Der freie Onlinedienst zum Thema Selbstauskunft
Artikel vom 14.08.2023
Datenhandel in der Kritik: Wie uns Datensammler in Schubladen stecken
Datenschützer reichen Beschwerde gegen Datenhändler ein, die sich auf Bitten um Selbstauskunft taub stellen. Weil ihnen Tracking-Cookies zur Authentifizierung von Nutzern nicht genügen. Cookies, die dieselben Firmen großzügig nutzen. Als Verbraucher bezahlen wir Internetangebote freigiebig mit unseren Daten, auf Schritt und Tritt getrackt. Doch wo landen diese - und was geschieht damit?
In die Schublade gesteckt & verramscht
Der Handel mit persönlichen Daten blüht wie nie, wohlstrukturiert nach Kategorien. Datenhändler stecken Verbraucher in Schubladen aller Art namens Audience Segments - und handeln mit dem Inhalt. Die Etiketten: Gutverdiener, Bio-Konsument, Malle-Urlauber, Genussmensch, Magenkranker, Migrationshintergrund etc. etc. Aber es gibt doch die Datenschutzgrundverordnung? Jein, denn dieser zahnlose Tiger wird nicht proaktiv tätig, sondern erst bei konkreter Verbraucherkritik. Sie möchten sich beschweren? Die Basis bildet eine Bitte um Selbstauskunft beim Datenhändler. Dieser kann Sie nur identifizieren, wenn Sie ihm Ihre Cookie-IDs und Mobile-Advertising-IDs mitteilen.
Das sind die Datenhändler
Gar nicht so einfach, diese Datenhändler anzusprechen. Schließlich handelt es sich dabei nicht um eine Art Daten-Direktvertrieb, sondern um Kauf, Strukturierung und Verwertung von Informationen. 24/7 gesammelt z. B. durch Marktforschung, Kreditkartenanbieter und Apps, mit jedem Zustimmungsklick zu Cookies. Der Umfang der Datensammlung, der ich zustimme, bleibt unüberprüfbar im Dunkeln. Zu diesen (inter-)nationalen Datenhändlern gehören deutsche Firmen wie Adsqare, DataXtrade, Emetriq, roq.ad und Zeotap, aber auch US-Amerikaner wie Eyeota, Oracle, Liveramp oder Xandr. Der global aufgestellte Datenmarktplatz mit ca. 650.000 Kategorien, vorher im Besitz von US-Telekommunikationsriese AT&T, gehört seit 2022 zu Microsoft. Auch Segmente mit Minderjährigen sowie Dienste, die die IDs von Verbrauchern synchronisieren, um Personen über mehre Endgeräte zu tracken, zählen zum Xandr-Service.
Burger gegessen? Brustkrebs-Patientin? Das Segment weiß es
Xandr versteht sich nur als Dienstleister. Welche Unternehmen die Xandr-Daten nutzen, bleibt weitgehend nebulös. Bekannt ist dies zu Axel Springer und Burda. Wozu Transparenz? Schließlich verkauft man keine Rohdaten mit den pseudonymen Verbraucher-IDs, sondern den Service, Kunden maßgeschneidert nach Zielgruppe zu erreichen. Jedes Segment besteht aus Anbieternamen (z. B. Adsquare) und Anbieter-ID, Segment-Name und Segment-ID. Im Paket sind Daten zu deutschen Verbrauchern, die nachweislich bei Fastfoodketten wie McDonalds oder Subway gegessen haben. Oder Infos zu Kreditkartenkunden, die bestimmte Casinos besuchten, verknüpft mit Vermutungen zum Bildungsgrad - wie einem Universitätsabschluss. Bei näherer Betrachung tun sich Abgründe auf: Hochsensible Gesundheitsdaten fließen in die werbeaffinen Segmente ein - von Brustkrebs bis Essstörung, um daraus Gesundheitsrankings zu erstellen. Die Zahl von Verbraucher-IDs und betroffenen Personen geht vermutlich in die Milliarden. Und nicht jede Kategorie fusst auf Fakten, sondern nur auf Schätzungen, so dass Zweifel an der Datenqualität angebracht sind.
Datenhändler kontaktieren, Selbstauskunft anfordern?
Längst nicht jeder ist via E-Mail, sondern nur über ein Website-Formular ansprechbar. Sofern es gelingt, das Formular zu finden. Um ein Datensammeln für die Zukunft zu verhindern, gilt es, auf der Anbieter-Website opt-out - bzw. in den USA Objection Request - zu vermerken. Wer sein Recht auf Selbstauskunft gem. Artikel 15 DSGVO wahrnimmt, erfährt nicht nur, wie er als Verbraucher eingeschätzt wird. Sondern kann mit diesem Wissen auch die Rechtmäßigkeit der Datenverarbeitung durch Datenschutzbeauftragte amtlich prüfen lassen. Um Ihre Daten im Datenpool zu finden, braucht der Datenhändler Cookie IDs und Mobile Advertising IDs. Gewusst? Hersteller von Betriebssystemen weisen jedem mobilen Endgerät eine Werbe-ID bzw. pseudonyme Benutzer-ID zu.
