Quellen-Tabelle

Die FTC leitete ein Verfahren nach ihrer Health Breach Notification Rule gegen den Online-Apotheken-Preisvergleichsdienst GoodRx ein, weil das Unternehmen es versäumte, Nutzer über unautorisierte Weitergaben ihrer Gesundheitsdaten zu informieren. GoodRx teilte sensible Angaben zu verschriebenen Medikamenten und Gesundheitszuständen wiederholt mit Werbepartnern wie Facebook, Google, Criteo sowie weiteren Dritten wie Branch und Twilio, obwohl es Nutzern zuvor Vertraulichkeit zugesichert hatte. Mit den an Facebook übermittelten Daten ließ GoodRx eigene Nutzer gezielt mit personalisierter, medikamentenspezifischer Werbung auf Facebook und Instagram ansprechen. Das Unternehmen zahlte im Rahmen des Vergleichs eine Zivilstrafe von 1,5 Millionen US-Dollar, bestritt jedoch jegliches Fehlverhalten und erklärte, die Praxis bereits rund drei Jahre vor der FTC-Untersuchung von sich aus beendet zu haben.

GoodRx bestreitet die Vorwürfe ausdrücklich, obwohl das Unternehmen die Zahlung leistete; ein gerichtliches Schuldeingeständnis liegt laut dieser Quelle nicht vor.

Die FTC stellte fest, dass die Zyklus- und Fruchtbarkeits-App Flo trotz gegenteiliger Zusicherung sensible Gesundheitsdaten von Millionen Nutzerinnen an Marketing- und Analysefirmen weitergab, darunter die Analyseabteilungen von Facebook und Google, Googles Fabric-Dienst, AppsFlyer und Flurry, unter anderem die Tatsache einer Schwangerschaft in Form von 'App-Events'. Eine Wall-Street-Journal-Recherche hatte 2019 aufgedeckt, dass mehrere Gesundheits-Apps, darunter Flo, sensible In-App-Aktivitätsdaten über eingebettete Analysetools an Facebook sendeten. Die FTC verpflichtete Flo Health per Vergleich, künftig vor jeder Weitergabe persönlicher Gesundheitsdaten eine ausdrückliche Einwilligung einzuholen und die eigene Datenschutzpraxis unabhängig prüfen zu lassen. In einem späteren Verfahren zahlten Google 48 Millionen und Flo Health 8 Millionen US-Dollar Entschädigung an Nutzerinnen, die zwischen November 2016 und Februar 2019 Menstruations- oder Schwangerschaftsdaten eingegeben hatten.

Die Entschädigungssumme betrifft nur Nutzerinnen im genannten Zeitraum; ob und wie Daten nach Aufdeckung des Falls weiterhin bei den Empfängern gespeichert blieben, ist aus dieser Quelle nicht belegt.

Ende Januar 2022 deckte Politico auf, dass die gemeinnützige Krisenchat-Organisation Crisis Text Line (CTL) Daten aus vertraulichen Krisengesprächen mit Loris.ai teilte, einer gewinnorientierten Firmenausgründung der CTL-Mitgründerin Nancy Lublin, die damit Kundenservice-Software und Chatbots für schwierige Gespräche entwickelte, ohne Einwilligung der Hilfesuchenden. Nach öffentlichem Druck, unter anderem von einem Mitglied der US-Kommunikationsbehörde FCC und Vorstandsmitgliedern von CTL, beendete die Organisation die Datenpartnerschaft am 31.01.2022 sofort und forderte Loris.ai zur Löschung aller bereits erhaltenen Daten auf. Laut CTL hatte Loris.ai jedoch bereits seit Anfang 2020 keinen aktiven Zugriff mehr auf die Daten gehabt.

Ob Loris.ai die Löschung der Daten tatsächlich vollständig umsetzte, ist aus dieser Quelle nicht unabhängig verifiziert, sondern beruht auf der Selbstauskunft der Beteiligten.

