Quellen-Tabelle

Amazons Ring-Kameras ermöglichen über Polizeipartnerschaften ohne Durchsuchungsbefehl Zugriff auf private Aufnahmen.

Positionspapier einer Bürgerrechtsorganisation, keine neutrale wissenschaftliche Studie.

Ring beendet das Tool Request for Assistance, über das Polizeibehörden direkt bei Nutzern Videoaufnahmen anfragen konnten.

Spätere Kooperationen relativierten die Kehrtwende wieder.

Mozillas Untersuchung von 25 Automarken ergab, dass alle durchfielen: 84 Prozent können Daten an Datenhändler weitergeben, 76 Prozent behalten sich den Verkauf vor, über 50 Prozent die Weitergabe an Behörden.

Wertet nur Datenschutzerklärungen aus, belegt nicht die tatsächliche Erhebung; Original-Mozilla-Seiten blockieren automatisierte Abrufe.

Tesla-Beschäftigte teilten zwischen 2019 und 2022 über ein internes Messaging-System Videos aus Kundenfahrzeug-Kameras, darunter ein nackter Mann am Auto sowie Einblicke in Garagen und Privatgrundstücke. Sieben Ex-Mitarbeiter sagten, die Software habe den Aufnahmeort auf Google Maps angezeigt.

Stützt sich auf anonyme Ex-Mitarbeiter-Aussagen zu 2019-2022 und belegt nicht, dass die Praxis heute noch besteht.

Alle 25 geprüften Automarken fielen durch; 84 Prozent behalten sich Weitergabe oder Verkauf vor, die Policies nennen Kategorien wie sexuelle Aktivität, Gesundheits- und Genetikdaten, Einwanderungsstatus, Ethnie, Gesichtsausdrücke und Gewicht.

Analysiert nur US-Datenschutzerklärungen, nicht die tatsächliche Datenerhebung; in der EU gelten andere Policies und die DSGVO.

Nissan ist die am schlechtesten bewertete Marke: Die Datenschutzerklärung nennt sexuelle Aktivität, Gesundheitsdiagnosen und genetische Informationen als erhebbare Kategorien und behält sich vor, abgeleitete Profile an Datenhändler und Behörden weiterzugeben.

Formulierungen aus einer breit gefassten US-Datenschutzerklärung, kein Beleg für tatsächliche Erhebung.

21 der 25 Marken geben Kundendaten an Dienstleister und Datenhändler weiter, 19 behalten sich den Verkauf vor, 56 Prozent teilen Daten auf Anfrage mit Behörden. Kia nennt Angaben zur sexuellen Aktivität, Tesla warnt, dass ein Widerspruch das Fahrzeug funktionsunfähig machen kann.

Referiert die Mozilla-Auswertung von Policy-Texten ohne eigene technische Prüfung.

Autohersteller liefern detaillierte Fahrdaten an den Datenbroker LexisNexis, der daraus Risiko-Scores für Versicherer erstellt, die typischerweise zu höheren Prämien führen. Die Zustimmung wird nur im Kleingedruckten eingeholt.

Sekundärquelle: referiert die NYT-Recherche, nicht die Originalzahlen aus erster Hand.

Hyundai gab Daten aus 1,7 Millionen Fahrzeugen an den Datenbroker Verisk für über 1 Million US-Dollar (61 Cent pro Auto), Honda Daten aus 97.000 Autos für 25.920 US-Dollar (26 Cent pro Auto), GM verkaufte Daten aus 8 Millionen Autos. Belegt sind Dark Patterns: GM versteckte die Einwilligung in einer Sicherheits-Update-Aufforderung.

Belegt Untersuchungsergebnisse zweier Senatoren, kein gerichtlich festgestelltes Fehlverhalten.

Die chinesischen Bestimmungen zur Kfz-Datensicherheit definieren als wichtige Daten unter anderem Bewegungsdaten von Militär- und Regierungsfahrzeugen sowie per Fahrzeugkamera erfasste Gesichter und Kennzeichen. Solche Daten müssen in China gespeichert bleiben.

Beschreibt die Rechtslage innerhalb Chinas, sagt nichts über tatsächliche Übertragungen aus europäischen Fahrzeugen.

Die finale US-Regel verbietet Import und Verkauf von Fahrzeug-Konnektivitätssystemen mit Bezug zu China oder Russland sowie den Verkauf vernetzter Fahrzeuge durch Hersteller unter chinesischer Kontrolle. Software-Verbote greifen ab Modelljahr 2027, Hardware-Verbote ab Modelljahr 2030.

