Quellen-Tabelle

Der BGH stellte am 28.07.2021 im ersten bundesweiten Cum-Ex-Strafverfahren höchstrichterlich fest, dass die Geschäfte Steuerhinterziehung waren, und ordnete die Einziehung von rund 176 Mio. Euro bei der Bank M.M. Warburg an.

Primärquelle, die offizielle Pressemitteilung des BGH zum Grundsatzurteil.

Das Verfahren gegen den früheren Warburg-Mitinhaber Christian Olearius wegen mutmaßlich 14-facher schwerer Steuerhinterziehung wurde wegen dauerhafter Verhandlungsunfähigkeit eingestellt.

Eine Verfahrenseinstellung wegen Verhandlungsunfähigkeit ist kein Freispruch und keine Verurteilung.

Die HypoVereinsbank akzeptierte Bußgeldbescheide von 9,8 sowie weiteren 19,1 Mio. Euro, weil im Cum-Ex-Komplex mehrfach Kapitalertragsteuer auf dieselben Dividenden erstattet worden war.

Belegt beide Bußgeldbescheide gegen die HypoVereinsbank getrennt voneinander.

Der BGH erklärte am 27.04.2021 (Az. XI ZR 26/20) die in Banken-AGB verbreitete Zustimmungsfiktion für unwirksam, Schweigen der Kunden durfte nicht länger als Zustimmung zu Gebührenerhöhungen gelten.

Betrifft alle Banken, die diese Klausel verwendeten, nicht nur die konkret beklagte Bank.

Die Deutsche Bank plante nach dem BGH-Zustimmungsfiktion-Urteil mit rund 300 Mio. Euro Rückerstattungen an Kunden für unrechtmäßig erhöhte Kontogebühren.

Eine geplante Rückstellung ist keine Aussage darüber, wie viel tatsächlich an Kunden ausgezahlt wurde.

Der BGH entschied am 04.02.2025 in vier Verfahren der Verbraucherzentralen, dass Verwahrentgelte auf Giro-, Tagesgeld- und Sparkonten unzulässig waren. Zum Höchststand im Mai 2022 hatten mindestens 455 deutsche Banken solche Negativzinsen verlangt.

Belegt Urteilsdatum und die Zahl betroffener Banken zum Höchststand 2022.

Im Streit um die Kirch-Pleite zahlte die Deutsche Bank 2014 einen Vergleich von 775 Mio. Euro an die Kirch-Erben, insgesamt rund 928 Mio. Euro in der Sache. Ex-Bankchef Rolf Breuer zahlte 2016 zusätzlich 3,2 Mio. Euro aus eigener Tasche.

Belegt beide Vergleichszahlungen getrennt, die der Bank 2014 und die private von Breuer 2016.

Im Mannesmann-Prozess um mutmaßlich untreue Millionen-Prämien wurde das Verfahren gegen den späteren Deutsche-Bank-Chef Josef Ackermann 2006 gegen eine Geldauflage von 3,2 Mio. Euro eingestellt.

Eine Einstellung gegen Geldauflage nach § 153a StPO ist kein Freispruch und kein Schuldeingeständnis.

Die Deutsche Bank einigte sich 2017 mit dem US-Justizministerium auf 3,1 Mrd. Dollar Strafe plus 4,1 Mrd. Dollar Verbraucherhilfe wegen des Verkaufs fehlerhaft besicherter Hypothekenpapiere vor der Finanzkrise.

Übersichtsquelle, keine Primärquelle. Die Kernzahlen dieses Einzelfalls sind aber auch in Primärquellen des DOJ öffentlich dokumentiert.

Der BGH entschied am 13.12.2022 zugunsten klagender Postbank-Aktionäre, dass die Deutsche Bank ihnen möglicherweise mehr als die 2010 gezahlten 25 Euro je Aktie hätte bieten müssen, weil sie schon ab Herbst 2008 faktisch die Kontrolle über die Postbank gehabt haben könnte.

Ein Grundsatzurteil zur Rechtsfrage, die konkrete Nachzahlungshöhe wurde in Folgeverfahren verhandelt.

