Das Datengeschäft

 

Datenhandel – ein Geschäft wie jedes andere?

Bei jeder digitalen Anwendung, sei es das Mobiltelefon, das Surfen im Internet oder die Nutzung einer Kundenkarte, entstehen Daten. Manche dieser Daten werden von den Unternehmen gesammelt, aufbereitet und verkauft. Dadurch kann das Recht auf informationelle Selbstbestimmung oder auch der Datenschutz beeinträchtigt werden.

Wem gehören Daten und wer darf Einblick in sie nehmen? (© istockphoto)

1. Einleitung

Informationen gelten als wichtige Ressource unserer Zeit. Die Verwertung bestehenden und die Generierung neuen Wissens sind treibende Faktoren der Wissensgesellschaft. Sie ermöglichen Innovation und wirtschaftliche Dynamik – soweit die eine Seite. Auf der anderen Seite stellt sich auch hier die Frage nach der Verfügungsmacht. Wer besitzt, wer verteilt und wer profitiert in welcher Art und Weise vom Besitz wichtiger Ressourcen? Diesen Fragen wollen wir in diesem Beitrag anhand des Beispiels personenbezogener Daten, wie sie im alltäglichen Leben jedes Bürgers und jeder Bürgerin anfallen, nachgehen.


Was sind nun personenbezogene Daten, wo entstehen sie und wie werden sie verwertet? Personenbezogene Daten sind nach der EU-Datenschutz-Richtlinie "alle Informationen über eine bestimmte oder bestimmbare natürliche Person".[1] Somit zählen fast alle elektronischen (und auch die nicht-elektronischen) Datenspuren, die wir im täglichen Leben hinterlassen und die in direkter oder indirekter Weise einer Person zuordenbar sind, zu diesen geschützten personenbezogenen Daten. Wo und wie hinterlassen wir so viele Spuren? Es gibt kaum noch einen Lebensbereich, in dem wir dies nicht tun. Es beginnt beim Mobiltelefon, das – sobald wir es eingeschaltet haben und mit uns mitführen – dem Telekommunikationsdiensteanbieter sagt, wo wir uns befinden, das bei jedem Anruf festhält, mit wem wir wie lange telefoniert haben und, so wir SMS verschicken, auch was wir geschrieben haben. Das geht weiter mit der Bankkarte, die den Banken und Kreditinstituten offenbart, wann wir wo wie viel Geld abgehoben haben und steigert sich bei den Kredit- und Kundenkarten noch, bei denen oft auch festgehalten wird, was wir gekauft haben. Im Internet wissen die Webseiten-Anbieter, wer wir sind – zumindest welchen Computer wir verwenden, welches Betriebssystem und welchen Browser wir nutzen sowie aus welchem Land wir kommen. Sie wissen aber auch, was wir wie lange betrachten und von welcher Webseite wir kommen. Entgegen einer weit verbreiteten Ansicht ist surfen im Internet nicht anonym. Jeder Computer wird mit einer so genannten IP-Nummer registriert und der Dienste-Anbieter weiß natürlich, wer hinter der IP-Nummer steht – genauer: wer die Rechnung für den Internet-Anschluss bezahlt.

Vieles von dem oben geschilderten ist technisch bedingt und durch die Digitalisierung notwendig geworden. Viele dieser Daten dienen auch und vor allem technischen Zwecken – zur Sicherstellung der Qualität der Dienste. Aber als immer wichtiger werdendes Element und als Zusatznutzen gesellen sich Auswertungsmöglichkeiten und der Handel mit Daten hinzu. Die Unternehmen sehen in Informationen über ihre Kundinnen und Kunden eine wichtige Ressource. Die Auswertung der Daten soll den Unternehmen helfen, die Konsumentinnen und Konsumenten und deren Wünsche bzw. Vorlieben besser kennen zu lernen. Dadurch können sowohl das Angebot als auch Marketingmaßnahmen auf die jeweilige Zielgruppe hin optimiert werden. Es sind jedoch nicht nur die Firmen, mit denen wir direkt Kontakt haben, an unseren Daten interessiert. Die Verarbeitung und "Anreicherung" von Daten selbst wiederum ist ein eigener Geschäftszweig. So können einschlägige Firmen aus den Adressen, der Häufung bestimmter Vornamen in einer Region gemeinsam mit Daten über die Art der Bebauung und der Bausubstanz schließen, welchen ökonomischen Wert, welche Altersstruktur und welche Kaufkraft eine Region hat. Beispielsweise kennt die "Firma Schober aus Ditzingen bei Stuttgart (...) sogar 23 Haushalte in Hamburg, die monatlich mehr als 3 800 Euro netto zur Verfügung haben und in denen mindestens ein Mitglied unter Gewichtsproblemen oder Bluthochdruck leidet und Marlboro oder Gauloises raucht. Die Adressen kosten 43 Cent pro Stück."[2]

