Am 13. November 2026 hat die irische Datenschutzbehörde DPC (Data Protection Commission) ein Bußgeld von 11 Millionen Euro gegen MTCH Technology Services Limited bekanntgegeben; eine Uhrzeit nennt die Behörde nicht^[1]. Die Match-Group-Tochter mit Sitz in Dublin verantwortet Betrieb und Datenverwaltung von Tinder in Europa^[2]. Stein des Anstoßes ist „Download My Data“, ein Werkzeug zum Selbst-Herunterladen der eigenen Daten: Es lieferte laut DPC nicht alle personenbezogenen Daten^[1].

Tinder ist eine große Plattform. Was der Fall für Shops, Portale und Kundenkonten im Mittelstand bedeutet, ist deshalb unsere Einordnung. Sie lohnt sich, denn das Auskunftsrecht kennt keine Mindestgröße: Die Leitlinien der EU-Datenschutzbehörden nennen als Beispiel eine örtliche Buchhandlung^[3].

Die DPC hat die Untersuchung im Januar 2020 von sich aus eingeleitet, als federführende Aufsichtsbehörde für MTCH, also als die Behörde, die das Verfahren für die EU führt^[1]. Es geht um Art. 15 Abs. 3 DSGVO: Danach muss ein Unternehmen eine Kopie der personenbezogenen Daten zur Verfügung stellen, die es über die anfragende Person verarbeitet^[4].

„Download My Data“ wurde Nutzerinnen und Nutzern laut DPC als Weg zu einer Kopie ihrer Tinder-Daten präsentiert. Bestimmte Kategorien von Informationen fehlten jedoch ohne Hinweis, andere gab es nur in zusammengefasster Form. Zudem erfüllten die gelieferten Daten nach Feststellung der Behörde nicht die Anforderungen des Auskunftsrechts^[1].

Neben dem Bußgeld enthält die Entscheidung eine Verwarnung, also eine förmliche Rüge, und eine Anordnung: MTCH muss die Verarbeitung binnen drei Monaten mit der DSGVO in Einklang bringen^[1].

Welche Kategorien genau fehlten, verrät die Pressemitteilung nicht; die vollständige Entscheidung will die DPC später veröffentlichen, Stand 13. November liegt sie nicht vor^[1]. Laut einem Quartalsbericht, den Match Group am 2. November 2026 bei der US-Börsenaufsicht SEC eingereicht hat, erging die endgültige Entscheidung bereits am 13. Oktober 2026; die DPC hat sie am 13. November bekanntgemacht^[5][1]. Der Konzern sieht nach eigener Aussage starke Argumente auf seiner Seite und will Rechtsmittel einlegen^[5]; zuständig wäre laut heise der irische High Court^[2].

Die DPC verteufelt Self-Service-Werkzeuge nicht. Solche automatisierten Zugänge könnten ein nützlicher und effizienter Weg sein, Betroffenen ihre Daten zu geben, sagt Deputy Commissioner Graham Doyle; Zehntausende hätten das Tinder-Tool im untersuchten Zeitraum genutzt^[1].

Die Leitlinien 01/2022 des Europäischen Datenschutzausschusses (EDSA), des Gremiums der EU-Datenschutzbehörden, ziehen dieselbe Linie. Ein Self-Service-Tool ist ein zulässiger Weg, Auskunft zu erteilen, darf den Umfang der Daten aber nie einschränken. Was es nicht liefert, muss auf anderem Weg kommen^[3].

Zusammenfassen ist erlaubt, solange alle Informationen enthalten bleiben und der Inhalt nicht verändert wird^[3]. Große Datenmengen dürfen gestuft bereitgestellt werden, wenn das Betroffenen das Verständnis erleichtert, etwa erst Konto- und Zahlungsdaten, dann technische Protokolle. Betroffene müssen dann aber von Anfang an erfahren, welche Stufen es gibt und was darin steckt, und alle Stufen ohne neuen Antrag abrufen können. Hoher Aufwand allein rechtfertigt das Stufenmodell nicht^[3].

Für Shops und Portale mit Download-Funktion lässt sich daraus ein einfacher Maßstab ableiten. Die Tabelle ist unsere Einordnung, gestützt auf DPC-Mitteilung, DSGVO und EDSA-Leitlinien.

Ein Download-Tool ist keine Voraussetzung: Selbst Unternehmen mit großen Datenmengen dürfen Anträge laut EDSA manuell bearbeiten. Kopie und Zusatzangaben können per E-Mail, Post oder über ein Self-Service-Tool kommen. Bei wenigen Daten genügt ein einfaches Verfahren, im EDSA-Beispiel der Ausdruck aus dem Geschäftssystem der Buchhandlung^[3].

Inhaltlich umfasst die Auskunft die Bestätigung, ob Daten verarbeitet werden, die Daten selbst und Zusatzangaben wie Zwecke, Datenkategorien, Empfänger, Speicherdauer, Betroffenenrechte, Beschwerderecht und, wenn die Daten nicht von der Person selbst stammen, ihre Herkunft^[4]. Die erste Kopie ist kostenlos, für weitere darf ein angemessenes Entgelt auf Basis der Verwaltungskosten verlangt werden^[4][6]. Wer elektronisch anfragt, bekommt die Antwort in einem gängigen elektronischen Format, sofern er nichts anderes wünscht^[4].

Die Frist: unverzüglich, spätestens einen Monat nach Eingang des Antrags. Eine Verlängerung um zwei Monate ist möglich, wenn das mit Blick auf Komplexität und Zahl der Anträge erforderlich ist; das müssen Unternehmen innerhalb des ersten Monats mit Gründen mitteilen^[6].

Grenzen gibt es wenige. Würde die Kopie Rechte anderer Personen beeinträchtigen, dürfen die betreffenden Teile weggelassen oder unkenntlich gemacht werden; eine komplette Ablehnung rechtfertigt das nicht^[4][3]. Bei offenkundig unbegründeten oder exzessiven Anträgen sind ein Entgelt oder eine Weigerung möglich, den Nachweis trägt das Unternehmen^[6]. Der EDSA legt diese Begriffe eng aus und betont, dass es keinen allgemeinen Vorbehalt „zu viel Aufwand“ gibt^[3].

Gesucht werden muss in allen IT- und Nicht-IT-Systemen^[3]. Der Vertrag mit Dienstleistern, die Daten im Auftrag verarbeiten, etwa beim Hosting oder Newsletter-Versand, muss vorsehen, dass sie bei der Beantwortung solcher Anträge nach Möglichkeit unterstützen^[7].