Quellen-Tabelle

Die britische Datenschutzbehörde ICO verhängte am 23. Mai 2022 ein Bußgeld von 7.552.800 Pfund gegen Clearview AI Inc. Laut ICO hatte das Unternehmen mehr als 20 Milliarden Gesichtsbilder aus dem Internet und sozialen Medien gesammelt, ohne Wissen oder Einwilligung der Betroffenen, und daraus eine durchsuchbare Gesichtserkennungsdatenbank für Kunden wie Polizeibehörden aufgebaut. Die ICO ordnete zusätzlich an, dass Clearview die Daten britischer Bürger löscht und keine weiteren Daten von UK-Bürgern mehr sammelt.

Das First-tier Tribunal hob das Bußgeld im Oktober 2023 auf, da es die Zuständigkeit der ICO für ein US-Unternehmen ohne UK-Geschäftstätigkeit bezweifelte. Im Oktober 2025 gab das Upper Tribunal der ICO in drei von vier Berufungspunkten recht, eine endgültige rechtskräftige Klärung des Falls steht aber weiterhin aus. Offen bleibt zudem, in welchem Umfang die ursprünglich angeordnete Löschung der Daten britischer Nutzer tatsächlich durchgesetzt wurde.

Die US-Bundesbehörde TSA hat am 13.01.2025 per finaler Regel festgelegt, dass ab dem 07.05.2025 an US-Flughafenkontrollen nur noch REAL-ID-konforme Führerscheine oder Ausweise beziehungsweise alternative Dokumente wie Reisepässe akzeptiert werden. Das REAL ID Act wurde bereits 2005 nach Empfehlungen der 9/11-Kommission verabschiedet und legt bundesweite Mindeststandards für die Ausstellung von Ausweisdokumenten fest.

Offen bleibt, ob Reisende ohne konformen Ausweis komplett von Flügen ausgeschlossen werden oder nur zusätzliche Kontrollen und Verzögerungen erfahren. Spätere Aussagen der Heimatschutzministerin deuteten auf Kulanz mit Zusatzprüfung hin. Die Pressemitteilung nennt keine verpflichtende biometrische Gesichtserkennung als Bestandteil der Kontrolle selbst, sondern nur höhere Dokumentensicherheitsstandards bei der Ausstellung durch die Bundesstaaten.

Dokumentiert ist, dass die TSA seit 2018 an inzwischen rund 25 bis knapp 30 US-Flughäfen Gesichtserkennung zur Identitätsprüfung testet (CAT-2-System des Anbieters Idemia) und eine Ausweitung auf bis zu 430 Flughäfen plant. Mehrere US-Senatoren brachten deshalb am 29.11.2023 den Traveler Privacy Protection Act (S. 3361) ein, der das Programm stoppen, die Löschung gespeicherter Gesichtsdaten erzwingen und eine künftige Nutzung an eine ausdrückliche Zustimmung des Kongresses binden soll. Die TSA bestätigt, dass die Teilnahme freiwillig ist und Reisende der Gesichtserkennung widersprechen können.

Offen bleibt, wie viele Reisende die Opt-out-Möglichkeit tatsächlich kennen oder nutzen, da Senator Merkley der TSA vorwarf, diese Option am Checkpoint nicht klar zu kommunizieren. Nicht abschließend belegt ist zudem, ob die von der NIST dokumentierten höheren Fehlerraten bei nicht-weißen Reisenden in der TSA-Praxis konkret zu Fehlidentifikationen geführt haben, und der Gesetzentwurf wurde im Kongress bislang nicht verabschiedet.

Die FTC einigte sich am 19.12.2023 mit der US-Drogeriekette Rite Aid darauf, dass diese für fünf Jahre keine Gesichtserkennung zur Ladenüberwachung einsetzen darf. Laut FTC-Beschwerde nutzte Rite Aid die Technik von 2012 bis 2020 in hunderten Filialen, wobei Mitarbeitende tausende Fehlalarme erhielten und Kunden fälschlich des Ladendiebstahls beschuldigt wurden. Die Fehlerquote war in Stadtteilen mit überwiegend Schwarzer, asiatischer und lateinamerikanischer Bevölkerung nachweislich höher als in mehrheitlich weißen Gegenden.