Der Handel mit persönlichen Daten ist jedoch keine Entwicklung der letzten Jahre oder Jahrzehnte, sondern ein Gewerbe mit sehr viel längerer Tradition.[3] Dennoch wäre es angesichts der gewaltigen Veränderungen in den letzten Jahren unangemessen, von einer Fortführung traditioneller Geschäfte von Adresshändlern oder Auskunfteien zur Kreditwürdigkeit zu sprechen. Für diese Veränderungen zeichnen in erster Linie die Fortschritte in der Informationstechnologie verantwortlich. Daten, die früher nur mühsam oder nur mit unvertretbar hohem Aufwand gewonnen werden konnten, generieren sich durch den Einsatz digitaler Technologien vielfach gleichsam von selbst. Entsprechend groß sind auch die Anreize, diese Daten tatsächlich zu erfassen und zu verwerten.

Im folgenden Kapitel werden die neuen Möglichkeiten der Datensammlung thematisiert und die grundlegenden Mechanismen des Sammelns und der Verknüpfung von Daten skizziert. Das dritte Kapitel beschäftigt sich mit der Datennutzung. Dabei werden Geschäftsmodelle, die hinter dem Geschäft mit den Daten stehen, dargestellt und Nutzen und Kosten sowohl für Kunden als auch für Unternehmen analysiert. Im abschließenden Kapitel werden in einem Ausblick die wichtigsten Aussagen zusammengefasst, Konsequenzen identifiziert und Schlussfolgerungen gezogen.

2. Datensammlung

Bei den Möglichkeiten der Datensammlung konzentrieren wir uns in diesem Beitrag vor allem auf die Datengenerierung bei der Nutzung neuer Informations- und Kommunikationstechnologien. Dies bedeutet jedoch nicht, dass herkömmliche Formen der Datensammlung irrelevant oder unproblematisch wären. Umfangreiche Fragebögen, die den Eindruck amtlicher Befragungen erwecken und so die Pflichtergebenheit und Unwissenheit von Bürgern und Bürgerinnen ausnutzen, sind eine zugleich weit verbreitete und äußerst bedenkliche Praxis von einschlägigen Unternehmen. Die Firma Schober wirbt etwa auf ihrer Webseite damit, dass die "Consumer MarketBase 50 Mio. Privatadressen aus Deutschland und 10 Milliarden Zusatzinformationen – für jeden Anlass die richtige Zielgruppe" – enthält.[4]

Mit der Nutzung neuer Technologien für die Datengewinnung und deren Analyse werden aber neue Fragen aufgeworfen und es entstehen völlig neuartige Probleme, die mit den bisherigen Instrumenten nicht gelöst werden können. Eines dieser Probleme ist in der mangelnden Transparenz begründet; für einen Laien ist es fast nicht nachvollziehbar, welche Aktivitäten welche Datenspuren hinterlassen und in welcher Art und Weise diese ausgewertet und verwendet werden können. Ein zweiter Aspekt ist die zunehmende Schwierigkeit, sich einer Preisgabe persönlicher Daten zu entziehen. Die Durchdringung des Alltags mit Informationstechnologien macht auch einen Verzicht auf deren Nutzung immer unrealistischer. Als dritter wesentlicher Aspekt kommt eine neue Qualität der Daten hinzu. Die Datenbestände werden dynamischer. Während früher oft nur Name, Adresse und Geburtsdatum zur Verfügung standen, können heute Verhaltens- und Mobilitätsprofile "in Echtzeit" generiert werden. Nicht nur können die Mobilfunkbetreiber Handys orten, die Banken und Kreditkarteninstitutionen wissen aufgrund von Bargeldabhebungen und Einkäufen auch, wann sich jemand wo aufhält und oft noch zusätzlich, welche Waren oder Dienstleistungen gekauft werden. Diese Daten ergeben in langen Zeitreihen sehr aussagekräftige Bilder vom Leben einzelner Personen und Gruppen.

