Abschnitt: Technologie & KI Autor: V Leselänge: ~27 Min Quellen und weiterführende Literatur: 22 Einträge Themen: digitaler Fußabdruck, DSGVO, OSINT, Cookies, Data Broker, öffentliche Register, Deindexierung SEO / Arbeitstitel: Was ist ein digitaler Fußabdruck und was verrät er über einen Menschen?
Was ist ein digitaler Fußabdruck, und was verrät er über einen Menschen? Die Frage klingt einfach, bis wir merken, dass wir nicht eine Biografie zusammensetzen. Ein Cookie ist keine Einwilligung in alles. Deindexierung ist keine Löschung einer Seite. Eine IMEI ist kein Konto, und ein Konto ist nicht der Inhalt von Nachrichten. Und eine amerikanische Liste von Data Brokern ist keine tschechische Akte. Der folgende Text kartiert den alltäglichen Fußabdruck unter der DSGVO. Er ist kein gerichtlicher Beweis, keine forensische Kette und keine Anleitung, einen fremden Menschen zusammenzusetzen.
1. Zwei Namensvettern, eine Leiste, vier verschiedene Spuren
Stellen wir uns ein gewöhnliches Mittagessen im Büro vor. Jemand gibt seinen Namen in eine Suchmaschine ein und findet ein altes Rennergebnis, ein Profil im Netz, einen Firmeneintrag im Register und einen Artikel über einen Menschen mit demselben Namen. Ein Kollege sagt, das Internet wisse alles. Eine Buchhalterin wendet ein, es genüge, einen DSGVO-Antrag zu schreiben, und es sei weg. Ein Jurist erinnert an Kataster und ARES. Ein Marketer fügt amerikanische Data-Broker-Kataloge und eine Zahl hinzu, die wie eine endgültige Karte des Marktes wirkt.
Auf den ersten Blick ist das ein Streit um Privatsphäre. In Wirklichkeit beschreibt jede Person eine andere Schicht. Der Kollege vermengt eine sichtbare Auswahl von Links mit einer Biografie. Die Buchhalterin verwechselt das Recht gegenüber einem Verantwortlichen mit der Löschung des ganzen Webs. Der Jurist spricht von der gesetzlichen Publizität eingetragener Tatsachen. Der Marketer überträgt ein amerikanisches Registrierungsregime nach Europa, wo es einen solchen einheitlichen öffentlichen Katalog nicht gibt. Deshalb können alle teilweise recht haben und der Satz „das Internet weiß alles“ trotzdem falsch sein.
Die erste Unterscheidung lautet also nicht, ob eine Spur existiert. Sie existiert. Sie lautet, welche Spur, bei wem, in welcher Zeit und zu welchem Schluss sie dienen darf. Eine Spur nach dem eigenen Kommentar ist nicht dasselbe wie ein Cookie im Browser. Ein Eintrag im Handelsregister ist nicht dasselbe wie der Inhalt eines Postfachs. Und ein Suchergebnis nach Namen ist kein Beweis, dass alle angezeigten Aufzeichnungen derselben Person gehören.
2. Der alltägliche Fußabdruck hat mindestens sechs Schichten
Das eine Wort „Fußabdruck“ verdeckt mehrere Dinge. Manche sind öffentlich, andere liegen bei einem bestimmten Verantwortlichen. Manche erzeugen wir absichtlich, andere entstehen als Nebenaufzeichnung des Betriebs. Manche haben rechtliches Gewicht, andere sind nur ein technischer Verbindungspunkt. Wenn wir sie nicht unterscheiden, beginnen wir, aus Cookies den Charakter und aus dem Kataster das Privatleben zu lesen.
Sechs Schichten des alltäglichen Fußabdrucks:
- Bewusste Veröffentlichung: Profile, Kommentare, Fotos, öffentliche Lebensläufe, Rezensionen und Beiträge. Das ČSÚ nennt in VŠIT 2025, dass 15,7 % der Nutzer sozialer Netze im Alter 16+ in privaten Haushalten ein vollständig öffentliches Profil und Beiträge hatten; das ist eine Selbstauskunft der Netznutzer, kein Audit aller ihrer Konten [1].
- Konto und Telemetrie: Verlauf bei Google, Apple, Microsoft, sozialen Netzen oder Apps. Es ist ein reiches Bild des Verhaltens bei einem Verantwortlichen. Es ist nicht öffentlich, nur weil es existiert.
- Geräte- und Netzidentifikatoren: IMEI, IMSI, Werbe-ID, IP-Adresse, Cookies oder Fingerprint. Die DSGVO erinnert daran, dass Online-Identifikatoren in Verbindung mit weiteren Daten eine Person identifizieren können [3]. Für sich sind sie keine Biografie.
- Kommerzielle Aggregation: Data Broker, Werbeprofile, People-Search-Dienste und Marketingsegmente. Ihre Aufzeichnung kann für Targeting nützlich und für Betrug gefährlich sein. Sie ist kein Personenstandsregister.
