Quellen-Tabelle

Nach einem Sicherheitsvorfall bei GEDmatch konnten US-Strafverfolger Gendaten von über einer Million Nutzerprofilen mit Kriminaldatenbanken abgleichen, obwohl nur rund 280.000 zugestimmt hatten.

Bezieht sich auf einen konkreten historischen Sicherheitsvorfall von 2020.

Eine Sammelklage wirft Google vor, über seine RTB-Infrastruktur sensible Browsing-Daten an chinesisch beeinflusste Werbepartner weiterzugeben, ohne Zustimmung der Nutzer.

Klagevorwürfe in einem laufenden US-Verfahren, kein rechtskräftiges Urteil.

Deutschlands unabhängige Datenschutzaufsichtsbehörden fordern gemeinsam den vollständigen Verzicht auf die Chatkontrolle.

Politische Stellungnahme der Aufsichtsbehörden, keine rechtsverbindliche Entscheidung.

Ende-zu-Ende-verschlüsselte Dienste wie Signal und WhatsApp bleiben vom Scanning ausgenommen; Patrick Breyer kritisiert hohe Fehlerquote bei Meldungen.

Journalistische Zusammenfassung, bewertet technische Erkennungsmethoden nicht im Detail.

Amazon räumt ein, Ring-Videodaten in Deutschland bei angeblicher Gefahr im Verzug ohne Gerichtsbeschluss an die Polizei weiterzugeben.

Amazon nennt keine konkreten Zahlen zur Häufigkeit.

Rein klingelaktivierte Videotürklingeln ohne Dauerspeicherung sind grundsätzlich zulässig, Erfassung von Gehweg oder Nachbargrundstück verstößt gegen § 201a StGB.

Ratgeberportal, ersetzt keine anwaltliche Einzelfallprüfung.

Seit 07.07.2026 müssen alle in der EU neu zugelassenen Pkw ein Ablenkungswarnsystem besitzen; Infrarotkameras erfassen Kopfhaltung, Blickrichtung und Augenbewegungen in Echtzeit und warnen ab 50 km/h nach mehr als 3,5 Sekunden Blickabwendung.

Beschreibt die EU-Regelung allgemein, keine herstellerspezifischen Umsetzungen.

Der Bundesdatenschutzbeauftragte sieht bei den EU-Vorgaben zur Innenraumüberwachung keinen Verstoß: Rohdaten sind unmittelbar nach der Verarbeitung zu löschen, biometrische Gesichtserkennung ist verboten, die Verarbeitung erfolgt lokal im Fahrzeug.

Die Entwarnung gilt nur für das gesetzlich vorgeschriebene ADDW, nicht für zusätzliche Kamerafunktionen der Hersteller.

Zwei Tage nach dem Reuters-Bericht reichte ein Tesla-Besitzer eine Sammelklage beim US-Bundesgericht ein, weil Beschäftigte intime Kameraaufnahmen intern geteilt haben sollen.

Dokumentiert nur die Klageerhebung, kein Urteil.

Texas verklagte GM im August 2024 wegen unrechtmäßigen Weiterverkaufs von Fahrdaten von rund 1,8 Millionen Texanern an LexisNexis und Verisk. Erfasst wurden Geschwindigkeit, Standorte, Bremsstärke, Nachtfahrten und scharfe Kurven für individuelle Driving Scores.

Klagevorwürfe des Generalstaatsanwalts, kein rechtskräftiges Urteil.

Über 200 Hersteller von Elektroautos in China – darunter NIO, Tesla, VW, BMW und Daimler – übermitteln mindestens 61 Datenpunkte in Echtzeit an staatlich gestützte Überwachungsplattformen. Die nationale Plattform erfasste 2018 Daten von mehr als 1,1 Millionen Fahrzeugen.

Betrifft ausschließlich in China zugelassene Fahrzeuge, nicht in Europa verkaufte chinesische Autos.

E-Autos mit chinesischer Technik dürfen am Militärnachrichten-Standort RAF Wyton nur noch mindestens zwei Meilen von Schlüsselgebäuden entfernt parken; begründet wird dies mit Navigations- und Sensordaten sowie möglichen Fernupdates.

