Das Milliardengeschäft mit unseren Daten

NoData.ForSale · Artikel · Datenhandel · Datenschutz

Ich öffne eine App.

Sie zeigt mir das Wetter.

Fertig.

Zumindest für mich.

Im Hintergrund können dabei Standortdaten, Geräteinformationen, eine Werbe-ID oder andere technische Kennungen verarbeitet werden. Vielleicht nur für die gewünschte Funktion. Vielleicht für eine Statistik. Vielleicht sitzt aber auch ein fremder Softwarebaustein mit in der App und bekommt einen Teil davon ab.

Ich sehe davon erst einmal nichts. Das ist bequem. Man stelle sich vor, ich müsste das jedes Mal einzeln bestätigen ;)

Ein Wetterbericht erscheint auf dem Display und irgendwo anders ist möglicherweise ein neuer Datenpunkt entstanden.

Nicht mein Name. Nicht meine komplette Lebensgeschichte.

Nur ein kleines digitales Pünktchen.

Davon gibt es allerdings ziemlich viel.

Und ich höre schon wieder: „Ich habe doch nichts zu verbergen...“

Nicht der einzelne Datenpunkt ist das Geschäft. Das Geschäft beginnt dort, wo viele Daten zu einem handelbaren Bild zusammengesetzt werden.

Eine ziemlich normale Datenschleuder

Der c’t-Podcast hat dem Thema 2025 eine komplette Folge gewidmet: „Das Milliardengeschäft mit unseren Nutzerdaten“.

Das finde ich schon bemerkenswert.

Da sprechen Menschen, die sich beruflich mit Computern, Smartphones, Apps und digitalen Geschäftsmodellen beschäftigen. Und selbst dort fällt für das Smartphone sinngemäß der Begriff der größten Datenschleuder.

Klingt hart? Nicht wirklich...

Ist aber nachvollziehbar.

Das Smartphone ist fast immer dabei. Es kennt je nach Gerät, Einstellungen, Apps und Berechtigungen unter anderem:

die Apps, die du benutzt,
die Webseiten, die du aufrufst,
deine Suchanfragen,
deinen ungefähren oder genauen Standort,
Geräte in deiner Umgebung,
deine Kontakte, wenn du sie freigibst,
Werbe- und andere Kennungen
und die Zeiten, zu denen du aktiv bist.

Nicht jede App bekommt alles davon.

Nicht jede App verkauft Daten.

Und nicht jeder technische Zugriff ist automatisch unseriös. Eine Navigation ohne Standort wäre schließlich ungefähr so hilfreich wie eine Landkarte ohne den Punkt „Du bist hier“.

Unter anderem frage ich mich:

Was passiert mit einem Datum, nachdem es seinen ursprünglichen Zweck erfüllt hat?

Vom kurzen Tipp bis zum Datenhändler

Auf dem Display sieht die Sache oft übersichtlich aus.

Eine App.

Ein Knopf.

Einmal „Zulassen“.

Im Hintergrund kann die Lieferkette deutlich länger sein:

Eine App oder Webseite erfasst eine Information.
Ein eingebundener Analyse- oder Werbebaustein bekommt Daten oder Kennungen übermittelt.
Eine Kennung verbindet Vorgänge aus verschiedenen Momenten oder Anwendungen.
Ein Anbieter ergänzt eigene, gekaufte oder von Partnern gelieferte Informationen.
Ein Datenhändler erstellt daraus Datensätze, Zielgruppen oder Zugänge für Kunden.

Das muss nicht bei jedem Dienst genau so ablaufen.

Es zeigt aber, warum die Datenschutzerklärung einer kleinen App plötzlich Namen von Unternehmen enthalten kann, von denen du noch nie etwas gehört hast.

Du siehst eine App.

Im Hintergrund können mehrere Firmen mit am Tisch sitzen.

Besonders anschaulich wurde diese Kette im Verfahren der US-Verbraucherschutzbehörde FTC gegen X-Mode und dessen Nachfolger Outlogic. Nach Darstellung der Behörde kamen genaue Standortdaten aus eigenen Apps, aus fremden Apps mit eingebautem SDK sowie von anderen Datenhändlern und Aggregatoren. Verkauft oder lizenziert wurden sie an Hunderte Kunden aus verschiedenen Branchen.

Das ist kein geheimer Keller mit blinkenden Monitoren.

Das ist ein Geschäftsmodell.

Was wird da eigentlich verkauft?

Beim Wort Datenhandel stelle ich mir schnell eine riesige Datei vor.

Oben steht dein Name.

Darunter alles, was jemand über dich weiß.

So muss es nicht aussehen.

Gehandelt werden können zum Beispiel:

Rohdaten wie Standortpunkte oder Gerätekennungen,
fertige Zielgruppen wie „wahrscheinlich umzugsbereit“ oder „interessiert sich für Outdoor“,
angereicherte Profile aus mehreren Quellen,
Zugänge zu einer Datenbank oder Schnittstelle,
statistische Merkmale
oder die Möglichkeit, eine bestimmte Gruppe mit Werbung zu erreichen.

Manchmal kauft ein Kunde also einen Datensatz.

