LDI NRW leitet Bußgeldverfahren gegen Onlinedienst wegen Standortdaten ein
Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) hat ein Bußgeldverfahren gegen einen Onlinedienst aus NRW eingeleitet. Grund ist die jahrelange rechtswidrige Weitergabe von Standortdaten der Nutzerinnen und Nutzer an Dritte. Der Fall zeigt, wie sensibel Standortdaten sind und welche Konsequenzen ein sorgloser Umgang damit hat.
Anfang 2025 berichteten Medien über den Fall. Mutmaßliche Hacker hatten Daten des US-amerikanischen Databrokers Gravy Analytics veröffentlicht. Darunter waren auch Standortdaten, die sich einem Onlinedienst-Anbieter aus Nordrhein-Westfalen zuordnen ließen. Journalistinnen und Journalisten fanden dabei heraus, dass sich die Standortdaten der Nutzerinnen und Nutzer des Dienstes ohne Weiteres bei einem US-Databroker kaufen ließen.
Die LDI NRW untersuchte den Fall umfassend. Sie führte eine Anhörung, einen Termin vor Ort und schriftliche Auskunftsersuchen gegenüber dem Unternehmen durch. Noch 2025 leitete sie daraufhin ein Bußgeldverfahren gegen den Online-Dienst ein. Der Vorwurf: Die Standortdaten wurden ohne wirksame Rechtsgrundlage nach Art. 6 DS-GVO erhoben und zu Werbezwecken an Dritte weitergeleitet.
Standortdaten verraten, wo sich ein Gerät und damit auch die Person befindet, die es bei sich trägt. Sie lassen sich über GPS, das Mobilfunknetz oder WLAN-Verbindungen erheben. Viele Onlinedienste nutzen solche Daten, allen voran Navigations-Apps. In Kombination mit anderen Daten entstehen daraus aber schnell vollständige Bewegungsprofile. Solche Profile können Wohnort, Arbeitsort, Reisen oder Arztbesuche offenlegen.
Die Gefahr eines Missbrauchs ist deshalb groß. Wer die Standortdaten bei einem Databroker kauft, kann damit in der Regel jeden Aufenthaltsort einer Person nachvollziehen, deren Handy im Datensatz erfasst ist. Im schlimmsten Fall lassen sich daraus Rückschlüsse auf intimste Lebensbereiche ziehen. Auch eine Nutzung für Stalking oder Spionage ist denkbar. Journalistinnen und Journalisten fanden zudem heraus, dass sogar Personen aus sicherheitsrelevanten Bereichen wie Militär, Ministerien, Geheimdiensten oder Polizei durch die Datenhändler exponiert wurden.
Für Unternehmen bedeutet der Fall: Wer personenbezogene Daten verarbeitet, insbesondere Standortdaten oder vergleichbare Metadaten, braucht dafür eine wirksame Rechtsgrundlage. Das gilt umso mehr, wenn die Daten zu Werbezwecken an Dritte weitergegeben werden. In der Regel kommt dafür nur eine wirksame Einwilligung nach Art. 7 DS-GVO infrage. Diese muss freiwillig und umfassend informiert erfolgen. Die betroffenen Personen müssen genau wissen, in welche Verarbeitung sie einwilligen, zu welchem Zweck die Daten verarbeitet werden und an welche Dritten sie zu welchem Zweck weitergegeben werden.
Die LDI NRW bewertet die Gefährdung der betroffenen Nutzerinnen und Nutzer als hoch. Kombiniert mit anderen verfügbaren Daten lassen sich aus Standortdaten präzise Bewegungsprofile erstellen. Der freie Handel dieser Daten in Werbenetzwerken und auf Auktionsplattformen führt aus Sicht der Behörde zu einem vollständigen Kontrollverlust der Betroffenen über die eigenen Daten. Eine Anordnung zur datenschutzgerechten Anpassung des Verfahrens allein reichte der LDI NRW deshalb nicht aus. Im konkreten Fall hält sie auch die Einleitung eines Bußgeldverfahrens für angemessen.
Unsere Empfehlungen
Unternehmen/KMU
Wer eine App oder einen Onlinedienst mit Standortfunktion betreibt, sollte die Rechtsgrundlage für jede einzelne Verarbeitung von Standortdaten dokumentieren. Vor der Weitergabe an Dritte, etwa an Werbepartner oder Databroker, gehört eine wirksame, informierte Einwilligung eingeholt. Bestehende Einwilligungstexte lohnt es sich regelmäßig zu prüfen, ob sie Zweck und Empfänger der Daten wirklich konkret benennen.
Kanzleien und Freiberufler
Bei der Beratung von App-Anbietern und Werbetreibenden lohnt ein genauer Blick auf die Lieferkette der Daten. Wer Standortdaten von Dritten bezieht oder weitergibt, muss die Rechtsgrundlage der ursprünglichen Erhebung nachvollziehen können. Eine Dokumentationspflicht trifft in solchen Fällen alle Beteiligten der Kette.
Quelle: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Lassen Sie sich unverbindlich von einem Datenschutzbeauftragten beraten.
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Art. 17 DS-GVO – Recht auf Löschung (Recht auf Vergessenwerden)
- Meldung von Datenschutzverletzungen nach Art. 33 DS-GVO
- Nachweis der Datenlöschung – So dokumentieren Sie korrekt
- Datenschutzrisiko E-Mails – Was Unternehmen wissen müssen
- Ombudsstelle und Hinweisgebersystem für Hinweisgeber (Whistleblower)
- Datenschutz und IT-Compliance: Das Handbuch für Admins und IT-Leiter
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking – Blickschutz hilft
Dieser Absatz enthält Affiliatelinks/Werbelinks