Quellen-Tabelle

Der EuGH entschied am 08.12.2022 im Verfahren C-460/20 (TU und RE gegen Google), dass ein Suchmaschinenbetreiber Ergebnisse auslisten muss, wenn die betroffene Person nachweist, dass die verlinkten Inhalte offensichtlich unrichtig sind. Ein vorheriges Gerichtsurteil gegen den Webseitenbetreiber ist dafür nicht zwingend erforderlich, es reichen zumutbare Beweismittel der antragstellenden Person. Zusätzlich stellte der Gerichtshof klar, dass als Vorschaubilder angezeigte Fotos gesondert nach ihrem Informationswert abzuwägen sind.

Der Bundesgerichtshof, der die Vorlagefrage gestellt hatte, musste den konkreten Ausgangsfall der beiden Investmentmanager anhand dieser Vorgaben erst noch abschließend entscheiden, das Ergebnis ist der Pressemitteilung nicht zu entnehmen. Wie Google die Kriterien zur offensichtlichen Unrichtigkeit in der Praxis bei Millionen jährlicher Löschanträge anwendet, bleibt aus dieser Quelle offen.

Der EuGH entschied am 02.10.2018 in der Rechtssache C-207/16 (Ministerio Fiscal), dass der Zugriff auf reine Identifikationsdaten von SIM-Karten-Inhabern wie Namen und Adressen auch zur Verfolgung nicht besonders schwerer Straftaten zulässig sein kann. Anlass war ein Diebstahl einer Geldbörse und eines Mobiltelefons in Spanien. Der EuGH stellte klar, dass dieser Zugriff zwar in die Grundrechte auf Achtung des Privatlebens und Datenschutz eingreift, mangels präziser Rückschlüsse auf das Privatleben aber keinen schwerwiegenden Eingriff darstellt.

Aus der Pressemitteilung geht nicht hervor, wie der spanische Ausgangsfall zum Diebstahl der Geldbörse letztlich entschieden wurde. Offen bleibt zudem, welche konkrete Straftaten-Schwelle die Mitgliedstaaten seither für den Zugriff auf reine Bestandsdaten in ihren nationalen Gesetzen festgelegt haben.

Die US-Bank Evolve Bank & Trust bestätigte einen Ransomware-Angriff der Gruppe LockBit zwischen Februar und Mai 2024, ausgelöst durch einen Mitarbeiter, der auf einen schädlichen Link klickte. Die Täter erbeuteten Namen, Sozialversicherungsnummern, Kontodaten und Kontaktinformationen von Kunden der Bank sowie von Kunden ihrer Fintech-Partner. Nach der Weigerung, Lösegeld zu zahlen, veröffentlichte LockBit die Daten.

Die Angaben zur Gesamtzahl der Betroffenen schwanken je nach Quelle zwischen 7,6 Millionen und rund 18 Millionen Personen. Ein Vergleich über rund 11,85 Millionen US-Dollar wurde im Dezember 2025 gerichtlich final bestätigt. Nicht öffentlich dokumentiert ist, in welchem Umfang die gestohlenen Daten tatsächlich für Identitätsdiebstahl missbraucht wurden.

Am 22.09.2017 teilte Transport for London mit, dass die Betriebslizenz von Uber London Limited nach Ablauf nicht verlängert wird, weil das Unternehmen nicht als geeignet gilt. TfL nannte vier Gründe: den Umgang mit der Meldung schwerer Straftaten von Fahrern, die Art der Beschaffung ärztlicher Bescheinigungen und Führungszeugnisse sowie den Einsatz der Software Greyball, mit der Behördenmitarbeitern der volle App-Zugriff verwehrt werden konnte.

TfL bezifferte keine konkrete Zahl betroffener Fahrer oder Fahrgäste und stützte die Entscheidung auf Unternehmensverhalten, nicht auf einen einzelnen nachgewiesenen Datenschutzvorfall. Am 26.06.2018 erteilte das Westminster Magistrates' Court Uber unter Auflagen eine befristete neue Lizenz, sodass der ursprüngliche Entzug nicht dauerhaft wirksam wurde.

