4.1.1 Cookie

Das heutige Tracking lässt sich in seinen Anfängen technisch auf das Cookie zurückverfolgen, welches zunächst einen funktionalen und nicht primär monetären Hintergrund hatte:

As the web developed, technology was invented to support tracking. Web developers wanted a way to be able to remember users. In 1994 John Montully, a developer at Netscape, an early web browser, created the ‘cookie’; a way to store a small amount of information associated with a user. (Binns, 2022, 5)

Ein Cookie ist also ein kleiner N-spezifischer Code¹²², den die Host-Domain der von N aufgerufenen Seite beim HTTP(S)-Aufruf des Browsers oder systematisch durch Javascript an Ns Endgerät schickt. Wenn Ns Gerät das Cookie nicht blockiert, wird es dort gespeichert. Die Cookie-Datei enthält verschiedene Felder, u. a. ein Ablaufdatum, nach welchem das Cookie nicht mehr gesendet werden soll und einen URL-Pfad innerhalb der spezifizierten Domain zur Einschränkung des Sendebereichs. Bei Ns erneutem Aufruf dieser Domain bzw. Subdomain wird das Cookie im Browser automatisch mitgesendet und vom Host ausgelesen. Dieser Vorgang unterscheidet sich nicht bei First-Party-Cookies und Third-Party-Cookies, denn Cookies werden in beiden Fällen auf Ns Endgerät gespeichert und anschließend ausgelesen. Der relevante Unterschied ist, wer die verschiedenen Cookies auf Ns Gerät auslesen wird – der Host der aufgerufenen Seite, also die First Party oder verschiedene Third Parties, also Drittparteien (Binns, 2022, 7).¹²³

Eine Bemerkung zum Auslesen von Cookies und Cross-Site-Tracking: Dass ein Cookie nur von der Domain ausgelesen werden kann, von der es gesetzt wurde, wird durch die Same-Origin-Policy verlangt. “An origin is defined by the scheme, host, and port of a URL. Generally speaking, documents retrieved from distinct origins are isolated from each other.” (w3.org, n.d.) Um trotzdem mehreren Interessierten Zugang zu einem Cookie zu gewähren, gibt es das sogenannte Cookie Syncing (Piwik, n.d.). Dabei handelt es sich um einen Prozess zwischen den trackenden Parteien, die den N-spezifischen Code, den „unique user identifier“, untereinander abgleichen und so ihre jeweiligen Informationen über N austauschen bzw. synchronisieren. Das heißt also, dass unüberblickbar viele Informationen über N auch völlig ohne Ns Web-Aktivität trackenden Drittparteien und deren Kundschaft vorliegen, eben durch die Synchronisation ihrer gesammelten Trackingdaten. Zu dieser Kundschaft zählen AdTech-Firmen und Data Broker wie LiveRamp, ehemals Acxiom – nach eigener Bezeichnung eine „Datenkollaborations Plattform“¹²⁴ mit dem „Cookie Sync Tag“¹²⁵ (Christl & Toner, 2024a, 31).

In den 2000er Jahren verlagerte sich einerseits ein großer Teil der Dienste und Ressourcen der First-Party-Websites auf die Drittanbieter, die auf der einen Seite technisch-funktionale Kernaufgaben für sehr viele Websites übernahmen:

This included everything from widgets for embedding and serving video content, user analytics, the loading of special fonts, comment functions below news articles, buttons which allowed content to be shared via the user’s account on a social network, anti-spam measures which separate bots from genuine human users, and much else besides (Binns, 2022, 9).

Auf der anderen Seite verknüpften Drittanbieter ihre Inhalte und Dienste mit Analyse-Technologien und domainübergreifender Datensammlung: “From the distribution of third-party advertiser code on first-party websites, it was a small step to the use of ‘third-party’ cookies.” (Binns, 2022, 7) Durch die Third-Party-Cookies konnten Adtech-Unternehmen über das ursprüngliche Ziel, die Messung der Sichtung ihrer Anzeigen hinausgehen, indem sie “also track those users from one site to the next” (ebd.). ¹²⁶

Eine weitere Form des Trackings, die hier nicht eigens behandelt wird, entstand aus dieser Veränderung der Ressourcen-Verteilung, nämlich das Tracken durch Webfonts. Fonts von Google, die auf sehr vielen Websites eingesetzt werden, werden nicht auf der Domain dieser Websites gehostet, sondern bei Google. Jedes Aufrufen der Website durch N führt zum Abrufen der Fonts bei Google. Dabei werden Informationen über die abrufende Seite, unsere Nutzerin N, an Google gesendet.

4.1.2 Post-Cookie-Tracking

Mit Googles Abkehr von Third-Party-Cookies, die nach mehreren Verzögerungen nun für 2025 geplant ist, sind neue Formen des Tracking zu erwarten und werden auch schon teilweise implementiert. Eine davon ist Googles Folgekonzept zu Cookies, die “Privacy Sandbox” bzw. Sandbox API. Dieses Verfahren, bei dem der Browser (Chrome) und nicht mehr die verschiedenen Third-Party-Cookies Tracking und Analysen durchführt, präsentiert Google als datenschutzbewusste Alternative. Scharfe Kritik lässt vermuten, dass es sich dabei um ‘privacy-washing’ handelt, bei dem Nutzer:innen aufgrund irreführender Darstellung des Features als einer Datenschutz-Funktion “ad privacy feature” in die Aktivierung einwilligen (noyb, 2024). Das Europäische Zentrum für digitale Rechte (noyb) hat deshalb am 13. Juni 2024 eine Beschwerde gemäß Artikel 80(1) DSGVO bei der österreichischen Datenschutzbehörde eingereicht (ebd.).

Welche Konsequenzen für Verbraucher:innen aus dieser und anderen Nachfolgetechnologien zum Third-Party-Cookie zu erwarten sind, ist noch nicht absehbar. Zu befürchten sind zumindest anfängliche Nachteile für den Datenschutz, da die Anpassungen der Werbeindustrie entsprechenden Anpassungen der Gesetzgebung meist weit vorausgehen. Eine solche Neuentwicklung, die sehr negative Prognosen für die Transparenz und Regulierbarkeit hervorruft (Fouad et al., 2024), ist das seit kurzer Zeit bekannte Server-Side-Tracking (SST). Es verändert das Verhältnis zwischen First-Party- und Third-Party-Tracking dahingehend, dass die aktuelle Gesetzeslage – sowohl national mit § 25 TTDSG Telekommunikation-Telemedien-Datenschutz-Gesetz als auch auf EU-Ebene mit dem Art. 5 ePrivacy-Richtlinie¹²⁷–, die auf dieser Unterscheidung beruht, das Problem nicht erfassen kann. SST kann sowohl als Third-Party-Auftrag durchgeführt werden als auch durch die Einbettung als First-Party-Subdomain (Fouad et al., 2024, 2) bzw. indem die Domain selbst zum Tracker wird, was die bis dahin hilfreiche Unterscheidung zusätzlich unterläuft.

