Vernetzung: Wer hat meine Daten?

Mein Name ist Barbara Junge. Wenn Sie denken, dass das uninteressant ist, irren Sie sehr. Es ist interessant. Zumindest für Firmen wie Acxiom.

Schon mein Vorname und der Wohnort im Osten Deutschlands sagen den Fachleuten, dass jemand wie ich „mit überdurchschnittlicher Wahrscheinlichkeit“ zwischen 45 und 50 Jahren alt ist. Das zeigt die Alterskurve zu meinem Namen, die mir Acxiom auf einem Din-A4-Blatt ausgedruckt und überlassen hat. Solch eine Kurve haben die Datenprofis von praktisch jedem Namen in ihrem Rechner.

Speist man die Straße, in der ich wohne, mitsamt Hausnummer ins System ein, berechnet mich die Software als sehr wahrscheinlich „urban nonkonform“. So ist das Gebäude, in dem ich lebe, charakterisiert. Für das Gewerbe mit direkt adressierter Werbung ist das schon eine gute Ausbeute. Mit Bauernmöbeln ist bei mir wahrscheinlich kein Geschäft zu machen.

Profis der Direktwerbung kennen mich besser als meine Nachbarn, auch Online- Händler vergessen keinen meiner eingetippten Kaufwünsche. Adresshändler verdienen Geld mit meinem Namen, und Auskunfteien haben das Recht, ohne mein Wissen interessierte Firmen darüber zu unterrichten, wie es um mein Zahlungsvermögen bestellt ist. Während der Bundesrat im September das umstrittene Meldegesetz des Bundestags – und damit die Weitergabe von Meldedaten an Firmen ohne vorherige Einwilligung der Bürger – wieder ins Reich der Wünsche geschickt hat, ist ein Großteil der 82 Millionen Bundesbürger längst erfasst. Nach vermeintlichen Präferenzen und tatsächlichem Konsumverhalten sind wir millionenfach gelistet und kategorisiert, zudem nach Wohnort, Alter oder Geschlecht. Das „Recht auf informationelle Selbstbestimmung“, durch das Bundesverfassungsgericht zum Datenschutz-Grundrecht erhoben, ist in dieser schönen Datenwelt kaum mehr als eine Illusion.

Die Kontrolle werden wir wohl nicht mehr zurückbekommen. Doch der deutsche Datenschutz hat ein Tor geschaffen, durch das wir uns unseren Daten wieder nähern können: das Recht auf Auskunft über die persönlichen Daten. Ein Selbstauskunfts-Pfad durch die Welt der Adresshändler, Auskunfteien, Gewinnspielanbieter, Versandhändler und Datenmanager im Land enthüllt Puzzlestücke eines virtuellen Personenprofils. In den Dateien finden sich Informationen, nach denen zu fragen man selbst nie auf die Idee gekommen wäre. Oder kennen Sie Ihren Scorewert, also ihre Kreditwürdigkeit, bei, sagen wir, Arvato Infoscore?

Alles einzusammeln, was allein schon auf dem legalen Datenmarkt über den Einzelnen vorhanden ist und gehandelt wird, ist eigentlich unmöglich. Das komplette Bild zu sehen – für Dritte sollte es auch nie möglich werden. Kein Problem, meinen Sie? Natürlich darf der Versandhändler Amazon wissen, was ich bei ihm bestelle. Dass Direktwerber mich mit einem Etikett bedenken können, weckt zuallererst meine Neugier. Und selbst Facebook-Gründer Mark Zuckerberg hat ein, wenn auch klar begrenztes Recht zu archivieren, was ich in seinem sozialen Netzwerk treibe. Aber wollen Sie wirklich, dass jemand die einzelnen Puzzlestücke irgendwann zusammensetzt? Dann wäre Ihr Personenprofil erschreckend konkret.