Im Verfahren In re Facebook Biometric Information Privacy Litigation genehmigte das Gericht am 26.02.2021 einen Vergleich über 650 Millionen US-Dollar. Grundlage war der Vorwurf, Facebooks Funktion Tag Suggestions habe per Gesichtserkennung biometrische Gesichtsdaten von Nutzern in Illinois gespeichert, ohne die vom Illinois Biometric Information Privacy Act (BIPA) vorgeschriebene schriftliche Einwilligung einzuholen. Rund 1,6 Millionen Facebook-Nutzer aus Illinois waren anspruchsberechtigt und erhielten mindestens 345 US-Dollar pro Person, es handelte sich um den bis dahin höchsten Vergleichsbetrag in einem Datenschutzverfahren in den USA.

Aus den Quellen geht nicht hervor, dass Facebook im Vergleich ein Fehlverhalten eingeräumt hat, das Unternehmen bestritt die Vorwürfe weiterhin. Nicht abschließend belegt ist, wie viele der 1,6 Millionen Berechtigten tatsächlich einen Antrag stellten, Berichten zufolge lag die Abrufquote bei etwa 22 Prozent.

Im Juni 2024 einigte sich Clearview AI mit den Klägern der Sammelklage In re Clearview AI Consumer Privacy Litigation auf einen Vergleich, wonach die Klassenmitglieder statt einer Geldzahlung einen Anteil von 23 Prozent an Clearview AI erhalten sollten, damals mit rund 51,75 Millionen US-Dollar bewertet. Die zuständige US-Bezirksrichterin bestätigte den Vergleich am 20.03.2025 endgültig. Am 13.07.2026 hob das US-Berufungsgericht für den Siebten Bezirk die Genehmigung wieder auf, weil für die bundesweite Klasse kein eigener Klassenvertreter mitgewirkt hatte.

Offen bleibt, ob und wann ein neuer Vergleich mit separater Vertretung der bundesweiten Klasse zustande kommt und welchen tatsächlichen Geldwert die Klassenmitglieder am Ende erhalten, da der Wert weiterhin an einen ungewissen Börsengang oder Verkauf von Clearview AI gebunden wäre.

Der kalifornische Generalstaatsanwalt einigte sich im August 2022 mit dem Kosmetikhändler Sephora auf eine Zahlung von 1,2 Millionen US-Dollar. Grund war der erste große CCPA-Durchsetzungsfall: Sephora ließ Drittanbieter per Tracking-Pixel und Cookies Nutzerdaten sammeln, ohne dies als Datenverkauf offenzulegen, und ignorierte Opt-out-Signale über Global Privacy Control. Sephora musste seine Datenschutzerklärung anpassen und Opt-out-Mechanismen einführen.

Sephora räumte im Vergleich keine Rechtsverletzung ein, da es sich um einen Consent Decree ohne Schuldeingeständnis handelt. Offen bleibt, wie viele Nutzer konkret betroffen waren und welche der beteiligten Drittanbieter die Daten wofür genau weiterverwendeten.

Der texanische Generalstaatsanwalt Ken Paxton verklagte General Motors im August 2024 wegen unrechtmäßiger Sammlung und Weitergabe von Fahrverhaltensdaten. Über das Programm OnStar Smart Driver sammelte GM in Fahrzeugen ab Modelljahr 2015 Daten wie Geschwindigkeit und Bremsverhalten und verkaufte diese an Datenmakler, die daraus Driving Scores für Versicherer erstellten.

Ob GM Kunden aktiv täuschte oder ob die Anmeldung ohne echte Zustimmung erfolgte, war zum Zeitpunkt der Klageeinreichung rechtlich noch nicht entschieden. Die Klage fordert Geldstrafen und die Löschung der gesammelten Daten, ein Urteil oder Vergleich stand noch aus.