Manchmal kauft er nur den Zugang.

Und manchmal kauft er nicht die Daten selbst, sondern die Gelegenheit, genau den Menschen eine Botschaft zu zeigen, die in eine bestimmte Schublade einsortiert wurden.

Für das Geschäft muss hinter jeder Kennung nicht sofort ein Klarname stehen.

Es kann reichen, dass derselbe Browser, dasselbe Gerät oder derselbe Account zuverlässig wiedererkannt wird.

Pseudonym ist nicht automatisch anonym

„Da steht doch mein Name gar nicht dabei.“

Stimmt vielleicht.

Statt Inge könnte dort eine Zeichenfolge stehen.

Sagen wir:

8F4A-72C1-...

Das wirkt erst einmal beruhigend. Mit einer solchen Kennung kann mich schließlich niemand auf der Straße ansprechen.

Nur hängt die Frage der Anonymität nicht daran, ob mein Name in derselben Tabellenzeile steht.

Wenn dieselbe Kennung nachts immer an einem Wohnhaus auftaucht, tagsüber an einem Arbeitsplatz und regelmäßig an weiteren bekannten Orten, wird aus der Nummer ein ziemlich brauchbares Bewegungsprofil.

Kommen öffentliche Angaben, Telefonbucheinträge oder weitere Datensätze hinzu, kann eine Zuordnung möglich werden.

Genau das zeigten die Databroker-Recherchen des Bayerischen Rundfunks und von netzpolitik.org. Aus kommerziell erhältlichen Standortdaten ließen sich Bewegungen nachvollziehen und in mehreren Fällen Menschen identifizieren – darunter Personen mit Zugang zu sicherheitsrelevanten Einrichtungen.

Mehr dazu steht im Artikel Dein Standort ist eine Ware.

Für diesen Text reicht der einfache Punkt:

Eine Kennung ist kein Name.

Aber sie ist auch kein Tarnumhang.

Aus Daten werden Behauptungen

Ein Datenhändler muss nicht nur weiterreichen, was sicher bekannt ist.

Er kann auch etwas ableiten.

Aus Wohngegend, Kaufverhalten, besuchten Webseiten, App-Nutzung oder Standortmustern entstehen dann Merkmale wie:

vermutlich kaufkräftig,
wahrscheinlich interessiert an einem Umzug,
möglicherweise Elternteil,
häufig unterwegs,
vermutlich empfänglich für Rabattangebote
oder wahrscheinlich politisch in eine bestimmte Richtung orientiert.

Das sind keine feststehenden Tatsachen.

Das sind Wahrscheinlichkeiten.

Sie können stimmen.

Sie können danebenliegen.

Verwendet werden können sie trotzdem.

Ein Profil muss nicht wahr sein, um verkauft und benutzt zu werden. Es muss für den nächsten Filter nur brauchbar genug aussehen.

Das finde ich fast unangenehmer als eine sauber gespeicherte Tatsache.

Eine falsche Adresse kann ich möglicherweise berichtigen.

Wie berichtige ich aber die Vermutung eines Unternehmens, ich sei ängstlich, zahlungskräftig, wechselbereit oder politisch beeinflussbar, wenn ich nicht einmal weiß, dass diese Vermutung existiert?

Werbung ist nur der bekannteste Kunde

Natürlich geht es oft um Werbung.

Werbetreibende möchten ihr Geld nicht dafür ausgeben, Hundefutter bei Menschen ohne Hund einzublenden. Sie möchten Gruppen erreichen, bei denen ein Kauf wahrscheinlicher erscheint.

Kann ich nachvollziehen.

Nur bleibt der Markt nicht automatisch beim Hundefutter stehen.

Die FTC beschrieb bei X-Mode Kunden aus Bereichen wie Immobilien und Finanzen sowie private Auftragnehmer staatlicher Stellen. Im Verfahren gegen Gravy Analytics und Venntel ging es außerdem um Standortdaten und daraus gebildete Listen zu Besuchen an sensiblen Orten – darunter medizinische Einrichtungen, religiöse Organisationen, Schulen, Gewerkschaftsbüros, Schutzeinrichtungen und militärische Anlagen.

Da wird aus „passender Werbung“ ziemlich schnell etwas ganz anderes.

Ein Datensatz weiß schließlich nicht, ob der nächste Käufer Schuhe verkaufen, eine Kreditwürdigkeit einschätzen oder Menschen an einem bestimmten Ort finden möchte.

Er wird durch den späteren Zweck nicht plötzlich zu einem anderen Datensatz.

Das Problem ist nicht nur der Verkauf

Beim Datenhandel konzentriert sich die Kritik gern auf den Moment, in dem Geld den Besitzer wechselt.

Verständlich.

Nur kann die eigentliche Leistung schon vorher entstanden sein:

Jemand hat Daten gesammelt.

Jemand hat sie vereinheitlicht.

Jemand hat Kennungen zusammengeführt.

Jemand hat daraus Merkmale berechnet.

Und jemand hat das Ergebnis so sortiert, dass ein Kunde damit arbeiten kann.

