Die Datenmakler-Ökonomie: Wie Unternehmen, von denen Sie noch nie gehört haben, mehr über Sie wissen als Ihre Freunde

Jemand, den du nie getroffen hast, hat ein 3.000-Punkte-Profil über dich

Acxiom, ein Unternehmen mit Hauptsitz in Conway, Arkansas, kennt deinen Namen, jede Adresse, an der du gewohnt hast, dein geschätztes Haushaltseinkommen, welches Auto du fährst, deine religiöse Zugehörigkeit, deine politischen Neigungen und zu welchem von 70 "Lebensstilsegmenten" du gehörst – Kategorien wie "Flourishing Families" oder "Modest Metro Means". Du hast nie Geschäfte mit Acxiom gemacht. Du hast mit ziemlicher Sicherheit noch nie von ihnen gehört. Das ist ihnen egal. Du bist ihr Produkt.

Willkommen in der Datenbroker-Ökonomie: einer Branche mit einem Jahresumsatz von 300 Milliarden Dollar, die fast ausschließlich auf Informationen aufbaut, die du wissentlich nie jemandem zur Verfügung gestellt hast, der sie verkauft hat.

Das Ausmaß ist schwer zu fassen

Es gibt Tausende von Datenbrokern, die in den Vereinigten Staaten tätig sind. Die bekannten Namen – Acxiom, LexisNexis, Experian (nicht nur Kreditauskünfte; sie verkaufen auch Verhaltens- und demografische Daten), Oracle Data Cloud, die Datendienstabteilung von Equifax – sind die Spitze des Eisbergs. Darunter sitzen Hunderte kleinerer Aggregatoren, Personensuchseiten, Zielgruppenanalysefirmen und Datenweiterverkäufer. Die Branche benötigt keine Lizenz, um tätig zu sein. Es gibt keine bundesstaatliche Registrierung. In den meisten Bundesstaaten gibt es überhaupt keine Registrierungspflicht.

Ihr Produkt bist du – oder genauer gesagt, eine statistische Darstellung von dir, die aus Quellen zusammengestellt wurde, die du kaum aufzählen könntest.

Was sie tatsächlich wissen

Das Profil, das ein großer Datenbroker über einen durchschnittlichen amerikanischen Erwachsenen hat, ist nicht abstrakt. Es enthält wahrscheinlich:

• Vollständigen Namen, aktuelle und frühere Adressen, Telefonnummern und E-Mail-Adressen
• Geschätztes Einkommen, Vermögen und Ausgabefähigkeit
• Kaufhistorie aus Treueprogrammen des Einzelhandels und Kreditkartentransaktionsdaten
• Registrierung bei politischen Parteien und Wahlhäufigkeit (aus öffentlichen Aufzeichnungen)
• Religiöse Zugehörigkeit (abgeleitet aus Spenden, Nachbarschaftsdemografie, Kaufmustern)
• Gesundheitszustände (abgeleitet – nicht aus Krankenakten, sondern aus Käufen bestimmter rezeptfreier Medikamente, Mobilitätshilfen, Nahrungsergänzungsmitteln und krankheitsbezogenen Wohltätigkeitsspenden)
• Beziehungsstatus, Haushaltszusammensetzung und das Alter der Kinder im Haushalt
• Fahrzeugbesitz, Marke, Modell und Baujahr
• Standortverlauf, der von Smartphone-Apps abgeleitet wurde
• Aktivität in sozialen Medien und abgeleitete Persönlichkeitsmerkmale

Acxioms PersonicX-System klassifiziert Amerikaner in 70 Lebensstilcluster. Die Segmente von Oracle Data Cloud gehen in die Tausende. Dies sind nicht nur Marketing-Kuriositäten – sie werden als Inputs für Entscheidungen verkauft, die dein Leben betreffen.

Wie sie es sammeln: Die Datenlieferkette

Keine einzige Quelle erstellt ein vollständiges Profil. Datenbroker setzen ihre Profile aus Dutzenden von gleichzeitig laufenden Pipelines zusammen:

• Öffentliche Aufzeichnungen: Grundbesitz, Wählerregistrierung, Gerichtsakten (einschließlich Zivilklagen, Scheidungen und Insolvenzen) und Kraftfahrzeugakten sind in den meisten US-Bundesstaaten öffentlich. Broker saugen sie kontinuierlich auf.
• Einzelhandels- und Treueprogrammdaten: Wenn du eine Kundenkarte eines Lebensmittelgeschäfts oder eine Einzelhandels-App verwendest, wird deine Kaufhistorie häufig an Datenbroker verkauft oder lizenziert. Der Rabatt ist real. Die Kosten sind es auch.
• Mobile Standortdaten: Hunderte von Apps – Wetter-Apps, Spiele, Coupon-Apps – enthalten SDKs von Drittanbietern, die Standortdaten an Broker übertragen. Eine Untersuchung von The Markup aus dem Jahr 2021 ergab, dass Standortdaten verkauft wurden, die Einzelpersonen zu bestimmten Krankenhauseingängen, Gotteshäusern und Frauenhäusern verfolgen konnten.
• Daten, die zwischen Brokern geteilt werden: Broker kaufen von anderen Brokern. Dieselben Informationen zirkulieren und rezirkulieren, wobei jede Transaktion das Profil leicht anreichert.
• Kreditkopfdatendaten: Finanzinstitute geben unter bestimmten gesetzlichen Bestimmungen Name, Adresse und Beschäftigungsdaten (nicht die Kreditwürdigkeit selbst, sondern die Kopfinformationen) weiter.

