Quellen-Tabelle

Das US-Justizministerium reichte am 02.08.2024 im Auftrag der FTC Klage gegen TikTok, ByteDance und verbundene Unternehmen ein. Die Klage wirft TikTok vor, seit mindestens 2019 wissentlich Millionen Kindern unter 13 Jahren die Nutzung der Plattform ermöglicht und dabei ohne elterliche Einwilligung nach COPPA Daten gesammelt zu haben, sowie gegen eine bestehende FTC-Vergleichsvereinbarung von 2019 verstoßen zu haben. Am 21.08.2026 einigten sich TikTok, ByteDance und das Justizministerium auf einen Vergleich über 400 Millionen US-Dollar.

Wie viele Kinderkonten unter 13 Jahren tatsächlich betroffen waren, ist nicht öffentlich beziffert. Die theoretisch mögliche Höchststrafe wurde nie ausgeurteilt, da der Fall durch einen deutlich niedrigeren Vergleich endete. TikTok und ByteDance mussten kein Fehlverhalten eingestehen.

Die Deutsche Telekom AG ließ 2005/2006 durch ihre Konzernsicherheitsabteilung heimlich Telefonverbindungsdaten von Aufsichtsratsmitgliedern, Journalisten und weiteren Personen erheben und von einer Detektei auswerten, um die Quelle vertraulicher Presseinformationen zu ermitteln. Öffentlich bekannt wurde die Affäre 2008. Das Landgericht Bonn verurteilte den zuständigen Ex-Leiter der Konzernsicherheit am 30.11.2010 zu drei Jahren und sechs Monaten Haft, der BGH bestätigte das Urteil am 10.10.2012 als rechtskräftig. Nach Medienberichten waren rund 60 Personen betroffen, darunter mehrere Vorstands- und Aufsichtsratsmitglieder.

Die genaue Zahl der Betroffenen schwankt zwischen 55 und rund 60 Personen, eine vollständige Opferliste wurde nie veröffentlicht. Die früheren Spitzenmanager Kai-Uwe Ricke und Klaus Zumwinkel wurden strafrechtlich nicht verurteilt, einigten sich aber zivilrechtlich auf Schadensersatz.

Im März 2008 deckte das Magazin Stern auf, dass Lidl Mitarbeiter in zahlreichen Filialen mit versteckten Kameras und beauftragten Detekteien überwachen ließ. Dokumentiert wurden Toilettengänge, vermutete Schwangerschaften und die private und gesundheitliche Situation von Beschäftigten. Zwölf Datenschutzbehörden ermittelten gemeinsam gegen 35 Lidl-Vertriebsgesellschaften und stellten bei 30 davon rechtswidrige Überwachung fest. Am 11.09.2008 verhängten die Behörden ein Gesamtbußgeld von 1.462.000 Euro, das bis dahin höchste in Deutschland verhängte Datenschutzbußgeld.

Wie viele Beschäftigte tatsächlich betroffen waren, ist nicht genau beziffert. Die einzelnen Bußgelder gegen die 35 Vertriebsgesellschaften reichten Presseberichten zufolge von 10.000 bis über 300.000 Euro, ohne vollständig übereinstimmende Einzelsummen. Lidl bestritt öffentlich gezielte Ausspähung und erklärte, Kameras seien vorrangig zur Diebstahlbekämpfung eingesetzt worden.

Die CNIL verhängte am 27.12.2023 ein Bußgeld von 32 Millionen Euro gegen Amazon France Logistique wegen übermäßig intrusiver Überwachung der Lagerbeschäftigten: Handscanner erfassten sekundengenau Leerlaufzeiten und zu schnelle Scanvorgänge, dazu kamen mangelhafte Informationspflichten. Der Conseil d'État reduzierte das Bußgeld am 23.12.2025 auf 15 Millionen Euro: Die Scanner-Leistungsindikatoren selbst erklärte das Gericht für rechtmäßig, bestätigte aber Verstöße gegen Datenminimierung durch 31-tägige Speicherung sowie Informations- und Sicherheitsmängel.

Amazon wies die CNIL-Feststellungen teilweise als sachlich falsch zurück, eine unabhängige Prüfung liegt nicht vor. Der Fall betrifft ausschließlich französische Amazon-Logistikzentren, ob identische Systeme in deutschen Lagern eingesetzt werden, ist nicht Teil dieser Entscheidung.