Eine gemeinsame Recherche von The Markup und STAT News fand im Juni 2022 heraus, dass ein Drittel der 100 größten US-Krankenhäuser das Tracking-Tool Meta Pixel einsetzte, das bei jeder Terminbuchung Daten an Meta übermittelt, darunter Angaben zu Krankheitsbildern, verschriebenen Medikamenten und Terminen. Bei 33 der getesteten Krankenhäuser sendete der Meta-Pixel-Tracker bei jedem Klick auf 'Termin vereinbaren' ein Datenpaket an Facebook; bei sieben Gesundheitssystemen war der Tracker sogar innerhalb passwortgeschützter Patientenportale installiert. Fünf Monate nach der Veröffentlichung sahen sich große Klinikkonzerne wie UPMC, Advocate Aurora und Duke Health mit daraus resultierenden Klagen konfrontiert.

Ob und in welchem Umfang Meta die erhaltenen Gesundheitsdaten tatsächlich für Werbezwecke gegen einzelne Patienten nutzte, ist aus dieser Untersuchung nicht abschließend belegt; sie weist primär den Datenfluss selbst nach.

Die irische Datenschutzbehörde DPC verhängte gegen TikTok ein Bußgeld von 345 Millionen Euro wegen DSGVO-Verstößen im Umgang mit Daten minderjähriger Nutzer zwischen Ende Juli und Ende Dezember 2020. Konkret bot TikTok 13- bis 17-Jährigen als Voreinstellung an, ihre Beiträge standardmäßig öffentlich für alle sichtbar zu veröffentlichen, und die Kommentarfunktion in Minderjährigen-Profilen war standardmäßig für alle anderen Nutzer offen. Zusätzlich kritisierte die DPC die 'Familien-Kopplung', mit der Erwachsene ihr Konto mit dem eines Kindes verknüpfen konnten, ohne dass geprüft wurde, ob es sich tatsächlich um ein Elternteil oder eine berechtigte Person handelte, wodurch Fremde Minderjährigen Direktnachrichten senden konnten. TikTok musste die Datenverarbeitung binnen drei Monaten DSGVO-konform anpassen.

Ob TikTok die geforderten Anpassungen fristgerecht und vollständig umsetzte, ist aus dieser Quelle nicht belegt.

Laut Recherchen teilten Tesla-Beschäftigte zwischen 2019 und 2022 in internen Chats Kameraaufnahmen aus Fahrzeugen, um sich über die gefilmten Personen lustig zu machen, teils in eindeutig privaten oder heiklen Situationen, darunter eine Aufnahme einer nackten Person sowie Unfälle und riskante Fahrmanöver. Laut Teslas Datenschutzerklärung seien Kameraaufnahmen anonymisiert und nicht einem bestimmten Fahrzeug zuordenbar; sieben ehemalige Mitarbeiter gaben gegenüber Reuters jedoch an, dass die verwendete interne Software den Standort der Videos anzeigte, was Rückschlüsse auf die Fahrzeughalter ermöglichte. Deutsche Datenschützer kritisierten zusätzlich, dass neuere Tesla-Modelle mit Innenraumkameras und Umgebungsaufnahmen aus dem öffentlichen Straßenraum arbeiten, deren Daten unter Umständen in die USA übertragen werden.

Der Umfang, wie viele Kunden tatsächlich betroffen waren und ob Tesla die interne Weitergabe technisch inzwischen unterbunden hat, ist aus dieser Quelle nicht belegt.

Eine 2024 auf der ACM Internet Measurement Conference veröffentlichte, peer-reviewte Studie zeigt, dass LG-Fernseher alle 15 Sekunden und Samsung-Fernseher jede Minute Bildschirminhalte per 'Automatic Content Recognition' (ACR) erfassen und mit einer Inhaltsdatenbank abgleichen, um zu erkennen, was gerade angezeigt wird. ACR erfasst dabei alles, was über HDMI angezeigt wird, also auch Inhalte von angeschlossenen Spielkonsolen, Kabelboxen und Laptops. Im Dezember 2025 leitete der texanische Generalstaatsanwalt Ken Paxton Klagen gegen Sony, Samsung, LG, Hisense und TCL ein, denen vorgeworfen wird, TV-Sehdaten unrechtmäßig gesammelt und monetarisiert zu haben; Verbraucherschützer wiesen zudem nach, dass es auf LG-Geräten 27 Klicks brauchte, um die Funktion vollständig zu deaktivieren. Am 26.02.2026 einigte sich Samsung als erster Hersteller außergerichtlich mit der texanischen Behörde.