Das Bundesaufsichtsamt für das Kreditwesen schloss die Kölner Herstatt Bank am 26.06.1974 wegen riskanter Devisenspekulationen, bei einem Eigenkapital von nur 44 Mio. D-Mark hatte sie Verluste von 470 Mio. D-Mark angehäuft.

Übersichtsquelle zu einem historischen, gut dokumentierten Fall. Der Begriff 'Herstatt-Risiko' und die Basel-Committee-Gründung als Folge sind in der Fachliteratur breit belegt.

Equifax gab im September 2017 ein Datenleck bekannt, das personenbezogene Daten von 147 Millionen Menschen offenlegte: mindestens 147 Mio. Namen und Geburtsdaten, 145,5 Mio. Sozialversicherungsnummern sowie 209.000 Zahlungskartennummern samt Ablaufdatum. Die FTC stellte fest, dass Equifax grundlegende Sicherheitsmaßnahmen versäumt hatte, u. a. das Patchen bekannter Schwachstellen, die Netzwerksegmentierung und funktionierende Angriffserkennung auf Altsystemen. Im Vergleich mit FTC, CFPB und 50 US-Bundesstaaten/Territorien zahlte Equifax mindestens 575 Mio. USD, potenziell bis zu 700 Mio. USD, davon bis zu 425 Mio. USD als Entschädigung für Betroffene.

Der Vergleich betrifft US-Recht und US-Betroffene; Aussagen zu europäischen Equifax-Kunden oder einer DSGVO-Sanktion sind aus dieser Quelle nicht belegt.

Der EuGH entschied am 07.12.2023 in den verbundenen Rechtssachen C-634/21, C-26/22 und C-64/22, dass die automatisierte Erstellung eines Bonitäts-Score-Werts wie durch die Schufa unter das DSGVO-Verbot rein automatisierter Einzelentscheidungen fallen kann, wenn der Score-Wert die eigentlich maßgebliche Grundlage für eine nachgelagerte Entscheidung eines Dritten (etwa eine Bank) bildet. Ob dies im Einzelfall zutrifft, muss laut EuGH von den nationalen Gerichten geprüft werden; entscheidend ist, ob der Dritte dem Score-Wert bei seiner Entscheidung maßgebliche Rolle einräumt. Seit dem 17.03.2026 nutzt die Schufa ein neues, für Verbraucher verständlicheres Berechnungsverfahren mit zwölf Kriterien, darunter das Alter des ältesten Bankkontos und der ältesten Kreditkarte, Zahlungsausfälle und der Kreditstatus.

Das Urteil legt einen Prüfmaßstab fest, verbietet Scoring-Verfahren aber nicht grundsätzlich; ob und wie oft deutsche Gerichte seither tatsächlich automatisierte Ablehnungen wegen dieses Urteils kassierten, ist aus dieser Quelle nicht beziffert.

Die schwedische Datenschutzbehörde IMY verhängte im März 2022 gegen den Zahlungsdienst Klarna ein Bußgeld von 7,5 Millionen schwedischen Kronen (rund 671.000 Euro). Klarna informierte Nutzer nicht ausreichend über Zweck und Rechtsgrundlage bestimmter Datenverarbeitungen und machte unvollständige beziehungsweise irreführende Angaben darüber, an welche Empfänger, darunter schwedische und ausländische Auskunfteien, personenbezogene Daten weitergegeben wurden. Zudem fehlten Informationen darüber, in welche Länder außerhalb des Europäischen Wirtschaftsraums Klarna Daten übermittelt und wie Betroffene entsprechende Auskünfte erhalten können. Während der laufenden Untersuchung änderte Klarna wiederholt seine Angaben zum Umgang mit personenbezogenen Daten. Ein Berufungsgericht in Stockholm bestätigte das ursprüngliche Bußgeld in vollem Umfang.

Die untersuchten Angaben betreffen den Stand von Frühjahr 2020; ob Klarnas Praxis inzwischen vollständig DSGVO-konform ist, ist aus dieser Quelle nicht belegt.

