Quellen-Tabelle

Die italienische Datenschutzbehörde Garante ordnete am 30. März 2023 eine sofortige vorläufige Beschränkung der Datenverarbeitung durch ChatGPT in Italien an. Als Gründe nannte sie die fehlende Rechtsgrundlage für die massenhafte Sammlung und Speicherung personenbezogener Daten zum Training der Algorithmen, mangelhafte Nutzerinformation sowie das Fehlen einer Altersverifikation für Minderjährige. Ausgelöst wurde die Maßnahme auch durch ein Datenleck bei OpenAI vom 20. März 2023. Nachdem OpenAI bis zum 28. April 2023 Auflagen umsetzte, wurde der Dienst wieder freigeschaltet.

Offen bleibt, in welchem Umfang OpenAI die geforderten Maßnahmen tatsächlich dauerhaft und vollständig umsetzte, da spätere Verfahren des Garante weitere Verstöße feststellten. Nicht abschließend geklärt ist zudem, wie wirksam die eingeführte Altersverifikation in der Praxis tatsächlich Minderjährige schützt.

Die italienische Datenschutzbehörde Garante erließ am 2. Februar 2023 eine Dringlichkeitsanordnung gegen den US-Anbieter Luka Inc und untersagte die Verarbeitung personenbezogener Daten italienischer Nutzer durch den KI-Begleiter-Chatbot Replika. Grund waren fehlende Altersverifikation und Verstöße gegen Transparenzpflichten der DSGVO, da Replika Minderjährige nicht wirksam ausschließen konnte und diesen laut Tests auch sexuell konnotierte Antworten lieferte. Bei Nichtbefolgung drohte eine Strafe von bis zu 20 Millionen Euro.

Offen bleibt, wie viele italienische Minderjährige Replika tatsächlich nutzten und welchen konkreten Schaden sie erlitten. Die genaue Höhe der später verhängten Geldbuße gegen Luka Inc ist in den hier genutzten Quellen nicht abschließend beziffert.

Der BfDI Ulrich Kelber verhängte am 9. Dezember 2019 ein Bußgeld von 9,55 Millionen Euro gegen die 1&1 Telecom GmbH. Grund war ein Verstoß gegen Art. 32 DSGVO, da Anrufer an der Kundenhotline sich lediglich mit Name und Geburtsdatum ausweisen mussten und dadurch unbefugt an persönliche Kundendaten gelangen konnten. Auslöser war ein 2018 dokumentierter Fall, in dem eine Ex-Partnerin so die neue Telefonnummer eines Kunden erfragte.

1&1 legte gegen das Bußgeld Einspruch ein. Das Landgericht Bonn bestätigte 2020 zwar den Verstoß, reduzierte die Strafe aber auf 900.000 Euro, da es die Fahrlässigkeit als gering einstufte. Ob weitere Kunden konkret geschädigt wurden, ist nicht dokumentiert.

Die Staatsanwaltschaft Verden übergab dem BSI rund 21 Millionen sichergestellte Zugangsdaten, nach Bereinigung verblieben etwa 18 Millionen Datensätze, davon 3 Millionen deutschen Providern zuzuordnen. Die Deutsche Telekom bestätigte offiziell, dass rund 87.000 ihrer T-Online-Kunden betroffen waren und informierte diese per E-Mail über Schutzmaßnahmen. Laut BSI handelte es sich um gestohlene Benutzernamen und Passwörter, die vermutlich durch Schadsoftware auf Nutzergeräten abgegriffen wurden.

Die genaue Herkunft und der ursprüngliche Angriffsweg der gestohlenen Zugangsdaten bleiben laut BSI ungeklärt, ein Diebstahl direkt von Telekom-Servern wird aber ausgeschlossen. Nicht belegt ist, wie viele der informierten Kunden tatsächlich Opfer von Missbrauch wurden.