Offen bleibt die genaue Zahl der fälschlich beschuldigten Personen sowie individuelle Schadensersatzforderungen, da die Vereinbarung eine zivilrechtliche Einigung ohne Schuldeingeständnis ist. Rite Aid bestritt die Vorwürfe und verwies darauf, das System bereits Jahre vor der FTC-Untersuchung eingestellt zu haben.

T-Mobile bestätigte offiziell, dass bei einem Cyberangriff im August 2021 Daten von rund 40 Millionen ehemaligen und potenziellen Kunden sowie 7,8 Millionen bestehenden Postpaid-Kunden gestohlen wurden. Erbeutet wurden Namen, Geburtsdaten, Sozialversicherungsnummern sowie Führerschein- beziehungsweise ID-Daten, jedoch nach Unternehmensangaben keine Finanz- oder Kreditkartendaten. Insgesamt waren nach T-Mobiles eigener Zählung Datensätze von fast 50 Millionen Personen betroffen.

Zum Zeitpunkt der Veröffentlichung war die Untersuchung noch nicht abgeschlossen, sodass der genaue Gesamtumfang offenblieb. Nicht dokumentiert ist, in welchem Umfang die gestohlenen Daten tatsächlich für konkreten Identitätsdiebstahl oder Kreditbetrug missbraucht wurden.

Die kanadische Datenschutzbehörde OPC und die australische OAIC veröffentlichten am 23.08.2016 die Ergebnisse ihrer gemeinsamen Untersuchung zum Ashley-Madison-Datenleck von 2015. Die Behörden stellten bei der Betreiberfirma Avid Life Media gravierende Sicherheitsmängel fest, darunter fehlende dokumentierte Sicherheitsrichtlinien, unzureichend abgesicherter Fernzugriff auf interne Systeme und im Klartext gespeicherte Verschlüsselungsschlüssel und Passwörter. Zudem bestätigten die Behörden, dass die Firma auf ihrer Startseite ein gefälschtes Sicherheits-Gütesiegel zeigte und Nutzerdaten auch nach kostenpflichtiger Löschung des Profils weiter speicherte.

Der Bericht verhängte keine Geldstrafe gegen das Unternehmen, sondern setzte auf verbindliche Verbesserungszusagen. Ob und in welchem Umfang die zugesagten Sicherheitsmaßnahmen tatsächlich fristgerecht umgesetzt wurden, geht aus der Quelle nicht abschließend hervor.

Die FTC gab am 09.10.2024 einen Vergleich mit Marriott International und der Tochter Starwood Hotels wegen dreier Datenlecks zwischen 2014 und 2020 bekannt, von denen weltweit mehr als 344 Millionen Kunden betroffen waren. Laut FTC-Beschwerde fehlten bei Marriott und Starwood angemessene Passwort- und Zugriffskontrollen, Netzwerksegmentierung, aktuelle Software-Patches und eine ausreichende Mehrfaktor-Authentifizierung. Der Vergleich verpflichtet die Unternehmen zu einem umfassenden Informationssicherheitsprogramm; parallel zahlte Marriott 52 Millionen Dollar an 49 US-Bundesstaaten.

Der Vergleich beruht auf einer vorgeschlagenen FTC-Anordnung, ein Schuldeingeständnis von Marriott geht aus dieser Quelle nicht hervor. Offen bleibt, in welchem Umfang sich die 344 Millionen genannten Datensätze mit den bereits 2018 gemeldeten rund 339 Millionen Starwood-Datensätzen überschneiden.

Die italienische Datenschutzbehörde Garante ordnete am 30. März 2023 eine sofortige vorläufige Beschränkung der Datenverarbeitung durch ChatGPT in Italien an. Als Gründe nannte sie die fehlende Rechtsgrundlage für die massenhafte Sammlung und Speicherung personenbezogener Daten zum Training der Algorithmen, mangelhafte Nutzerinformation sowie das Fehlen einer Altersverifikation für Minderjährige. Ausgelöst wurde die Maßnahme auch durch ein Datenleck bei OpenAI vom 20. März 2023. Nachdem OpenAI bis zum 28. April 2023 Auflagen umsetzte, wurde der Dienst wieder freigeschaltet.