Anfang Oktober 2025 räumte die Schufa-Tochterfirma Bonify (Forteil GmbH) einen schwerwiegenden Sicherheitsvorfall ein. Betroffen waren Ausweisdokumente, Adressdaten sowie Fotos und Videoaufnahmen aus dem Video-Ident-Verfahren, das zur Identitätsprüfung bei der Registrierung eingesetzt wird. Zusätzlich wurden laut Bericht sensible Angaben wie Risikobewertungen zu Spielsucht betroffen. Nach deutschem Datenschutzrecht müssen Unternehmen Ausweiskopien unmittelbar nach abgeschlossener Identifizierung löschen; eine automatisierte Speicherung von Ausweisdaten ist grundsätzlich nur für die elektronische Identitätsfeststellung zulässig und ansonsten untersagt.

Die genaue Zahl der betroffenen Personen und ob Bonify die datenschutzrechtlichen Löschpflichten für Ausweiskopien im konkreten Fall eingehalten hatte, ist aus dieser Quelle nicht belegt.

Im Januar 2024 überwies ein Mitarbeiter des britischen Ingenieurbüros Arup in Hongkong 25,6 Millionen US-Dollar an Betrüger, nachdem er glaubte, in einem Video-Anruf mit seinem Finanzvorstand und mehreren Kollegen zu sprechen. Sämtliche Teilnehmer der Videokonferenz außer ihm selbst waren KI-generierte Deepfakes. Laut Versicherer Allianz Trade verursachten Deepfake-gestützte CEO-Fraud-Angriffe 2025 Schäden, die 81 Prozent über dem Vorjahresniveau lagen; die Rate des Deepfake-Betrugs in Deutschland stieg im Jahresvergleich um über 1.000 Prozent. In einem weiteren dokumentierten Fall erstellten Betrüger ein Deepfake-Video des Unternehmers Reinhold Würth, das über soziale Medien für betrügerische Geldanlagen warb; die Würth-Gruppe bestätigte die Fälschung öffentlich und leitete rechtliche Schritte ein.

Die Steigerungsrate von über 1.000 Prozent bezieht sich auf gemeldete Fälle, nicht auf eine unabhängig verifizierte Gesamtschadenssumme für Deutschland.

Nordrhein-Westfalen kaufte insgesamt vier Steuer-CDs aus der Schweiz an. Im Februar 2010 wurde eine CD mit Namen und Kontodaten von Credit-Suisse-Kunden für 2,5 Millionen Euro erworben; 2012 kaufte der damalige NRW-Finanzminister Norbert Walter-Borjans weitere CDs, darunter eine der Schweizer Bank UBS mit Informationen zu rund 750 Stiftungen und 550 weiteren Fällen mit einem Anlagevolumen von über 2,9 Milliarden Euro. Die Auswertung der Steuer-CDs löste eine Welle freiwilliger Selbstanzeigen sowie zahlreiche Steuerstrafverfahren aus; laut einer Statista-Umfrage bei den Landesfinanzbehörden stieg die Zahl der Selbstanzeigen 2013 um über 200 Prozent. Allein in Nordrhein-Westfalen kamen rund 70 Millionen Euro an Mehreinnahmen aus der Auswertung der Steuer-CDs zusammen, weitere rund 400 Millionen Euro an Mehreinnahmen wurden bundesweit auf durch die Ankäufe ausgelöste Selbstanzeigen zurückgeführt.

Der Ankauf gestohlener Bankdaten durch den Staat blieb rechtlich und politisch umstritten; ob die Käufe rechtmäßig waren, wurde in Deutschland kontrovers diskutiert und ist aus dieser Quelle nicht abschließend geklärt.

Google und Mastercard trafen eine zunächst geheim gehaltene Vereinbarung, bei der Google massenhaft Kreditkarten-Transaktionsdaten von Mastercard kaufte und mit den Klicks eigener Nutzer auf Online-Werbung korrelierte, um so den Erfolg von Werbeanzeigen bis zum tatsächlichen Ladenkauf nachzuverfolgen. Visa wickelte im betreffenden Jahr 45 Milliarden Transaktionen ab, Mastercard 23 Milliarden; beide Unternehmen planten zusätzlich eigene Programme, mit denen gesammelte Kreditkartendaten künftig direkt für personalisierte Online-Werbung genutzt werden sollten. Beide Kartenanbieter bieten Websites an, auf denen Kunden der Analyse ihrer Kreditkartendaten für solche Zwecke widersprechen können.

