Wie Ihre Daten nach außen gelangen: Apps, Cookies, Standort und öffentliche Register

Die vorige Lektion beschrieb, was Datenhändler besitzen. Diese hier verfolgt vier konkrete Wege, auf denen Ihre Informationen zu ihnen gelangen: den Drittanbieter-Code, der in gewöhnlichen Apps mitgeliefert wird, Cookies und Pixel auf Websites, den Standort Ihres Telefons, und öffentliche Register, deren Existenz Sie von vornherein nicht verhindern können.

Apps und die darin enthaltenen Software Development Kits

Die meisten Apps werden nicht vollständig von dem Unternehmen gebaut, dessen Name darauf steht. Entwickler fügen häufig Drittanbieter-Software-Development-Kits (SDKs) hinzu, etwa für Analyse, Absturzberichte oder Werbung. Apples eigene Entwicklerdokumentation, die Apps zu dieser Offenlegung verpflichtet, definiert „Drittanbieter-Partner“ als „Analysewerkzeuge, Werbenetzwerke, Drittanbieter-SDKs oder andere externe Anbieter, deren Code Sie Ihrer App hinzugefügt haben“, und warnt Entwickler ausdrücklich davor, „ein Drittanbieter-SDK in Ihre App einzubauen, das Nutzerdaten aus Ihrer App mit Nutzerdaten aus Apps anderer Entwickler kombiniert, um Werbung zu zielen oder ihre Wirksamkeit zu messen, selbst wenn Sie das SDK nicht zu diesem Zweck nutzen.“ Mit anderen Worten: Ein SDK, das ein Entwickler aus einem bestimmten Grund hinzugefügt hat, kann von sich aus Daten weiterleiten, die am Ende mit Daten aus völlig unverwandten Apps kombiniert werden.

Cookies und Pixel auf den Websites, die Sie lesen

Im Web zeigt sich derselbe Gedanke als Cookies. Das Cloudflare Learning Center erklärt, dass ein First-Party-Cookie, gesetzt von der Website, die Sie gerade ansehen, sich von einem Third-Party-Cookie unterscheidet, gesetzt von einer Domain, die nicht die in Ihrer Adressleiste angezeigte ist — meist ein Werbe- oder Analyseunternehmen, das auf vielen verschiedenen Seiten eingebettet ist. Weil dieser Dritte Sie jedes Mal wiedererkennt, wenn Sie auf einer anderen Seite landen, die sein Cookie trägt, kann er eine Aufzeichnung Ihres Surfverhaltens über Seiten hinweg erstellen, von denen Sie ihm nie gesagt haben, dass Sie sie besuchen. Die eigenen Verbraucherhinweise der FTC bestätigen, dass dies auch über Cookies hinausgeht: Websites „können Ihre Online-Aktivität mithilfe eines Cookies oder Pixels verfolgen, um Sie auch nach Verlassen der Seite zu identifizieren“, und in Apps „können Werbetreibende eine eindeutige Werbekennung verwenden, um Sie zu verfolgen“, manchmal zusammen mit Geräte-Fingerprinting, das Ihren Browser oder Ihr Gerät anhand seiner spezifischen Einstellungen erkennt, statt anhand einer gespeicherten Datei.

Der Standort Ihres Telefons, oft ganz ohne besonderen Sensor

Standort ist eine der sensibleren Kategorien, und die FTC hat direkte Durchsetzungsmaßnahmen dazu ergriffen. 2022 verklagte die Behörde Kochava, einen Händler, den sie als Verkäufer „massiver Mengen präziser Standortdaten, gesammelt von zig Millionen Mobilnutzern“ beschrieb. Die Warnung der FTC merkte an, dass diese Art von Daten Besuche bei „medizinischer Versorgung, Gotteshäusern, reproduktiver Gesundheit, Obdachlosenunterkünften und Gewaltschutzeinrichtungen sowie Suchtnachsorge“ offenlegen kann, und als Demonstration erklärten Mitarbeiter der FTC, sie hätten mit Kochavas Daten ein Gerät identifizieren können, das eine Klinik für reproduktive Gesundheit von Frauen besuchte, und es bis zu einem bestimmten Zuhause zurückverfolgen können. Diese Daten beginnen mit einer App, die um Standortzugriff bat, und leiteten den Standort dann, getrennt von allem, was Ihr Mobilfunkanbieter bereits aus den Funkzellen ableiten kann, mit denen sich Ihr Telefon verbindet, an externe Unternehmen weiter.

Öffentliche Register: die Quelle, aus der Sie nicht aussteigen können

Die FTC-Studie von 2014 zu neun großen Datenhändlern ergab, dass alle bis auf drei Daten direkt aus föderalen Quellen wie dem Census Bureau und den Sterberegistern der Sozialversicherungsbehörde bezogen, und dass Bundesstaaten und Kommunen Grundbuch-, Wählerregister-, Gerichts- und Berufslizenzdaten lieferten. Ein Teil dieses Datenflusses hat rechtliche Grenzen: Der FTC-Bericht merkt an, dass mindestens zweiundzwanzig US-Bundesstaaten die kommerzielle Nutzung von Wählerregisterdaten einschränken, und dass das bundesweite Driver’s Privacy Protection Act die Offenlegung von Kfz-Daten außerhalb bestimmter Zwecke einschränkt. Aber die zugrunde liegenden Register selbst — eine Grundbuchurkunde, ein Heiratseintrag, ein Gerichtsdokument — existieren, weil das Gesetz sie verlangt, ganz gleich, ob Sie es lieber anders hätten.