Die Klagen und die Vergleichszahlung betreffen US-Recht (Texas); eine vergleichbare Untersuchung oder Sanktion für den deutschen bzw. europäischen Markt ist aus dieser Quelle nicht belegt.

Körperscanner ('Nacktscanner') gehören inzwischen zur Standardausrüstung an immer mehr von der Bundespolizei betriebenen deutschen Flughäfen. Kritisiert wurde insbesondere, dass frühe Scannerbilder scharf genug waren, um nicht nur Genitalien, sondern auch Prothesen, Piercings und künstliche Stomata sichtbar zu machen. Erste Scannergenerationen nutzten Röntgenstrahlung, was gesundheitliche Bedenken bei Vielfliegern und Flughafenpersonal auslöste; die meisten Flughäfen sind inzwischen auf nicht-ionisierende Millimeterwellen-Scanner umgestiegen. Nach der EU-Verordnung 2015/1998 ist die Nutzung von Körperscannern offiziell freiwillig; wer den Scanner ablehnt, kann stattdessen eine manuelle Abtastkontrolle wählen. Die erzeugten Bilder werden laut Betreiberangaben nicht gespeichert, sondern nach der Prüfung gelöscht; in den USA wurde dagegen bekannt, dass Aufnahmen an manchen Standorten gespeichert und archiviert wurden.

Ob deutsche Körperscanner-Standorte die Nicht-Speicherung tatsächlich lückenlos einhalten, ist aus dieser Quelle nicht unabhängig überprüft, sondern beruht auf Betreiberangaben; der US-Präzedenzfall zeigt, dass eine solche Zusicherung nicht zwingend verlässlich ist.

Die Mozilla Foundation untersuchte 25 Autohersteller unabhängig und kam zu dem Schluss, Autos seien 'die schlechteste Produktkategorie, die wir je in Bezug auf Datenschutz geprüft haben'. 84 Prozent der untersuchten Hersteller geben an, personenbezogene Daten mit Dritten teilen zu können, 19 von 25 Marken erwähnen explizit den 'Verkauf' von Daten. Jeder untersuchte Hersteller speicherte deutlich mehr personenbezogene Daten als notwendig, erfasst über Kameras, Mikrofone oder gekoppelte Smartphones, darunter Angaben zu privaten Interessen, Sexualleben und individuellem Gesundheitszustand. GPS-Antennen und fest verbaute SIM-Karten übertragen diese Daten kontinuierlich an die Hersteller; anonymisierte und aggregierte Daten fließen zusätzlich an sogenannte Vehicle Data Hubs, die digitalen Datenbroker der Automobilbranche. Die Mozilla-Experten konnten bei keiner der 25 untersuchten Marken bestätigen, dass sämtliche persönlichen Kundendaten verschlüsselt wurden.

Ob und in welchem Umfang die genannten sensiblen Datenkategorien (z. B. Sexualleben) tatsächlich systematisch erfasst oder nur theoretisch laut Datenschutzerklärung erfassbar sind, differenziert diese Quelle nicht in jedem Einzelfall.

