Quellen-Tabelle

Ob PimEyes oder andere Anbieter in der EU, auf den Seychellen oder sonstwo niedergelassen sind, spielt keine Rolle — die DSGVO ist nach dem Marktortprinzip anwendbar. An den aktuellen Plänen der Bundesregierung zur biometrischen Massenüberwachung wird sichtbar, dass jahrelange behördliche Inaktivität gegenüber offensichtlich rechtswidrigen Anbietern nicht nur deren Weiterexistenz ermöglicht, sondern solche Praktiken so weit normalisiert, dass sie nun quasi Vorbild für ein grundrechtsfeindliches Gesetz werden sollen.

Sehr wichtige Verbindung zwischen D4 und D5: Der CCC argumentiert, dass die jahrelange Duldung von PimEyes durch die Behörden die gesellschaftliche Normalisierung biometrischer Gesichtserkennung vorangetrieben hat — und damit indirekt den Weg für die in D4 dokumentierte staatliche Gesichtserkennung (Frankfurt, Bundespolizeigesetz-Reform) bereitet haben könnte. Diese These ist eine Einordnung, keine bewiesene Kausalität — sollte im Blackstone-Artikel entsprechend als Interpretation gekennzeichnet werden, aber als plausibler thematischer Zusammenhang zwischen den beiden Dossiers erwähnt werden.

127 zivilgesellschaftliche Organisationen, Gewerkschaften und Vertreter*innen des öffentlichen Interesses warnen: "Was als 'technische Vereinfachung' der EU-Digitalrechte dargestellt wird, ist in Wahrheit ein Versuch, Europas stärkste Schutzregeln gegen digitale Bedrohungen schrittweise und verdeckt abzubauen." Genannter Vorwurf: Dies geschehe "unter dem Radar, unter Verwendung von überstürzten und undurchsichtigen Verfahren, die darauf abzielen, eine demokratische Kontrolle zu umgehen."

Das ist der Original-Wortlaut des zentralen Protestbriefs, den Batch 58 nur über eine Sekundärquelle referenziert hatte — jetzt direkt verfügbar. Wichtig: Die Anzahl der Unterzeichner wuchs zwischen den verschiedenen Berichterstattungszeitpunkten (127 → später über 130) — normal bei einer offenen Unterschriftenliste, sollte im Artikel als "über 125" oder mit Datum angegeben werden, nicht als feste Zahl.

Die Umstellung auf ein Opt-out-Modell ab 2025 bedeutet, dass Patienten aktiv widersprechen müssen, wenn sie keine ePA wünschen — dies könnte laut CCC-Kritik zu unbeabsichtigter Teilnahme führen. Der CCC deckte auf seinem Jahreskongress zusätzlich weitere Sicherheitslücken auf.

Der CCC hat bei diesem Thema nicht nur eine politische Position, sondern auch tatsächlich technische Sicherheitslücken im System selbst gefunden — das ist eine stärkere Kritik-Kategorie als reine Verfahrenskritik (Opt-out vs. Opt-in), da sie auf konkrete technische Mängel verweist. Für ein vollständiges C5-Dossier sollte in einem künftigen Batch der genaue Inhalt der CCC-Sicherheitslücken-Präsentation vom 39C3 nachrecherchiert werden.

Langfristig sollen sämtliche Gesundheitsinformationen aller rund 74 Millionen gesetzlich Versicherten in der ePA zusammenfließen. Kastl und Tschirsich fordern drei Dinge für vertrauenswürdige digitale Infrastruktur: unabhängige externe Sicherheitsbewertung, offene und transparente Risikokommunikation, und die ePA als offenen Entwicklungsprozess über ihren gesamten Lebenszyklus zu verstehen. Ihr Fazit: "Ein großes Stück dieses Vertrauens ist heute verloren gegangen."

Wichtigste Ergänzung zum offenen Punkt aus Batch 83: Die Kritik ist nicht nur "es gibt Lücken", sondern ein grundsätzlicher Vorwurf am Entwicklungsprozess selbst — zu wenig externe Prüfung, zu wenig Transparenz. Diese drei Forderungen (externe Prüfung, Transparenz, offener Prozess) sind eine gute, konstruktive Handlungsvorlage für Blackstones eigene "Gegenmaßnahmen"-Sektion im Dossier.

"Ende April 2025 wurde die ePA für alle dann auch wirklich für alle deutschlandweit bereitgestellt — allerdings traten am gleichen Tag die scheinbar sicher gelösten Sicherheitslücken im Zugangsmanagement wieder zu Tage und wurden alsbald wieder nur provisorisch abgedichtet."

Sehr konkreter zeitlicher Beleg: Am Tag des bundesweiten Starts selbst (nicht Wochen später) traten dieselben Sicherheitslücken erneut auf, die bereits ein Jahr zuvor (38C3) demonstriert worden waren — und wurden nur "provisorisch" behoben. Das ist ein außergewöhnlich präziser, terminlich verifizierbarer Beleg für unzureichende Nachbesserung zwischen den beiden Kongressen.

Eine Klarnamenpflicht ist bislang vor allem als Unterdrückungsinstrument autoritärer Länder wie China bekannt. Südkorea führte ein solches System 2007 ein und schaffte es bereits 2012 wieder ab — nach nur fünf Jahren.

Wichtiger internationaler Vergleichsfall, sehr konkret und überprüfbar: Südkorea ist ein seltenes Beispiel eines demokratischen Landes, das eine Klarnamenpflicht tatsächlich einführte UND nach wenigen Jahren wieder abschaffte — ideal für Blackstones Argumentation, da es ein "real getestetes, dann verworfenes" Beispiel liefert, nicht nur Theorie. Für ein vollständiges Dossier sollte in einem künftigen Batch der genaue Abschaffungsgrund (vermutlich Wirksamkeits- oder Verfassungsprobleme) noch recherchiert werden.

