Ein föderiertes Empfehlungssystem für Datenschutz kaufen und es dann kündigen
Google hat seinen datenschutzfreundlichen Personalisierungs-Stack im Oktober nach sechs Jahren eingestellt, und Händler haben die falsche Lehre daraus gezogen. Das Datenschutzargument für föderierte Empfehlungssysteme ist das schwächste verfügbare Argument; das Kontrollargument ist dasjenige, das den Kontakt mit der Fachliteratur übersteht.
Sir John Crabstone
Google hat sechs Jahre lang an datenschutzfreundlicher Personalisierung gebaut – und sie dann einfach abgeschaltet. On-Device Personalization und Protected Audience wurden am 17. Oktober 2025 eingestellt, begründet in der Ankündigung mit “ihrer geringen Verbreitung”. Händler lasen darin den Beweis, dass sich Datenschutztechnologie nicht auszahlt. Die treffendere Lesart ist: Sie war nie ihr Eigentum, das es zu behalten galt.
Das Scheitern der Verbreitung war rational, denn das Angebot war eine Steuer. Großbritanniens Wettbewerbsbehörde rechnete es durch: Der Publisher-Umsatz pro Impression lag ohne Third-Party-Cookies rund 30 % niedriger – und das, nachdem man alles eingerechnet hatte, was die Sandbox wieder ausgleichen konnte. Verkauft als Preis für Compliance, erhielt die Architektur genau das Budget, das Compliance bekommt. Niemand finanziert sechs Jahre lang eine Kostenstelle.
Die Verpflichtung und die technische Entwicklung endeten gemeinsam. Die CMA gab die Zusagen frei, die die Sandbox seit 2022 regelten, mit der Begründung, ihre Wettbewerbsbedenken “bestünden nicht mehr” – und die Technologien verschwanden am selben Tag. Wir haben heute früh bereits festgestellt, dass Google nun sowohl die Anzeigetafel als auch das Regelwerk für KI-Sichtbarkeit in der Hand hält. Die Sandbox ist dieselbe Lektion, nur rückwärts erzählt: das Regelwerk zurückgezogen – von der Partei, die es selbst geschrieben hat.
Händler, die föderierte Personalisierung erwägen, sollten bedenken, dass das Datenschutzargument das schwächste der angebotenen ist. Eine im vergangenen Juli veröffentlichte Vergiftungsmethode steuert ein föderiertes Empfehlungssystem gezielt gegen eine ausgewählte Nutzergruppe, sobald 0,1 % der Nutzer bösartig agieren – und übersteht dabei die üblichen Abwehrmaßnahmen mühelos. Lokale Daten sind keine privaten Daten. Es sind lediglich Daten, die man noch nicht gesendet hat.
Die Rekonstruktion ist das schärfere Problem. PIECK approximiert private Nutzer-Embeddings allein aus den Item-Embeddings, die sich während des Trainings verändern – eine Bedrohung, der die eigenen Autoren selbst nur teilweise mit einer vorgeschlagenen Abwehrmaßnahme begegnen. Ein Server braucht nicht die Historie Ihrer Kundin. Er muss nur beobachten, wie sie diese zurückhält.
Also sollte man es aus dem Grund bauen, der die Fachliteratur übersteht. Föderiertes Training verzichtet auf den Sammelschritt und verlagert das Modell zum Client, sodass zurückkommt, was Parameter sind, nicht Menschen. Der Verhaltensdatensatz bleibt dort, wo das Verhalten stattfand. Das ist kein Datenschutz – das ist Kontrolle.
Vergessen ist das einzige Merkmal, das eine Plattform nicht weiterverkaufen kann.
Die Modebranche hat die andere Version dieses Deals bereits unterschrieben. Zwei Drittel der US-amerikanischen Fachleute für Daten und Werbung nutzen inzwischen Clean Rooms – als Reaktion auf Datenschutzgesetze und Signalverlust, laut Zahlen von IAB und BWG Strategy –, und die ummauerten Clean Rooms von Amazon und Google beschränken die Analyse auf das jeweils eigene Publikum der Plattform. Die Marke geht mit einer Erkenntnis nach Hause. Die Kundin bleibt zurück – auf der Seite der Plattform, hinter der Mauer.
Die Abhängigkeit wächst leise weiter. Ein Label, das über einen Marktplatz verkauft, erfährt, welche Kampagne funktioniert hat; der Marktplatz erfährt, wer die Kundin ist, was sie beinahe gekauft hätte und was sie im September wollen wird. Das eine ist eine Antwort. Das andere ist ein Vermögenswert – und der fällt dem zu, der das Protokoll führt.
Googles Architektur wurde von dem Unternehmen abgeschaltet, das sie gebaut hat, nach einem Zeitplan, den ihre Nutzer nicht selbst festgelegt hatten. Das ist das ganze Argument dafür, die eigene zu besitzen. Die Frage, die es wert ist, sich damit auseinanderzusetzen: Was läuft bei Ihnen derzeit noch nach dem Kalender eines anderen?