Quellen-Tabelle

Am 05.02.2021 wurde gemeldet, ein Hacker habe sich per Fernzugriff in die Steuerung des Wasserwerks von Oldsmar, Florida, eingeklinkt und den Natriumhydroxid-Wert kurzzeitig von 100 auf 11.100 ppm erhöht, ein Vorfall, der weltweit als Beweis für die Verwundbarkeit kritischer Infrastruktur galt. Das FBI konnte in seiner Untersuchung jedoch keinen gezielten externen Cyberangriff bestätigen. Der damalige City Manager von Oldsmar erklärte später, es habe sich um ein 'Nichtereignis' gehandelt: Ein Mitarbeiter habe versehentlich die falschen Schaltflächen angeklickt und danach selbst seine Vorgesetzten informiert.

Der Fall zeigt, wie schnell ein Bedienfehler medial und politisch als Hackerangriff auf kritische Infrastruktur eingeordnet wird; eine abschließende behördliche Feststellung, was tatsächlich geschah, liegt aus dieser Quelle nicht vor.

Am 25.11.2023 griff die mit den iranischen Revolutionsgarden verbundene Gruppe CyberAv3ngers eine Pumpstation der Municipal Water Authority of Aliquippa in Pennsylvania an, indem sie über das Internet erreichbare, unzureichend gesicherte Unitronics-Industriesteuerungen (PLCs) kompromittierte und eine politische Botschaft gegen Israel auf den Displays anzeigte. Der Wasserversorger schaltete nach Entdeckung auf manuellen Betrieb um; laut Betreiber bestand zu keinem Zeitpunkt eine Gefährdung der Wasserversorgung. Bundesbehörden bestätigten, dass dieselbe Gruppe zusätzlich vier weitere Versorger und ein Aquarium angriff.

Die Behauptung, es habe zu keinem Zeitpunkt eine Gefährdung der Wasserqualität gegeben, stammt vom betroffenen Betreiber selbst, nicht von einer unabhängigen technischen Prüfung.

Das Stanford Internet Observatory fand im offenen KI-Trainingsdatensatz LAION-5B, verwaltet von der in Deutschland ansässigen Non-Profit-Organisation LAION, mindestens 1.008 Bilder mutmaßlichen Kindesmissbrauchs; der Datensatz könnte darüber hinaus tausende weitere solcher Fälle enthalten. Human Rights Watch fand darüber hinaus in einer eigenen Untersuchung 170 Fotos brasilianischer Kinder aus zehn Bundesstaaten in dem Datensatz, teils aus dem gesamten Kindheitsverlauf und mit intimen Momenten wie Geburten, die ohne Wissen der Betroffenen für KI-Training verwendet wurden. LAION entfernte den betroffenen Datensatz vorübergehend und kündigte eine Bereinigung vor erneuter Veröffentlichung an.

Ob und in welchem Umfang bereits veröffentlichte KI-Bildmodelle mit dem unbereinigten Datensatz trainiert wurden und welche Folgen das für einzelne Betroffene hatte, ist aus dieser Quelle nicht abschließend belegt.

Das Verwaltungsgericht Hannover erlaubte Amazon, im niedersächsischen Logistikzentrum Winsen die Arbeit von Beschäftigten lückenlos zu erfassen, obwohl die niedersächsische Landesdatenschutzbeauftragte dies 2017 wegen datenschutzrechtlicher Bedenken untersagt hatte. Beschäftigte müssen jeden Arbeitsschritt per Handscanner bestätigen; Vorgesetzte können mit entsprechender Software Arbeitsgeschwindigkeit minutengenau auswerten. Die Landesdatenschutzbeauftragte legte gegen das Urteil Berufung ein und argumentierte, der durch die lückenlose Überwachung entstehende Leistungs- und Anpassungsdruck müsse höher gewichtet werden als die wirtschaftlichen Interessen des Unternehmens. Sowohl das Gericht als auch die Datenschutzbeauftragte sehen dringenden gesetzgeberischen Handlungsbedarf, da es in Deutschland bislang kein eigenständiges Beschäftigtendatenschutzgesetz gibt.

Der Ausgang der eingelegten Berufung ist aus dieser Quelle nicht belegt; das Urteil beschreibt den Stand des Verfahrens zum Zeitpunkt der Berichterstattung.

