Wissensstand: August 2026
Sie können Ihre Kontakte lokal speichern. Sie können auf soziale Netzwerke verzichten, einen datensparsamen Messenger verwenden und Ihre Telefonnummer nur wenigen Menschen geben.
Trotzdem kann Ihre Nummer längst bei Meta, Google, Apple, Telegram, TikTok, LinkedIn oder einem anderen Anbieter liegen. Nicht weil Sie sie dort eingetragen haben – sondern weil jemand anderes Sie in seinem Adressbuch gespeichert und dieses anschließend synchronisiert hat.
Das ist der Datenschatten, den andere Menschen über uns erzeugen.
Das Adressbuch ist kein privater Zettel mehr
Früher lag ein Adressbuch in einer Schublade. Heute ist es häufig mit mehreren Diensten gleichzeitig verbunden:
- dem Google- oder Apple-Konto,
- einem Messenger,
- einem sozialen Netzwerk,
- dem E-Mail-Programm,
- dem beruflichen Netzwerk,
- einer automatischen Datensicherung.
Ein einziger Eintrag kann Name, Telefonnummer, private und berufliche E-Mail-Adresse, Anschrift, Geburtstag, Arbeitgeber, Familienzugehörigkeit und persönliche Notizen enthalten.
Wird das Adressbuch synchronisiert, entsteht jedoch nicht nur eine Kopie dieser Daten. Es kann zugleich ein Beziehungssignal entstehen: Diese Person kennt jene Person. Laden mehrere Menschen dieselbe Telefonnummer hoch, lässt sich erkennen, wie stark eine Nummer in einem sozialen Umfeld verankert ist – auch wenn ihr Besitzer den jeweiligen Dienst gar nicht verwendet.
Wurden die betroffenen Menschen gefragt?
In der Regel nicht.
Die App fragt den Besitzer des Smartphones, ob sie auf seine Kontakte zugreifen darf. Diese Zustimmung ist jedoch nicht die Einwilligung der Menschen, deren Daten im Adressbuch stehen.
Rechtlich bedeutet das trotzdem nicht, dass jede solche Verarbeitung automatisch verboten ist. Die Datenschutz-Grundverordnung kennt neben der Einwilligung weitere Rechtsgrundlagen. Plattformen berufen sich bei der Kontaktsuche häufig auf ein sogenanntes berechtigtes Interesse: Nutzer sollen Bekannte finden können, der Dienst soll funktionieren und Missbrauch soll erkannt werden.
Dann muss das Interesse des Unternehmens gegen die Rechte der betroffenen Menschen abgewogen werden. Entscheidend ist nicht nur, ob jemand gefragt wurde, sondern auch:
- Welche Daten werden tatsächlich übertragen?
- Ist die Übertragung für den Zweck erforderlich?
- Wie lange werden die Daten gespeichert?
- Werden daraus Beziehungen oder Profile abgeleitet?
- Werden Nichtnutzer verständlich informiert?
- Können sie wirksam widersprechen oder eine Löschung verlangen?
Eine Telefonnummer, die einem Arbeitgeber, Verein oder Bekannten für einen bestimmten Zweck gegeben wurde, ist keine Generalvollmacht für jede spätere Verwendung. Die DSGVO verlangt Zweckbindung, Datenminimierung und Transparenz.
Meta: Auch Nichtnutzer können im System auftauchen
Meta beschreibt eine optionale Funktion zum Hochladen beziehungsweise Synchronisieren von Kontakten bei Facebook, Messenger und Instagram. Dabei können nach Angaben des Unternehmens Name, Mobiltelefonnummer und/oder E-Mail-Adresse eines Kontakts erfasst werden.
Ist die betreffende Person bereits bei einem Meta-Dienst registriert, können diese Informationen für Kontakt- und Freundschaftsvorschläge verwendet werden. Ist sie kein Nutzer, kann sie anderen als einzuladender Kontakt vorgeschlagen werden.
