Der spanische YouTuber Carles Tamayo hat wieder einen Nerv getroffen – mit seinem gewohnt lockeren, humorvollen und pointierten Stil. In der letzten Folge von Se nos ha ido de las manos („Es ist uns aus dem Ruder gelaufen“), einer Dokumentarserie, die im April 2026 im spanischen öffentlich-rechtlichen Fernsehen Premiere feierte, untersucht er, wie Unternehmen personenbezogene Daten kaufen und verkaufen.

Die Folge mit dem Titel El activo eres tú („Du bist der Vermögenswert“) wirft eine unangenehme Frage auf: Wer hat unsere Daten, und was wird damit gemacht? Und was sind wir bereit, für das Versprechen von etwas Kostenlosem aufzugeben? Nachdem er Spam-Anrufe von Unternehmen erhalten hatte, die zu viel über ihn wussten, verwandelte Tamayo seine eigene Produktionsfirma in einen Datenhändler, um von innen zu sehen, wie personenbezogene Daten gesammelt und gehandelt werden.

Hier erfährst du, wie das Geschäft mit Datenhändlern funktioniert und welche Rechte dir die GDPR (Datenschutz-Grundverordnung) gibt.

Was ein Datenhändler ist und wie er Geld verdient

Ein Datenhändler ist ein Unternehmen, das Informationen über Personen und Organisationen sammelt, analysiert und verkauft. Der Wert dieser Informationen für Käufer liegt darin, wie sie kombiniert und ausgewertet werden können. Gewohnheiten, Interessen, Standortdaten und andere Signale lassen sich – zunehmend mithilfe von KI – zu etwas Verwertbarem zusammenfügen. Datenhändler verkaufen den Rohstoff, mit dem sich ein Profil fast jeder Person erstellen lässt.

In Tamayos Report bietet ihm beispielsweise ein Datenhändler Informationen über Menschen an, die gerade ein Baby bekommen haben. Diese frischgebackenen Eltern hatten ihre Details im Krankenhaus im Austausch für die Teilnahme an einer Verlosung von Babyprodukten weitergegeben.

Datenhändler sammeln typischerweise E-Mail-Adressen, IP-Adressen(neues Fenster), den ungefähren Standort, Onlinekäufe, Suchanfragen im Internet, in einer App ausgewählte Interessen und die Geräte, die jemand verwendet.

Hast du schon einmal einen Anruf von einem Telefonunternehmen (oder einem anderen Unternehmen) erhalten und dich gefragt, woher es deine Nummer hat? Es ist einfacher, als du denkst. Cookies, mobile Apps und Online-Formulare können deine Informationen sammeln und an Datenhändler weitergeben. Das gilt auch für Offline-Quellen wie Kundenkarten, Verlosungen und öffentliche Register.

Was Cookies sind und wofür sie dienen

Du hast sie auf jeder Website gesehen, die du besuchst: ein kleines Pop-up, das dich bittet, Cookies zu akzeptieren oder abzulehnen. Wahrscheinlich überfliegst du es, akzeptierst Cookies(neues Fenster) und machst weiter, ohne je zu fragen, was Cookies eigentlich sind(neues Fenster) oder was du Unternehmen gerade mit deinen Daten tun lässt.

Cookies sind kleine Dateien, die eine Website in deinem Browser ablegt, um Informationen über deinen Besuch zu speichern. Die Cookies, um die es Datenhändlern geht, sind Werbe-Cookies: Sie sollen Verhaltensprofile erstellen und personalisierte Anzeigen ausspielen.

Doch inzwischen kannst du mit Methoden verfolgt werden, die weit über Cookies hinausgehen. Browser-Fingerprinting erzeugt beispielsweise aus den Merkmalen deines Geräts eine eindeutige Signatur, während Cross-Site-Tracking deine Aktivitäten verfolgt, wenn du zwischen Websites wechselst. Auf Mobilgeräten tun Werbe-IDs etwas Ähnliches, indem sie dein Verhalten an eine dauerhafte Kennung binden.