Die Gesichtserkennungsfirma Clearview AI wurde 2022 von den Datenschutzbehörden Italiens (Februar), Frankreichs und Griechenlands (Juli) jeweils mit einem Bußgeld von 20 Millionen Euro belegt, der jeweiligen gesetzlichen Höchststrafe. Die Behörden stellten fest, dass Clearview biometrische Daten ohne Rechtsgrundlage verarbeitete, da weder eine Einwilligung der abgebildeten Personen noch ein berechtigtes Interesse vorlag. Gerichte wiesen Clearviews Argument zurück, als US-Unternehmen nicht an die DSGVO gebunden zu sein, da das Unternehmen Daten von Personen in Europa sammelte. Griechenland untersagte zusätzlich jede weitere Erhebung oder Verarbeitung von Daten griechischer Staatsbürger und ordnete deren Löschung an.

Ob Clearview die verhängten Bußgelder tatsächlich gezahlt hat, ist aus dieser Quelle nicht belegt; das Unternehmen operiert primär in den USA außerhalb direkter EU-Vollstreckungsmöglichkeiten.

Zwischen Ende November 2018 und März 2019 wurde der finnische Psychotherapie-Anbieter Vastaamo gehackt; die Angreifer erbeuteten die Therapieakten von rund 33.000 Patienten. Nachdem CEO Ville Tapio am 28.09.2020 erstmals vom Täter kontaktiert wurde und Behörden informierte, forderte der Erpresser zunächst 40 Bitcoin (rund 450.000 Euro) vom Unternehmen. Mitte Oktober 2020 erhielten über 33.000 Patienten direkt Droh-E-Mails mit Forderungen von 200 bis 500 Euro in Bitcoin, verbunden mit der Drohung, ihre persönlichen Daten und Therapienotizen zu veröffentlichen, darunter Angaben zu psychischer Gesundheit, Missbrauch und Suizidgedanken. Der Fall löste die größte strafrechtliche Ermittlung in der finnischen Geschichte aus und führte zu Krisengesprächen der damaligen Regierung unter Ministerpräsidentin Sanna Marin. Vastaamo meldete Insolvenz an. Der später identifizierte Täter, der Finne Aleksanteri Kivimäki, wurde in Frankreich festgenommen, nach Finnland ausgeliefert und zu über sechs Jahren Haft verurteilt.

Wie viele der erpressten Patienten tatsächlich zahlten, ist aus dieser Quelle nicht beziffert.

Die von einem Berliner Start-up entwickelte Luca-App sollte Gesundheitsämtern die Kontaktnachverfolgung während der Corona-Pandemie erleichtern, geriet aber 2021 stark in die Kritik. Die Polizei Mainz griff im Rahmen von Ermittlungen zu einem Todesfall auf Besucherdaten eines Restaurants zu, die über Luca erfasst worden waren, obwohl das Infektionsschutzgesetz die Nutzung von Kontaktnachverfolgungsdaten für polizeiliche Zwecke ausdrücklich untersagt. Der baden-württembergische Datenschutzbeauftragte Stefan Brink bezeichnete dies als klaren Gesetzesverstoß. Kritiker verwiesen zudem darauf, dass Luca die Daten zentral speichert, im Gegensatz zur dezentral und transparent konzipierten, staatlichen Corona-Warn-App. Berlin kündigte an, die Nutzung von Luca ab Januar 2022 zu beenden.

Ob der beschriebene Polizeizugriff in Mainz strafrechtliche oder dienstrechtliche Konsequenzen für die beteiligten Beamten hatte, ist aus dieser Quelle nicht belegt.

Swisscom führte im August 2016 als vermutlich erstes Schweizer Unternehmen 'Voiceprint' ein: Ein im Callcenter gespeicherter Stimmabdruck erkennt Kunden bei künftigen Anrufen automatisch anhand der Stimme, ohne dass Sicherheitsfragen nötig sind. Auch die Postfinance und weitere Banken setzten vergleichbare Stimmerkennung zur Authentifizierung ein. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) betonte, dass solche Verfahren erhebliche Risiken für Grundrechte und Freiheiten bergen, da biometrische Merkmale dauerhaft und eindeutig mit einer Person verknüpft sind. Mitte April 2019 stellte Swisscom Voiceprint ein und löschte alle gespeicherten Stimmabdrücke, mutmaßlich als Reaktion auf die wachsende Kritik an den Datenschutzimplikationen der Technologie.