Offen bleibt, in welchem Umfang OpenAI die geforderten Maßnahmen tatsächlich dauerhaft und vollständig umsetzte, da spätere Verfahren des Garante weitere Verstöße feststellten. Nicht abschließend geklärt ist zudem, wie wirksam die eingeführte Altersverifikation in der Praxis tatsächlich Minderjährige schützt.

Die italienische Datenschutzbehörde Garante erließ am 2. Februar 2023 eine Dringlichkeitsanordnung gegen den US-Anbieter Luka Inc und untersagte die Verarbeitung personenbezogener Daten italienischer Nutzer durch den KI-Begleiter-Chatbot Replika. Grund waren fehlende Altersverifikation und Verstöße gegen Transparenzpflichten der DSGVO, da Replika Minderjährige nicht wirksam ausschließen konnte und diesen laut Tests auch sexuell konnotierte Antworten lieferte. Bei Nichtbefolgung drohte eine Strafe von bis zu 20 Millionen Euro.

Offen bleibt, wie viele italienische Minderjährige Replika tatsächlich nutzten und welchen konkreten Schaden sie erlitten. Die genaue Höhe der später verhängten Geldbuße gegen Luka Inc ist in den hier genutzten Quellen nicht abschließend beziffert.

Der BfDI Ulrich Kelber verhängte am 9. Dezember 2019 ein Bußgeld von 9,55 Millionen Euro gegen die 1&1 Telecom GmbH. Grund war ein Verstoß gegen Art. 32 DSGVO, da Anrufer an der Kundenhotline sich lediglich mit Name und Geburtsdatum ausweisen mussten und dadurch unbefugt an persönliche Kundendaten gelangen konnten. Auslöser war ein 2018 dokumentierter Fall, in dem eine Ex-Partnerin so die neue Telefonnummer eines Kunden erfragte.

1&1 legte gegen das Bußgeld Einspruch ein. Das Landgericht Bonn bestätigte 2020 zwar den Verstoß, reduzierte die Strafe aber auf 900.000 Euro, da es die Fahrlässigkeit als gering einstufte. Ob weitere Kunden konkret geschädigt wurden, ist nicht dokumentiert.

Die Staatsanwaltschaft Verden übergab dem BSI rund 21 Millionen sichergestellte Zugangsdaten, nach Bereinigung verblieben etwa 18 Millionen Datensätze, davon 3 Millionen deutschen Providern zuzuordnen. Die Deutsche Telekom bestätigte offiziell, dass rund 87.000 ihrer T-Online-Kunden betroffen waren und informierte diese per E-Mail über Schutzmaßnahmen. Laut BSI handelte es sich um gestohlene Benutzernamen und Passwörter, die vermutlich durch Schadsoftware auf Nutzergeräten abgegriffen wurden.

Die genaue Herkunft und der ursprüngliche Angriffsweg der gestohlenen Zugangsdaten bleiben laut BSI ungeklärt, ein Diebstahl direkt von Telekom-Servern wird aber ausgeschlossen. Nicht belegt ist, wie viele der informierten Kunden tatsächlich Opfer von Missbrauch wurden.

Am 6. Juli 2016 gab das britische Gesundheitsministerium bekannt, dass NHS England das umstrittene Programm care.data einstellt. Care.data sollte ab 2013 Patientendaten aus Hausarztpraxen in England zentral zusammenführen und für Forschung und Planung verfügbar machen, wurde aber wegen unzureichender Aufklärung der Patienten und Datenschutzbedenken nie vollständig umgesetzt. Die Einstellung folgte auf den Caldicott-Bericht der National Data Guardian sowie einen Bericht der Care Quality Commission.

Die offizielle Erklärung nennt keine konkreten Zahlen zu Kosten oder Opt-out-Quoten des Programms. Berichte anderer Medien beziffern die bereits entstandenen Kosten auf rund 8 Millionen Pfund und die Zahl der Opt-outs auf etwa 1,5 Millionen, dies stammt jedoch nicht aus der Primärquelle selbst.

