Was sind First-Party-Daten?

Das Wort „eigen“ meint nicht das rechtliche Eigentum am Datum, sondern die Herkunft der Beziehung: Die Person gibt die Information in einem Kanal ab, den das Unternehmen kontrolliert und in dem es weiß, mit wem es zu tun hat. Ein Angebotsformular, eine Bestellung im Shop, das Öffnen eines Newsletters, ein Anruf beim Support oder der auf der eigenen Domain gemessene Klickweg erzeugen First-Party-Daten.

Der Unterschied zu den beiden anderen Arten ist eine Frage der Weitergabekette. Second-Party-Daten sind die First-Party-Daten einer anderen Organisation, die diese vereinbarungsgemäß abgibt oder verkauft, etwa wenn eine Hotelkette Segmente an eine Partnerfluglinie weiterreicht; ihre Herkunft bleibt nachvollziehbar, doch das nutzende Unternehmen war bei der Erhebung nicht dabei. Third-Party-Daten stammen von Vermittlern, die sie aus vielen fremden Quellen zusammenführen und als fertige Zielgruppen weiterverkaufen; der Nutzer erfährt selten, welches Unternehmen sein Profil am Ende hält.

Daneben wird zunehmend eine vierte Kategorie genannt: erklärte Daten oder Zero-Party-Daten, die eine Person bewusst und freiwillig angibt, wenn sie an einer Umfrage teilnimmt oder ihre Einstellungen setzt. Technisch sind sie eine Teilmenge der First-Party-Daten, mit dem Unterschied, dass die Absicht erklärt und nicht abgeleitet ist.

Der Mechanismus besteht aus drei Teilen: einem Erhebungspunkt, einem Identifikator, der die Interaktionen derselben Person zusammenführt, und einem Speicher, in dem das Datum unter der Kontrolle des Unternehmens bleibt. Der Erhebungspunkt kann ein Formular, ein Kaufvorgang, eine Kontoanmeldung, ein Buchungssystem oder die Messung der eigenen Website sein. Als Identifikator dient meist die normalisierte E-Mail-Adresse, eine Kundennummer oder eine eigene Sitzungskennung. Üblicher Speicher ist das CRM, ein Data Warehouse oder eine Customer-Data-Platform.

Der rechtliche Rahmen in der Europäischen Union arbeitet in zwei Ebenen, die man nicht vermischen sollte. Die Richtlinie über die Privatsphäre in der elektronischen Kommunikation, in Spanien in Artikel 22.2 LSSI umgesetzt, regelt das Speichern von Informationen auf dem Endgerät und den Zugriff auf bereits gespeicherte: Sie verlangt eine vorherige informierte Einwilligung und sieht eine Ausnahme vor, wenn Speicherung oder Zugriff allein der Übertragung einer Nachricht über ein Netz dienen oder für einen ausdrücklich angeforderten Dienst unbedingt erforderlich sind. Die Regel bezieht sich unabhängig von der eingesetzten Technik auf das Endgerät und erfasst damit auch Verfahren des Geräte-Fingerprintings.

Die zweite Ebene ist die DSGVO. Sie regelt, was danach mit den entstandenen personenbezogenen Daten geschieht: Sie verlangt eine Rechtsgrundlage, einen festgelegten Zweck, Information der betroffenen Person und Grenzen der Speicherdauer. Dass ein Datum ein First-Party-Datum ist, nimmt es aus keiner der beiden Ebenen heraus.

Die am häufigsten wiederholte Begründung für Investitionen in First-Party-Daten ist seit Jahren falsch. Der Zeitplan für das Ende der Third-Party-Cookies in Chrome wurde mehrfach verschoben und schließlich gestrichen: Am 22. April 2025 teilte Google mit, den bisherigen Ansatz beizubehalten und keinen eigenen Hinweis einzuführen, über den Nutzer über Third-Party-Cookies entscheiden; die Cookies bleiben verfügbar und werden über die Datenschutzeinstellungen des Browsers verwaltet. Am 17. Oktober 2025 ging Google weiter und stellte zehn Privacy-Sandbox-Techniken ein, darunter Topics, Protected Audience und Attribution Reporting, also genau den Satz, der als Ersatz vorgestellt worden war. Im August 2026 gilt dieser Stand unverändert: Chrome blockiert Third-Party-Cookies nicht standardmäßig, und der angekündigte Ersatz existiert nicht mehr.

Die Entscheidung, die von First-Party-Daten abhängt, ist eine andere, und die hat sich nicht verschoben. Safari und Firefox schränken Third-Party-Cookies standardmäßig ein, die Zustimmungsquoten in den Einwilligungsbannern lassen einen Teil des Verkehrs ungemessen, und die Zuordnung über fremde Identifikatoren zerfällt, sobald der Weg über mehrere Geräte läuft. Wer wissen will, was ein Kunde wirklich wert ist, welcher Kanal die Wiederkäufer bringt und wen er ohne Vermittler ansprechen kann, braucht einen eigenen und eingewilligten Identifikator.

• Lege den eindeutigen Identifikator fest, bevor du irgendetwas erhebst, in der Regel die normalisierte E-Mail-Adresse oder eine Kundennummer, und entscheide, wie die beteiligten Systeme darüber verbunden werden.
• Frage nur ab, was du auch verwendest. Jedes zusätzliche Feld senkt die Ausfüllquote und erhöht den Aufwand für die Einhaltung der Vorgaben.
• Speichere neben dem Datum den Zweck, das Datum der Erhebung und den Nachweis der Einwilligung, und sorge dafür, dass ein Widerruf an die angeschlossenen Systeme weitergereicht wird.
• Biete eine echte Gegenleistung für die Anmeldung: Preis, Verfügbarkeit, einen Konfigurator, eine Auswertung. Ein Formular ohne Gegenleistung erzeugt falsche Adressen.
• Miss die Qualität und nicht die Menge: Anteil geprüfter Adressen, erkannte Dubletten, Datensätze mit mindestens einem zugeordneten Kauf.
• Lege Aufbewahrungsfristen je Zweck fest und automatisiere das Löschen, statt es einer jährlichen Durchsicht von Hand zu überlassen.

• Eine gekaufte Liste als First-Party-Daten bezeichnen. Die Herkunft ändert ihre Natur nicht dadurch, dass man die Liste ins CRM importiert.
• Die Einwilligung als einmaligen Vorgang behandeln. Ändern sich die Zwecke oder die beteiligten Dritten, beschreibt die Information, auf deren Grundlage sie erteilt wurde, nicht mehr das tatsächliche Geschehen.
• Getrennte Silos aus Shop, Newsletter, Support und CRM ohne gemeinsamen Schlüssel betreiben, sodass dieselbe Person als vier verschiedene Kunden erscheint und alle Wertberechnungen zu niedrig ausfallen.
• Das Vorhaben mit dem Verschwinden der Cookies begründen und ohne Begründung dastehen, sobald jemand nachprüft, dass es nicht eingetreten ist.
• Felder anhäufen, die keine Entscheidung speisen. Ein Datum, das niemand nutzt, ist gespeichertes Risiko ohne Gegenwert.