Ein Unternehmen kann behaupten, ihm liege eine Einwilligung der betroffenen Person zur Meldedaten-Abfrage vor — das reicht bereits aus, um die Auskunft zu erhalten. Meldebehörden sind zwar angehalten, "stichprobenhaft" zu prüfen, ob diese Einwilligung tatsächlich existiert — bei dünner Personaldecke bleibt das laut Autor "ein reines Luftschloss".

Sehr konkrete praktische Schwachstelle: Das Gesetz verlangt zwar formal eine Einwilligung, aber es gibt praktisch keine wirksame Kontrolle, ob diese wirklich vorliegt — ein Unternehmen muss sie nur behaupten. Das ist ein gutes Beispiel für eine "Papier-Regel", die in der Praxis kaum durchsetzbar ist — passt zum bereits mehrfach dokumentierten Muster von Kontrolllücken (D5/PimEyes, C5/ePA).

Fortlaufende offizielle Statistik direkt verbundener Tor-Clients je Land.

Offizielle Primärquelle des Tor-Projekts, keine feste historische Kennzahl für Deutschland.

Mojeek keine individuelle Nutzerverfolgung, keine IP-Speicherung (nur Ländercode), aber unbegrenzte Logs für Traffic-Analyse.

Herstellereigene Zusagen, keine unabhängige Prüfung.

Brave sendet anonyme Nutzungsberichte (abschaltbar), leitet Safe-Browsing auf Desktop über eigenen Proxy, auf Mobil wird IP an Google/Apple offengelegt.

Herstellereigene Richtlinie, keine unabhängige Prüfung.

EU-Kommission verhängte erste DSA-Bußgeldentscheidung: 120 Mio. Euro gegen X wegen irreführendem Verifizierungs-Häkchen, unzugänglichem Werbearchiv, verweigertem Forscherzugang.

Erstes großes DSA-Bußgeld. Belegt NICHT Overblocking oder Moderationspraxis.

vzbv-Bericht: ~50% der gemeldeten Inhalte entfernt, Plattformen reagieren oft langsam auf priorisierte Meldungen.

Zeigt Unterreaktion bei Trusted-Flagger-Meldungen, nicht Overblocking.

Monero verbirgt standardmäßig Betrag/Adressen, aber Datenschutz-Eigenschaften nicht abschließend bewiesen, limitiert durch kleine Ring-Signaturen.

Monero anonymer als Bitcoin, aber nicht unknackbar bei gezielter Überwachung.

FTC verbietet Mobilewalla dauerhaft Verkauf sensibler Standortdaten (Gesundheitseinrichtungen, Gotteshäuser, LGBTQ+-Orte).

US-Verbot gegen Datenhändler. Betroffenenzahl nicht belegt.

Russland verpflichtet Telcos zur Erfassung von Adressen, Passdaten, Bankdaten, Geolokation; 85 Telcos bereits mit Bußgeldern belegt.

Erweiterte staatliche Überwachungspflicht für Provider in Russland.

EU-Kommission schlägt Vereinfachungen der KI-Verordnung vor, Verschiebung der Hochrisiko-KI-Pflichten.

Vorschlag zur späteren Scharfschaltung von KI-Risikoregeln.

Seit 10.12.2025 müssen 10 Plattformen Nutzer unter 16 aktiv ausschließen, Selbstauskunft reicht nicht, Bußgeld bis 49,5 Mio. AUD.

Australien erstes Land mit striktem Unter-16-Ausschluss. Wirksamkeit der Prüfung nicht belegt.

Anteil wirksamer Alterschecks bei Kindern stieg von 25% (Jul 2025) auf 43% (Jan 2026); 69 Mio. Alterschecks im 2. Halbjahr 2025.

UK-Regulierer misst Fortschritt der Altersverifikationspflicht.

Mind. 9 US-Bundesstaaten führten 2025 Altersverifikationspflichten ein; Floridas Gesetz löste 1150%-Anstieg der VPN-Nachfrage aus.

EFF-Kritik: Gesetze treiben Nutzer zu unregulierten Auslandsseiten.

Nach Free Speech Coalition v. Paxton senkte der Supreme Court den Prüfmaßstab für Altersverifikation von strict auf intermediate scrutiny.

US-Urteil senkt Grundrechtsschutz bei Altersprüfung.

US-Report: Arbeitgeber setzen Bossware ohne Transparenz/Widerspruchsmöglichkeiten ein.

Keine Nutzungszahlen für Deutschland.

§87 Abs.1 Nr.6 BetrVG: Mitbestimmungspflicht greift schon bei objektiver Überwachungseignung, auch bei Standardtools.

Betriebsrat muss bei potenziell überwachender Software zustimmen.

Ab 02.08.2026 gelten KI-Bewerbertools als Hochrisiko-KI, Verstöße bis 15 Mio. Euro oder 3% Jahresumsatz.

Neue EU-Pflichten für KI-Recruiting-Tools.

Nest-Geräte erfassen je nach Produkt Umgebungsdaten, Video-/Audioaufnahmen, ggf. Gesichtserkennungsdaten, WLAN-Zugangsdaten, IP-Adresse, optionale Standortdaten.

Herstellereigene Datenschutzerklärung. Belegt NICHT interne Datenverknüpfung mit anderen Google-Diensten.

Finance Director autorisierte 499.000 USD Zahlung während Zoom-Call, bei dem alle Führungskräfte KI-Deepfakes waren.

Konkreter Deepfake-Betrugsfall. Details zur Software/Aufdeckung nicht belegt.