Tinders Knopf „Download My Data“ versprach Nutzern eine Kopie ihrer Daten und lieferte laut Irlands Datenschutzbehörde nur einen Teil davon. Die irische Betreibergesellschaft MTCH Technology Services muss dafür 11 Millionen Euro zahlen und binnen drei Monaten nachbessern. Betroffen sind auch alle Betreiber, die Auskünfte über ein Selbstbedienungs-Tool abwickeln.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Die irische Datenschutzbehörde DPC hat am 13. November die Tinder-Betreibergesellschaft MTCH Technology Services mit 11 Millionen Euro Bußgeld belegt und verwarnt.[1] Das Verfahren hatte die Behörde im Januar 2020 von sich aus eröffnet. Die DPC stellt fest, dass Nutzern auf Anfrage keine vollständige Kopie ihrer personenbezogenen Daten übergeben wurde, wie Artikel 15 Absatz 3 der DSGVO es verlangt.
Das Wichtigste in Kürze
- Das Tool „Download My Data“ ließ Datenkategorien ohne Hinweis weg oder lieferte sie nur zusammengefasst.
- Zehntausende Nutzer griffen im geprüften Zeitraum darauf zu.
- Neben dem Bußgeld und der Verwarnung gilt eine Frist von drei Monaten, die Verarbeitung in Ordnung zu bringen.
- Auch ein Export-Knopf im Kundenportal oder Shop muss vollständig sein oder offenlegen, was fehlt.
Was war an der Daten-Kopie falsch?
Tinder stellte Nutzern ein Selbstbedienungs-Tool bereit, das ihre Daten als Download zusammenfasste. Nach Feststellung der DPC wurde es als Weg zur Kopie der Tinder-Daten angeboten, enthielt aber nicht alle personenbezogenen Daten.[1] Manche Kategorien fehlten, ohne dass der Nutzer es erfuhr, andere erschienen nur als Zusammenfassung.
Der Kern liegt im Hinweis, nicht allein im Export. Deputy Commissioner Graham Doyle sagte, solche Tools müssten keine vollständige Kopie liefern, aber sie müssten „fair und transparent“ darüber sein, wie weit die gelieferten Daten reichen.[1] Ein Export mit Lücken ist also erlaubt, ein Export, der die Lücken verschweigt, nicht.
Was bedeutet der Fall für andere Betreiber?
Der Fall steht in einer Reihe. Im September verhängte dieselbe Behörde 403 Millionen Euro gegen Google, weil Standortdaten ohne tragfähige Rechtsgrundlage verarbeitet wurden. Frankreichs CNIL verhängte zuletzt 7 Millionen Euro gegen Fnac, dort ging es um fehlende Einwilligungen.
Der Europäische Gerichtshof legte 2023 fest, dass die Kopie nach Artikel 15 eine originalgetreue und verständliche Wiedergabe der Daten sein muss.[3] Solche Lücken entstehen leicht, wenn ein Export nur aus den Systemen zieht, die beim Bau angeschlossen wurden, nicht aus allen, in denen Daten liegen. Verstöße gegen Betroffenenrechte können nach Artikel 83 Absatz 5 bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes kosten, je nachdem, was höher ist.[4]
Match Group, die Mutter von MTCH, setzte im dritten Quartal 891 Millionen Dollar um, rund 775 Millionen Euro (Kurs 0,87).[2] Die 11 Millionen Euro entsprechen etwa 1,4 Prozent davon.
Eine Kopie mit Lücken ist keine Kopie, solange der Nutzer nicht erfährt, was fehlt.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Sie an Ihrem Auskunftsprozess prüfen?
Gleichen Sie Ihr Verarbeitungsverzeichnis mit dem ab, was Ihr Export tatsächlich ausgibt. Fehlt eine Kategorie, nehmen Sie sie auf oder nennen Sie sie im Ergebnis ausdrücklich als nicht enthalten, samt Weg zur Nachforderung. Zusammenfassungen kennzeichnen Sie als solche.
Testen Sie den Export mit einem eigenen Konto und prüfen Sie, ob alle Kategorien auftauchen. Die Antwort auf eine Auskunftsanfrage schulden Sie nach Artikel 12 Absatz 3 grundsätzlich binnen eines Monats.[4] Setzen Sie dabei auf ein Tool, bleiben Sie trotzdem selbst dafür verantwortlich, wie vollständig dessen Ergebnis ist.
Quellen
4 Quellen anzeigenQuellen ausblenden
- Data Protection Commission (Irland)Data Protection Commission fines MTCH €11 million following Inquiry into Tinder users’ personal data requests
- Match GroupQuartalsbericht (Form 10-Q) für das Quartal bis 30. September 2026
- Gerichtshof der Europäischen UnionUrteil vom 4. Mai 2023 in der Rechtssache C-487/21
- Europäische UnionDatenschutz-Grundverordnung (EU) 2016/679, Artikel 12 und 83
Mehr Newshunger?
- 403 Millionen Euro: Irlands Datenschutzbehörde bestraft Googles Standortdaten-Tracking
- CNIL verhängt 7 Millionen Euro gegen Fnac: Personalisierte Produktempfehlungen brauchen eine Einwilligung
- Spanien verlangt von TikTok, den Betrieb auszusetzen
- Indiens Datenschutzgesetz: 21 Verlage fürchten, ihre Redaktionen schließen zu müssen
- Kagi-Test: Sind Sie bei Ihren Apps Kunde oder Produkt?
- Sicherheitslücke bei Redirection for Contact Form 7 in DSGVO-Anfragen
