Die DSGVO-Regel zu "besonderen Kategorien personenbezogener Daten": warum sie ein Kleinanzeigenportal fuer Erwachsene auch ohne Buero in Europa erfasst
Das Bussgeld, bei dem es nicht um einen Hackerangriff ging
Im Dezember 2021 verhaengte die norwegische Datenschutzbehoerde gegen Grindr LLC ein Bussgeld von 65 Millionen Kronen. Niemand war in Grindrs Server eingedrungen. Keine Datenbank war geleakt. Das Unternehmen hatte getan, was die meisten Seiten mit Login und Werbebudget ohne nachzudenken tun: Es teilte Kennungen mit Werbepartnern, um gezielte Anzeigen zu schalten und zu messen, ob sie wirkten. Das ist exakt dieselbe Verkabelung wie hinter einem Meta Pixel oder einem Google-Ads-Conversion-Tag auf Tausenden gewoehnlichen Websites.
Grindrs Verteidigung war, dass all das die sexuelle Orientierung niemandes tatsaechlich offenlege. Ein Nutzer konnte einen Spitznamen waehlen, das Foto weglassen und nichts Explizites ueber sich preisgeben. Die Behoerde akzeptierte das nicht. Sie stellte fest, dass die bekannte Nutzung einer App, die sich um eine bestimmte sexuelle Minderheit dreht, "stark darauf hindeutet und in den meisten Faellen tatsaechlich zutrifft", dass die Person zu dieser Minderheit gehoert, ob sie je ein Wort dazu geschrieben hat oder nicht. Das Bussgeld hielt in der Berufung stand, und ein norwegisches Gericht bestaetigte es 2025 erneut.
Die Begruendung zaehlt mehr als die Zahl. Ein Betreiber von Kleinanzeigen, der von diesem Fall liest, legt ihn meist unter "das ist ein Problem von Dating-Apps, wir verkaufen Anzeigen" ab. Doch der Rechtstest, den die Behoerde anwandte, drehte sich nicht darum, wie Grindrs App hiess. Er drehte sich darum, was eine vernuenftige Person aus den Daten ableiten konnte, und dieser Test macht an der Tuer einer Dating-App nicht halt. Ein Verzeichnis, das um persoenliche Anzeigen fuer Erwachsene herum aufgebaut ist, erzeugt genau dieselbe Art von Daten: ein Konto auf dieser Art von Plattform, das eine bestimmte Kategorie durchsucht, das einen bestimmten Anzeigentyp kontaktiert. Nichts davon braucht ein einziges explizites Wort, um einem Dritten etwas Intimes ueber die dahinterstehende Person zu verraten.
Das ist der Punkt, der einem Betreiber entgeht, der sich auf Rueckbuchungen, Altersverifikation und Content-Moderation konzentriert, alles reale und unmittelbare Risiken. Das Datenschutzrecht ist ein voellig eigenes Gleis, mit eigener Aufsichtsbehoerde, eigenen Bussgeldern, und einem Rechtstest, der genau fuer diese Art von Plattform gebaut wurde, obwohl er ohne jeden Gedanken an eine Erwachsenenseite geschrieben wurde.
Warum es zaehlt, selbst wenn niemand es ausspricht
Das europaeische Recht hat einen Namen fuer Daten, die es erlauben, eine sensible Tatsache abzuleiten, ohne dass sie direkt erklaert wird: Inferenz. Im August 2022 entschied der Gerichtshof der Europaeischen Union in einem Fall, der nichts mit Erwachseneninhalten zu tun hatte. Ein litauischer Amtstraeger musste unter anderem den Namen seines Partners angeben, und diese Erklaerung wurde online veroeffentlicht. Der Gerichtshof entschied, dass das Nennen eines gleichgeschlechtlichen Partners, ohne ein einziges Wort zur Orientierung, dennoch als Verarbeitung von Daten zur sexuellen Orientierung galt, weil ein Leser durch das, was der Gerichtshof eine gedankliche Operation aus Vergleich oder Ableitung nannte, dorthin gelangen konnte.
Dieser Test reicht weit ueber einen litauischen Beamten hinaus. Die Frage lautet nie "hat die Plattform gesagt, diese Person sei schwul, heterosexuell oder sonst etwas". Die Frage ist, ob eine Dateneinheit, kombiniert mit gewoehnlichem Schlussfolgern, einen Leser zu dieser Schlussfolgerung fuehrt. Eine Anzeigenkategorie, ein "Suche"-Feld, eine Leistungsbeschreibung, oder einfach ein aktives Konto auf einer Plattform, die um eine bestimmte Art persoenlicher Anzeige herum organisiert ist, koennen diese Schwelle allein ueberschreiten, ganz ohne explizites Etikett.