Am 12.07.2024 teilte die EU-Kommission X (vormals Twitter) vorläufige Feststellungen mit, wonach das Unternehmen gegen Artikel 25, 39 und 40 Absatz 12 des Digital Services Act verstößt. Beanstandet wurden irreführende Design-Praktiken beim bezahlten Blue Checkmark, mangelnde Transparenz im Werbe-Repository und unzureichender Datenzugang für unabhängige Forscher. Am 05.12.2025 verhängte die Kommission deswegen in ihrer ersten DSA-Bußgeldentscheidung eine Geldstrafe von 120 Millionen Euro gegen X.

Offen bleibt in den amtlichen Mitteilungen, ob und wie X gegen die Entscheidung vorgeht, etwa vor dem Gericht der EU. Die genauen technischen und organisatorischen Nachbesserungen, zu denen X verpflichtet wurde, sind in den Pressemitteilungen nur skizziert, nicht im Detail dokumentiert.

Am 6. Juli 2016 gab das britische Gesundheitsministerium bekannt, dass NHS England das umstrittene Programm care.data einstellt. Care.data sollte ab 2013 Patientendaten aus Hausarztpraxen in England zentral zusammenführen und für Forschung und Planung verfügbar machen, wurde aber wegen unzureichender Aufklärung der Patienten und Datenschutzbedenken nie vollständig umgesetzt. Die Einstellung folgte auf den Caldicott-Bericht der National Data Guardian sowie einen Bericht der Care Quality Commission.

Die offizielle Erklärung nennt keine konkreten Zahlen zu Kosten oder Opt-out-Quoten des Programms. Berichte anderer Medien beziffern die bereits entstandenen Kosten auf rund 8 Millionen Pfund und die Zahl der Opt-outs auf etwa 1,5 Millionen, dies stammt jedoch nicht aus der Primärquelle selbst.

Die Schweizer IT-Sicherheitsfirma modzero deckte 2018 gravierende Sicherheitslücken in der von 14 gesetzlichen und 2 privaten Krankenkassen unterstützten Gesundheits-App Vivy auf, die rund 13,5 Millionen Versicherte digital nutzen konnten. Namen, Fotos, E-Mail-Adressen, Geburtsdaten und Versichertennummern sowie Arztdaten waren durch Schwächen bei Verschlüsselung und Schlüsselverwaltung unzureichend geschützt. modzero informierte Vivy am 21.09.2018 und veröffentlichte den Bericht am 30.10.2018 nach Ablauf einer vereinbarten Frist.

Der Bericht dokumentiert nur die technische Machbarkeit der Angriffe, keine belegten Fälle von tatsächlichem Datenmissbrauch oder Datenabfluss an Dritte. Ob die von Vivy zugesicherten Gegenmaßnahmen alle Lücken vollständig schlossen, wurde von modzero nicht unabhängig nachgeprüft.

LinkedIn bestätigte am 6. Juni 2012 offiziell, dass ein Teil der zuvor auf einem russischen Hackerforum veröffentlichten Passwort-Hashes zu LinkedIn-Konten gehörte. Die rund 6,5 Millionen unsalted SHA-1-Hashes stammten aus einer Datenbank, betroffene Nutzer wurden zum Passwort-Reset aufgefordert und das Unternehmen führte danach Salting für die Passwortspeicherung ein.

Wie die Angreifer Zugriff auf die Datenbank erlangten, blieb in der offiziellen Mitteilung unbeschrieben. Die tatsächliche Gesamtzahl betroffener Konten war 2012 unklar und wurde erst 2016 auf rund 117 Millionen E-Mail-Passwort-Kombinationen nach oben korrigiert.

Under Armour bestätigte am 29. März 2018 offiziell ein Datenleck bei seiner Fitness-App MyFitnessPal, von dem rund 150 Millionen Nutzerkonten betroffen waren. Kompromittiert wurden Nutzernamen, E-Mail-Adressen und größtenteils mit bcrypt gehashte Passwörter. Der unbefugte Zugriff erfolgte laut Unternehmen Ende Februar 2018 und wurde am 25. März 2018 entdeckt, Zahlungsdaten und Sozialversicherungsnummern waren nach Unternehmensangaben nicht betroffen.