Zudem entsteht bei SST ein Transparenzproblem, da es Tracker ‚hinter‘ dem jeweiligen Zielserver versteckt: “[K]nown methods to identify more traditional tracking are not well suited to detect SST. The reception of a user ID does not necessarily imply that the server will share it directly with different partners.” (Fouad et al., 2024, 1) Statt der z. B. durch Adblocker und tools wie uBlock Origin eruierbaren Präsenzen von Trackern auf einer Website übernimmt nun der Server die Trackingaktivität und verschleiert diese für Nutzer:innen wie auch für die professionelle bzw. IT-forensische Überprüfung:

Instead of the client directly reporting its tracking data to different companies around the world, it is the role of the SST server to do it. This approach is currently hampering online privacy as it transforms what used to be very clear tracking requests performed by the browser on the client side into masked and hidden ones on the server side. For users, it becomes complicated to protect themselves as their favorite blocking tools are not adapted to this hidden form of tracking. For regulators, it is simply a nightmare as they cannot see clearly which companies are performing tracking in the background. (Fouad et al., 2024, 1) (Vgl. Abbildung 16 im Anhang)

Diese Tracking-Form ist noch wenig untersucht und ihre Implikationen für das Wissenschaftstracking sind noch nicht absehbar.

Dem nächsten Abschnitt der Anwendung der Trackingformen auf die Wissenschaft vorweggreifend sei hier der Abschlussbericht des Ausschusses für wissenschaftliche Bibliotheken und Informationssysteme der DFG (Altschaffel et al., 2024) erwähnt. Der Bericht deckt weitere technische Aspekte auf, die Tracking besonders tiefgreifend und invasiv machen. Das ist zum einen die versteckte Weiterleitung beim Aufrufen einer Adresse, die automatisch aktiviert wird und wodurch weitere Datenauswertungen stattfinden. Zum anderen geht es um das sogenannte CNAME-Hiding, das die Aufdeckung und Nachverfolgung des Trackings erschwert.¹²⁸

Fouad et al. (2024) nennen neben SST noch weitere Post-Cookie-Ansätze der Identifizierung und Profilerstellung wie “contextual advertising”, bei dem Kontextsignale mit First-Party-Daten des jeweiligen Advertisers und Informationen aus eigenen Datenbanken Third-Party-Cookies ersetzen, “identity graphs”¹²⁹, oder “interest-based advertising”¹³⁰. Daneben beschreibt Freiberg (2022) noch den Kohorten-Ansatz von Permutive, bei dem die „Profilerstellung anhand von First-Party-Daten mit anschließender lokaler Speicherung im Browser“ erfolgt. Weil das Profil durch Interaktionen mit dem Browser entsteht und lokal (verschlüsselt) gespeichert wird – im Gegensatz zu einer Cloud – „bezeichnet Permutive diesen Ansatz als dezentrales ‘Edge Computing’ […]“ (ebd.).¹³¹ Dies sind jedoch nur skizzenhaft genannte weitere Trackingformen.

4.1.3 Fingerprinting

Ein Ansatz zur Identifizierung, der nicht über Cookies funktioniert und so nutzer:innenseitige Versuche der Anonymitätswahrung durch z. B. Adblocker umgeht, ist Fingerprinting. Es existiert als Device (Browser- oder auch Canvas-) und als Personen-Variante. Bei der ersten Variante werden über verschiedene Schnittstellen „(JavaScript, HTML-CanvasElemente, WebGL, Web Audio API) browserspezifische Merkmale abgefragt, deren individuelle Kombination so eindeutig wie ein Fingerabdruck sein kann […]“ (Freiberg, 2022, 98). Die spezifischen Browser-Einstellungen und Interaktionen zwischen Soft- und Hardware können als individuierbare Grafiken dargestellt werden, die einem Fingerabdruck gleichen. Solche Fingerabdrücke werden in speziellen Datenbanken, den Fingerprinting-Bibliotheken, von Data Brokern angeboten. Freiberg beschreibt den Vorgang einer Grafikzeichnung bzw. Audio-Variante des Fingerprinting im Detail:

JavaScript liefert unter anderem Informationen über installierte Schriftarten, die Bildschirmauflösung und zahlreiche Browser-Einstellungen. Eine weitere Methode des Fingerprinting ist die Erstellung von verborgenen Grafiken, die je nach Software- und Hardware-Ausstattung des Geräts kleine Unterschiede aufweisen. Das in HTML 5 eingeführte Canvas-Element zum Zeichnen von 2D-Grafiken auf Webseiten wird zum Beispiel für das Fingerprinting missbraucht, indem unbemerkt auf einer nicht-sichtbaren Zeichenoberfläche (Canvas) Text- und Bildelementen erstellt werden […]. Je nach Hardware, Betriebssystem und Browser fällt diese Grafik leicht anders aus. In der Folge wird die Grafik ebenfalls unbemerkt heruntergeladen, aus ihr ein individueller Hashwert berechnet, der schließlich zur Speicherung und zum späteren Abgleich in der Fingerabdruck-Datenbank des Anbieters gesichert wird. Mit der WebGL-Programmierschnittstelle zur Darstellung von 3D-Grafiken können noch präzisere Fingerabdrücke generiert werden, da die Berechnung von 3D-Grafiken stärker von der jeweiligen Grafik-Hardware geprägt wird. Auch Hersteller und Modell der Hardware können über die WebGL-Schnittstelle abgefragt werden. Relativ neu ist das Fingerprinting über die WebAudio-API. Über diese Audio-Schnittstelle können nicht nur Informationen über die Audio-Hardware ausgelesen, sondern auch ein Oszillator generiert werden, dessen je nach Hardware anders ausfallende, stumme Ton-Wiedergabe im Hintergrund anschließend abgetastet und zur Generierung eines Hashwerts herangezogen wird. (Freiberg, 2022, 98)

Wie Schneider et al. (2014) bereits vor 10 Jahren festhalten, ist es neben dem Geräte-Fingerprinting auch möglich, Personen-Fingerprinting zu erstellen, um Nutzer:innen auch an verschiedenen Geräten mit unterschiedlichen Konfigurationen geräteübergreifend zu identifizieren. So können mit „Fingerprinting Bibliotheken wie z.B. von BlueCava[…], Iovation[…] oder ThreatMetrix […] nochmal deutlich bessere Trennschärfen erreichen [werden]“ (Schneider et al., 2014, 50). Laut Schneider et al. würden „Fingerprints sehr nahe an eindeutige Identifikationen herankomm[en]“ (ebd.). ThreatMetrix und aktuelle Formen der Identifikation werden weiter unten wieder aufgegriffen.