Damit kann selbst ein Mensch, der Facebook oder Instagram bewusst meidet, als Kontaktinformation im Meta-System auftauchen. Er hat selbst kein Profil angelegt und keine App installiert. Der Datensatz kam aus dem sozialen Umfeld.
TikTok: Wer Ihre Nummer gespeichert hat, kann Sie auffindbar machen
TikTok bietet die Synchronisierung von Telefonkontakten und Facebook-Freunden an. Nach den eigenen Hilfeseiten kann ein Konto anderen vorgeschlagen werden, wenn jemand die zugehörige Telefonnummer oder E-Mail-Adresse in seinen Kontakten gespeichert und die Synchronisierung aktiviert hat.
Das zeigt den Unterschied zwischen einer einzelnen Information und einem verknüpften Datensatz: Eine Telefonnummer allein sagt wenig. Zusammen mit einem TikTok-Konto, gemeinsamen Kontakten und weiteren Signalen kann sie dabei helfen, Menschen einander zuzuordnen.
TikTok bietet zwar die Möglichkeit, die Synchronisierung abzuschalten und zuvor synchronisierte Kontakte zu entfernen. Darüber entscheidet jedoch zunächst derjenige, der das Adressbuch hochgeladen hat – nicht die darin eingetragene Person.
LinkedIn: Aus Kontakten wird ein berufliches Beziehungsnetz
LinkedIn geht noch weiter als ein gewöhnliches Telefonbuch. Das Unternehmen erklärt, Daten über Menschen unter anderem aus folgenden Quellen zu erhalten:
- synchronisierten Kontakten und Kalendern,
- hochgeladenen Visitenkarten,
- Einladungen und Nachrichten,
- verbundenen E-Mail-Konten,
- Arbeitgebern, Bewerberplattformen und Geschäftspartnern.
LinkedIn kann solche Informationen verwenden, um Profile auffindbar zu machen und Kontakte vorzuschlagen. Dadurch können berufliche Beziehungen sichtbar werden, die nie öffentlich angegeben wurden.
Wer mit wem einen Termin hatte, wessen Visitenkarte gespeichert wurde oder welche E-Mail-Adresse in mehreren beruflichen Adressbüchern auftaucht, kann für ein Netzwerk wertvoller sein als der einzelne Adresseintrag.
Telegram und WhatsApp: Ähnlicher Zweck, unterschiedliche Verfahren
Telegram erklärt, bei aktivierter Kontaktsynchronisierung Telefonnummer sowie Vor- und Nachnamen zu speichern. Damit sollen vorhandene Kontakte erkannt und Nutzer benachrichtigt werden, wenn jemand Telegram beitritt. Telegram beschreibt außerdem statistische Auswertungen anonymisierter Nummernbestände, mit denen abgeschätzt werden kann, wie viele potenzielle Verbindungen eine noch nicht registrierte Nummer haben könnte.
WhatsApp beschreibt für Nichtnutzer inzwischen ein engeres Verfahren. Nach Angaben des Dienstes wird aus dem Adressbuch nur die Telefonnummer verarbeitet, nicht der dort gespeicherte Name oder die Anschrift. Die Nummer werde kurzzeitig verarbeitet und anschließend durch einen kryptografischen Hash ersetzt. Dieser Hash kann jedoch mit den WhatsApp-Nutzern verbunden bleiben, die die Nummer hochgeladen haben.
Ein Hash ist nicht automatisch anonym. Bereits 2021 stellte der Europäische Datenschutzausschuss beim damaligen WhatsApp-Verfahren fest, dass die Liste gehashter Nichtnutzer-Kontakte weiterhin personenbezogene Daten darstellte. Die damalige Technik ist nicht ohne Weiteres mit dem heutigen Verfahren gleichzusetzen. Der Fall zeigt aber, dass eine technische Verfremdung allein den Personenbezug nicht zwangsläufig beseitigt.
Die Beispiele sind deshalb kein Wettbewerb um den „schlechtesten“ Messenger. Sie zeigen vielmehr, dass Dienste denselben Zweck mit sehr unterschiedlichen Datenmengen und technischen Verfahren verfolgen.