Einzelinformationen für gezielte Werbestrategien

Die Puzzlestücke von Acxiom Deutschland liegen in England. Der virtuelle Stadtplan-Dienst Google Streetview zeigt einen unauffälligen weißen Bau, inmitten unauffälliger weißer Bauten, zweckmäßig. Nichts deutet daraufhin, dass hier in Normanton, östlich der britischen Metropole Leeds, im „White Rose Technologiecenter“ hochsensible Kundendaten aus ganz Europa lagern. Die europäische Datenfarm von Acxiom sei angelegt „wie ein Hochsicherheitstrakt“, streng bewacht samt biometrischer Identifizierungsverfahren, versichert Carsten Diepenbrock. Die Informationen, die auch dort dem deutschen Datenschutzrecht unterliegen, sind so gut behütet, dass selbst der Deutschlandchef von Acxiom noch nicht an dem Ort war, wo die Daten seiner Kunden aufbewahrt werden. „Nur wer ein berechtigtes Interesse nachweisen kann, bekommt hier Zugang“, sagt Diepenbrock.

Acxiom Deutschland ist nach Einschätzung der Fachleute vom Branchenverband DDV „einer der drei großen Player“ unter den Direktmarketing-Firmen. Die Branche lebt davon, Firmen mit zusätzlichen Informationen über ihre Kunden sowie potenzielle Neukunden zu versorgen. Und sie erstellt aus Konsumenteninformationen gezielte Werbestrategien: Werbung, die nicht mehr spamgleich jeden überflutet oder uns mit überzogener Lautstärke aus dem Fernseher entgegenschallt.

Ein Bürokomplex im hessischen Neu- Isenburg. Von hier aus haben Diepenbrock und seine Leute ein feinmaschiges Netz über Deutschland geworfen. In 1,46 Millionen Straßenabschnitte ist die Republik auf ihrer Landkarte unterteilt. Mindestens fünf Haushalte muss so eine Zelle beinhalten, wegen des Datenschutzes. Das Geschäftskonzept ist auf Geodaten, die Einteilung von Markt und Mensch anhand des statistisch erforschten räumlichen Umfelds, spezialisiert. Hier in der Martin-Behaim- Straße entwerfen die Datenanalytiker Kampagnen anhand ihrer Landkarte.

Mithilfe der Informationen, die Acxiom nach Angaben von Diepenbrock über 44 Millionen Deutsche längst aus öffentlich zugänglichen Registern wie dem Telefonbuch, vom Umzugsservice der Deutschen Post und bei Statistikämtern erworben hat, ordnen die Datenprofis die Kunden in ein modernes Kastenwesen ein. Die Spanne der insgesamt 19 Segmente reicht vom „bürgerlich Etablierten“, dem „urban Aktiven“, dem „großstädtischen Aufsteiger“, der „bürgerlichen Mitte“, dem „statusorientierten Arbeiter“ bis zum „urban Nonkonformen“. Grundlage dieser Profile sind Wohnort, Wohnform, Alter und Geschlecht. Kreuzt Acxiom das vom Werbekunden als Zielgruppe definierte Profil, dem jeweils Zellen, sprich anonyme Adressen zugeordnet sind, mit dem, was die Kundendatenbank des Unternehmens ausspuckt, lassen sich Kampagnen mit „geringen Streuverlusten“ entwerfen.

Mich als „urban Nonkonforme“ erreicht so zum Beispiel die Verlockung einer Erlebnisreise nach Tibet. Die Nachbarin im 80er-Jahre-Wohnblock auf der anderen Seite der Kreuzung ist dem Segment der „statusorientierten Arbeiter“ zugeordnet. Dieses Porto wäre schon einmal gespart.

Dauerhafte Kundenprofile aber lege man nicht an, versichert Diepenbrock. Mit dem deutschen Datenschutz wäre das auch nicht vereinbar.