- Gesetzliche Publizität: öffentliche Register, Urkundensammlungen, Kataster zu einer Immobilie, Amtstafeln. Sie haben Gewicht zur eingetragenen Tatsache. Sie haben kein Gewicht zu allem, was ein Mensch außerhalb des Eintrags tut.
- Kopien, Caches und Sicherungen: Ausschnitte von Suchmaschinen, weitergeleitete E-Mails, heruntergeladene Dokumente, Webarchive oder gespeicherte Bildschirmaufnahmen. Der Autor muss sie nicht unter Kontrolle haben.
Eine forensische Kette tritt hier nicht ein. Die Sicherstellung eines Geräts, eine bitweise Kopie, die prozessuale Verwendbarkeit und der Beweis im Verfahren gehören in eine andere Reihe. Hier geht es um die gewöhnliche Spur, der ein Mensch bei der Nutzung von Konten, Websites und öffentlichen Evidenzen begegnet. Das ist kein kleineres Thema. Es ist ein anderes Thema.
Genau deshalb ist die Frage „wo überall bin ich“ irreführend. Ein Mensch ist nicht so über das Internet verteilt wie Text über eine Seite. Bei einem Dienst ist ein Konto, bei einem zweiten ein Werbesegment, bei einem dritten ein Rechnungskontakt, bei einem vierten ein öffentlicher Eintrag und bei einem fünften nur ein technischer Identifikator. Eine Karte des eigenen Fußabdrucks lässt sich nicht damit beginnen, dass alles in eine Liste geworfen wird. Sie beginnt mit einer Tabelle der Schichten: was ich veröffentlicht habe, was der Verantwortliche des Kontos hat, was der Browser hält, was im Register steht, was bei einem Broker liegen kann und was schon eine Kopie außerhalb des ursprünglichen Kontexts ist.
Ein digitaler Fußabdruck ist keine Biografie. Er ist ein Satz von Spuren mit unterschiedlichem Gewicht.
— Jiný Kontext
3. Die beste Karte ist die, deren Lücke Sie tragen können
Beim Fußabdruck suchen wir kein allwissendes Bild eines Menschen. Wir suchen eine Karte, die ihre Lücken zugibt. Eine gute Karte sagt, was sie sieht, was sie nicht sieht, wem die Aufzeichnung gehört, wer sie verwaltet und warum sich daraus kein stärkerer Schluss machen lässt. Eine schlechte Karte legt alles in eine Person und fügt Sicherheit hinzu, wo nur Ähnlichkeit ist.
| Art des Scheiterns | Wie es aussieht | Wie testen | Was den Schaden begrenzt |
|---|---|---|---|
| Verwechslung der Schichten | Ein Cookie oder eine IMEI wird als Biografie gelesen | Identifikator, Konto, Inhalt und Register trennen | Eine Karte der Verantwortlichen und Datentypen |
| Verwechslung der Rechte | Deindexierung wird als Löschung einer Website ausgegeben | Quellseite und Suchmaschine unterscheiden | Zuerst der Verantwortliche der Quelle, dann die Suchmaschine |
| Verwechslung der Geografie | 750 Broker aus den USA werden auf Tschechien übertragen | Staat, Register und Zeitraum benennen | Eine amerikanische Zahl nicht auf die EU übertragen |
| Verwechslung der Publizität | Kataster oder ARES gilt als „alles über einen Menschen“ | Fragen, welche Tatsache die Evidenz einträgt | Bei der eingetragenen Rolle oder Immobilie bleiben |
| Verwechslung der Population | Ein sichtbares Profil wird als universeller Zustand ausgegeben | Population und Einheit der Statistik angeben | ČSÚ als Selbstauskunft lesen, nicht als forensische Akte |
Das ist vernünftig, aber unvollständig, wenn die Karte mit einer Liste von Funden endet. Jeder Fund braucht ein Gewicht. Ein öffentliches Profil kann echt und trotzdem alt sein. Ein Registereintrag kann genau sein und trotzdem nur von einer Funktion in einer Firma sprechen. Ein Cookie kann Besuche verbinden, sagt aber nicht, wer am geteilten Rechner saß. Ein Fußabdruck wird deshalb nicht nach der Menge der Einträge bewertet. Er wird danach bewertet, welche Frage er trägt, ohne ins Vermuten zu kippen.
Eine gute Karte hat auch ein Datum. Nicht weil alles schnell verschwände, sondern weil verschiedene Schichten anders altern. Cookie-Einstellungen können sich nach einem Klick ändern. Ein Profil im Netz kann Jahre sichtbar bleiben, auch wenn der Autor es längst nicht mehr nutzt. Ein Registereintrag kann eine Rechtsgeschichte haben. Ein Broker-Segment kann aus einem alten Kauf abgeleitet sein. Ohne Datum wird aus der Karte eine Mischung aus Gegenwart und Vergangenheit, die wie ein heutiges Porträt wirkt.