Politik und Deutsche Bahn verständigten sich auf ein Maßnahmenpaket, das intelligente Videoüberwachung und biometrische Gesichtserkennung an Bahnhöfen als Unterstützungsinstrument insbesondere für die Bundespolizei vorsieht. In einer ersten Testphase wurde Gesichtserkennungssoftware erprobt, in einer zweiten Phase sollen verschiedene Gefahrensituationen automatisch erkannt und angezeigt werden. Bei Vorstellung des Plans war laut Expertenkritik völlig offen, auf welcher Rechtsgrundlage der Einsatz erfolgen soll: Nach DSGVO ist die Erhebung biometrischer Daten zur Identifizierung von Personen grundsätzlich verboten. Bis 2023 standen bei der Bundespolizei bereits über 70 Millionen Euro für den Ausbau der Videoüberwachung bereit, aus dem Bundeshaushalt sollten zusätzlich 50 Millionen Euro hinzukommen.

Ob und auf welcher konkreten Rechtsgrundlage die Gesichtserkennung inzwischen tatsächlich im Regelbetrieb läuft, ist aus dieser Quelle nicht abschließend belegt; zum Berichtszeitpunkt war dies laut Quelle noch ungeklärt.

Die als Sicherheits-App vermarktete Familien-Tracking-App Life360 verkauft laut Recherchen von The Markup, gestützt auf Aussagen zweier ehemaliger Mitarbeiter, seit 2016 Standortdaten von rund 33 Millionen Nutzern an etwa ein Dutzend Datenbroker, die sie wiederum an praktisch jeden zahlenden Kunden weitergeben, darunter auch US-Regierungsbehörden wie das Verteidigungsministerium und die Gesundheitsbehörde CDC. Firmengründer und CEO Chris Hulls bestätigte, der Datenverkauf sei fester Bestandteil des Geschäftsmodells; die Datenschutzbestimmungen der App erwähnen die Weitergabe an Dritte, werden aber laut Berichten von den meisten Nutzern nicht sorgfältig gelesen. Der CEO betonte, man verkaufe Daten nicht direkt an Regierungsstellen, um die Rechte potenzieller Angeklagter in Strafverfahren nicht zu untergraben, wich damit aber der Frage nach der Weitergabe über zwischengeschaltete Datenbroker an genau solche Stellen aus.

Ob und wie oft die über Umwege an Behörden gelangten Life360-Standortdaten tatsächlich in konkreten Strafverfahren verwendet wurden, ist aus dieser Quelle nicht belegt.

Sicherheitsforscher von Palo Alto Networks Unit 42 entdeckten eine Angriffswelle, bei der Schadsoftware Router wie die FritzBox über insgesamt 13 Schwachstellen sowie Brute-Force-Angriffe in ein Botnetz eingliederte, ebenso wie IP-Kameras und andere IoT-Geräte. Angreifer können dadurch das Heimnetz ausspähen, Bewegungsprofile erstellen oder die Geräte für DDoS-Angriffe missbrauchen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte zusätzlich vor der komfortablen, aber riskanten Fernzugriffsfunktion, mit der die FritzBox über das Internet von außerhalb des Zuhauses erreichbar gemacht werden kann: Kriminelle durchsuchen das Internet gezielt nach FritzBoxen mit aktiviertem Fernzugriff und können bei geknacktem Passwort oder unentdeckter Sicherheitslücke vollen Zugriff auf den Router erlangen. Geräte mit eingestelltem Support gelten dabei als besonders gefährdet, da veraltete Firmware Zugriff auf Bankdaten und smarte Haushaltsgeräte im Netzwerk ermöglichen kann.

Wie viele deutsche Haushalte tatsächlich von der beschriebenen Botnetz-Kampagne betroffen waren, ist aus dieser Quelle nicht mit einer Gesamtzahl belegt.

Ein Cyberangriff auf einen externen IT-Dienstleister führte zum Abfluss von Daten Zehntausender Patienten und betraf mehrere große deutsche Universitätskliniken, darunter Freiburg, Heidelberg, Tübingen, Ulm, Mannheim und Köln. Insgesamt wurden über 120.000 Patientendatensätze deutscher Universitätskliniken im sogenannten Unimed-Cyberangriff gestohlen. Parallel griffen Hacker um den Jahreswechsel 2024/25 das Praxisverwaltungssystem des MVZ Herz-Lungen-Praxis Hamburg-Bergedorf an, einer Tochtergesellschaft der LungenClinic Großhansdorf, und erlangten Zugriff auf 12.000 Patientendatensätze. Nach Angaben von Check Point Software stiegen Cyberangriffe in der DACH-Region 2025 um 124 Prozent, wobei Deutschland über 82 Prozent aller registrierten Vorfälle in der Region ausmachte.