Cookies abzulehnen verbessert deine Privatsphäre, garantiert sie aber nicht vollständig. Und sobald du anfängst zu fragen, wohin deine Daten gehen, wer sie hält und wie sie verwendet werden, kommst du unweigerlich zu der Frage, ob der Handel mit deinen Daten überhaupt legal ist.

Wie dich die GDPR schützt

Die GDPR ist das Regelwerk der Europäischen Union dafür, wie Organisationen und Unternehmen die personenbezogenen Daten aller Personen in der EU erheben, verwenden, teilen und speichern. Sie gilt auch für Unternehmen mit Sitz außerhalb der EU, die sich an Menschen in der EU richten. In Spanien überwacht die spanische Datenschutzbehörde (AEPD) die Einhaltung; sie nimmt auch Beschwerden entgegen, wenn ein Unternehmen diese Rechte verletzt.

Die GDPR legt mehrere Grundrechte fest:

Auskunftsrecht: Erfahre, welche personenbezogenen Daten ein Unternehmen über dich gespeichert hat, wofür es sie verwendet, an wen es sie geteilt hat und woher es sie hat. Du kannst außerdem eine Kopie anfordern.

Recht auf Berichtigung: Lass falsche oder veraltete Informationen korrigieren.

Recht auf Löschung: Dieses auch als „Recht auf Vergessenwerden“ bekannte Recht ermöglicht es dir, die Löschung deiner Daten zu verlangen, wenn das Unternehmen sie nicht mehr benötigt, wenn du deine Einwilligung widerrufst oder der Verwendung widersprichst oder wenn sie unrechtmäßig verarbeitet wurden.

Widerspruchsrecht: Du kannst bestimmten Arten der Verarbeitung widersprechen, etwa der Verwendung deiner Daten für Werbung. Bei Direktwerbung ist dieses Recht absolut: Sobald du widersprichst, muss das Unternehmen damit aufhören.

Recht auf Datenübertragbarkeit: Du erhältst die personenbezogenen Daten, die du einem Unternehmen gegeben hast, in einem strukturierten, gängigen und maschinenlesbaren Format, damit du sie zu einem anderen Dienstleister übertragen kannst. Dies gilt, wenn das Unternehmen deine Daten auf Grundlage deiner Einwilligung oder eines Vertrags automatisiert verarbeitet.

Die GDPR verleiht Menschen durchsetzbare Rechte, untermauert durch Bußgelder, doch vielen ist nicht bewusst, dass sie diese Rechte kostenlos ausüben können. Ein Unternehmen darf eine Gebühr verlangen oder einen Antrag nur ablehnen, wenn er offensichtlich unbegründet oder exzessiv ist.

Wie Tamayos Report zeigt, klafft eine große Lücke zwischen den Garantien des Gesetzes und dem Wissen der breiten Öffentlichkeit darüber, wie sie ihre persönlichen Informationen schützen kann. Diese Lücke erschwert es den Menschen, die verfügbaren rechtlichen Instrumente zu nutzen und die Kontrolle über ihre Daten zurückzugewinnen.

Wie du deine GDPR-Rechte gegen Datenhändler einsetzt

Die oben genannten Rechte funktionieren nur, wenn du sie nutzt. Keines davon erfordert einen Anwalt oder ein spezielles Formular: Eine E-Mail an die Datenschutzkontaktstelle des Unternehmens reicht aus.

Frag nach, woher deine Daten stammen. Wenn ein Unternehmen dich kontaktiert und du ihm nie deine Details gegeben hast, frage nach seiner Quelle. Aufgrund des Auskunftsrechts muss es dir diese nennen, und die Antwort führt oft direkt zu einem Datenhändler.

Sende eine Auskunftsanfrage. Frage bei dem Unternehmen oder Datenhändler nach, welche Daten dort über dich gespeichert sind, wofür sie verwendet werden und an wen sie geteilt wurden, und bitte um eine Kopie. Die Anfrage ist kostenlos, und das Unternehmen muss innerhalb eines Monats antworten. Bei komplexen Anfragen kann es die Frist um zwei weitere Monate verlängern, muss dich aber darüber informieren.