Ob anschließend eine Datei verkauft, eine Schnittstelle vermietet oder nur eine Zielgruppe bereitgestellt wird, ändert für den betroffenen Menschen nicht unbedingt viel.

Sein digitales Allerlei ist zu einem Produkt geworden.

Auch die Kritiker sitzen mit im System

An der c’t-Folge gefällt mir, dass sie am Ende nicht so tut, als stünde heise außerhalb dieser Welt.

Kostenlose Online-Inhalte werden auch dort durch Werbung finanziert. Damit ist ein Technikverlag, der kritisch über die Werbeinfrastruktur berichtet, gleichzeitig Teil derselben Infrastruktur.

Das ist kein Grund, die Recherche abzuwerten.

Im Gegenteil.

Es zeigt, wie tief dieses Modell im Internet steckt.

Es gibt nicht auf der einen Seite die vollkommen sauberen Guten und auf der anderen Seite die bösen Datenhändler mit schwarzem Kapuzenpulli.

Webseiten müssen finanziert werden.

Apps sollen Geld verdienen.

Menschen möchten kostenlose Angebote nutzen.

Und genau zwischen diesen verständlichen Interessen ist ein Markt entstanden, bei dem die betroffene Person häufig am wenigsten weiß.

Alle anderen kennen die Lieferkette.

Du bekommst den Cookie-Banner.

Löschen löst nicht den ganzen Markt

Ich könnte jetzt eine Liste mit zehn Schaltern aufschreiben und am Ende behaupten, danach sei Ruhe.

Wäre schön.

Stimmt aber nicht.

Eine gelöschte Werbe-ID entfernt nicht automatisch alte Datensätze bei anderen Unternehmen. Ein abgelehnter Standortzugriff ändert nichts an Informationen, die vorher bereits übertragen wurden. Und auch ohne Werbe-ID können Accounts, Cookies oder andere Kennungen eine Wiedererkennung ermöglichen.

Das bedeutet nicht, dass Einstellungen sinnlos sind.

Es bedeutet nur, dass sie kein Radiergummi für die Vergangenheit sind.

Der Datenhandel ist außerdem ein strukturelles Problem. Einzelne Menschen können Datenwege verkleinern. Sie können aber nicht allein kontrollieren, welche Firmen untereinander handeln, welche Modelle daraus entstehen und welcher Kunde morgen eine vorhandene Datenbank benutzen möchte.

Dafür braucht es zusätzlich klare Regeln, wirksame Aufsicht und Unternehmen, die Datensparsamkeit nicht nur in die Datenschutzerklärung schreiben.

Deine Daten. // Deine Entscheidung.

Ich würde mein Handy wegen dieses Marktes nicht zum Briefbeschwerer machen.

Ich würde aber genauer hinsehen, was ich dem Markt freiwillig liefere.

Berechtigung und Funktion vergleichen:
Eine Navigation braucht Standortdaten. Eine Taschenlampe nicht. Wenn die Begründung nicht zur Funktion passt, bleibt der Zugriff aus.

Apps aussortieren:
Was du seit Monaten nicht benutzt, kann runter. Weniger Apps bedeuten nicht automatisch vollständigen Datenschutz, aber weniger mögliche SDKs, Berechtigungen und Datenwege.

Werbeeinstellungen prüfen:
Unter Android lassen sich die Werbe-ID sowie Einstellungen zu Werbethemen, Anzeigenvorschlägen und Erfolgsmessung prüfen. Auf Apple-Geräten kannst du App-Tracking ablehnen. Das macht dich nicht unsichtbar, kappt aber einen Teil der vorgesehenen Infrastruktur.

Nicht jedes Adressbuch hochladen:
In deinen Kontakten stehen Daten anderer Menschen. Der Knopf „Freunde finden“ ist keine Generalvollmacht für deren Telefonnummern und E-Mail-Adressen.

Den Browser nutzen:
Nicht jeder Dienst braucht eine eigene App. Eine Webseite kann im Einzelfall weniger Berechtigungen und weniger eingebundene Softwarebausteine bedeuten.

Auskunft verlangen:
Wenn du wissen möchtest, ob ein Unternehmen personenbezogene Daten über dich verarbeitet, kannst du grundsätzlich nach Artikel 15 DSGVO fragen. Wie das auch als Nichtnutzer funktioniert, steht in der Auskunftsanleitung für Nichtnutzer.

Keine Wunder erwarten:
Ein einzelner Schalter beendet den Datenhandel nicht. Mehrere bewusst geschlossene Wege liefern ihm aber weniger Material.

Du wirst den Datenmarkt nicht allein abschalten. Aber du musst ihn auch nicht freiwillig mit jedem verfügbaren Puzzleteil füttern.

Technik darf bequem sein.

Eine App darf Geld verdienen.

Eine Webseite darf Werbung zeigen.

Ich möchte nur wissen, wann aus einer gewünschten Funktion ein Datenprodukt wird – und wer anschließend daran verdient.

Denn die Daten über mein digitales Leben sind vielleicht beiläufig entstanden.

Wertlos sind sie deshalb noch lange nicht.

Wissensstand: 16. September 2026.