4.1.4 Marketing, Data Brokering, Verknüpfungsdienstleister

Die Entwicklung der Technologien und Interaktionsmöglichkeiten im Web 2.0 ist stark von der Entwicklung der webbasierten Werbeindustrie geprägt. Die Ausdifferenzierung und Ausweitung von Werbestrategien begann analog zu Printmedien. Eine Werbeanzeige wurde in einem vermieteten Slot auf der Website für einen festgelegten Zeitraum geschaltet, sichtbar für alle Besucher:innen dieser Website. Dieses Vorgehen wurde mit dem Aufkommen von Möglichkeiten weiterentwickelt, immer mehr domainübergreifende Informationen über das Verhalten von Nutzer:innen zu sammeln, zu Profilen zu clustern (Keegan & Eastwood, 2023) und an diese Nutzer:innen zu binden. So wurden letztere wiedererkennbar und an ihren Geräten nachverfolgbar gemacht. Damit wurde es auch möglich, Werbeanzeigen gezielter auf angestrebte Kund:innen auszurichten und die Anzeigen auch direkt auf der aufgerufenen Seite anzuzeigen. Dort befindet sich nunmehr nur ein Platzhalter, während die Werbeanzeige selbst vom Server des jeweiligen Werbetreibenden geladen wird. Diese Strategie, das Microtargeting, und ihre politischen Dimensionen wurden vor allem im Zusammenhang der U.S.-Wahlen 2016 und Cambridge Analytica öffentlich bekannt.

Elaboriertere technische Möglichkeiten des Cross-Site-Tracking, eine immer engmaschigere Profilbildung und Überwachung der Aktivitäten von Nutzer:innen liefen parallel zur zunehmend komplexeren Beziehung zwischen First und Third Party:

Among the third-party resources commonly referenced by first-parties are those be longing to the largest web giants […]. This means that users of their services can be tracked as they move around the web, often even when not logged in to the respective service. This has further enriched the already rich profiles these platforms had built on their users activities beyond their walled gardens. As a result, a social network might be able to infer sensitive private information about a user not because of what they do on that social network, but as a result of the websites they visit outside of it. These trackers are sometimes called ‘personal trackers’ because while they are ‘third-parties’ in a technical sense, the user may also have a personal account with them because they also operate as user-facing first-party services like Google or Facebook […] (Gatti, 2020, 10)

Unabhängig davon, wie adäquat die Unterscheidung zwischen First und Third Party künftig sein wird – bereits an diesen wenigen Beispielen zeigt sich, dass für durchschnittliche Nutzer:innen eine nahezu unausweichliche Abdeckung ihrer Internet-Aktivitäten durch eine Kombination verschiedener Tracking-Formen besteht. Ob direkt durch die besuchte Domain oder durch eingebundene Dritte, die Datensammlung und die zahlreichen Arten der Datenverwertung gehen in sehr lukrative Geschäftsformen ein, die über reine Werbetätigkeit hinausgehen. Aber bereits der Markt für digitale Werbung ist beeindruckend: Investitionen in Internetwerbung beliefen sich für 2021 weltweit auf über 417 Mrd. US-Dollar (Statista, 2024), Tendenz steigend.

Ein Beispiel für sehr umfassendes, kombiniertes und invasives Tracking sind Verknüpfungsdienstleister, deren Produkte für die AdTech-Industrie, aber auch für weitere Zwecke genutzt werden können. Ihr primäres Geschäft (dessen Konformität mit der Gesetzgebung der Länder, in denen sie operieren, unklar ist) besteht in der Erstellung von möglichst vollständigen Profilen und eine nahtlose Beobachtung von ganzen Bevölkerungen:

Companies have started to combine and link data from the web and smartphones with the customer data and offline information that they have been amassing for decades. Many businesses try to record and measure every interaction with a consumer, including on websites, platforms, and devices they do not control themselves. They can seamlessly collect rich data about their customers and others in real-time, enhance it with information from third parties, and utilize the enriched profiles for digital advertising, which is often based on real-time auctions of consumer profiles. The lawfulness of many of these data practices under the GDPR is disputed and subject to ongoing debate and litigation. (Christl & Toner, 2024b, Summary)

LiveRamp, ein „consumer data broker“ verkauft auf seinem „data marketplace“ weltweit Daten über 700 Millionen Verbraucher:innen von 150 Datenlieferanten:

LiveRamp operates a massive identity surveillance system that assigns every person a proprietary identifier, which is tied to identifying attributes such as names, postal addresses, email addresses, phone numbers and digital IDs referring to browsers, smartphones and other devices. Its AbiliTec and RampID systems maintain and constantly update comprehensive identity records about whole populations: the address where they live, the devices they use, and people they share a household with. (Christl & Toner, 2024b, Summary)

Die Gefahr, die von einem Privatkonzern mit eigenen bevölkerungsweiten Identitätsdatenregistern mit Personen- und Haushalts-IDs ausgeht, ist enorm, wie auch Christl & Toner (2024b) und Reuter (2024) kritisieren:

LiveRamp’s identity graph systems can be considered private population registers, and their identity databases and proprietary identifiers facilitate the exchange of personal data across databases and companies. Many businesses in the digital marketing industry utilize LiveRamp’s identity surveillance technology to recognize, track, follow, profile and target people across the digital world and trade profile information about them. As of 2023, LiveRamp operates in many countries across the planet including the UK, France, Germany, Belgium, Spain, Italy, Poland and Romania. (Christl & Toner, 2024b, Summary)

Es ist wichtig zu verstehen, dass es sich nicht nur um Informationen über das Online-Verhalten und digital gesammelte Aktivitäten oder Eigenschaften von Personen handelt. Es geht auch um die Verknüpfung von bereits über lange Zeiträume gesammelten weiteren analogen Informationen mit den digitalen Daten, wie die Abbildung 9 zeigt.

