Das Geschäft, das du nicht siehst
Data Brokers — auf Deutsch Datenhändler oder Informationsmakler — sind Unternehmen, die persönliche Daten von Menschen sammeln, analysieren, aggregieren und an Dritte verkaufen oder lizenzieren. In den meisten Fällen wissen die Betroffenen weder davon, noch haben sie zugestimmt.[05][06]
Sie werden auch bezeichnet als Information Product Companies, Data Resellers, Data Suppliers oder Data Vendors. Das System ist für die meisten Menschen vollständig unsichtbar: Es gibt keine direkte Geschäftsbeziehung zwischen Broker und der Person, über die Daten gesammelt werden. Die Betroffenen sind das Produkt, nicht der Kunde.
Der Markt soll laut Prognosen bis 2030–2031 auf 448–617 Mrd. USD wachsen.[01][02] Zum Vergleich: Der Umsatz der gesamten deutschen Automobilindustrie lag 2024 bei rund 460 Mrd. EUR.
Wie man Milliarden mit fremden Daten verdient
Data Brokers verdienen Geld auf mehrere Arten:[01][07][13]
- Massenverkauf ganzer Datensätze — Firmen kaufen auf einmal Millionen Profile, z. B. alle Frauen zwischen 30 und 45 in Bayern mit Kindern
- Abo-Direktzugang für Firmenkunden — wer zahlt, bekommt eine dauerhafte Live-Verbindung zur Datenbank und kann jederzeit aktuelle Profile abrufen (41 % des Markts, 2025)
- Online-Datenmarktplätze — digitale Börsen, auf denen Datenpakete wie Waren angeboten und gehandelt werden; das am schnellsten wachsende Segment (+14 % pro Jahr)
- Analytik-Dienstleistungen: ScoringScoringBerechnung einer Kennzahl, die deine Kreditwürdigkeit, dein Risikoprofil oder deinen Wert als Kunde ausdrückt. Bei der Schufa: 0–100%. Entscheidet über Kredite, Wohnungen, Handyverträge – oft ohne dein Wissen., Profilerstellung, Risikoberechnung
- Nutzungsgebühren für dauerhafte Zugänge — ähnlich einem Software-Abo, nur dass man damit auf fremde Personendaten zugreift
Das Geschäftsmodell ist vertikal gestaffelt:
- Erstanbieter (First-Party): Sammeln Daten direkt von dir — das sind Plattformen wie Facebook, Google oder Zalando, die dein Verhalten auf ihrer eigenen Seite aufzeichnen
- Wiederverkäufer (Third-Party): Kaufen Daten von vielen Erstanbietern, kombinieren sie zu detaillierten Gesamtprofilen und verkaufen sie weiter — das sind die eigentlichen Datenhändler (z. B. Acxiom, Experian, Epsilon)
- Personen-Suchmaschinen: Websites, auf denen jeder gegen Bezahlung nach einer bestimmten Person suchen kann und deren Adresse, Verwandte und Telefonnummern erhält (z. B. Spokeo, Intelius)
Was Broker über dich wissen
Ein durchschnittliches Data-BrokerData BrokerUnternehmen, die persönliche Daten sammeln, zu Profilen zusammenführen und an Dritte verkaufen – ohne dass die betroffenen Personen davon wissen oder zugestimmt haben. Weltweit gibt es rund 5.000 solcher Firmen.-Profil enthält ca. 1.500 Datenpunkte pro Person. Acxiom beanspruchte 2023, Daten zu 2,5 Milliarden Menschen mit über 3.000 Datenpunkten pro Person zu besitzen.[07][08]
Basisinformationen
Name, Adresse, Telefonnummer, E-Mail, Geburtsdatum, Alter, Geschlecht, Sozialversicherungsnummer (USA), Ausweisnummern.
Demografische & sozioökonomische Daten
Familienstand, Haushaltsgröße, Kinder, Bildungsgrad, Beruf, Einkommen, Vermögen, Kreditwürdigkeit, Wohneigentum oder Mietstatus.
Verhaltens- & Kaufdaten
Kaufhistorie (Online & Offline über Kundenkarten), Surfverhalten, Suchhistorie, Konsumvorlieben, Markenaffinitäten, Abonnements, Spendenverhalten.
