Ein praktischer Leitfaden zu Ist Big Tech tatsächlich ein großes Problem

Erst die Frage stellen: Ist Big Tech tatsächlich ein großes Problem, nur weil ein Unternehmen groß ist? Suchmaschinen brauchen breite Indizes, Marktplätze beide Seiten, soziale Netze Reichweite.

Big Tech ist kein Problem, nur weil ein Unternehmen groß ist. Einige digitale Produkte erfordern Skalierbarkeit: Suchmaschinen benötigen umfassende Indizes, Marktplätze benötigen Käufer und Verkäufer und soziale Netzwerke werden nur dann nützlich, wenn genügend Menschen teilnehmen.

Das Datenschutzproblem beginnt, wenn sich Größe, Marktmacht und Datenerfassung gegenseitig verstärken. Ein Unternehmen mit dominanter Verteilung kann mehr Verhaltensdaten sammeln. Mehr Verhaltensdaten verbessern das Targeting, die Personalisierung und die Anzeigenmessung. Eine bessere Monetarisierung finanziert mehr Akquisitionen, Integrationen und Ausfälle. Mit der Zeit fühlt sich der Markt möglicherweise weniger wie eine Reihe von Entscheidungen an, sondern eher wie eine Infrastruktur, die von einer Handvoll Unternehmen kontrolliert wird.

Skala verändert die Bedeutung der Einwilligung

Die Einwilligung lässt sich leichter verteidigen, wenn ein Benutzer eine realistische Alternative hat. Sie wird schwächer, wenn die Dienstleistung gesellschaftlich oder wirtschaftlich unvermeidbar ist.

Wenn eine kleine Website darum bittet, die aggregierten Seitenaufrufe zu messen, kann ein Besucher die Website verlassen, ohne dass dies Konsequenzen hat. Wenn eine marktbeherrschende Plattform darum bittet, Daten aus Suche, Karten, Videos, Werbung, App Stores, Messaging und eingebetteten Drittanbieter-Pixeln zu kombinieren, ist die Entscheidung nicht symmetrisch. Eine Ablehnung kann bedeuten, dass der Zugang zu wichtiger Kommunikation, geschäftlicher Reichweite oder Erkenntnissen verloren geht.

Dies ist einer der Gründe, warum sich der EU Digital Markets Act auf „Gatekeeper“ konzentriert. Die Europäische Kommission hat große Plattformen, darunter Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft und Booking, für bestimmte Dienste als Gatekeeper benannt, die auf der DMA-Gatekeepers-Seite der Kommission aufgeführt sind. Zu den DMA-Verpflichtungen gehören Einschränkungen bei der dienstübergreifenden Kombination personenbezogener Daten ohne gültige Einwilligung sowie Anforderungen, die digitale Märkte bestreitbarer machen.

Wettbewerbsrecht und Datenschutzrecht sind unterschiedliche Instrumente, aber sie treffen am gleichen Druckpunkt aufeinander: Datenvorteile können zu Marktvorteilen werden, und Marktvorteile können dazu führen, dass Datenschutzentscheidungen weniger sinnvoll sind.

Warum Datenkombination so leistungsstark ist

Ein Datensatz kann begrenzt werden. Kombinierte Datensätze sind viel aufschlussreicher.

Eine Suchanfrage zeigt Absicht. Eine Kartenroute zeigt den Standort. Ein Videoverlauf zeigt Interessen. Eine Einkaufshistorie zeigt den Haushaltsbedarf. Eine Anmeldeidentität verbindet Aktivitäten über Geräte hinweg. Ein Drittanbieter-Pixel kann zeigen, was jemand getan hat, nachdem er die Plattform verlassen hat.

Wenn diese Signale zusammengeführt werden, benötigt das Unternehmen kein einziges sensibles Feld mit der Bezeichnung „Gesundheit“ oder „Einkommen“, um auf sensible Dinge schließen zu können. Zu den Mustern können Schwangerschaft, Arbeitsplatzverlust, politisches Interesse, finanzieller Stress, Religionsausübung oder medizinische Bedenken gehören. Aus diesem Grund besteht das Datenschutzrisiko nicht nur darin, ob in einem Formular nach einem Namen gefragt wird. Es geht darum, ob das System genügend Beobachtungen verknüpfen kann, um ein Profil einer Person zu erstellen.