Nach der DSGVO hoert eine Dateneinheit, sobald sie diese Schwelle ueberschreitet, auf, gewoehnliches personenbezogenes Datum zu sein, und wird zu dem, was die Verordnung eine besondere Kategorie nennt, der Begriff aus Artikel 9 fuer denselben Topf, der Gesundheitsdaten, religioese Ueberzeugungen und Gewerkschaftszugehoerigkeit enthaelt. Das ist keine Nebensaechlichkeit. Artikel 9 beginnt damit, die Verarbeitung dieser Art von Daten grundsaetzlich zu verbieten, und hebt dieses Verbot nur fuer eine kurze, abschliessende Liste bestimmter Situationen auf. Gewoehnliche personenbezogene Daten hingegen brauchen nur eine von mehreren alltaeglichen Rechtsgrundlagen, und genau in dieser Luecke zwischen den beiden Regimen stehen die meisten Kleinanzeigenseiten derzeit, ohne es zu merken.
Der praktische Effekt ist, dass ein Feld, das rein fuer Suche und Filterung gebaut wurde und einem Besucher erlaubt, Anzeigen nach Kategorie oder Vorliebe einzugrenzen, still eine doppelte Aufgabe erfuellt. Es hilft einem Besucher zu finden, was er sucht, und es ist zugleich genau die Art von Datenpunkt, auf die eine Behoerde als Beleg dafuer zeigen wuerde, dass die Plattform besondere Kategorien personenbezogener Daten sowohl ueber den Besucher als auch ueber die inserierende Person verarbeitet. Das Etikett zu entfernen, das ein Nutzer eintippen koennte, reicht nicht aus, um sich der Regel zu entziehen; der Test des EuGH stuetzt sich darauf, was abgeleitet werden kann, nicht darauf, was erklaert wurde.
Warum "wir haben kein Buero in Europa" nicht hilft
Die haeufigste Reaktion auf all das, von einem Betreiber mit Sitz weit weg von Bruessel, ist, dass europaeische Behoerden hier keine Reichweite haetten. Diese Reaktion ist falsch, und die DSGVO ist ausdruecklich, warum. Artikel 3 Absatz 2 wendet die Verordnung auf jedes Unternehmen an, egal wo es ansaessig ist, sobald es Waren oder Dienstleistungen fuer Personen in der EU anbietet, unabhaengig davon, ob jemand von ihnen dafuer bezahlt, oder sobald es das Verhalten von Personen in der EU beobachtet. Keiner der beiden Faelle setzt eine europaeische Rechtseinheit, ein europaeisches Bankkonto oder einen europaeischen Mitarbeiter voraus.
Die Leitlinien, die Behoerden zur Anwendung dieses Artikels nutzen, besagen zwar, dass eine Website, die schlicht fuer einen Besucher in Deutschland laedt, allein nicht ausreicht, um ihn auszuloesen. Was den Ausschlag gibt, ist der Nachweis, dass das Unternehmen tatsaechlich Personen in der EU anspricht: in Euro angezeigte Preise, auf ein europaeisches Publikum ausgerichtetes Marketing, oder, ganz konkret, das Anbieten der Seite selbst in europaeischen Sprachen. Eine Kleinanzeigenplattform, die bereits franzoesische, deutsche, italienische, spanische und portugiesische Seitenversionen anbietet, um genau diese Besucher anzuziehen, ist nah am Lehrbuchbeispiel, das Behoerden nutzen, um zu erklaeren, wann die Regel greift.
Das ist kein Grund, jede europaeische Sprache zu entfernen oder EU-Besucher per Geoblocking auszusperren, was ein Compliance-Problem gegen ein viel groesseres Geschaeftsproblem eintauschen wuerde. Es ist ein Grund, aufzuhoeren, "wir sind nicht in Europa registriert" als Antwort auf eine Datenschutzfrage zu behandeln. Die Pflicht knuepft an die Verarbeitung von Daten ueber Personen in der EU an, nicht daran, wo das Unternehmen, das die Plattform gebaut hat, eingetragen ist. Ein Unternehmen, das bereits Zeit und Geld investiert, um seine Seite fuer europaeische Besucher zu uebersetzen, hat bereits genau das getan, wonach Behoerden als Beweis dafuer suchen, dass es diese erreichen wollte.