4. Ein Fußabdruck ist keine Biografie. Und er ist kein Urteil
Eine Biografie hat Handlung, Autor, Zeitachse und Verantwortung für die Auswahl. Ein digitaler Fußabdruck hat Aufzeichnungen. Manche sind genau, andere veraltet. Manche entstanden aus Ihrem Willen, andere aus dem Betrieb eines Dienstes. Manche betreffen Sie, andere einen Namensvetter, ein Firmenkonto, ein Familiengerät oder eine geteilte Adresse. Das ist kein Detail. Es ist die Grenze zwischen Orientierung und einem falschen Schluss.
Ein Fußabdruck ist auch kein Urteil. Ein gerichtlicher Beweis muss andere Fragen bestehen: wer ihn gewonnen hat, wie er gesichert wurde, ob er sich verändert hat, wie er mit dem behaupteten Ereignis zusammenhängt und ob er prozessual verwendbar ist. Der alltägliche Fußabdruck hat eine solche Kette nicht. Er kann ein Leitfaden für die eigene Kontenbereinigung, für einen Antrag an den Verantwortlichen oder für bessere Privatsphäre-Einstellungen sein. Er soll sich nicht als endgültige Wahrheit über einen Menschen gerieren.
Daraus folgt nicht, dass ein Fußabdruck wertlos ist. Daraus folgt, dass er in seinem Gewicht bleiben muss. Wenn wir ein altes Foto finden, wissen wir, dass irgendwo eine Kopie eines Bildes existiert. Wir wissen nicht, ob sie die heutige Einwilligung ausdrückt. Wenn wir einen Firmeneintrag finden, wissen wir etwas über eine rechtliche Rolle zu einer bestimmten Zeit. Wir wissen damit nichts über den Gesundheitszustand, den Haushalt oder die alltägliche Bewegung.
Der größte Fehler entsteht nicht aus einem schlechten Eintrag. Er entsteht aus richtigen Einträgen, die ein schlechter Satz verbindet. Der Name passt, das Fach passt, die Stadt passt, das Foto sieht ähnlich aus. Daraus folgt aber nicht, dass es dieselbe Person ist. Geteiltes WLAN, ein Familientablet oder ein Firmentelefon können eine technische Aufzeichnung erzeugen, die bei unachtsamer Lektüre persönlicher wirkte, als sie darf. Ein digitaler Fußabdruck braucht deshalb einen Nenner: wer ist die betroffene Person, wer ist der Verantwortliche, und woher wissen wir, dass die Aufzeichnung gerade zu ihr gehört.
5. Eine IMEI ist kein Konto. Ein Konto ist kein Inhalt
Eine IMEI identifiziert ein Gerät, genauer die mobile Ausrüstung im Netz nach den Regeln der GSMA [14]. Sie ist kein Konto bei Google, Apple oder einem sozialen Netz. Und ein Konto ist nicht automatisch der Inhalt von Nachrichten, Fotos und Dokumenten. In der Alltagssprache fließen die drei Wörter in den Satz „das Handy weiß alles über Sie“. Technisch und rechtlich sind es drei andere Spuren.
Ein Gerät kann betrieblich, geteilt oder verkauft sein. Ein Konto kann auf mehreren Geräten angemeldet sein. Inhalt kann bei einem anderen Verantwortlichen liegen, in einer Sicherung, in einer App mit Ende-zu-Ende-Verschlüsselung oder nur lokal. Wenn ein Mensch also den eigenen Fußabdruck prüft, soll er nicht fragen, was „das Telefon weiß“. Er soll fragen, welche Identifikatoren das Gerät hat, welche Konten angemeldet sind und wo der Inhalt liegt.
Diese Unterscheidung ist praktisch. Das Zurücksetzen einer Werbe-ID ändert nicht die Kontenhistorie. Die Abmeldung eines Kontos löscht keinen öffentlichen Kommentar. Der Tausch eines Telefons hebt kein Profil bei einem Dienst auf. Eine Änderung kann richtig sein, aber nur für ihre Schicht. Wer sie als Reinigung des ganzen Fußabdrucks ausgibt, verkauft Ruhe ohne Stütze.
Ebenso gilt der umgekehrte Irrtum. Wenn ein Mensch im Telefon eine lange Liste von App-Berechtigungen findet, heißt das nicht, dass jede App jedes Stück Inhalt gelesen hat. Eine Berechtigung ist eine Möglichkeit in einem bestimmten Regime, kein automatisches Protokoll von allem, was geschehen ist. Trotzdem ist das ein guter Ort für Aufräumen. Beim eigenen Fußabdruck fragen wir: Welche App hat Zugang zu Lage, Fotos, Kontakten oder Mikrofon, und entspricht das der Funktion, derentwegen ich sie nutze. Die Antwort muss nicht groß sein, um nützlich zu sein.
6. Ein Cookie ist keine Einwilligung in alles
Ein Cookie ist eine kleine technische Aufzeichnung. Er kann Anmeldung, Warenkorb, Sprache, Analytik oder Werbung halten. Die DSGVO nennt in Erwägungsgrund 30, dass Online-Identifikatoren wie IP-Adresse, Cookies oder RFID in Verbindung mit weiteren Daten eine natürliche Person identifizieren können [3]. Die Richtlinie 2002/58/EG knüpft in Artikel 5 Absatz 3 das Speichern von oder den Zugang zu Informationen im Endgerät an eine Einwilligung, mit Ausnahme dessen, was für einen Dienst notwendig ist, den der Nutzer angefordert hat [4].
