Datenbroker-Löschung im Antivirus: In Deutschland läuft sie ins Leere

Wer in Deutschland ein großes Sicherheitspaket kauft, bekommt seit einigen Jahren mehr als Virenschutz: VPN, Passwort-Manager, Darknet-Überwachung und bei den vier größten Anbietern eine Funktion, die Ihre persönlichen Daten bei Datenbrokern aufspüren und löschen lassen soll. Bitdefender nennt sie „Digital Identity Protection", Avast und AVG „Personal Info Remover" in BreachGuard, McAfee „Persönliche Datenbereinigung", Norton „Privacy Monitor". Das Versprechen ist überall dasselbe: Die Software findet die Datenhändler, die Ihre Adresse, Ihr Geburtsdatum und Ihre Telefonnummer verkaufen, und schickt in Ihrem Namen die Löschanträge.

Für Kunden in Deutschland stimmt dieses Versprechen bei keinem der vier. Bei zweien ist die Funktion nach der Dokumentation des Herstellers auf andere Länder beschränkt, bei einem taucht sie im deutschen Funktionsumfang gar nicht auf, und beim vierten läuft sie zwar, zielt aber auf acht amerikanische Personensuchmaschinen, von denen drei aus Deutschland nicht einmal erreichbar sind. Dieser Artikel belegt das je Hersteller mit dessen eigenen Supportseiten und unabhängigen Tests, erklärt, warum die Lücke kein Versehen ist, und zeigt, was in Deutschland stattdessen wirkt.

Woher die Funktion kommt und für wen sie gebaut wurde

Alle vier Funktionen haben denselben Ursprung. In den USA existiert eine Branche, die es in Deutschland in dieser Form nicht gibt: Personensuchmaschinen wie Whitepages, Spokeo oder BeenVerified. Sie tragen Daten aus öffentlichen Registern zusammen, Wählerverzeichnisse, Grundbuchauszüge, Gerichtsakten, und verkaufen daraus Profile mit Anschrift, Alter, Verwandten und Telefonnummer. Weil diese Seiten sich nach dem kalifornischen Datenschutzgesetz CCPA an ein Opt-out halten müssen, bieten sie Formulare an, über die man sich austragen kann. Genau diese Formulare füllen die Antivirus-Funktionen automatisiert aus.

Das erklärt, warum die Hersteller überhaupt in dieses Feld eingestiegen sind: Der US-Markt hat ein klar umrissenes Problem, eine klar umrissene Liste von Gegnern und einen klar umrissenen Mechanismus. Eine Software, die einmal für Whitepages gebaut ist, funktioniert für die nächsten fünfzig Seiten derselben Bauart. Dass die Funktion in den deutschen Sicherheitspaketen dann als Marketingzeile weiterlebt, obwohl sie hier abgeschaltet oder wirkungslos ist, ist die Kehrseite dieses Ansatzes. Der Reihe nach.

Avast und AVG BreachGuard: Der Personal Info Remover bleibt in den USA

BreachGuard wird in Deutschland seit Jahren als Datenschutzprogramm verkauft, unter der Marke Avast und baugleich als AVG BreachGuard, beide gehören zu Gen Digital. Die zentrale Funktion heißt „Personal Info Remover" und übernimmt laut Hersteller das Einreichen von Löschanträgen bei Datenbrokern. Der Haken steht im offiziellen FAQ des Herstellers, wörtlich: „Personal Info Remover is only available for customers located in the USA." Wer sich von außerhalb anmeldet, sieht an dieser Stelle eine andere Funktion namens „Ads Opt-Out" (Quelle: Avast BreachGuard FAQ, offizieller Support; was Ads Opt-Out tut, beschreibt Avast in der Anleitung zu Online Security & Privacy).

Die deutsche Produktseite zieht daraus die Konsequenz und verschweigt die Funktion gleich ganz. Dort wird BreachGuard mit Darknet-Überwachung, Leak-Benachrichtigung und Sicherheitstipps beworben, das Wort Datenbroker fällt nicht. Wer das Produkt aber über einen Testbericht, ein Vergleichsportal oder die englische Herstellerseite kennenlernt, liest von der Datenbroker-Entfernung als Kernfunktion und kauft ein Programm, das diese Funktion am deutschen Wohnort nie freischaltet.