Standortdaten
GPS-Bewegungsprofile aus Werbe-SDKsSDKSoftware Development Kit – ein Programmier-Baukasten, den App-Entwickler in ihre Apps einbauen. Werbe-SDKs sammeln im Hintergrund Standortdaten, Geräteinformationen und Nutzungsverhalten und senden sie an Werbenetzwerke oder Data Broker. in Apps — häufig besuchte Orte wie Wohnung, Arbeit, Kirche, Arztpraxis, Schule.[09][12]
Gesundheits- & Lebensstildaten
Erschlossen aus Kaufdaten: übergroße Kleidung → Körperstatus, Erkrankungs-Tendenz. LexisNexis bietet ein Gesundheitsscoring-Produkt an, das erwartete Gesundheitskosten aus dem Konsumverhalten berechnet.[08]
Politische & religiöse Daten
Wahlregistrierung, Spendenhistorie, erschlossene Religionszugehörigkeit, politische Neigung.
Psychografische & Life-Event-Daten
Lebensereignisse: Hochzeit, Scheidung, Umzug, Nachwuchs, Studium, Jobwechsel. Persönlichkeitstypen, Interessen, Hobbys. Experian verkauft wöchentlich aktualisierte Listen mit „Namen werdender Eltern und Familien mit Neugeborenen".[08]
Woher kommen die Daten?
Öffentliche Quellen
Wahlregistrierungen, Volkszählungsdaten, Grundbuchdaten, Gerichtsakten, KFZ-Zulassungen, Führerscheindatenbanken, Sterbeurkunden, Heiratsurkunden.
Kommerzielle Quellen
Einzelhändler und Loyalitätskartenprogramme — Datalogix verfügt über Daten zu über 1 Billion USD Konsumausgaben aus 1.400+ Marken. Dazu: Banken, Kreditinstitute, Versicherungen, Immobilienmakler, Vermieter, Telekomkonzerne.[08]
Digitale Quellen
Social-Media-Plattformen, Online-Quizze, Gewinnspiele, Umfragen, Werbenetzwerke & CookiesCookiesKleine Textdateien, die Websites in deinem Browser speichern. Drittanbieter-Cookies verfolgen dich über verschiedene Websites hinweg und senden dein Surfverhalten an Werbenetzwerke und Data Broker., Mobile Apps mit eingebetteten Werbe-SDKs — darunter Gebet-Apps und Dating-Apps, E-Commerce-Transaktionen.[09][12]
Datenkäufe von anderen Brokern
Broker kaufen auch untereinander — eine Datenkette entsteht, die praktisch nicht zurückverfolgbar ist. Acxiom, Experian und Epsilon verweigerten dem US-Senat gegenüber die Offenlegung ihrer konkreten Datenquellen oder Käufer.[14]
Die größten Datenhändler der Welt
| Unternehmen | Jahresumsatz | Kerngeschäft |
|---|---|---|
| Experian | ~9,7 Mrd. USD | KreditreportingKreditreportingDie systematische Sammlung und Auswertung von Finanzdaten über Verbraucher: Zahlungsverhalten, offene Kredite, Mahnverfahren. In den USA dominieren Experian, Equifax und TransUnion – in Deutschland die Schufa., Marketing |
| Equifax | ~5,1 Mrd. USD | Kreditreporting, Analyse |
| Epsilon | ~2,9 Mrd. USD | Marketing, Werbedaten |
| Acxiom / LiveRamp | ~2,7 Mrd. USD | Konsumentendaten, Profiling |
| CoreLogic | ~2,3 Mrd. USD | Immobilien, Versicherung |
Schätzwerte ~2022–2024. Quellen: [07][15]
Wer kauft die Daten?
