Personensuchseiten bündeln öffentliche Datensätze aus vielen Quellen und können Telefonnummern, Adressen und Verwandtschaftsbeziehungen anzeigen. Die Daten sind jedoch oft veraltet oder falsch zugeordnet, und ihre Nutzung unterliegt je nach Rechtsraum unterschiedlichen Datenschutzregeln.
Personensuchseiten werden bei Hintergrundprüfungen und der Sammlung öffentlich zugänglicher Informationen häufig erwähnt. Zuerst sollte jedoch nicht geklärt werden, wie man eine solche Seite öffnet, sondern woher ihre Daten stammen, in welchen Rechtsräumen sie genutzt werden dürfen und ab welchem Punkt die Nutzung Grenzen überschreitet.
Was sie sammeln und woher die Daten stammen
Im Kern sind solche Seiten Aggregatoren öffentlicher Datensätze. Sie führen verstreute öffentliche Informationen zusammen und bieten eine Rückwärtssuche nach Name, Telefonnummer oder Adresse an. Typische Datentypen sind Telefonnummern, aktuelle und frühere Adressen, Geburtsjahr und Verwandtschaftsbeziehungen; manche Dienste zeigen außerdem Ausschnitte aus Heirats-, Immobilien- oder Gerichtsunterlagen.
Die Quellen lassen sich grob in mehrere Gruppen einteilen: öffentliche Register und Gerichtsakten von Behörden, öffentliche Telefonbücher und Branchenverzeichnisse, öffentliche Immobilien- und Steuerdaten, sichtbar gemachte Profile in sozialen Netzwerken sowie Marketinglisten, die von Datenhändlern erworben wurden. Nichts davon stammt zwingend aus internen Kanälen. Durch die nachträgliche Zusammenführung werden die Beziehungen zwischen einzelnen Informationen jedoch sehr eng verknüpft – deshalb wirken solche Dienste oft so, als könnten sie nahezu alles finden.
Die Grenzen gehören zur Bewertung dazu. Öffentliche Register werden langsam aktualisiert und bilden Umzüge oder Rufnummernwechsel häufig nicht zeitnah ab; Personen mit demselben Namen können verwechselt werden; und die Vollständigkeit von Datensätzen unterscheidet sich erheblich zwischen einzelnen US-Bundesstaaten. Wer aus einem aggregierten Treffer sofort eine Schlussfolgerung zieht, muss mit Fehlern rechnen.
Unterschiedliche Regeln in unterschiedlichen Rechtsräumen
Dieselben Daten können in vielen US-Bundesstaaten als öffentlich gelten und rechtmäßig abgerufen und genutzt werden. In der Europäischen Union ist für die Verarbeitung personenbezogener Daten dagegen auch dann eine Rechtsgrundlage erforderlich, wenn die Daten bereits öffentlich zugänglich sind; außerdem müssen die Rechte und Ansprüche der betroffenen Person berücksichtigt werden. Chinas Gesetz zum Schutz personenbezogener Daten verlangt einen klaren Zweck, Information und Einwilligung sowie Datenminimierung; für sensible personenbezogene Daten gelten strengere Anforderungen, und grenzüberschreitende Übermittlungen unterliegen zusätzlichen Bedingungen.
Dass eine Website bestimmte Daten finden kann, bedeutet daher nicht automatisch, dass ich sie in meinem Rechtsraum nutzen darf. Entscheidend sind zwei Fragen: Zu welchem Zweck verwende ich die Daten, und welche Anforderungen gelten an meinem Standort für die Verarbeitung personenbezogener Daten? Bei grenzüberschreitenden Geschäften sollten diese Punkte vor Beginn der Arbeit geklärt werden, nicht erst im Nachhinein.
Einige klare Grenzen bei der Nutzung
- Nicht für Belästigung, Doxxing oder das Aufspüren des Aufenthaltsorts anderer Personen verwenden. Solche Zwecke können unabhängig davon rechtswidrig sein, ob die Daten öffentlich sind.
- Keine personenbezogenen Daten erfassen, die für den geschäftlichen Zweck nicht erforderlich sind. Für die Prüfung eines Unternehmens müssen nicht nebenbei die Privatadresse und Verwandtschaftsbeziehungen einer Person gespeichert werden.
- Aufbewahrung begrenzen. Daten nach Abschluss des Zwecks löschen und nicht beiläufig eine eigene Datenbank aufbauen; jeder gespeicherte Datensatz bringt Verantwortung mit sich.
- Kein massenhaftes Scraping. Hochfrequente Anfragen sind auf den meisten Seiten eingeschränkt und können zugleich eine Verarbeitung personenbezogener Daten in großem Umfang darstellen.
- Lösch- und Widerspruchsanträge betroffener Personen respektieren und die konkreten lokalen Anforderungen an Information und Einwilligung beachten.
Ein Punkt muss klar sein: Wir bieten keine Methoden an und empfehlen auch keine, um regionale Beschränkungen zu umgehen oder auf eingeschränkte Daten zuzugreifen. Das Umgehen von Zugriffsbeschränkungen kann bereits gegen die Nutzungsbedingungen einer Website verstoßen. Noch wichtiger ist, dass die so gewonnenen Daten bei ihrer Verwendung denselben Datenschutzregeln unterliegen – technische Umgehungen lösen kein Compliance-Problem.
Alternativen für Hintergrundprüfungen
Wenn es darum geht, Geschäftspartner, Lieferanten oder Kunden zu verifizieren, reichen öffentliche Kanäle in vielen Fällen aus. Unternehmen lassen sich über Handelsregister und offizielle Unternehmensinformationssysteme prüfen; Qualifikationen, Marken und Patente über die jeweiligen amtlichen Suchangebote; die Branchenreputation über Verbände, öffentliche Nachrichten und Transaktionsbewertungen auf B2B-Plattformen. Angaben zu gesetzlichen Vertretern sollten über offizielle Register verifiziert oder durch einen regelkonform arbeitenden Dienstleister geprüft werden.
Das Prinzip lässt sich auf einen Satz reduzieren: Für Unternehmen öffentliche amtliche Systeme nutzen; nicht öffentliche Informationen über natürliche Personen sind in den meisten Fällen weder nötig noch regelkonform zu beschaffen.
Wenn ein Team für Recherchen über verschiedene Kanäle getrennte Konten verwendet, kann PurpleMark jedem Arbeitsprofil eine eigene, stabile Browserumgebung zuweisen. Dadurch lassen sich Aktivitäten und Identitäten eindeutig zuordnen und bei Audits nachvollziehen. Das ist Prozessmanagement und eine andere Frage als die Rechtmäßigkeit der Daten selbst.
Fazit
Die Informationen solcher Seiten sind häufig veraltet, nur begrenzt zuverlässig und unterliegen bei der Nutzung lokalen Datenschutzregeln. Ihr praktischer Wert ist daher kleiner, als es zunächst klingt. Für Hintergrundprüfungen sollten offizielle Register und öffentlich zugängliche Unternehmensinformationen Vorrang haben; regionale Beschränkungen sollten nicht umgangen und geschäftlich irrelevante personenbezogene Daten weder gesammelt noch gespeichert werden.
