Quellen-Tabelle

Wahlberechtigte können das Wählerverzeichnis in Deutschland üblicherweise vom 20. bis zum 16. Tag vor der Wahl einsehen, allerdings nur die eigenen Daten uneingeschränkt. Die Einsicht in die Daten anderer Personen ist nur zulässig, wenn ein möglicher Fehler im Wählerverzeichnis plausibel dargelegt wird. Aus Datenschutzgründen geht die Praxis zunehmend dazu über, statt vollständiger Listen nur gezielte Einzelabfragen zuzulassen. Für Personen mit eingetragener Auskunftssperre nach § 51 Bundesmeldegesetz gilt das Einsichtsrecht Dritter gar nicht erst.

Die genaue Ausgestaltung der Einsichtsregeln kann je nach Bundesland und Kommune leicht variieren; eine bundesweit einheitliche Verwaltungspraxis ist aus dieser Quelle nicht belegt.

Die Initiative 'Project Red Card' vertritt über 850 Profifußballer aus Premier League, National League, EFL und schottischer Premiership und fordert Entschädigung dafür, dass Wett- und Gaming-Unternehmen ihre Leistungsdaten (u. a. Lauf- und Positionsdaten) ohne ausreichende Rechtsgrundlage sammeln und verwerten. Die Global Sports Data and Technology Group verschickte vorprozessuale Aufforderungsschreiben an 17 Unternehmen, die mit Spielerdaten im Wett- und Gaming-Sektor handeln, mit der Begründung, die Datenverarbeitung verstoße gegen Datenschutzrecht.

Der Ausgang etwaiger Gerichtsverfahren und eine mögliche Entschädigungssumme sind aus dieser Quelle nicht belegt; es handelt sich um vorprozessuale Forderungen.

Am 05.02.2021 wurde gemeldet, ein Hacker habe sich per Fernzugriff in die Steuerung des Wasserwerks von Oldsmar, Florida, eingeklinkt und den Natriumhydroxid-Wert kurzzeitig von 100 auf 11.100 ppm erhöht, ein Vorfall, der weltweit als Beweis für die Verwundbarkeit kritischer Infrastruktur galt. Das FBI konnte in seiner Untersuchung jedoch keinen gezielten externen Cyberangriff bestätigen. Der damalige City Manager von Oldsmar erklärte später, es habe sich um ein 'Nichtereignis' gehandelt: Ein Mitarbeiter habe versehentlich die falschen Schaltflächen angeklickt und danach selbst seine Vorgesetzten informiert.

Der Fall zeigt, wie schnell ein Bedienfehler medial und politisch als Hackerangriff auf kritische Infrastruktur eingeordnet wird; eine abschließende behördliche Feststellung, was tatsächlich geschah, liegt aus dieser Quelle nicht vor.

Am 25.11.2023 griff die mit den iranischen Revolutionsgarden verbundene Gruppe CyberAv3ngers eine Pumpstation der Municipal Water Authority of Aliquippa in Pennsylvania an, indem sie über das Internet erreichbare, unzureichend gesicherte Unitronics-Industriesteuerungen (PLCs) kompromittierte und eine politische Botschaft gegen Israel auf den Displays anzeigte. Der Wasserversorger schaltete nach Entdeckung auf manuellen Betrieb um; laut Betreiber bestand zu keinem Zeitpunkt eine Gefährdung der Wasserversorgung. Bundesbehörden bestätigten, dass dieselbe Gruppe zusätzlich vier weitere Versorger und ein Aquarium angriff.

Die Behauptung, es habe zu keinem Zeitpunkt eine Gefährdung der Wasserqualität gegeben, stammt vom betroffenen Betreiber selbst, nicht von einer unabhängigen technischen Prüfung.

Mit der Verordnung (EU) 2024/1358 wurde die EU-Datenbank Eurodac von einem reinen Fingerabdruck-Abgleichsystem zu einem vollständigen Asyl- und Migrationsmanagementsystem ausgebaut. Zu den Erweiterungen zählen die zusätzliche Speicherung von Gesichtsbildern neben Fingerabdrücken, eine Ausweitung der erfassten Personenkategorien sowie verstärkte Vorkehrungen zur Datenspeicherung. Die modernisierte Datenbank soll ab Mitte 2026 in Betrieb gehen.

Der genaue Umfang der neu erfassten Personenkategorien und die tatsächliche Nutzung der Gesichtsbilddaten durch nationale Behörden nach Inbetriebnahme sind aus dieser Rechtsakt-Zusammenfassung nicht im Detail belegt.

