Jeder Mensch hat Geheimnisse. Dinge, die er niemandem einfach erzählen würde. Außer vielleicht seiner Dating-App. Welche Art Partner er möchte. Welche Orte er dabei gerne aufsucht. Vielleicht auch, welche sexuellen Vorlieben er hat - oder wie es ihm gesundheitlich geht.

Mit diesen Infos soll diese App eigentlich helfen, Gleichgesinnte zu finden. Dass sie auch an andere Firmen weiterverkauft werden, ist dagegen eher nicht im Interesse der Nutzenden.

Genau das soll aber bei Grindr passiert sein, einer Dating-App, die sich explizit an die LGBTQ+-Community richtet. Rund 12.000 Nutzer der App hatten in Großbritannien gegen das Unternehmen geklagt, weil dieses hochsensible persönliche Informationen an Werbekunden weitergegeben haben soll - in Einzelfällen sogar den HIV-Status der User.

Der Rechtsstreit wurde Anfang dieser Woche beendet - mit einem Vergleich über insgesamt 26 Millionen Pfund. Gleichzeitig bestreitet Grindr jedoch jegliche Haftung; ein offizielles Schuldeingeständnis gab es nicht – ebenso wenig eine Verurteilung.

Der jüngste Fall ist nur einer von vielen und verweist auf eine größere Frage: Was passiert eigentlich mit den Informationen, die wir unseren Apps tagtäglich überlassen?

Einverstanden, aber womit?

Für uns User ist eine App vor allem ein hilfreiches Produkt. Oft befinden sich dahinter jedoch auch Cloud-Dienste, Analysewerkzeuge, Werbenetzwerke und weitere Dienstleister. Sie speichern und übertragen Daten, verknüpfen diese und werten sie aus – oft nicht in unserem Sinne.

Viele der Big-Tech-Unternehmen, erklärt der Digitalpolitik-Experte Jan Penfrat, wollten es dabei den "Nutzenden und Aufsichtsbehörden so schwer wie möglich machen zu verstehen, welche Daten von welchem Akteur auf unseren Geräten gesammelt werden, und zu welchem Zweck dies geschieht."

Penfrat arbeitet bei European Digital Rights (EDRi), einem europäischen Netzwerk von NGOs und Experten, das sich für die Verteidigung von Grundrechten und Freiheiten im digitalen Raum einsetzt.

Jeder kennt es: Eine App - etwa ein Messengerdienst - ist schnell installiert, und bei der Abfrage, ob persönliche Daten genutzt werden dürfen, klicken User oft einfach auf 'Ja'. Wer hat schon Lust, sich seitenweise Datenschutzbestimmungen durchzulesen?

Bilder aus privaten Chats

Doch der Teufel steckt im Detail. So greift etwa WhatsApp bei der Installation auf die Kontakte des Smartphones zu. Dabei werden auch Telefonnummern von Personen an die Server übermittelt, die selbst WhatsApp gar nicht nutzen und niemals in die Weitergabe ihrer Kontakte eingewilligt haben.

Der Messenger Discord sammelt sogar alle Textnachrichten, Bilder und Links, die seine User – selbst in Privatchats – versenden, solange sie dieser Praxis nicht aktiv widersprechen. Erst nach jahrelangen Beschwerden führte Discord im Mai 2026 zumindest eine Verschlüsselung für Sprach- und Videoaufzeichnungen ein. Beispiele wie diese gibt es zuhauf.

Je größer und verflochtener ein Unternehmen dabei ist, desto weniger geht es um einzelne Datenpunkte - sondern um Muster. Etwa bei Google: "Google kontrolliert viele verschiedene Teile unseres digitalen Lebens und hat quasi in jede Ebene Datensammlungen und Überwachungen eingeführt", so Penfrat.

Zugriff aus Standort und Terminkalender

"Das fängt an bei der Hardware, wenn Google also selbst Telefone herstellt, und geht über das Betriebssystem, also Android, bei dem schon eine feste, individuelle Werbe-ID miteingebaut ist, die jedes einzelne Gerät über seine Lebenszeit hinweg identifiziert."

Hinzu kämen die Apps, die Google selbst betreibt und oft schon vorinstalliert: Google-Mail, Adressbuch, Kontakte, Kalender, und nicht zuletzt Google Maps, "wo die Aufenthaltsorte der Menschen im Minutentakt mit aufgezeichnet werden können. Und das fließt alles in ein riesiges Profil ein."

Auf Basis dieser Daten bieten Unternehmen wie Google dann sogenannte 'Targeting'-Produkte an: "Das heißt, irgendein Auto- oder Klamottenhersteller kann dann sagen: Ich möchte gerne die und die Zielgruppen ansprechen, und meine Werbung soll in der Google-Suche, in Google Mail oder auf irgendeiner der hunderten von Millionen Drittparteienwebseiten, auf denen Google-Werbung eingebunden ist, angezeigt werden", so Penfrat.

