Databroker verarbeiten personenbezogene Daten häufig im Hintergrund, ohne dass Betroffene nachvollziehen können, woher die Daten stammen oder an wen sie weitergegeben werden. Deshalb geraten kommerzielle Datenhändler zunehmend in den Fokus der Aufsichtsbehörden. Die kalifornische Datenschutzbehörde California Privacy Protection Agency (CalPrivacy) hat gegen den Databroker LocatSmarter LLC. am 11. August die Entscheidung gegen erlassen, 116.490 US-Dollar zu zahlen, da er es versäumt hatte, sich fristgerecht als Datenvermittler zu registrieren. Außerdem verlangte das Unternehmen von kalifornischen Verbrauchern Teile ihrer Sozialversicherungsnummer, bevor diese ihr Widerspruchsrecht ausüben konnten.
Kaliforniens Löschplattform für Databroker
Die CalPrivacy hat bereits Anfang des Jahres das sogenannte Delete Request and Opt-out Platform-System, (DROP-System), veröffentlicht. Dabei handelt es sich um einen zentralen Löschmechanismus für Verbraucherinnen und Verbraucher. Sie sollen künftig mit einer einzigen Anfrage alle registrierten Databroker dazu auffordern können, ihre personenbezogenen Daten zu löschen.
Das DROP-System soll Databroker stärker in die Pflicht nehmen und die Durchsetzung von Datenschutzrechten erleichtern. Gerade bei kommerziellen Datenhändlern ist für Betroffene oft schwer nachvollziehbar, welche Unternehmen ihre Daten verarbeiten und an wen diese weitergegeben werden. Denn in den meisten Fällen handelt es sich um ihre personenbezogenen Daten, deren Verarbeitung sie auf anderen Plattformen beispielsweise zu Werbezwecken zugestimmt haben. Dass ihre Daten weitergegeben werden und dabei gehandelt werden, war ihnen bei ihrer Einwilligung nicht bekannt. Eine zentrale Plattform kann hier Transparenz schaffen und den Zugang zu Lösch- und Widerspruchsrechten vereinfachen.
In unserem Beitrag vom 27. Juni 2026 haben wir bereits erläutert, wie das DROP-System genau funktioniert und daneben auch wie Kalifornien seine Vorreiterrolle im US-Datenschutzrecht weiter ausbaut.
CalPrivacy vs. Databroker
Die Entscheidung gegen LocateSmarter LLC ist die erste Maßnahme gegen einen Databroker nach dem California Consumer Privacy Act (CCPA). Zugleich ist sie die erste Entscheidung, die sowohl auf den CCPA als auch auf den Delete Act gestützt wird.
Nach Angaben der CalPrivacy hat der kommerzielle Datenanbieter aus Iowa im Rahmen von Lizenzvereinbarungen personenbezogene Daten erhoben und stellte diese aber ohne Kenntnis der Betroffenen anschließend seinen Kunden zur Verfügung. Zu diesem Zeitpunkt war das Unternehmen auch noch nicht als Databroker registriert. Bei den erhobenen Daten handelte es sich unter anderem um Namen, Geburtsdaten, Sozialversicherungsnummern, Telefonnummern, E-Mail-Adressen, Angaben zum Beschäftigungsverhältnis, Führerscheindaten sowie Informationen zu Insolvenzen. Somit waren mit diesen Informationen auch Rückschlüsse auf Verbrauchermerkmale möglich, beispielsweise, ob die Betroffenen „litigious“, also „prozessfreudig“, wären. Da das kalifornische Datenschutzrecht sehr verbraucherorientiert ist, stellen sich solche möglichen Rückschlüsse als besonders geschützt dar.
Außerdem soll LocateSmarter von kalifornischen Bürgern verlangt haben, unrelevante Daten anzugeben, darunter die letzten vier Ziffern ihrer Sozialversicherungsnummer, bevor sie ihr Widerspruchsrecht gegen die Weitergabe ihrer personenbezogenen Daten durch das Unternehmen ausführen konnten.
Seitdem das DROP-System aktiv umgesetzt wird, folgten weitere Verfahren. In den vergangenen Wochen verhängte die Behörde zwei zusätzliche Bußgelder und konkretisierte die Pflichten für kommerzielle Datenhändler weiter. Die ersten Verfahren zeigen damit, dass Kalifornien nicht nur neue Verbraucherschutzinstrumente schafft, sondern deren Einhaltung auch konsequent durchsetzen.
Durchsetzungshinweis zur der Registrierung als Databroker
In der vergangenen Woche veröffentlichte CalpRIvacy einen Durchsetzungshinweis, also eine „Enforcement Advisory“, hinsichtlich der Registrierung als Databroker. Darin wird betont, dass Databroker für jeden Tag mit einer Geldbuße belegt werden können, an dem fehlerhafte Angaben im Register erscheinen. Nach Angaben der Behörde wurden durch die Vollzugsabteilung bereits mehrere Verfahren wegen Meldefehlern eingeleitet.
Der kalifornische Delete Act verpflichtet Unternehmen, die im vergangenen Jahr als Databroker tätig waren, sich jährlich bei der Behörde zu registrieren. Dabei müssen sie bestimmte Informationen offenlegen, sodass Verbraucher die Möglichkeit erhalten, Databroker zu identifizieren und ihre Rechte gezielter auszuüben.
Kalifornien verbietet die Tätigkeiten kommerzieller Datenanbieter damit nicht unmittelbar; zwingt sie aber sich an die Vorgaben des CCPA und weiteren Datenschutzbestimmung zu halten. Der Fokus wird so deutlich: Verbraucherschutzrechte sollen wirksam durchsetzt, Transparenz geschaffen und Datenverarbeitungen nachvollziehbarer gemacht werden. Verbrauchern sollen so mehr Kontrolle über ihre Daten erhalten.
Fazit
Die ersten Bußgelder in Kalifornien zeigen, dass Databroker zunehmend kontrolliert werden. Problematisch sind aus Datenschutzsicht insbesondere fehlende Transparenz, unklare Zweckbindung und der Verkauf personenbezogener Daten ohne ausreichende Rechtsgrundlage,
Auch in Europa gewinnt das Thema an Bedeutung. In Deutschland wurde zuletzt im Rahmen des Rechercheprojekts „Databroker Files“ bekannt, dass zwei Landeskriminalämter für Ermittlungen Standortdaten von kommerziellen Datenanbietern bezogen haben sollen.
Bereit, die Verantwortung an einen externen Datenschutzbeauftragten zu übergeben?
Kontaktieren Sie uns noch heute, um zu erfahren, wie wir Ihr Unternehmen in Fragen des Datenschutzes und der Datenschutz-Compliance unterstützen können.
