LOAD&Friends: Die Databroker Files und die ADINT-Debatte

Bevor unser 24. Real-Life-Treffen startete, haben wir zu unserem alljährlichen Vorabend-Event „LOAD&Friends“ eingeladen. Dieses Mal haben wir uns über die Data Broker Files und zur ADINT-Debatte (ADINT = Advertisement Intelligence) ausgetauscht.

Zu Gast waren Rebecca Ciesielski, Reporterin im AI + Automation Lab des Bayerischen Rundfunks und Teil des Kern-Teams der Databroker Files, sowie Corbinian Ruckerbauer, Senior Policy Researcher im Programm Digital Rights, Surveillance and Democracy beim Thinktank Interface. Den Anlass gab die ARD-Dokumentation "Gefährliche Apps – Im Netz der Datenhändler" vom April 2026, die aus der Recherche zu den Databroker Files hervorgegangen ist.

Wer glaubt, das sei ein Problem für Einzelpersonen oder für die Werbeindustrie, unterschätzt die zweite Dimension dieser Debatte. Dokumentierte Käufer von Standortdaten aus kommerziellen Quellen gibt es bereits: die USA (NSA, ICE, Pentagon, US-Militär), Norwegen (militärischer Nachrichtendienst) und die Niederlande (Nachrichtendienste). Die Belege stammen vor allem aus der großen Webloc-Recherche des Citizen Lab. Für Deutschland gibt es bislang keinen direkten Beleg, aber die Gesetzesbegründung zum BND-Gesetz (BNDG) nennt den „Ankauf von umfänglichen Werbedatenbanken" ausdrücklich als Beschaffungsmethode, die man legalisieren möchte.

Europol hat im Rahmen eines FOI-Verfahrens (FIO = Freedom of Information; vergleichbar mit Anfragen nach dem Informationsfreiheitsgesetz in Deutschland) des Citizen Lab bestätigt, Dokumente zu Webloc (einem Tool zur Nutzung von Standort- und Werbedaten zu Überwachungszwecken) zu besitzen, die Offenlegung aber verweigert. Bei vergleichbaren Produkten wie Babel Street oder Rayzone verneinte Europol eine entsprechende Dokumentation. Das ist kein Beweis, aber ein Indiz, das schwer zu ignorieren ist.

Auf der CPDP-Konferenz im Mai 2025 schilderte ein Europol-Datenschutzaufseher öffentlich, wie ein israelischer Anbieter seinem Haus ein Angebot unterbreitet hatte, mit Aussagen wie: „Wir werden infiltrieren, wir werden impersonifizieren, wir werden uns in das System hacken – was immer Sie brauchen." Das Datenschutzbüro stoppte die Beschaffung. Dass solche Angebote überhaupt eingehen, sagt einiges darüber aus, welchen Markt es hier gibt.

Die DSGVO greift an den entscheidenden Stellen nicht bzw. konnte das Entstehen des Werbedatenmarkts zu fachfremden Zwecken nicht verhindern. Marktplätze wie Datarade vermitteln Daten, verarbeiten sie selbst aber nicht, und fallen damit laut Bekundungen einiger Datenschutzaufsichtsbehörden durch das Raster. Die Berliner Datenschutzbeauftragte Meike Kamp hat das im Sommer 2024 klar benannt. Die ehemalige Bundesdatenschutzbeauftragte Louisa Specht-Riemenschneider spricht von einer "Rechtsschutzlücke" und hat auch das Einwilligungsmodell scharf kommentiert: "Der Gesetzgeber weiß, dass die Einwilligung im Datenschutzrecht nicht funktioniert, und hält wider besseres Wissen an ihr fest."

Selbst wenn die DSGVO greifen würde: Der zentrale Händler hinter vielen dieser Datensätze, die Datastream Group, sitzt in Florida. Deutsche Aufsichtsbehörden haben dort kein Durchsetzungsmittel. Ein "stumpfes Schwert", wie Meike Kamp es formulierte.

Auf europäischer Ebene: Der angekündigte Digital Fairness Act von Ursula von der Leyen wird sich voraussichtlich auf manipulatives Design, AGB-Regulierung und Influencer-Marketing konzentrieren und nicht auf den Datenhandel selbst. Die E-Privacy-Verordnung scheiterte nach jahrelanger Lobbyarbeit. Die USA haben immerhin mit Bidens Executive Order vom Februar 2024 verboten, sensible Daten von US-Bürgerinnen und -Bürgern an bestimmte Länder zu verkaufen. Eine vergleichbare Regelung existiert in der EU jedoch nicht.