Im April 2019 bestätigte Amazon einen Bloomberg-Bericht, wonach weltweit Mitarbeiter einzelne Sprachaufnahmen von Alexa-Geräten anhören und transkribieren, um die Spracherkennung zu verbessern, unter anderem an Standorten in Boston, Costa Rica, Indien und Rumänien. Zwei Mitarbeiter in Bukarest gaben an, bis zu 1.000 Aufnahmen pro Schicht abzuhören. Amazon erklärte, man werte 'eine extrem kleine Zahl an Interaktionen einer zufälligen Kundengruppe' aus. Bloomberg fand jedoch heraus, dass ein Screenshot einer solchen Transkriptionsaufgabe eine Kontonummer, den Vornamen des Kunden und die Geräteseriennummer enthielt. Nutzer konnten bis zur Veröffentlichung nicht erkennen, dass ihre Alexa-Gespräche von Menschen mitgehört wurden.

Wie viele der abgehörten Aufnahmen tatsächlich versehentliche Aktivierungen ('false wake words') betrafen, bei denen private Gespräche ohne Sprachbefehl aufgezeichnet wurden, ist aus dieser Quelle nicht separat beziffert.

Nach deutschem Recht ist der Einsatz von Spionagesoftware zur heimlichen Überwachung von Personen nach § 238 StGB strafbar. Dennoch wird sogenannte Stalkerware wie mSpy oder FlexiSpy mehr oder weniger offen zur Partnerüberwachung vermarktet, was von App-Stores weder erlaubt noch geduldet wird, aber ein florierendes Geschäft bleibt. Laut Kaspersky-Erhebung führt Deutschland europaweit bei digitalem Stalking: Fast jede dritte Person hat digitales Stalking erlebt, jede zehnte gibt zu, in irgendeiner Form Stalkerware genutzt zu haben, 9 Prozent räumen offen ein, das Smartphone des Partners manipuliert zu haben. Deutsche Cybersicherheitsexperten kritisieren, dass sich die zentralen Cybercrime-Ermittlungsstellen der Bundesländer zu wenig mit dem Thema befassen.

Die Prozentangaben stammen aus einer Befragung (Selbstauskunft), nicht aus behördlicher Kriminalstatistik; die tatsächliche Zahl strafrechtlich verfolgter Fälle ist aus dieser Quelle nicht belegt.

Ein Geofence Warrant (auch Reverse Location Warrant) ist ein gerichtlicher Beschluss, mit dem US-Ermittlungsbehörden von Google alle Mobilgeräte abfragen können, die sich zu einem bestimmten Zeitpunkt in einem festgelegten geografischen Gebiet befanden, ohne vorab eine konkrete verdächtige Person zu benennen. Solche Anfragen wurden erstmals 2016 genutzt und griffen auf Googles zentrale Standortdatenbank 'Sensorvault' zu. 2023 kündigte Google an, die Standortdaten künftig primär lokal auf den Geräten der Nutzer statt zentral auf eigenen Servern zu speichern, wodurch der Konzern faktisch keinen Zugriff mehr auf sammelbare Standortverläufe für solche Sammelanfragen hat.

Die Ankündigung betrifft die Praxis bei Google; ob andere Anbieter mit zentraler Standortspeicherung ähnliche Anfragen weiterhin bedienen, ist aus dieser Quelle nicht belegt.

Das Stanford Internet Observatory fand im offenen KI-Trainingsdatensatz LAION-5B, verwaltet von der in Deutschland ansässigen Non-Profit-Organisation LAION, mindestens 1.008 Bilder mutmaßlichen Kindesmissbrauchs; der Datensatz könnte darüber hinaus tausende weitere solcher Fälle enthalten. Human Rights Watch fand darüber hinaus in einer eigenen Untersuchung 170 Fotos brasilianischer Kinder aus zehn Bundesstaaten in dem Datensatz, teils aus dem gesamten Kindheitsverlauf und mit intimen Momenten wie Geburten, die ohne Wissen der Betroffenen für KI-Training verwendet wurden. LAION entfernte den betroffenen Datensatz vorübergehend und kündigte eine Bereinigung vor erneuter Veröffentlichung an.

Ob und in welchem Umfang bereits veröffentlichte KI-Bildmodelle mit dem unbereinigten Datensatz trainiert wurden und welche Folgen das für einzelne Betroffene hatte, ist aus dieser Quelle nicht abschließend belegt.