Der EDSA legt in den Leitlinien 2/2023 den technischen Umfang dieser Regel weiter aus als nur traditionelle Cookies; er zielt auch auf ähnliche Technologien des Zugangs zu Informationen im Gerät [5]. Das bedeutet nicht, dass jeder Cookie derselbe ist. Es bedeutet, dass ein technisches Detail im Browser personenbezogene Daten sein kann, wenn es sich mit weiteren Daten verbindet und der Unterscheidung eines Menschen dient.
Das ČSÚ nennt in VŠIT 2025, dass eine Änderung der Cookie-Einstellungen 43 % der Personen im Alter 16+ in Tschechien angaben; in der Altersgruppe 16 bis 34 waren es 62 %, bei Personen 75+ 7 % [1]. Die Zahl misst eine Selbstauskunft über die Änderung der Einstellungen, nicht die rechtliche Qualität der Einwilligung und nicht die tatsächliche Zahl der Tracker. Sie zeigt jedoch, dass ein Teil der Bevölkerung die Cookie-Leiste nicht mehr als bloßes Hintergrundrauschen einer Website nimmt.
Was zu prüfen ist
Beim eigenen Browser genügt ein einfacher Anfang. Welche Websites haben eine Ausnahme? Welche Erweiterung blockiert oder erlaubt Tracking? Welche Dienste halten eine Anmeldung? Das ist kein Audit eines fremden Rechners. Es ist die Kontrolle der eigenen Schicht, die andere Regeln hat als Konto, Telefon oder öffentliches Register.
7. Deindexierung ist keine Löschung
Das Recht, vergessen zu werden, wird in der Alltagssprache oft auf „sie haben mich bei Google gelöscht“ verkürzt. Aber die Entscheidung des Gerichtshofs der EU in der Sache Google Spain und die anschließende Praxis zielen auf Suchergebnisse nach Namen, nicht auf das automatische Verschwinden der Quellseite [8]. Die spätere Sache Google gegen CNIL lehnte eine Pflicht zur globalen Deindexierung als allgemeine Regel des Unionsrechts ab [9].
Der EDSA unterscheidet in den Leitlinien zum Recht, bei Suchmaschinen vergessen zu werden, die Rolle der Suchmaschine und die Rolle des Herausgebers des Quellinhalts [7]. Das ist der Kern der Sache. Ein Link kann aus der europäischen Namenssuche verschwinden, während die Seite an der ursprünglichen Adresse bleibt. Wer die URL kennt, kann sie finden. Eine andere Suchmaschine kann sie anders anzeigen. Ein Archiv oder eine Kopie kann weiterleben.
Eine Studie eines Google-Teams für den Zeitraum Mai 2014 bis Mai 2019 nennt, dass Google 44,5 % der beantragten URLs im Rahmen von Anträgen nach dem Recht, vergessen zu werden, deindexierte [10]. Es handelt sich um ein historisches Fenster eines Dienstes und einen Typ von Antrag. Sie misst nicht die Löschung des Internets, sagt nichts über jeden heutigen Antrag und ist erst recht kein Versprechen eines Ergebnisses. Sie zeigt nur den Unterschied zwischen Antrag, Suchergebnis und Quellinhalt.
Deindexierung löscht einen Link unter einem Namen. Sie löscht nicht die Seite. Und Artikel 15 zeigt einen Verantwortlichen, nicht das Internet.
— Jiný Kontext
8. Ein öffentliches Register ist nicht alles über einen Menschen
Ein öffentliches Register ist gerade deshalb stark, weil es eng ist. Das Gesetz Nr. 304/2013 Slg. regelt öffentliche Register juristischer und natürlicher Personen und die Evidenz eingetragener Tatsachen [15]. Justice und ARES helfen, eine Firma, eine Rolle, einen Eintrag oder eine Bindung an ein Unternehmen zu prüfen [17] [18]. Sie sind keine Tagebücher des Privatlebens.
Ähnlich evidiert das Liegenschaftskataster Rechte an Immobilien. Das Katastergesetz regelt in § 52 die Einsicht in das Kataster [16]. Das praktische Gewicht eines Eintrags betrifft ein Grundstück, ein Bauwerk, eine Einheit oder ein Recht. Es ist kein Telefonbuch der Einwohner und soll nicht dazu dienen, ein Verfahren „Name, Adresse, Kontakt“ über einen fremden Menschen zu bauen.
Für den eigenen Fußabdruck hat eine öffentliche Evidenz einen anderen Sinn. Ein Mensch kann nachsehen, ob seine Firma, Rolle oder Immobilie der Wirklichkeit entspricht, ob irgendwo ein altes Dokument liegt und ob die eingetragene Tatsache noch wahr ist. Das ist die Kontrolle des eigenen rechtlichen Bildes. Es ist keine Suche nach fremder Privatsphäre.