Begründet sich mit abstrakten Risiken, nennt keinen nachgewiesenen konkreten Missbrauchsfall.

China verlangt, dass wichtige Daten im Land bleiben, während die EU mit DSGVO und Data Act nur personenbezogene Daten abdeckt und industrielle Betriebsdaten ungeregelt lässt. Der EU fehlt zudem ein Prüfmechanismus für Lieferanten sicherheitskritischer Komponenten.

Regulierungsanalyse eines Think Tanks, keine behördliche Untersuchung eines konkreten Datenabflusses.

Ende Mai 2023 wurde bekannt, dass der Schweizer Software-Dienstleister Xplain Opfer eines Ransomware-Angriffs der Gruppe Play wurde. Betroffen waren Betriebsdaten der Bundesverwaltung, darunter Armee, Bundesamt für Zoll und Grenzsicherheit sowie Fedpol. Weil Xplain kein Lösegeld zahlte, veröffentlichten die Angreifer das gestohlene Datenpaket am 14.06.2023 im Darknet. Laut Medienberichten waren darunter vertrauliche Dokumente des Nachrichtendienstes, Adressen von Bundesratsmitgliedern sowie Sicherheitsinformationen zu ausländischen Diplomaten und Botschaften.

Die genaue Zahl der betroffenen Personendatensätze schwankt je nach Quelle (bis zu 1,3 Mio. Datensätze bzw. bis zu 425.000 Auslandschweizer laut swissinfo). Eine offizielle, abschließende Gesamtzahl der Bundesstelle liegt hier nicht vor.

Die Ransomware-Gruppe Cl0p nutzte ab dem 27.05.2023 eine Zero-Day-Schwachstelle in der Dateiübertragungssoftware MOVEit Transfer aus, um bei zahlreichen Organisationen weltweit Daten abzuziehen. Stand 24.08.2023 waren laut Emsisoft 988 Opfer bekannt; bis zum 26.10.2023 waren 2.559 Organisationen mit insgesamt 66.369.148 betroffenen Personen bestätigt. Damit gilt der Angriff als einer der größten Massen-Datendiebstähle über eine einzelne Software-Schwachstelle.

Die Opferzahlen sind kumulative Zwischenstände aus laufender Berichterstattung, keine amtlich abschließend festgestellte Endsumme; sie können je nach Quelle und Erhebungsdatum leicht abweichen.

Zwischen April und Juni 2024 griff die Gruppe UNC5537 gezielt Kundenkonten des Cloud-Datenanbieters Snowflake an, bei rund 165 betroffenen Organisationen, darunter Ticketmaster/Live Nation, Santander Bank, AT&T, Advance Auto Parts und Neiman Marcus. Ursache war laut Untersuchungsbericht das Fehlen einer verpflichtenden Zwei-Faktor-Authentifizierung auf Kundenkonten, kombiniert mit über die Schadsoftware Lumma Stealer entwendeten Zugangsdaten. Ticketmaster allein meldete den Verlust von Daten von 500 Millionen Nutzern. Im Oktober/November 2024 wurde ein Verdächtiger festgenommen und Anklage gegen zwei Personen erhoben.

Die Zahl von 500 Millionen betroffenen Ticketmaster-Nutzern stammt aus Unternehmensangaben in Medienberichten, nicht aus einer unabhängigen forensischen Bestätigung dieser exakten Größenordnung.

Am 07.04.2024 bot ein Hacker unter dem Namen USDoD auf dem Kriminalmarktplatz Breached eine Datenbank mit angeblich 2,9 Milliarden Datensätzen zu US-Bürgern an (277,1 GB), darunter vollständige Namen, aktuelle und frühere Adressen, Sozialversicherungsnummern, Geburtsdaten und Telefonnummern. Der Datendiebstahl beim Data Broker National Public Data begann im Dezember 2023, der eigentliche Abfluss ab April 2024. Am 02.10.2024 meldete das Unternehmen Insolvenz an, mit geschätztem Vermögen von nur 25.000 bis 75.000 USD. Generalstaatsanwälte aus über 20 US-Bundesstaaten fordern Bußgelder, rund 20 Sammelklagen sowie FTC-Ermittlungen laufen parallel.