Das britische Verteidigungsministerium bestreitet zentral angeordnete Verbote, ein landesweites Verbot ist nicht belegt.

Der österreichische VfGH erklärte am 11.12.2019 (G 72-74/2019, G 181-182/2019) den geplanten Bundestrojaner zur verdeckten Überwachung verschlüsselter Kommunikation (WhatsApp, Skype) sowie die flächendeckende Kfz-Kennzeichenerfassung für verfassungswidrig. Begründung: verdeckte Computerüberwachung ist ein schwerer Eingriff in das durch Art. 8 EMRK geschützte Recht auf Achtung des Privatlebens und nur in sehr engen Grenzen zulässig.

Das Erkenntnis betrifft die geplante Gesetzesgrundlage von 2018, nicht einen bereits erfolgten Einsatz. Ob und in welcher Form ein Bundestrojaner in Österreich seither eingesetzt wird, ist aus dieser Quelle nicht belegt.

Amazons Türklingelkamera-Anbieter Ring bestätigte 2022 gegenüber dem US-Senat, dass das Unternehmen Videoaufnahmen ohne Durchsuchungsbefehl und ohne Zustimmung der Gerätebesitzer an Polizeibehörden weitergeben kann, wenn nach eigener Einschätzung 'unmittelbare Gefahr für Leib oder Leben' vorliegt. Allein im Jahr 2022 geschah dies laut Unternehmensangabe bereits elfmal. Was als Notfall gilt, entscheidet Ring selbst, ohne gerichtliche Kontrolle. Reguläre Anfragen erfordern weiterhin einen gültigen Durchsuchungsbefehl; seit Februar 2024 hat Amazon zusätzlich das Werkzeug abgeschaltet, mit dem Polizei über die Neighbors-App direkt Nutzer um Aufnahmen bitten konnte.

Wie oft die Notfall-Ausnahme seit 2022 insgesamt genutzt wurde, ist aus dieser Quelle nicht mit aktueller Zahl belegt.

Eine 2024 auf der ACM Internet Measurement Conference veröffentlichte, peer-reviewte Studie zeigt, dass LG-Fernseher alle 15 Sekunden und Samsung-Fernseher jede Minute Bildschirminhalte per 'Automatic Content Recognition' (ACR) erfassen und mit einer Inhaltsdatenbank abgleichen, um zu erkennen, was gerade angezeigt wird. ACR erfasst dabei alles, was über HDMI angezeigt wird, also auch Inhalte von angeschlossenen Spielkonsolen, Kabelboxen und Laptops. Im Dezember 2025 leitete der texanische Generalstaatsanwalt Ken Paxton Klagen gegen Sony, Samsung, LG, Hisense und TCL ein, denen vorgeworfen wird, TV-Sehdaten unrechtmäßig gesammelt und monetarisiert zu haben; Verbraucherschützer wiesen zudem nach, dass es auf LG-Geräten 27 Klicks brauchte, um die Funktion vollständig zu deaktivieren. Am 26.02.2026 einigte sich Samsung als erster Hersteller außergerichtlich mit der texanischen Behörde.

Die Klagen und die Vergleichszahlung betreffen US-Recht (Texas); eine vergleichbare Untersuchung oder Sanktion für den deutschen bzw. europäischen Markt ist aus dieser Quelle nicht belegt.

Die Mozilla Foundation untersuchte 25 Autohersteller unabhängig und kam zu dem Schluss, Autos seien 'die schlechteste Produktkategorie, die wir je in Bezug auf Datenschutz geprüft haben'. 84 Prozent der untersuchten Hersteller geben an, personenbezogene Daten mit Dritten teilen zu können, 19 von 25 Marken erwähnen explizit den 'Verkauf' von Daten. Jeder untersuchte Hersteller speicherte deutlich mehr personenbezogene Daten als notwendig, erfasst über Kameras, Mikrofone oder gekoppelte Smartphones, darunter Angaben zu privaten Interessen, Sexualleben und individuellem Gesundheitszustand. GPS-Antennen und fest verbaute SIM-Karten übertragen diese Daten kontinuierlich an die Hersteller; anonymisierte und aggregierte Daten fließen zusätzlich an sogenannte Vehicle Data Hubs, die digitalen Datenbroker der Automobilbranche. Die Mozilla-Experten konnten bei keiner der 25 untersuchten Marken bestätigen, dass sämtliche persönlichen Kundendaten verschlüsselt wurden.