Die Schweizer IT-Sicherheitsfirma modzero deckte 2018 gravierende Sicherheitslücken in der von 14 gesetzlichen und 2 privaten Krankenkassen unterstützten Gesundheits-App Vivy auf, die rund 13,5 Millionen Versicherte digital nutzen konnten. Namen, Fotos, E-Mail-Adressen, Geburtsdaten und Versichertennummern sowie Arztdaten waren durch Schwächen bei Verschlüsselung und Schlüsselverwaltung unzureichend geschützt. modzero informierte Vivy am 21.09.2018 und veröffentlichte den Bericht am 30.10.2018 nach Ablauf einer vereinbarten Frist.

Der Bericht dokumentiert nur die technische Machbarkeit der Angriffe, keine belegten Fälle von tatsächlichem Datenmissbrauch oder Datenabfluss an Dritte. Ob die von Vivy zugesicherten Gegenmaßnahmen alle Lücken vollständig schlossen, wurde von modzero nicht unabhängig nachgeprüft.

LinkedIn bestätigte am 6. Juni 2012 offiziell, dass ein Teil der zuvor auf einem russischen Hackerforum veröffentlichten Passwort-Hashes zu LinkedIn-Konten gehörte. Die rund 6,5 Millionen unsalted SHA-1-Hashes stammten aus einer Datenbank, betroffene Nutzer wurden zum Passwort-Reset aufgefordert und das Unternehmen führte danach Salting für die Passwortspeicherung ein.

Wie die Angreifer Zugriff auf die Datenbank erlangten, blieb in der offiziellen Mitteilung unbeschrieben. Die tatsächliche Gesamtzahl betroffener Konten war 2012 unklar und wurde erst 2016 auf rund 117 Millionen E-Mail-Passwort-Kombinationen nach oben korrigiert.

Under Armour bestätigte am 29. März 2018 offiziell ein Datenleck bei seiner Fitness-App MyFitnessPal, von dem rund 150 Millionen Nutzerkonten betroffen waren. Kompromittiert wurden Nutzernamen, E-Mail-Adressen und größtenteils mit bcrypt gehashte Passwörter. Der unbefugte Zugriff erfolgte laut Unternehmen Ende Februar 2018 und wurde am 25. März 2018 entdeckt, Zahlungsdaten und Sozialversicherungsnummern waren nach Unternehmensangaben nicht betroffen.

Nicht öffentlich dokumentiert sind die Identität der Angreifer und der genaue technische Einbruchsweg in die Systeme. Offen bleibt zudem, in welchem Umfang die gestohlenen Zugangsdaten später tatsächlich für Kontoübernahmen bei anderen Diensten missbraucht wurden.

Unbekannte Angreifer nutzten gestohlene Zugangs-Tokens von Slack-Mitarbeitern, um am 27. Dezember 2022 auf extern gehostete private GitHub-Repositories von Slack zuzugreifen und Code herunterzuladen. Slack bestätigte offiziell, dass die Tokens durch die Kompromittierung eines Drittanbieters entwendet wurden, und rotierte anschließend alle betroffenen Zugangsdaten.

Slack erklärte, dass keine Kundendaten, keine Zugangsmittel zu Kundendaten und nicht der primäre Produktionscode betroffen waren. Welcher Drittanbieter genau kompromittiert wurde und wie die Angreifer dort eindrangen, wurde von Slack nicht öffentlich benannt.

Anfang Oktober 2022 versendeten Angreifer Phishing-E-Mails an Dropbox-Mitarbeiter, die vorgaben, von der CI/CD-Plattform CircleCI zu stammen, und auf eine gefälschte CircleCI-Login-Seite verwiesen. Mitarbeiter gaben dort ihre Zugangsdaten ein, wodurch die Angreifer Zugriff auf ein GitHub-Konto eines Dropbox-Entwicklers erlangten. Über dieses Konto kopierten die Angreifer rund 130 interne Code-Repositories, Entwickler-API-Schlüssel sowie einige tausend Namen und E-Mail-Adressen von Mitarbeitern und Kunden. GitHub informierte Dropbox am 14.10.2022, woraufhin Dropbox den Zugriff sperrte.