Datenarten und -quellen

Es gibt grundsätzlich zwei Arten, zu Daten mit Personenbezug zu gelangen. Erstens kann man die betroffenen Personen veranlassen, Auskünfte über sich selbst zu erteilen; zweitens kann man versuchen, deren Handeln und Verhalten zu analysieren und daraus ein Bild zu gewinnen. Beispiele für die erste Methode sind das Versenden von Fragebögen oder die Veranstaltung von Gewinnspielen, sei es in der Online- oder Offline-Welt. Natürlich werden bei dieser Art der Datensammlung häufig unlautere Methoden angewandt, indem etwa Fragebögen ein amtlicher Anschein verliehen wird oder Gewinne bloß vorgetäuscht werden. In der Realität der Datengewinnung haben immer und werden auch in Zukunft beide Komponenten eine wichtige Rolle spielen, wobei vielfach Mischformen zur Anwendung kommen, die beide Aspekte einschließen. Ein prominentes Beispiel für eine Mischform sind Kundenkarten, für die mit speziellen Rabatten, günstigeren Zahlungskonditionen oder Zusatzleistungen geworben wird. Die Ausgabe dieser Karten und die Anmeldung zu so genannten Kundenbindungsprogrammen wird zumeist an die Bekanntgabe von Stammdaten[5] geknüpft, die nachfolgende Verwendung dieser Karten lässt eine langfristige Beobachtung und Auswertung des Kundenverhaltens zu. Das heißt, wann immer ein Konsument oder eine Konsumentin bei einem Einkauf die Kundenkarte zückt, wird nicht nur der getätigte Umsatz (Rechnungsbetrag) gespeichert, sondern auch die Waren, die gekauft wurden. Damit können über einen langen Zeitraum Einkaufsverhalten und Vorlieben analysiert werden.

Wenn bei den Kundenkarten noch irgendwo im "Kleingedruckten" eine Einverständniserklärung des Konsumenten oder der Konsumentin vorgesehen sein mag, so ist dies bei der Sammlung von Daten, die durch die Nutzung von Informations- und Kommunikationstechnologien generiert werden, oft nicht mehr gegeben. Diese Daten sind praktisch ein Nebenprodukt der Nutzung digitaler Kommunikationsmedien. Aus den Telekommunikationsverbindungsdaten lassen sich etwa vielfältige Schlüsse über die Einbindung in private oder berufliche soziale Netze ziehen. Man kann also abbilden und auswerten, wer wann wie lange mit wem kommuniziert hat. Bei der Nutzung von Mobiltelefonen fallen zusätzlich Informationen zum jeweiligen Aufenthaltsort an. Je nachdem, ob man sich in einem dicht besiedelten Bereich oder in einer ländlichen Region aufhält, schwankt die derzeitige Genauigkeit der Ortsbestimmung von einigen 100 m bis zu einigen Kilometern. Aus technischer Sicht sind dieser Genauigkeit keine Grenzen gesetzt und es wird wohl von der Verbreitung von so genannten Location Based Services beziehungsweise von staatlichen Vorgaben abhängen, wie schnell diese Grenzen nach unten korrigiert werden. Daten fallen an, sobald man ein eingeschaltetes Mobiltelefon mit sich führt. Da mobile Geräte zumeist einer Person direkt zugeordnet werden können – und nicht wie Festnetzanschlüsse gemeinsam im Haushalt genutzt werden – lässt sich auch ein Personenbezug leichter herstellen. Die Bewegungsprofile, die sich aus den bei der Mobilkommunikation anfallenden Daten gewinnen lassen, verraten aufschlussreiche Details über Tagesabläufe und Gewohnheiten des Besitzers des Handys. Wenn man bedenkt, dass vor Abschluss eines Vertrages mit einer Mobilfunkfirma immer auch die Bonität der Kunden geprüft wird, wird deutlich, wie viel die Mobilfunkanbieter über ihre Kunden und Kundinnen wissen.