Ob und in welchem Umfang die genannten sensiblen Datenkategorien (z. B. Sexualleben) tatsächlich systematisch erfasst oder nur theoretisch laut Datenschutzerklärung erfassbar sind, differenziert diese Quelle nicht in jedem Einzelfall.

Seit dem 01.01.2025 gilt in Deutschland schrittweise eine Pflicht zum Einbau intelligenter Stromzähler (Smart Meter) für Haushalte mit einem Jahresverbrauch über 6.000 kWh, Betreiber von PV-Anlagen über 7 Kilowatt installierter Leistung sowie Nutzer steuerbarer Verbrauchseinrichtungen wie Wallboxen oder Wärmepumpen. Aus den anfallenden Verbrauchsdaten lässt sich detailliert ablesen, wann eine Person zu Bett geht, wie sie ihre Mahlzeiten zubereitet, wie oft sie die Waschmaschine nutzt und wann sie außer Haus ist. Das Messstellenbetriebsgesetz (§§ 49–75 MsbG) regelt den datenschutzkonformen Betrieb im Detail; Deutschland gilt dabei europaweit als das Land mit den höchsten Sicherheitsanforderungen an intelligente Stromzähler.

Ob die hohen gesetzlichen Anforderungen in der praktischen Umsetzung durch alle Messstellenbetreiber tatsächlich lückenlos eingehalten werden, ist aus dieser Quelle nicht belegt.

Laut einer Studie von ibi Research und der DIHK wurde 2025 mehr als die Hälfte der deutschen Handelsunternehmen nachweislich Opfer von Ladendiebstahl. Viele Händler setzen deshalb auf KI-gestützte Kamerasysteme, die verdächtiges Verhalten automatisch erkennen sollen. Echte biometrische Gesichtserkennung bleibt in Deutschland jedoch aufgrund strenger Datenschutzvorgaben stark eingeschränkt: Da es sich um besonders schutzwürdige Daten handelt, ist in der Regel eine ausdrückliche Einwilligung erforderlich, eine Anforderung, die im Einzelhandel mit anonymem Laufkundenpublikum strukturell nicht erfüllbar ist. Zusätzlich begrenzt die DSGVO die Speicherung von Videoaufnahmen auf 48 bis 72 Stunden, was viele KI-Auswertungsanwendungen faktisch wirkungslos macht. dm testete deshalb 2026 stattdessen offen sichtbare Kameraüberwachung an SB-Kassen; Rewe erklärte, im automatisierten Markt in Berlin explizit keine Gesichtserkennung einzusetzen.

Ob einzelne Händler die DSGVO-Vorgaben zur Gesichtserkennung in der Praxis dennoch umgehen, ist aus dieser Quelle nicht belegt; sie beschreibt die rechtliche Ausgangslage und den offiziellen Verzicht der genannten Unternehmen.

Das Tracking-Tool Meta Pixel, Teil der Meta Business Tools, sammelt und wertet systematisch Nutzerdaten aus, ohne dass Betroffene sich dessen stets bewusst sind. Besonders kritisch ist der Einsatz auf Websites mit besonders sensiblen Kategorien nach Art. 9 DSGVO, etwa bei Gesundheitsportalen, Beratungsstellen sowie bei Anwaltskanzleien und Steuerberaterpraxen, deren Mandatsverhältnisse gesetzlich der Verschwiegenheitspflicht unterliegen. Mehrere Oberlandesgerichte (Jena, Dresden, Stuttgart) verurteilten Meta wegen datenschutzwidrigen Trackings; der Bundesgerichtshof stellte klar, dass bereits der bloße Kontrollverlust über personenbezogene Daten einen immateriellen Schaden begründen kann. Verbraucherschutzkanzleien reichten daraufhin hunderte Klagen ein, mit möglichem Schadensersatz von bis zu 10.000 Euro pro Betroffenem. Für Verbraucher bleibt dabei oft unklar, welche Daten genau an Meta fließen, wie lange sie gespeichert werden und mit welchen anderen Informationen sie verknüpft werden.