Schattenprofile: Du musst nicht teilnehmen

Einer der beunruhigendsten Aspekte des Datenbroker-Ökosystems ist, dass der Verzicht auf das digitale Leben fast keinen Schutz bietet. Wenn du noch nie ein Facebook-Konto hattest, hat Facebook mit ziemlicher Sicherheit trotzdem ein Schattenprofil von dir – erstellt aus E-Mail-Kontaktlisten, die von deinen Freunden hochgeladen wurden, Browserdaten, die über den Facebook-Pixel gesammelt wurden, der auf Millionen von Websites eingebettet ist, und Daten, die von Brokern gekauft wurden.

Dies ist nicht hypothetisch. Im Jahr 2018, als der Kongress Mark Zuckerberg nach Schattenprofilen fragte, bestätigte er die Praxis. Die Datenbroker-Branche arbeitet nach dem gleichen Prinzip im industriellen Maßstab: Du musst nicht mit einem Broker interagieren, damit er eine Akte über dich hat. Deine Freunde, deine Einkäufe, deine Nachbarn und deine öffentlichen Aufzeichnungen erledigen das für dich.

Wofür die Daten verwendet werden

Targeted Advertising ist die sichtbare Oberfläche. Die darunter liegenden Verwendungen werden weniger diskutiert, sind aber oft folgenreicher:

• Mieterüberprüfung: Vermieter verwenden Datenbrokerberichte, die Räumungsakten, Strafregister und Verhaltensbewertungen enthalten können – Daten, die ungenau sein können und schwer anzufechten sind.
• Hintergrundüberprüfungen bei der Einstellung: In diesem Bereich ist eine bedeutende Industrie tätig, und Fehler in den zugrunde liegenden Brokerdaten wirken sich auf Einstellungsentscheidungen aus.
• Versicherungstarifierung: Versicherer in einigen Bundesstaaten verwenden von Datenbrokern abgeleitete "kreditbasierte Versicherungs-Scores", die mit Rasse und Einkommen korrelieren und Kunden mit geringerem Einkommen effektiv mehr berechnen.
• Kreditvergabeprüfung: Alternative Kreditbewertungsmodelle greifen auf Verhaltensdaten von Brokern zurück, um Kreditentscheidungen über Personen mit dünnen Kreditdateien zu treffen.
• Politisches Micro-Targeting: Beide großen US-Parteien kaufen in großem Umfang Datenbrokerdateien. Die Wahlzyklen 2016 und 2020 beinhalteten Micro-Targeting in einem Ausmaß, das ohne die Infrastruktur der Brokerbranche nicht möglich gewesen wäre.
• Inkasso und Betrug: Skip-Tracing – das Auffinden von Personen, die umgezogen sind – ist eine Hauptverwendung von Personensuchdaten.

Die tatsächlichen Schäden

Die Schäden durch die Aktivitäten von Datenbrokern sind nicht theoretisch. Personensuchseiten – ein verbraucherorientierter Teilbereich der Brokerbranche – wurden direkt mit Stalking- und Fällen häuslicher Gewalt in Verbindung gebracht, da sie Tätern in Sekundenschnelle aktuelle Adressen liefern. Ein Bericht der National Domestic Violence Hotline aus dem Jahr 2023 ergab, dass Datenbroker-Seiten ein primäres Werkzeug waren, das von Tätern verwendet wurde, um Opfer zu lokalisieren, die geflohen waren.

Diskriminierung bei Versicherungen und Krediten auf der Grundlage abgeleiteter demografischer Daten ist ein dokumentiertes Muster. Eine Untersuchung von ProPublica aus dem Jahr 2020 ergab, dass Preisoptimierungsalgorithmen – die mit Daten von Datenbrokern gefüttert werden – in überwiegend schwarzen Nachbarschaften höhere Prämien verlangten, selbst wenn die Risikoprofile identisch waren.

