Ein Datenhändler kennt Ihren Stalker nicht. Es ist ihm egal. Er verkauft Ihre Privatadresse, Telefonnummer, Ihren Arbeitsplatz und Ihre täglichen Gewohnheiten an jeden, der zahlt, und die Branchenbilanz zeigt, dass sie kaum Interesse daran hat zu fragen, warum.
Das ist kein hypothetisches Problem. Fälle, in denen persönliche Daten von Personensuchseiten Belästigung, Stalking und Gewalt ermöglichten, wurden von Journalisten, Forschern und Strafverfolgungsbehörden dokumentiert. Das strukturelle Problem ist einfach: Diese Dienste aggregieren öffentlich zugängliche Daten und verkaufen sie in einer Form, die andernfalls erhebliche Zeit und Fachkenntnisse zum Zusammenstellen erfordern würde. Sie senken die Hürde, jemanden zu finden, der nicht gefunden werden möchte.
Was ein Datenhändler eigentlich tut
Der Begriff „Datenhändler” umfasst eine Reihe von Unternehmen, aber die hier relevante Kategorie sind Verbraucher-Datenaggregatoren, Unternehmen wie Spokeo, Whitepages, BeenVerified und Dutzende andere, die Profile von Einzelpersonen aus öffentlichen Registern, sozialen Medien, kommerziellen Datenbanken und gekauften Datensätzen zusammenstellen.
Ein typisches Datenhändler-Profil enthält: vollständigen Namen, aktuelle und frühere Adressen, Telefonnummern, E-Mail-Adressen, Namen und Kontaktdaten von Verwandten, geschätztes Alter, Grundstücksunterlagen und manchmal Beschäftigungshistorie oder Vorstrafen. Diese Informationen werden wie sie sind verkauft oder über Abonnementdienste angeboten, die für jeden mit einer Kreditkarte zugänglich sind.
Der Hauptmarkt sind angeblich Hintergrundüberprüfungen und die Wiederherstellung des Kontakts mit verlorenen Bekannten. Die tatsächlichen Käufer sind vielfältiger, und die Branche verfügt über keinen bedeutsamen Mechanismus zur Überprüfung der Absichten.
Die Verbindung zum Stalking
Die Verbindung zwischen diesen Datenbanken und Stalking und Belästigung ist auf politischer Ebene gut dokumentiert. Die US-amerikanische Federal Trade Commission hat mehrere Berichte über Branchenpraktiken veröffentlicht und dabei das Fehlen bedeutsamer Einwilligungsmechanismen und die Schwierigkeit des Widerspruchs festgestellt. Datenschutzforscher an akademischen Institutionen haben wiederholt demonstriert, wie leicht ein Personensuchprofil zu einem umfassenden Überwachungspaket zusammengestellt werden kann.
Das spezifische Schadensmuster ist eindeutig: Eine Person versucht, eine Beziehung oder einen Job zu verlassen, zieht in eine neue Adresse um, ändert ihre Telefonnummer. Ohne diese Dienste ist es erreichbar, physische Anonymität wiederherzustellen, nicht einfach, aber erreichbar. Mit ihnen kann eine aktuelle Adresse in Minuten aus einer früheren Adresse, über Familienmitgliedsverzeichnisse oder über Grundstücksunterlagen gefunden werden, die automatisch aktualisiert wurden, als eine Hypothek eingetragen wurde.
Organisationen gegen häusliche Gewalt haben dieses Problem ausdrücklich angesprochen. Die National Domestic Violence Hotline und ähnliche Organisationen umfassen in ihren Sicherheitsplanungsressourcen Anleitungen zur Abmeldung von diesen Diensten, eine implizite Anerkennung, dass die Entfernung aus diesen Datenbanken nun Teil der Planung physischer Sicherheit ist, nicht nur digitaler Hygiene.
Die regulatorische Lücke
Die Vereinigten Staaten haben kein umfassendes Bundesgesetz, das die Aktivitäten von Datenhändlern regelt. Der California Consumer Privacy Act (CCPA) gibt Einwohnern Kaliforniens das Recht, die Löschung ihrer Daten bei Unternehmen zu beantragen, die bestimmte Schwellenwerte erfüllen. Die DSGVO der EU bietet europäischen Einwohnern umfassendere Schutzrechte auf „Löschung”. Aber für die meisten Amerikaner ist der einzige Löschungsmechanismus die von jedem Händler betriebenen individuellen Widerspruchssysteme, oft absichtlich umständlich, erfordern unterschiedliche Formate pro Seite und laufen manchmal nach wenigen Monaten ab.
Forscher haben über 200 Personensuchseiten in den USA gezählt. Eine manuelle Widerspruchskampagne, selbst wenn sie perfekt durchgeführt wird, dauert Dutzende von Stunden und bietet nur vorübergehende Erleichterung. Die meisten Widerspruchsanträge werden nicht an nachgelagerte Datenlizenzgeber weitergegeben.
Was eine sinnvolle Reform eigentlich erfordern würde
Die Regulierung von Datenhändlern ist technisch nicht schwierig. Sie erfordert einen rechtlichen Rahmen, der aggregierte Personenprofile als personenbezogene Daten mit entsprechenden Rechten einstuft, standardisierte und allgemein zugängliche Opt-out- oder Opt-in-Mechanismen vorschreibt und Durchsetzungsmechanismen mit echten Konsequenzen schafft.
Der Lobbywiderstand ist erheblich, die Branche argumentiert, sie biete wertvolle Dienste für Hintergrundüberprüfungen, Betrugserkennung und Personensuche, und das Gesetzgebungsverzeichnis in den USA hat bisher gezielte staatliche Gesetze statt eines Bundesstandards hervorgebracht. Bis sich das ändert, liegt die Verantwortung für die Entfernung bei den Einzelpersonen, ein Widerspruchsformular nach dem anderen.
Für alle, die einen spezifischen Grund haben, ihren digitalen Fußabdruck zu begrenzen, Überlebende häuslicher Gewalt, Menschen in umstrittenen Sorgerechtssituationen, Journalisten, öffentlich bekannte Personen, die gezielter Belästigung ausgesetzt sind, legt der aktuelle Rechtsrahmen die Last genau an die falsche Stelle.
Quellen
- FTC: Technologiepolitik und Datenschutzforschung, Datenhändler , grundlegende regulatorische Analyse der Datenhändlerbranche
- Auxier, Brooke et al. „Americans and Privacy”, Pew Research Center, November 2019. pewresearch.org , Umfragedaten zu öffentlichen Einstellungen gegenüber Datenerhebung und Händlerpraktiken
- Electronic Frontier Foundation: Datenschutz , laufende Berichterstattung über Datenschutzregulierung und digitale Rechte