Die Zahl von 2,9 Milliarden Datensätzen stammt aus der Eigenangabe des Angreifers beim Verkaufsangebot, nicht aus einer unabhängigen forensischen Verifikation der exakten Datensatzmenge.

Am 23.02.2009 durchsuchten Ermittler des britischen Information Commissioner's Office (ICO) die Räume der Consulting Association und fanden Akten zu 3.213 Bauarbeitern, die als illegale schwarze Liste dienten. Auf der über mehr als 30 Jahre von großen Baufirmen finanzierten Liste standen politische Aktivisten, Umweltschützer, Betriebsräte und Arbeitsschutzbeauftragte, die deshalb keine Anstellung mehr bekamen. Der Betreiber Ian Kerr wurde wegen Verstoßes gegen das Datenschutzgesetz zu 5.000 Pfund Geldstrafe verurteilt; 44 identifizierte Baufirmen erhielten Vollzugsschreiben des ICO.

Eine spätere Entschädigungsregelung für Betroffene wurde in Großbritannien eingerichtet; deren genauer Umfang und die ausgezahlten Summen sind aus dieser Quelle nicht belegt.

Die auf der Black-Hat-Konferenz 2019 vorgestellte GDPArrrrr-Forschung testete, wie Unternehmen auf DSGVO-Auskunftsanfragen (Art. 15) reagieren, wenn sich ein Angreifer als eine andere Person ausgibt. Ergebnis: Die Identitätsprüfung der angefragten Unternehmen war stark uneinheitlich, teilweise genügte eine E-Mail vom vermeintlichen Konto oder bloße Login-Daten als Nachweis. Einige Organisationen verwechselten die Auskunftsanfrage sogar mit einer Löschanfrage und entfernten Konten ohne ordentliche Identitätsprüfung.

Die Studie zeigt eine strukturelle Schwachstelle in der Praxis der Auskunftsbearbeitung, keine flächendeckende, aktuelle Zahl erfolgreicher Identitätsdiebstähle über diesen Weg.

Laut einer Erhebung von noyb erhielten nur 16,5 Prozent der Anfragenden eine vollständige Antwort auf ihre Auskunftsanfrage nach Art. 15 DSGVO, fast 30 Prozent bekamen überhaupt keine Antwort. Damit erfüllten 83,5 Prozent der untersuchten Antworten nicht die gesetzlichen Vorgaben. noyb betont, das eigentliche Problem sei nicht der Missbrauch des Auskunftsrechts durch Betroffene, sondern die mangelhafte Erfüllung der Auskunftspflicht durch die Unternehmen selbst, und kritisiert deshalb den EU-Digital-Omnibus-Vorschlag, der das Auskunftsrecht einschränken will.

Die Stichprobengröße und Methodik der zitierten noyb-Erhebung ist aus dieser Sekundärquelle nicht im Detail belegt; die Prozentzahlen stammen aus noybs eigener Auswertung.

Weil die europäischen Hauptsitze von Meta, TikTok, X/Twitter und WhatsApp in Irland liegen, ist die irische Datenschutzbehörde (DPC) für die meisten grenzüberschreitenden Verfahren gegen diese Konzerne federführend zuständig. Johnny Ryan vom Irish Council for Civil Liberties nennt Irland den 'schlimmsten Flaschenhals' der DSGVO-Durchsetzung. Verfahren gegen Meta, X/Twitter und WhatsApp zogen sich über Jahre und mussten teils vom Europäischen Datenschutzausschuss (EDPB) korrigiert werden, weil andere Behörden die irischen Entwurfsentscheidungen als zu schwach ansahen. Andere EU-Staaten müssen auf irische Entwurfsentscheidungen warten, bevor sie selbst tätig werden können.

Die Kritik am 'Flaschenhals' stammt von zivilgesellschaftlicher Seite (ICCL) und wird von anderen Aufsichtsbehörden geteilt; eine offizielle Selbsteinschätzung der irischen DPC mit dieser Formulierung liegt hier nicht vor.

Der EuGH entschied am 09.02.2023 (Rechtssache C-453/21), dass ein Interessenkonflikt im Sinne von Art. 38 Abs. 6 DSGVO vorliegen kann, wenn ein Datenschutzbeauftragter gleichzeitig weitere Aufgaben wahrnimmt, in denen er selbst über Zwecke und Mittel der Datenverarbeitung entscheidet. Im konkreten Fall ging es um einen Datenschutzbeauftragten, der zugleich freigestellter Betriebsratsvorsitzender war und nach Inkrafttreten der DSGVO 2018 von seiner Position als Datenschutzbeauftragter abberufen wurde. Ob ein solcher Konflikt vorliegt, muss laut EuGH im Einzelfall von den nationalen Gerichten geprüft werden.