Die Datenschutzbehörden von Bund, Québec, British Columbia und Alberta stellten am 03.02.2021 in einer gemeinsamen Untersuchung fest, dass Clearview AI mit einer Datenbank aus über drei Milliarden aus dem Internet gescrapten Fotos gegen kanadisches Datenschutzrecht verstieß. Das Unternehmen sammelte biometrische Gesichtsdaten ohne Einwilligung, was gegen PIPEDA sowie die Datenschutzgesetze der drei Provinzen verstieß. Die Behörden forderten Clearview auf, das Angebot für kanadische Kunden einzustellen und bereits gesammelte Bilder zu löschen.

Wie viele Personen in Kanada konkret betroffen waren, blieb offen. Clearview AI wies die Empfehlungen größtenteils zurück und setzte die geforderte Löschung nicht vollständig um. Der einzige kanadische Kunde, die RCMP, hatte die Nutzung bereits im Juli 2020 eigenständig beendet.

Die französische Datenschutzbehörde CNIL verhängte am 15. Juni 2023 ein Bußgeld von 40 Millionen Euro gegen die Ad-Tech-Firma Criteo. Criteo setzte auf Partnerseiten Tracking-Cookies für verhaltensbasierte Werbung ein, konnte aber für rund 370 Millionen Nutzerprofile keine gültige Einwilligung nachweisen. Die CNIL stellte fünf DSGVO-Verstöße fest, unter anderem fehlenden Einwilligungsnachweis und mangelhafte Reaktion auf Löschanfragen. Der französische Staatsrat bestätigte die Sanktion im März 2026 endgültig.

Offen bleibt, wie viele der 370 Millionen betroffenen Identifikatoren konkret auf EU-Bürger entfielen und in welchem Umfang die gesammelten Daten tatsächlich für schädliche Zwecke genutzt wurden. Die genaue Zusammensetzung der finanziellen Vorteile, die Criteo laut CNIL erzielte, wurde nicht im Detail beziffert.

Die irische Datenschutzbehörde DPC verhängte am 9. Dezember 2020 ein Bußgeld von 450.000 Euro gegen Twitter International Company. Grund war ein Verstoß gegen Artikel 33 DSGVO, weil Twitter eine Datenpanne aus Dezember 2018 nicht fristgerecht innerhalb von 72 Stunden meldete. Die Panne machte durch einen Programmierfehler geschützte Tweets bestimmter Nutzer öffentlich sichtbar und betraf mindestens 88.726 Nutzer in der EU. Das Verfahren war das erste, das den Artikel-65-Streitbeilegungsmechanismus der DSGVO durchlief.

Offen bleibt, wie lange der zugrunde liegende Programmierfehler unentdeckt bestand, Berichte nennen als möglichen Beginn bereits das Jahr 2014. Nicht öffentlich dokumentiert ist der genaue interne Ablauf bei Twitter zwischen Entdeckung und Meldung an die DPC.

Die gemeinsame Untersuchung von vier kanadischen Datenschutzbehörden ergab, dass die Tim-Hortons-App den Standort von rund 1,6 Millionen Nutzern auch dann kontinuierlich alle paar Minuten erfasste, wenn die App geschlossen war. Die Daten wurden genutzt, um Wohn- und Arbeitsorte sowie Besuche bei Konkurrenzcafés abzuleiten, obwohl Tim Hortons die geplante ortsbasierte Werbung nie umsetzte. Tim Hortons stimmte zu, verbleibende Standortdaten zu löschen und ein Datenschutzprogramm einzuführen.

Die genaue Zahl der tatsächlich betroffenen Nutzer und der exakte Umfang der bereits erfolgten Datennutzung bleiben in der öffentlichen Zusammenfassung unklar. Offen bleibt zudem, ob und in welchem Umfang die gesammelten Standortdaten an Dritte weitergegeben wurden.

Am 02.04.2024 veröffentlichte das US-Heimatschutzministerium den Bericht des Cyber Safety Review Board zur Exchange-Online-Cyberspionage im Sommer 2023. Die mit China verbundene Gruppe Storm-0558 griff ab dem 15.05.2023 mit gefälschten Authentifizierungs-Tokens auf E-Mail-Postfächer von rund 25 Organisationen zu, darunter das US-Außenministerium. Die Angreifer nutzten einen gestohlenen Microsoft-Signaturschlüssel aus dem Jahr 2016. Der CSRB bewertete den Einbruch als vermeidbar.