Das FBI verhaftete Ross Ulbricht am 01.10.2013 in San Francisco und schaltete am selben Tag den Darknet-Marktplatz Silk Road ab, den er seit 2011 unter dem Pseudonym Dread Pirate Roberts betrieben hatte. Über Tor und Bitcoin wurden dort anonymisiert Drogen gehandelt. Im Februar 2015 wurde Ulbricht in allen sieben Anklagepunkten schuldig gesprochen und im Mai 2015 zu lebenslanger Haft ohne Bewährung verurteilt. Am 21.01.2025 begnadigte US-Präsident Trump Ulbricht vollständig, nach über elf Jahren Haft.

Die tatsächliche Umsatzhöhe von Silk Road ist umstritten, die Anklageschrift bezifferte sie auf rund 1,2 Milliarden Dollar. Der Vorwurf, Ulbricht habe Auftragsmorde in Auftrag gegeben, wurde nie als eigenständiger Anklagepunkt verhandelt. Trumps politische Begründung für die Begnadigung ist keine gerichtlich festgestellte Tatsache.

Am 20.06.2017 übernahm die niederländische Polizei mit richterlicher Genehmigung heimlich die Server des Darknet-Marktplatzes Hansa Market, nachdem deutsche Behörden die mutmaßlichen Betreiber festgenommen hatten. Einen Monat lang betrieben die Ermittler die Plattform verdeckt als Honeypot weiter und protokollierten Nutzerdaten. Als das FBI Anfang Juli 2017 den Konkurrenzmarktplatz AlphaBay abschaltete, wechselten dessen Kunden unwissentlich zum bereits polizeikontrollierten Hansa Market. Am 20.07.2017 gaben Europol, FBI und niederländische Polizei die öffentliche Abschaltung bekannt, mindestens 10.000 Käuferadressen wurden an Europol übergeben.

Häufig genannte Zahlen zu erfassten Nutzerkonten und beschlagnahmten Bitcoin stammen aus Sekundärquellen und ließen sich nicht direkt in einer Europol-Pressemitteilung verifizieren. Wie viele der übergebenen Käuferadressen zu Anklagen führten, ist nicht dokumentiert.

Der BGH entschied am 13.03.2025, dass Ermittlungsbehörden den Finger eines Beschuldigten gegen dessen Willen auf den Fingerabdrucksensor eines Smartphones legen dürfen, um es zu entsperren, gestützt auf § 81b Abs. 1 StPO in Verbindung mit §§ 94 ff. StPO. Anlass war ein wegen Herstellens kinderpornografischer Inhalte verurteilter Erzieher, dessen Handy die Polizei zwangsweise entsperrte und dabei über 2.000 weitere Dateien fand. Der BGH stufte das erzwungene Auflegen des Fingers als duldungspflichtige Maßnahme ein und lehnte ein Beweisverwertungsverbot ab.

Nicht Gegenstand der Entscheidung war die erzwungene Entsperrung per Gesichtserkennung, Passwort oder PIN, dafür gilt weiterhin ein Mitwirkungsverbot. Wie oft Behörden seit dem Beschluss auf dieser Grundlage vorgegangen sind, ist nicht dokumentiert.

Die Gesellschaft für Freiheitsrechte reichte am 25.06.2024 mit sechs Beschwerdeführenden eine neue Verfassungsbeschwerde beim Bundesverfassungsgericht gegen das 2023 novellierte Hessische Polizeigesetz ein. Zu den Beschwerdeführenden zählen die Anwältin Seda Başay-Yıldız und der Regionalvorsitzende der Humanistischen Union Franz Josef Hanke, die bereits an der erfolgreichen Beschwerde von 2019 beteiligt waren, welche zum BVerfG-Urteil vom 16.02.2023 (Az. 1 BvR 1547/19) führte. Nach Ansicht der GFF erlaubt die Neuregelung weiterhin, Daten unbeteiligter Personen ohne konkreten Verdacht in die auf Palantirs System Gotham basierende Analysesoftware hessenDATA einzuspeisen, die seit über fünf Jahren im Regelbetrieb der hessischen Polizei eingesetzt wird.

Ob und wann das Bundesverfassungsgericht über diese zweite Verfassungsbeschwerde entscheidet, ist offen, das Verfahren war zum Zeitpunkt der Recherche noch anhängig. Ob die 2023er Neuregelung tatsächlich von den Vorgaben des ersten BVerfG-Urteils abweicht, ist bislang nur die Einschätzung der Beschwerdeführerseite, noch nicht gerichtlich geprüft.