Das Urteil stellt einen abstrakten Prüfmaßstab auf; es bewertet nicht, wie viele betriebliche Datenschutzbeauftragte in Deutschland tatsächlich in einem solchen Interessenkonflikt stehen.

FraUKe (Frankfurter Urteilskonfigurator Elektronisch) ist laut hessischem Justizministerium bundesweit das erste KI-gestützte Assistenzsystem, bei dem Künstliche Intelligenz Richterinnen und Richter aktiv bei der Urteilsfindung unterstützt, eingesetzt im Bereich der Fluggastrechte. Parallel entwickeln Nordrhein-Westfalen, Niedersachsen, Brandenburg und Hessen im Projekt MAKI (Massenverfahrens-Assistenz mittels Künstlicher Intelligenz) eine gemeinsame Grundlage für den KI-Einsatz bei Massenverfahren an Amtsgerichten; NRW und Bayern bauen zudem gemeinsam ein juristisches Sprachmodell (GSJ) auf.

Belegt ist der Einsatz bei Fluggastrechte-Massenverfahren. Wie weit die Letztentscheidung beim Menschen liegt und in welchem Umfang die KI-Textvorschläge unverändert übernommen werden, ist aus dieser Quelle nicht im Detail belegt.

In Deutschland gibt es zwei etablierte Robinsonlisten (ichhabediewahl.de und robinsonliste.de), in die sich Verbraucher gegen unerwünschte Werbepost eintragen können. Unternehmen sind jedoch rechtlich nicht verpflichtet, ihre Adressbestände gegen diese Listen abzugleichen; der Abgleich ist freiwillig und kostenpflichtig. Größere Firmen, insbesondere Mitglieder des Deutschen Dialogmarketing Verbands, gleichen meist freiwillig ab, während kleinere oder ausländische Versender den Abgleich häufig aus Kosten- oder Organisationsgründen auslassen. Ein individueller Werbewiderspruch gegenüber einem Adresshändler muss dagegen unverzüglich befolgt werden; danach ist die weitere Nutzung der Daten für Werbezwecke untersagt.

Die Robinsonliste wirkt nur gegenüber den Unternehmen, die freiwillig abgleichen; sie ist kein rechtlich durchsetzbares generelles Werbeverbot.

Am 06.07.2021 wurden Server des Landkreises Anhalt-Bitterfeld durch die Ransomware-Gruppe 'Pay or Grief' verschlüsselt. Der Landkreis zahlte kein Lösegeld und rief am 09.07.2021 den Katastrophenfall aus, laut BSI der erste Fall in Deutschland, der auf einen Cyberangriff zurückgeht. In der Folge konnten zeitweise keine Sozialleistungen ausgezahlt und keine Bürgerdienste erbracht werden; die Angreifer luden zusätzlich abgeflossene Daten ins Darknet hoch. Der Katastrophenfall wurde erst im Februar 2022 aufgehoben, die Gesamtkosten des Angriffs beliefen sich auf rund 2,5 Millionen Euro.

Welche konkreten Bürgerdaten dauerhaft kompromittiert blieben, ist aus dieser Quelle nicht im Detail beziffert.

Wahlberechtigte können das Wählerverzeichnis in Deutschland üblicherweise vom 20. bis zum 16. Tag vor der Wahl einsehen, allerdings nur die eigenen Daten uneingeschränkt. Die Einsicht in die Daten anderer Personen ist nur zulässig, wenn ein möglicher Fehler im Wählerverzeichnis plausibel dargelegt wird. Aus Datenschutzgründen geht die Praxis zunehmend dazu über, statt vollständiger Listen nur gezielte Einzelabfragen zuzulassen. Für Personen mit eingetragener Auskunftssperre nach § 51 Bundesmeldegesetz gilt das Einsichtsrecht Dritter gar nicht erst.

Die genaue Ausgestaltung der Einsichtsregeln kann je nach Bundesland und Kommune leicht variieren; eine bundesweit einheitliche Verwaltungspraxis ist aus dieser Quelle nicht belegt.