11 Mio. € DPC-Bußgeld gegen Tinder: Ein Self-Service-Datendownload muss sagen, was er auslässt

Wenn Ihre Website oder App Nutzern ermöglicht, ihre eigenen Daten herunterzuladen, oder sie ihnen in einem Datenschutzportal oder Preference Center anzeigt, sollten Sie prüfen, was dieses Tool auslässt. Am 13. November 2026 gab die irische Data Protection Commission (DPC) ein Bußgeld von 11 Millionen Euro gegen MTCH Technology Services Limited bekannt, das Unternehmen der Match Group hinter Tinder. Das Tinder-Tool „Download My Data“ lieferte den Nutzern nur einen Teil ihrer personenbezogenen Daten und wies sie nicht darauf hin.

11 Mio. € DPC-Bußgeld gegen Tinder: Ein Self-Service-Datendownload muss sagen, was er auslässt

Die Entscheidung der DPC

Die DPC leitete die Untersuchung im Januar 2020 von Amts wegen ein, als federführende Aufsichtsbehörde für MTCH in der EU. Sie prüfte, wie Tinder Nutzern antwortete, die eine Kopie ihrer Daten verlangten.

Tinder bearbeitete diese Anfragen über ein automatisiertes Tool namens „Download My Data“. Die DPC stellte fest, dass das Tool den Nutzern nicht alle ihre personenbezogenen Daten bereitstellte. Bestimmte Kategorien von Informationen wurden ohne Hinweis an den Nutzer ausgelassen oder nur in zusammengefasster Form geliefert. Das verstieß gegen Artikel 15 Absatz 3 der DSGVO, der jeder Person das Recht auf eine Kopie der personenbezogenen Daten gibt, die ein Unternehmen über sie verarbeitet.

Die Mitteilung der DPC nennt die fehlenden Kategorien nicht. RTÉ berichtete unter Berufung auf Commissioner Niamh Sweeney, dass manche Aktivitäten nur als Tagessummen geliefert wurden, etwa die Zahl der Swipes oder Matches an einem bestimmten Tag, und dass Analysedaten, zu denen Geschlecht und Standort gehören können, nicht enthalten waren.

Die Entscheidung besteht aus drei Teilen:

• einer Verwarnung
• einem Bußgeld von 11 Millionen Euro
• der Anordnung, die Verarbeitung innerhalb von drei Monaten in Einklang mit der DSGVO zu bringen

Die Match Group hat angekündigt, Rechtsmittel einzulegen, und erklärt, Tinder habe während der gesamten Untersuchung mit der DPC zusammengearbeitet. Die DPC wird die vollständige Entscheidung später veröffentlichen.

Ein unvollständiger Download ist erlaubt, ein stillschweigend unvollständiger nicht

Die DPC hat nicht gesagt, dass ein Self-Service-Tool alles liefern muss. Deputy Commissioner Graham Doyle sagte, automatisierte Auskunftstools könnten ein nützlicher und effizienter Weg sein, Zugang zu personenbezogenen Daten zu geben, und ergänzte sinngemäß:

Diese Tools müssen keine vollständige Kopie der personenbezogenen Daten liefern, aber sie müssen gegenüber den Betroffenen fair und transparent sein, was den Umfang der bereitgestellten Daten angeht.

Die Tinder-Nutzer konnten nicht erkennen, dass die Datei unvollständig war. Wer seine Daten herunterlädt und keinen Standortverlauf findet, geht davon aus, dass keiner gespeichert ist. Er stellt keine zweite Anfrage nach Daten, von denen er nichts weiß. Das Auskunftsrecht endet dann bei dem, was das Tool exportieren kann.

Das entspricht den Leitlinien des EDSA zum Auskunftsrecht. Ein Self-Service-Tool ist ein anerkannter Weg, eine Anfrage zu beantworten, und bei großen Datenmengen kann ein Unternehmen die Daten in Ebenen bereitstellen, solange die Person auf Wunsch jede Ebene erhält.

Nach Angaben der DPC nutzten im untersuchten Zeitraum Zehntausende Nutzer das Tool.

