Ist Ihr Unternehmen ein Datenbroker? Compliance-Risiken und Definitionen

Die versteckte Definition eines Datenmaklers

Jahrelang beschwor der Begriff "Datenmakler" Bilder von zwielichtigen Aggregatoren, die Mailinglisten verkauften. Jüngste Durchsetzungsmaßnahmen haben jedoch eine Verschiebung signalisiert, wie Regulierungsbehörden die Rolle definieren. Im August 2026 erließ die California Privacy Protection Agency (CalPrivacy) ihre ersten gemeinsamen Durchsetzungsmaßnahmen gemäß dem CCPA und dem Delete Act und verhängte gegen LocateSmarter eine ausgewiesene Strafe von 110.490 US-Dollar (https://www.jdsupra.com/legalnews/calprivacy-settles-with-two-data-8857468/) und gegen Cybba eine ausgewiesene Strafe von 52.400 US-Dollar (https://www.gov.ca.gov/2026/08/13/icymi-california-takes-historic-action-against-data-brokers/) wegen Versäumnissen bei der Registrierung als Datenmakler. Diese Unternehmen waren keine traditionellen Aggregatoren, erfüllten aber dennoch die gesetzlichen Kriterien, die viele KMU derzeit übersehen.

Die gesetzliche Definition eines Datenmaklers ist täuschend einfach: ein Unternehmen, das wissentlich personenbezogene Daten eines Verbrauchers sammelt und an Dritte verkauft, mit dem das Unternehmen keine direkte Beziehung hat. Wenn Ihre Organisation Datensätze mit Erkenntnissen Dritter monetarisiert, agieren Sie möglicherweise bereits als Makler im Auge des Gesetzes. Das Verständnis von dem, was Sie gemäß der DSGVO und den US-Bundesstaatsgesetzen legal verkaufen können, ist der erste Schritt zur Vermeidung dieser eskalierenden Strafen.

Der "direkte Beziehung"-Lackmustest

Der Dreh- und Angelpunkt für die meisten Durchsetzungsmaßnahmen ist der Test der "direkten Beziehung". Eine direkte Beziehung besteht, wenn ein Verbraucher ein aktueller oder ehemaliger Kunde ist oder anderweitig direkt mit Ihrem Unternehmen interagiert hat. Wenn Sie Daten verarbeiten, die von einem Partner, einem öffentlichen Datensatz oder einer Drittanbieter-API erworben wurden, und diese Daten anschließend lizenzieren – selbst in angereicherter oder pseudonymisierter Form –, ist die direkte Beziehung unterbrochen. In diesem Moment werden Sie zu einem Datenmakler.

Regulierungsbehörden schauen sich zunehmend "Schattenmakler" an – Unternehmen, die Marketing-Attribution, Identitätsauflösung oder Kreditrisikomodellierung anbieten. Wenn die von Ihnen verkauften Daten nicht direkt von der Einzelperson von Ihrer Einheit gesammelt wurden, unterliegen Sie wahrscheinlich der Registrierungspflicht. Dies ist besonders kritisch für Unternehmen, die unseren Datensatzkatalog zur Beschaffung oder Bereitstellung hochwertiger KI-Trainingsdaten erkunden; die Herkunft der Daten bestimmt die regulatorische Belastung.

Multi-State-Registrierungsanforderungen: CA, TX und OR

Während Kaliforniens Delete Act (SB 362) am aggressivsten ist, ist er nicht die einzige Hürde. Ab 2026 haben mehrere Bundesstaaten obligatorische Register mit unterschiedlichen Schwellenwerten eingeführt:

• Kalifornien: Erfordert eine jährliche Registrierung bis zum 31. Januar. Die Nichtregistrierung führt zu einer ausgewiesenen Verwaltungsstrafe von 200 US-Dollar pro Tag (https://www.jdsupra.com/legalnews/calprivacy-settles-with-two-data-8857468/).
• Texas: Der Data Broker Transparency Act verlangt von Unternehmen, die mehr als 50 % ihres Umsatzes mit Datenbrokerage erzielen oder mit Daten von mehr als 50.000 Personen handeln, eine Registrierung oder sie riskieren Strafen von bis zu 10.000 US-Dollar pro Verstoß.
• Oregon: Verlangt eine Registrierung für jede juristische Person, die Daten von mehr als 10.000 Einwohnern von Oregon unterhält und diese Daten an Dritte verkauft.

Die geschätzten Kosten der Einhaltung – einschließlich Registrierungsgebühren, Rechtsprüfungen und der Umsetzung von "Alle löschen"-Anfragen – reichen laut Branchen-Benchmarks von 15.000 bis 50.000 US-Dollar jährlich für mittelgroße Unternehmen. Die Kosten der Nichteinhaltung sind jedoch erheblich höher, wie die jüngsten fünf- und sechsstelligen Vergleiche belegen.

Finanzielle und operative Risiken der Nichteinhaltung

Über die unmittelbaren Verwaltungsstrafen hinaus birgt die Einstufung als "nicht konformer Datenmakler" existenzielle Risiken für datengesteuerte Unternehmen. Institutionelle Datenkäufer, insbesondere in den KI- und Finanzsektoren, führen nun eine strenge Due-Diligence-Prüfung der Datenherkunft durch. Ein Versäumnis, sich gemäß dem Delete Act zu registrieren, kann einen Datensatz "toxisch" machen und ihn für große Technologieunternehmen, die eine sekundäre Haftung fürchten, unlizenzierbar machen.

Darüber hinaus schreibt Kaliforniens Delete Act vor, dass der Bundesstaat bis 2026 einen einzigen "zugänglichen Löschmechanismus" bereitstellen wird, der es Verbrauchern ermöglicht, ihre Daten mit einem Klick von allen registrierten Maklern zu löschen. Wenn Sie nicht registriert sind, können Sie diesen Mechanismus nicht integrieren, was Sie direkt gegen die Verbraucherrechte verstößt und Klagen wegen Sammelklagen nach sich zieht.

Was das für Sie bedeutet

Für Dateneigentümer ist die Ära der "versehentlichen Brokerage" vorbei. Sie müssen Ihre Datenlieferkette prüfen, um festzustellen, ob Sie Informationen von Verbrauchern verkaufen, mit denen Sie keine direkte Beziehung haben. Wenn Sie in diese Kategorie fallen, ist die Registrierung nicht mehr optional – sie ist eine Voraussetzung für die Marktbeteiligung. Für Käufer auf d-nvest ist die Sicherstellung der Einhaltung der staatlichen Maklergesetze durch Ihre Partner der einzige Weg, um die langfristige Rentabilität Ihrer KI-Modelle und Datenbestände zu gewährleisten. Compliance ist nicht nur eine rechtliche Hürde; sie ist ein Signal für Datenqualität und institutionelle Bereitschaft.