Ob Meta Pixel konkret auf Websites von Kanzleien oder Steuerberatern in belegter Zahl tatsächlich zu einer Verletzung der anwaltlichen Verschwiegenheitspflicht führte, ist aus dieser Quelle nicht mit Einzelfällen dokumentiert, sondern als strukturelles Risiko beschrieben.

Die deutschen Bundesländer verfolgen beim Einsatz von Microsoft 365 an Schulen stark unterschiedliche Ansätze, von der Ablehnung als 'Datenstaubsauger für Minderjährige' bis zur Einstufung als unverzichtbares Werkzeug für digitalen Unterricht. Nach Einschätzung der deutschen Datenschutzkonferenz (DSK) ist der Einsatz von Microsoft 365 kaum DSGVO-konform möglich; die österreichische Datenschutzbehörde (DSB) entschied, dass Microsoft 365 Education Schüler unrechtmäßig trackt und Daten ohne ausreichende Rechtsgrundlage verarbeitet. Selbst bei Speicherung auf deutschen Servern innerhalb des DSGVO-Anwendungsbereichs können Daten laut Kritikern in die USA abfließen, da US-Gesetze wie der Cloud Act und FISA US-Geheimdiensten grundsätzlichen Zugriff auf Server US-amerikanischer Unternehmen erlauben, unabhängig vom physischen Serverstandort. Baden-Württemberg kündigte nach Empfehlung des damaligen Landesdatenschutzbeauftragten Stefan Brink und Protesten von Bildungsverbänden an, Microsoft Office 365 aus seiner digitalen Lernplattform an allen Schulen des Landes zu entfernen; in vielen anderen Bundesländern wird Microsoft 365 Education dagegen weiterhin problemlos mit gezielt erworbenen Lizenzen für Lehrkräfte und Schüler eingesetzt.

Die uneinheitliche Praxis zwischen den Bundesländern zeigt, dass dieselbe DSGVO-Rechtslage in Deutschland je nach Landesbehörde unterschiedlich ausgelegt wird; eine bundesweit einheitliche verbindliche Entscheidung ist aus dieser Quelle nicht belegt.

Die US-Handelsaufsichtsbehörde Federal Trade Commission (FTC) gab am 13. Januar 2021 einen Vergleich mit dem Unternehmen Flo Health Inc. bekannt, dem Entwickler der Perioden- und Fruchtbarkeits-Tracking-App Flo Period & Ovulation Tracker mit mehr als 100 Millionen Nutzerinnen weltweit. Die FTC warf Flo Health vor, entgegen eigener Datenschutzzusagen sensible Gesundheitsdaten wie den Eintritt der Periode, Schwangerschaftsabsichten und den Fruchtbarkeitsstatus von Nutzerinnen an Dritte weitergegeben zu haben, darunter die Analysedienste von Facebook und Google, den Facebook-Dienst App Events, Googles Fabric-Dienst sowie die Marketingfirmen AppsFlyer und Flurry. Eine Untersuchung des Wall Street Journal hatte die Praxis im Februar 2019 öffentlich gemacht, woraufhin Flo Health die Datenweitergabe einstellte. Nutzerinnen hatten laut FTC keine Möglichkeit erhalten, dieser Weitergabe zu widersprechen, obwohl die App Vertraulichkeit versprochen hatte. Der Vergleich verpflichtet Flo Health, künftig vor jeder Weitergabe von Gesundheitsdaten die ausdrückliche Einwilligung der Nutzerinnen einzuholen, eine unabhängige Überprüfung der eigenen Datenschutzpraxis durchführen zu lassen, betroffene Nutzerinnen über die frühere Offenlegung zu informieren und alle Drittfirmen anzuweisen, die erhaltenen Gesundheitsdaten zu löschen. Die FTC finalisierte die Anordnung am 22. Juni 2021.