Ob und in welchem Umfang die gestohlenen Daten öffentlich veröffentlicht wurden oder ausschließlich im kriminellen Untergrund gehandelt wurden, ist aus dieser Quelle nicht abschließend geklärt.

Der britische Gesundheitsdienst NHS England unterzeichnete 2023 einen zunächst siebenjährigen Vertrag über 330 Millionen Pfund, der die zentrale Datenverwaltungsplattform des gesamten Gesundheitssystems an das US-Unternehmen Palantir auslagert. Latifa Patel, Vorsitzende des Vertretungsgremiums der British Medical Association, nannte die Vergabe 'zutiefst besorgniserregend'; Amnesty International forderte von Palantir verbindliche Garantien, Patientendaten künftig nicht zu monetarisieren. 2023 blockierten rund 200 Menschen die NHS-Büros aus Protest gegen die Vertragsvergabe; Aktivisten der Koalition um 'Keep Our NHS Public' organisierten seither wiederholt Informationsstände, Flugblattaktionen und Unterschriftensammlungen. Ein parlamentarischer Ausschuss warnte, Palantirs Rolle stelle eine 'inakzeptable Schwachstelle' dar und verwies auf die Risiken einer Abhängigkeit von wenigen US-Technologieunternehmen.

Ob Palantir die geforderten Garantien gegen eine Monetarisierung der Patientendaten tatsächlich abgegeben hat, ist aus dieser Quelle nicht belegt.

Die französische Datenschutzbehörde CNIL verhängte am 10.12.2020 nach Online-Kontrollen auf google.fr und amazon.fr Bußgelder von insgesamt 135 Millionen Euro: 100 Millionen Euro gegen Google (60 Mio. gegen Google LLC, 40 Mio. gegen Google Ireland Ltd.) und 35 Millionen Euro gegen Amazon. Beide Unternehmen platzierten automatisch personalisierte Werbe-Cookies auf den Endgeräten der Nutzer, ohne vorab deren Einwilligung einzuholen; zusätzlich bewertete die CNIL die bereitgestellten Informationen zu den Cookies als unzureichend. Die Unternehmen erhielten drei Monate Zeit zur Anpassung, andernfalls drohten weitere 100.000 Euro Strafe pro zusätzlichem Verzögerungstag. Der französische Conseil d'État bestätigte die Entscheidung gegen Amazon später in der Berufung.

Ob die tatsächlich verhängten Nachfrist-Strafzahlungen von 100.000 Euro pro Tag jemals fällig wurden, ist aus dieser Quelle nicht belegt.

In den USA häuften sich Fälle, in denen Hacker sich unbefugten Zugriff auf smarte Ring- und Nest-Kameras verschafften. In Mississippi spielte ein Hacker über die Kamera im Kinderzimmer eines Mädchens den Song 'Tiptoe Through The Tulips' ab und beschimpfte die Achtjährige; in Florida spionierte ein Unbekannter eine Familie tagelang über deren Ring-Kameras aus, aktivierte die Alarmsirene und moderierte über die Lautsprecher einen Hacker-Podcast, während er Eltern und Sohn beschimpfte. Weitere Fälle wurden aus Georgia, New York und Connecticut gemeldet. Bei Google-Nest-Kameras übernahm in Milwaukee ein Hacker wiederholt die Kontrolle über smarte Haushaltsgeräte; bereits 2018 berichteten US-Medien über Sicherheitsprobleme bei Nest-Kameras, bei denen Angreifern der Zugriff auf Nutzerkonten gelang.