67 % der Unternehmen kaufen externe Daten für Kundentargeting (2025).[11][33]
| Sektor | Verwendungszweck |
|---|---|
| Werbung & Marketing | Targeting, Segmentierung, personalisierte Werbung. Größter Sektor — alle großen Marken sowie Google, Meta, Amazon Advertising. |
| Banken & Versicherungen | Kreditwürdigkeitsprüfung, Betrugserkennung, Risikoabschätzung vor Vertragsabschluss. Auch Vermieter (Bonitätsprüfung vor Mietvertrag) und Arbeitgeber (Hintergrundcheck vor Einstellung). |
| Gesundheitssektor | Risikobewertung von Versicherten. Blue Cross Blue Shield of North Carolina kaufte Daten zu Konsumgewohnheiten von 3 Mio. eigenen Mitgliedern zur Gesundheitsrisikokalkulation.[08] |
| Immobilienwirtschaft | Hypothekengeber, Immobilienmakler (CoreLogic). |
| Andere Broker | Broker kaufen untereinander und kombinieren Datensätze. |
Wenn der Staat deine Daten kauft
Dies ist eines der brisantesten Kapitel. US-Behörden nutzen den sogenannten „Data-Broker-LoopholeLoopholeEine rechtliche Lücke: Da kommerziell verkaufte Daten als „öffentlich verfügbar“ gelten, brauchen US-Behörden keinen Gerichtsbeschluss, um sie zu kaufen. So umgehen FBI, ICE und DHS den 4. Verfassungszusatz.": Da öffentlich verfügbare Daten keinen Gerichtsbeschluss erfordern, kaufen Behörden Daten von Brokern, um die im 4. Zusatzartikel4th AmendmentVierter Zusatzartikel der US-Verfassung: Schützt Bürger vor unangemessenen Durchsuchungen und Beschlagnahmungen. Für physische Durchsuchungen braucht die Polizei einen Gerichtsbeschluss – für Datenkäufe bei Brokern bisher nicht. der US-Verfassung verankerten Schutzrechte vor unzumutbaren Durchsuchungen zu umgehen.[17][20][22]
| Behörde | Gekaufte Daten | Zweck |
|---|---|---|
| DHS / CBP | Mobiltelefon-Standortdaten | Verfolgung von Migranten |
| ICE | Standortdaten, Utility-Daten, Kennzeichenleserdaten | Abschiebungsoperationen |
| FBI | Standortdaten (Venntel), automatische Benachrichtigungen bei Social-Media-Aktivitäten bestimmter Personen (ZeroFox) | Strafverfolgung; untersuchte >1.000 Medien, Politiker, Religionsgruppen |
| DEA | Standortdaten | Drogenermittlungen |
| US Special Operations Command | Standortdaten | Militärische Geheimdienstoperationen |
| Defense Intelligence Agency | LexisNexis-Vertrag | Geheimdienstanalysen |
| US Navy | Sayari Analytics (Netzwerk-Analysedienst) | Verfolgung von Personen und Firmen, die gegen internationale Sanktionen verstoßen |
| DHS | Web of Science (weltgrößte Wissenschaftsdatenbank) | Identifikation und Überwachung ausländischer Forscher, die an US-Universitäten tätig sind |
Besonders brisante Fälle
Wenn Datenhändler gehackt werden
Laut Bericht des Joint Economic Committee des US-Kongresses (Februar 2026) kosteten allein vier Datenpannen durch Broker amerikanische Verbraucher geschätzt 20,9 Mrd. US-Dollar durch Identitätsdiebstahl.[25][26]
| Unternehmen | Jahr | Betroffene | Daten |
|---|---|---|---|
| Equifax | 2017 | 147,9 Mio. | Namen, SSN, Geburtsdaten, Adressen, Führerschein, Kreditkarten |
| Exactis | 2018 | 230 Mio. | Telefon, E-Mail, Interessen, Kinder |
| National Public Data | 2023/2024 | 270 Mio. (2,9 Mrd. Records) | Namen, Adressen, SSN, Geburtsdaten, Telefonnummern |
| TransUnion | 2025 | 4,4 Mio. | Nicht vollständig dokumentiert |
| LexisNexis | März 2026 | ~3,9 Mio. DB-Records | Namen, Adressen, Regierungskonten (u. a. US-Bundesrichter, DoJ-Anwälte, SEC-Mitarbeiter). AWS-Fehlkonfiguration ausgenutzt. Bestätigt 4. März 2026. |
Equifax 2017 — Im Detail
