheidung zitiert Artikel 26(1) und stellt klar, dass eine Vereinbarung zwischen gemeinsam Verantwortlichen keine Partei von ihren Pflichten entbindet.

Für Compliance-Verantwortliche ist dies der Teil der Entscheidung, der eine Bestandsaufnahme anstoßen sollte. Jede Datenweitergabe, die eine gemeinsame Plattform, Konsole, gemeinsame Standards oder eine geteilte Pipeline umfasst, birgt das Risiko gemeinsamer Verantwortlichkeit – unabhängig von der Papierlage. Die gemeinsame Verantwortlichkeit beschreibt die Realität, sie kann keine andere Realität schaffen.

Das Muster über Adtech hinaus

Es wäre bequem, diese Entscheidung als reinen Werbefall abzutun. Die Durchsetzungszahlen sprechen dagegen. Die GDPR Fines and Data Breach Survey von DLA Piper berichtet, dass sich die kumulierten DSGVO-Bußgelder vom Inkrafttreten der Verordnung am 25. Mai 2018 bis zum 10. Januar 2026 auf 7,1 Milliarden Euro belaufen, wobei allein 2025 rund 1,2 Milliarden Euro an Bußgeldern verhängt wurden.

Durchsetzung in dieser Größenordnung betrifft nicht nur einen Sektor. Sie beruht darauf, dass Behörden gelernt haben, allen Verantwortlichen dieselben Fragen zu stellen – und die Xandr-Entscheidung zeigt, wie eine dieser Fragen in einer Datenlieferkette aussieht: Wer hat Ihnen diese Daten gegeben, auf welcher Grundlage, und wie wissen Sie das?

Auch die Zahl der Vorfälle, die den Prozess auslösen, steigt. Die Analyse von DLA Piper aus Februar 2026 ergab, dass europäische Behörden im Schnitt 443 Datenschutzvorfälle pro Tag gemeldet bekamen – ein Anstieg um 22 Prozent gegenüber dem Vorjahr. Jede Meldung ist ein Moment, in dem eine Aufsichtsbehörde den Verantwortlichen auffordern kann, zu erklären, wohin die Daten gingen und wer sie noch erhalten hat.

Das betrifft nicht nur Unternehmen, die mit personenbezogenen Daten handeln. Ein Krankenhaus, das Überweisungsdaten an eine Partnerklinik gibt, eine Bank, die Kundendaten an einen Dienstleister sendet, oder ein Hersteller, der Mitarbeiterdaten an einen Lohnabrechner weiterleitet – sie alle übermitteln personenbezogene Daten an Dritte. Sie unterscheiden sich von Xandr in Umfang und Absicht, teilen aber das Risiko, dass eine Behörde prüft, ob die Rechtsgrundlage des Empfängers die Nutzung abdeckt. Der Übertragungskanal ändert die Frage nicht. E-Mail, Filesharing, APIs und KI-Agenten bewegen personenbezogene Daten zwischen Menschen, Maschinen und Systemen – und jede Bewegung ist ein Punkt, an dem Verantwortung greift oder nicht.

Was Aufsichtsbehörden jetzt von Ihnen verlangen

Das Risiko ist erheblich. Artikel 83(5) DSGVO sieht für Verstöße gegen die Artikel 5, 6, 7 und 9 die höchste Bußgeldstufe vor – bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes des Vorjahres, je nachdem, welcher Wert höher ist. Genau diese Artikel stehen im Mittelpunkt der Xandr-Entscheidung.

Die Bußgeldobergrenzen sorgen für Aufmerksamkeit, aber das wichtigere Signal für Compliance-Verantwortliche ist, was die Behörde vom Verantwortlichen erwartet: Die Einwilligung für die eigene Verarbeitung prüfen. Sicherstellen, dass die Einwilligung die konkrete Nutzung abdeckt. Den Nachweis aufbewahren. Das sind drei Aufgaben – und keine davon ist ein Technologieeinkauf. Es sind Beweispraktiken.