Nicht öffentlich dokumentiert sind die Identität der Angreifer und der genaue technische Einbruchsweg in die Systeme. Offen bleibt zudem, in welchem Umfang die gestohlenen Zugangsdaten später tatsächlich für Kontoübernahmen bei anderen Diensten missbraucht wurden.

Unbekannte Angreifer nutzten gestohlene Zugangs-Tokens von Slack-Mitarbeitern, um am 27. Dezember 2022 auf extern gehostete private GitHub-Repositories von Slack zuzugreifen und Code herunterzuladen. Slack bestätigte offiziell, dass die Tokens durch die Kompromittierung eines Drittanbieters entwendet wurden, und rotierte anschließend alle betroffenen Zugangsdaten.

Slack erklärte, dass keine Kundendaten, keine Zugangsmittel zu Kundendaten und nicht der primäre Produktionscode betroffen waren. Welcher Drittanbieter genau kompromittiert wurde und wie die Angreifer dort eindrangen, wurde von Slack nicht öffentlich benannt.

Anfang Oktober 2022 versendeten Angreifer Phishing-E-Mails an Dropbox-Mitarbeiter, die vorgaben, von der CI/CD-Plattform CircleCI zu stammen, und auf eine gefälschte CircleCI-Login-Seite verwiesen. Mitarbeiter gaben dort ihre Zugangsdaten ein, wodurch die Angreifer Zugriff auf ein GitHub-Konto eines Dropbox-Entwicklers erlangten. Über dieses Konto kopierten die Angreifer rund 130 interne Code-Repositories, Entwickler-API-Schlüssel sowie einige tausend Namen und E-Mail-Adressen von Mitarbeitern und Kunden. GitHub informierte Dropbox am 14.10.2022, woraufhin Dropbox den Zugriff sperrte.

Dropbox erklärte, dass Kerninhalte, Passwörter und Zahlungsinformationen von Nutzern nicht betroffen waren, ohne diese Aussage durch eine unabhängige Prüfung zu belegen. Die genaue Identität der Angreifer, die Gesamtzahl der betroffenen Personen sowie ein möglicher weiterer Missbrauch der gestohlenen API-Schlüssel gehen aus der Quelle nicht hervor.

Okta bestätigte offiziell, dass Angreifer zwischen Ende September und Anfang Oktober 2023 mit einem gestohlenen Zugangsdatensatz auf das Kundensupport-System zugriffen, getrennt von der produktiven Okta-Plattform. Die Täter konnten von Kunden hochgeladene Dateien einsehen, darunter HAR-Dateien mit Cookies und Session-Tokens, die zur Identitätsübernahme missbraucht werden können. BeyondTrust entdeckte den Angriff am 2. Oktober 2023 und meldete ihn an Okta.

Wie das ursprüngliche Zugangsdatum genau gestohlen wurde, bleibt laut Okta offen. Unklar sind zudem die genaue Gesamtzahl betroffener Kunden, die volle Dauer des unautorisierten Zugriffs und ob über HAR-Dateien hinaus weitere Kundendaten eingesehen wurden.

Der EuGH entschied im Fall Google LLC gegen die französische Datenschutzbehörde CNIL, dass ein Suchmaschinenbetreiber eine Auslistung nach dem Recht auf Vergessenwerden nicht weltweit auf allen Domain-Versionen durchführen muss, sondern nur auf den Versionen, die den EU-Mitgliedstaaten entsprechen. Vorausgegangen war ein Bußgeld von 100.000 Euro, das die CNIL 2016 gegen Google verhängt hatte. Der Suchmaschinenbetreiber muss aber wirksame Maßnahmen wie Geoblocking einsetzen, damit Nutzer in der EU die gelöschten Links nicht über Nicht-EU-Versionen der Suchmaschine umgehen können.

Aus der Pressemitteilung und dem Urteil selbst geht nicht hervor, wie wirksam die von Google eingesetzten Geoblocking-Maßnahmen in der Praxis tatsächlich sind. Offen bleibt zudem, ob und wie einzelne Mitgliedstaaten seither per nationalem Recht doch eine weltweite Auslistung angeordnet haben, da der EuGH dies ausdrücklich nicht ausschließt.