Die genaue Zahl der tatsächlich von der Datenweitergabe betroffenen Nutzerinnen innerhalb der über 100 Millionen App-Nutzer ist aus dieser Quelle nicht ersichtlich. Der spätere zivilrechtliche Sammelklage-Vergleich über 59,5 Millionen US-Dollar aus dem Jahr 2025 ist nicht Teil dieser FTC-Anordnung und wird hier nicht behandelt.

Die Electronic Frontier Foundation (EFF) veröffentlichte am 31.10.2023 den Bericht Red Flag Machine zur Schülerüberwachungssoftware GoGuardian. Die Software überwacht nach EFF-Angaben rund 27 Millionen Schüler in etwa 11.500 Schulen in den USA. GoGuardian analysiert automatisiert Suchanfragen, besuchte Webseiten und Bildschirminhalte auf Schulcomputern und meldet vermeintlich bedenkliche Inhalte an Schulpersonal. Laut den EFF-Autoren Jason Kelley und Kate Prince erzeugt das System deutlich mehr Fehlalarme als korrekt erkannte schädliche Inhalte. Zu den fälschlich als gefährlich eingestuften Inhalten zählen Bewerbungsseiten von Universitäten, Beratungs- und Therapieangebote, Informationen zu Drogenmissbrauch, LGBTQ-Themen und sexueller Gesundheit sowie Nachrichtenseiten und Bildungsmaterial. EFF-Ermittlungsdirektor Dave Maass nannte als Beispiel, dass Schüler wegen des Aufrufs des offiziellen Fitnessratgebers der US Marine Corps markiert wurden. Grundlage des Berichts waren zahlreiche Anfragen nach dem Freedom of Information Act sowie die Auswertung tausender tatsächlicher GoGuardian-Warnmeldungen. Manche großen Schulbezirke erzeugen nach GoGuardian eigenen Angaben bis zu 50.000 Alarme pro Tag.

Aus dieser Quelle nicht belegt sind eine offizielle Stellungnahme von GoGuardian zu den Vorwürfen, eine behördliche Sanktion oder Geldstrafe sowie eine exakte bundesweite Gesamtzahl aller erzeugten Fehlalarme.

Der Chaos Computer Club veröffentlichte am 08.10.2011 unter dem Titel 0zapftis eine technische Analyse einer von deutschen Ermittlungsbehörden eingesetzten Überwachungssoftware, dem sogenannten Staatstrojaner. Dem CCC waren mehrere Programmvarianten anonym zugespielt worden, die er disassemblierte und in einem öffentlichen Report dokumentierte. Die Analyse zeigte, dass die Software weit über die vom Bundesverfassungsgericht am 27.02.2008 erlaubte reine Quellentelekommunikationsüberwachung hinausging. Nachgewiesen wurden Funktionen zum Nachladen und ferngesteuerten Ausführen beliebiger weiterer Programme, zur Anfertigung von Bildschirmfotos aus Webbrowsern samt privater Notizen und E-Mails sowie Code für den Zugriff auf Mikrofon und Kamera des infizierten Rechners. Alle untersuchten Varianten nutzten denselben fest einprogrammierten kryptografischen Schlüssel und kommunizierten mit einem Kontrollserver in den USA, wodurch auch Dritte die infizierten Computer übernehmen konnten. Recherchen ordneten die Software der hessischen Firma DigiTask zu, als öffentliche Auftraggeber wurden unter anderem das bayerische Landeskriminalamt und die Zollverwaltung genannt. Ein späteres Gerichtsurteil stellte fest, dass das bayerische LKA einen Verdächtigen monatelang ohne ausreichende Rechtsgrundlage überwacht hatte.