Die Beweislücke zeigt sich auch in Umfragen. Im Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Report berichteten 63 Prozent der 459 befragten Sicherheits-, Compliance- und Technologieexperten von einer Compliance-Folge im Vorjahr – darunter Audit-Feststellungen, geforderte Maßnahmenpläne, Eskalationen an den Vorstand, Vertragsstrafen oder formelle Untersuchungen. Die Zahlen sind selbstberichtete Werte, etwa die Hälfte der Befragten stammt aus der EU und dem Vereinigten Königreich – sie sind also als Trend zu verstehen, nicht als exakte Statistik.

Auch der Druck in Sachen Datensouveränität steigt. Eine BARC-Umfrage zur Datensouveränität 2026 unter 320 Unternehmen, durchgeführt im Februar und März 2026, ergab: 51 Prozent halten Datensouveränität inzwischen für sehr wichtig (2025: 42 Prozent), aber nur 10 Prozent haben ein eigenes Budget dafür. Eine Lücke zwischen der Bedeutung einer Kontrolle und ihrer Finanzierung ist genau der Punkt, an dem eine Aufsichtsmaßnahme Fakten schafft.

Setzt man diese Aspekte zusammen, wird das Problem für Compliance-Verantwortliche deutlich: Die Aufsichtsbehörde fragt nicht nach einer Policy – sie verlangt den Nachweis, dass die Policy bei einem konkreten Transfer, an einem bestimmten Tag, für einen bestimmten Empfänger angewendet wurde.

Wo ein gesteuerter Datenaustausch hilft

Zunächst: Ein gesteuerter Austausch entscheidet nicht, ob eine Einwilligung gültig ist, und ersetzt nicht die rechtliche Bewertung Ihres Datenschutzbeauftragten oder Anwalts. Eine Consent-Management-Plattform steuert die Einholung der Einwilligung. Das juristische Team entscheidet, ob eine Rechtsgrundlage vorliegt. Dazwischen und vor dem Empfänger steht der eigentliche Austausch – der Moment, in dem personenbezogene Daten per E-Mail, Filesharing, API oder KI-Agenten Ihr Unternehmen verlassen. Genau hier setzt Kiteworks Secure Data Exchange an.

An diesem Punkt können Sie Ihre eigenen Entscheidungen als verbindliche Regeln umsetzen. Datenrichtlinien, die Kiteworks als attributbasierte Zugriffskontrollen implementiert, prüfen drei Aspekte gemeinsam: Attribute der Daten (z. B. Pfad oder Tag), Attribute von Absender und Empfänger (z. B. Domain oder Profil) sowie die beabsichtigte Aktion. Die Data Policy Engine kann dann die Aktion erlauben, blockieren oder zur Freigabe durch eine benannte Person zurückhalten, bevor ein Versand oder Teilen abgeschlossen wird.

Die Klassifizierung unterstützt diese Durchsetzung. Richtlinien können beim Hochladen oder Anhängen ein Tag setzen, etwa für Gesundheitsdaten oder andere besondere Kategorien. Nachfolgende Richtlinien können dieses Tag als Bedingung nutzen. Data Classification direkt beim Eingang bedeutet, dass die Entscheidung über Artikel-9-Daten einmal getroffen und bei jeder weiteren Bewegung angewendet wird.

Die Plattform kann auch die Begründung erfassen. Eine Richtlinie kann beim Upload oder Download ein Formular verlangen, sodass die Person eine Klassifizierung oder Begründung dokumentiert – dieser Nachweis wird im Audit-Log zum Ereignis gespeichert. Für Teams, die nachweisen müssen, warum ein Transfer erfolgte, ist eine dokumentierte Begründung zum Zeitpunkt des Vorgangs überzeugender als eine nachträgliche Erinnerung. DSGVO-Web-Formulare übertragen dieses Prinzip auf Daten, die direkt von Betroffenen erhoben werden.

Beweise sind die zweite Säule. Kiteworks erfasst Anwender-, Daten- und Systemaktivitäten in einem einzigen Audit-Trail statt sie auf Subsysteme zu verteilen, und drosselt das Log-Volumen auch bei Lastspitzen nicht. Die Einträge werden in Echtzeit über Syslog oder den Splunk Universal Forwarder an externe SIEM-Tools übergeben. Ein Compliance-Verantwortlicher, der zeigen muss, wer was wann an wen gesendet hat, findet alle Informationen in einem Datensatz.