Diese Bestände werden zusammengebracht und durch die RampID zu einem Identitätsgraphen verknüpft, der laufend aktualisiert wird, auch über Wechsel von Geräten, Konten oder Wohnorten hinweg:

The AbiliTec identity graph links different ‘offline’ identifiers to each other, including names, postal addresses, email addresses and phone numbers […] The RampID system links digital identifiers to a person’s AbiliTec record, including mobile device IDs, cookie IDs, connected TV IDs and other proprietary IDs […] LiveRamp claims to have data about 14 billion devices globally. (Christl & Toner, 2024b, Summary)

LiveRamp beschreibe seine RampID und das Verfahren der Anonymisierung als “secure, one-way deidentification” zwischen der „Offline“-Identität (AbiliTec ID) und der RampID mit „digital identifiers“, doch eine hinreichende Anonymisierung sei damit keineswegs gegeben¹³², so Christls und Toners Studie:

[T]his still potentially allows thousands of companies to send names, postal addresses or email addresses to LiveRamp, receive the corresponding RampIDs, and then match them with records that are also linked to RampIDs from many other companies. (Ebd.)

Google beschreibt die RampID als „Verbindungsschlüssel“ zwischen den google-eigenen Daten mit den Werbedaten (Reuter, 2024).

Dass solche Informationsbestände über EU-Bürger:innen jedem oben diskutierten Verständnis von digitaler Souveränität widersprechen und ein beträchtliches Missbrauchspotenzial für kommerzielle, politische und kriminelle Ziele bergen, bedarf an dieser Stelle keiner zusätzlichen Argumentation, sondern kann konstatiert werden.

4.1.5 RTB Broadcasting

Der heute dominierende Ansatz, Werbung und Microtargeting zusammenzubringen, erschien 2007 mit dem Programmatic Advertising, das auf der Technologie des ‘Bidstreaming’, bzw. ‘Real-Time Bidding’ basiert. Hier gibt es weitere Zwischenschritte bzw. Intermediäre gegenüber dem früheren Modell. Ruft N eine Website auf (vgl. die Abbildung 10), verschickt eine ‘Supply Side Platform’ (SSP) Ns Profildaten an mindestens eine ‘ad exchange company’ (größter Anbieter dieses Dienstes ist Google). Letztere gibt diese Daten vollautomatisiert an eine unbekannt große Menge an ‘Demand Side Platforms’ (DSP) weiter – bei diesem Vorgang spricht man von ‘broadcasting’ bzw. ‘bidstreaming’ – die gegeneinander auf den freien Werbeplatz bieten. Die DSPs sind Werbetreibende, es können sich aber auch beliebige Akteur:innen mit weiteren Interessen als DSP registrieren und Zugang zu Daten erhalten. All das passiert vollautomatisiert, programmiert auf eine optimale Passung zwischen dem Werbeziel und dem Nutzerinprofil, in der kurzen Zeit, die das Laden der aufgerufenen Seite benötigt. Diese Auktionen passieren in Echtzeit bzw. dauern unter einer Sekunde. So sieht N wahrscheinlich eine andere Anzeige, als ihr Büronachbar M, obwohl beide dieselbe Seite aufrufen – eine personalisierte Werbung bei jedem Seitenaufruf.

Dieser Ansatz ist äußerst einträglich: “RTB ‘Programmatic’ including display and video ads accounted for an estimated $99bn in 2021, more even than search advertising ($78.3bn)”, zitieren Ryan & Christl (n.d., FN1) den PwC IAB Internet Advertising Revenue Bericht (PwC, 2022, 21). Für die digitale Werbeindustrie ist der Ansatz durch eine neue Form der Kundenzentrierung attraktiv, die aber weitreichende und unübersichtliche Konsequenzen für die Sicherheit der Nutzer:innen hat:

This promised advertisers something quite unique; the ability to bid against each other for the opportunity to show a particular advert to a particular user based on a profile of that user. Within this tiny window, a surprisingly large number of actors are involved in a complex, automatically choreographed bidding war, involving the processing of lots of data from multiple sources. (Binns, 2022, 8)¹³³

Klar ist aber, dass RTB zur Verbreitung von sehr umfangreichen Profilen an eine nahezu nicht abschätzbare Menge an nahezu nicht nachverfolgbarer DSPs führt. Ryan und Christl weisen darauf hin, dass dies mindestens eine enorme Sicherheitslücke darstellt: “RTB data about the average person are broadcast to many entities, hundreds of times a day. There is no way to limit or know what happens to RTB data after they are broadcast.” (Ryan & Christl, n.d., 7) Die im letzten Abschnitt erwähnte RampID von LiveRamp dient als ein „universal identifier“ (Christl & Toner, 2024b, Summary) für die AdTech-Industrie und speziell auch das RTB. Die Ramp​ID wird über RTB übertragen und dient im digitalen Werbemarkt der Verknüpfung personenbezogener Daten “across a large number of publishers, advertisers and adtech intermediaries. This occurs 60 billion times a day, according to LiveRamp […]” (Christl & Toner, 2024b, Summary).

Die Gefahren für die EU lassen sich analog auf die Wissenschaft anwenden und beinhalten bereits die Wissenschaft als eine der betroffenen Kategorien (vgl. die Abbildung 17 im Anhang).