9. Ein amerikanischer Broker-Katalog ist kein tschechisches OSINT
Privacy Rights Clearinghouse nennt in einer 2025 veröffentlichten Analyse, dass es Anfang April 2025 insgesamt 750 einzigartige Gruppen von Data Brokern fand, die in mindestens einem von fünf amerikanischen staatlichen Registern eingetragen waren [22]. Diese Zahl ist nützlich, wenn wir wissen, was sie misst. Sie ist eine Untergrenze von Registrierungen in den USA, nicht die Zahl der Data Broker in Tschechien und nicht die Zahl der Profile über tschechische Einwohner.
In der Europäischen Union unterliegt ein Data Broker der DSGVO wie ein anderer Verantwortlicher personenbezogener Daten. Das ist eine starke Regel, aber kein einheitlicher öffentlicher Katalog aller Firmen, die mit Daten handeln. Wer die amerikanische Zahl in den tschechischen Satz „es gibt 750 Broker über Sie“ überträgt, erzeugt eine genaue Zahl für die falsche Population.
Apple nennt in seiner Dokumentation zu App Tracking Transparency die Weitergabe von Daten an Data Broker als einen der Zwecke des Trackings, für den Apps um Erlaubnis bitten [13]. Das ist nützlich, um das eigene Gerät und die Apps zu verstehen. Es ist keine Liste von Firmen, die gerade über Sie eine Aufzeichnung haben. Wieder gilt: Die Spur existiert, aber ihr Gewicht hängt von Schicht, Verantwortlichem und Geografie ab.
10. Ein Antrag nach Artikel 17 löscht keine Kopien
Artikel 17 DSGVO regelt das Recht auf Löschung unter festgelegten Bedingungen [3]. Es ist keine magische Taste. Wenn der Verantwortliche die Daten veröffentlicht hat, spricht Absatz 2 von angemessenen Schritten, um weitere Verantwortliche, die diese Daten verarbeiten, zu unterrichten. Er sagt nicht, dass eine E-Mail physisch alle Caches, Screenshots, heruntergeladenen Dateien und weitergeleiteten Kopien zerstört.
Auch die Frist ist konkret. Artikel 12 Absatz 3 DSGVO sagt, dass der Verantwortliche Informationen über ergriffene Maßnahmen unverzüglich und jedenfalls innerhalb eines Monats nach Eingang des Antrags erteilt; je nach Komplexität und Zahl der Anträge kann die Frist um weitere zwei Monate verlängert werden [3]. Es handelt sich um eine Frist für die Reaktion des Verantwortlichen, nicht um das Versprechen eines vollständigen Verschwindens der Spur.
Das ČSÚ nennt in VŠIT 2025, dass einen Antrag auf Löschung zuvor im Internet bereitgestellter Daten 21,2 % der Personen im Alter 16+ in Tschechien stellten, also 1.838,7 Tausend Personen; die Angabe hat eine weite Definition und umfasst auch Situationen wie die Abmeldung von einem Newsletter [1]. Die Zahl misst das Verhalten der Menschen, nicht den Erfolg der Löschung und nicht den Umfang der Kopien. Die Genauigkeit der Statistik darf die Grenze dessen nicht zudecken, was sie eigentlich zählt.
11. Dreiundsechzig Prozent der Netze sind kein vollständiges Profil
Soziale Netze sind der sichtbarste Teil des digitalen Fußabdrucks, und gerade deshalb verleiten sie zur Übertreibung. Das ČSÚ nennt in VŠIT 2025 die Nutzung sozialer Netze bei 63,2 % der Personen im Alter 16+ in privaten Haushalten in Tschechien, also bei 5.492,6 Tausend Personen [1]. Im Jahr 2020 waren es 54 % und im Jahr 2009 um 5 % [1]. Das misst die Verbreitung der Nutzung, nicht ein vollständiges Profil jedes Menschen.
Dieselbe Quelle nennt, dass ein vollständig öffentliches Profil und Beiträge 15,7 % der Nutzer sozialer Netze hatten, also 863,9 Tausend Personen; 79,6 % stellten die Privatsphäre zumindest manchmal ein und 4,7 % kannten die Einstellung nicht [1]. Es handelt sich um eine Selbstauskunft. Wir wissen daraus nicht, ob ein Dienst den Menschen werblich profiliert, ob jemand eine Kopie heruntergeladen hat oder ob sich ein Namensvetter in die Suchergebnisse mischt.
Noch anders sieht die Altersschicht aus. Bei Personen 75+ nennt das ČSÚ die Nutzung sozialer Netze mit 9,4 % [1]. Ein digitaler Fußabdruck ist also gewöhnlich, aber nicht auf dieselbe Weise universell bei allen. Wer sagt „jeder hat ein öffentliches Profil“, verfehlt die Population. Wer sagt „ältere Menschen haben keinen digitalen Fußabdruck“, verfehlt Konten, behördliche Evidenzen, Betreiber, Familiengeräte und Kopien.