Der Ad-Tech-Stack, der still zerbricht
Die meisten Seiten wickeln ihre gesamte Datenschutz-Compliance ueber einen einzigen Mechanismus ab: ein Cookie-Banner, das anbietet, nicht essenzielles Tracking zu akzeptieren oder abzulehnen, manchmal mit einem Schalter fuer "berechtigtes Interesse". Dieses Banner wurde fuer gewoehnliche personenbezogene Daten gebaut, wo sich ein Unternehmen tatsaechlich auf eine allgemeine Rechtsgrundlage wie berechtigtes Interesse stuetzen kann, um Analysen zu betreiben oder Anzeigen auszuspielen, ohne etwas Spezifischeres zu verlangen. Besondere Kategorien personenbezogener Daten funktionieren nicht so. Artikel 9 Absatz 2 hat eine eigene, gesonderte und abschliessende Liste von Bedingungen, die das allgemeine Verbot aufheben koennen, und berechtigtes Interesse steht nicht darauf. Eine Plattform braucht eine normale Grundlage nach Artikel 6 und, zusaetzlich, eine gesonderte Bedingung nach Artikel 9 Absatz 2, und die zweite auszulassen ist genau die Luecke, die die norwegische Behoerde in Grindrs Aufbau fand.
Die Bedingung, die zu einer kommerziellen Plattform passt, ist die ausdrueckliche Einwilligung, und ausdrueckliche Einwilligung ist eine deutlich hoehere Huerde als die gewoehnliche Einwilligung, die ein Cookie-Banner ueblicherweise einholt. Sie muss eine klare, spezifische, positive Erklaerung zu der bestimmten Art von geteilten Daten sein, und sie kann nicht dadurch erfuellt werden, dass eine Zeile ueber "Weitergabe von Daten an Werbepartner" in eine allgemeine Datenschutzerklaerung eingebettet wird, die ein Besucher durch blosses Weiterbrowsen akzeptiert. Behoerden waren hier deutlich: Einwilligung fuer diese Art von Verarbeitung muss fuer sich allein stehen, getrennt vom Rest der Bedingungen, denen ein Nutzer zustimmt, und benennen, was gesammelt wird und wer es erhaelt.
Das trifft genau die beiden Werkzeuge, zu denen die meisten Kleinanzeigenbetreiber zuerst greifen: ein Meta Pixel und ein Google-Ads-Conversion-Tag, beide dafuer gebaut, einer Werbeplattform mitzuteilen, welcher Besucher was auf welcher Seite getan hat, damit Anzeigen gezielt geschaltet und gemessen werden koennen. Auf einer allgemeinen Handelsseite ist das unauffaelliges Tracking. Auf einer Seite, die um eine bestimmte Kategorie persoenlicher Anzeigen herum organisiert ist, sagt dasselbe Signal der empfangenden Plattform, dass ein bestimmter Besucher diese Kategorie durchsucht, funktional dieselbe Offenlegung, die Grindr das Bussgeld einbrachte, nur ueber die Leitung eines anderen Anbieters. Das ist ein zweiter, unabhaengiger Grund, neben der Schwierigkeit, fuer diese Kategorie ueberhaupt erst ein Werbekonto bei Google oder Meta zu eroeffnen, Traffic ueber Kanaele aufzubauen, die diese Art von Signal nie erhalten.
Nichts davon bedeutet, dass ein Betreiber die Seite ganz ohne Analyse fuehren muss. Es bedeutet, dass der Einwilligungsablauf fuer eine Plattform dieser Kategorie nicht dasselbe Ein-Klick-Banner sein kann, das fuer einen Buchladen gebaut wurde. Der eigenstaendige, spezifische Opt-in-Schritt muss stattfinden, und zwar bevor jedes Skript, das kategoriebezogene Signale an einen Dritten senden kann, ausgeloest wird, nicht danach.
Die Falle des "aber es ist doch schon oeffentlich"
Ein bestimmtes Argument taucht oft auf, sobald ein Betreiber den Rest davon verstanden hat: Die Anzeigen auf der Seite sind ohnehin oeffentlich, sichtbar fuer jeden, der die Seite laedt, wie kann es also ein besonderes Schutzproblem geben. Die DSGVO hat tatsaechlich eine Ausnahme, die passend klingt: Artikel 9 Absatz 2 Buchstabe e hebt das allgemeine Verbot fuer Daten auf, die von der betroffenen Person selbst offensichtlich oeffentlich gemacht wurden. Das klingt wie ein natuerlicher Fall fuer ein Verzeichnis oeffentlicher Anzeigen.