Der genaue Auslöser für die Einstellung durch Swisscom (behördlicher Druck, öffentliche Kritik oder interne Entscheidung) ist aus dieser Quelle nicht eindeutig belegt, nur als Vermutung formuliert.

In der Nacht vom 21. auf den 22.10.2022 verschafften sich Angreifer unbefugten Zugriff auf die IT-Systeme der Kreisverwaltung Rhein-Pfalz-Kreis in Rheinland-Pfalz. Alle rund 600 Computer der Verwaltung wurden lahmgelegt, Systeme und Daten verschlüsselt. Erste Ermittlungen deuteten auf die mutmaßlich aus Russland operierende Gruppe 'Vice Society' hin. Ab dem 11.11.2022 tauchten rund 20.000 Einzeldateien der Kreisverwaltung im Darknet auf. Bürger wurden aufgefordert, ihre Konten zu überprüfen, da die Verwaltung eine Veröffentlichung vertraulicher Daten von Bürgern und Beschäftigten nicht ausschließen konnte. Die Kommunikation mit der Verwaltung war zeitweise nur noch per Brief möglich, da Telefon- und E-Mail-Systeme ausfielen; rund 750 Laptops mussten neu aufgesetzt oder komplett neu beschafft werden.

Ob und in welchem Umfang tatsächlich Bürgerdaten unter den veröffentlichten Dateien waren, ist aus dieser Quelle nicht abschließend beziffert; die Verwaltung sprach von einer nicht auszuschließenden Möglichkeit.

Amnesty International dokumentierte, dass ein erheblicher Teil des für Batterien in Smartphones und Elektroautos benötigten Kobalts aus der Demokratischen Republik Kongo mit Kinderarbeit in Verbindung steht: Kinder arbeiten in einsturzgefährdeten Tunneln bis zu 12 Stunden täglich für ein bis zwei US-Dollar Tageslohn beim Abbau von Kobalterzen. 2019 wurde in den USA Klage gegen Apple, Alphabet (Google), Dell, Microsoft und Tesla eingereicht, weil diese Unternehmen Kobalt aus Minen bezögen, in denen Kinder tödlich verunglückt seien. Apple veröffentlichte als erstes Unternehmen der Branche die Namen seiner Kobaltlieferanten und gilt seither als Branchenführer im Bereich verantwortungsvoller Kobaltbeschaffung; bei einer breiteren Zulieferer-Überprüfung fand Apple bei zehn Zulieferern insgesamt 91 minderjährige Beschäftigte.

Der Ausgang der 2019 eingereichten Klage in den USA ist aus dieser Quelle nicht belegt.

Der Erste Senat des Bundesverfassungsgerichts entschied am 16.02.2023 (1 BvR 1547/19, 1 BvR 2634/20), dass die gesetzlichen Regelungen zur automatisierten Datenanalyse in Hessen und Hamburg gegen das Grundrecht auf informationelle Selbstbestimmung verstoßen und verfassungswidrig sind, weil es an klaren und hinreichend bestimmten Voraussetzungen und Grenzen für einen derart schwerwiegenden Grundrechtseingriff fehlte. Hessen hatte 2017 die Analysesoftware 'Gotham' des US-Unternehmens Palantir erworben und setzte sie unter dem Namen 'hessenDATA' ein; vergleichbare Systeme laufen in Bayern als VeRA und in Nordrhein-Westfalen als DAR. Das Gericht verpflichtete Hessen, die betroffene Vorschrift bis Ende September 2023 zu überarbeiten und ließ die weitere Nutzung von hessenDATA bis dahin nur unter Auflagen zu; Hamburgs zugehörige Regelung war noch nicht in Kraft getreten und wurde für nichtig erklärt.

Das Urteil betrifft ausdrücklich nur die gesetzlichen Grundlagen in Hessen und Hamburg; ob die vergleichbaren Systeme in Bayern (VeRA) und Nordrhein-Westfalen (DAR) auf denselben verfassungsrechtlichen Mangel geprüft und ggf. angepasst wurden, ist aus dieser Quelle nicht belegt.