4.1.6 Prädiktive Analytik und Risk Solutions

Ein wachsendes Einsatzfeld für Tracking und Datenhandel ist prädiktive Analytik. Dieses Verfahren ist nicht neu und wird in zahlreichen Disziplinen verwendet. Dabei handelt es sich um ein statistisches Verfahren, bei dem aus vorhandenen (personenbezogenen oder nicht-personenbezogenen) Daten umfangreiche Schlüsse auf unbekannte Eigenschaften, künftiges Verhalten von Personen oder generell künftige Ereignisse und Trends gezogen werden. Die genutzte Datenbank enthält historische Daten und wird durch neu hinzukommende und generierte Daten erweitert und modifiziert. Durch Aggregierung von Einzeldaten und zunehmend auch maschinelles Lernen werden Modelle berechnet, die in Anwendung auf Einzelfälle Vorhersagen über künftige Handlungen machen oder Aussagen über noch unbekannte (Gruppen-)Eigenschaften treffen. Dies können auch sensible Informationen wie Gesundheitszustand, Ethnie oder Religionszugehörigkeit sein.¹³⁴ Kritische Stimmen warnen, dass mit prädikitver Analytik „erhebliche Missbrauchspotenziale verbunden sind, welche sich als soziale Ungleichheit, Diskriminierung und Ausgrenzung manifestieren. Diese Missbrauchspotenziale werden vom geltenden Datenschutzrecht (EU DSGVO) nicht reguliert […]“ (Mühlhoff, 2022, 31). Mühlhoff warnt davor, dass riesige Datenmen, wenn auch anonymisiert, „in einem weitestgehend rechtsfreien Raum“ (ebd.) genutzt werden.

Wichtig sind die Veränderungen durch neue Technologien der Verarbeitung großer Datenmengen und Verfahren des maschinellen Lernens. Auch wenn ein statistisches Verfahren mit anonymisierten Daten arbeiten kann und es unterschiedliche Verfahren der Anonymisierung gibt, können sowohl die zugrundegelegten Daten als auch die Einzelfälle auf verschiedenen Ebenen personenbezogene und sensible Daten involvieren. Die Problematik besteht bereits in der Tatsache, dass kommerzielle Player im Besitz dieser Daten sind, nicht erst in den einzelnen Aktivitäten mit den Daten. Eine Geschäftsform prädiktiver Analytik, die ein besonderes Interesse an personenbezogenen und sensiblen Daten hat und eigene Datenbanken auf unterschiedlichen Wegen erweitert, ist – neben AdTech – die Sicherheitsindustrie.

LexisNexis® Risk Solutions

LexisNexis® Risk Solutions, ein Tochterunternehmen von RELX, das als Sicherheitsbereich von Elsevier agiert, wirbt mit einem besonders umfangreichen Datenvorrat, u. a. „[b]ig data platforms“, “[p]redictive modeling” und “[m]achine learning and artificial intelligence” (RELX, 2024, Folie 23, s. Abbildung 19 im Anhang). Die Risk-Sparte von RELX bietet auf Grundlage ihrer Datenanalyse eine Reihe unterschiedlicher Leistungen an, darunter Risikomanagement, Betrugsentdeckung und -prävention und Beratung von Versicherungen (RELX, 2024, 14):

LexisNexis Risk Solutions comprises the following market-facing industry/sector verticals: Business Services¹³⁵, Insurance¹³⁶, Specialised Industry Data Services¹³⁷ and Government Solutions¹³⁸. (Ebd.)

LexisNexis’ Kundschaft ist umfangreich: “We do business with 92% of the Fortune 100; 84% of the Fortune 500; nine of the world’s top ten banks and 21 of the world’s top 25 insurers”. (Ebd.)

Die Datenbasis von LexisNexis erlaubt ein so breites Leistungsportfolio, um neben predictive modelling die Kreditwürdigkeit einzuschätzen oder für diverse Zwecke Identitäten zu prüfen und erschöpfende Profile zu erstellen. Laut eigener Darstellung verfügt LexisNexis über eine umfangreiche “identity database” mit u. a. „9 billion active devices“, „2.5 billion digital identities“ und “[c]overage of nearly 100% of the U.S.” (LexisNexis, 2023, 6), die ihnen ein “[c]lear understanding of identities across systems, agencies, and states […]” (LexisNexis, 2023, 2) ermögliche. In welcher Form die Identität von Personen staatenübergreifend ein “clear understanding” erlauben kann, wird durch weitere Eckdaten der Selbstpräsentation angedeutet: “Tens of billions of public records” (RELX, 2024, Folie 23, s. Abbildung 19 im Anhang), zu denen „Bankruptcies, loans, judgments, court records, DMV records, census data, etc.“ (RELX, 2024, Folie 27, s. Abbildung 21 im Anhang) gehören. Für 2021 wirbt LexisNexis in den Bereichen “Physical Indentity Intelligence” mit u. a. „285m US unique identities“, „12bn unique name / addresses“ und „Digtial Identitiy Intelligence“ u. a. „5bn devices“, „2bn digital identities“, „2bn unique email addresses“, „1.4bn unique IP addresses“, „1.3bn unique cell phones“ (RELX, 2024, Folie 26, s. Abbildung 20 im Anhang). Im Bereich „Insurance solutions“ könne ein “Holistic Assessment of Risk” in den Bereichen „Auto“, “Property”, „Life“ und „Commercial“ erstellt werden, mit “policy and carrier history data”, der Kreditwürdigkeit und Schadenhistorie sowie Fahrzeuginformationen: “telematics”, also Informationen zum Fahrverhalten; der Fahrzeughistorie, Fahrzeugregistrierungen, dem Fehlverhalten im Straßenverkehr und mit Geodaten (RELX, 2024, Folie 27, s. Abbildung 21 im Anhang).

Wie kommt LexisNexis an so umfangreiche Informationsbestände, die selbst im Vergleich zur RampID von LiveRamp beeindruckend sind? Das Unternehmen machte einen wichtigen Entwicklungsschritt, als Reed Elsevier 2004 für 775 Mio. US-Dollar Hank Ashers¹³⁹ Firma Seisint Inc. kaufte. Seisint hat(te) mit Accurint einen direkten Zugang zu öffentlichen Verzeichnissen und US-Behördendaten: “Seisint’s Accurint product provides online access and analysis of public records to help governments and law firms with tasks including due diligence, debt recovery, pre-employment screening and identity checks”¹⁴⁰ heißt es in einer Pressedarstellung der Elsevier-Repräsentantin Susanna Smart bei Spectrum Equity (Herv. YF).

Diese personenbezogenen Informationen standen dann Reed Elsevier zur Verfügung und „aus dem früheren Accurint Data Link wurde die LexID“ (Siems, 2024a, 5). Das Konzept der LexID, einem umfassenden Identifier privatwirtschaftlicher Provenienz und “a kind of shadow Social Security number” (Funk, 2023), ist also maßgeblich Hank Asher zu verdanken. Die LexID ist aber, so McKenzie Funk (ebd.) nicht der einzige “‘persistent [identifier]’, as they are called, that have been issued not by the government but by data companies like Acxiom, Oracle, Thomson Reuters, TransUnion — or, in this case, LexisNexis.”