Informationen über 500 Millionen Konsumenten

In den USA ist der Datenschutz weit entfernt von einem Grundrechtsrang. Und Acxiom ist dort weit entfernt von dem, was wir in Europa unter Datenschutz verstehen. Nach Informationen der „New York Times“ hat der Konzern aus Little Rock im Bundesstaat Arkansas dort die größte Konsumenten-Datenbank der Welt zusammengestellt. Auf mehr als 23.000 Servern lagern demnach Informationen über 500 Millionen aktive Konsumenten weltweit. Tiefer als das FBI dringe Acxiom in das Leben der Menschen ein, urteilt die „New York Times“. Tiefer auch als Google oder Facebook. Die Entschlüsselung des „Kunden- Genoms“ – die Zusammenführung sämtlicher Daten wie Alter, Geschlecht, Größe, Gewicht, Bildung oder Hinweise zur Gesundheit, Kaufinformationen mit dem Zahlungsverhalten, also die Integration der Informationen verschiedenster Unternehmen – ist in den USA legal.

Das „Kunden-Genom“. Freiwillig würden darauf auch in Deutschland nach Einschätzung von Verbraucherschützern nicht alle Firmen verzichten. „Diese Branche geht so weit wie irgendwie möglich“, sagt einer der führenden deutschen Experten, Thilo Weichert vom Landeszentrum für Datenschutz in Kiel. „Viele Unternehmen überschreiten regelmäßig die Grenze des Erlaubten. Im Dienste des Profits“, sagt er. Eine einzelne Datei eines Unternehmens sei dabei gar nicht das Problem. Aber: „Wenn separat geführte Daten im Bedarfsfall zusammengeführt werden, dann entsteht schnell ein umfassendes Profil.“

Was hielten Sie davon, würde man Ihre Körpermaße und das Alter mit Ihrem Beziehungsstatus in Beziehung setzen? Oder wenn man Ihr Nutzungsverhalten in sozialen Netzwerken mit persönlichen Gesundheitsinformationen kreuzen würde?

Warum bemühen sich gerade die Targobank aus Düsseldorf, Reader’s Digest aus Stuttgart und Kabel Deutschland aus Unterföhring, mich als Kundin zu gewinnen? Während nicht-adressierte Postwurfsendungen selten meinen Briefkasten verstopfen, finden adressierte Briefe leicht ihren Weg vorbei am Aufkleber mit der freundlichen Aufforderung, mich von Werbung doch bitte zu verschonen. Woher haben die Unternehmen meine Anschrift?

Die Selbstauskunft soll mir hierbei weiterhelfen. Allerdings führt diese aufwendige Art der persönlichen Informationsgewinnung nur bedingt weiter. Und eines wird schnell klar: Die Firmen sammeln einfach zu gerne.

An zwölf Interessenten hat die Schober Information Group aus dem baden-württembergischen Ditzingen meine Daten „zur einmaligen Nutzung für einzelne Werbeaktionen zur Verfügung gestellt“. Nach welchen Auswahlkriterien das geschehen ist, erfahre ich leider nicht.

Das Unternehmen bietet sich als erste Anlaufstelle auf meiner Suche an. Auch Schober gehört zu den Branchengrößen in einem Markt, der sich immer stärker vom quantitativen Adresshandel zur qualitativen Profilierung wandelt.

Feilschen um das Meldegesetz

In der „Consumer Targetbase“-Datenbank bei Schober findet sich mein mit einer Nummer versehener Name mit Adresse und einer Haushaltsnummer. Die Zeile mit Umzugsinformationen ist leer geblieben. Ich gehöre also vermutlich zur Gruppe der eher sesshaften Bürger, falls eine Datei für diese Kategorie existiert. Neben der Targobank, Reader’s Digest und Kabel Deutschland haben auch die GEZ, der Energiekonzern Vattenfall und die Telekom Interesse an meinen Daten gezeigt. Ebenso die SOS-Kinderdörfer, Neckermann, das Marketing-Unternehmen Marketwing und die Coxulto Marketing.

Auf entsprechende Werbung habe ich, soweit ich mich erinnere, nicht reagiert. Eine Nachfrage bei diesen Händlern und Service-Unternehmen dürfte also keinen zusätzlichen Erkenntnisgewinn bringen. Auf der Suche nach meinem Markt-Ich wähle ich deshalb zunächst Coxulto aus. Die Firma, ein Tochterunternehmen von EOS, zählt selbst zur Reihe der Direkt- Marketing-Firmen. EOS wiederum gehört als Service-Tochter zum Otto-Konzern.