Die U.S. Federal Trade Commission hat eine ähnliche Aussage zu Datenbrokern gemacht. In dem Bericht „Data Brokers: A Call for Transparency and Accountability“ (https://www.ftc.gov/reports/data-brokers-call-transparency-accountability-report-federal-trade-commission-may-2014) wurde festgestellt, dass Broker Daten aus umfangreichen Online- und Offline-Quellen sammeln, oft ohne Wissen der Verbraucher. Big Tech-Plattformen sind nicht identisch mit Datenbrokern, aber die zugrunde liegende Lektion ist dieselbe: Opazität plus Skalierung erzeugen asymmetrisches Wissen.

Analytics ist Teil der Power Story

Websitebesitzer installieren invasive Analysen nicht, weil sie eine Überwachung wünschen, sondern weil die vorherrschenden Tools in Workflows für Werbung, Suche und Conversion-Optimierung gebündelt sind.

Dadurch entsteht eine Abhängigkeitsschleife:

• Für Anzeigen ist eine Conversion-Messung erforderlich.
• Für die Conversion-Messung sind Skripte erforderlich.
• Berichterstattung über Skript-Feed-Plattformen.
• Plattformberichte prägen Budgetentscheidungen.
• Budgetentscheidungen erschweren das Verlassen der Plattform.

Google Analytics ist das deutlichste Beispiel. Das Produkt ist nützlich und vertraut, aber seine Rolle im breiteren Google-Ökosystem wirft rechtliche und vertrauenswürdige Fragen auf. Mehrere europäische Datenschutzbehörden stellten nach dem Schrems II-Urteil fest, dass bestimmte Verwendungen von Google Analytics unrechtmäßige Übermittlungen personenbezogener Daten an United States beinhalteten. In der vom Europäischen Datenschutzausschuss zusammengefassten Entscheidung der italienischen Behörde heißt es, dass bei Google Analytics-Übertragungen in diesem Fall angemessene Schutzmaßnahmen fehlten (EDPB-Zusammenfassung).

Für ein kleines Unternehmen lautet die praktische Frage nicht: „Ist Google böse?“ Es lautet: „Brauchen wir so viele Daten, so viele Dritte und so viel rechtliche Komplexität, um unsere Website zu verstehen?“

Oft lautet die Antwort nein.

Das Argument für eine verhältnismäßige Messung

Eine datenschutzorientierte Analysestrategie beginnt mit der Verhältnismäßigkeit:

• Messen Sie aggregierte Besuche, Quellen, Seiten und Conversions.
• Nutzen Sie UTMs, um Kampagnen ohne Cross-Site-Tracking zu verstehen.
• Vermeiden Sie persönliche Kennungen, es sei denn, ein bestimmter Arbeitsablauf erfordert sie.
• Halten Sie die Aufbewahrung kurz genug, um den Geschäftsanforderungen gerecht zu werden.
• Trennen Sie Produktanalysen von Werbeprofilen.
• Machen Sie Analysen in der Datenschutzerklärung verständlich.

Dies hindert ein Unternehmen nicht am Lernen. Es verhindert, dass Analysen zu einem stillen Datenauspuff in ein größeres Profiling-System werden.

Welche Regulierung versucht zu beheben?

Der GDPR befasst sich mit Rechtsgrundlagen, Transparenz, Zweckbindung, Datenminimierung, Benutzerrechten und internationalen Übermittlungen. Der DMA befasst sich mit Plattform-Gatekeeping und unfairen Datenvorteilen. Das Gesetz über digitale Dienste befasst sich mit systemischen Plattformrisiken und Transparenz. Die Datenschutzgesetze und der Löschungsgesetz von California befassen sich mit Verbraucherrechten und Datenbrokern.

Diese Gesetze unterscheiden sich, aber sie verfolgen eine gemeinsame Richtung: Die Datenextraktion in großem Umfang wird nicht länger als harmloser Standard behandelt.