Norton Privacy Monitor: Löschanträge nur in den USA, Kanada und Großbritannien

Norton, ebenfalls Gen Digital, trennt sauber zwischen Anzeigen und Handeln. Der „Privacy Monitor" durchsucht Personensuch- und Datenbroker-Seiten nach Ihren Angaben und zeigt Ihnen die Treffer samt einer Schritt-für-Schritt-Anleitung, wie Sie sich dort selbst austragen. Das eigentliche Löschen übernimmt erst der „Privacy Monitor Assistant", bei dem Norton-Mitarbeiter die Opt-out-Anträge alle 90 Tage in Ihrem Namen einreichen. Und der ist laut Hersteller-Supportseite derzeit nur in ausgewählten Regionen erhältlich, namentlich in den USA, Kanada und Großbritannien, abhängig vom Tarif und vom Land des Kaufs (Quelle: Norton Support: Getting started with Privacy Monitor).

Auf der deutschen Produktseite von Norton 360 Deluxe taucht weder der Privacy Monitor noch der Assistant auf. Beworben werden VPN, Dark Web Monitoring, Passwort-Manager und AntiTrack. Wer die Datenbroker-Funktion aus einem englischsprachigen Test kennt und deshalb in Deutschland zu Norton greift, kauft etwas, das es hier gar nicht gibt. Und selbst dort, wo der Privacy Monitor ohne Assistant läuft, bleibt die Arbeit bei Ihnen: Die Software zeigt, das Formular füllen Sie aus.

McAfee Persönliche Datenbereinigung: Im deutschen Paket nicht enthalten

McAfee hat seine „Personal Data Cleanup" im April 2022 vorgestellt, ausdrücklich für den US-Markt, mit damals „mehr als 40 Datenbroker- und Personensuch-Websites" und einem Mechanismus, der Ihnen zeigt, wo Ihre Daten liegen, und Löschschritte vorschlägt (Quelle: Pressemitteilung McAfee vom 28. April 2022). Im Programm heißt die Funktion auf Deutsch „Persönliche Datenbereinigung", und unter diesem Namen taucht sie in deutschsprachigen Tests und Vergleichslisten regelmäßig als Vorteil von McAfee+ auf.

Die deutsche Produktseite des größten Pakets, McAfee+ Ultimate, führt sie nicht. Die Funktionsliste dort nennt Betrugsschutz, Virenschutz, Web-Schutz, Datei-Shredder, Tracker-Bereinigung, Firewall, Identitätsüberwachung, Kennwort-Manager, Identitätswiederherstellung, Schutz beim Verlust der Geldbörse, Online Account Cleanup, Social Privacy Manager und VPN. Die Datenbroker-Funktion fehlt, und zwar nicht mit einem Sternchen, sondern ganz (Stand: September 2026, geprüft auf der deutschen Herstellerseite). Die „Tracker-Bereinigung" räumt Trackingspuren auf dem eigenen Gerät auf, der „Online Account Cleanup" sucht alte Nutzerkonten. Beides hat mit Datenhändlern nichts zu tun, klingt aber ähnlich genug, um im Verkaufsgespräch verwechselt zu werden.

Wer den deutschen Datenhandel stattdessen an der Quelle angehen will, braucht kein Sicherheitspaket, sondern die passenden Empfänger und die passende Rechtsgrundlage. Löschanträge an deutsche Adressverlage und Werbedatenbanken auf den Weg bringen, statt auf eine Funktion zu warten, die für den deutschen Markt nicht gebaut wurde.

Bitdefender Digital Identity Protection: acht Broker, drei davon aus Deutschland nicht erreichbar

Bitdefender ist der einzige der vier Hersteller, bei dem die Datenbroker-Funktion in Deutschland tatsächlich freigeschaltet ist. Deshalb lohnt sich hier der genaue Blick, denn zwei unabhängige deutsche Tests kommen mit zwei Jahren Abstand zu demselben Befund. netzwelt hat Digital Identity Protection am 29. Juli 2024 getestet und schreibt zum Datenbroker-Bereich: Von den acht angebundenen Brokern seien drei nur aus Nordamerika oder mit VPN erreichbar, die übrigen fünf „eindeutig auf die USA spezialisiert", bei der Adresseingabe stünden nur US-Bundesstaaten zur Auswahl, eine deutsche Anschrift lasse sich nicht suchen (Quelle: netzwelt, Testbericht vom 29.07.2024).

Ein zweiter Test vom 13. Juni 2026 bestätigt das Bild fast wortgleich: Drei der acht Broker ließen sich in Deutschland gar nicht erst aufrufen, deutsche Anschriften ließen sich nicht eingeben, die Telefonsuche akzeptierte nur US-Formate, und einer der Broker, Whitepages, verlangte für vollständige Ergebnisse Gebühren. Der Bereich sei für europäische Anwender „noch wenig ausgereift" (Quelle: felix-bauer-it.de, Test vom 13.06.2026). Bezeichnend ist auch, was im deutschen Benutzerhandbuch von Bitdefender steht: Datenhändler werden dort nur als eine von mehreren Quellen genannt, die das Programm nach Ihren Daten durchsucht. Ein Löschmechanismus wird nicht beschrieben.