Bei Coxulto jedoch endet die Selbstauskunft in einer Sackgasse. Ich erfahre leider nicht, was das Unternehmen mit meinen Daten gemacht hat. Auf der Homepage findet sich nur die Meldung, dass Coxulto seine Geschäftstätigkeit zum 1. Juli 2012 aufgegeben hat. Unter der Telefonnummer meldet sich eine EOS-Mitarbeiterin. Das „Geschäftsfeld“ sei „vor dem Hintergrund der Novelle des Bundesdatenschutzgesetzes“ – und damit verbundener strengerer Auflagen für die Verwendung personenbezogener Daten – „nicht mehr profitabel zu betreiben“.

Mit der Neufassung des gesetzlichen Datenschutzes im Jahr 2009 wurden den Bürgern umfassendere Auskunftsrechte über die Weitergabe von Daten und über die Errechnung von Scorewerten erteilt. So müssen Banken beispielsweise die Grundlagen einer Kreditentscheidung offenlegen. Und der Handel ist zumindest verpflichtet, über den Weg der persönlichen Daten zu informieren. Zudem dürfen Adressinformationen ohne Einwilligung nur noch eingeschränkt an Dritte weitergegeben werden. Nach der Reform des Datenschutzrechts feilschen Bundestag, Länder und Bürgerrechtsgruppen jetzt um den entsprechenden Punkt im Meldegesetz.

Ein neuer Versuch. Bei Schober hat sich auch die Auskunftei Deltavista meine Daten geliehen. „Während der vergangenen zwölf Monate wurde kein Score beauskunftet“, erfahre ich dort. Zwölf Monate sind allerdings eine sehr relative Angabe.

Erworben hat Schober meine Daten bei Planet 49. Der Gewinnspiel-Anbieter im Internet hat am 18. November 2006 um 16.13 Uhr eine Datei über mich eingerichtet. Darin enthalten sind Geburtsdatum, Telefonnummer und E-Mail-Adresse. Planet 49 aber teilt mir jetzt mit: „Ihre Daten wurden in den letzten zwölf Monaten an keine Unternehmen weitergeleitet.“ Von der Weitergabe an Schober erfahre ich bei der Quelle meiner Daten also nichts.

Insbesondere bei der Frage, welcher Kundenkategorie mich ihr System beziehungsweise das Rechenprogramm ihrer Datenmanager zugeordnet hat, mauern die meisten Unternehmen. Vom Kinderartikel-Vertrieb Mytoys erfahre ich immerhin: „Unsere Verantwortlichen im Marketing haben (…) mitgeteilt, dass wir für Sie kein spezielles Profil zur gezielten Werbung angelegt haben. Sie erhalten daher unsere Standardwerbung.“ Unter meinem Namen, das erfahre ich aus dem Schreiben, werden drei Kundenkonten geführt.

Bei anderen Unternehmen warte ich bis heute auf eine Antwort. Insbesondere Banken und Versicherungen tun sich offenbar schwer, Informationen preiszugeben.

Mein Interesse „am Thema Scorewert ist sicher verständlich“, schreibt mir der Baur-Versand. Das „mathematisch-statistische Verfahren zur Bonitätsermittlung“ erfolge anhand „einer Kombination von Adressdaten, Zahlungsinformationen und Bestelldaten“. Man müsse mich jedoch darauf hinweisen, „dass kein Rechtsanspruch auf eine detaillierte Auskunft besteht“.

Ein 44-Seiten-Bericht bei Amazon

Auch bei Amazon versteht man „mein Interesse“ an der Selbstauskunft. 44 Seiten umfasst der Bericht, den mir der Online-Händler offenlegt. Eine Bestimmung meiner Interessen fällt danach leicht: Technologisch folge ich offenbar dem Apple- Pfad, erkennbar wird ein Hang zu Kinder- und Jugendbüchern sowie zu Kriminalliteratur. Und der Star-Wars-Saga scheint in meinem Leben eine große Bedeutung zuzukommen. Kinder gibt es also, das Alter wird grob geschätzt, wahrscheinlich habe ich auch ein Haustier. Ich spreche vermutlich mehrere Sprachen, Indiz für einen gewissen Bildungsgrad. Und ich interessiere mich für Umweltthemen und Sportartikel.