Es ist auch genau das Argument, das Grindr vorgebracht hat und verlor. Das Unternehmen wies darauf hin, dass ein Profil nur fuer andere Nutzer der App sichtbar wurde, und stellte diese Sichtbarkeit als die eigene Entscheidung des Nutzers dar, die Information oeffentlich zu machen. Die Behoerde wies das zurueck und stellte fest, dass die Ausnahme eine bewusste, spezifische Handlung der Person selbst erfordert, um genau dieses Datum oeffentlich zu machen, nicht die Entscheidung der Plattform, Kontodaten fuer jeden anzuzeigen, der eine Seite aufruft. Selbst eine vollstaendig oeffentliche Anzeige, ganz ohne Login-Schranke, ueberschreitet diese Schwelle nicht automatisch, denn die Frage, die die Ausnahme stellt, betrifft die eigene Absicht des Inserierenden, genau diese Tatsache oeffentlich zu machen, nicht wer die Seite hinterher zu sehen bekommt.
Ein Haekchen, das bei der Anmeldung gesetzt wird, versteckt in einem Registrierungsformular, das besagt, ein Profil "wird auf der Plattform sichtbar sein", ist nicht dasselbe wie eine bewusste, informierte Handlung, um eine bestimmte sensible Tatsache oeffentlich zu machen. Behoerden haben diese Ausnahme durchgaengig eng ausgelegt, und ein Betreiber, der darauf ein Compliance-Argument aufbaut, stuetzt sich auf genau die eine Bedingung, die bereits an einem fast identischen Sachverhalt getestet wurde und nicht standhielt.
Was in diesem Quartal wirklich zu tun ist
Der Ausgangspunkt ist kein neues Werkzeug, sondern ein Dokument: eine Datenschutz-Folgenabschaetzung. Artikel 35 Absatz 3 Buchstabe b macht sie vor der grossangelegten Verarbeitung besonderer Kategorien personenbezogener Daten verpflichtend, keine optionale Best Practice, und eine Plattform mit einem nennenswerten Volumen an Anzeigen rund um persoenliche Inserate faellt genau in diese Pflicht, sobald sie echten EU-Traffic hat. Diese Bewertung in Auftrag zu geben, auch eine bescheidene, wenn sie ordentlich gemacht ist, erzeugt die Papierspur, die einer Behoerde zeigt, dass das Unternehmen die Frage ernst genommen hat, bevor es gefragt wurde, der wichtigste Einzelfaktor dafuer, wie eine erste Beschwerde behandelt wird.
Als naechstes kommt eine Bestandsaufnahme, kein Neudesign: jedes Skript, das ausgeloest wird, bevor ein Besucher eine Wahl trifft, jeder Pixel, jedes Analyse-Tag, jedes Heatmap- oder Sitzungsaufzeichnungs-Werkzeug. Das Ziel ist, genau zu wissen, welche davon ein Signal empfangen, das verraet, welche Inhaltskategorie ein Besucher ansieht, denn das ist genau dieselbe Art von Daten, um die es in diesem ganzen Beitrag geht. Die bereits fuer die Identitaetspruefung gesammelten Dokumente tragen eine parallele Version derselben Gefaehrdung, und derselbe Instinkt, genau zu wissen, was aufbewahrt wird und wer darauf zugreifen kann, gilt fuer beides.
Die Einwilligung braucht einen eigenen Schritt, getrennt vom Kaestchen fuer die Allgemeinen Geschaeftsbedingungen, der klar benennt, welche Datenkategorien mit welchen namentlich genannten Unternehmen geteilt werden, eingeholt durch eine positive Handlung statt aus fortgesetztem Browsen angenommen. Das ist mehr Reibung bei der Anmeldung, und es ist auch die einzige Version der Einwilligung, die den Massstab uebersteht, den eine Behoerde tatsaechlich anlegen wird, wenn eine Beschwerde eingeht.
Das letzte Stueck ist am einfachsten zu formulieren und am schwersten aufzugeben: minimieren, was die Plattform verlaesst. Ein Tag, das nie kategoriebezogene Signale ueber einen Besucher erhaelt, kann in einem Fall wie dem von Grindr nicht zum Beweismittel werden, egal wie der Rest des Compliance-Programms aufgebaut ist. Die sicherste Integration mit jedem Werbe- oder Analyseanbieter ist die, der das sensible Signal von vornherein nie gegeben wurde.
Damit genauso umgehen, wie ein Zahlungskonto oder ein Hosting-Vertrag die meisten Betreiber bereits gelehrt haben, mit Hochrisiko-Exposition umzugehen: die Antwort klaeren, bevor eine Behoerde die Frage stellt, nicht danach. Die Unternehmen, die eine erste Datenschutzbeschwerde unbeschadet ueberstehen, sind diejenigen, die bereits eine Folgenabschaetzung vorweisen koennen, einen fuer diese bestimmte Datenkategorie gebauten Einwilligungsablauf, und eine dokumentierte Antwort darauf, was die Plattform genau verlaesst und wohin es geht.
