Ein praktischer Leitfaden zu Datenbroker erklärt

Ohne je eine Beziehung zu Ihnen zu haben, sammeln und verkaufen sie Informationen über Personen: Das Geschäft der Datenbroker erklärt sich über Personensuche, Marketingdaten, Standortdaten, Risikobewertung und Lead-Generierung.

Datenbroker sammeln, schließen daraus, verpacken und verkaufen Informationen über Personen, oft ohne eine direkte Beziehung zu ihnen. Die Branche umfasst Websites zur Personensuche, Anbieter von Marketingdaten, Unternehmen für Standortdaten, Anbieter von Risikobewertungen, Lead-Generatoren und Firmen, die Kundendatenbanken für Werbetreibende oder Finanzdienstleistungen anreichern.

Das Datenschutzproblem besteht nicht nur darin, dass Daten vorhanden sind. Oft wissen die Leute nicht, wer es hat, wie es kombiniert wurde, ob es korrekt ist und wie es verwendet wird.

Wo Broker Daten erhalten

Datenbroker schöpfen aus vielen Quellen:

• Öffentliche Aufzeichnungen wie Eigentums-, Gerichts-, Wähler-, Geschäfts- und Berufslizenzaufzeichnungen.
• Kommerzielle Daten aus Treueprogrammen, Einkäufen, Abonnements und Garantieregistrierungen.
• Online-Verhalten durch Pixel, SDKs, Werbekennungen und Cookie-Synchronisierung.
• Mobile Standortdaten aus Apps und Ad-Tech-Lieferketten.
• Selbstberichtete Daten aus Umfragen, Quizzen, Lead-Formularen und Gewinnspielen.
• Schlussfolgerungen aus demografischen Daten, Nachbarschaften, Geräten, Interessen und Verhalten.

Ein einzelner Datenpunkt kann harmlos aussehen. Über mehrere Quellen hinweg kombiniert, können sie Einkommensspanne, Haushaltszusammensetzung, Gesundheitsinteressen, politische Neigungen, Religionszugehörigkeit, Schwangerschaftsinteresse, Schuldenstress oder Besuche an sensiblen Orten aufdecken.

Warum es wichtig ist

Datenbroker können Werbung, Betrugsprävention, Kredit- und Versicherungsmarketing, Personensuche, Hintergrundüberprüfungen, Ermittlungen der Strafverfolgungsbehörden und politisches Targeting beeinflussen. Einige Verwendungen sind reguliert. Andere befinden sich in Grauzonen, in denen Verbraucher wenig Sichtbarkeit haben.

Die US Federal Trade Commission hat wiederholt vor dem Missbrauch sensibler Daten gewarnt. In ihrem Fall gegen Kochava behauptete die FTC, dass das Unternehmen präzise Geolokalisierungsdaten verkauft habe, die Besuche an sensiblen Orten wie Kliniken für reproduktive Gesundheit, Gotteshäusern, Notunterkünften und Suchthilfeeinrichtungen aufdecken könnten (FTC gegen Kochava). Der Fall verdeutlicht, warum Standortdaten selten nur ein Marketingsignal sind.

Das Consumer Financial Protection Bureau hat außerdem vorgeschlagen, mehr Datenbrokeraktivitäten unter die Pflichten des Fair Credit Reporting Act zu stellen, wenn Makler Informationen verkaufen, die für Berechtigungsentscheidungen wie Kredit, Beschäftigung oder Wohnraum verwendet werden (CFPB-Vorschlag).

Wie Datenbrokerprofile ungenau werden

Brokerdaten sind probabilistisch. Eine Person wird aufgrund einer Nachbarschaft, eines Kaufs, eines Website-Besuchs oder einer Ähnlichkeit mit anderen Benutzern einem Segment zugeordnet. Schlussfolgerungen können falsch, veraltet oder irreführend sein. Der Schaden beschränkt sich nicht nur auf Peinlichkeit. Ungenaue Profile können sich auf Angebote, Preise, Screening, Targeting oder den Ausschluss von Chancen auswirken.