Durch meine Anfrage beim Online-Auktionshaus Ebay habe ich zum ersten Mal erfahren, dass ich dort bewertet wurde. Ich hätte es wissen können. Ebay speichert E-Mail-Adressen, Bankdaten, Kreditkarteninformationen, gerne auch auf US-Servern. Außerdem merkt sich das Unternehmen Transaktionsdaten. Darunter fällt auch die „Interaktion“ mit Werbeanzeigen: Klicke ich eine Annonce an, wird das vermerkt. Dazu kommen Informationen über meinen Computer, IP-Adresse und Daten anderer Unternehmen, zum Beispiel demografische.

Und das ist nur ein Auszug dessen, was sich auf den Servern befindet. Meine Kreditwürdigkeit wird selbstverständlich bei Dritten, bei einer Wirtschaftsauskunftei, überprüft. Die Daten können innerhalb der Ebay-Gruppe weitergegeben werden, etwa an das Bezahlsystem PayPal oder den Preisvergleichsdienst Shopping.com. Bei Ebay erfahre ich auch, dass ich mich einmal für Geräte zur „Atemüberwachung“ und für Sitzergometer interessiert habe. Meine Bewertungen übrigens sind äußerst zufriedenstellend: „Alles top gelaufen – vielen Dank“ schreibt einer. „Schnelle Zahlung, netter Kontakt, gerne immer wieder, Klasse!!!!!“, hat ein anderer hinterlassen. Alles für die Zukunft gesichert.

Der Einblick, den allein unser Waren- Bestellverhalten liefert, ist größer, als wir denken. Ohne Scheu hinterlegen wir Körpermaße, Bildungsgrad, Familienverhältnisse, Freizeitinteressen, gerne die Automarke oder die bevorzugte Ernährungsweise. Auch unsere Kaufbereitschaft, die Zahl der benutzten Kreditkarten oder Hinweise auf unsere Gebührentreue haben ihren ökonomischen Wert.

Telekommunikationsanbieter, Banken, Sparkassen und Versicherungen, die Einzugszentrale für Rundfunkgebühren GEZ, der Musikrechtevermarkter Gema sowie Internet-Provider, Versandhäuser, Kaufhausketten und die Einzelhändler können ihre Auskünfte auf dem freien Markt erstehen. Aber still und leise kommen sie an diese auch schon im Netz.

Noch sind die Sammlerwelten zwischen online und offline faktisch getrennt. Große Schwierigkeiten macht den Schatzjägern die Zuordnung der Online-Identitäten zu realen postalischen Adressen. Doch erste Unternehmen haben sich nach den Recherchen von „PC-Welt“ bereits darauf spezialisiert, anhand von Online- und Offline-Daten aussagekräftige Profile zu erstellen. Ist es einmal gelungen, eine E-Mail-Adresse zuzuordnen, dient diese als Bindeglied zu den Online-Aktivitäten beispielsweise in sozialen Netzwerken. Die Verknüpfung der beiden Welten sehen die Datenschützer mit großer Sorge.

Und was verrät Facebook?

Die Auslese meines Twitter-Accounts ist ein Kinderspiel, auch ohne dass Tweets, also die dort veröffentlichten Kurznachrichten, gespeichert werden. Ich folge offenbar prinzipiell nur Journalisten oder politischen Gruppen wie Parteien und Sportvereinen. Politische wie gesellschaftliche Präferenzen sind dabei nicht zu übersehen.

Bei Google habe ich zum Glück kein Konto. Dort ist nur meine Wohnadresse verzeichnet, damit im Google-Dienst Streetview das Haus verpixelt wird.