Am 02.12.2024 verabschiedete die UN-Generalversammlung eine Resolution zu tödlichen autonomen Waffensystemen (Lethal Autonomous Weapons Systems, LAWS). Über 115 Staaten unterstützen mittlerweile Verhandlungen über einen völkerrechtlich verbindlichen Vertrag zur Regulierung; bei einem Treffen im September 2024 gaben 42 Staaten, darunter Deutschland, ein gemeinsames Statement ab, wonach die bisherigen Diskussionsfortschritte für den Einstieg in konkrete Vertragsverhandlungen ausreichten. Die großen Militärmächte USA, Russland und China stellen sich jedoch bislang gegen ein verbindliches internationales Verbot sogenannter Killerroboter und blockieren damit den diplomatischen Prozess.

Die Resolution selbst hat keinen bindenden Charakter; ob und wann ein tatsächlicher Vertrag zustande kommt, ist aus dieser Quelle offen und nicht absehbar.

2022 stellte Deutschland mit 24.166 Löschanträgen die zweithöchste Anzahl an 'Recht auf Vergessenwerden'-Anfragen in Europa, ein Rückgang von 24 Prozent gegenüber dem Vorjahr. 2022 erhielten Google und Microsoft zusammen über 155.000 solcher Anfragen, davon rund 147.000 (96 Prozent) allein bei Google. Kumuliert erhielt Google bis 2021 über 1,3 Millionen Löschanträge nach Art. 17 DSGVO, von denen rund die Hälfte abgelehnt wurde, überwiegend mit der Begründung eines bestehenden öffentlichen Interesses an der jeweiligen Information.

Die Kriterien, nach denen Google im Einzelfall 'öffentliches Interesse' bejaht oder verneint, werden vom Unternehmen selbst angewendet und sind nicht durch eine unabhängige Instanz vorab geprüft; wie viele abgelehnte Anträge nachträglich gerichtlich angefochten und erfolgreich durchgesetzt wurden, ist aus dieser Quelle nicht belegt.

Eine Studie der Duke University zeigte, dass der Datenbroker Acxiom als Teil seiner kommerziellen Dienstleistungen für Kreditkartenanbieter und Einzelhandelsbanken die Identifizierung und Lokalisierung von Militärangehörigen anbietet, die im Einsatz, aber von ihrer Basis abwesend sind. Ein Bericht des US-Direktors der nationalen Nachrichtendienste stellte fest, dass von zehn untersuchten großen Datenbrokern drei explizit damit werben, Daten zur Identifizierung von US-Militärpersonal liefern zu können. Weitere dokumentierte Zielgruppen-Segmente in Werbedaten basierten auf besuchten Orten, darunter Kirchen und andere sensible Örtlichkeiten; in einem prominenten Einzelfall wurden Standortdaten genutzt, um das Privatleben eines katholischen Priesters ohne dessen Wissen öffentlich offenzulegen.

Ob und wie oft die beworbene Militärpersonal-Identifizierung tatsächlich von Kunden der Datenbroker genutzt wurde, ist aus dieser Quelle nicht mit Einzelfällen belegt, nur als kommerzielles Angebot dokumentiert.

Roblox funktioniert nicht nur als Spiel, sondern als soziales Netzwerk, in dem Kinder gezielt von Erwachsenen angesprochen und manipuliert werden können. In einer Undercover-Recherche gaben sich ZDF-Reporter als minderjähriges Mädchen aus und traten Community-Gruppen auf der Plattform bei. Kurz nach dem Beitritt kontaktierte ein mutmaßlicher Cybergroomer das fiktive Profil und lockte es in einen privaten Chat auf einer externen Chat-Plattform, wo die Nachrichten schnell sexuellen und übergriffigen Charakter annahmen, verbunden mit Forderungen nach Fotos und Aufforderungen zur Geheimhaltung. Als Reaktion auf öffentlichen Druck deaktiviert Roblox verschlüsselte Chats, sobald Minderjährige beteiligt sind, um Inhalte besser überwachen zu können; Discord kündigte ähnliche Schutzmaßnahmen an, verschob deren Einführung jedoch nach Kritik.

Die Recherche zeigt einen dokumentierten Einzelfall unter kontrollierten Bedingungen; eine belastbare Häufigkeitsstatistik erfolgreicher Grooming-Versuche auf der Plattform insgesamt ist aus dieser Quelle nicht abgeleitet.

