Wer hat meine E-Mail verkauft? So findest du es heraus

Wer hat meine E-Mail-Adresse verkauft oder geleakt? Sicher herausfinden kannst du das nur, wenn du dem Unternehmen eine Adresse gegeben hast, die sonst niemand hatte. Bei einer Hauptadresse, die du seit Jahren nutzt, kannst du den Kreis meist eingrenzen, aber keinen Schuldigen benennen: Sie steckt in Dutzenden Kundendatenbanken, und eine Spam-Mail führt selten zu der einen zurück, aus der sie entwichen ist. Herausfinden kannst du, wer dir schreibt und über welchen Dienst, ob ein Unternehmen deine Adresse bei einem bekannten Datenleck verloren hat und – in der EU und im Vereinigten Königreich –, was ein Unternehmen dazu sagt, woher es deine Adresse hat. CatchNone für iPhone, iPad und Mac macht eine eigene Adresse pro Unternehmen zum Standard: Jede Nachricht ist mit dem Alias gekennzeichnet, an den sie ging, sodass das nächste Leck auf seine Quelle zeigt.

Die Schritte der Reihe nach:

1. Finde die erste unerwünschte Nachricht und die genaue Adresse, an die sie ging.
2. Lies ihre Header, um den Absender und seinen Versanddienst zu ermitteln.
3. Prüfe bei Have I Been Pwned, ob die Adresse in einem Datenleck enthalten war.
4. Frag den Absender, woher er deine Adresse hat, und frag das Unternehmen, das du verdächtigst, an welche Unternehmen es deine Adresse weitergegeben hat.
5. Gib ab jetzt jedem Unternehmen eine eigene Adresse.

Kannst du herausfinden, wer deine E-Mail-Adresse verkauft hat?

Manchmal. Es kommt auf die Beweise an:

• Header zeigen, wer eine Nachricht verschickt hat und über welchen Dienst (eine gültige DKIM-Signatur beweist, welche Domain sie signiert hat), aber nicht, woher die Liste stammt.
• Ein Eintrag zu einem Datenleck beweist, dass ein Unternehmen deine Adresse verloren hat, schließt andere aber nicht aus.
• Eine rechtliche Anfrage kann ein Unternehmen dazu bringen, zu sagen, was es über die Herkunft weiß – sofern es etwas weiß (in Kalifornien nur in Form von Kategorien).
• Eine zufällige Adresse, die nur ein einziges Unternehmen bekommen hat, zeigt direkt auf die Quelle: Schreibt dir dort jemand anderes, hat sie dieses Unternehmen verlassen – ob verkauft, weitergegeben oder gestohlen.

Eine plötzliche Flut von Spam-Mails kann auch andere Ursachen haben: Lies dazu, warum Spam auf einmal stark zunehmen kann. Wie sich Adressen überhaupt verbreiten – durch Verkauf, Datenlecks, Sammeln und Erraten –, erklärt der Artikel Wie Spammer an E-Mail-Adressen kommen.

Schritt 1: Finde die erste Nachricht und die Adresse, an die sie ging

Such nach dem unbekannten Absender und finde das älteste Ergebnis: Die erste Nachricht liegt am nächsten an dem Moment, in dem deine Adresse den Besitzer gewechselt hat. Prüfe genau, an welche Adresse sie ging und wie sie dich anredet. Eine alte Adresse oder ein Tippfehler, den du einmal verwendet hast, eine +tag-Variante deiner Adresse, ein falsch geschriebener Name aus einem bestimmten Anmeldeformular oder ein Detail, das nur ein Unternehmen kannte – all das weist auf eine Quelle hin.

In der EU und im Vereinigten Königreich lies außerdem die Fußzeile und den Datenschutzlink dieser ersten Nachricht. Nach der DSGVO (Art. 14) muss dir ein Unternehmen, das deine Daten von jemand anderem bekommen hat, mitteilen, „aus welcher Quelle die personenbezogenen Daten stammen“. Nutzt es die Daten, um dich zu kontaktieren, gilt als Frist „spätestens zum Zeitpunkt der ersten Mitteilung“. Stand in der ersten Nachricht nichts dazu, weise in deiner Anfrage aus Schritt 4 darauf hin.

Schritt 2: Lies die Header

Header sind die verborgenen Zeilen über einer Nachricht. Sie nennen den Absender und den Dienst, der die Mail befördert hat – und damit, an wen du dich in Schritt 4 wendest.