Die dokumentierten Fälle beruhen überwiegend auf wiederverwendeten, bei anderen Datenlecks erbeuteten Zugangsdaten (Credential Stuffing), nicht auf einer direkten Sicherheitslücke in Ring oder Nest selbst; dieser technische Hintergrund wird in den zitierten Berichten nicht in jedem Einzelfall differenziert dargestellt.

Seit dem 01.01.2025 gilt in Deutschland schrittweise eine Pflicht zum Einbau intelligenter Stromzähler (Smart Meter) für Haushalte mit einem Jahresverbrauch über 6.000 kWh, Betreiber von PV-Anlagen über 7 Kilowatt installierter Leistung sowie Nutzer steuerbarer Verbrauchseinrichtungen wie Wallboxen oder Wärmepumpen. Aus den anfallenden Verbrauchsdaten lässt sich detailliert ablesen, wann eine Person zu Bett geht, wie sie ihre Mahlzeiten zubereitet, wie oft sie die Waschmaschine nutzt und wann sie außer Haus ist. Das Messstellenbetriebsgesetz (§§ 49–75 MsbG) regelt den datenschutzkonformen Betrieb im Detail; Deutschland gilt dabei europaweit als das Land mit den höchsten Sicherheitsanforderungen an intelligente Stromzähler.

Ob die hohen gesetzlichen Anforderungen in der praktischen Umsetzung durch alle Messstellenbetreiber tatsächlich lückenlos eingehalten werden, ist aus dieser Quelle nicht belegt.

Der Passwort-Manager LastPass wurde bereits im August 2022 Opfer eines Hackerangriffs, informierte Kunden jedoch erst im Dezember 2022 darüber, dass Angreifer dabei auch die verschlüsselten Passwort-Tresore der Kunden erbeuteten, zusätzlich zu Firmennamen, Nutzernamen, Rechnungsadressen, E-Mail-Adressen, Telefonnummern und Zugriffs-IP-Adressen. Die gestohlenen Zugangsdaten in den Tresoren sind zwar verschlüsselt und nur mit dem individuellen Master-Passwort lesbar, spätere Berichte zeigten jedoch, dass LastPass sich nicht an die Empfehlungen von OWASP hielt und nur rund ein Drittel der empfohlenen Wiederholungen der Schlüsselableitungsfunktion PBKDF2 verwendete, was das Knacken schwacher Master-Passwörter erheblich erleichterte.

Wie viele Nutzer-Tresore tatsächlich erfolgreich entschlüsselt wurden, ist aus dieser Quelle nicht mit einer belastbaren Zahl belegt.

Section Control erfasst über mehrere Kilometer verteilte Kennzeichen aller durchfahrenden Fahrzeuge, unabhängig von deren Geschwindigkeit, um daraus die Durchschnittsgeschwindigkeit auf dem Streckenabschnitt zu berechnen. Ein Rechtsanwalt klagte gegen das niedersächsische Pilotprojekt bei Hannover mit der Begründung, die pauschale Kennzeichenerfassung aller Fahrzeuge verletze das Grundrecht auf informationelle Selbstbestimmung; das Verwaltungsgericht gab ihm zunächst recht und legte den Betrieb still. Das Oberverwaltungsgericht Lüneburg bestätigte die Rechtmäßigkeit später nach einer Nachbesserung des niedersächsischen Polizeigesetzes und erlaubte die Wiederinbetriebnahme. 2024 wurde das System dennoch endgültig abgeschaltet, offiziell wegen neuer rechtlicher Anforderungen an Mess- und Kalibrierverfahren bei verschlüsselten Daten.

Ob die endgültige Abschaltung 2024 primär technische Kalibrierungsgründe hatte oder erneut mit den ursprünglichen Datenschutzbedenken zusammenhing, lässt sich aus dieser Quelle nicht eindeutig trennen.