Die Löschung selbst funktioniert bei Bitdefender so, dass Sie je Treffer die Anfrage an den Broker auslösen. Für die fünf erreichbaren US-Seiten mag das seinen Wert haben, falls Sie je in den USA gelebt haben. Für Acxiom, AZ Direct, Deutsche Post Direkt oder Schober, also die Adressbestände, aus denen in Deutschland Werbepost und Telefonwerbung entstehen, bietet die Funktion keinen einzigen Anknüpfungspunkt.

Die vier Hersteller im direkten Vergleich

Bemerkenswert ist das Muster in der zweiten und dritten Spalte: Je konkreter der Hersteller die Funktion auf der englischen Seite beschreibt, desto vollständiger fehlt sie auf der deutschen. Kein Hersteller behauptet auf seiner deutschen Seite etwas Falsches. Die Lücke entsteht dazwischen, in Vergleichstests, Händlerbeschreibungen und dem Gedächtnis des Käufers, der die Funktion aus einem englischen Video kennt.

Warum die Funktion für Deutschland nicht einfach nachgerüstet wird

Man könnte erwarten, dass die Hersteller ihre Broker-Listen um deutsche Anbieter ergänzen und die Sache erledigt ist. Das scheitert nicht am Willen, sondern am Mechanismus. Eine US-Personensuchmaschine ist eine Website mit einem Suchfeld und einem Opt-out-Formular. Die Software gibt Ihren Namen ein, findet das Profil, klickt den Austragen-Link, fertig. Der deutsche Datenhandel hat kein Suchfeld. Adressverlage wie AZ Direct, Schober oder Deutsche Post Direkt betreiben keine öffentliche Profilseite über Sie. Ihre Daten liegen in Datenbanken, die an Versender, Callcenter und Werbetreibende vermietet werden, ohne dass Sie sie je zu Gesicht bekommen. Werbetechnik-Anbieter wie Criteo, The Trade Desk oder LiveRamp kennen Sie unter Kennungen, nicht unter Ihrem Namen.

Gegen solche Bestände hilft kein Formular, das man anklicken kann, sondern ein Rechtsanspruch, den das Unternehmen erfüllen muss: der Löschantrag nach Art. 17 DSGVO. Der verpflichtet den Empfänger, Daten zu löschen, für deren Verarbeitung keine Rechtsgrundlage mehr besteht, und binnen eines Monats zu antworten. Das ist ein grundlegend anderer Vorgang als ein Opt-out. Er ist zugleich der Grund, warum die US-Dienste selbst, wenn sie in Deutschland verkaufen, hier an ihre Grenzen stoßen: Wir haben das für Incogni und DeleteMe im Einzelnen aufgeschrieben, und die Sicherheitspakete stehen mit ihren angehängten Broker-Funktionen noch eine Stufe darunter.

Eine Grenze gilt allerdings für jeden Löschantrag, egal wer ihn stellt, und die sollten Sie kennen, bevor Ihnen jemand das Gegenteil verspricht: Auskunfteien wie die SCHUFA, Creditreform Boniversum oder CRIF verarbeiten Bonitätsdaten auf eigener Rechtsgrundlage. Ein korrekter Eintrag dort lässt sich nicht per Art. 17 wegschreiben. Der Löschantrag greift bei Werbe-, Profil- und Trackingdaten, und bei Konzernen mit beiden Sparten, etwa Experian oder Riverty, eben nur bei der Marketingsparte. Wer Ihnen die Löschung eines SCHUFA-Eintrags per Software verkauft, verkauft Ihnen ein Versprechen, das keine Rechtsgrundlage hat.

Für alles, was der Löschantrag erfasst, ist entscheidend, dass er beim richtigen Empfänger ankommt, mit vollständiger Identifikation, und dass die Antwortfrist nachgehalten wird. Löschschutz für Adressverlage und Werbedatenbanken einrichten, mit Anträgen nach Art. 17 an über 100 Werbe- und Adressdatenbanken und Wiedervorlage, wenn eine Antwort ausbleibt.