So zeigst du die Header an

Die Wege laut den Hilfeseiten der jeweiligen Anbieter, Stand: September 2026:

Die Abkürzung in Gmail: Klicke im Web unter dem Namen des Absenders auf den Abwärtspfeil, um „Mailed by“ (gesendet von) und „Signed by“ (signiert von) zu sehen – die Domains, die die Nachricht verschickt und signiert haben.

Ein Beispiel im Detail

Ein gekürzter Satz Header zur Veranschaulichung. Deine Adresse ist k7qm-2xrd@example.com, eine zufällige Adresse, die nur ein Gartenshop bekommen hat. Die Marke ist dealsdaily.example.net, und mailer.example.org ist der Versanddienst, den sie nutzt.

Delivered-To: k7qm-2xrd@example.com
Received: from out-7.mailer.example.org (out-7.mailer.example.org [192.0.2.25])
        by mx.example.com; Thu, 24 Sep 2026 09:14:02 +0000
Return-Path: <bounce-7f3a@mailer.example.org>
Authentication-Results: mx.example.com; dkim=pass header.d=mailer.example.org
DKIM-Signature: v=1; a=rsa-sha256; d=mailer.example.org; s=s1; ...
From: Deals Daily <news@dealsdaily.example.net>
To: k7qm-2xrd@example.com
List-Id: Weekly offers <weekly.dealsdaily.example.net>
List-Unsubscribe: <https://unsub.mailer.example.org/u/abc123>

Hier ist Deals Daily der Absender und verschickt über mailer.example.org. Die Mail ging an die zufällige Adresse, die nur der Gartenshop bekommen hat – dort ist sie also abgeflossen. Wie Deals Daily an sie gekommen ist, verraten die Header nicht: Sie nennen den Absender, nie den Verkäufer. ICANN Lookup zeigt den Registrierungseintrag einer unbekannten Domain, allerdings sind die Angaben zum Inhaber meist geschwärzt.

Schritt 3: Prüfe, ob ein Unternehmen sie bei einem Datenleck verloren hat

Have I Been Pwned (HIBP) zeigt, in welchen Datenlecks und Spam-Listen eine Adresse vorkommt. Mit Stand 25. September 2026 führt die Seite 1.038 betroffene Websites und mehr als 17,8 Milliarden betroffene Konten (eine Adresse, die in mehreren Datenlecks vorkommt, wird für jedes davon einmal gezählt).

• Ein Datenleck nennt den Dienst, der die Daten verloren hat, und den Zeitpunkt: eine heiße Spur, wenn der Spam kurz darauf begann.
• Eine Spam-Liste bedeutet, dass deine Adresse in Daten aufgetaucht ist, die für gezielten Spam genutzt werden. Diese Listen werden „oft aus mehreren Quellen zusammengetragen“, deshalb nennen sie selten das ursprüngliche Unternehmen. Einträge aus Pastes und Datenlecks, die HIBP als erfunden oder nicht verifiziert kennzeichnet, sind noch schwächer.
• Sensible Datenlecks erscheinen erst, nachdem du dich angemeldet und bestätigt hast, dass du Mails an diese Adresse empfängst.

Ein sauberes Ergebnis bedeutet nur, dass die Adresse in keinem Datenleck steckt, das HIBP erfasst hat – nicht, dass niemand sie verkauft hat. Aktiviere die kostenlosen Benachrichtigungen über Notify Me (Benachrichtige mich). Wenn du auf deiner eigenen Domain für jedes Unternehmen eine eigene Adresse nutzt, zeigt Domain Search (Domainsuche), welche davon in welchem Datenleck vorkommen, nachdem du die Domain bestätigt hast (für größere Domains ist normalerweise ein Abo nötig). Googles Dark-Web-Bericht, den ältere Ratgeber empfehlen, wurde Anfang 2026 eingestellt.

Schritt 4: Frag die Unternehmen direkt

EU und Vereinigtes Königreich: Frag, woher sie kam und wohin sie ging

Mit dem Auskunftsrecht kannst du zwei Unternehmen zwei Fragen stellen:

• Frag den Absender, woher er deine Adresse hat. Art. 15 Abs. 1 lit. g DSGVO gibt dir Anspruch auf „alle verfügbaren Informationen über die Herkunft der Daten“, und die vom Europäischen Datenschutzausschuss bestätigten Leitlinien für Transparenz sagen, dass ein Unternehmen, das deine Daten anderswo erhalten hat, die konkrete Quelle nennen sollte, es sei denn, es kann das nicht.
• Frag das Unternehmen, das du verdächtigst, an welche Unternehmen es deine Adresse weitergegeben hat. Zu Art. 15 Abs. 1 lit. c hat der Europäische Gerichtshof im Fall Österreichische Post (C-154/21) entschieden, dass ein Unternehmen auf Anfrage die konkreten Empfänger nennen muss, es sei denn, es kann sie noch nicht identifizieren oder die Anfrage ist offenkundig unbegründet oder exzessiv. Die britische Datenschutzbehörde, das ICO, sagt dasselbe für die UK GDPR.