Widersprich und verlange Löschung. In derselben E-Mail kannst du der Verwendung deiner Daten für Marketing widersprechen und ihre Löschung verlangen. Das Unternehmen muss die Löschung auch allen mitteilen, mit denen es deine Daten geteilt hat, es sei denn, das ist unmöglich oder würde einen unverhältnismäßigen Aufwand bedeuten.

Melde dich bei der Lista Robinson an. In Spanien müssen Unternehmen, die Direktwerbung versenden, diese Werbe-Widerspruchsliste prüfen, bevor sie dich kontaktieren. Die Anmeldung ist kostenlos.

Beschwere dich bei der AEPD. Wenn ein Unternehmen dich ignoriert, ohne triftigen Grund ablehnt oder die Frist verstreichen lässt, kannst du kostenlos Beschwerde bei der spanischen Datenschutzbehörde einlegen.

Schränke ein, welche Daten Datenhändler überhaupt sammeln können

Deine GDPR-Rechte räumen auf, was bereits im Umlauf ist. Ein paar einfache Gewohnheiten sorgen dafür, dass weniger neue Daten bei Datenhändlern landen.

Überprüfe deine App-Berechtigungen und deaktiviere jeden Zugriff, den eine App nicht benötigt, insbesondere die Zugriffe auf deinen Standort, deine Kontakte oder deine Fotos.

Lehne nicht notwendige Cookies ab. Auf Websites in der EU sollte das Ablehnen genauso einfach sein wie das Akzeptieren, und es blockiert die Werbe-Cookies, die Verhaltensprofile speisen.

Bleib bei Websites und Diensten abgemeldet, wenn du nur surfst. Wenn du bei Google, YouTube, Amazon oder einer Nachrichtenseite angemeldet bist, wird alles, was du suchst, anschaust, liest oder kaufst, mit deinem Konto verknüpft. Wenn du beim Surfen abgemeldet bleibst, haben Unternehmen weniger, das sie mit dir verbinden können.

Nutze einen datenschutzfreundlichen Browser wie Firefox oder Brave, die viele Tracker standardmäßig blockieren. Du kannst auch alternative europäische Webbrowser entdecken, die auf Privatsphäre ausgerichtet sind.

Wechsle zu Proton Mail, unserem privaten und sicheren E-Mail-Dienst, der deine E-Mails nicht lesen kann und deinen Posteingang nicht nach Werbung, Tracking oder Überwachung durchsucht. Er blockiert außerdem Tracking-Pixel, mit denen Werbetreibende üblicherweise sehen, wann du eine Nachricht öffnest (und weitere Hinweise).

Nutze ein VPN(neues Fenster), um deine IP-Adresse vor Websites, Apps und Werbenetzwerken zu verbergen, damit diese sie nicht nutzen können, um deinen Standort zu schätzen oder deine Aktivitäten über Websites hinweg zu verknüpfen. Proton VPN bietet außerdem eine Funktion namens NetShield, die Werbung und Tracker blockiert, bevor sie geladen werden. Der Dienst hat eine unabhängig geprüfte No-Logs-Richtlinie(neues Fenster) und führt daher keine Aufzeichnung darüber, was du online tust.

Nutze einen verschlüsselten Passwort-Manager, um starke, einzigartige Passwörter zu erstellen, damit ein kompromittiertes Konto nicht alle anderen offenlegt. Proton Pass bietet dir außerdem hide-my-email-Aliase für Newsletter, Verlosungen und Onlineshops. Wenn auf einem Alias Spam eingeht, kannst du sehen, wer ihn möglicherweise geteilt oder geleakt hat, und den Alias dann deaktivieren.

Wie Tamayos Report deutlich macht, sind Datenhändler Teil eines Geschäftsmodells, das auf unseren Daten aufbaut. Doch die GDPR und die Werkzeuge, die unsere Privatsphäre schützen, geben uns Möglichkeiten, die Kontrolle zurückzugewinnen. Es geht nicht darum, aus dem Internet zu verschwinden, sondern bewusst zu entscheiden, wer auf unsere Daten zugreifen darf und aus welchem Grund.