Das Bundesverfassungsgericht erklärte am 10.11.2020 (Az. 1 BvR 3214/15) die erweiterte projektbezogene Datennutzung der Antiterrordatei nach § 6a Abs. 2 Satz 1 ATDG für verfassungswidrig und nichtig. Die 2015 eingeführte Vorschrift erlaubte Data Mining aus den gespeicherten Datensätzen. Das Gericht sah einen Verstoß gegen das Recht auf informationelle Selbstbestimmung, da keine hinreichend bestimmten Eingriffsschwellen wie ein verdichteter Tatverdacht vorgesehen waren. Es war die zweite höchstrichterliche Beanstandung der 2006 eingerichteten Antiterrordatei, nach dem bereits dokumentierten Grundsatzurteil von 2013.

Wie oft die erweiterte Datennutzung seit 2015 tatsächlich angewendet wurde, ist nicht dokumentiert. Anders als beim Urteil von 2013 mit Übergangsfrist erklärte das Gericht die Vorschrift 2020 sofort für nichtig.

Als Reaktion auf das bereits dokumentierte BVerfG-Urteil von 2016 verabschiedete der Bundestag am 27.04.2017 das Gesetz zur Neustrukturierung des BKA-Gesetzes, in Kraft seit 25.05.2018. Gegen die neuen Befugnisse zur Datenerhebung bei Kontaktpersonen reichten 2019 mehrere Betroffene mit Unterstützung der Gesellschaft für Freiheitsrechte Verfassungsbeschwerde ein. Am 01.10.2024 erklärte das BVerfG (Az. 1 BvR 1160/19) die Vorschriften zur Kontaktpersonenüberwachung sowie zur Datenspeicherung im polizeilichen Informationsverbund teilweise für unvereinbar mit dem Grundrecht auf informationelle Selbstbestimmung. Der Gesetzgeber musste die Vorschriften bis 31.07.2025 neu regeln.

Wer die Beschwerdeführer konkret sind, wird nur nach Beruf oder Gruppenzugehörigkeit benannt. Ob der Gesetzgeber die Neuregelung fristgerecht umsetzte, ist nicht Gegenstand dieser Quelle.

Am 20. und 21.03.2022 veröffentlichte die von Microsoft als DEV-0537 geführte Gruppe Lapsus$ Archive mit Quellcode aus über 250 internen Projekten, darunter rund 90 Prozent des Bing-Quellcodes sowie Teile von Bing Maps und Cortana. Microsoft bestätigte den Vorfall am 22.03.2022 und erklärte, es sei lediglich ein einzelnes Mitarbeiterkonto kompromittiert worden, Kundendaten seien nicht betroffen gewesen. Microsoft beschrieb die typische Vorgehensweise der Gruppe: Kauf gestohlener Zugangsdaten, SIM-Swapping, Anrufe bei Support-Helpdesks und Erzwingen von Multi-Faktor-Freigaben durch wiederholte Anmeldeanfragen.

Wie das Mitarbeiterkonto ursprünglich erbeutet wurde, hat Microsoft nicht öffentlich benannt. Die Zahlenangaben zu Archivgröße und Quellcodeanteilen stammen aus externen Auswertungen, nicht aus einer von Microsoft bestätigten Gesamtmenge. Eine strafrechtliche Verurteilung speziell für den Microsoft-Vorfall ist nicht dokumentiert.

Am 30.03.2024 bestätigte AT&T, dass ein Darknet-Datensatz mit rund 73 Millionen Datensätzen echte Kundendaten enthielt, betroffen waren rund 7,6 Millionen aktuelle und 65,4 Millionen ehemalige Kundenkonten aus dem Jahr 2019 oder früher. Erbeutet wurden Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern sowie verschlüsselte vierstellige Konto-Passcodes. Nach einem Hinweis von TechCrunch, dass die Passcodes leicht entschlüsselbar waren, setzte AT&T diese für alle aktiven Kunden zurück.

Woher der Datensatz stammt, ob aus direktem Einbruch oder von einem Drittanbieter, war bis mindestens April 2024 ungeklärt. Ein separates, im Juli 2024 bekanntes Datenleck über den Cloud-Dienst Snowflake ist davon zu unterscheiden. Ein 2025 vorläufig genehmigter Sammelklagevergleich über 177 Millionen Dollar soll beide Vorfälle abdecken.