Aus kommerzieller Sicht noch aufschlussreicher können Daten sein, die bei der Nutzung des Internets anfallen. Schon allein aus den besuchten Webseiten lassen sich Schlüsse auf persönliche Interessen und Hobbys, aber auch auf politische Einstellungen oder sexuelle Vorlieben ziehen. Aus Anfragen bei Suchmaschinen oder bei e-Commerce-Seiten können vielfältige, kommerziell verwertbare Informationen gewonnen werden, etwa über angepeilte Reiseziele oder über das Faktum, dass überhaupt ein Urlaub geplant wird. Je mehr Wissen über Konsumenten und Konsumentinnen vorhanden ist, desto systematischer können sie beworben und auch in ihrem Konsumverhalten beeinflusst werden. So aufschlussreich die beim Surfen entstehenden Daten prinzipiell auch sein mögen, die richtigen Informationen aus ihnen zu ziehen ist keinesfalls eine triviale Aufgabe. Potentielle Datensammler stehen dabei dem Problem gegenüber, dass sich die preisgegebenen Informationen auf dutzende oder hunderte Internetanbieter verteilen können. Oft werden sich aussagekräftige Persönlichkeitsprofile erst erstellen lassen, wenn die auf verschiedene Anbieter und längere Zeiträume verteilten Daten miteinander verknüpft werden können. Ein zweite Schwierigkeit besteht darin, die hinter den Daten stehende Person zu identifizieren. Erst dann lassen sich die Informationen für – über unmittelbare Bannerwerbung hinausgehende – Marketingaktionen verwenden oder die Daten gewinnbringend an andere Unternehmen verkaufen. Im nächsten Abschnitt werden die grundlegenden Methoden skizziert, mit denen versucht wird, aus einzelnen anonymen Zugriffen zuordenbare und aussagekräftige Daten zu gewinnen.

Datensammlung im Internet

Einen wichtigen Ausgangspunkt für das Sammeln von Daten im Internet bilden die so genannten Cookies. Dies sind kleine Textfiles, die beim erstmaligen Aufrufen von Webseiten auf dem eigenen Rechner gespeichert werden. Diese werden nur an diejenigen Server zurück gesendet, welche die Cookies erstellt haben; diese Server bestimmen auch die Gültigkeitsdauer der Cookies. Die Cookies selbst verraten noch nichts über den Benutzer, der Server kann aber auf diese Art Besucher wiedererkennen. Cookies, die nur für eine Session gültig sind, dienen etwa dazu, dass die in einen Warenkorb gelegten Bestellungen nicht vergessen werden, während man nach zusätzlichen Angeboten stöbert. Sie können auch verhindern, dass Formulare komplett neu ausgefüllt werden müssen, wenn man wegen eines Tippfehlers oder einer fehlenden Information wieder zurückblättern muss. Länger gültige Cookies können Anmeldeprozeduren und Informationseingaben bei erneuten Besuchen von Webseiten erübrigen und als Grundlage für personalisierte Angebote dienen. Cookies können daher durchaus im Interesse der Nutzerinnen und Nutzer liegen. Dies gilt selbst noch dann, wenn sie mit persönlichen Daten wie Name, Adresse etc. verknüpft werden, um etwa wiederholte Bestellungen zu vereinfachen. Je nach Sichtweise problematisch oder profitabel werden Cookies erst dann, wenn sie dazu genutzt werden, die Informationen über viele Internetseiten hinweg miteinander zu verknüpfen. Für die Sammler bedeutet dies, dass sie umfangreiche und aussagekräftige Profile generieren und verkaufen können, für die Betroffenen etwa, dass sie durch die Verknüpfung von Cookies auch für Internetanbieter, denen sie nie ihre Daten wie Adresse oder Telefonnummer bekannt geben würden, persönlich identifizierbar werden.

Die wichtigste Methode, möglichst umfangreiche Sammlungen über das Surfverhalten der Nutzerinnen und Nutzer zu bekommen, sind so genannte "Third Party Cookies". Diese sind sehr häufig mit gezielten Werbeangeboten verbunden. Betreiber von Internetseiten vermieten dabei Flächen zur Einblendung von Bannerwerbung. Das wohl bekannteste Unternehmen in dieser Branche ist die Firma DoubleClick, die mit einem weltweiten Marktanteil von etwa 60 % bei Bannerwerbung einen großen Teil des internationalen Online-Werbemarktes beherrscht. Angesichts des hohen Marktanteils von DoubleClick ist die Wahrscheinlichkeit, auf eine diesbezügliche Site zu stoßen, sehr groß. DoubleClick soll etwa 120 Millionen Profile erstellt haben. Zusätzlich kaufte DoubleClick für ca. 1,7 Mrd. US $ die Direktmarketing Agentur Abacus mit Daten über 88 Millionen Haushalte; dadurch konnten innerhalb kürzester Zeit einige hunderttausend bis dahin "anonyme" Surfer identifiziert werden.[6] Das löste in den USA einen Sturm der Entrüstung aus und rief die Aufsichtsbehörde FTC auf den Plan Das Verfahren führte unter anderem dazu, dass eine Webseite eingerichtet wurde, auf der Nutzerinnen und Nutzer die Zusammenführung der Daten untersagen konnten