Der EuGH entschied am 2. März 2021 im Fall H.K. gegen Prokuratuur (C-746/18), dass Zugriff auf gespeicherte Verkehrs- und Standortdaten nur zur Bekämpfung schwerer Kriminalität oder zur Abwehr ernster Bedrohungen der öffentlichen Sicherheit erlaubt ist. Das Unionsrecht steht einer nationalen Regelung entgegen, nach der die Staatsanwaltschaft selbst und ohne vorherige Kontrolle durch ein Gericht oder eine unabhängige Stelle über den Datenzugriff für Ermittlungsbehörden entscheiden darf. Das Urteil baut auf der Tele2/Watson-Linie des EuGH auf.

Nicht belegt ist, wie die estnische Staatsanwaltschaft und Gerichte den konkreten Ausgangsfall nach der Zurückverweisung entschieden haben. Ebenfalls offen bleibt die vollständige Umsetzungspraxis in allen EU-Mitgliedstaaten, insbesondere ob einzelne Länder ihre Zugriffsverfahren seither tatsächlich an eine unabhängige Vorabkontrolle angepasst haben.

Der EuGH entschied im Verfahren C-210/16, dass Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung der Besucherdaten verantwortlich sind, auch wenn sie selbst keinen Zugriff auf personenbezogene Rohdaten haben. Die Wirtschaftsakademie Schleswig-Holstein nutzte für ihre Fanpage die Facebook-Funktion Insights, die auf Cookies mit bis zu zwei Jahre gültigen Nutzercodes basiert. Die Datenschutzaufsichtsbehörde des Sitzlandes des Fanpage-Betreibers darf daher sowohl gegen den Betreiber als auch gegen die dortige Facebook-Niederlassung vorgehen.

Offen blieb im Urteil, wie die konkrete Verteilung der Verantwortlichkeiten und Pflichten zwischen Facebook und den einzelnen Fanpage-Betreibern im Detail auszugestalten ist. Nicht Gegenstand der Entscheidung war zudem, in welchem Umfang einzelne Fanpage-Betreiber tatsächlich Einfluss auf die konkreten Verarbeitungszwecke und -mittel bei Facebook nehmen konnten.

Der EuGH entschied am 1. Oktober 2019 in der Rechtssache C-673/17 (Bundesverband der Verbraucherzentralen gegen Planet49 GmbH), dass eine wirksame Einwilligung zur Speicherung von Cookies eine aktive Handlung des Nutzers erfordert. Ein bereits angekreuztes Kästchen, das der Nutzer aktiv abwählen müsste, genügt dafür nicht. Anlass war ein Online-Gewinnspiel von Planet49, bei dem Teilnehmer per vorangekreuztem Kästchen der Setzung von Werbe-Cookies zustimmen sollten.

Offen blieb im Urteil selbst die konkrete technische Umsetzung von Cookie-Bannern in der Praxis, die erst durch nationale Gerichte und Aufsichtsbehörden nachfolgend konkretisiert wurde. Nicht Gegenstand des EuGH-Verfahrens waren mögliche Bußgelder gegen Planet49, da es sich um ein Vorabentscheidungsverfahren auf Vorlage des BGH handelte.

Der EuGH entschied in der Rechtssache C-40/17, dass der Betreiber einer Webseite, der einen Facebook-Like-Button einbindet, gemeinsam mit Facebook Ireland für die Erhebung und Übermittlung der personenbezogenen Daten der Webseitenbesucher verantwortlich ist. Konkret hatte der Modehändler Fashion ID den Like-Button eingebunden, wodurch IP-Adresse und Browserdaten der Besucher automatisch an Facebook übertragen wurden, auch ohne Klick auf den Button.

Der EuGH stellte klar, dass sich die Mitverantwortung von Fashion ID nur auf die Phase der Erhebung und Übermittlung der Daten bezieht, nicht auf die nachfolgende alleinige Verarbeitung durch Facebook. Offen blieb im Urteil die konkrete Ausgestaltung, wie Einwilligung und Informationspflichten in der Praxis technisch umzusetzen sind.