Der genaue Umfang, wie viele Nutzer von der Google-Mastercard-Vereinbarung konkret betroffen waren, ist aus dieser Quelle nicht beziffert; Details der Vereinbarung wurden erst nachträglich öffentlich bekannt.

Der Rückversicherer Munich Re sieht laut einer gemeinsamen Studie von Munich Re Life US und der britischen Datenanalysefirma Klarity großes Potenzial darin, Gesundheitsdaten aus Smartwatches, etwa tägliche Schrittzahlen, für die Risikobewertung (Underwriting) bei Lebensversicherungen zu nutzen. Nach Angaben des Unternehmens erlauben solche Wearable-Daten eine genauere individuelle Risikoeinschätzung als traditionelle Messgrößen. Über sein 'Connect & Protect'-Angebot bietet Munich Re Versicherern zusätzlich Zugriff auf versicherungsrelevante Daten aus vernetzten Gebäuden und Gewerbeumgebungen, um Gefahren und Risiken aus Versicherungssicht besser einschätzen oder vermeiden zu können.

Ob und in welchem Umfang diese Wearable-Daten bereits konkret in Deutschland zur Prämienberechnung herangezogen werden, ist aus dieser Quelle nicht belegt; der Fokus der zitierten Studie liegt auf dem US-Markt.

Bei Telematik- bzw. 'Blackbox'-Kfz-Versicherungen zeichnet ein im Fahrzeug installiertes Gerät kontinuierlich Standort, Geschwindigkeit, Beschleunigung und Bremsverhalten auf; im Gegenzug für verkehrskonformes Fahrverhalten winken Prämienrabatte. Verbraucherschützer beziffern die durchschnittliche Ersparnis auf 10 bis 15 Prozent, in Einzelfällen sind Rabatte von bis zu 45 Prozent möglich. Datenschützer kritisieren die permanente Datensammlung: Die erfassten Standortdaten könnten grundsätzlich auch für personalisierte Werbung genutzt werden, der Versicherer kann die Fahrdaten bei einem Unfall gegen den Versicherten verwenden, und bei auffällig negativem Fahrverhalten kann der Versicherer den Vertrag kündigen.

Ob und wie oft Versicherer Telematik-Daten tatsächlich bereits gegen Kunden in Schadensfällen oder bei Vertragskündigungen verwendet haben, ist aus dieser Quelle nicht mit Fallzahlen belegt.

Toll Collect GmbH, seit 2002 zuständig für Organisation und Kontrolle der deutschen LKW-Maut und zu jeweils 45 Prozent im Besitz der Deutschen Telekom und Daimler sowie zu 10 Prozent des französischen Baukonzerns Vinci, errichtete rund 600 zusätzliche Kfz-Kennzeichen-Scanner entlang der Autobahnen und Bundesstraßen. Kritiker warnten, dass die dabei eingesetzte Gesichtserkennung theoretisch zur Erstellung von Bewegungsprofilen beliebiger Autobahnnutzer oder zur Personenverfolgung genutzt werden könnte, da die Kontrolleinrichtungen praktisch jedes durchfahrende Fahrzeug fotografieren. Ob die erfassten Daten tatsächlich für Strafverfolgung oder durch Nachrichtendienste genutzt werden, wird immer wieder diskutiert, ohne dass es dafür bislang Belege gibt. Zusätzlich wurde Toll Collect vorgeworfen, dem Staat fragwürdige Ausgaben wie eine Oldtimer-Rallye, eine Luxushotel-Vorstandssitzung und die Unterstützung eines Berliner Kinderheims als 'Marketingkosten' der LKW-Maut in Rechnung gestellt zu haben.

Für die immer wieder diskutierte Nutzung der Mautdaten durch Polizei oder Nachrichtendienste gibt es laut dieser Quelle explizit keine Belege; die Kritik betrifft primär das theoretische Missbrauchspotenzial der Infrastruktur.

