Quellen-Tabelle

Am 14.01.2020 reichte der norwegische Verbraucherrat gemeinsam mit noyb drei Beschwerden bei der Datenschutzbehörde Datatilsynet ein, gegen Grindr sowie gegen die Werbetechnikfirmen MoPub, AppNexus, OpenX, AdColony und Smaato. Der Bericht Out of Control zeigte, dass Grindr GPS-Standort, Gerätekennungen und die bloße Nutzung der App an Werbenetzwerke weitergab. Da Grindr sich an die LGBTQ-Community richtet, wertete die Behörde dies als unrechtmäßige Offenlegung von Daten zur sexuellen Orientierung. Die Beschwerde führte im Dezember 2021 zu einem Bußgeld von 65 Millionen norwegischen Kronen gegen Grindr.

Die genaue Zahl der Drittfirmen, die Daten erhielten, ist nicht abschließend dokumentiert. Die Bußgeldhöhe wurde von zunächst angekündigten rund 10 Millionen Euro auf 65 Millionen Kronen reduziert. Das Berufungsgericht Borgarting bestätigte die Geldbuße 2025.

Comcast/Xfinity teilte am 18.12.2023 mit, dass Angreifer zwischen dem 16. und 19.10.2023 unbefugten Zugriff auf interne Systeme erlangten, indem sie die Citrix-Schwachstelle CVE-2023-4966 (Citrix Bleed) ausnutzten. Laut Meldung an die Attorney General von Maine waren rund 35,88 Millionen Kunden betroffen. Erbeutet wurden bei allen Betroffenen Benutzernamen und gehashte Passwörter, bei einem Teil zusätzlich Namen, Kontaktdaten und die letzten vier Ziffern der Sozialversicherungsnummer.

Wer hinter dem Angriff steckt, ist öffentlich nicht dokumentiert. In der Folge kam es zu Sammelklagen gegen Comcast, für die 2025/2026 ein Vergleich über 117,5 Millionen Dollar vorlag, dessen endgültige Genehmigung nicht verifiziert wurde.

Roku meldete 2024 zwei separate Credential-Stuffing-Vorfälle: Anfang März 2024 waren rund 15.363 Konten betroffen, bei der Untersuchung entdeckte Roku einen zweiten, größeren Angriff mit rund 576.000 weiteren Konten, gemeldet am 12.04.2024. In weniger als 400 Fällen nutzten die Angreifer den Zugriff für betrügerische Käufe von Streaming-Abos und Hardware, die das Unternehmen erstattete. Roku führte anschließend eine verpflichtende Zwei-Faktor-Authentifizierung ein.

Die verwendeten Zugangsdaten stammten laut Unternehmen aus fremden Datenlecks, nicht aus einer Kompromittierung von Roku selbst, dies lässt sich nicht unabhängig überprüfen. Die Zahl 591.000 ist eine Addition aus zwei separaten Mitteilungen, keine von dritter Seite verifizierte Gesamtzahl.

Kaiser Permanente meldete am 12.04.2024 einen Datenschutzvorfall, der rund 13,4 Millionen aktuelle und ehemalige Mitglieder betraf. Ursache waren seit dem 25.10.2023 bekannte Tracking-Pixel und Cookies auf eigenen Websites, die personenbezogene Daten an Google, Microsoft Bing und X übermittelten, darunter Namen, IP-Adressen und Suchbegriffe zu Symptomen und Medikamenten im Gesundheitslexikon. Sozialversicherungs- und Finanzdaten waren laut Kaiser nicht betroffen. Der Vorfall gilt als größte 2024 gemeldete Datenpanne im US-Gesundheitssektor.

Wie viele Betroffene tatsächlich sensible Suchbegriffe eingegeben hatten, ist nicht offengelegt. Ob die Empfängerkonzerne die Daten tatsächlich nutzten, ist nicht dokumentiert. Kaiser einigte sich 2024/2025 auf eine Vergleichszahlung von bis zu 47,5 Millionen Dollar, ohne Fehlverhalten einzuräumen.