Selbst wenn Daten „pseudonym“ sind, können sie dennoch verknüpfbar sein. Mobile Werbung IDs, gehashte E-Mails, Cookie IDs und Gerätediagramme können das Verhalten kontextübergreifend verknüpfen. Das Datenschutzrisiko steigt, wenn Daten den ursprünglichen Kontext verlassen, in dem die Person sie erwartet hat.

Was Einzelpersonen tun können

Es gibt keine perfekte persönliche Lösung, aber die Belastung kann reduziert werden:

• Melden Sie sich von den großen Personensuchseiten und Datenbrokern ab, sofern diese verfügbar sind.
• Beschränken Sie die App-Standortberechtigungen und vermeiden Sie „Immer zulassen“, sofern dies nicht erforderlich ist.
• Mobile Werbung IDs zurücksetzen und personalisierte Werbung deaktivieren.
• Nutzen Sie den Browser-Tracking-Schutz und blockieren Sie Cookies von Drittanbietern.
• Vermeiden Sie Quizze, Lead-Formulare und Gewinnspiele, die unnötige Fragen stellen.
• Verwenden Sie E-Mail-Aliase für Anmeldungen.
• Fordern Sie die Löschung gemäß den geltenden Gesetzen wie CCPA/CPRA an, sofern verfügbar.

Die Last sollte nicht ausschließlich beim Einzelnen liegen. Broker-Ökosysteme sind zu undurchsichtig, als dass ein manuelles Opt-out eine vollständige Lösung darstellen könnte.

Was Unternehmen lernen sollten

Kaufen Sie keine Daten, die Sie nicht erklären können. Wenn ein Anbieter erweiterte Zielgruppen, Absichtsdaten, Standortsegmente oder Identitätsdiagramme anbietet, fragen Sie:

• Was ist die ursprüngliche Quelle der Daten?
• Welche Einwilligung oder Mitteilung betraf die Sammlung?
• Sind sensible Daten ausgeschlossen?
• Wie wird die Genauigkeit geprüft?
• Können Personen darauf zugreifen, sie löschen oder sich abmelden?
• Werden die Daten für Förderentscheidungen verwendet?
• Wird es weitergegeben?
• Welche Gerichtsbarkeiten werden abgedeckt?

Für die Website-Analyse ist die Lehre klar: Vermeiden Sie es, versehentlich ein kleiner Datenbroker zu werden. Senden Sie keine Kunden-E-Mails, Benutzer-IDs, vollständige URLs mit personenbezogenen Daten oder sensible Ereignisnamen an Werbe- und Analyseanbieter, es sei denn, Sie haben eine klare Rechtsgrundlage und Benutzererwartungen.

Datenschutzorientierte Analytics als Alternative

Ein Analyseprodukt, bei dem der Datenschutz an erster Stelle steht, sollte keine Besucherdatensätze aus Brokerdaten anreichern, keine Zielgruppen verkaufen oder standortübergreifende Profile erstellen. Es sollte die Website-Leistung insgesamt messen: Besuche, Seiten, Verweise, Kampagnen, Ziele und Trends. Dadurch erhalten Teams nützliche Einblicke, ohne sich dem versteckten Markt für persönliche Informationen anzuschließen.

Datenvermittlung lebt vom Zusammenbruch des Kontexts: Informationen, die an einem Ort geteilt werden, werden zum Treibstoff für Entscheidungen an einem anderen Ort. Bei der „Privacy First“-Messung wird diesem Muster entgegengewirkt, indem die Daten auf den Zweck beschränkt werden, den der Websitebesitzer erklären kann.