12. Artikel 15 zeigt ein Bild bei einem Verantwortlichen. Nicht den ganzen Fußabdruck
Das Auskunftsrecht nach Artikel 15 DSGVO gibt einem Menschen die Möglichkeit, einen bestimmten Verantwortlichen zu fragen, ob und wie er seine personenbezogenen Daten verarbeitet [3]. Der EDSA erläutert in den Leitlinien 01/2022, wie der Verantwortliche das Auskunftsrecht erfüllen soll [6]. Das ist ein starkes Werkzeug. Es ist aber kein gesetzlicher „Auszug des digitalen Fußabdrucks eines Bürgers der Tschechischen Republik“.
Wenn Sie den Betreiber fragen, erhalten Sie das Bild des Betreibers. Wenn Sie ein soziales Netz fragen, erhalten Sie das Bild des sozialen Netzes. Wenn Sie Daten aus dem eigenen Konto über Google Takeout herunterladen, gewinnen Sie einen Export bei Google [11]. Jeder Auszug hat eigene Struktur, Zeitumfang, Ausnahmen und Verantwortlichen. Erst ihr Vergleich zeigt eine Karte. Auch dann handelt es sich nicht um das Internet.
Das ČSÚ nennt in VŠIT 2025, dass die Ablehnung personenbezogener Daten für Werbezwecke mindestens einmal in drei Monaten 58,2 % der Personen im Alter 16+ in Tschechien angaben, also 5.060,2 Tausend Personen [1]. Die Prüfung der Sicherung einer Seite bei eingegebenen Daten gaben 45,6 % an, während der Text des Kapitels gerundet von 46 % spricht [1]. Eine Änderung des Zugangs zur Gerätelage gaben 52 % an [1]. Alle diese Zahlen sprechen vom Verhalten der Menschen. Sie sagen nicht, was genau einzelne Verantwortliche über sie halten.
13. Sechs Monate beim Betreiber sind eine andere Schicht als ein Cookie
Das Gesetz über elektronische Kommunikation arbeitet in § 97 Absatz 3 mit der Aufbewahrung von Verkehrs- und Standortdaten für 6 Monate [19]. Es handelt sich um Netz-Metadaten, nicht um den Inhalt der Kommunikation. Das ist eine andere Schicht als ein Cookie im Browser, eine Werbe-ID im Telefon oder ein Profil bei einem sozialen Netz.
Der Oberste Gerichtshof nannte in einer Pressemitteilung zur Entscheidung 30 Cdo 2556/2025 vom 8. Januar 2026 einen Schluss über die Rechtswidrigkeit der flächendeckenden Aufbewahrung von Daten über elektronische Kommunikation im Verhältnis zum Recht der EU [20]. Dieser Text macht daraus keinen Artikel über Data Retention und nicht über polizeiliche Ortung. Er verwendet es nur als Grenze: Dieselbe Person kann Cookies, ein öffentliches Profil, ein Konto bei einer Plattform und Netz-Metadaten beim Betreiber nebeneinander haben. Jede Schicht hat einen anderen Zweck und ein anderes Regime.
Ein praktischer Fehler entsteht, wenn Netz-Metadaten in den allgemeinen Satz „das Telefon weiß alles“ gelegt werden. Metadaten sind kein Inhalt. Auch Inhalt liegt nicht immer beim Betreiber. Und eine gesetzliche Aufbewahrungspflicht ist keine Einwilligung des Nutzers in Werbe-Tracking. Aus einer Schicht lassen sich die Regeln der anderen nicht ableiten.
14. Bewusste Veröffentlichung und Broker unterscheiden sich im Gewicht, nicht nur in der Sichtbarkeit
Ein öffentliches Profil ist auffällig. Die Aufzeichnung eines Brokers kann verborgen sein. Das verführt zu dem Schluss, das erste sei weniger schwerwiegend und das zweite immer genauer. Aber Sichtbarkeit und Gewicht sind nicht dasselbe. Ein öffentliches Profil kann echten Namen und Foto enthalten, aber auch Ironie, eine alte Beschäftigung oder einen Namensvetter. Die Aufzeichnung eines Brokers kann umfangreich, aber doppelt, abgeleitet und falsch zugeordnet sein.
Keine der beiden Schichten ist ein Personenstandsregister. Ein Profil ist eine Aussage in der Umgebung eines Dienstes. Ein Broker-Segment ist eine geschäftliche Hypothese über Quellen, die man kennen muss. In beiden Fällen muss nach Herkunft, Aktualisierung, Verantwortlichem und der Möglichkeit der Berichtigung gefragt werden. Daraus folgt nicht, dass sie gleich sind. Daraus folgt, dass sie verschieden täuschen.
Beim eigenen Fußabdruck bedeutet das doppelte Arbeit. Die öffentliche Schicht lässt sich oft direkt aufräumen: alte Profile, Sichtbarkeit von Beiträgen, Fotos, Beschriftungen, Verknüpfung von Konten. Die verborgene kommerzielle Schicht lässt sich nur gegenüber einem bestimmten Verantwortlichen lösen, wenn Sie ihn kennen, oder über Einstellungen der Plattformen, Einwilligungen, Werbepräferenzen und Rechte nach der DSGVO. Das Gefühl, irgendwo existiere ein Katalog, reicht nicht.