Werbe-ID und Cookies finden - so geht's
Angenommen, Sie suchen die Mobile Advertising IDs auf Ihrem Android-Handy. Die Google-Werbe-ID steckt in den Google Einstellungen (nicht in den Android-Einstellungen!), unter Dienste und Werbung, Meine Werbe-ID - und kann gelöscht, zurückgesetzt oder deaktiviert werden. Cookies finden Sie im Browser - wie z. B. Firefox. Dazu gehen Sie über Hilfe und Informationen zur Fehlerbehebung, dann auf Allgemeine Informationen und Ordner öffnen: Da sind sie, die Cookies, alle in einer sqlite-Datei - aber leider nur mit speziellem Tool sichtbar. Einfacher sehen Sie die Cookies pro Website: Auf Weitere Werkzeuge gehen, dann auf Werkzeuge für Webentwickler und Webspeicher - und die Cookie-Liste klappt sich auf. Fordert der Datenhändler eine Kopie des Personalausweises, sollten Sie einschlägige Daten dort schwärzen - mit dem Hinweis, dass die Weiterverwertung dieser Informationen verboten ist.
War bei der Datenverarbeitung alles korrekt?
Im Zweifel informieren Sie die Datenschutzbehörde Ihres Bundeslandes; Adressen stehen auf der Seite des Bundesdatenschutzbeauftragten. Bekräftigen Sie, dass die Anfrage auf Selbstauskunft gem. Art. 15 DSGVO gezeigt hat, dass es Zweifel an der Rechtmäßigkeit der Datenverarbeitung gibt - und ergänzen Sie, dass Sie Ihre Zustimmung zur Datenweitergabe nicht erteilt haben. Nennen Sie Ross und Reiter: Welche Firma hat wie Ihre Rechte verletzt? Ihre Datenschutzbehörde unterstützt Sie auch, wenn der Datenhändler nicht umfassend genug auf Bitte um Selbstauskunft reagiert. Aber: Schicken Sie der Datenschutzbehörde keine personenbezogene Daten. Sagen Sie nur, wie Sie Ihre Vorwürfe ggf. belegen können.
Was, wenn sich der Datenhändler querstellt?
Nicht immer erhalten Sie auf Ihre Bitte um Selbstauskunft eine erschöpfende Antwort, obwohl gespeichterte Daten innerhalb von vier Wochen transparent zu machen sind. Stellt sich der Datenhändler taub, kann Drohen mit der Datenaufsicht die Sache beschleunigen. Auch die Verbraucherzentralen informieren näher zu Auskunftsanfragen bei Datenhandelsfirmen. Darüber hinaus zeigt sich, dass Datenhändler auf Auskunftswünsche mit Cookies als Authentifizierungsfaktor mauern. Gleichzeitig nutzen sie Tracking-Cookies, um Nutzer gezielt über personalisierte Werbung anzusprechen - datenschutzrechtlich eine unhaltbare Doppelmoral. Kompletter Schutz gegen Tracking ist kaum möglich. Datensammler sind denen, die Verbraucher vor Tracking schützen möchten, fast immer einen Schritt voraus. So gilt der alte, aber bewährte Tipp weiterhin, Browser Cookies nach jeder Sitzung automatisch zu löschen, als Apple/iOS-Nutzer App-Tracking zu verbieten - und bei Android die Mobile Advertising ID zurückzusetzen.
Derzeitige Werbepraxis nicht mit Datenschutz-Anforderungen konform
Datenhandel verletzt die kontextuelle Integrität des Einzelnen. Weil der Kontext, in dem Daten offengelegt werden (z. B. per Gesundheitsapp) ein anderer ist als der, in dem diese später genutzt werden. So ist die Kontrolle durch den einzelnen Verbraucher gleich Null. Werbung nutzt gesammeltes Wissen, um Schwächen wie Spielsucht auszunutzen, aber auch, um bestimmte Menschen gezielt von Karriereoption bis Wohnangebot abzuschneiden. Ein System, das laut Bundeskartellamt in hohem Maße intransparent ist. Wie Licht ins Dunkel bringen? Höchste Zeit für die Aufsichtsbehörden, systematischen Echtzeit-Datenhandel als Ganzes kritisch zu durchleuchten.