Im September 2020 verschlüsselte ein Ransomware-Angriff über eine Citrix-VPN-Schwachstelle (CVE-2019-19781) rund 30 Server des Universitätsklinikums Düsseldorf. In der Folge setzte die Klinik ihre Notaufnahme aus, sodass Rettungswagen umgeleitet wurden. Zwei Nächte später starb eine Patientin mit lebensbedrohlichem Zustand, die wegen der ausgesetzten Notaufnahme rund eine Stunde später in einem weiter entfernten Krankenhaus behandelt wurde. Nach eingehender Untersuchung mit medizinischen Gutachtern und Obduktion stellte die Staatsanwaltschaft fest, der Gesundheitszustand der Patientin sei zum Zeitpunkt der Abholung bereits so schwerwiegend gewesen, dass sie unabhängig vom Krankenhausort verstorben wäre; die Erkrankung sei alleinige Todesursache gewesen, unabhängig vom Cyberangriff.

Der Fall wird oft als 'erster tödlicher Hackerangriff' zitiert; die Staatsanwaltschaft stellte jedoch gerade keinen ursächlichen Zusammenhang zwischen Angriff und Tod fest. Beide Lesarten kursieren in der Berichterstattung, hier wird bewusst die Ermittlungsfeststellung wiedergegeben.

Journalisten von netzpolitik.org und dem Bayerischen Rundfunk erwarben im Juli 2024 über den deutschen Datenmarktplatz 'Datarade' von einem US-Datenhändler einen Datensatz mit 3,6 Milliarden Standortdatenpunkten allein für Deutschland; ein weiterer Datensatz aus demselben Monat enthielt 380 Millionen Standortdatenpunkte aus 137 Ländern, verknüpft mit rund 40.000 verschiedenen Apps. Die Standortdaten stammen als Werbe-IDs aus Smartphone-Apps, die sie sammeln und zum Zweck personalisierter Werbung weiterverkaufen. Vier identifizierte Werbe-SDKs (InMobi, BidMachine, Verve HyBid, Huawei Petal Ads) sammeln heimlich Standortdaten auf Android-Geräten, indem sie Berechtigungen der Host-App erben und die Sandbox-Trennung des Betriebssystems über WLAN- und Mobilfunk-Triangulation umgehen, ohne separate Nutzereinwilligung für die Weitergabe an Werbenetzwerke einzuholen.

Ob und wie oft diese konkreten Datensätze tatsächlich zur Re-Identifizierung einzelner Personen genutzt wurden, ist aus dieser journalistischen Untersuchung nicht mit Einzelfällen belegt.

Das Verwaltungsgericht Hannover erlaubte Amazon, im niedersächsischen Logistikzentrum Winsen die Arbeit von Beschäftigten lückenlos zu erfassen, obwohl die niedersächsische Landesdatenschutzbeauftragte dies 2017 wegen datenschutzrechtlicher Bedenken untersagt hatte. Beschäftigte müssen jeden Arbeitsschritt per Handscanner bestätigen; Vorgesetzte können mit entsprechender Software Arbeitsgeschwindigkeit minutengenau auswerten. Die Landesdatenschutzbeauftragte legte gegen das Urteil Berufung ein und argumentierte, der durch die lückenlose Überwachung entstehende Leistungs- und Anpassungsdruck müsse höher gewichtet werden als die wirtschaftlichen Interessen des Unternehmens. Sowohl das Gericht als auch die Datenschutzbeauftragte sehen dringenden gesetzgeberischen Handlungsbedarf, da es in Deutschland bislang kein eigenständiges Beschäftigtendatenschutzgesetz gibt.

Der Ausgang der eingelegten Berufung ist aus dieser Quelle nicht belegt; das Urteil beschreibt den Stand des Verfahrens zum Zeitpunkt der Berichterstattung.

Von August 2017 bis Sommer 2018 testete das Bundesinnenministerium am Berliner Bahnhof Südkreuz biometrische Gesichtserkennungskameras der Bundespolizei. Laut Auswertung erkannte die Software in 80 Prozent der Fälle Testpersonen zuverlässig wieder, selbst mit Brille, Hut oder Schal. Das Bundesinnenministerium bewertete den Test als Erfolg; Datenschützer widersprachen und bezeichneten die Ergebnisse als 'unwissenschaftlich' und ein 'Debakel'. Der Deutsche Anwaltsverein kritisierte, das massenhafte Scannen unbescholtener Bürger stelle sie unter Generalverdacht und verletze Persönlichkeits- und Freiheitsrechte. Frankfurt am Main betreibt inzwischen dauerhafte automatisierte Gesichtserkennung im Rotlichtviertel, bei der Kamerabilder permanent nach bestimmten Personen durchsucht werden.