Kosten für Equifax: 1,38 Mrd. USD (Sicherheitsupgrades + Vergleich). Vergleich mit FTC: 575 Mio. USD + kostenloser Kreditschutz für Betroffene. Besonderheit: Niemand aus den gestohlenen Daten ist bis heute nachweislich durch Identitätsdiebstahl geschädigt worden — China nutzte die Daten offenbar für nachrichtendienstliche Zwecke, nicht für Betrug.[27][29][31]
National Public Data 2024 — Im Detail
USA vs. Europa: Zwei Welten
US-Bundesstaaten: Führende Gesetze
| Staat | Gesetz | Kerninhalt |
|---|---|---|
| Kalifornien | Delete Act (2023) + SB 361 (2025) | Alle Broker müssen sich registrieren. Ab Januar 2026: eine einzige zentrale Löschanfrage reicht, um bei allen registrierten Brokern gleichzeitig gelöscht zu werden. Broker müssen das binnen 45 Tagen umsetzen. |
| Kalifornien | CCPACCPACalifornia Consumer Privacy Act – Kaliforniens Datenschutzgesetz seit 2020. Gibt Verbrauchern das Recht zu erfahren, welche Daten gesammelt werden, und deren Verkauf zu untersagen./CPRA (Verbraucherschutzgesetze) | Recht auf Auskunft, Recht auf Löschung, Recht auf Widerspruch gegen den Verkauf der eigenen Daten |
| Vermont | Data Broker Registration | Pflichtregistrierung + Offenlegung |
| Texas | Data Broker Law | Registrierungspflicht; AG-Ermittlung mit bis zu 1,4 Mrd. USD Strafen |
| Colorado | Privacy Act | Opt-Out-Rechte |
| Oregon | Consumer Privacy Act | Ähnlich wie CCPA |
Neue EU-Rechtsentwicklungen 2025/2026
- EU Data Act (vollständig anwendbar seit 12. Sept. 2025): Regelt, wer auf Daten von vernetzten Geräten (Smart-TV, Fitness-Tracker, Smart-Home) zugreifen darf und wie.[36][39]
- Digital Omnibus (Nov. 2025): Die EU-Kommission schlägt vor, mehrere Datenschutzgesetze (DSGVO, Cookie-Regeln, Data Act) zu einem einfacheren Gesamtpaket zusammenzufassen; wird 2026 vom EU-Parlament beraten.[38]
- Koordinierte EU-Datenschutzaktion 2026: Die europäischen Datenschutzbehörden prüfen gemeinsam, ob Broker ihren Pflichten nachkommen, Betroffene über die Datensammlung zu informieren — ein Thema, das Broker direkt trifft.[37]
- Neue EU-Verfahrensregeln (Nov. 2025): Datenschutzbehörden verschiedener EU-Länder können künftig besser zusammenarbeiten, wenn ein Broker in mehreren Ländern aktiv ist.[36]
Was du tun kannst — und was nicht
LexisNexis: risk.lexisnexis.com/consumer-and-data-access-policies
Experian (Marketing): experian.com/privacy/opting_out
⚠️ Wer sich bei LexisNexis löschen lässt, riskiert, dass manche Sicherheitsfragen bei Bankkonten oder Behörden nicht mehr funktionieren — weil diese Dienste LexisNexis-Daten nutzen, um deine Identität zu prüfen.
Art. 17 DSGVO: Recht auf Löschung („Recht auf Vergessenwerden")
Art. 21 DSGVO: Widerspruch gegen Datenverarbeitung zu Werbezwecken
Art. 22 DSGVO: Schutz vor ausschließlich automatisierten Entscheidungen[41]
Das deutsche Datenhändler-Ökosystem
Deutschland hat eine eigene, gewachsene Data-Broker-Industrie — aufgeteilt in zwei Kategorien: AuskunfteienAuskunfteiUnternehmen, die Bonitätsdaten über Verbraucher sammeln und an Banken, Vermieter und Händler verkaufen. In Deutschland: Schufa, Creditreform, CRIF, infoscore. Sie entscheiden mittelbar über Kredite, Wohnungen und Verträge. (Bonitätsdaten) und Adress-/Marketingdatenhändler (Konsumentenprofile für Werbung).[57]
Die großen Auskunfteien
Auskunfteien sind die mächtigsten Data Brokers in Deutschland. Sie entscheiden mittelbar darüber, ob jemand eine Wohnung bekommt, einen Mobilfunkvertrag abschließen kann oder einen Kredit erhält. Alle sind im Verband „Die Wirtschaftsauskunfteien e.V." organisiert.
Was gespeichert wird: Bankkonten, Kreditkarten, Mobilfunkverträge, Ratenkredite, Zahlungsausfälle, Mahnverfahren, Inkasso, Insolvenzverfahren.