So prüfen Sie in fünf Minuten, was Ihre Suite bei Ihnen wirklich tut

Falls Sie eines der Pakete bereits besitzen oder gerade vergleichen, brauchen Sie keinen Testbericht. Vier Handgriffe reichen, und sie funktionieren bei jedem Hersteller:

• Deutsche gegen englische Produktseite halten: Rufen Sie das gleiche Paket einmal mit „/de-de/" und einmal mit „/en-us/" in der Adresse auf. Steht die Datenbroker-Funktion nur auf der englischen Seite, ist sie für Ihren Markt nicht vorgesehen. Bei Avast, Norton und McAfee ist genau das der Fall; Bitdefender schaltet den Bereich frei, füllt ihn aber mit US-Seiten.
• Das Adressfeld im Programm testen: Öffnen Sie den Datenbroker-Bereich und versuchen Sie, Ihre Anschrift einzugeben. Bietet das Feld nur US-Bundesstaaten oder eine fünfstellige ZIP an, sucht die Software dort, wo Sie nicht wohnen. Bei Bitdefender ist das der dokumentierte Zustand.
• Die Broker-Liste lesen: Jeder Hersteller veröffentlicht oder zeigt im Programm, welche Anbieter abgedeckt sind. Stehen dort ausschließlich Namen wie Whitepages, Spokeo, BeenVerified oder Radaris, ist die Liste für den US-Markt gebaut. Ein deutscher Adressverlag wird Ihnen darin nicht begegnen.
• Den Support-Artikel zur Region suchen: Suchen Sie auf der Supportseite des Herstellers nach dem Funktionsnamen plus „available" oder „region". Die Einschränkung steht meist in einem Satz, den die Produktseite nicht wiederholt. Bei Avast ist er oben wörtlich zitiert, bei Norton verlinkt.

Und ein fünfter Handgriff, falls die Funktion bei Ihnen läuft und Treffer zeigt: Prüfen Sie, ob nach dem Klick auf „Entfernen" tatsächlich ein Antrag mit Ihrer Identifikation an den Broker geht oder nur ein Widerspruch bei Werbenetzwerken hinterlegt wird. Wie sich eine Opt-out-Einstellung von einer Löschung unterscheidet und warum ein Widerspruch im Browser nie rückwirkend wirkt, haben wir in der Anleitung zum richtigen Ablehnen von Cookie-Bannern beschrieben.

Löschantrag nach Art. 17 DSGVO statt Opt-out-Formular: der Unterschied im Ergebnis

Ein Opt-out sagt dem Empfänger: Zeig mir das nicht mehr. Ein Löschantrag sagt ihm: Du darfst das nicht mehr haben. Der Unterschied klingt akademisch, entscheidet aber darüber, ob Ihre Daten beim nächsten Datenbankverkauf, beim nächsten Adressabgleich und beim nächsten Leak noch da sind. Beim Opt-out bleiben sie es. Beim Löschantrag muss der Empfänger sie entfernen, Ihnen das innerhalb eines Monats bestätigen (Art. 12 Abs. 3 DSGVO) und bei einer Weigerung begründen, warum er sie behalten darf. Bleibt die Antwort aus oder ist die Begründung fadenscheinig, steht Ihnen die Beschwerde bei der Datenschutzaufsicht offen (Art. 77 DSGVO), und die Aufsichtsbehörden nehmen Adresshändler seit Jahren als Dauerthema ernst.

Praktisch bedeutet das: Der Antrag muss Sie eindeutig identifizieren, damit der Empfänger nicht mit „wir konnten Sie nicht zuordnen" antworten kann. Er muss an die richtige Stelle gehen, bei großen Adressverlagen ist das ein benannter Datenschutzbeauftragter, nicht das Kontaktformular. Und er muss nachgehalten werden, weil viele Empfänger erst auf die Erinnerung nach Fristablauf reagieren. Genau diese drei Punkte kosten bei dreißig, fünfzig oder hundert Empfängern die Zeit, nicht das Schreiben des ersten Briefs. Die Sicherheitspakete lösen davon in Deutschland keinen. Sie zeigen im besten Fall Treffer auf Seiten, auf denen Sie nie standen.

Wenn Sie das nicht selbst abarbeiten wollen, ist das der Punkt, an dem ein Dienst für den deutschen Markt ansetzt: Löschanträge nach Art. 17 an die deutschen und europäischen Datenbroker stellen lassen, mit Fristenkontrolle und Erinnerung, statt sich auf eine Marketingzeile zu verlassen.

Die kurze Antwort

Kaufen Sie ein Sicherheitspaket für Virenschutz, VPN oder Passwort-Manager, wenn Sie das brauchen. Kaufen Sie es nicht für die Datenbroker-Löschung, wenn Sie in Deutschland wohnen. Bei Avast, AVG und Norton ist die Funktion nach Herstellerangabe regional gesperrt, bei McAfee im deutschen Paket nicht enthalten, bei Bitdefender auf acht US-Seiten beschränkt. Das Problem, das die Funktion lösen soll, existiert auch in Deutschland, nur mit anderen Gegnern und einem anderen Hebel. Wer es angehen will, braucht Löschanträge nach Art. 17 DSGVO an Adressverlage, Werbetechnik und die Marketingsparten der Auskunfteien, und braucht jemanden, der die Antworten nachhält.