Dropbox erklärte, dass Kerninhalte, Passwörter und Zahlungsinformationen von Nutzern nicht betroffen waren, ohne diese Aussage durch eine unabhängige Prüfung zu belegen. Die genaue Identität der Angreifer, die Gesamtzahl der betroffenen Personen sowie ein möglicher weiterer Missbrauch der gestohlenen API-Schlüssel gehen aus der Quelle nicht hervor.

Okta bestätigte offiziell, dass Angreifer zwischen Ende September und Anfang Oktober 2023 mit einem gestohlenen Zugangsdatensatz auf das Kundensupport-System zugriffen, getrennt von der produktiven Okta-Plattform. Die Täter konnten von Kunden hochgeladene Dateien einsehen, darunter HAR-Dateien mit Cookies und Session-Tokens, die zur Identitätsübernahme missbraucht werden können. BeyondTrust entdeckte den Angriff am 2. Oktober 2023 und meldete ihn an Okta.

Wie das ursprüngliche Zugangsdatum genau gestohlen wurde, bleibt laut Okta offen. Unklar sind zudem die genaue Gesamtzahl betroffener Kunden, die volle Dauer des unautorisierten Zugriffs und ob über HAR-Dateien hinaus weitere Kundendaten eingesehen wurden.

Der EuGH entschied im Fall Google LLC gegen die französische Datenschutzbehörde CNIL, dass ein Suchmaschinenbetreiber eine Auslistung nach dem Recht auf Vergessenwerden nicht weltweit auf allen Domain-Versionen durchführen muss, sondern nur auf den Versionen, die den EU-Mitgliedstaaten entsprechen. Vorausgegangen war ein Bußgeld von 100.000 Euro, das die CNIL 2016 gegen Google verhängt hatte. Der Suchmaschinenbetreiber muss aber wirksame Maßnahmen wie Geoblocking einsetzen, damit Nutzer in der EU die gelöschten Links nicht über Nicht-EU-Versionen der Suchmaschine umgehen können.

Aus der Pressemitteilung und dem Urteil selbst geht nicht hervor, wie wirksam die von Google eingesetzten Geoblocking-Maßnahmen in der Praxis tatsächlich sind. Offen bleibt zudem, ob und wie einzelne Mitgliedstaaten seither per nationalem Recht doch eine weltweite Auslistung angeordnet haben, da der EuGH dies ausdrücklich nicht ausschließt.

Der EuGH entschied am 2. März 2021 im Fall H.K. gegen Prokuratuur (C-746/18), dass Zugriff auf gespeicherte Verkehrs- und Standortdaten nur zur Bekämpfung schwerer Kriminalität oder zur Abwehr ernster Bedrohungen der öffentlichen Sicherheit erlaubt ist. Das Unionsrecht steht einer nationalen Regelung entgegen, nach der die Staatsanwaltschaft selbst und ohne vorherige Kontrolle durch ein Gericht oder eine unabhängige Stelle über den Datenzugriff für Ermittlungsbehörden entscheiden darf. Das Urteil baut auf der Tele2/Watson-Linie des EuGH auf.

Nicht belegt ist, wie die estnische Staatsanwaltschaft und Gerichte den konkreten Ausgangsfall nach der Zurückverweisung entschieden haben. Ebenfalls offen bleibt die vollständige Umsetzungspraxis in allen EU-Mitgliedstaaten, insbesondere ob einzelne Länder ihre Zugriffsverfahren seither tatsächlich an eine unabhängige Vorabkontrolle angepasst haben.

Der EuGH entschied am 1. Oktober 2019 in der Rechtssache C-673/17 (Bundesverband der Verbraucherzentralen gegen Planet49 GmbH), dass eine wirksame Einwilligung zur Speicherung von Cookies eine aktive Handlung des Nutzers erfordert. Ein bereits angekreuztes Kästchen, das der Nutzer aktiv abwählen müsste, genügt dafür nicht. Anlass war ein Online-Gewinnspiel von Planet49, bei dem Teilnehmer per vorangekreuztem Kästchen der Setzung von Werbe-Cookies zustimmen sollten.

Offen blieb im Urteil selbst die konkrete technische Umsetzung von Cookie-Bannern in der Praxis, die erst durch nationale Gerichte und Aufsichtsbehörden nachfolgend konkretisiert wurde. Nicht Gegenstand des EuGH-Verfahrens waren mögliche Bußgelder gegen Planet49, da es sich um ein Vorabentscheidungsverfahren auf Vorlage des BGH handelte.