Ein Angreifer verschaffte sich am 19.12.2024 mit gestohlenen Zugangsdaten eines Subunternehmers Zugang zum PowerSource-Kundenportal von PowerSchool und exfiltrierte bis zum 28.12.2024 Schulverwaltungsdaten tausender Schulbezirke in den USA und Kanada. Laut späteren Ermittlungsangaben waren rund 62,4 Millionen Schüler und 9,5 Millionen Lehrkräfte an 6.505 Schulbezirken betroffen. PowerSchool zahlte ein Lösegeld, um eine Veröffentlichung zu verhindern. Der 19-jährige Matthew D. Lane wurde 2025 zu vier Jahren Haft und 14 Millionen Dollar Wiedergutmachung verurteilt.

Die tatsächlich gezahlte Lösegeldsumme ist nicht öffentlich beziffert, belegt ist nur eine Forderung von rund 2,85 Millionen Dollar. Im Mai 2025 tauchten trotz Zahlung erneut Datenproben bei Erpressungsversuchen gegen einzelne Schulbezirke auf.

Im Oktober 2024 wurde bekannt, dass ein Hacker unter dem Pseudonym xenZen über Telegram-Chatbots Kundendaten des indischen Krankenversicherers Star Health Insurance verbreitete. Der Angreifer behauptete, 7,24 Terabyte Daten von mehr als 31 Millionen Kunden erbeutet zu haben, darunter Namen, Adressen, Ausweiskopien und medizinische Befunde. Star Health bestätigte unbefugten Zugriff auf Teile seiner Daten und erhob vor dem Madras High Court Klage gegen Telegram, Cloudflare und den Hacker, woraufhin das Gericht eine einstweilige Verfügung erließ.

Die Zahl von über 31 Millionen Betroffenen stammt allein vom Hacker und wurde von Star Health nicht in dieser Größenordnung bestätigt. Der Hacker behauptete, die Daten vom Sicherheitschef von Star Health erhalten zu haben, was das Unternehmen als gefälscht zurückwies. Ob indische Behörden ein Bußgeld verhängen, ist offen.

Am 10.10.2023 unterzeichnete Gouverneur Gavin Newsom den California Delete Act (SB 362). Das Gesetz verpflichtet die CPPA, bis zum 01.01.2026 eine zentrale Löschplattform namens DROP einzurichten, über die Verbraucher mit einem einzigen Antrag die Löschung ihrer Daten bei allen registrierten Datenhändlern verlangen können. Datenhändler müssen sich seit Januar 2024 jährlich registrieren und ab dem 01.08.2026 Löschanfragen mindestens alle 45 Tage bearbeiten. Ab 2028 sind zusätzlich unabhängige Audits im Dreijahresrhythmus vorgeschrieben.

Die genaue Zahl verhängter Bußgelder gegen säumige Datenhändler ist nicht belegt. Die oft genannte Strafhöhe von 200 Dollar pro Löschantrag und Tag stammt aus Compliance-Quellen, nicht aus der offiziellen CPPA-Mitteilung. Wie viele Löschanträge zu tatsächlichen Löschungen führten, ist offen.

Gouverneur Jay Inslee unterzeichnete den My Health My Data Act am 27.04.2023, das erste US-Bundesstaatengesetz, das Gesundheitsdaten außerhalb von HIPAA schützt, etwa aus Wellness-Apps oder Standortdaten. Es verlangt vor Sammlung eine ausdrückliche Einwilligung und verbietet Geofencing im Umkreis von rund 600 Metern um Gesundheitseinrichtungen. Verstöße können vom Attorney General und durch Betroffene über eine private Klagebefugnis verfolgt werden. Die erste Klage richtete sich im Februar 2025 gegen Amazon wegen Standortdatenerfassung.

Wie viele Unternehmen die Vorgaben umgesetzt haben, ist nicht beziffert. Über den Ausgang der Klage gegen Amazon war zum Zeitpunkt der Recherche noch nicht entschieden. Wie Gerichte den Begriff der geschützten Gesundheitsdaten im Einzelfall auslegen, ist juristisch noch nicht höchstrichterlich geklärt.