Die südkoreanische Datenschutzbehörde PIPC verhängte am 27.07.2023 ein Bußgeld von 3,6 Millionen Won gegen OpenAI wegen verspäteter Meldung einer Datenpanne bei ChatGPT: Ein Fehler in der Open-Source-Bibliothek Redis machte am 20./21.03.2023 für rund neun Stunden Zahlungsdaten von ChatGPT-Plus-Abonnenten sichtbar, darunter Namen, E-Mail-Adressen und die letzten vier Ziffern von Kreditkarten. Die PIPC identifizierte anhand der IP-Adresse 687 betroffene Nutzer in Südkorea und beanstandete, dass OpenAI die Behörde nicht innerhalb der vorgeschriebenen 24 Stunden informiert hatte.

Wie viele ChatGPT-Nutzer weltweit betroffen waren, ist nicht dokumentiert. Die Zahl 687 bezieht sich nur auf per IP-Adresse identifizierte südkoreanische Nutzer. Nicht zu verwechseln mit der deutlich schärferen, zeitgleichen Reaktion der italienischen Behörde Garante auf denselben Vorfall.

Am 14.01.2020 reichte der norwegische Verbraucherrat gemeinsam mit noyb drei Beschwerden bei der Datenschutzbehörde Datatilsynet ein, gegen Grindr sowie gegen die Werbetechnikfirmen MoPub, AppNexus, OpenX, AdColony und Smaato. Der Bericht Out of Control zeigte, dass Grindr GPS-Standort, Gerätekennungen und die bloße Nutzung der App an Werbenetzwerke weitergab. Da Grindr sich an die LGBTQ-Community richtet, wertete die Behörde dies als unrechtmäßige Offenlegung von Daten zur sexuellen Orientierung. Die Beschwerde führte im Dezember 2021 zu einem Bußgeld von 65 Millionen norwegischen Kronen gegen Grindr.

Die genaue Zahl der Drittfirmen, die Daten erhielten, ist nicht abschließend dokumentiert. Die Bußgeldhöhe wurde von zunächst angekündigten rund 10 Millionen Euro auf 65 Millionen Kronen reduziert. Das Berufungsgericht Borgarting bestätigte die Geldbuße 2025.

Am 18.04.2022 bestätigte das US-Berufungsgericht für den Neunten Bezirk im Verfahren hiQ Labs gegen LinkedIn erneut eine einstweilige Verfügung zugunsten von hiQ Labs. Das Analyseunternehmen hatte per Bot öffentlich einsehbare LinkedIn-Profildaten ausgelesen, woraufhin LinkedIn technische Sperren einsetzte. Das Gericht entschied, automatisiertes Auslesen frei zugänglicher, nicht login-geschützter Inhalte verstoße aller Wahrscheinlichkeit nach nicht gegen den Computer Fraud and Abuse Act. Nach sechsjährigem Rechtsstreit einigten sich beide Seiten im Dezember 2022 auf einen Vergleich über 500.000 US-Dollar zulasten von hiQ.

Das Urteil betraf nur die vorläufige Verfügung, keine endgültige Entscheidung in der Hauptsache. Der Supreme Court äußerte sich nie inhaltlich zum Scraping. Die Reichweite der Entscheidung ist begrenzt auf Daten ohne jede technische Zugangsschranke.

AT&T teilte am 12.07.2024 mit, dass Unbekannte zwischen dem 14. und 25.04.2024 unbefugt auf eine Arbeitsumgebung beim Cloud-Anbieter Snowflake zugriffen und Anruf- und SMS-Verbindungsdaten herunterluden. Betroffen waren praktisch alle rund 110 Millionen AT&T-Mobilfunkkunden für Zeiträume 2022/2023, erbeutet wurden kontaktierte Rufnummern, Verbindungsdauer und teils grobe Standortangaben. Laut AT&T waren Inhalte, Sozialversicherungsnummern und Geburtsdaten nicht betroffen. Presseberichten zufolge zahlte AT&T am 17.05.2024 rund 370.000 Dollar in Bitcoin für die Löschung der Daten. Der Vorfall gehörte zur selben Snowflake-Angriffswelle wie Ticketmaster und Banco Santander.

AT&T bestätigte die kolportierte Zahlung nicht offiziell, sie stammt aus Presseberichten über einen Vermittler. Die Nennung von Snowflake als betroffenem Anbieter stammt aus unabhängiger Berichterstattung, nicht aus der AT&T-Mitteilung selbst. Diese Datenleck ist von einem separaten, früheren AT&T-Vorfall (Dark-Web-Datensatz aus alten 2019er Daten) zu unterscheiden.