Laut einer Studie von ibi Research und der DIHK wurde 2025 mehr als die Hälfte der deutschen Handelsunternehmen nachweislich Opfer von Ladendiebstahl. Viele Händler setzen deshalb auf KI-gestützte Kamerasysteme, die verdächtiges Verhalten automatisch erkennen sollen. Echte biometrische Gesichtserkennung bleibt in Deutschland jedoch aufgrund strenger Datenschutzvorgaben stark eingeschränkt: Da es sich um besonders schutzwürdige Daten handelt, ist in der Regel eine ausdrückliche Einwilligung erforderlich, eine Anforderung, die im Einzelhandel mit anonymem Laufkundenpublikum strukturell nicht erfüllbar ist. Zusätzlich begrenzt die DSGVO die Speicherung von Videoaufnahmen auf 48 bis 72 Stunden, was viele KI-Auswertungsanwendungen faktisch wirkungslos macht. dm testete deshalb 2026 stattdessen offen sichtbare Kameraüberwachung an SB-Kassen; Rewe erklärte, im automatisierten Markt in Berlin explizit keine Gesichtserkennung einzusetzen.

Ob einzelne Händler die DSGVO-Vorgaben zur Gesichtserkennung in der Praxis dennoch umgehen, ist aus dieser Quelle nicht belegt; sie beschreibt die rechtliche Ausgangslage und den offiziellen Verzicht der genannten Unternehmen.

Im April 2021 tauchten Daten von rund 533 Millionen Facebook-Nutzern aus 106 Ländern öffentlich im Netz auf, darunter rund 6 Millionen deutsche Nutzer, mit vollständigen Nutzernamen, Geburtsdaten, E-Mail-Adressen, Telefonnummern und Angaben wie dem Beziehungsstatus. Zentraler Angriffspunkt war Facebooks 'Kontaktimport'-Funktion: Unbekannte generierten hunderte Millionen zufällige Telefonnummern und glichen sie über ein Freundschaftssuche-Tool mit Facebook-Nutzerdaten ab; fand Facebook eine passende Nummer in seiner Datenbank, lieferte es die zugehörigen Nutzerinformationen zurück. Die irische Datenschutzbehörde verhängte am 29.11.2022 ein Bußgeld von 265 Millionen Euro gegen Meta, weil das Unternehmen die Daten der Nutzer nicht ausreichend geschützt hatte. Betroffene Nutzer in Deutschland reichten daraufhin Sammelklagen auf Schadensersatz ein; ein BGH-Grundsatzurteil bejahte grundsätzlich Schadensersatzansprüche für Betroffene.

Die genaue Höhe des einzelnen Schadensersatzanspruchs pro betroffenem Nutzer variiert je nach Gerichtsentscheidung und ist aus dieser Quelle nicht einheitlich beziffert.

Bei einer Funkzellenabfrage fordert die Polizei von Mobilfunkanbietern alle Verbindungsdaten an, die in einer bestimmten Funkzelle in einem festgelegten Zeitraum anfielen, unabhängig davon, ob die betroffenen Personen mit einer Straftat zu tun haben. In Berlin erhielt die Polizei binnen eines Jahres 112 Millionen Mobilfunkdatensätze durch Funkzellenabfragen, umgerechnet 32 Datensätze pro Einwohner; 2017 wurden 474 Funkzellenabfragen mit insgesamt 59 Millionen Einzeldatensätzen gemeldet. Bei jeder Abfrage geraten zwangsläufig auch unbeteiligte Personen ins Netz der Ermittler. Bundesweit gab es laut Berechnungen über 50 solcher Massenabfragen pro Tag; im ersten Halbjahr 2018 leitete allein das Bundeskriminalamt 20 Funkzellenabfragen ein. In Sachsen verdreifachte sich die Zahl der Funkzellenabfragen seit 2012.

Wie viele der erfassten unbeteiligten Personen tatsächlich informiert wurden, dass ihre Verbindungsdaten in einer Funkzellenabfrage erfasst wurden, ist aus dieser Quelle nicht belegt.