Für Unternehmen, die Daten innerhalb einer Jurisdiktion halten müssen, ermöglichen Data Sovereignty Compliance-Kontrollen es Administratoren, Anwender einem Land in einer verteilten Umgebung zuzuweisen, sodass deren Daten nur dort gespeichert und geroutet werden – und integriertes Reporting zeigt Auditoren, wo sie liegen. Lizenzieren Unternehmen Kiteworks Advanced Governance, ergänzt der DSGVO-Compliance-Bericht eine Übersicht über Richtlinieneinstellungen, Konfiguration und überwachte Vorgänge. Keine dieser Funktionen garantiert Compliance – sie liefern Ihnen Material, um Ihre eigene nachzuweisen.

Checkliste für DPOs und CISOs

Die Entscheidung lädt zu einer praktischen Überprüfung ein – und diese braucht kein neues Tool, sondern einen Termin und ehrliche Antworten.

1. Listen Sie alle ausgehenden Flüsse personenbezogener Daten auf. Berücksichtigen Sie E-Mail, Filesharing, API-Verbindungen und jeden KI-Agenten, der Daten senden oder empfangen kann. Nennen Sie den Empfänger und die Rechtsgrundlage für jeden Fluss – ein Fluss ohne benannten Empfänger hat keine verteidigbare Grundlage.
2. Vergleichen Sie die vorgelagerte Einwilligung mit Ihrer tatsächlichen Nutzung. Schreiben Sie für jeden Fall, in dem ein Partner die Einwilligung in Ihrem Namen eingeholt hat, auf, was die Person erfahren hat, was sie genehmigt hat und ob Ihre Verarbeitung davon abgedeckt ist. Können Sie das nicht dokumentieren, haben Sie eine Lücke gefunden.
3. Klassifizieren Sie besondere Kategorien personenbezogener Daten beim Eingang. Gesundheitsdaten, sexuelle Orientierung und andere Daten nach Artikel 9 sollten ab dem Eingang ein Label tragen, damit Richtlinien automatisch greifen – ohne menschliches Zutun.
4. Steuern Sie Transfers nach Empfänger und Datentyp. Schreiben Sie Richtlinien, die erlauben, blockieren oder zur Freigabe zurückhalten – und testen Sie diese an schwierigen Fällen, etwa bei Empfängern mit kostenlosen E-Mail-Domains oder in Ländern, in denen Sie nicht tätig sind.
5. Dokumentieren Sie die Begründung zum Zeitpunkt des Transfers. Ein kurzes Formular beim Datentransfer ist leichter zu verteidigen als eine nachträgliche Rekonstruktion nach einer Anfrage der Aufsicht.
6. Üben Sie die Beweisanforderung. Wählen Sie einen echten Transfer und bitten Sie Ihr Team, den vollständigen Nachweis innerhalb von zwei Arbeitstagen zu liefern. Die benötigte Zeit ist Ihr tatsächlicher Reifegrad.

Dieser Beitrag dient der allgemeinen Information und stellt keine Rechtsberatung dar. Verbindliche Hinweise, wie die Entscheidung auf Ihre Verarbeitung anzuwenden ist, erhalten Sie von Ihrem Rechtsteam oder Datenschutzbeauftragten.

Erfahren Sie mehr darüber, wie Sie eigene Einwilligungs- und Datenfreigabeentscheidungen über E-Mail, Filesharing, APIs und KI-Agenten durchsetzen und belegen können – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blogbeitrag Das Tauziehen um Ihre Daten: Wie CLOUD- und SHIELD-Acts Sicherheit und Datenschutz gegeneinander ausspielen
• Blogbeitrag Sensible Daten schützen: DSPM auf Ihre Compliance-Ziele abstimmen
• Kurzbericht Die 3 häufigsten FERPA-Verstöße und wie Sie sie vermeiden
• Blogbeitrag Executive Order 14117: Schutz sensibler personenbezogener Massendaten von US-Bürgern
• Blogbeitrag NIS2-Compliance erforderlich? Starten Sie mit ISO 27001