Für kleinere Unternehmen ist das eine Chance. Sie müssen nicht auf die Durchsetzung bei den größten Plattformen warten, um einen besseren Messstapel aufzubauen. Die Verringerung der Abhängigkeit von invasivem Tracking kann das Compliance-Risiko verringern, die Seitengeschwindigkeit verbessern, die Einwilligung vereinfachen und die Verteidigung Ihres Datenschutzversprechens erleichtern.

Was Unternehmen jetzt tun sollten

Prüfen Sie, wohin Kunden- und Besucherdaten gehen. Beziehen Sie Analyseskripte, Pixel, Chat-Tools, Heatmaps, CDPs, CRMs, E-Mail-Plattformen und Werbenetzwerke ein.

Fragen Sie für jedes Tool:

• Welche Daten werden erfasst?
• Sind die Daten personenbezogen, pseudonym oder aggregiert?
• Werden sie für eigene Zwecke an Dritte weitergegeben?
• Verlässt es die Region des Besuchers?
• Haben wir eine Rechtsgrundlage und einen klaren Hinweis?
• Könnten wir dieselbe Geschäftsfrage mit weniger Daten beantworten?

Entfernen oder ersetzen Sie dann Werkzeuge, die den Test nicht bestehen. Ein einfaches Analyse-Setup, das 90 % der operativen Fragen beantwortet, ist oft besser als ein komplexes System, das niemand bei einer Datenschutzüberprüfung erklären kann.

Aktionen mit kleineren Stapeln

Verwandeln Sie die Datenschutzbedenken in Kontrollen, über die ein kleines Unternehmen tatsächlich verfügen kann: Entfernen Sie unnötige Skripte von Drittanbietern, vermeiden Sie die Anreicherung durch Broker, halten Sie die Analysen nach Möglichkeit aggregiert, verkürzen Sie die Aufbewahrung von Rohdaten, veröffentlichen Sie die Datennutzung im Klartext und vereinfachen Sie Opt-outs. Der Wert liegt nicht nur in der Einhaltung. Ein kleinerer Datenfußabdruck bedeutet, dass weniger Anbieter überprüft werden müssen, weniger Konsequenzen bei Verstößen auftreten, weniger Einwilligungsaufforderungen erforderlich sind und eine klarere Vertrauensstory vorliegt.

Das Fazit

Das Datenschutzproblem von Big Tech liegt nicht nur in der Größe. Es ist die Kombination aus dominantem Zugang, dienstübergreifenden Daten, Werbeanreizen und schwacher Benutzerauswahl. Unternehmen können darauf reagieren, indem sie Messinstrumente wählen, die zur tatsächlichen Entscheidung passen: genug Daten, um die Website zu verbessern, nicht genug, um standardmäßig an einer Überwachungsökonomie teilzunehmen.

Häufig gestellte Fragen

Ist die Größe von Big Tech selbst das Problem?

Nicht allein. Suchmaschinen brauchen breite Indizes, Marktplätze brauchen Käufer und Verkäufer, und soziale Netzwerke funktionieren erst mit genug Teilnehmern, deshalb ist ein gewisses Maß an Größe nötig. Das eigentliche Problem beginnt, wenn Skalierung, Marktmacht und Datensammlung sich gegenseitig verstärken.

Was ist ein DMA-Gatekeeper?

Ein Gatekeeper ist eine Einstufung nach dem EU Digital Markets Act für Plattformen, die zentrale Zugangspunkte in digitalen Märkten kontrollieren. Die Europäische Kommission hat Alphabet, Amazon, Apple, ByteDance, Meta, Microsoft und Booking für bestimmte Dienste als Gatekeeper benannt. Dieser Status bringt Pflichten mit sich, etwa Einschränkungen bei der Kombination personenbezogener Daten über Dienste hinweg ohne gültige Einwilligung.

Warum sind kombinierte Daten aussagekräftiger als ein einzelner Datensatz?

Eine Suchanfrage zeigt Absicht, eine Kartenroute zeigt den Standort, und eine Einkaufshistorie zeigt den Bedarf eines Haushalts. Zusammengeführt können diese Signale Dinge wie Schwangerschaft, Jobverlust oder finanzielle Not andeuten, ohne dass je ein Feld so beschriftet wurde. Es geht nicht darum, ob ein Formular nach einem Namen fragt, sondern ob das System genug Beobachtungen verknüpfen kann, um eine Person zu profilieren.