Auf welchen Ebenen die LexID in das Leben der Menschen in den USA eingreift, wie verbreitet und sie ist und welche Macht mit dieser Klassifizierung ausgeübt werden kann, fasst Siems Rezension von The Hank Show zusammen:

Die LexID macht die Lebensumstände [eines] Menschen sichtbar, seinen Biorhythmus, die Vorlieben, die Hobbies und das Netzwerk an Menschen, die teils ephemer, teils intensiv das soziale Umfeld bilden. Sie beeinflusst damit die ärztliche Versorgung, aber auch, wie teuer die Autoversicherung ist, welche Kreditkarte zur Verfügung gestellt wird und wie lange McKenzie Funk in der Hotline warten muss. Die LexID und ihre konkurrierenden Identifier ermöglichen somit, was Shoshana Zuboff prediction products nennt, nämlich die maschinelle Auswertung und Analyse von menschlichem Verhalten durch Polizei, Banken, Nachrichtendiensten, Versicherungen, politischen Parteien und die Marketingindustrie, um das Verhalten vorhersagen und ausbeuten zu können. Identifier wie die LexID oder eben die Voter_id von Cambridge Analytica stützten in den USA die Last Minute-Kampagnen in den Swing States, die ihrerseits möglicherweise Trump die Präsidentschaft sicherten. In der Pandemie ermöglichten sie das contact tracing, bei den Protesten gegen die Ermordung von George Floyd sollen sie die Gesichtserkennung der Menschen in der Menge unterstützt haben, während die über ihnen kreisenden Überwachungsdrohnen die IMSI-Nummern, also die Mobilnetzkennungen, aus den Handys der Protestierenden saugten. (Siems, 2024a, 1)

Eine weitere Datenquelle und Geschäftssparte (“Government Solutions” oben) für LexisNexis sind Behörden-Kooperationen im Sicherheitsbereich. Das 2003 gegründete LNSSI (LexisNexis Special Sevices Inc.)¹⁴¹ arbeitete an teils als geheim eingestuften Projekten mit den US-Behörden zusammen. Reed Elsevier und die CIA waren die wichtigsten Investoren in Palantir¹⁴² (Siems, 2024a, 5), die umstrittene Überwachungsfirma, die von Peter Thiel¹⁴³ mitbegründet wurde. Aufsehen erregte auch der Vertragsabschluss 2021 mit der ICE (Biddle, 2021; Lamdan, 2019), der amerikanischen Einwanderungsbehörde, der LexisNexis die Datengrundlage für Abschiebungen lieferte.

Ein weiterer bekannt gewordener Fall, bei dem LexisNexis mit Daten handelt, ist Xandr. Der Data Broker veröffentlichte (vermutlich versehentlich) kurzzeitig eine Datei¹⁴⁴ mit Targeting Groups, welche über LexisNexis und LiveRamp (vgl. Abbildung 11) an Xandr gelangten und deren Entdeckung zu einer weiteren Enthüllung führte (Keegan & Eastwood, 2023)¹⁴⁵. Die Profile in den Targeting Groups enthielten u. a. geschützte Berufsgruppen, in Kombination mit

sensibleren Themen wie Religionszugehörigkeit, Gesundheitszustand, LGBTQ, ‘climate change believer’/‘climate change non-believer’, ‘vaccine propensity’, ‘don’t trust vaccine’ und ‘pro life high-income Republican voter’, die es jedem mit genug Geld ermöglichen, eben auch Datensegmente mit entsprechenden Wissenschaftler*innen zu kaufen, oft inklusive Geofencing- bzw. Geolocation-Daten. (Brembs, 2023a)

Data Fusion – die Zusammenführung verschiedener Informationsteile aus verschiedenen Quellen, der Austausch zwischen Datenhändlern, die Vergabe eindeutiger Identifikatoren und die Anwendung von Analyseverfahren – greift nicht nur tief in die Privatsphäre und den Rechtsraum von Millionen von Menschen ein. Unternehmen wie LexisNexis oder das Konkurrenzprodukt CLEAR von Thompson Reuters erhalten durch Data Fusion und Identifikatoren wie LexID auch einen sehr großen Wissensvorsprung: „Jetzt kann man so viel über jemanden wissen, dass man sein typisches Verhalten vorhersagen kann, ohne ihn in irgendeiner Weise zu kennen oder je getroffen zu haben.“ (Siems, 2024a, 2)

Last but not least handelt es sich bei Data Fusion um einen „Multimilliardenmarkt, der nach Marktprognosen mit 15-20 % jährlich wächst […]“ (Siems, 2024a, 7). Gerade hier überschneiden sich die entscheidenen Player aus dem Wissenschaftsbereich mit dem Wirtschaftsbereich, und das zum Nachteil der Wissenschaft, wie Siems warnt:

Marktbestimmend ist eine äußerst überschaubare Anzahl Firmen, und neben Palantir kennt man drei davon im Wissenschaftsbereich schon sehr lange: RELX, Thomson Reuters und Clarivate. Paranoid computing hat sich demnach teils auch aus dem Wissenschafts bereich heraus entwickelt, teils durch die Vielzahl von Aufkäufen, durch Fusionen und die Erschließung neuer Geschäftsfelder sich dort festgesetzt – und mit Scoring kennt man sich im Wissenschaftsbereich ebenso schon lange aus. (Siems, 2024a, 7)

4.3.1 Elseviers Privacy Policy und der DEAL-Vertrag

Ein wichtiger Punkt für die Evaluierung des Datenschutzaspekts des DEAL-Vertrags wird auch von SPARC moniert: Relevante Datenschutzpassagen sind nicht eigens Teil des Vertrags, sondern als „Privacy Policy (PP)“ und „Data Processing Addendum (DPA)“ lediglich zu externen Dokumenten verlinkt und nicht datiert.¹⁵⁵ So sind sie jederzeit einseitig veränderbar. Diese Dokumente enthalten unterschiedliche Richtlinien und nehmen nicht aufeinander Bezug. Unter diesen weiteren Dokumenten¹⁵⁶ sind viel spezifischere Angaben zu datenrelevantem Verhalten, die in der PP selbst nicht bzw. unter “other technologies” genannt werden. Dazu gehören “web beacons” und „unique identifier“, die in der ScienceDirect Cookie Notice nicht erwähnt werden, “even though the tools used to investigate data collection on ScienceDirect indicate the use of web beacons and local storage” (SPARC, 2023, 15).