Der Chaos Computer Club deckte gemeinsam mit dem Spiegel auf, dass die VW-Softwaretochter Cariad Fahrzeug- und Bewegungsdaten von rund 800.000 Elektroautos der Marken VW, Audi, Seat und Skoda über Monate ungeschützt in einem Amazon-Cloud-Speicher zugänglich hielt. Für etwa 460.000 Fahrzeuge waren präzise Standortdaten einsehbar, teils bis auf wenige Meter genau. Die Daten ließen sich mit Kundendaten verknüpfen. CCC-Sprecher informierten Cariad, VW und Behörden vor der Veröffentlichung, Cariad schloss die Sicherheitslücke innerhalb der gesetzten Frist. Ursache war laut Cariad eine Fehlkonfiguration der Cloud-Umgebung.

Nicht abschließend geklärt ist, wie lange die Daten tatsächlich frei zugänglich waren. Die Zahl von 800.000 betroffenen Fahrzeugen bezieht sich auf alle Fahrzeugdatensätze, während präzise Standortdaten nur bei rund 460.000 Fahrzeugen vorlagen. Ungeklärt bleibt, ob Dritte die Daten vor der Meldung durch den CCC tatsächlich abgegriffen haben, sowie der Ausgang möglicher Sammelklagen gegen Volkswagen.

Im Juli 2015 drang eine Gruppe namens The Impact Team in die Systeme von Avid Life Media ein, dem Betreiber der Seitensprung-Plattform Ashley Madison. Im August 2015 veröffentlichten die Angreifer Nutzerdaten von rund 36 Millionen Konten weltweit, darunter Namen, E-Mail-Adressen und sexuelle Präferenzen. Am 14.12.2016 einigte sich der Betreiber mit der FTC und 13 Bundesstaaten auf eine Zahlung von 17,5 Millionen US-Dollar wegen unzureichender Datensicherheit.

Die Zahl der betroffenen Konten wird uneinheitlich angegeben, Medienberichte von 2015 sprachen von rund 32 Millionen, die FTC nennt 2016 offiziell 36 Millionen. Eine belastbare, verifizierte Gesamtzahl von Suiziden im Zusammenhang mit der Veröffentlichung liegt nicht vor. Die Identität der Hackergruppe The Impact Team wurde nie öffentlich aufgeklärt.

Datatilsynet stellte fest, dass die Dating-App Grindr zwischen 2018 und 2020 persönliche Daten ihrer Nutzer, darunter Standortdaten und Angaben wie HIV-Status und PrEP-Einnahme, ohne gültige Rechtsgrundlage an Werbepartner weitergab. Am 13.12.2021 verhängte die Behörde eine endgültige Geldbuße von 65 Millionen norwegischen Kronen, rund 5,7 Millionen Euro, wegen fehlender wirksamer Einwilligung nach Artikel 6 und 9 DSGVO.

Nicht geklärt ist, wie viele der weltweit rund 12,5 Millionen täglichen Nutzer tatsächlich betroffen waren. Das ursprünglich angekündigte Bußgeld von 9,6 Millionen Euro wurde nach Anhörung auf 5,7 Millionen Euro reduziert, ohne dass die Berechnungsmethode vollständig transparent gemacht wurde. Ein norwegisches Berufungsgericht bestätigte die Buße erst 2025.

Die FTC gab im Oktober 2018 einem erweiterten Vergleich mit Uber statt, nachdem Uber eine im November 2016 erfolgte Datenpanne mehr als ein Jahr verschwiegen hatte, während die Behörde bereits eine Untersuchung führte. Betroffen waren mehr als 25 Millionen Namen und E-Mail-Adressen sowie 600.000 Führerscheinnummern US-amerikanischer Fahrer. Uber zahlte den Angreifern über sein Bug-Bounty-Programm 100.000 US-Dollar. Der finale Beschluss verpflichtet Uber zu einem 20-jährigen Datenschutzprogramm mit regelmäßigen unabhängigen Prüfungen.