Google und Apple: Die Cloud unter dem sozialen Netzwerk
Noch bevor eine soziale Plattform auf das Adressbuch zugreift, kann es bereits vollständig in einer Cloud gespeichert sein.
Google erklärt, dass Kontakte mit dem Google-Konto synchronisiert und auf weiteren Geräten verfügbar gemacht werden können. Bereits synchronisierte Geräte- und SIM-Kontakte bleiben im Konto, bis sie dort manuell entfernt werden.
Apple formuliert es ähnlich deutlich: Wird iCloud für Kontakte aktiviert, werden die in der Kontakte-App sichtbaren Kontakte in iCloud gespeichert.
Das ist nicht automatisch ein Beweis dafür, dass sämtliche Kontaktinhalte für Werbung oder Profilbildung eingesetzt werden. Es bedeutet aber, dass personenbezogene Daten von Menschen durch einen Cloudanbieter gespeichert und technisch verarbeitet werden können, obwohl diese Menschen selbst kein Vertragsverhältnis mit diesem Anbieter eingegangen sind.
Die rechtliche Lücke zwischen Theorie und Alltag
Für ein rein persönliches Adressbuch gilt häufig die sogenannte Haushaltsausnahme. Wer die Telefonnummer eines Freundes auf seinem privaten Telefon speichert, muss deshalb normalerweise keine DSGVO-Information aushändigen.
Die Ausnahme gilt jedoch nicht automatisch für die Unternehmen, welche die Cloud-, Messenger- oder Netzwerkdienste bereitstellen. Auch Arbeitgeber, Arztpraxen, Vereine und andere Organisationen können sich nicht auf eine private Haushaltsnutzung berufen.
Erhält ein Unternehmen Daten nicht direkt von der betroffenen Person, greifen grundsätzlich die Informationspflichten aus Artikel 14 DSGVO. Der Verantwortliche muss unter anderem über Datenarten, Herkunft, Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und Betroffenenrechte informieren.
In der Praxis geschieht das häufig nicht durch eine persönliche Nachricht. Stattdessen veröffentlichen Anbieter eine Datenschutzseite für Nichtnutzer. Die DSGVO erlaubt Ausnahmen von der individuellen Information, wenn diese unmöglich wäre oder einen unverhältnismäßigen Aufwand verursachen würde. Dadurch entsteht eine merkwürdige Situation:
Ein Unternehmen kann Ihre Telefonnummer und möglicherweise Teile Ihres sozialen Umfelds kennen. Informiert werden Sie darüber auf einer Webseite, von deren Existenz Sie nichts wissen.
Hat man überhaupt noch Einfluss?
Vollständige Kontrolle ist kaum erreichbar. Rechtlos sind Betroffene dennoch nicht.
Gegenüber einem Unternehmen bestehen grundsätzlich Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch. Man kann außerdem fragen, aus welcher Quelle die Daten stammen und an welche Kategorien von Empfängern sie weitergegeben wurden.
Diese Rechte haben jedoch praktische Grenzen. Zunächst muss man wissen, welcher Dienst die eigenen Daten erhalten hat. Ein Anbieter darf außerdem nicht ohne Weiteres offenlegen, welcher konkrete Nutzer die Nummer hochgeladen hat, wenn dadurch dessen Rechte verletzt würden. Und ein Löschungsanspruch ist nicht absolut, wenn eine andere gesetzliche Grundlage oder ein überwiegendes Interesse an der Verarbeitung besteht.
Bei Unternehmen und Organisationen ist die Lage strenger als bei privaten Freunden. Ein Arbeitgeber, eine Arztpraxis oder ein Verein darf Kontaktdaten nicht beliebig in private Apps und soziale Netzwerke übertragen. Der niedersächsische Datenschutzbeauftragte hält beispielsweise die berufliche Nutzung von WhatsApp im Gesundheitsbereich unter anderem wegen der Übertragung von Adressbuchdaten für unzulässig. Das Bayerische Landesamt für Datenschutzaufsicht weist darauf hin, dass Vereine Kontaktdaten ihrer Mitglieder nicht selbstverständlich an andere weitergeben dürfen.
