Studienlage & Gesetzesgrundlagen

Kein einzelner Bankmanager wurde in diesem Verfahren strafrechtlich angeklagt, es blieb bei der Entlassung von 13 Mitarbeitern. Das Gesamtvolumen der über Jahre abgewickelten sanktionierten Transaktionen wird in Sekundärquellen uneinheitlich beziffert, teils mit über 30 Milliarden, teils mit bis zu rund 190 Milliarden Dollar. Ob seither ein höheres Sanktionsbußgeld gegen ein Finanzinstitut verhängt wurde, ist in verfügbaren Quellen unterschiedlich bewertet.

Offen bleibt, wie die Grundsatzentscheidung in der Praxis auf Grenzfälle wie Cloud-Daten, verschlüsselte Geräte oder Notfallsituationen angewendet wird. Nicht Teil des Urteils sind spätere technische Entwicklungen wie biometrische Entsperrung oder die genaue Reichweite bei Grenzkontrollen.

Das Gründungsdokument selbst sieht keinen einheitlichen landesweiten Punktescore für alle Bürger vor, wie ihn westliche Berichterstattung häufig suggeriert. Analysen des China-Instituts MERICS zeigen, dass die tatsächliche Umsetzung bis heute in zahlreiche lokale Pilotprojekte zersplittert blieb und deutlich weniger digitalisiert ist als oft dargestellt. Wie einheitlich die vorgesehenen Sanktionen in der Praxis über verschiedene Provinzen und Städte hinweg angewendet werden, ist aus dieser Primärquelle allein nicht abschließend belegt.

Das ist einer der eindrücklichsten Einzelfakten der ganzen Recherche: EIN EINZIGES Unternehmen sammelt monatlich 3 Milliarden neue Datenpunkte — und das bereits vor über zehn Jahren festgestellt, die Größenordnung dürfte seither eher gewachsen sein. Besonders alarmierend: Auch sensible Kategorien wie religiöse und politische Zugehörigkeit werden erfasst — Daten, die in Deutschland/der EU als besonders schützenswert gelten (DSGVO Art. 9).

Aus der Quelle nicht belegt sind die genaue Zahl der ursprünglich kompromittierten Mitarbeiterkonten sowie ob und in welcher Höhe Aufsichtsbehörden außerhalb der USA Bußgelder gegen eBay verhängt haben.

Wie viele der 145 Millionen Nutzerkonten tatsächlich betroffen waren, bleibt offen, eBay nannte nur die Gesamtzahl aktiver Nutzer als Referenzgröße. Wie die Angreifer die anfänglichen Mitarbeiter-Zugangsdaten erbeuteten, ist ebenso unklar wie ihre Identität.

Aus dem Urteilstext selbst geht nicht hervor, wie Google die Abwägungskriterien zwischen Persönlichkeitsrecht und öffentlichem Informationsinteresse im Einzelfall genau anwendet; die späteren Fallzahlen stammen aus separaten Google-Transparenzberichten.

Wie viele Löschanträge Google infolge des Urteils konkret erhielt, ist nicht dokumentiert. Die spätere Kodifizierung in Artikel 17 DSGVO 2018 ist nicht Teil dieser Quelle.

Die genaue Identität der Angreifer und der exakte Infektionsweg der Malware in die Kassensysteme wurden in der Quelle nicht benannt. Offen blieb zudem, ob und in welchem Umfang die gestohlenen Kartendaten tatsächlich für Betrug genutzt wurden, auch wenn Michaels vereinzelte Betrugsmeldungen von Banken erwähnte.

Das höchste EU-Gericht hat schon 2014 gesagt: Alle Bürger anlasslos auf Vorrat zu überwachen, ist rechtswidrig. Das ist keine neue Erkenntnis — das gilt seit über zehn Jahren.

Wie einzelne EU-Mitgliedstaaten ihre nationalen Umsetzungsgesetze anpassten, ist nicht Gegenstand dieser Pressemitteilung. Die spätere Rechtsprechung zu Tele2/Watson 2016 oder La Quadrature du Net 2020 stellt eigene, spätere Fälle dar.

Nicht belegt ist, in welchem Umfang die Vorratsdatenspeicherung vor 2014 tatsächlich zur Aufklärung von Straftaten beitrug. Offen blieb zunächst, welche nationalen Umsetzungsgesetze automatisch unwirksam wurden, da nationale Verfassungsgerichte dies separat entscheiden mussten.