So prüfen Sie Ihr eigenes Tool

Derselbe Maßstab gilt für jedes Tool, das Menschen ihre eigenen Daten zeigt: einen Kontoexport, eine Seite „Meine Daten“, ein Datenschutzportal oder ein Preference Center.

Alle Systeme mit personenbezogenen Daten auflisten

Ein Export wird meist aus der Hauptdatenbank des Produkts erstellt. Analytics-Ereignisse, Zielgruppen in Werbeplattformen, Support-Tickets, CRM-Notizen, Einwilligungsnachweise und abgeleitete Merkmale wie Segmente oder Scores liegen an anderer Stelle und fehlen dann. Vergleichen Sie den Export mit Ihrem Verzeichnis von Verarbeitungstätigkeiten, nicht mit der Datenbank, aus der er erstellt wurde.

Sagen, was der Download abdeckt

Wenn das Tool nur einen Teil der Daten liefert, sagen Sie das auf dem Bildschirm, auf dem die Person den Download startet, und in der Datei selbst. Nennen Sie die Kategorien, die nicht enthalten sind.

Einen Weg zum Rest anbieten

Verlinken Sie neben dem Download ein Anfrageformular für eine vollständige Kopie. Wer über dieses Formular anfragt, stellt ein normales Auskunftsersuchen, und es gilt die Frist von einem Monat.

Daten nicht durch Zusammenfassungen ersetzen

Tinder lieferte manche Daten nur in zusammengefasster Form. Eine Anzahl von Ereignissen ist keine Kopie der Ereignisse. Wenn Sie die Einzeldaten speichern, hat die Person Anspruch darauf.

Das Tool bei Produktänderungen überprüfen

Eine neue Funktion, ein neues SDK oder ein neues Analytics-Tool bringt oft eine neue Kategorie personenbezogener Daten mit sich. Nehmen Sie den Export in Ihre Release-Checkliste auf, damit er nicht hinter dem Produkt zurückbleibt.

Preference Center haben dieselbe Lücke

Ein Preference Center gibt ein ähnliches Versprechen: Dem hier haben Sie zugestimmt. Zeigt es die Newsletter-Einwilligung, aber nicht die SMS-Einwilligung, die Cookie-Auswahl aus dem Banner oder die Personalisierungseinstellung in der App, sieht die Person nur einen Teil und hat keinen Grund, daran zu zweifeln.

Die Lösung ist dieselbe. Zeigen Sie entweder jede Einwilligung, auf die Sie sich stützen, oder sagen Sie, welche an anderer Stelle verwaltet werden, und verlinken Sie dorthin.

Betroffenenanfragen in UniConsent

Das Privacy Portal von UniConsent gibt Ihren Nutzern eine Seite auf Ihrer eigenen Domain, auf der sie ihre Einwilligungen und Marketingpräferenzen verwalten und Anfragen auf Auskunft, Löschung, Berichtigung und Datenübertragbarkeit stellen können. Jede Anfrage wird gegen ihre gesetzliche Frist verfolgt, und jeder Schritt wird mit Zeitstempel protokolliert.

Sie können das Anfrageformular neben Ihrem eigenen Download-Tool platzieren. So hat ein Nutzer, der mehr braucht, als das Tool liefert, einen klaren Weg, danach zu fragen.

Einwilligungen aus dem Cookie-Banner, Ihren Formularen und Ihren Apps werden zusammen mit ihrem Verlauf gespeichert, sodass der Einwilligungsteil einer Auskunft vollständig ist. Siehe den Consent Audit Trail.

Jetzt registrieren und ein Datenschutzportal für Ihre Website einrichten.

Weitere aktuelle Entscheidungen finden Sie in der Übersicht der DSGVO-Bußgelder 2026.

Quellen

• Data Protection Commission fines MTCH €11 million following Inquiry into Tinder users' personal data requests - DPC
• Tinder owner fined €11m by Data Protection Commission - RTÉ
• Data Protection Commission fines Tinder owner €11m - Irish Examiner
• Guidelines 01/2022 on data subject rights - Right of access - EDPB