Nicht Teil dieser FTC-Entscheidung ist der separate Strafprozess gegen den ehemaligen Uber-Sicherheitschef Joseph Sullivan, der 2022 gesondert mit einem Schuldspruch endete. Offen bleibt, in welchem Umfang die vorgeschriebenen Prüfungen seit 2018 tatsächlich durchgeführt und veröffentlicht wurden.

Digitalcourage reichte im Oktober 2022 Klage gegen die Deutsche Bahn beim Landgericht Frankfurt ein. Der Vorwurf: Die App DB Navigator übertrage personenbezogene Nutzerdaten an Drittanbieter wie Google und Adobe, auch bei eingeschränkten Cookie-Einstellungen. Am ersten Verhandlungstag am 19.05.2025 äußerte sich das Gericht kritisch gegenüber dem Argument der Bahn, die Tracker seien unverzichtbar.

Ein rechtskräftiges Urteil lag zum Recherchezeitpunkt nicht vor. Es handelt sich nicht um ein klassisches Datenleck, sondern um eine zivilrechtliche Auseinandersetzung über die Zulässigkeit von Datenübermittlungen. Die genaue Anzahl betroffener Nutzer ist nicht abschließend beziffert.

Die niederländische Datenschutzbehörde verhängte am 11.12.2023 eine Geldbuße von 10 Millionen Euro gegen Uber wegen Verstößen gegen Artikel 12, 13 und 15 DSGVO, weil Uber Fahrer nicht ausreichend über Speicherdauer und Übermittlung ihrer Daten außerhalb Europas informierte. Zudem war das Verfahren zur Ausübung der Betroffenenrechte unzumutbar kompliziert. Auslöser war eine Beschwerde im Namen von rund 170 französischen Uber-Fahrern.

Diese Buße betraf primär mangelnde Transparenz, nicht die eigentliche Rechtmäßigkeit der Datenübermittlung in die USA. Die tatsächliche Strafe wegen unzureichend abgesicherter Datenübermittlung war eine separate, deutlich spätere Buße von 290 Millionen Euro im August 2024. Ob Uber gegen die 10-Millionen-Euro-Buße erfolgreich Einspruch erhoben hat, war zum Recherchezeitpunkt nicht geklärt.

Am 14.11.2022 einigte sich Google mit 40 US-Generalstaatsanwälten auf einen Vergleich über 391,5 Millionen US-Dollar wegen irreführender Standortverfolgung. Die Untersuchung ergab, dass Google zwischen 2014 und 2020 Nutzer im Unklaren ließ, dass das Deaktivieren des Standortverlaufs die Standorterfassung nicht vollständig stoppte, da über die separate Einstellung Web und App Aktivität weiter Daten gesammelt wurden. Die Behörden bezeichneten es als größten mehrstaatlichen Datenschutzvergleich der US-Geschichte.

Der Vergleich stellt keine gerichtliche Feststellung eines Rechtsverstoßes dar, Google bestreitet weiterhin Fehlverhalten. Offen bleibt, in welchem Umfang die Summe einzelnen Nutzern zugutekam, da sie an die Bundesstaaten floss, nicht als direkte Entschädigung an Verbraucher.

Das OPM gab am 09.07.2015 bekannt, dass bei einem zweiten Cyberangriff die Daten von 21,5 Millionen Personen gestohlen wurden, darunter 19,7 Millionen Antragsteller einer Sicherheitsüberprüfung. Erbeutet wurden Sozialversicherungsnummern, Gesundheits-, Finanz- und Strafregisterdaten, 1,1 Millionen Datensätze enthielten zusätzlich Fingerabdrücke. Die Angreifer waren zwischen Juni 2014 und Januar 2015 im Netzwerk aktiv. OPM-Direktorin Katherine Archuleta trat am 10.07.2015 zurück.

Nicht gerichtsfest bewiesen ist die Urheberschaft, US-Behörden verwiesen wiederholt auf chinesische Akteure, China bestreitet dies. Unklar bleibt, ob die gestohlenen Daten tatsächlich für Spionage genutzt wurden. Die Gesamtzahl der Betroffenen wurde im Verlauf mehrfach nach oben korrigiert.