Was hat die FTC zu Datenmaklern gesagt?

Der FTC-Bericht von 2014, Data Brokers: A Call for Transparency and Accountability, stellte fest, dass Datenmakler Informationen aus zahlreichen Online- und Offline-Quellen sammeln, oft ohne Wissen der betroffenen Personen. Big-Tech-Plattformen sind keine Datenmakler, aber dieselbe Lehre gilt: Intransparenz plus Größe schafft asymmetrisches Wissen.

Warum hat eine italienische Behörde Google Analytics verboten?

Die italienische Datenschutzbehörde stellte fest, dass eine bestimmte Nutzung von Google Analytics personenbezogene Daten ohne angemessene Garantien in die USA übertrug, nach dem Schrems-II-Urteil. Der Europäische Datenschutzausschuss fasste die Entscheidung auf seiner Website zusammen. Es ist eine rechtliche Feststellung zu dieser konkreten Übertragung, kein Urteil, dass Google Analytics grundsätzlich bösartig ist.

Warum landen kleine Unternehmen bei invasiven Analytics-Tools?

Die meisten Websitebetreiber installieren solche Tools nicht, weil sie Überwachung wollen, sondern weil die dominanten Optionen in Werbe-, Such- und Conversion-Optimierungs-Workflows eingebettet sind. Werbung braucht Conversion-Messung, die braucht Skripte, die füttern das Plattform-Reporting, das prägt Budgetentscheidungen, und diese Entscheidungen machen den Wechsel schwerer. Dieser Abhängigkeitskreislauf hält invasives Tracking als Standard am Leben.

Wie sieht ein verhältnismäßiges Analytics-Setup aus?

Ein verhältnismäßiges Analytics-Setup misst aggregierte Besuche, Quellen, Seiten und Conversions, nutzt UTMs statt seitenübergreifendem Tracking, und verzichtet auf personenbezogene Kennungen, außer ein Workflow braucht sie wirklich. Außerdem hält es die Speicherdauer kurz, trennt Produkt-Analytics von Werbeprofilen und erklärt sich klar in der Datenschutzerklärung.

Müssen kleinere Unternehmen warten, bis Regulierungsbehörden aktiv werden, bevor sie ihre Tools ändern?

Nein. GDPR, DMA, DSA und Kaliforniens Datenschutzgesetze bewegen sich alle in dieselbe Richtung und behandeln groß angelegte Datenextraktion als etwas, das begrenzt werden muss, statt als harmlosen Standard. Ein Unternehmen kann seine Abhängigkeit von invasivem Tracking schon jetzt verringern, was Compliance-Risiken senkt, Seiten schneller macht und Einwilligung vereinfacht, lange bevor irgendeine Behörde gegen eine große Plattform vorgeht.

Was sollte ein Unternehmen bei einem Audit seiner Datentools prüfen?

Für jedes Analytics-Skript, jeden Pixel, Chat-Tool, jede Heatmap, CDP, CRM, E-Mail-Plattform oder jedes Werbenetzwerk sollte man fragen, welche Daten es sammelt. Danach ist zu klären, ob diese Daten personenbezogen, pseudonym oder aggregiert sind, und ob sie mit Dritten für deren eigene Zwecke geteilt werden. Zusätzlich lohnt sich die Frage, ob die Daten die Region des Besuchers verlassen, ob eine Rechtsgrundlage und ein klarer Hinweis vorliegen, und ob sich dieselbe geschäftliche Frage mit weniger Daten beantworten lässt.

Wie hängt Wettbewerbsrecht mit Datenschutzrecht zusammen?

Wettbewerbsrecht und Datenschutzrecht sind unterschiedliche Instrumente, die sich aber am selben Punkt treffen. Datenvorteile können zu Marktvorteilen werden, und Marktvorteile können Datenschutzentscheidungen weniger bedeutsam machen, weshalb sich die Gatekeeper-Regeln des DMA und die Datenschutzregulierung in ihrer Wirkung überschneiden.