Wie genau der Signaturschlüssel bei Microsoft entwendet wurde, blieb laut CSRB-Bericht ungeklärt. Microsofts eigene Erklärung, der Schlüssel sei über einen Absturzbericht abgeflossen, fand der CSRB durch keine Logs oder Beweise belegt.

Verizon meldete der Maine Attorney General am 07.02.2024 einen Vorfall vom 21.09.2023, bei dem ein eigener Mitarbeiter unbefugt auf eine Datei mit Personaldaten zugriff. Betroffen waren 63.206 aktuelle und ehemalige Mitarbeiter, deren Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern in der Datei enthalten waren. Verizon entdeckte den Vorfall am 12.12.2023 und stufte ihn als unbeabsichtigte interne Offenlegung ein.

Nicht belegt ist, ob und in welchem Umfang die Daten tatsächlich außerhalb von Verizon weiterverbreitet oder missbraucht wurden. Auch die Identität und Motivation des betroffenen Mitarbeiters wurden von Verizon nicht öffentlich benannt.

Die BfDI verhängte am 03.06.2025 gegen Vodafone Deutschland Bußgelder von insgesamt 45 Millionen Euro, das bis dahin höchste DSGVO-Bußgeld der Behörde. 15 Millionen Euro betrafen mangelhafte Kontrolle von Vertriebspartneragenturen, bei denen Mitarbeitende fingierte Verträge zulasten von Kunden abschlossen. 30 Millionen Euro betrafen Sicherheitslücken im Authentifizierungsprozess zwischen dem Portal MeinVodafone und der Kundenhotline, über die Unbefugte auf eSIM-Profile zugreifen konnten.

Offen bleibt, wie viele Kunden konkret von den Betrugsfällen oder dem unbefugten eSIM-Zugriff tatsächlich betroffen waren, da die Pressemitteilung keine genaue Fallzahl nennt. Nicht dokumentiert ist zudem, ob einzelne Kunden Schadensersatz erhielten.

Am 13. Juni 2025 stellte die kanadische Fluggesellschaft WestJet fest, dass sich ein unbefugter Dritter Zugriff auf interne Systeme verschafft hatte, wodurch App und Website zeitweise eingeschränkt waren. Betroffen waren Daten aus einigen Buchungen sowie begrenzte Mitarbeiterdaten, jedoch keine Zahlungskartendaten oder Passwörter. WestJet informierte FBI, das kanadische Cybersicherheitszentrum und die Datenschutzbehörde.

Die genaue Zahl der betroffenen Personen wird von WestJet selbst nicht offiziell genannt, Medienberichte sprechen von rund 1,2 Millionen betroffenen Kunden. Die Identität der Angreifer und der genaue Einbruchsvektor wurden nicht veröffentlicht.

Google bestätigte im August 2025 einen Datendiebstahl aus einer eigenen Salesforce-Instanz durch die Gruppe ShinyHunters, von Google als UNC6040 und UNC6240 verfolgt. Die Angreifer riefen per Voice Phishing Mitarbeitende an, gaben sich als vertrauenswürdige Kollegen aus und brachten sie dazu, eine manipulierte Version der Salesforce-Data-Loader-App zu autorisieren. Betroffen waren vor allem Kontaktdaten kleiner und mittlerer Geschäftskunden wie Firmennamen, E-Mail-Adressen und Telefonnummern, zusätzlich waren OAuth-Tokens der Drift-Plattform kompromittiert.

Passwörter oder Finanzdaten waren nach Googles eigener Darstellung nicht betroffen, diese Einschätzung stammt jedoch vom betroffenen Unternehmen selbst. Die vollständige Liste der betroffenen Google-Geschäftskunden sowie die genaue Zahl der kompromittierten Datensätze wurde nicht veröffentlicht.