Der EuGH entschied in der Rechtssache C-40/17, dass der Betreiber einer Webseite, der einen Facebook-Like-Button einbindet, gemeinsam mit Facebook Ireland für die Erhebung und Übermittlung der personenbezogenen Daten der Webseitenbesucher verantwortlich ist. Konkret hatte der Modehändler Fashion ID den Like-Button eingebunden, wodurch IP-Adresse und Browserdaten der Besucher automatisch an Facebook übertragen wurden, auch ohne Klick auf den Button.

Der EuGH stellte klar, dass sich die Mitverantwortung von Fashion ID nur auf die Phase der Erhebung und Übermittlung der Daten bezieht, nicht auf die nachfolgende alleinige Verarbeitung durch Facebook. Offen blieb im Urteil die konkrete Ausgestaltung, wie Einwilligung und Informationspflichten in der Praxis technisch umzusetzen sind.

Der Bundesgerichtshof entschied am 27.07.2020 im Verfahren VI ZR 405/18, dass ein ehemaliger Geschäftsführer eines Wohlfahrtsverbandes keinen Anspruch auf Auslistung kritischer Presseartikel aus der Google-Suche hat. Die Artikel von 2011 hatten über ein Millionendefizit seiner Regionalgeschäftsstelle und seine Krankmeldung berichtet. Der Senat verlangte eine umfassende Abwägung zwischen dem Persönlichkeitsrecht des Betroffenen und der Meinungs- sowie Informationsfreiheit nach der EU-Grundrechtecharta, ohne pauschale Vermutung zugunsten der Löschung.

Aus der Pressemitteilung geht nicht hervor, wie der Senat die einzelnen Abwägungskriterien im Detail gewichtete und welche konkrete Rolle der seit 2011 verstrichene Zeitraum spielte. Im am selben Tag verhandelten Parallelverfahren VI ZR 476/18 legte der BGH dem EuGH Fragen zur Vorabentscheidung vor, dessen Ausgang aus dieser Quelle nicht ersichtlich ist.

Fünf von der Gesellschaft für Freiheitsrechte unterstützte Beschwerdeführer griffen Paragraf 9a des Zensusvorbereitungsgesetzes 2021 an, der die zentrale Zusammenführung nicht anonymisierter Meldedaten von bis zu 82 Millionen Einwohnern zum Stichtag 13. Januar 2019 für einen Software-Testlauf erlaubte. Das Bundesverfassungsgericht lehnte die Verfassungsbeschwerde am 20. Januar 2022 als unzulässig ab, da der fachgerichtliche Rechtsweg vor den Verwaltungsgerichten nicht ausgeschöpft worden war.

Eine inhaltliche verfassungsrechtliche Prüfung der Datenschutzfragen fand nicht statt, da das Gericht die Beschwerde allein aus formalen Gründen der Subsidiarität verwarf. Ob die zentrale, nicht anonymisierte Zusammenführung der Meldedaten mit dem Recht auf informationelle Selbstbestimmung vereinbar gewesen wäre, blieb damit gerichtlich ungeklärt.

Am 14. April 2024 entdeckte der US-Telekomanbieter Frontier Communications einen unbefugten Zugriff auf Teile seiner IT-Systeme, den es in einer Pflichtmitteilung an die SEC offenlegte. Laut einer Meldung an die Generalstaatsanwaltschaft von Maine waren 751.895 Personen betroffen, deren Namen und Sozialversicherungsnummern kompromittiert wurden. Die Ransomware-Gruppe RansomHub bekannte sich zu dem Angriff und Frontier bot Betroffenen ein Jahr kostenlose Kreditüberwachung an.

Offen bleibt, wie viele Datensätze tatsächlich abgeflossen sind, denn RansomHub behauptete den Diebstahl von über 2 Millionen Kundendatensätzen, deutlich mehr als die von Frontier bestätigten rund 752.000 Betroffenen. Der genaue technische Einstiegspunkt des Angriffs und ob ein Lösegeld gezahlt wurde, sind nicht öffentlich dokumentiert.