Angreifer verschafften sich ab dem 02.12.2014 durch eine Phishing-Mail Zugriff auf die IT-Systeme von Anthem und blieben bis zum 27.01.2015 unentdeckt. Betroffen waren die Gesundheitsdaten von rund 78,8 Millionen Personen, der bis dahin größte bekannte Datendiebstahl im US-Gesundheitswesen. Am 15.10.2018 einigten sich Anthem und HHS OCR auf eine Zahlung von 16 Millionen US-Dollar, die bis dahin höchste HIPAA-Vergleichszahlung.

Nicht dokumentiert ist, welche konkrete Gruppe hinter dem Angriff stand, Medienberichte brachten den Fall mit chinesischen Akteuren in Verbindung, eine formelle Anklage erfolgte erst Jahre später. Unklar bleibt, in welchem Umfang die gestohlenen Daten tatsächlich missbraucht wurden.

Die FTC gab am 29.11.2011 bekannt, sich mit Facebook auf einen Vergleich wegen acht Anklagepunkten irreführender Datenschutzpraktiken geeinigt zu haben, insbesondere im Zuge der Änderungen der Privatsphäre-Einstellungen im Dezember 2009. Die endgültige Konsent Order wurde am 10.08.2012 bestätigt. Facebook verpflichtete sich zu einer 20-jährigen Aufsichtsperiode mit zweijährlichen unabhängigen Datenschutzaudits, eine der ersten großen föderalen Datenschutz-Konsent-Orders vor dem Cambridge-Analytica-Skandal 2018.

Die Vereinbarung sah keine Geldstrafe vor, sondern Verhaltensauflagen. Erst die spätere FTC-Untersuchung im Zusammenhang mit Cambridge Analytica führte 2019 zu einer Rekordstrafe von 5 Milliarden US-Dollar wegen Verstoßes gegen genau diese Order. Umstritten ist, ob die Auflagen in der Praxis wirksam durchgesetzt wurden.

Am 09.10.2024 gaben 49 US-Bundesstaaten, der District of Columbia und die FTC parallele Vergleiche mit Marriott wegen des Starwood-Datenlecks bekannt. Marriott zahlt 52 Millionen Dollar und verpflichtet sich zu einem Informationssicherheitsprogramm mit Verschlüsselung und Multi-Faktor-Authentifizierung. Grundlage war das Datenleck mit Zugriff von Juli 2014 bis September 2018, wovon rund 131,5 Millionen amerikanische Kunden betroffen waren.

Nicht dokumentiert ist die exakte Aufteilung der 52 Millionen Dollar auf die Bundesstaaten. Offen bleibt, in welchem Umfang die vereinbarten Sicherheitsmaßnahmen bereits umgesetzt wurden. Zuvor separat verhängte Bußgelder europäischer Behörden sind nicht Teil dieses Vergleichs.

Die FTC erhob am 30.03.2011 Anklage gegen Google wegen täuschender Datenschutzpraktiken beim Start von Google Buzz im Februar 2010. Google hatte Gmail-Nutzer ohne ausreichende Zustimmung automatisch eingeschrieben und deren häufigste E-Mail-Kontakte öffentlich sichtbar gemacht. Google einigte sich mit der FTC auf ein umfassendes Datenschutzprogramm mit unabhängigen Audits für 20 Jahre, die endgültige Genehmigung erfolgte am 24.10.2011.

Nicht Teil dieses Vergleichs ist eine Geldstrafe, anders als später der Safari-Fall 2012 mit 22,5 Millionen US-Dollar. Wie viele Nutzer konkret betroffen waren, ist in der FTC-Mitteilung nicht genannt.

Ein von der BVG beauftragter Dienstleister wurde Opfer eines Cyberangriffs, bei dem Kundendaten von rund 180.000 BVG-Kunden offengelegt wurden, darunter Namen und Vertragsnummern, Bankdaten waren nicht betroffen. Der Dienstleister informierte die BVG am 17.04.2025, die Meldung an die Datenschutzbehörde erfolgte erst am 30.04.2025 nach der gesetzlichen 72-Stunden-Frist. Die Berliner Datenschutzbeauftragte erließ am 04.05.2026 eine Verwarnung wegen unzureichender Kontrolle der Datenlöschung beim Dienstleister.