Comcast/Xfinity teilte am 18.12.2023 mit, dass Angreifer zwischen dem 16. und 19.10.2023 unbefugten Zugriff auf interne Systeme erlangten, indem sie die Citrix-Schwachstelle CVE-2023-4966 (Citrix Bleed) ausnutzten. Laut Meldung an die Attorney General von Maine waren rund 35,88 Millionen Kunden betroffen. Erbeutet wurden bei allen Betroffenen Benutzernamen und gehashte Passwörter, bei einem Teil zusätzlich Namen, Kontaktdaten und die letzten vier Ziffern der Sozialversicherungsnummer.

Wer hinter dem Angriff steckt, ist öffentlich nicht dokumentiert. In der Folge kam es zu Sammelklagen gegen Comcast, für die 2025/2026 ein Vergleich über 117,5 Millionen Dollar vorlag, dessen endgültige Genehmigung nicht verifiziert wurde.

Roku meldete 2024 zwei separate Credential-Stuffing-Vorfälle: Anfang März 2024 waren rund 15.363 Konten betroffen, bei der Untersuchung entdeckte Roku einen zweiten, größeren Angriff mit rund 576.000 weiteren Konten, gemeldet am 12.04.2024. In weniger als 400 Fällen nutzten die Angreifer den Zugriff für betrügerische Käufe von Streaming-Abos und Hardware, die das Unternehmen erstattete. Roku führte anschließend eine verpflichtende Zwei-Faktor-Authentifizierung ein.

Die verwendeten Zugangsdaten stammten laut Unternehmen aus fremden Datenlecks, nicht aus einer Kompromittierung von Roku selbst, dies lässt sich nicht unabhängig überprüfen. Die Zahl 591.000 ist eine Addition aus zwei separaten Mitteilungen, keine von dritter Seite verifizierte Gesamtzahl.

DOJ und FBI gaben am 18.09.2024 eine gerichtlich genehmigte Operation bekannt, mit der sie ein Botnetz aus mehr als 260.000 kompromittierten Geräten zerschlugen. Das Botnetz wurde laut FBI von der in Peking ansässigen Integrity Technology Group betrieben, bekannt als staatsnahe Gruppe Flax Typhoon. Betroffen waren vor allem Router, IP-Kameras und Netzwerkspeicher weltweit, allein in den USA rund 126.000 Geräte. Auf Grundlage einer Rule-41-Gerichtsanordnung entfernte das FBI die Schadsoftware per Fernzugriff.

In welchem Umfang das Botnetz bereits für Sabotage oder Spionage eingesetzt wurde, ist nicht belegt. Die Zuordnung zu Integrity Technology Group stammt ausschließlich aus US-Behördenangaben, eine unabhängige gerichtliche Feststellung außerhalb der USA liegt nicht vor.

Die mit China in Verbindung gebrachte Gruppe Salt Typhoon drang 2024 in Netzwerke mehrerer großer US-Telekommunikationsanbieter ein, laut Medienberichten unter anderem AT&T, Verizon und Lumen Technologies. FBI und CISA bestätigten am 25.10.2024 den unautorisierten Zugriff, in einer aktualisierten Erklärung vom 13.11.2024 stellten sie fest, dass die Angreifer Anrufdaten gestohlen und Informationen aus gerichtlich angeordneten Überwachungsmaßnahmen (CALEA-Abhörschnittstellen) kopiert hatten.

FBI und CISA nennen keine genaue Opferzahl oder vollständige Firmenliste. Häufig zitierte Zahlen wie rund 150 Zielpersonen stammen aus Medienberichten, nicht aus den offiziellen Mitteilungen. Der Name Salt Typhoon stammt aus privater Bedrohungsanalyse, nicht aus Regierungsdokumenten.

Kaiser Permanente meldete am 12.04.2024 einen Datenschutzvorfall, der rund 13,4 Millionen aktuelle und ehemalige Mitglieder betraf. Ursache waren seit dem 25.10.2023 bekannte Tracking-Pixel und Cookies auf eigenen Websites, die personenbezogene Daten an Google, Microsoft Bing und X übermittelten, darunter Namen, IP-Adressen und Suchbegriffe zu Symptomen und Medikamenten im Gesundheitslexikon. Sozialversicherungs- und Finanzdaten waren laut Kaiser nicht betroffen. Der Vorfall gilt als größte 2024 gemeldete Datenpanne im US-Gesundheitssektor.