Das Bundesverfassungsgericht entschied mit Beschluss vom 4. April 2006 (1 BvR 518/02), dass die nach dem 11. September 2001 bundesweit angeordnete präventive Rasterfahndung gegen mutmaßliche Schläfer teilweise verfassungswidrig war. Eine solche Rasterfahndung greift in das Recht auf informationelle Selbstbestimmung ein und ist nur zulässig, wenn eine konkrete Gefahr für hochrangige Rechtsgüter vorliegt. Eine bloß allgemeine, durch die Anschläge vom 11. September ausgelöste Bedrohungslage genügt dafür nicht.

Offen bleibt in der Entscheidung, ob und wie konkret eine Gefahr im Einzelfall künftig belegt werden muss, damit eine Rasterfahndung rechtmäßig angeordnet werden kann. Nicht dokumentiert ist, wie viele der zuvor bundesweit erfassten rund 32.000 bis 40.000 Personendatensätze aus der Rasterfahndung 2001/2002 nach dem Urteil tatsächlich gelöscht wurden.

Der Bundesgerichtshof entschied am 27.07.2020 im Verfahren VI ZR 405/18, dass ein ehemaliger Geschäftsführer eines Wohlfahrtsverbandes keinen Anspruch auf Auslistung kritischer Presseartikel aus der Google-Suche hat. Die Artikel von 2011 hatten über ein Millionendefizit seiner Regionalgeschäftsstelle und seine Krankmeldung berichtet. Der Senat verlangte eine umfassende Abwägung zwischen dem Persönlichkeitsrecht des Betroffenen und der Meinungs- sowie Informationsfreiheit nach der EU-Grundrechtecharta, ohne pauschale Vermutung zugunsten der Löschung.

Aus der Pressemitteilung geht nicht hervor, wie der Senat die einzelnen Abwägungskriterien im Detail gewichtete und welche konkrete Rolle der seit 2011 verstrichene Zeitraum spielte. Im am selben Tag verhandelten Parallelverfahren VI ZR 476/18 legte der BGH dem EuGH Fragen zur Vorabentscheidung vor, dessen Ausgang aus dieser Quelle nicht ersichtlich ist.

Fünf von der Gesellschaft für Freiheitsrechte unterstützte Beschwerdeführer griffen Paragraf 9a des Zensusvorbereitungsgesetzes 2021 an, der die zentrale Zusammenführung nicht anonymisierter Meldedaten von bis zu 82 Millionen Einwohnern zum Stichtag 13. Januar 2019 für einen Software-Testlauf erlaubte. Das Bundesverfassungsgericht lehnte die Verfassungsbeschwerde am 20. Januar 2022 als unzulässig ab, da der fachgerichtliche Rechtsweg vor den Verwaltungsgerichten nicht ausgeschöpft worden war.

Eine inhaltliche verfassungsrechtliche Prüfung der Datenschutzfragen fand nicht statt, da das Gericht die Beschwerde allein aus formalen Gründen der Subsidiarität verwarf. Ob die zentrale, nicht anonymisierte Zusammenführung der Meldedaten mit dem Recht auf informationelle Selbstbestimmung vereinbar gewesen wäre, blieb damit gerichtlich ungeklärt.

loanDepot meldete der US-Börsenaufsicht SEC im Januar 2024 einen Ransomware-Angriff der Gruppe ALPHV/BlackCat, bei dem Systeme des Hypothekenanbieters verschlüsselt und Daten entwendet wurden. Betroffen waren rund 16,9 Millionen Kunden, deren Namen, Sozialversicherungsnummern, Geburtsdaten und Finanzkontonummern offengelegt wurden. Das Unternehmen bezifferte allein für das erste Quartal 2024 Kosten von 12 bis 17 Millionen Dollar und bildete später eine Rückstellung von 25 Millionen Dollar für Sammelklagen.

Offen bleibt, wie die Angreifer ursprünglich in die Systeme eindrangen und ob loanDepot ein Lösegeld zahlte. Auch die Ermittlungen mehrerer US-Bundesstaaten sowie die Sammelklagen der betroffenen Kunden waren zum Zeitpunkt der Meldung noch nicht abgeschlossen.