Wer sich vor Bedrohung, Beleidigung oder unrechtmäßiger Nachstellung (Stalking) schützen will, kann nach § 51 Abs. 1 Bundesmeldegesetz eine Auskunftssperre im Melderegister formlos beantragen und muss dabei die Gründe glaubhaft machen. Eine zentrale Einschränkung: Die Auskunftssperre verhindert ausschließlich Melderegisterauskünfte an private Dritte; Behörden und andere öffentliche Stellen erhalten die erforderlichen Datenübermittlungen weiterhin uneingeschränkt. Die Sperre gilt zudem stets nur befristet auf zwei Jahre, und selbst innerhalb der Sperrfrist kann eine Auskunft erteilt werden, wenn eine Anfrage den konkreten Schutzzweck nicht berührt. Nach Eintragung einer Auskunftssperre muss die Meldebehörde die betroffene Person über jede eingehende Auskunftsanfrage informieren; Daten können zusätzlich bei anderen öffentlichen Stellen wie Finanzamt, Jugendamt und Gerichten gespeichert bleiben, wo eigene, separate Sperrmöglichkeiten bestehen.

Wie oft Behörden trotz aktiver Auskunftssperre versehentlich Daten an Dritte weitergeben, ist aus dieser Quelle nicht mit Fallzahlen belegt; die beschriebenen Grenzen sind rechtlich-strukturelle Lücken, keine dokumentierten Einzelvorfälle.

Deutsche Datenschutzbehörden verhängten 2024 nur 266 Bußgelder mit einer Gesamtsumme von rund 2,5 Millionen Euro, ein deutlicher Rückgang gegenüber 2023 mit 357 Verfahren und einer Gesamtsumme von 4,94 Millionen Euro. Die durchschnittliche Bußgeldhöhe für Verstöße gegen technische und organisatorische Datenschutzanforderungen lag 2023 bei 27.033,33 Euro, der Median jedoch nur bei 3.600 Euro, was auf wenige hohe Ausreißer bei überwiegend geringen Einzelstrafen hindeutet. Die Zahl der Bußgeldverfahren steigt zwar über die Jahre insgesamt, die verhängten Summen bleiben aber vergleichsweise niedrig; zusätzlich verzeichnen Studien ein Vollzugsdefizit speziell bei Verstößen von Behörden selbst, gegen die im Verhältnis seltener und in geringerer Höhe sanktioniert wird als gegen private Unternehmen.

Die genauen Gründe für den Rückgang von 2023 auf 2024 (weniger Verstöße, weniger Verfolgung oder methodische Änderungen in der Erhebung) sind aus dieser Quelle nicht eindeutig belegt.

Chicago führte 2012 die 'Strategic Subjects List' ('Heat List') ein, die Personen mit hoher statistischer Wahrscheinlichkeit, eine Straftat zu begehen oder Opfer einer solchen zu werden, auf Basis historischer Faktoren wie Vorstrafen einen Zahlenwert von 0 bis über 500 zuwies. 2013 stufte der Algorithmus Hunderte junge Schwarze Männer als mutmaßliche Täter oder Opfer von Waffengewalt ein, obwohl viele von ihnen keinerlei Vorstrafen hatten; kritisiert wurde, dass die Eingabedaten (insbesondere Festnahmen) selbst bereits durch die diskretionären Entscheidungen von Polizeibeamten bei Streife und Ermittlung verzerrt waren. Die Liste erfasste unverhältnismäßig viele People of Color. Nach Untersuchungen, die dem Programm Ungenauigkeit, Wirkungslosigkeit und rassistische Verzerrung attestierten, stellte Chicago die Nutzung der Heat List im Januar 2020 endgültig ein.

Der genaue kausale Effekt der Liste auf tatsächliche Polizeimaßnahmen gegen gelistete Personen (z. B. verstärkte Kontrollen) ist aus dieser Quelle nicht mit Einzelfallzahlen belegt.