Der US-Lebensversicherer John Hancock entwickelte im April 2015 gemeinsam mit dem Anbieter Vitality ein Versicherungsprodukt, das Kunden bis zu 15 Prozent Prämienrabatt für das Tracking gesunder Gewohnheiten wie Sport bietet. Teilnehmer können eine Apple Watch für 25 US-Dollar erwerben und verpflichten sich im Gegenzug, die erfassten Fitnessdaten zwei Jahre lang an ihre Versicherung weiterzuleiten. Über 15.000 tägliche Schritte erhöhen das Punktekonto um 30 Punkte; wer weniger als 500 Vitality-Punkte im Monat sammelt, muss zusätzliche Gebühren für die Apple Watch zahlen, während gute Werte die Gesamtprämie senken. John Hancock erklärt, Versicherte könnten selbst entscheiden, welche Daten sie teilen, es bestehe kein Zwang zur Datenweitergabe.

Ob Kunden, die sich gegen die Datenweitergabe entscheiden, dieselben Versicherungskonditionen wie teilnehmende Kunden erhalten, ist aus dieser Quelle nicht belegt; ein faktischer Druck zur Teilnahme durch bessere Konditionen für Teilnehmer liegt nahe, wird aber nicht explizit bestätigt.

Verbraucherschützer warnten im Dezember 2024, der Zahlungsdienstleister Klarna analysiere im Rahmen seiner Bonitätsprüfung offenbar detailliert die Kontoauszüge seiner Nutzer, um Zahlungsverhalten und Wahrscheinlichkeitswerte für künftiges Verhalten (Scoring) zu ermitteln. Klarna erhebt und nutzt laut eigenen Datenschutzangaben Daten zum bisherigen Zahlungsverhalten der betroffenen Person zur Entscheidung über Begründung, Durchführung oder Beendigung einer Vertragsbeziehung und gibt personenbezogene Daten auch an verbundene Unternehmen der Klarna-Gruppe sowie Leistungserbringer und Subunternehmer weiter, soweit dies zur Vertragserfüllung erforderlich ist.

Der genaue technische Umfang der Kontoauszugsanalyse (welche einzelnen Datenpunkte konkret ausgewertet werden) und ob Nutzer dieser Analyse gezielt widersprechen können, ist aus dieser Quelle nicht im Detail belegt.

Seit dem 01.04.2005 können Finanzämter und andere Behörden über das automatisierte Kontenabrufverfahren auf Kontostammdaten inländischer Konten und Wertpapierdepots zugreifen, ohne dass die betroffene Bank davon Kenntnis erhält. Abgefragt werden Kontoinhaber-Name und Geburtsdatum, Konto- und Depotnummern sowie Errichtungs- und Auflösungsdaten, jedoch keine Kontostände oder Umsätze. Die Zahl der Kontenabrufe stieg von 692.166 im Jahr 2017 auf 1.140.580 im Jahr 2021, im Jahr 2022 wurden über 1,1 Millionen Abrufe registriert, davon rund 294.000 durch Finanzämter. Der Bundesbeauftragte für den Datenschutz weist seit Jahren darauf hin, dass die Zahl der von Finanzämtern initiierten Kontenabrufverfahren kontinuierlich zunimmt.

Die Statistik erfasst nur die Zahl der Abrufe, nicht deren Ergebnis; wie viele Abrufe tatsächlich zu Steuernachforderungen oder Ermittlungsverfahren führten, ist aus dieser Quelle nicht belegt.

Nachdem bekannt wurde, dass bei einem Cyberangriff 2014 Daten aus über 500 Millionen Yahoo-Nutzerkonten gestohlen worden waren, darunter Nutzernamen, E-Mail-Adressen, Telefonnummern, Geburtsdaten und Passwörter, verlangte Verizon-CEO Lowell McAdam von Yahoo-Direktor Tom McInerney im Februar 2017 einen Preisnachlass von bis zu 925 Millionen US-Dollar für die geplante Übernahme. Am Ende einigten sich beide Seiten auf einen Abschlag von rund 350 Millionen US-Dollar; Verizon zahlte damit letztlich 4,48 Milliarden US-Dollar für Yahoos Kerngeschäft im Internet, statt der ursprünglich vereinbarten Summe.

Der Fall zeigt konkret in Zahlen, was ein Datenleck für den Unternehmenswert bedeuten kann; ob Yahoo-Aktionäre über die reine Kaufpreisminderung hinaus für den Vertrauensschaden entschädigt wurden, ist aus dieser Quelle nicht belegt.