Am 14. April 2024 entdeckte der US-Telekomanbieter Frontier Communications einen unbefugten Zugriff auf Teile seiner IT-Systeme, den es in einer Pflichtmitteilung an die SEC offenlegte. Laut einer Meldung an die Generalstaatsanwaltschaft von Maine waren 751.895 Personen betroffen, deren Namen und Sozialversicherungsnummern kompromittiert wurden. Die Ransomware-Gruppe RansomHub bekannte sich zu dem Angriff und Frontier bot Betroffenen ein Jahr kostenlose Kreditüberwachung an.

Offen bleibt, wie viele Datensätze tatsächlich abgeflossen sind, denn RansomHub behauptete den Diebstahl von über 2 Millionen Kundendatensätzen, deutlich mehr als die von Frontier bestätigten rund 752.000 Betroffenen. Der genaue technische Einstiegspunkt des Angriffs und ob ein Lösegeld gezahlt wurde, sind nicht öffentlich dokumentiert.

Der EuGH entschied am 08.12.2022 im Verfahren C-460/20 (TU und RE gegen Google), dass ein Suchmaschinenbetreiber Ergebnisse auslisten muss, wenn die betroffene Person nachweist, dass die verlinkten Inhalte offensichtlich unrichtig sind. Ein vorheriges Gerichtsurteil gegen den Webseitenbetreiber ist dafür nicht zwingend erforderlich, es reichen zumutbare Beweismittel der antragstellenden Person. Zusätzlich stellte der Gerichtshof klar, dass als Vorschaubilder angezeigte Fotos gesondert nach ihrem Informationswert abzuwägen sind.

Der Bundesgerichtshof, der die Vorlagefrage gestellt hatte, musste den konkreten Ausgangsfall der beiden Investmentmanager anhand dieser Vorgaben erst noch abschließend entscheiden, das Ergebnis ist der Pressemitteilung nicht zu entnehmen. Wie Google die Kriterien zur offensichtlichen Unrichtigkeit in der Praxis bei Millionen jährlicher Löschanträge anwendet, bleibt aus dieser Quelle offen.

Der EuGH entschied am 02.10.2018 in der Rechtssache C-207/16 (Ministerio Fiscal), dass der Zugriff auf reine Identifikationsdaten von SIM-Karten-Inhabern wie Namen und Adressen auch zur Verfolgung nicht besonders schwerer Straftaten zulässig sein kann. Anlass war ein Diebstahl einer Geldbörse und eines Mobiltelefons in Spanien. Der EuGH stellte klar, dass dieser Zugriff zwar in die Grundrechte auf Achtung des Privatlebens und Datenschutz eingreift, mangels präziser Rückschlüsse auf das Privatleben aber keinen schwerwiegenden Eingriff darstellt.

Aus der Pressemitteilung geht nicht hervor, wie der spanische Ausgangsfall zum Diebstahl der Geldbörse letztlich entschieden wurde. Offen bleibt zudem, welche konkrete Straftaten-Schwelle die Mitgliedstaaten seither für den Zugriff auf reine Bestandsdaten in ihren nationalen Gesetzen festgelegt haben.

Der EuGH entschied am 21.12.2016 in den verbundenen Rechtssachen C-203/15 (Tele2 Sverige) und C-698/15 (gegen Tom Watson u.a.), dass eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten aller Nutzer elektronischer Kommunikationsdienste gegen EU-Recht verstößt. Zulässig bleibt nur eine gezielte, auf das absolut Notwendige begrenzte Speicherung zur Bekämpfung schwerer Kriminalität, wobei der Datenzugriff einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Stelle unterliegen muss.

Offen blieb im Urteil selbst, wie die Grenze zwischen unzulässiger generischer und erlaubter gezielter Speicherung in der Praxis exakt zu ziehen ist. Diese Konkretisierung erfolgte erst in späteren Verfahren vor nationalen Gerichten und weiteren EuGH-Entscheidungen.