Der Gerichtshof der Europäischen Union entschied am 04.07.2023 in der Rechtssache C-252/21, dass nationale Wettbewerbsbehörden bei der Prüfung eines Missbrauchs einer marktbeherrschenden Stellung inzident auch Verstöße gegen die Datenschutz-Grundverordnung feststellen dürfen. Das Oberlandesgericht Düsseldorf hatte dem EuGH die zugrunde liegenden Fragen am 24.03.2021 im Rahmen der Beschwerde von Meta gegen den Bundeskartellamt-Beschluss von 2019 zur Vorabentscheidung vorgelegt. Der EuGH stellte klar, dass sich Meta für die Zusammenführung von Nutzerdaten aus Facebook, Instagram, WhatsApp und Drittwebsites weder auf die Erforderlichkeit zur Vertragserfüllung noch auf ein berechtigtes Interesse an personalisierter Werbung ohne gesonderte Einwilligung stützen kann.

Das Urteil entscheidet nicht abschließend über die Rechtmäßigkeit des Bundeskartellamt-Beschlusses von 2019 selbst, diese Prüfung blieb dem Oberlandesgericht Düsseldorf im fortgesetzten Beschwerdeverfahren vorbehalten. Aus dem Urteilstext geht nicht hervor, wie die konkrete technische Umsetzung der Datentrennung bei Meta in der Praxis auszusehen hat.

Die italienische Datenschutzbehörde Garante verhängte am 22.07.2021 ein Bußgeld von 2,5 Millionen Euro gegen den Lieferdienst Deliveroo Italy. Betroffen waren rund 8.000 Rider, deren Standort über die Arbeits-App alle 12 Sekunden erfasst und bis zu sechs Monate gespeichert wurde. Die Behörde bemängelte zudem intransparente Algorithmen zur Auftrags- und Schichtvergabe sowie eine unzureichende Datenschutz-Folgenabschätzung.

Ob Deliveroo gegen den Bescheid gerichtlich vorging, ist aus den verfügbaren Quellen nicht ersichtlich. Die betroffenen Rider galten in Italien nicht als klassische Angestellte, sondern als Plattform-Beschäftigte mit besonderem Status.

Das US-Justizministerium gab am 09.05.2019 Anklage gegen den chinesischen Staatsbürger Fujie Wang sowie einen unidentifizierten Mittäter wegen des Einbruchs bei US-Krankenversicherer Anthem im Jahr 2015 bekannt. Erbeutet wurden Daten von rund 78,8 Millionen Personen, darunter Namen, Sozialversicherungsnummern, Versichertennummern, Geburtsdaten, Adressen und Beschäftigungsangaben. Das Justizministerium ordnete die Täter einer in China ansässigen Hackergruppe zu.

Eine offizielle Verbindung der Hackergruppe zur chinesischen Regierung stellte das Justizministerium in der Anklage nicht her. Ob Fujie Wang oder der Mittäter je festgenommen wurden, ist aus dieser Quelle nicht ersichtlich, beide galten als flüchtig in China.

Das FBI gab am 09.11.2011 den Abschluss der zweijährigen Ermittlung Operation Ghost Click bekannt. Sechs estnische und ein russischer Staatsbürger wurden angeklagt, seit 2007 mit der Schadsoftware DNSChanger etwa vier Millionen Computer in mehr als 100 Ländern infiziert zu haben, darunter rund 500.000 in den USA. Die Malware veränderte DNS-Einstellungen und leitete Datenverkehr auf Server der Täter um, um per Klickbetrug Werbeeinnahmen zu erzielen. Die Behörden bezifferten den illegalen Gewinn auf mindestens 14 Millionen US-Dollar.

Der genaue rechtskräftige Ausgang aller Verfahren gegen die einzelnen Angeklagten ist nicht einheitlich öffentlich dokumentiert, da mehrere in Estland ansässig blieben. Der russische Mitangeklagte Andrey Taame galt als flüchtig, sein weiterer strafrechtlicher Verbleib ist nicht abschließend belegt.