"Datenprofile verhökern"

Google ist dabei nur ein Anbieter von vielen. "Das ist ein riesiger, globaler Milliardenmarkt, auf dem persönliche Datenprofile von Menschen einfach verhökert werden."

Diese Profile speisen sich aus zwei Arten von Daten. Zum einen gibt es diejenigen, die jeder User freiwillig preisgibt, indem er oder sie etwas in sein Profil einträgt oder private Fotos hochlädt.

Hinzu kommt aber, dass viele Big-Tech-Unternehmen schon vor Jahren damit begonnen haben, auch Annahmen zu erstellen - basierend auf den Daten, die sie bekommen.

"Wenn sie also Zugriff haben auf meine Ortungsdaten und wissen, wo ich mich üblicherweise nachts aufhalte, können sie davon ausgehen: Das ist meine Wohnadresse", erklärt Jan Penfrat.

"Wenn diese jetzt etwa in einem sehr reichen Viertel liegt, können sie sofort Annahmen über mein Gehalt treffen. Wenn sie sehen: Oh, der hat die Geolocation an und geht regelmäßig in einen Gay Club, dann gehört er wahrscheinlich zur LGBTQ-Community. Und das alles kommt gleich mit ins Profil."

Strenge Regeln in Europa

Dabei besitzt die EU schon jetzt eine der strengsten Datenschutz-Regulierungen der Welt. So soll die Datenschutz-Grundverordnung (DSGVO) die persönlichen Daten und die Privatsphäre von Menschen schützen.

Weitere EU-Digitalgesetze wie der Digital Markets Act oder der Digital Services Act sollen verhindern, dass große Tech-Konzerne ihre Macht gegenüber Unternehmen und Nutzern missbrauchen. An diese Gesetze müssen sich auch Unternehmen aus den USA halten, wenn sie Menschen in Europa ihre Dienste anbieten oder deren Verhalten beobachten.

Und tatsächlich verhängte die EU-Kommission auch wiederholt Strafen wegen Verstößen gegen ihre Verordnungen, etwa 2025 in Höhe von 500 Millionen Euro gegen Apple und von weiteren 200 Millionen gegen den Facebook-Konzern Meta.

Auch Google musste in diesem Jahr 890 Millionen Euro an Strafzahlungen leisten. Klingt erstmal viel, relativiert sich aber recht schnell bei einem Blick auf den Nettogewinn von Google-Konzern Alphabet: Der lag im Jahr 2025 bei umgerechnet rund 117 Milliarden Euro.

"Das sind also Summen, die erwirtschaftet ein Unternehmen wie Google oder Amazon innerhalb weniger Tage", so Penfrat. "Das buchen die einfach so weg in ihren Budgets."

Abhängig von Cloud-Diensten aus USA

Eine wirklich effektive Kontrolle durch die EU ist also nicht so einfach: Die Tech-Giganten besitzen globale Infrastrukturen, enorme finanzielle Ressourcen und komplexe Geschäftsmodelle. Europäische Behörden müssten diese erst einmal durchdringen.

Hinzu kommt Europas eigene Abhängigkeit: Cloud-Dienste, Betriebssysteme, Plattformen und zunehmend auch KI-Infrastruktur werden – zumindest bislang noch - zu großen Teilen von US-Unternehmen bereitgestellt.

Penfrat bemängelt auch deshalb einen fehlenden politischen Willen in Brüssel, schärfer gegen die Konzerne vorzugehen und die europäischen Datenschutzbehörden besser auszustatten.

Was kann man also als Verbraucher tun? Jan Penfrat nennt zwei Grundregeln: "Das eine ist, mir immer die Frage zu stellen: Was ist das Geschäftsmodell? Womit wird hier Geld verdient? Und da gilt der goldene Satz: 'Wenn ich nicht bezahle, dann bin ich das Produkt.‘"

Auf der anderen Seite sollte man sich immer nach vertrauenswürdigeren Alternativen umsehen. "Es gibt Smartphone-Hersteller, die ethisch korrekte, datenschutzhoheitliche Handys herstellen, die trotzdem kompatibel sind mit den Apps, die wir so im täglichen Leben nutzen. Es gibt sogar soziale Netzwerke, die wir nutzen können, die datenschutzhoheitlicher sind", so der Experte. 

"Aber letztendlich führt nichts daran vorbei, dass wir eine stärkere Regulierung brauchen, dass wir mehr politischen Mut brauchen gegen diese Rechtsbrüche von zu vielen Unternehmen. Denn wir müssen es hier aufnehmen mit den größten und mächtigsten Konzernen, die die Menschheit je gesehen hat - und die stehen leider nicht auf unserer Seite."