Wie viele Betroffene tatsächlich sensible Suchbegriffe eingegeben hatten, ist nicht offengelegt. Ob die Empfängerkonzerne die Daten tatsächlich nutzten, ist nicht dokumentiert. Kaiser einigte sich 2024/2025 auf eine Vergleichszahlung von bis zu 47,5 Millionen Dollar, ohne Fehlverhalten einzuräumen.

Ein Angreifer verschaffte sich am 19.12.2024 mit gestohlenen Zugangsdaten eines Subunternehmers Zugang zum PowerSource-Kundenportal von PowerSchool und exfiltrierte bis zum 28.12.2024 Schulverwaltungsdaten tausender Schulbezirke in den USA und Kanada. Laut späteren Ermittlungsangaben waren rund 62,4 Millionen Schüler und 9,5 Millionen Lehrkräfte an 6.505 Schulbezirken betroffen. PowerSchool zahlte ein Lösegeld, um eine Veröffentlichung zu verhindern. Der 19-jährige Matthew D. Lane wurde 2025 zu vier Jahren Haft und 14 Millionen Dollar Wiedergutmachung verurteilt.

Die tatsächlich gezahlte Lösegeldsumme ist nicht öffentlich beziffert, belegt ist nur eine Forderung von rund 2,85 Millionen Dollar. Im Mai 2025 tauchten trotz Zahlung erneut Datenproben bei Erpressungsversuchen gegen einzelne Schulbezirke auf.

Im Oktober 2024 wurde bekannt, dass ein Hacker unter dem Pseudonym xenZen über Telegram-Chatbots Kundendaten des indischen Krankenversicherers Star Health Insurance verbreitete. Der Angreifer behauptete, 7,24 Terabyte Daten von mehr als 31 Millionen Kunden erbeutet zu haben, darunter Namen, Adressen, Ausweiskopien und medizinische Befunde. Star Health bestätigte unbefugten Zugriff auf Teile seiner Daten und erhob vor dem Madras High Court Klage gegen Telegram, Cloudflare und den Hacker, woraufhin das Gericht eine einstweilige Verfügung erließ.

Die Zahl von über 31 Millionen Betroffenen stammt allein vom Hacker und wurde von Star Health nicht in dieser Größenordnung bestätigt. Der Hacker behauptete, die Daten vom Sicherheitschef von Star Health erhalten zu haben, was das Unternehmen als gefälscht zurückwies. Ob indische Behörden ein Bußgeld verhängen, ist offen.

Der US Supreme Court entschied am 29.06.2026 in der Sache Trump v. Slaughter mit sechs zu drei Stimmen, dass der Präsident FTC-Mitglieder auch ohne gesetzlich verlangten wichtigen Grund entlassen darf, und kippte damit den fast 90 Jahre alten Präzedenzfall Humphrey's Executor. noyb erklärte, die FTC gelte dadurch nicht mehr als unabhängige Aufsichtsbehörde im Sinne des EU-Rechts, und verwies darauf, dass sich der Angemessenheitsbeschluss zum EU-US Data Privacy Framework von 2023 an 259 Stellen auf die FTC-Unabhängigkeit stütze. noyb forderte die EU-Kommission zum geordneten Widerruf auf und kündigte andernfalls eine EuGH-Klage an.

Ob die EU-Kommission dem Widerrufswunsch folgt, war zum Recherchezeitpunkt offen. Die Zahl von 259 FTC-Nennungen stammt aus noybs eigener Auswertung, nicht von einer EU-Institution bestätigt. Praktische Folgen für die zertifizierten US-Unternehmen sind unklar.

Am 10.10.2023 unterzeichnete Gouverneur Gavin Newsom den California Delete Act (SB 362). Das Gesetz verpflichtet die CPPA, bis zum 01.01.2026 eine zentrale Löschplattform namens DROP einzurichten, über die Verbraucher mit einem einzigen Antrag die Löschung ihrer Daten bei allen registrierten Datenhändlern verlangen können. Datenhändler müssen sich seit Januar 2024 jährlich registrieren und ab dem 01.08.2026 Löschanfragen mindestens alle 45 Tage bearbeiten. Ab 2028 sind zusätzlich unabhängige Audits im Dreijahresrhythmus vorgeschrieben.

Die genaue Zahl verhängter Bußgelder gegen säumige Datenhändler ist nicht belegt. Die oft genannte Strafhöhe von 200 Dollar pro Löschantrag und Tag stammt aus Compliance-Quellen, nicht aus der offiziellen CPPA-Mitteilung. Wie viele Löschanträge zu tatsächlichen Löschungen führten, ist offen.