Datenfehler-Problem: Eine Stiftung-Warentest-Stichprobe (2010) ergab ~37 Mio. veraltete, 4,6 Mio. schlichtweg falsche Datensätze. Neuere Studien bestätigen hohe Fehlerquoten.[47]
PositivdatenPositivdatenDaten über reguläre Vertragsabschlüsse (Handyvertrag, Bankkonto) – im Gegensatz zu Negativdaten (Zahlungsausfälle, Mahnverfahren). Umstritten: Mobilfunkanbieter übermitteln Vertragsschlüsse ohne Einwilligung an die Schufa. Das LG München urteilte: rechtswidrig.-Kontroverse: Vodafone, Telekom, Telefónica/o2, Blau.de, Aldi Talk, Freenet übermitteln Vertragsschlüsse ohne Einwilligung der Betroffenen an die SCHUFA. Das Landgericht München urteilte: diese Übermittlung ist unzulässig.[60]
Datenschutzkritik (NDR Info): Unbefugte konnten mit Name, Geburtsdatum, Adresse und einer Handynummer (nicht zwingend die eigene) sensible Daten von Millionen Verbrauchern abrufen — für knapp 20 EUR pro Abfrage. Der Datenschutzbeauftragte BW bezeichnete dies als „gravierenden Datenschutzverstoß".[55]
Adress- und Marketingdatenhändler
Neben Auskunfteien gibt es eine zweite Kategorie: Unternehmen, die KonsumentenprofileProfilingDie automatisierte Erstellung detaillierter Persönlichkeitsprofile aus gesammelten Daten: Kaufverhalten, Einkommen, Gesundheit, politische Neigung. In der DSGVO als „Profiling“ definiert und reguliert – aber schwer durchzusetzen. für Direktmarketing verkaufen. Ihre Rechtmäßigkeit nach DSGVO ist hochumstritten.[61][63]
Skandal: NOYBNOYBNone Of Your Business – eine europäische Datenschutzorganisation, gegründet von Max Schrems. Reicht systematisch DSGVO-Beschwerden gegen Unternehmen ein, die Datenschutz verletzen. Hat u.a. gegen Facebook, Google und Data Broker geklagt.-Beschwerde: AZ Direct soll Millionen Verbraucheradressen ohne Einwilligung an die Auskunftei CRIF verkauft haben.[61]
Der SCHUFA-Scoring-Skandal und EuGH-Urteile
Das SCHUFA-Scoring-System war jahrelang vollständig intransparent: Weder Betroffene noch Gerichte wussten, wie der Score berechnet wird. Eine Kette von EuGH-Urteilen und deutschen Gerichtsurteilen hat das System erschüttert.[47][50]
Bundeskartellamt-Sektoruntersuchung
Das Bundeskartellamt untersuchte 2024 Bonitäts-Scoring beim Online-Shopping und stellte fest, dass das Scoring — für Verbraucher weitgehend unbemerkt — automatisch im Hintergrund abläuft und einen wesentlichen Teil des deutschen Online-Handels betrifft.[54]
Die Databroker Files — Deutschland und Europa
Die Databroker Files sind eine seit Sommer 2024 laufende Investigativrecherche von netzpolitik.org und dem Bayerischen Rundfunk sowie internationalen Partnern (WIRED, Le Monde, L'Echo, BNR). Auszeichnungen: Grimme Online Award 2024, Datenschutz Medienpreis 2024, European Press Prize 2025.[42]
EU-Kommission: „Wir sind besorgt." Axel Voss (CDU/EVP): „In der aktuellen geopolitischen Lage müssen wir das sehr ernst nehmen." Alexandra Geese (Grüne): „Europa muss groß angelegtes Datenprofiling verbieten." NATO: „Wir sind uns der allgemeinen Risiken bewusst" — konkrete Maßnahmen unbekannt. Eine interne EU-Rundemail warnte EU-Angestellte danach vor Tracking-Risiken.[43][44]
Rechtliche Einschätzung des Wissenschaftlichen Dienstes des Bundestags: BKA und Bundespolizei fehlt eine Ermächtigungsgrundlage für den Datenkauf bei Brokern. Bei Geheimdiensten (BND, Verfassungsschutz, MAD) keine ausdrückliche Rechtsgrundlage gefunden — Kauf könnte in Einzelfällen unter sehr begrenzten Umständen gerechtfertigt sein.[45]
DSGVO in Deutschland: Theorie vs. Praxis
Selbstauskunft: Deine Rechte einfordern
| Auskunftei | Selbstauskunft (kostenlos, Art. 15 DSGVO) |
|---|---|
| SCHUFA | meineschufa.de — einmal jährlich kostenlos. ⚠️ Vorsicht: kostenpflichtige Variante ist optisch hervorgehoben! |
| infoscore | experian.de/selbstauskunft |
| CRIF Bürgel | crifbuergel.de/konsumenten/selbstauskunft |
| Creditreform | creditreform.de (für Unternehmer) |
Fazit
Data Brokers sind kein Randphänomen. Sie sind eine globale Industrie mit Hunderten Milliarden Umsatz, die in jede Lebenssituation eingreift — vom Kreditantrag über die Wohnungssuche bis zur Überwachung politischer Aktivisten. In Deutschland schützt die DSGVO theoretisch stark, aber erst durch EuGH-Urteile und gerichtlichen Druck werden Rechte real durchsetzbar.
Das Grundproblem bleibt: Das System ist designed, um unsichtbar zu sein. Die meisten Menschen wissen nicht, dass es existiert — geschweige denn, was über sie gespeichert ist. Die einfachste Gegenwehr ist Wissen.