15. Eine Kopie überlebt den Autor. Erwägungsgrund 27 ist eine andere Akte
Ein digitaler Fußabdruck stirbt nicht in dem Moment, in dem der Autor einen Beitrag löscht. Jemand kann ihn zitiert, heruntergeladen, weitergeleitet oder in einer Sicherung gespeichert haben. Eine Suchmaschine kann einen Ausschnitt gehabt haben. Eine App kann eine Vorschau erzeugt haben. Ein Verantwortlicher kann ein Log gehalten haben. Diese Haltbarkeit ist nicht immer böser Wille. Sie ist eine Eigenschaft einer verteilten Umgebung, in der Daten wegen Geschwindigkeit, Sicherungen, Integrationen und menschlicher Bequemlichkeit kopiert werden.
Die DSGVO nennt in Erwägungsgrund 27, dass sie sich nicht auf personenbezogene Daten verstorbener Personen bezieht, wobei die Mitgliedstaaten Regeln für die Verarbeitung dieser Daten festlegen können [3]. Das ist eine Grenze, keine Einladung zu einem Abstecher. Digitale Erbschaft von Konten nach dem Tod ist ein anderer Text. Hier genügt zu sagen, dass eine Kopie die ursprüngliche Absicht des Autors und seine Kontrolle über das Konto überleben kann.
Deshalb ist es vorsichtiger, von der Senkung der Sichtbarkeit zu sprechen als von einer absoluten Löschung. Eine Änderung der Einstellungen, ein Antrag an den Verantwortlichen, Deindexierung und die Löschung eines Kontos können richtige Schritte sein. Sie sind nicht derselbe Schritt und haben nicht dasselbe Ergebnis. Das Aufräumen eines Fußabdrucks ist schrittweise Arbeit mit Schichten, keine einmalige Reinigung des Internets.
Eine Kopie ändert auch den Adressaten des Antrags. Beim ursprünglichen Dienst können Sie den Verantwortlichen fragen. Bei der Suchmaschine können Sie das Suchergebnis behandeln. Bei einem Beitrag, den jemand anderer übernommen hat, geht es schon um einen weiteren Verantwortlichen oder um einen neuen Kontext. Das ist unbequem, aber genau. Ein Antrag an die falsche Stelle kann rechtmäßig ohne Ergebnis erledigt werden, weil der Adressat die Schicht nicht steuert, die dem Menschen stört. Deshalb wird vor jedem Schritt in die Karte die Spalte „wer das ändern kann“ geschrieben.
16. Eine Karte des eigenen Fußabdrucks sagt mehr als der Satz, das Internet wisse alles
Ein praktischer Test soll die Verteidigung der Leserin und des Lesers sein. Keine Suche nach einem fremden Menschen. Das Ziel ist festzustellen, welche Schichten des eigenen Fußabdrucks existieren, wo sie verwaltet werden und was aus ihnen folgt. Sobald der Test zum Zusammensetzen einer fremden Adresse, eines Telefons oder einer Privatsphäre wird, hat er aufgehört, Hygiene zu sein, und ist ein Risiko geworden.
Drei Tests des eigenen Fußabdrucks
Der erste Test ist die bewusste Schicht. Suchen Sie in einem privaten Fenster Ihren Namen und Ihre E-Mail, also Daten, die Sie selbst eingeben. Sortieren Sie die Ergebnisse in „ich“, „Namensvetter“, „Register“, „Berichterstattung“ und „fremder Inhalt“. Das ist keine Akte. Es ist eine Liste sichtbarer Funde und Verwechslungen.
Der zweite Test ist Konto und Browser. Laden Sie Daten aus dem eigenen Konto mit Google Takeout oder einem vergleichbaren Export bei einem Dienst herunter, den Sie nutzen [11]. Daneben sehen Sie sich Cookies, Website-Berechtigungen und Werbeeinstellungen im eigenen Browser an. Vergleichen Sie, was öffentlich ist und was nur der Verantwortliche des Kontos sieht.
Der dritte Test ist Gerät und Inhalt. Finden Sie im Telefon die Werbe-ID, App-Berechtigungen und angemeldete Konten. Trennen Sie den Identifikator des Geräts, das Konto und den Inhalt der Kommunikation. Das Zurücksetzen eines Identifikators ist keine Löschung von Nachrichten. Die Abmeldung eines Kontos ist keine Löschung einer öffentlichen Seite. Jeder Schritt gehört in seine Schicht.
Das Ergebnis des Tests soll kein Schuldgefühl sein. Es soll eine Arbeitsliste sein. Bei jedem Eintrag genügen vier Spalten: Schicht, Verantwortlicher, Sichtbarkeit und möglicher Schritt. Ein öffentliches Profil hat einen anderen Schritt als ein altes Registerdokument. Ein Cookie im Browser hat einen anderen Schritt als die Kontenhistorie. Eine Kopie bei jemand anderem hat einen anderen Schritt als ein Beitrag, den Sie noch im eigenen Konto halten. Eine solche Tabelle ist weniger wirkungsvoll als der Satz „das Internet weiß alles“. Sie ist jedoch verwendbar.