Keine der beiden Anfragen zwingt jemanden, einen Verkäufer zu nennen: Ein Unternehmen kann sagen, dass es die Quelle nicht kennt oder dass die Daten aus mehreren Quellen stammen (Erwägungsgrund 61), wobei eine ausweichende Antwort ein Grund für eine Beschwerde ist. Nutze die Kontaktdaten aus der Datenschutzerklärung des jeweiligen Unternehmens und lass eindeutige Spammer aus, denn eine Antwort bestätigt ihnen, dass deine Adresse funktioniert.

Hier ein Muster für deine DSGVO-Auskunft zum Kopieren (lass Punkt 4 weg, wenn du an das verdächtigte Unternehmen schreibst):

Betreff: Auskunftsersuchen nach Art. 15 DSGVO

Gemäß Art. 15 DSGVO (bzw. UK GDPR) bitte ich Sie, mir zu meiner E-Mail-Adresse you@example.com Folgendes mitzuteilen:

1. Woher Sie die Adresse erhalten haben, unter Nennung der konkreten Quelle (Art. 15 Abs. 1 lit. g).
2. An welche Empfänger Sie sie weitergegeben haben, namentlich (Art. 15 Abs. 1 lit. c).
3. Welche personenbezogenen Daten Sie über mich gespeichert haben, einschließlich einer Kopie.
4. Warum Ihre erste Nachricht an mich vom [Datum] diese Quelle nicht genannt hat (Art. 14 Abs. 2 lit. f und Abs. 3 lit. b).

Außerdem widerspreche ich der Verwendung meiner Daten für Direktwerbung (Art. 21). Bitte antworten Sie innerhalb eines Monats (Art. 12 Abs. 3).

[Dein Name]

Die Auskunft ist in der Regel kostenlos (die Fristen stehen in der Tabelle unten). Sobald du der Direktwerbung widersprochen hast, dürfen deine Daten nicht mehr dafür verwendet werden.

Bleibt im Vereinigten Königreich die Antwort aus oder ist sie ausweichend, beschwere dich zuerst beim Unternehmen: Für Beschwerden seit dem 19. Juni 2026 verpflichtet der Data (Use and Access) Act das Unternehmen, den Eingang deiner Beschwerde innerhalb von 30 Tagen zu bestätigen. Danach kannst du dich innerhalb von drei Monaten nach deinem letzten maßgeblichen Kontakt mit dem Unternehmen beim ICO beschweren. In der EU kannst du dich nach Art. 77 bei einer Datenschutzaufsichtsbehörde beschweren.

USA: Kalifornien und Oregon

Eine Anfrage nach dem kalifornischen CCPA-Auskunftsrecht („right to know“) liefert die Kategorien der Quellen und der Dritten sowie die gespeicherten personenbezogenen Daten, nennt aber nicht, wer deine Adresse verkauft hat. Die Auskunft ist kostenlos. Du kannst ein Unternehmen außerdem auffordern, den Verkauf oder das Teilen deiner Daten zu beenden, oder verlangen, dass es löscht, was es bei dir erhoben hat. Das Gesetz gilt nur für Unternehmen oberhalb festgelegter Schwellenwerte, etwa mit einem Jahresumsatz von über 26.625.000 US-Dollar (Stand: September 2026).

Wenn du in Oregon lebst, muss dir ein Unternehmen, das unter das dortige Datenschutzgesetz fällt, auf Anfrage eine Liste der konkreten Dritten geben, an die es Daten weitergegeben hat. Es darf dabei allerdings die Dritten aufführen, die irgendwelche personenbezogenen Daten erhalten haben, statt nur derer, die deine bekommen haben (ORS 646A.574). Diese Rechte beruhen auf dem Recht der einzelnen Bundesstaaten, deshalb hängt es von deinem Wohnort ab, was du verlangen kannst.