Das Amtsgericht Köln verurteilte einen Täter (Az. 530 Ds 265/21) am 06.10.2022 wegen digitaler Überwachung seiner (Ex-)Partnerin mittels GPS-Tracker, Mikrofonen und einer Spyware-App zu acht Monaten Freiheitsstrafe auf Bewährung, ordnete die Einziehung der Überwachungsgeräte an und legte ihm die Verfahrenskosten vollständig auf. Der neu gefasste § 238 Abs. 2 Satz 2 Nr. 4 StGB erfasst inzwischen ausdrücklich einen besonders schweren Fall der Nachstellung, wenn ein Täter ein Computerprogramm einsetzt, dessen Zweck die digitale Ausspähung anderer Personen ist, etwa sogenannte Stalkerware. Trotz rechtlicher Möglichkeit kommt es laut netzpolitik.org fast nie zu Anklagen, weil das Gesetz zu viele Schlupflöcher lässt und die Nachweisführung für Betroffene und Ermittler in der Praxis zu schwierig ist.

Wie viele Fälle mit vergleichbarem Sachverhalt mangels Beweisbarkeit gar nicht erst zur Anklage kamen, ist aus dieser Quelle naturgemäß nicht beziffert.

Mehrere deutsche Krankenkassen bezuschussen den Kauf von Fitness-Trackern und Smartwatches im Rahmen ihrer Bonusprogramme, etwa die AOK Nordost 2015 mit 50 Euro und die Techniker Krankenkasse später mit bis zu 250 Euro. Der Chaos Computer Club Stuttgart kritisierte, Wearables seien vor allem Datensammler, auch wenn der Anreiz zu mehr Bewegung an sich begrüßenswert sei. Der damalige SPD-Gesundheitspolitiker Karl Lauterbach bezeichnete den Bonus als 'fragwürdig', da Kassen damit gezielt gut gebildete, junge und gesunde Mitglieder abwerben wollten. Bundesgesundheitsminister Hermann Gröhe mahnte, persönliche Gesundheitsdaten könnten über solche Apps ins Internet gelangen, ohne ausdrücklich geschützt zu sein; ein Sprecher der Kassenärztlichen Bundesvereinigung warnte, Verbrauchern müsse bewusst sein, dass ihre Trackingdaten irgendwo gespeichert werden.

Konkrete dokumentierte Fälle, in denen über Bonusprogramme erhobene Fitnessdaten tatsächlich unautorisiert weitergegeben wurden, sind aus dieser Quelle nicht belegt; die Kritik bezieht sich auf ein strukturelles Risiko.

Das Amtsgericht Gelnhausen entschied in einem Nachbarschaftsstreit (Az. 52 C 76/24) zugunsten des Eigentümers eines Mehrfamilienhauses, der sich gegen eine auf dem Nachbargrundstück installierte Überwachungskamera wehrte. Das Gericht untersagte dem Nachbarn den Betrieb der Kamera in einer Weise, die Vorgänge auf dem klagenden Grundstück erfasst, und stufte die Videoüberwachung als unzulässigen Eingriff in die Persönlichkeitsrechte des Klägers und seiner Mieter ein; Sicherheitsinteressen allein rechtfertigen demnach grundsätzlich keine Aufzeichnung von Nachbargrundstücken. Das Gericht stellte zudem klar, dass die Kamera nicht drehbar sein darf. Das Amtsgericht Berlin-Spandau urteilte in einem vergleichbaren Fall, dass eine an der Haustür installierte Überwachungskamera das Nachbarhaus nicht erfassen darf. Ein Anspruch auf Entfernung einer Kamera kann bereits bestehen, wenn eine Person ernsthaft befürchten muss, von ihr überwacht zu werden, unabhängig davon, ob tatsächlich aufgezeichnet wird.

Die genannten Urteile setzen einen rechtlichen Maßstab für Einzelfälle; eine flächendeckende, verlässliche Kontrolle, ob private Klingelkameras in der Praxis tatsächlich nachbarschaftskonform konfiguriert sind, ist aus dieser Quelle nicht belegt.