Was bei Artikel 15 zu prüfen ist
Wählen Sie zwei Verantwortliche, die Sie kennen: etwa den eigenen Betreiber und eine Plattform. Beantragen Sie Auskunft nach Artikel 15 DSGVO und verfolgen Sie die Frist eines Monats mit möglicher Verlängerung nach Artikel 12 Absatz 3 [3]. Lesen Sie die Antwort als Bild eines Verantwortlichen, nicht als vollständigen Fußabdruck.
Vor einem Antrag auf Löschung und Deindexierung
Finden Sie zuerst die Quelle. Wenn das Problem in einer Seite liegt, schreiben Sie dem Verantwortlichen der Seite. Wenn es um ein Suchergebnis nach Namen geht, behandeln Sie die Suchmaschine; Google bietet dazu Werkzeuge einschließlich des Dienstes Results about you [12]. Die historischen 44,5 % deindexierter URLs bei Google im Zeitraum 2014 bis 2019 sind kein Versprechen. Sie sind die Erinnerung, dass das Ergebnis eines Antrags von Recht, Inhalt und Verantwortlichem abhängt [10].
Dieselbe Regel gilt für öffentliche Evidenzen. Bei der eigenen Firma oder der eigenen Immobilie wird zuerst geprüft, ob die eingetragene Tatsache richtig und aktuell ist. Wenn ja, handelt es sich nicht um einen Fehler nur deshalb, weil sie öffentlich ist. Wenn nein, wird die Berichtigung nach den Regeln der Evidenz behandelt. Bei einer fremden Person wird dieser Test nicht gemacht. Dieser Artikel ist kein Handbuch zum Zusammensetzen einer Adresse aus amtlichen Spuren.
17. Die Frage lautet nicht, was das Internet über Sie weiß. Sie lautet, welche Schicht welchen Schluss trägt
Ein digitaler Fußabdruck ist kein Tresor, kein Profil und kein Urteil. Er ist ein Satz von Aufzeichnungen, die bei verschiedenen Verantwortlichen entstehen und verschiedenen Zwecken dienen. Manche sind öffentlich. Manche sind nur nach der Anmeldung sichtbar. Manche sind technisch. Manche haben rechtliche Wirkung. Manche sind Kopien, die der Autor nicht mehr steuert.
Die verdeckten Kosten sind nicht nur der Verlust von Privatsphäre. Es ist eine Biografie, die aus ungleichartigen Spuren zusammengesetzt wird. Wenn ein Cookie als Charakter, ein Register als Privatsphäre und eine amerikanische Brokerliste als tschechische Wirklichkeit gelesen wird, entsteht ein Bild, das genau wirkt, weil es viele Einträge hat. Die Genauigkeit eines Eintrags ist nicht die Genauigkeit eines Schlusses.
Dieselbe Vorsicht gilt auch in Familie oder Firma. Ein Notebook nutzen mehrere Menschen. Ein Telefon kann dienstlich sein. Eine Adresse kann einem ganzen Haushalt dienen. Eine Rolle im Register kann die tatsächliche Arbeit an einem Projekt überleben. Ein digitaler Fußabdruck ist deshalb nicht nur eine Frage der Privatsphäre. Er ist eine Frage der Zuschreibung. Wer nicht weiß, wem eine Aufzeichnung gehört und warum sie entstand, soll daraus keinen starken Satz machen.
Die richtige Frage lautet deshalb nicht: „Was weiß das Internet alles über mich?“ Die richtige Frage lautet: „Welche Schicht des Fußabdrucks trägt welchen Schluss, wer verwaltet sie, und wie kann ich sie bei mir prüfen oder berichtigen?“ In diesem Moment wird aus unbestimmter Panik eine Karte. Sie ist nicht vollkommen. Aber sie ist genau genug, dass ein Mensch nicht das ganze Internet jagt und nicht beginnt, aus fremden Spuren ein fremdes Leben zusammenzusetzen.
Eine solche Karte hat auch einen zweiten Wert. Sie lehrt, die eigene Deutung zu bremsen. Wenn ein Mensch einmal bei sich Konto, Cookie, Register und Kopie unterscheidet, verwendet er dieselbe Unterscheidung leichter in einer öffentlichen Debatte, einem Zeitungstext oder einer Unternehmensentscheidung. Der digitale Fußabdruck wirkt dann nicht als Nebel, in dem sich alles behaupten lässt. Er wird ein Satz begrenzter Aufzeichnungen. Manche verlangen Berichtigung. Manche verlangen nur geringere Sichtbarkeit. Und manche verlangen vor allem den Satz: Daraus folgt noch nicht, was wir sagen möchten.
Verwandte Texte dieser Reihe
- Auf der Website, die Reihe Ein digitaler Fußabdruck ist kein Urteil — gerichtlicher Beweis. Dieser Text ist eine alltägliche DSGVO/OSINT-Karte.
- Was kann Google anhand eines einzigen Namens über Sie herausfinden?
- Was weiß Ihr Mobiltelefon über Sie?