Aus der CCC-Pressemitteilung geht nicht hervor, wie viele Personen insgesamt mit der Software überwacht wurden und auf welchem genauen Weg der CCC die Programmkopien erhielt; auch war nicht abschließend geklärt, welche weiteren Behörden außerhalb Bayerns die Software bereits eingesetzt hatten.

Am 28.05.2012 gab Kaspersky Lab gemeinsam mit dem iranischen CERT-Zentrum MAHER und dem CrySyS Lab der Budapest University of Technology and Economics die Entdeckung der Schadsoftware Flame bekannt. Die Untersuchung war von der Internationalen Fernmeldeunion ITU initiiert worden, nachdem die zerstörerische Malware Wiper zuvor Computer des iranischen Ölministeriums beschädigt hatte. Flame ist mit rund 20 Megabyte etwa 20-mal größer als Stuxnet und war nach Kaspersky-Angaben seit mindestens März 2010 aktiv, bevor sie entdeckt wurde. Die Schadsoftware konnte Bildschirminhalte, Tastatureingaben, Netzwerkverkehr und Audioaufnahmen aufzeichnen, Skype-Gespräche mitschneiden und infizierte Rechner per Bluetooth zu Sendern für Kontaktdaten nahegelegener Geräte machen. Nach Kaspersky-Schätzungen waren zunächst etwa 1000 Rechner betroffen, rund 65 Prozent davon im Nahen Osten und Nordafrika, mit dem größten Anteil im Iran. Zur Verbreitung nutzten die Angreifer unter anderem ein gefälschtes Microsoft-Zertifikat auf Basis einer schwachen MD5-Verschlüsselung. Die Washington Post berichtete am 19.06.2012 unter Berufung auf anonyme Quellen, die NSA, die CIA und das israelische Militär hätten Flame gemeinsam im Rahmen der Operation Olympic Games entwickelt. Kurz nach der öffentlichen Enttarnung sendeten die Kontrollserver im Juni 2012 einen Selbstlöschbefehl an die infizierten Systeme.

Die Urheberschaft durch NSA, CIA und Israels Militär stützt sich allein auf anonyme Quellen der Washington Post und wurde von den USA und Israel nie offiziell bestätigt. Die genaue weltweite Gesamtzahl infizierter Rechner sowie das exakte Ausmaß der abgeflossenen Daten blieben ungeklärt.

Am 17.12.2016 kurz vor Mitternacht wurde die 330-kV-Umspannstation Pivnichna des ukrainischen Netzbetreibers Ukrenergo bei Kiew Ziel eines Cyberangriffs mit der Schadsoftware Industroyer, auch CrashOverride genannt. Die Malware öffnete ferngesteuert Leistungsschalter der Umspannstation und trennte sie vom Netz, wodurch rund ein Fünftel des nächtlichen Stromverbrauchs der Stadt Kiew für etwa eine Stunde ausfiel. Die slowakische IT-Sicherheitsfirma ESET veröffentlichte am 12.06.2017 die erste detaillierte technische Analyse und bezeichnete Industroyer als die größte Bedrohung für industrielle Steuerungssysteme seit Stuxnet 2010. Industroyer ist ein modulares Framework, das Industrieprotokolle nutzt, um direkt mit Schaltanlagen und Schutzrelais zu kommunizieren, ergänzt um ein Löschmodul zur Verschleierung der Spuren. Es handelte sich um den zweiten dokumentierten Cyberangriff auf das ukrainische Stromnetz nach dem Vorfall vom 23.12.2015. Ukrenergo bestätigte offiziell, dass der Stromausfall auf einen Cyberangriff zurückzuführen war. Ein Versuch, zusätzlich vier Siemens-Schutzrelais dauerhaft zu deaktivieren, scheiterte, da die Datenpakete an eine falsche IP-Adresse gesendet wurden.

Aus der ESET-Quelle geht keine offizielle staatliche Zuordnung zu einem Täter oder Land hervor; eine Verbindung zur russischen Gruppe Sandworm wurde erst später von anderen Stellen hergestellt. Auch die genaue Zahl der betroffenen Haushalte wird nicht beziffert.