Datenlecks bei Brokern sind ebenfalls eine eigene Risikokategorie. Der Equifax-Verstoß von 2017, der die Finanzdaten von 147 Millionen Menschen offenlegte, und der Verstoß von 2023 bei der Hintergrundüberprüfungsfirma National Public Data, der Sozialversicherungsnummern von schätzungsweise 2,9 Milliarden Datensätzen offenlegte, veranschaulichen, was passiert, wenn die aggregierten Dateien, die Broker halten, kompromittiert werden.

Die rechtliche Landschaft: Rechte, die existieren, und Rechte, die es nicht gibt

Wenn du in der Europäischen Union bist, gibt dir die DSGVO bedeutende Rechte: das Recht auf Auskunft darüber, welche Daten ein Broker über dich hat, das Recht auf Berichtigung und das Recht auf Löschung. Diese Rechte haben echte Durchsetzungskraft – Geldstrafen für Verstöße belaufen sich auf Hunderte von Millionen Euro.

In Kalifornien geben der CCPA und seine Erweiterung CPRA von 2020 den Einwohnern das Recht zu erfahren, welche Daten gesammelt wurden, das Recht, dem Verkauf zu widersprechen, und das Recht auf Löschung. Kalifornien führt auch ein Datenbroker-Register – Unternehmen müssen sich registrieren und Opt-out-Mechanismen bereitstellen. Vermont und Texas haben ähnliche Register.

Überall sonst in den Vereinigten Staaten: Du hast im Wesentlichen nichts. Es gibt kein bundesstaatliches Datenschutzgesetz mit einem privaten Klagerecht. Die FTC kann irreführende Praktiken verfolgen, aber das Kerngeschäftsmodell des Kaufs und Verkaufs persönlicher Daten ist legal. Die meisten Bundesstaaten haben überhaupt keine Datenbroker-Regulierung.

Was du tatsächlich tun kannst

Die ehrliche Antwort ist: nicht so viel, wie du müsstest. Aber einige Maßnahmen haben eine sinnvolle Wirkung:

• Entferne dich zuerst von Personensuchseiten. Seiten wie Spokeo, BeenVerified, Whitepages und Intelius sind das höchste Risiko für die körperliche Sicherheit. Das Einreichen von Opt-out-Anfragen speziell bei diesen hat den unmittelbarsten Schutzwert.
• Nutze einen Datenentfernungsdienst. Dienste wie DeleteMe, Kanary und Privacy Bee reichen Opt-out-Anfragen in deinem Namen ein und reichen sie erneut ein, wenn die Daten wieder auftauchen (was in der Regel innerhalb von drei bis sechs Monaten der Fall ist). Diese kosten Geld, sparen aber erhebliche Zeit.
• Friere deine Kreditauskunft bei allen drei Auskunfteien ein. Dies entfernt keine Brokerdaten, verhindert aber betrügerische Kreditanträge – eine der schädlichsten nachgelagerten Verwendungen exponierter persönlicher Daten.
• Überprüfe deine App-Berechtigungen. Standortberechtigungen, die Apps gewährt werden, die sie nicht benötigen, sind eine direkte Datenleitung zu Brokern. Überprüfe und widerrufe sie.
• Verwende einen maskierten E-Mail-Dienst (Apples Hide My Email, SimpleLogin usw.) für Einzelhandels- und Treueprogramme, um die brokerübergreifende Profilverknüpfung einzuschränken.

Der entscheidende Vorbehalt: Opt-outs sind ein undichtes Fass. Daten gelangen kontinuierlich aus neuen Quelltransaktionen in die Brokerdatenbanken zurück. Individuelles Handeln kann die Gefährdung verringern, aber nicht beseitigen.

Die einzige Lösung, die tatsächlich funktionieren würde

Ein umfassendes bundesstaatliches Datenschutzgesetz – nach dem Vorbild der DSGVO, aber an die US-amerikanischen Rechtsstrukturen angepasst – mit einem privaten Klagerecht, das es Einzelpersonen ermöglicht, bei Verstößen zu klagen, würde die Wirtschaftlichkeit der Brokerbranche grundlegend verändern. Ohne die Möglichkeit zu klagen, sind Broker keiner individuellen Rechenschaftspflicht ausgesetzt. Landesgesetze wie der CCPA sind bedeutsam, aber unvollständig: Sie schützen Kalifornier, aber nicht die anderen 280 Millionen Amerikaner, und sie sind ständigem Lobbydruck ausgesetzt, sie zu verwässern.

Bis dieses Gesetz existiert, wird die Datenbroker-Ökonomie weiterhin in großem Umfang operieren, Amerikaner in Lebensstilsegmente einteilen, Versicherungen auf der Grundlage abgeleiteter Gesundheitsdaten bepreisen und Stalkern aktuelle Adressen liefern. Der individuelle Opt-out ist keine Lösung – es ist eine Möglichkeit, Symptome eines strukturellen Problems zu behandeln, das nur durch strukturelle Veränderungen behoben werden kann.