Anhand meiner Facebook-Daten kann man zu dem Schluss kommen, dass ich mich in einem kulturaffinen Milieu mehrheitlich verheirateter Journalisten und Journalistinnen zwischen 33 und 56 Jahren bewege. Innerhalb meines Freunde-Netzwerkes tun sich insbesondere drei Kollegen als Knotenpunkte hervor: Sie kennen viele, die ich auch kenne, die sich wiederum untereinander kennen. Meine Kommunikationswelt umfasst neben Berlin und Hamburg insbesondere Freunde in den USA und in Frankreich.

Meine Haltung gegenüber sozialen Netzwerken im Internet ist als ambivalent zu beschreiben. Das zeigt allein schon das Protokoll meiner diversen Account-De- und Re-Aktivierungen. Eine gewisse Grundskepsis kann man unterstellen. Dem entspricht auch ein interessanter Einzelaspekt: Auf Werbeanzeigen sind keine Klicks verzeichnet.

Die zusammenfassende Analyse verdanke ich der Wissenssuchmaschine Wolfram Alpha. Weitere Informationen wie genutzte IP-Adressen, Online-Zeiten und Stammdaten liefert der in meinem Fall nur 56 Kilobyte große Bericht, den man mittlerweile bei Facebook über sich beantragen kann.

Am 15. Dezember 1983 hat das Bundesverfassungsgericht mit dem Volkszählungsurteil das Grundrecht auf informationelle Selbstbestimmung erfunden. Hunderttausende waren in Deutschland zuvor auf die Straße gegangen, und hatten, da sie den Orwell-Staat heraufziehen sahen, einen Boykott der staatlichen Datensammlung organisiert. Das Urteil prägt bis heute das Verhältnis von Bürger und Staat. Es wirkt als Bremse gegen allzu großen Datenhunger im Regierungsauftrag. Im Fall der Vorratsdatenspeicherung reicht die Datenschutzfront bis in die Bundesregierung hinein.

Am 27. Februar 2008 ist das hohe Gericht dann angetreten, um das Daten- Grundrecht ins digitale Zeitalter zu transformieren. In ihrer Entscheidung zur Online-Durchsuchung formulierten die Richter das Recht auf „Vertraulichkeit und Integrität informationstechnischer Systeme“ – und erweiterten die zu schützende Privatsphäre der Bürger damit auf die virtuelle Welt.

Das Grundrecht auf eine digitale Intimsphäre wird bisher nur auf Regierungshandeln bezogen. Noch blickt die kritische Öffentlichkeit vor allem auf den Staat. Mit persönlichen Daten in der Privatwirtschaft gehen die meisten dagegen deutlich unvorsichtiger um. Dabei sind es heute Firmen wie die Schufa oder Schober, Arvato Infoscore oder Amazon, in deren Archiven unsere Daten gehortet werden. Und es sind inzwischen Google oder Facebook, die in unsere digitale Intimsphäre eindringen. Jeder sollte sich sehr genau bewusst sein: Unsere Daten sind ein wichtiger ökonomischer Faktor auf einem gigantischen Markt.

Nach massiver öffentlicher Kritik hat das Potsdamer Hasso-Plattner-Institut der Schufa gerade ein gemeinsames Projekt aufgekündigt. Mithilfe der Forscher wollte die Wirtschaftsauskunftei testen, wie „frei verfügbare Daten“ aus sozialen Netzwerken genutzt werden können. Zumindest in nächster Zeit wird die Schufa noch nicht auf Facebook-Daten zurückgreifen können, um meine Kreditwürdigkeit einzuschätzen.

Zieht man übrigens die Gegend, in der ich wohne, amtliche Statistiken, mein Geschlecht, mein Alter und die Wohnform „anhand von Gebäudedaten“ heran, dann liegt die Wahrscheinlichkeit, dass ich Rechnungen für die Waren zahle, die ich kaufe, bei 94 Prozent. Das zumindest weiß Galeria Kaufhof von mir. Vom Auskunfter Arvato Infoscore. Dabei hat die Schufa für mich einen aktuellen Bonitätswert von 99,20 Prozent ermittelt und dem Handel mitgeteilt. Das klingt zwar auch nicht perfekt. Aber immerhin belegt es ein „sehr geringes Risiko“, mit mir Geschäfte zu machen.