Es folgen sind einige Auszüge aus der Elsevier PP, da es keine eigene ScienceDirect-Policy gibt. An dieser Policy und damit dem DEAL-Vertrag sind viele Punkte problematisch, ich werde nur einige von ihnen näher betrachten, nämlich Datensammlung, (Un-)Freiwilligkeit, Interessenkonflikt, Datentransfer und Datenweitergabe. Besonders relevante Abschnitte sind kursiviert.

• Device and usage data
  The Service may automatically collect information about how you and your device interact with the Service, such as:
  • Computer, device and connection information, such as IP address, browser type and version, operating system and other software installed on your device, unique device identifier and other technical identifiers, error reports and performance data;
  • Usage data, such as the features you used, the settings you selected, URL click stream data, including date and time stamp and referring and exit pages, and pages you visited on the Service; […]
  • Usage data, such as the features you used, the settings you selected, URL click stream data, including date and time stamp and referring and exit pages, and pages you visited on the Service; […]
  • For location-aware Services, the physical location of your device.
  • We collect this data through our servers and the use of cookies and other technologies. You can control cookies through your browser’s settings and other tools. However, if you choose to block certain cookies, you may not be able to register, login, or access certain parts or make full use of the Service. For more details, visit the cookie notice of the Service. […]
• Grounds for processing
  When we process any personal information within the scope of certain privacy and data protection laws, we do so: […]
  • Where applicable, with your consent; and/or
  • As necessary to operate our business, protect the security of our systems, customers and users, detect or prevent fraud, or fulfill our other legitimate interests as described in the sections above, except where our interests are overridden by your privacy rights.
  • Where we rely on your consent to process personal information, you have the right to withdraw your consent at any time, and where we rely on legitimate interests, you may have the right to object to our processing.“
  • […] We may also share your personal information with our group companies and with sponsors, joint venture partners and other third parties, including entities for which we are acting as an agent, licensee, application host or publisher, such as societies, that wish to send you invitations, surveys, programs or information about their products and services that may be of interest to you as determined by your choices in managing your communications preferences and other settings.
  • […] We also will disclose your personal information if we have a good faith belief that such disclosure is necessary to: […]
  • Detect, investigate and help prevent security, fraud or technical issues; and/or
  • Protect the rights, property or safety of Elsevier, our users, employees or others; and as part of a corporate transaction, such as a transfer of a journal or other assets to or an acquisition by or merger with another company. […]
• Information we collect
  • We also may obtain contact details and other information about you from other entities within RELX and from third parties, including:
  • Social networks that you grant permission to the Service to access your data on one or more networks;
  • Service providers that help us determine a location in order to customize certain products to your location;
  • Partners with which we offer co-branded services or engage in joint marketing activities; and/or
  • Publicly available sources and data suppliers to validate or supplement the information we hold or to support the Service.“ ¹⁵⁷

4.3.2 Involvierung von Risk-Services

4.3.3 Einfluss auf den Wissenschaftsbetrieb

Die Tabelle 9 zeigt den RELX-Informationsbestand für einen einzigen Bereich des STM-Marktsegments. Die drei Spalten personenbezogene Daten, wissenschaftliche Daten und Wissenschaftsmanagement halten fest, auf welche Bereiche bzw. institutionelle Ebenen des Wissenschaftssegments sich Produkte von Elsevier und damit Quellen für die Datensammlung erstrecken. Ganz unten werden mögliche negative Konsequenzen sowohl des Trackings als auch Elseviers Präsenz in den unterschiedlichen institutionellen Ebenen skizziert.

Der Ausschuss der wissenschaftlichen Bibliotheken und Informationsdienste des DFG fasst die Schieflage zusammen:

Die skizzierte Entwicklung hin zu einer privatwirtschaftlichen Wissensindustrie […] steht im Gegensatz zur Wissenschaftsfreiheit, zum gesetzlich vorgegebenen Umgang mit personenbezogenen Daten und zum Wettbewerbsrecht. Im Einzelnen kann unreguliertes bzw. unerkanntes Datentracking ° eine Verletzung der Wissenschaftsfreiheit und der Freiheit von Forschung und Lehre bedeuten; ° eine Verletzung des Rechts auf den Schutz der eigenen Daten darstellen; ° eine potenzielle Gefährdung von Wissenschaftlerinnen und Wissenschaftlern darstellen, da die Daten auch ausländischen Regierungen und autoritären Regimes zugänglich werden können; ° einen Eingriff ins Wettbewerbsrecht darstellen, da neue Teilnehmer kaum eine Chance auf einen Markteintritt haben; ° eine Wertminderung öffentlicher Forschungsinvestitionen begünstigen, da im Rahmen von Wirtschaftsspionage wissenschaftliche Aktivitätsdaten von kommerziellen Forschungskonkurrenten erhoben oder ihnen gegen Bezahlung zugänglich gemacht werden können. (DFG AWBI, 2021)

Lisker (2023) beschreibt das Datensammeln u. a. als unausweichlich, kontinuierlich, unsichtbar und prädiktiv. In Anschluss an Lauer (2022a; 2022b), Brembs, Siems und SPARC füge ich der bisherigen Argumentation hinzu, dass Tracking in der Wissenschaft lukrativ, gefährlich, asymmetrisch und zersetzend für die Institution Wissenschaft sowie für die digitale Souveränität (Deutschlands und der EU) ist.

Trackingpraktiken sind lukrativ, weil „die Beobachtung des Nutzungsverhaltens […] der ökonomisch noch viel lohnendere Teil [ist], der sich in immer weitere Bereiche ausdehnt – Rechtsinformationen, Finanzdaten und Nachrichtengeschäft.“ (Lauer, 2022b) Mittlerweile gibt es einen eigenen Markt für die Verwertung der Wissenschaftsdaten. Die Integrationsmöglichkeiten der Anwendungen und Plattformen erlauben wachsende Möglichkeiten der Monetarisierung¹⁷⁴: “Publishers sit on a goldmine of data. Most of it goes to waste – but it doesn’t have to!” (hum.works, n.d.)