Nicht öffentlich dokumentiert ist, welcher Dienstleister betroffen war. Die Zahl von 180.000 Betroffenen stammt aus der Behördenmitteilung ohne unabhängige forensische Bestätigung. Eine separate Diskussion um ein Tracking-Ticketsystem der BVG ließ sich in verlässlichen Quellen nicht als eigenständiger Vorgang bestätigen.

Die Berliner Datenschutzbeauftragte verhängte am 30.10.2019 gegen die Deutsche Wohnen SE ein Bußgeld von rund 14,5 Millionen Euro. Das Landgericht Berlin stellte das Verfahren am 18.02.2021 zunächst ein, das Kammergericht legte die Sache dem EuGH vor. Nach der EuGH-Entscheidung von Dezember 2023 verwies das Kammergericht zurück. Das Landgericht Berlin verurteilte Deutsche Wohnen SE am 09.06.2026 zu einer deutlich reduzierten Geldbuße von 900.000 Euro.

Nicht geklärt ist, ob das Urteil rechtskräftig ist oder Rechtsmittel eingelegt wurden. Die genaue rechtliche Begründung für die drastische Reduzierung geht aus der kurzen Pressemitteilung nicht im Detail hervor.

Am 02.06.2016 unterzeichneten EU und USA das Umbrella Agreement, einen Rahmenvertrag zum Datenschutz für den Austausch personenbezogener Daten zwischen Strafverfolgungsbehörden. Das Abkommen erfasst Daten wie Namen und Vorstrafen zur Straftatverfolgung einschließlich Terrorismus und räumt EU-Bürgern erstmals ein gerichtliches Rechtsmittel vor US-Gerichten ein, gleichgestellt mit US-Bürgern. Das Europäische Parlament stimmte am 01.12.2016 zu.

Nicht dokumentiert ist, wie oft US-Gerichte entsprechende Klagen von EU-Bürgern tatsächlich zuließen. Umstritten blieb, ob der zugrunde liegende Judicial Redress Act dauerhaft Bestand hat, da er per einfachem Gesetz verankert ist.

Die DPC verhängte am 04.01.2023 gegen Meta Ireland zwei Bußgelder, 210 Millionen Euro für Facebook und 180 Millionen Euro für Instagram, insgesamt 390 Millionen Euro. Grundlage war die Feststellung, dass Meta sich nicht auf Vertragserfüllung nach Artikel 6 Absatz 1 DSGVO stützen darf, um personalisierte Werbung zu rechtfertigen. Die Entscheidung erging nach einem verbindlichen Beschluss des EDPB, der die ursprüngliche DPC-Position verschärfte.

Dieses Bußgeld ist nicht identisch mit dem späteren 1,2-Milliarden-Euro-Bußgeld der DPC gegen Meta von Mai 2023, das sich auf Datenübermittlungen in die USA bezog. Ob Meta seine Werbepraxis vollständig auf Nutzereinwilligung umgestellt hat, ist Gegenstand weiterer Verfahren.

Die Stadt Helsinki entdeckte am 30.04.2024 einen Datenschutzvorfall bei der Bildungsverwaltung. Angreifer nutzten eine ungepatchte Schwachstelle in einem Fernzugriffsserver aus. Betroffen sind potenziell mehr als 80.000 Schüler und Erziehungsberechtigte sowie sämtliche Stadtmitarbeiter. Erbeutet wurden Personenkennzeichen, Adressen, Angaben zur Schülerförderung und ärztliche Bescheinigungen. Die finnische Polizei ermittelt wegen schweren Computereinbruchs.

Warum das verfügbare Sicherheitsupdate nicht installiert wurde, ist nicht geklärt. Die genaue Zahl der betroffenen Personen bleibt vorläufig, ebenso wer hinter dem Angriff steckt.