Seit der Waffenrechtsnovelle vom Februar 2020 muss die Waffenbehörde bei Zuverlässigkeitsprüfungen verpflichtend Auskünfte beim Bundeszentralregister, Verfahrensregister der Staatsanwaltschaften, der zuständigen Polizei sowie der Verfassungsschutzbehörde einholen. Ist eine geprüfte Person im gemeinsamen Datenbanksystem NADIS (Nachrichtendienstliches Informationssystem) erfasst, übermittelt die Verfassungsschutzbehörde alle offenen und rechtlich verwertbaren Erkenntnisse an die für die waffenrechtliche Zuverlässigkeitsprüfung zuständige Behörde. Ein Erlass stellte klar, dass sogenannte Reichsbürger grundsätzlich als waffenrechtlich unzuverlässig gelten. Trotz dieses Systems waren Ende 2024 laut Bundesregierung noch 357 als 'Reichsbürger' oder 'Selbstverwalter' erfasste Personen im Besitz waffenrechtlicher Erlaubnisse.

Ob die verbliebenen 357 Fälle Verfahren betreffen, die noch laufen, oder ein tatsächliches Vollzugsversagen darstellen, ist aus dieser Quelle nicht differenziert.

Am 21.02.2024 wurde ein Ransomware-Angriff auf Change Healthcare entdeckt, einen der größten Abrechnungsdienstleister im US-Gesundheitssystem, nachdem Angreifer der mit BlackCat/ALPHV verbundenen Gruppe neun Tage lang unbemerkt im Netzwerk operiert hatten. Zugang erhielten sie über ein Citrix-Fernzugriffsportal ohne Multi-Faktor-Authentifizierung. Die Muttergesellschaft UnitedHealth zahlte über ihre Tochter Optum ein Lösegeld von 22 Millionen US-Dollar. Nach anfänglichen Schätzungen von 100 Millionen Betroffenen korrigierte UnitedHealth die Zahl später auf 190 Millionen betroffene Amerikaner, fast die Hälfte der US-Bevölkerung, deren persönliche und Gesundheitsdaten gestohlen wurden. Der Angriff verursachte monatelange Ausfälle im US-Gesundheitssystem; UnitedHealth gab 2024 insgesamt 3,1 Milliarden US-Dollar für die Bewältigung der Attacke aus.

UnitedHealth verzögerte laut Medienberichten die Benachrichtigung Betroffener über mehrere Monate; die genauen Gründe für die Verzögerung sind aus dieser Quelle nicht abschließend geklärt.

In der Ukraine wurden laut Berichten binnen drei Monaten über 22.000 Einsätze unbemannter Systeme registriert; KI-gestützte Objekterkennung unterstützt Drohnen zunehmend bei der Zielerfassung. Der israelische Journalist Yuval Abraham interviewte Soldaten, die ein KI-Zielsystem namens 'Lavender' nutzten; ein Zitat lautete: 'Früher hatten wir 70 Ziele im Jahr, jetzt haben wir 70 Ziele am Tag.' KI-Expertin Verena Jackson erklärte, eine ethisch geführte Kriegsführung mit autonomen Waffen sei kaum möglich; neu am Ukraine-Krieg sei das weitgehende Herausnehmen des menschlichen Entscheiders aus der Zielauswahl, ein Szenario, das Ethiker zuvor ein Jahrzehnt lang als theoretischen Worst Case diskutiert hatten und das nun ohne Regelwerk, Aufsicht oder Präzedenzfall operativer Standard geworden sei. Amnesty International, Access Now und über 200 weitere Organisationen forderten einen sofortigen Stopp des KI-Einsatzes in militärischen Tötungsketten.

Das 'Lavender'-System wird primär im Kontext des Gaza-Kriegs beschrieben, nicht spezifisch der Ukraine; die Quelle verknüpft beide Konflikte als Beispiele für denselben Trend zur KI-gestützten Zielerfassung, ohne dass Lavender selbst in der Ukraine nachgewiesen im Einsatz war.

Der EuGH entschied am 21.06.2022 auf Vorlage des belgischen Verfassungsgerichtshofs zur Auslegung der PNR-Richtlinie, die die systematische Verarbeitung von Fluggastdaten (Passenger Name Records) für Flüge zwischen der EU und Drittstaaten regelt. Das Gericht stellte fest, die Richtlinie greife schwerwiegend in das Recht auf Achtung des Privatlebens und auf Datenschutz ein, und erklärte die bis dahin praktizierte fünfjährige Speicherfrist für Fluggastdaten für unverhältnismäßig. Datenerhebung und -auswertung müssen sich künftig auf das 'absolut Notwendige' beschränken; die Speicherung von Fluggastdaten bei EU-internen Flügen ist seither nur noch bei konkreten Anzeichen einer terroristischen Bedrohung oder auf sogenannten kriminellen Flugrouten zulässig, mit einer maximalen Speicherdauer von sechs Monaten. Laut einer Bundestagsanfrage stieg die Zahl der in Deutschland gespeicherten Fluggastdatensätze bis 2023 auf 424 Millionen deutlich an.

