Quellen-Tabelle

Bundestag beschloss Novelle: automatische Gesichtserkennung/Verhaltensbewertung an Bahnhöfen, Staatstrojaner, Drohnen, Stille SMS, IMSI-Catcher.

Neue Überwachungsbefugnisse für Bundespolizei. Bundesrat muss noch zustimmen.

Art. 5 AI Act verbietet seit 02.02.2025 Echtzeit-Fernidentifizierung im öffentlichen Raum, mit eng gefassten Ausnahmen.

EU-Verbot mit begrenzten Ausnahmefällen. Erklärt nur EU-Recht, nicht konkrete Landesumsetzung.

Amazon schaltete 'Do Not Send Voice Recordings' ab; alle Alexa-Befehle müssen jetzt über Amazon-Cloud verarbeitet werden.

Lokale Sprachverarbeitung nicht mehr möglich. Keine Details zu Speicherdauer/Weiterverwendung.

Fingerabdruck-Zeiterfassung (auch nur Minutien) verarbeitet biometrische Daten und ist ohne Einwilligung unzulässig.

Betrifft nur Zeiterfassung im Arbeitsverhältnis, nicht Zugangskontrollen zu Hochsicherheitsbereichen.

Ring führt standardmäßig deaktivierte Gesichtserkennung 'Familiar Faces' ein; EFF/Senator Markey fordern Einstellung.

Neue Gesichtserkennungsfunktion, standardmäßig aus. Keine Zahlen zu tatsächlicher Aktivierung.

US-Report: Arbeitgeber setzen Bossware ohne Transparenz/Widerspruchsmöglichkeiten ein.

Keine Nutzungszahlen für Deutschland.

§87 Abs.1 Nr.6 BetrVG: Mitbestimmungspflicht greift schon bei objektiver Überwachungseignung, auch bei Standardtools.

Betriebsrat muss bei potenziell überwachender Software zustimmen.

Ab 02.08.2026 gelten KI-Bewerbertools als Hochrisiko-KI, Verstöße bis 15 Mio. Euro oder 3% Jahresumsatz.

Neue EU-Pflichten für KI-Recruiting-Tools.

78% der US-Arbeitgeber nutzen Überwachungssoftware, 63% französische Unternehmen (500+ MA), ein Drittel UK-Unternehmen im Homeoffice.

Umfrage-Aggregator, keine Primärstudie, keine Deutschland-Zahlen.

Nest-Geräte erfassen je nach Produkt Umgebungsdaten, Video-/Audioaufnahmen, ggf. Gesichtserkennungsdaten, WLAN-Zugangsdaten, IP-Adresse, optionale Standortdaten.

Herstellereigene Datenschutzerklärung. Belegt NICHT interne Datenverknüpfung mit anderen Google-Diensten.

Netzwerkanalyse zeigt: ACR-Systeme in Samsung-/LG-TVs erfassen fortlaufend Bildschirminhalte, auch bei externer Nutzung per HDMI.

Smarte Fernseher verfolgen praktisch alles auf dem Bildschirm. Andere Hersteller nicht untersucht.

40,53% von 491 IoT-Herstellern bieten Kontaktweg für Schwachstellenmeldungen (2024: 35,59%).

Weniger als Hälfte der IoT-Hersteller hat offiziellen Meldeweg für Sicherheitslücken.

Nur Apple Watch bietet E2E-Verschlüsselung für Gesundheitsdaten unter 10 untersuchten Marken, nur Apple/Google veröffentlichen Transparenzberichte.

Behördenzugriff per Vorladung bei den meisten Wearables möglich.

Kalifornisches Gericht: Meta verstieß gegen CIPA durch ungenehmigte Sammlung von Menstruationsdaten aus Flo-App für Werbung.

Schadensersatzsumme nicht belegt.

3,2 Mio. Nutzerdaten der Kalorien-App Cal AI (MyFitnessPal-Betreiber) auf BreachForums geleakt, 14,59 GB.

Täter nicht identifiziert.

Erste COPPA-Novelle seit 2013: Opt-in-Elterneinwilligung für Werbung, erweiterte Datendefinition, Compliance-Frist 22.04.2026.

Auswirkung auf EU-Anbieter nicht belegt.

6 von 10 getesteten Smart-Spielzeugen mit Auth-Lücken, 4 von 10 unverschlüsselte lokale Speicherung.

Keine realen Angriffsfälle bei diesen Geräten belegt.

Kinderdaten-Sammelklage gegen Roblox ins Schiedsverfahren verwiesen wegen AGB-Klausel.

Vorwürfe inhaltlich nicht öffentlich verhandelt.

AG Hannover verurteilt Eigentümer zur Entfernung eines Hausflur-überwachenden digitalen Türspions.

Bundesweite Verbreitung solcher Fälle nicht belegt.

DSK fordert Datenminimierung bei Smart-Metern, viertelstündliche Messungen nur für Netzstabilität zulässig.

Konkrete Bußgeldverfahren nicht belegt.

20,2% der Pflichteinbaufälle mit Smart Metern ausgestattet, aber nur 3,8% aller Messlokationen.

Bei aktuellem Tempo Vollausstattung erst in ~30 Jahren.

Nach Scheitern 2024 (Ampel-Bruch) neuer Anlauf für Beschäftigtendatenschutzgesetz im Sofortprogramm 2026.

Konkreter Gesetzestext noch nicht vorliegend.

BAG: Online-Recherche über Bewerber bei konkretem Anlass zulässig, aber Aufklärungspflicht nach Art.14 DSGVO, 1.000 Euro Schadenersatz bei Verstoß.

Praxis der Informationspflicht nicht belegt.

VG Lüneburg: dauerhafte GPS-Ortung bei erlaubter Privatnutzung von Dienstwagen unzulässig.

Deutsches Pendant zu österreichischer DSB-Entscheidung.

Emotionserkennungs-KI am Arbeitsplatz seit 02.02.2025 verboten, erfasst auch Bewerbungsverfahren, Ausnahme medizinische/Sicherheitsgründe.

Reine Textanalyse ohne biometrische Auswertung nicht erfasst.