Das Verwaltungsgericht Hannover entschied am 05.06.2025 über die Klage von Volkswagen gegen fünf Verwarnungen der Landesbeauftragten für den Datenschutz Niedersachsen. Die Behörde hatte VW wegen Datenschutzverstößen bei der Aufarbeitung des Dieselskandals verwarnt, unter anderem wegen unzureichender Information von Beschäftigten vor der Weitergabe ihrer Daten an einen US-Monitor und die US-Umweltbehörde EPA. Das Gericht bestätigte drei der fünf Verwarnungen und erklärte zwei für rechtswidrig, im Kern ging es um die Übermittlung von mehr als 65.000 Dokumenten mit personenbezogenen Daten an US-Stellen.

Der vollständige Wortlaut der schriftlichen Urteilsbegründung war zum Zeitpunkt der Pressemitteilung noch nicht veröffentlicht. Dieses Verfahren betrifft ausschließlich die Datenverarbeitung im Zuge der Dieselskandal-Aufklärung und ist getrennt vom späteren Fall der VW-Tochter Cariad zu Standortdaten von Elektrofahrzeugen.

Die britische Datenschutzbehörde ICO verhängte am 30.10.2020 eine Geldbuße von 18,4 Millionen Pfund gegen Marriott International wegen Verstößen gegen Artikel 5(1)(f) und Artikel 32 DSGVO. Grundlage war ein Cyberangriff auf die Reservierungsdatenbank der 2016 von Marriott übernommenen Starwood Hotels, bei dem sich Unbekannte bereits seit 2014 unbemerkt Zugang verschafft hatten. Entdeckt wurde der Angriff erst am 08.09.2018, betroffen waren bis zu 339 Millionen Gästedatensätze weltweit, darunter rund 7 Millionen mit Bezug zum Vereinigten Königreich.

Ob Marriott gegen den Bußgeldbescheid Rechtsmittel eingelegt hat, geht aus der Quelle nicht hervor. Die separate Geldbuße der US-Behörde FTC gegen Marriott aus dem Jahr 2024 ist ein eigenständiges, späteres Verfahren und nicht Gegenstand dieser Quelle.

LastPass gab am 22.12.2022 bekannt, dass ein Angreifer mit im August 2022 aus der Entwicklungsumgebung gestohlenen Zugangsdaten einen weiteren Mitarbeiter kompromittierte und darüber auf einen Cloud-Speicherdienst zugriff. Dort kopierte er Kunden-Backup-Daten mit unverschlüsselten Metadaten wie Firmennamen und E-Mail-Adressen sowie vollständig verschlüsselten Passwort-Tresor-Feldern. Laut LastPass bleiben die verschlüsselten Felder durch 256-Bit-AES-Verschlüsselung geschützt, vollständige Kreditkartennummern waren nicht betroffen.

Die genaue Gesamtzahl der betroffenen Kundenkonten wird in der offiziellen Mitteilung nicht beziffert. Spätere Recherchen brachten mutmaßliche Kryptowährungsdiebstähle mit den gestohlenen Vaults in Verbindung, LastPass selbst bestätigte einen solchen Zusammenhang jedoch nicht offiziell.

Ein Angreifer verschaffte sich Zugriff auf einen internen Server der Kreditauskunftei Experian, auf dem Bewerberdaten für T-Mobile US gespeichert waren. Betroffen waren rund 15 Millionen Personen in den USA, die zwischen dem 01.09.2013 und dem 16.09.2015 eine Kreditprüfung für einen T-Mobile-Vertrag durchlaufen hatten. Erbeutet wurden Namen, Geburtsdaten, Adressen sowie Sozialversicherungs- und Ausweisnummern, Zahlungskarten- oder Bankdaten waren nicht betroffen.

Wer konkret hinter dem Angriff steckte und ob die Täter je identifiziert wurden, ist aus dieser Quelle nicht ersichtlich. In welchem Umfang die verschlüsselten Sozialversicherungsnummern tatsächlich entschlüsselt und missbraucht wurden, bleibt offen.