Ob die deutsche Praxis der PNR-Speicherung inzwischen vollständig an das Urteil angepasst wurde, ist aus dieser Quelle nicht abschließend belegt; die zitierte Zunahme auf 424 Millionen Datensätze deutet eher auf einen weiter wachsenden Datenbestand hin.

Cambridge Analytica sammelte über eine Facebook-App unrechtmäßig Daten von schätzungsweise 87 Millionen Facebook-Nutzern, darunter rund 310.000 in Deutschland, um sie mit individuell zugeschnittenen Wahlwerbeanzeigen zur Wahl Donald Trumps zu bewegen. Über Microtargeting-Kampagnen erhielten Wähler politische Botschaften, die gezielt auf ihre individuellen Ängste, Hoffnungen und Vorurteile zugeschnitten waren. Laut späteren Umfragen gaben 86 Prozent aktueller und ehemaliger Facebook-Nutzer an, wenig oder gar kein Vertrauen zu haben, dass das Netzwerk verantwortungsvoll mit ihren persönlichen Daten umgeht. Nachfolgeorganisationen und -akteure wie die Gruppe 'Team Jorge' setzten ähnliche Methoden der Desinformation und Wahlbeeinflussung auch im Superwahljahr 2024 fort, wenn auch über andere Kanäle als Cambridge Analytica.

Die direkte kausale Wirkung des Cambridge-Analytica-Microtargetings auf den tatsächlichen Wahlausgang 2016 ist wissenschaftlich umstritten und aus dieser Quelle nicht als belegter Kausalzusammenhang, sondern als beschriebene Methode dargestellt.

Marriott meldete am 30.11.2018, dass Angreifer bereits seit 2014 unentdeckten Zugriff auf das Reservierungssystem der 2016 übernommenen Hotelkette Starwood hatten. Betroffen waren bis zu 500 Millionen Gästeeinträge; bei 327 Millionen davon umfassten die gestohlenen Daten eine Kombination aus Name, Postanschrift, Telefonnummer, E-Mail-Adresse, Passnummer, SPG-Kontoinformationen, Geburtsdatum, Geschlecht sowie An- und Abreisedatum. Betroffen waren Gäste der Starwood-Marken W Hotels, St. Regis, Sheraton, Westin, Element, Aloft, The Luxury Collection, Tribute Portfolio, Le Méridien, Four Points by Sheraton und Design Hotels.

Der Angriff blieb laut Quelle vier Jahre lang unentdeckt; ob dies auf mangelnde Sicherheitsüberwachung bei Starwood vor der Marriott-Übernahme zurückzuführen ist, wird in dieser Quelle nicht abschließend geklärt.

Im Mai 2024 reichte das US-Justizministerium gemeinsam mit den Generalstaatsanwälten von 29 Bundesstaaten und dem District of Columbia vor dem Bundesgericht im Südbezirk von New York eine zivilrechtliche Kartellklage gegen Live Nation Entertainment und Ticketmaster ein. Der Klage zufolge nutzt der Konzern seine Monopolstellung im Bereich Primärticketverkauf, Konzertpromotion und Veranstaltungsstättenmanagement, um Wettbewerb zu unterdrücken, wobei Live Nation nach eigenen Angaben rund 80 Prozent Marktanteil bei großen US-Konzertveranstaltungsorten kontrolliert. Die Klage fordert unter anderem die Abspaltung von Ticketmaster vom Konzern, die Aufhebung bestimmter Ticketing-Verträge sowie ein Verbot wettbewerbswidriger Praktiken. Im August 2024 erweiterten die Kläger die Klage um zehn weitere Bundesstaaten.

Der Ausgang des Verfahrens (Urteil, Vergleich oder Abweisung) ist aus dieser Quelle zum Zeitpunkt der Klageeinreichung noch offen und nicht belegt.