Rote Flaggen in Verkaufsgesprächen mit Anbietern

Seien Sie skeptisch, wenn ein Anbieter „anonyme“ Zielgruppen verspricht, aber die Quelldaten, den Opt-out-Prozess oder die Kontrollen zur Neuidentifizierung nicht erklären kann. Seien Sie besonders vorsichtig bei präzisen Standortsegmenten, Segmenten mit Gesundheitsinteressen, Segmenten zur finanziellen Belastung, Targeting auf Haushaltsebene und Identitätsdiagrammen, die E-Mails, Geräte und Cookies verbinden.

Fordern Sie Löschworkflows und Prüfrechte an. Wenn ein Makler Daten nicht zuverlässig löschen, korrigieren oder unterdrücken kann, könnten Sie Beschwerden von Personen übernehmen, die nie wussten, dass Ihr Unternehmen ein Profil über sie hat. Für Marken, bei denen der Datenschutz an erster Stelle steht, ist die einfachste Regel oft die beste: Kaufen Sie keine Verhaltensdaten, deren Beschreibung auf Ihrer Preisseite unangenehm wäre.

Checkliste für Business Data Broker

Wenn ein Anbieter externe Zielgruppen- oder Anreicherungsdaten in Ihren Stapel einbringt, warten Sie, bis Sie die Quelle, den Einwilligungspfad, den Opt-out-Prozess, den Ausschluss sensibler Daten, die Genauigkeitskontrollen und die Weitergabe erläutern können.

Vermeiden Sie es bei Ihrer eigenen Website, versehentlich ein kleiner Broker zu werden. Entfernen Sie unnötige Skripte von Drittanbietern, halten Sie die Analysen nach Möglichkeit aggregiert, verkürzen Sie die Aufbewahrung von Rohdaten und senden Sie niemals Kunden-E-Mails, Benutzer-IDs oder sensiblen Seitenkontext ohne klaren Zweck und Erwartungen an Ad-Tech-Tools.

Häufig gestellte Fragen

Was ist ein Datenbroker genau?

Ein Datenbroker sammelt, leitet ab, bündelt und verkauft Informationen über Menschen, zu denen er meist keine direkte Beziehung hat. Die Branche reicht von Personensuchseiten über Marketing-Datenanbieter und Standortdaten-Firmen bis zu Risikobewertungs-Anbietern, Lead-Generatoren und Firmen, die Kundendatenbanken für Werbetreibende oder Finanzdienstleister anreichern. Fast niemand meldet sich aktiv bei diesen Unternehmen an, was Teil des Datenschutzproblems ist.

Woher beziehen Datenbroker ihre Informationen?

Zu den Quellen zählen öffentliche Register wie Grundbuch-, Gerichts-, Wähler-, Gewerbe- und Berufszulassungsdaten sowie kommerzielle Daten aus Treueprogrammen, Käufen, Abonnements und Garantieregistrierungen. Broker beziehen außerdem Online-Verhalten über Pixel, SDKs, Werbe-IDs und Cookie-Syncing sowie mobile Standortdaten und selbst angegebene Antworten aus Umfragen, Quizzes und Lead-Formularen. Hinzu kommen Ableitungen aus Demografie, Wohngegend, Geräten und Verhaltensmustern.

Warum entsteht durch die Kombination kleiner Datenpunkte ein größeres Datenschutzrisiko?

Ein einzelner Datenpunkt wirkt für sich genommen harmlos. Sobald Broker ihn mit anderen Quellen zusammenführen, kann der kombinierte Datensatz Einkommensbereich, Haushaltszusammensetzung, Gesundheitsinteressen, politische Ausrichtung, religiöse Zugehörigkeit, Interesse an Schwangerschaft, finanzielle Belastung oder Besuche an sensiblen Orten offenlegen. Diese Zusammenführung über Kontexte hinweg schafft das eigentliche Risiko, nicht der einzelne Datensatz.

Was wirft die FTC Kochava in ihrem Verfahren vor?