Wer in Kalifornien lebt, kann außerdem DROP nutzen, die Delete Request and Opt-out Platform, um einen einzigen Löschantrag an alle registrierten Datenhändler zu schicken. Die Plattform ging am 1. Januar 2026 an den Start, und seit dem 1. August 2026 müssen Datenhändler die Anträge mindestens alle 45 Tage bearbeiten. Sie erreicht nur Datenhändler, also Unternehmen, mit denen du keine direkte Beziehung hast, nicht den Shop, dem du deine Adresse gegeben hast.

Die Datenhändler-Register von Kalifornien, Vermont, Texas und Oregon kann jeder durchsuchen. Such dort nach dem Firmennamen des Absenders und den Domains aus Schritt 2. Ein Treffer zeigt dir, dass der Absender ein registrierter Datenhändler ist – eines der Unternehmen, die DROP erreicht, wenn du in Kalifornien lebst.

Was dir jede Anfrage bringt

Überall: der Versanddienst

Der Versanddienst, der in DKIM-Signature d=, Return-Path oder List-Unsubscribe steht, hat eigene Regeln. Die Acceptable Use Policy von Mailchimp (Nutzungsrichtlinie) verbietet zum Beispiel den Versand an „gekaufte, gemietete, Drittanbieter-, Co-Reg-Listen, Listen mit öffentlich verfügbaren Daten oder Partnerlisten jeglicher Art“, und die Abuse-Abteilung verlangt „den vollständigen E-Mail-Header“ (beides geprüft am 25. September 2026). Schick der Abuse-Stelle des Dienstes die vollständigen Header. Sie wird dir nicht sagen, wer deine Adresse verkauft hat, kann aber verhindern, dass der Absender den Dienst weiter nutzt.

Was du tust, sobald du es weißt

• Gib die Adresse auf. Gib dem Unternehmen, bei dem sie abgeflossen ist, eine neue Adresse oder schließ das Konto, und schalte die alte dann ab oder lösche sie. Lass sie funktionieren, bis jede Auskunftsanfrage beantwortet ist, denn die Antwort oder eine Identitätsprüfung kann an sie gehen. Ist es deine Hauptadresse, arbeite mit Filtern.
• Sorg dafür, dass es aufhört. Schick den Widerspruch nach Art. 21 (EU, Vereinigtes Königreich), melde dich bei seriösen US-Absendern ab oder widersprich dem Verkauf und dem Teilen und nutze DROP (Kalifornien). Hat das Abmelden schon früher nicht geklappt, lies, warum Abmelden oft nicht funktioniert.
• Melde es in den USA unter ReportFraud.ftc.gov, im Vereinigten Königreich über das Spam-Meldetool des ICO (es antwortet nicht auf einzelne Meldungen) oder bei der Abuse-Stelle des Versanddienstes, und markiere die Mail in deiner Mail-App als Spam.
• War es ein Datenleck, sichere auch das Konto ab (siehe „Häufige Fragen“).

Verkaufen Unternehmen deine E-Mail-Adresse, und ist das legal?

Ja, manche tun das. Die US-Handelsbehörde FTC schreibt: „Wenn du einem Unternehmen deine E-Mail-Adresse gibst, kann es sie mit Dritten teilen oder an Dritte verkaufen.“ In den USA erlaubt das Bundesrecht das, bis du widersprichst. Im Vereinigten Königreich und in der EU braucht ein Unternehmen deine Einwilligung, um dir E-Mails zu schicken, wenn es deine Adresse von einer gekauften Liste hat, und im Vereinigten Königreich braucht es in der Regel deine Einwilligung, um eine solche Liste zu verkaufen.

• USA: Nach dem Bundesgesetz CAN-SPAM braucht ein Unternehmen keine Einwilligung, um dir Werbe-E-Mails zu schicken. Sobald du widersprichst, hat es 10 Geschäftstage Zeit, damit aufzuhören, und darf deine Adresse nicht verkaufen oder übertragen. Kalifornien ergänzt ein Widerspruchsrecht gegen den Verkauf, und „verkaufen“ umfasst dort auch das Vermieten oder Bereitstellen von Daten gegen eine „andere wertvolle Gegenleistung“ – ein Tausch mit einem Partner kann also auch ohne Geld darunterfallen. „Teilen“ (Sharing) ist ein eigener Begriff, für kontextübergreifende verhaltensbasierte Werbung.
• Vereinigtes Königreich: Nach den Privacy and Electronic Communications Regulations (PECR) darf ein Unternehmen Personen auf einer gekauften Liste nur dann E-Mails schicken, wenn sie „ausdrücklich eingewilligt haben, diese Art von Nachricht“ von ihm zu erhalten. Eine pauschale Einwilligung zugunsten beliebiger Dritter genügt nicht, und der Verkauf einer Liste erfordert in der Regel die Einwilligung der Personen darauf (Leitfaden des ICO, der nach dem Data (Use and Access) Act überarbeitet wird). Für Adressen bei Unternehmen gelten andere Regeln.
• EU: Die ePrivacy-Richtlinie erlaubt Werbe-E-Mails nur mit „vorheriger Einwilligung“ – ausgenommen ist ein Verkäufer, der bei seinen eigenen Kunden für ähnliche Produkte wirbt, eine Ausnahme, auf die sich ein Listenkäufer nicht berufen kann.