Trackingpraktiken sind gefährlich, weil die gesammelten Informationen und Profile an eine unbekannte und unkontrollierbare Menge an Drittparteien mit finanziellen, politischen und kriminellen Interessen weitergegeben werden. Zudem involvieren sie speziell bei RELX

die immer weitergehende Verflechtung mit der Sicherheitsindustrie. Mögen Firmen wie Palantir allgemein nach Schwefel riechen, es sind die LexisNexis Risk Solutions von RELX und die Thomson Reuters Special Services, die in Tausenden von Einrichtungen laufen, Millionen Menschen durchleuchten und so das ‘American Dragnet’ schaffen […]. (Lauer, 2022b)

Neben der Gefahr von Wissenschaftsspionage und geopolitischen Nachteilen sind die Verwicklungen von RELX mit ICE problematisch (Siems, 2024c) und nutzen aus, dass die Gesetzgebung staatliche Eingriffe besser reguliert als Konzerne: „Diverse Behörden und Strafverfolgungsorgane zum Beispiel dürfen derartige Daten nur mit einem Durchsuchungsbeschluss selbst erheben; beim Erwerb von Daten sind solche Beschränkungen gewöhnlich nicht vorgesehen.“ (Brembs, 2023a) Siems warnt mit Tim Hwang vor der anstehenden „Subprime Attention Crisis“, der nächsten großen Krise, nur dieses Mal im Bereich der (digitalen) Aufmerksamkeitsökonomie und nicht der Immobilienkredite. Diese Krise sei „ein Vehikel für vielerlei: politische und geopolitische Interessen, Terrorfinanzierung, militärische Aktivitäten, die blühende Sicherheitsindustrie, Radikalisierung, Ausbeutung und Völkermord – ein Instrument für all das schwillt in dunkler Opazität […] zu immer bedrohlicherer Größe heran.“ (Siems, 2024b, 2)

Die Asymmetrien sind epistemisch, weil der Wissensvorsprung RELX’ umfassend, kontinuierlich und intransparent ist. Der Vorsprung würde dem Konzern im Falle der Implementierung auf Institutionsebene ermöglichen, auf wissenschaftlicher, administrativer und wirtschaftlicher Ebene Fakten zu schaffen, zu deren Überprüfung es nur Konzern-Instrumente geben würde. Bereits länger in der Diskussion sind Asymmetrien auf der Machtebene, die Elsevier und den anderen Konzernen durch Marktdominanz und die Kontrolle des Publikationssektors einen ungleichen Vorteil gegenüber Einzelpersonen, Einzelinstitutionen oder sogar einzelnen Ländern geben: “If you control access to the scientific literature, it is, to all intents and purposes, like controlling science.” (Buranyi, 2017) Es gibt zudem eine funktionale Asymmetrie, weil – wie oben argumentiert – Elsevier, Clarivate, Wiley und andere Konzerne mit ihren von den Wissenschaftseinrichtungen finanzierten Gewinnen jahrelang massiv in Anwendungen für den Forschungsbereich investieren konnten, die heute für die Forschungspraxis unentbehrlich sind.

Tracking und die hier beschriebenen institutionsebenenübergreifenden Anwendungen sind zersetzend für die Wissenschaft und digitale Souveränität, weil sie in die Struktur und Inhalte¹⁷⁵ der Wissenschaftskommunikation eingreifen¹⁷⁶ und durch die Plattformisierung und Kommodifizierung zum Verlust von Qualität¹⁷⁷ führen. Die Ziele¹⁷⁸ der Konzerne und der Wissenschaft sich grundsätzlich verschieden und geraten notwendig in Konflikt, wenn Macht- und Wissensasymmetrien vorliegen. Sie führen durch ihre Geschäftsmodelle dazu, dass Brokering zum Teil des Wissenschaftsprozesses wird (Lamdan, 2022) und Wissenschaftseinrichtungen in einem Gefälle aus Abhängigkeiten gegenüber dem Konzern bleiben: Rankings, Ressearch Assessment, Förderung, Forschung, Profile (Erpressbarkeit von Personen und Institutionen).

(Weitere) „Transparenzkrisen“ (Holzer, 2022) drohen in einer ganzen Reihe von Bereichen, in denen die Leitlinien wissenschaftlicher Praxis (DFG Deutsche Forschungsgemeinschaft, 2022) Transparenz verlangen. Darunter fallen die Nachvollziehbarkeit von Methoden (Holzer, 2022, 171) über die Gewinnung und Nutzung von Daten über den Forschungsprozess und Forscherinnen (Holzer, 2022, 171) und Punkte, „wo die digitale Forschungspraxis und die auf digitale Informationen gestützte Bewertungspraxis zusammentreffen.“ (Holzer, 2022, 170) Im weiteren Sinne betrifft das auch die Intransparenz der gesamten trackingbasierten Internetökonomie (Siems, 2024b). Ferner ist ein Vertrauensverlust in Bibliotheken zu erwarten, wenn diese trotz breit angelegter Trackingmaßnahmen mit den spezifischen Verlagen und Konzernen zusammenarbeiten. Siems fragt zurecht, weshalb diese zentralen Punkte unter dem Radar bibliothekarischer Aufmerksamkeit bleiben: „[I]st es dann das in den Grundsätzen niedergelegte Verständnis von Integrität und Fachkompetenz, dass die Bibliotheksverbände sich hierzu nicht äußern und Verhandlungsführer sich mit teils eher halbgaren Datenschutzklauseln zufrieden geben?“ (Siems, 2024b, 8)

Es droht der Verlust von Steuerungswissen (Holzer, 2022, 174), der Wissenschaftsfreiheit¹⁷⁹ und der Hoheit über eigene Daten (Brembs & Siems, 2020) sowie ein Zustand dauerhafter epistemischer Asymmetrie¹⁸⁰. Siems hält fest, dass Informationsverhalten von Hochschulangehörigen personalisiert beobachtet wird und diese Daten nicht bei den Verlagen bleiben, sondern von Data Brokern aggregiert und verwertet werden. Das Verhalten von Wissenschaftler:innen werde Teil einer durchgehenden Online­beobachtung und Auswertung, in deren Zuge ganzheitliche Onlinebiografien erstellt werden, die demographische Angaben, Social-Media-Verhalten, Einkaufsverhalten etc. beinhalten (Siems, 2024c, 2022).