NoData // Souveränitätscheck
Der eigene Datenschatten lässt sich nicht vollständig verhindern. Er lässt sich aber verkleinern.
Kontakte nicht pauschal freigeben: Eine App benötigt nicht automatisch Zugriff auf das vollständige Adressbuch. Kontaktberechtigungen sollten nur erteilt werden, wenn die Funktion wirklich gebraucht wird.
Bereits hochgeladene Kontakte entfernen: Das Abschalten einer Synchronisierung löscht nicht bei jedem Dienst automatisch frühere Uploads. Einige Plattformen bieten dafür eine zusätzliche Löschfunktion.
Adressbücher bewusst synchronisieren: Kontakte können lokal, selbst gehostet oder über einen bewusst ausgewählten CardDAV-Dienst verwaltet werden. Eine Cloud ist bequem, aber nicht alternativlos.
Kennungen trennen: Eine eigene E-Mail-Adresse oder Telefonnummer für öffentliche, berufliche und private Zwecke erschwert das Zusammenführen verschiedener Lebensbereiche.
Im beruflichen Umfeld genauer hinsehen: Kunden-, Patienten-, Mitglieder- und Beschäftigtendaten gehören nicht ungeprüft in private Messenger oder persönliche Cloudkonten.
Auskunft verlangen: Wer vermutet, dass ein Dienst Daten über ihn besitzt, kann auch als Nichtnutzer eine Auskunft nach Artikel 15 DSGVO verlangen und gegebenenfalls widersprechen.
Fazit
Der Satz „Ich lade meine Daten nicht hoch“ beschreibt nur die Hälfte der Wirklichkeit.
Wir leben in sozialen Beziehungen. Andere Menschen kennen unsere Telefonnummer, unsere E-Mail-Adresse, unseren Arbeitgeber oder unsere Anschrift. Sobald ihre Adressbücher, Kalender und Apps mit großen Plattformen verbunden werden, können daraus Datenschatten entstehen, auf die wir selbst nur begrenzten Einfluss haben.
Das ist kein Grund zur Resignation. Es ist ein Grund, Datenschutz nicht ausschließlich als individuelle Entscheidung zu betrachten. Auch die Technik muss Verantwortung übernehmen: durch lokale Kontaktabgleiche, sparsame Datenverarbeitung, verständliche Informationen und wirksame Möglichkeiten für Nichtnutzer, ihre Rechte auszuüben.
Je weniger gemeinsame Identifikatoren entstehen und je seltener vollständige Adressbücher verteilt werden, desto schwieriger wird es, aus einzelnen Kontaktdaten umfassende Beziehungsnetze zu bilden.
Datenschutz endet nicht am eigenen Smartphone.
Quellen und weiterführende Informationen
- Europäische Union: Datenschutz-Grundverordnung – insbesondere Art. 2, 5, 6, 14 und 15 bis 21
- Meta: Informationen für Menschen, die keine Meta-Produkte verwenden
- TikTok: Suggested accounts
- TikTok: Finding friends from your contacts
- LinkedIn: Privacy Policy – Contact and Calendar Information
- Telegram: Privacy Policy – Phone Number and Contacts
- WhatsApp: Informationen für Menschen, die WhatsApp nicht verwenden
- Europäischer Datenschutzausschuss: Binding Decision 1/2021 zum WhatsApp-Verfahren
- Irische Datenschutzkommission: Entscheidung und Geldbuße im WhatsApp-Verfahren von 2021
- Google: Geräte- und SIM-Kontakte sichern und synchronisieren
- Apple: iCloud für Kontakte auf allen Geräten einrichten
- Landesbeauftragter für den Datenschutz Niedersachsen: FAQ Gesundheitsbereich und Datenschutz – berufliche WhatsApp-Nutzung
- Bayerisches Landesamt für Datenschutzaufsicht: Datenschutz im Verein – Umgang mit Kontaktdaten