Warum der Plus-Trick ein schwacher Beweis ist

Beim „Gmail-Trick“ meldest du dich mit einer Adresse mit Zusatz an (Plus-Adressierung, also die Adresse mit dem +), etwa you+shopname@example.com für you@example.com, und beobachtest, welcher Zusatz im Spam auftaucht. Googles eigene Beschreibung zeigt die Schwäche: „Nachrichten, die an deine aktuelle Adresse oder an eine Variante mit Pluszeichen gesendet werden, landen alle in deinem aktuellen Posteingang.“

• Deine echte Adresse ist offen sichtbar. Wird der Zusatz gelöscht, erreicht dich die Mail trotzdem – und der Beweis ist weg.
• Der Zusatz bedeutet dem Absender nichts. Nur dein Anbieter wertet den Teil vor dem @ aus (RFC 5321, §2.3.11), und das Trennzeichen unterscheidet sich je nach System (RFC 5233).
• Der Trick beweist weniger, als es scheint. Eine Adresse mit Zusatz im Spam zeigt, dass sie dieses Unternehmen verlassen hat, aber nicht, ob sie verkauft, weitergegeben oder bei einem Datenleck erbeutet wurde. Und kommt kein Spam mit Zusatz an, entlastet das niemanden: Der Zusatz wurde vielleicht einfach entfernt.

Der Punkt-Trick – your.name für das eine Unternehmen, yo.urname für das andere – ist noch schwächer: Gmail ignoriert Punkte in privaten Adressen, deshalb kann jeder sie entfernen (bei Konten von Arbeit oder Schule zählen Punkte sehr wohl). Zum Filtern taugt die Plus-Adressierung trotzdem; wo sie funktioniert, erklärt der Ratgeber zur Plus-Adressierung.

Schritt 5: Sorg dafür, dass sich das nächste Leck selbst verrät

Die zuverlässige Methode wirkt nach vorn: Gib jedem Unternehmen eine eigene Adresse, die deine echte nicht enthält. Schreibt dir jemand anderes an die Adresse, die nur ein Shop bekommen hat, weißt du, wo sie abgeflossen ist, und du kannst genau diese eine Adresse abschalten.

• CatchNone gibt jedem Unternehmen einen eigenen Alias und kennzeichnet jede Nachricht mit dem Alias, an den sie ging, so fällt eine verkaufte Adresse auf, ohne dass du Header lesen musst. @catchnone.com-Adressen erfordern Premium; eine Domain, die dir gehört, funktioniert auch im Tarif „Kostenlos“.
• Alias-Dienste wie Apples „E-Mail-Adresse verbergen“ (Hide My Email) (mit iCloud+), DuckDuckGo Email Protection, SimpleLogin, addy.io und Firefox Relay leiten an deinen Posteingang weiter. Die Unterschiede zeigt der Vergleich von E-Mail-Alias-Anbietern.
• Eine Catch-all-Adresse auf deiner eigenen Domain nimmt Mails an jede beliebige Adresse dort an, sodass du dir für jede Anmeldung eine eigene ausdenken kannst. Cloudflare E-Mail-Routing etwa gibt es in kostenlosen und kostenpflichtigen Tarifen (Stand: September 2026), und es bietet eine Catch-all-Regel. Die Vor- und Nachteile erklärt der Artikel Was ist eine Catch-all-E-Mail-Adresse?

Nimm lieber zufällige Adressen als erratbare wie gardenshop@example.com, die sich ein Spammer bei einer Catch-all-Adresse selbst ausdenken könnte, und notiere dir, welche Adresse du wem gegeben hast.