Im Verfahren FTC gegen Kochava wirft die US-Handelsaufsicht dem Unternehmen vor, präzise Standortdaten verkauft zu haben, die Besuche an sensiblen Orten wie Kliniken für reproduktive Gesundheit, Gotteshäusern, Notunterkünften und Suchteinrichtungen offenlegen konnten. Der Fall zeigt, dass Standortdaten mehr sind als nur ein Marketingsignal.

Wie würde der CFPB-Vorschlag Datenbroker betreffen?

Die US-Verbraucherschutzbehörde CFPB schlägt vor, mehr Aktivitäten von Datenbrokern den Pflichten des Fair Credit Reporting Act zu unterstellen. Das würde greifen, wenn Broker Informationen verkaufen, die für Zulassungsentscheidungen wie Kredite, Beschäftigung oder Wohnraum genutzt werden.

Warum sind Datenbroker-Profile oft ungenau?

Broker-Daten beruhen größtenteils auf Wahrscheinlichkeiten: Eine Person wird einem Segment zugeordnet, weil sie in einer bestimmten Wohngegend lebt, einen Kauf getätigt hat, eine Website besucht hat oder anderen Nutzern ähnelt. Solche Ableitungen können falsch, veraltet oder irreführend sein, und der Schaden geht über Peinlichkeit hinaus. Er kann beeinflussen, welche Angebote, Preise, Prüfungen oder Chancen eine Person überhaupt zu sehen bekommt.

Sind pseudonyme Daten wirklich anonym?

Nicht verlässlich. Mobile Werbe-IDs, gehashte E-Mail-Adressen, Cookie-IDs und Geräte-Graphen können Verhalten weiterhin über Kontexte hinweg verknüpfen, sodass pseudonyme Daten oft trotzdem zuordenbar bleiben. Das Datenschutzrisiko steigt, sobald Daten den ursprünglichen Kontext verlassen, in dem eine Person ihre Nutzung erwartet hatte.

Was kann ich persönlich tun, um meine Sichtbarkeit bei Datenbrokern zu verringern?

Man kann sich bei großen Personensuchseiten abmelden, wo das möglich ist, App-Standortrechte einschränken und die Einstellung "immer erlauben" vermeiden. Es hilft außerdem, die mobile Werbe-ID zurückzusetzen, Werbepersonalisierung zu deaktivieren, Tracking-Schutz im Browser zu nutzen, Drittanbieter-Cookies zu blockieren und Quizzes oder Gewinnspiele zu meiden, die unnötige Fragen stellen. Löschanträge nach Gesetzen wie CCPA/CPRA sind eine weitere Option, auch wenn keine persönliche Maßnahme vollständig ist, weil Broker-Ökosysteme für manuelles Opt-out zu undurchsichtig sind.

Welche Fragen sollte ein Unternehmen vor dem Kauf von Anreicherungsdaten stellen?

Man sollte fragen, was die ursprüngliche Quelle der Daten ist, welche Einwilligung oder welcher Hinweis die Erhebung abgedeckt hat und ob sensible Daten ausgeschlossen sind. Zusätzlich lohnt es sich zu prüfen, wie die Genauigkeit getestet wird, ob Personen Zugriff, Löschung oder Widerspruch erhalten, ob die Daten für Zulassungsentscheidungen genutzt werden, ob sie weitergegeben werden und welche Rechtsräume abgedeckt sind.

Welche Warnsignale deuten auf ein riskantes Anbieterangebot hin?

Vorsicht ist geboten, wenn ein Anbieter "anonyme" Zielgruppen verspricht, aber die Datenquelle, den Opt-out-Prozess oder die Re-Identifizierungskontrollen nicht erklären kann. Besonders aufmerksam sollte man bei präzisen Standortsegmenten, Gesundheitsinteressen-Segmenten, Segmenten zu finanzieller Belastung, Targeting auf Haushaltsebene und Identitätsgraphen sein, die E-Mails, Geräte und Cookies verknüpfen. Man sollte außerdem nach Löschworkflows und Prüfrechten fragen, bevor man sich auf etwas einlässt.