Daneben gibt es noch eine ganze Reihe von nationalen oder regionalen Werberingen. Bei jedem Aufrufen von Internetseiten, die solche Werbeverträge abgeschlossen haben, wird automatisch auch der Werbering kontaktiert. Das Surfverhalten lässt sich nun über alle Webseitenbetreiber, die mit den jeweiligen Werberingen einen Vertrag abgeschlossen haben, überwachen und auswerten. Sobald auf einer dieser Seiten persönliche Daten wie Name, Adresse, Telefonnummer oder e-Mail bekannt gegeben werden, können die Informationen aus allen verbundenen Seiten miteinander verknüpft und zu Persönlichkeitsprofilen verdichtet werden. Um die Aussagekraft der gesammelten Daten zu erhöhen und die Personalisierung nicht dem Zufall zu überlassen, sind auch Verfahren der so genannten Cookie-Synchronisation bekannt. Dabei können etwa die Informationen von e-Commerce-Seiten, bei denen wegen des Bezahlvorganges zwangsläufig Daten zur persönlichen Identifizierung anfallen, mit den von Werberingen gesammelten Daten abgeglichen werden. Da ein solcher Datenaustausch zumindest den guten Sitten und in den meisten Staaten auch geltenden Datenschutzregelungen widerspricht,[7] sind nur wenige Informationen darüber erhältlich, inwieweit diese Möglichkeit in der Praxis Anwendung findet.

Da Werbung, so personalisiert und zielgerichtet sie auch sein mag, nicht immer willkommen ist, sondern auch als Belästigung empfunden wird, sind Tools entwickelt worden, welche die Werbebanner und damit auch die Kontaktaufnahme zu den Werberingen unterbinden können. Ein häufig eingesetztes Verfahren, um dennoch Third Party Cookies setzen zu können, sind so genannte Webbugs.[8] Dabei handelt es sich um winzige, unsichtbare Grafiken, die dem Zweck dienen, Cookies zum webseitenübergreifenden Beobachten des Surfverhaltens zu speichern. Da solche unsichtbare Grafiken oft auch zum Positionieren von einzelnen Elementen auf Webseiten dienen, lassen sie sich nur schwer verhindern. Ein weiterer Schritt zur Verschleierung von Datensammlungsaktivitäten wird durch Spyware gesetzt. Das Sammeln der Daten wird dabei durch eine am Rechner installierte Software durchgeführt. Eine derartige Spyware stellt etwa das Tracking Cookie der Internet-Firma Redsheriff dar, das alle Internetaktivitäten des betroffenen Users aufzeichnet: Alle Webseiten, die man besucht, alle Files, die man downloadet und alle Daten, die man selbst zur Verfügung stellt.[9] Damit kann Redsheriff ein noch detaillierteres Angebot an seine Kunden machen, dringt aber auch wesentlich tiefer in die Privatsphäre der Nutzerinnen und Nutzer ein. Ihre Lebensäußerungen im virtuellen Raum werden zu einem Gut, das ein anderer verkauft. Früher wurden Konsumentinnen und Konsumenten in fixe Gruppen des Kaufverhaltens nach wenigen oder gar nur einer sozio-ökonomischen Variable (Einkommen) eingeteilt. Durch die weiterentwickelten Technologien zur Beobachtung und Überwachung werden nun immer mehr Bereiche des Lebens in die Datengewinnung und damit auch in den ökonomischen Verwertungsprozess einbezogen.

Die in diesem Abschnitt skizzierten Möglichkeiten der Datensammlung sind an die Nutzung des Internets gebunden. Mit der geplanten Einführung von Funketiketten, den so genannten RFID-Tags (Radio Frequency Identification[10]), könnten sich diese Möglichkeiten in Zukunft auf viele weitere Bereiche ausdehnen. Die eindeutigen Kennzeichnungen von Produkten durch RFID-Tags können mit Cookies verglichen werden. Der Unterschied ist, dass diese jetzt nicht mehr am Rechner der Benutzerinnen gespeichert werden, sondern von diesen mit der Kleidung oder mit persönlichen Gegenständen mit sich geführt werden. Durch RFIDs erhält jeder damit gekennzeichnete Gegenstand eine weltweit einzigartige Nummer, welche über Funk jederzeit und unbemerkt ausgelesen werden kann. Jeder Besuch eines Kaufhauses oder das Schlendern entlang von Auslagen oder Vitrinen könnte Daten für noch genauere Persönlichkeitsprofile generieren.

Fragen bitte per Mail direkt an efuessl@t-online.de oder telefonisch 07303-5747