CatchNone: Jede Nachricht zeigt die Adresse, an die sie ging

CatchNone ist für Schritt 5 gebaut. Du gibst jedem Shop, Newsletter oder Konto einen eigenen Alias, und jede Nachricht in der App ist mit dem Alias gekennzeichnet, an den sie ging. Schreibt dir ein Fremder an die Adresse, die nur der Gartenshop bekommen hat, zeigt die Kennzeichnung, wo sie abgeflossen ist, ganz ohne Header zu lesen. „Aktivität“ weist auf Mails an einen Alias hin, den du als „Nicht in Verwendung“ markiert hast, und auf neue Absender, und eine abgeflossene @catchnone.com-Adresse kannst du abschalten: Mails gehen dann an den Absender zurück, während deine anderen Aliasse weiter funktionieren.

Mit Premium bekommst du zufällige @catchnone.com-Adressen wie abcde-12345@catchnone.com, ganz ohne Domain, DNS oder Postfach, das du einrichten müsstest, und selbst Mails in Bcc werden zugeordnet. Oder du nutzt eine eigene Domain, deren Mails dein Anbieter bereits in einen Posteingang zustellt: Die App liest dieses Postfach nur lesend über IMAP oder JMAP direkt von deinem Gerät aus, mit bis zu 10 Aliassen im Tarif „Kostenlos“ und ohne Limit mit Lite und Premium. CatchNone ist für iPhone, iPad und Mac verfügbar.

Die App wirkt nach vorn, nicht rückwirkend bei Adressen, die du früher verwendet hast, und sie hat weder eine Datenbank mit Datenlecks noch eine Leck-Erkennung: Die Kennzeichnungen und die Hinweise unter „Aktivität“ sind Belege, die du selbst bewertest. Auf deiner eigenen Domain liest sie nur den Posteingang, und nur Mails, deren An-, Cc- oder Bcc-Zeile eine Adresse auf deiner Domain nennt – Spam, der im Spam-Ordner landet, erscheint also nicht. Markierst du dort einen Alias als „Nicht in Verwendung“, ist das nur eine Kennzeichnung; sperr eine abgeflossene Adresse deshalb bei deinem Anbieter. Nachrichten an @catchnone.com werden 30 Tage nach Eingang gelöscht. Markiere deshalb alle, die du als Beweis brauchst, damit der vollständige Text auf deinem Gerät erhalten bleibt.

Häufige Fragen

Was tun, wenn ein Unternehmen meine E-Mail-Adresse geleakt hat?

Schlag die Adresse bei Have I Been Pwned nach, um zu sehen, in welchem Datenleck sie steckte und was sonst noch mit ihr abgeflossen ist. Ändere das Passwort für diese Website und überall dort, wo du es wiederverwendet hast, und aktiviere die Zwei-Faktor-Authentifizierung. Rechne mit Phishing-Mails, die die geleakten Details zitieren, und folge keinen Links in Nachrichten, die das Datenleck erwähnen. Hast du dem Unternehmen eine eigene Adresse gegeben, gib sie auf und gib dem Unternehmen eine neue.

Verkaufen LinkedIn oder Google meine E-Mail-Adresse?

Keines der beiden Unternehmen gibt an, deine personenbezogenen Daten zu verkaufen, aber LinkedIn gibt an, sie für kontextübergreifende Werbung zu teilen. In seiner Datenschutzerklärung für Kalifornien steht „We Do Not Sell Your Personal Information“ (Wir verkaufen deine personenbezogenen Daten nicht), und Menschen in Kalifornien können dort diesem Teilen widersprechen. Googles Safety Center (Sicherheitscenter) sagt: „Wir verkaufen deine personenbezogenen Daten niemals an irgendjemanden.“ Die Datenschutzerklärung (gültig ab 26. Mai 2026) besagt, dass Google personenbezogene Daten nur in aufgezählten Fällen außerhalb von Google weitergibt, als Erstes mit deiner Einwilligung. Alle drei Seiten wurden am 25. September 2026 geprüft. Lies bei anderen Unternehmen die Datenschutzerklärung und unterscheide zwischen „verkaufen“ und „teilen“.

Wer kauft E-Mail-Adressen?

Datenhändler, Adresshändler und Werbetreibende; die oben genannten Register der Bundesstaaten führen registrierte Händler auf. Der Adresshandel kann ganz offen ablaufen: Im Fall Österreichische Post gab das österreichische Postunternehmen an, personenbezogene Daten „Handelspartnern zu Marketingzwecken“ anzubieten, und nannte später Empfänger, darunter „Adressverlage“. In dem Fall ging es um Daten, die ein Postunternehmen gespeichert hatte, nicht um E-Mail-Adressen.