Die 80-Prozent-Zahl stammt aus der Auswertung des Bundesinnenministeriums selbst, das ein Eigeninteresse am Erfolg des Projekts hatte; eine methodisch unabhängige Überprüfung der Fehlerquote wird von Kritikern in dieser Quelle ausdrücklich bestritten.

Die Gesichtserkennungsfirma Clearview AI wurde 2022 von den Datenschutzbehörden Italiens (Februar), Frankreichs und Griechenlands (Juli) jeweils mit einem Bußgeld von 20 Millionen Euro belegt, der jeweiligen gesetzlichen Höchststrafe. Die Behörden stellten fest, dass Clearview biometrische Daten ohne Rechtsgrundlage verarbeitete, da weder eine Einwilligung der abgebildeten Personen noch ein berechtigtes Interesse vorlag. Gerichte wiesen Clearviews Argument zurück, als US-Unternehmen nicht an die DSGVO gebunden zu sein, da das Unternehmen Daten von Personen in Europa sammelte. Griechenland untersagte zusätzlich jede weitere Erhebung oder Verarbeitung von Daten griechischer Staatsbürger und ordnete deren Löschung an.

Ob Clearview die verhängten Bußgelder tatsächlich gezahlt hat, ist aus dieser Quelle nicht belegt; das Unternehmen operiert primär in den USA außerhalb direkter EU-Vollstreckungsmöglichkeiten.

Die baden-württembergische Datenschutzbehörde eröffnete das weltweit erste Bußgeldverfahren gegen die aus der Karibik operierende Gesichtssuchmaschine PimEyes, die es erlaubt, mit einem hochgeladenen Foto im gesamten Internet nach optisch ähnlichen Gesichtern zu suchen. Landesdatenschutzbeauftragter Stefan Brink bewertete das Missbrauchspotenzial als hochproblematisch: Stalker könnten die Software nutzen, Personen im Sexarbeitsgewerbe könnten geoutet, Rachepornografie leichter gefunden und Demonstrationsteilnehmer im Nachhinein identifiziert werden. Eine im November 2022 eingegangene Stellungnahme von PimEyes zu Rechtsgrundlage, technischen Maßnahmen und Missbrauchsschutz bewertete die Behörde als unzureichend, da zentrale Fragen unbeantwortet blieben.

Der Ausgang des Bußgeldverfahrens und eine mögliche tatsächliche Zahlung durch das karibisch ansässige Unternehmen sind aus dieser Quelle nicht belegt.

Der DNA-Testanbieter 23andMe meldete am 23.03.2025 Insolvenz nach Chapter 11 an, was potenziell den Verkauf von Gendaten von über 15 Millionen Nutzern zur Folge hatte. Das Pharmaunternehmen Regeneron Pharmaceuticals gewann zunächst die gerichtlich überwachte Auktion am 16.05.2025 mit einem Gebot von 256 Millionen US-Dollar. In einer überraschenden Wendung genehmigte ein Insolvenzrichter jedoch stattdessen den Verkauf des Unternehmens samt Gendaten an eine gemeinnützige Organisation unter Leitung von Mitgründerin Anne Wojcicki, als Reaktion auf verbreitete Datenschutzbedenken gegen die ursprünglich geplante Übertragung an einen Dritten wie Regeneron.

Ob und wie sich die Datenschutzbedingungen für Bestandskunden durch den Eigentümerwechsel an die Stiftung tatsächlich änderten, ist aus dieser Quelle nicht im Detail belegt.

Die FTC stellte fest, dass der Online-Therapieanbieter BetterHelp zwischen 2017 und 2020 E-Mail-Adressen, IP-Adressen und Angaben aus Gesundheitsfragebögen an Facebook (Meta), Snapchat, Pinterest und Criteo zu Werbezwecken weitergab, obwohl das Unternehmen Nutzern zugesichert hatte, Gesundheitsdaten nur eingeschränkt zu verwenden. BetterHelp nutzte insbesondere die Information, dass jemand bereits in Therapie gewesen war, um Facebook zur Identifizierung ähnlicher Zielgruppen für Werbung anzuweisen, was dem Unternehmen zehntausende neue zahlende Nutzer und Millionenumsätze einbrachte. Die FTC verhängte 2023 eine Zahlung von 7,8 Millionen US-Dollar, untersagte BetterHelp die Weitergabe von Gesundheitsdaten zu Werbezwecken und ordnete Rückerstattungen an Betroffene an, die ab Mai 2024 verschickt wurden.

Die Zahl der tatsächlich individuell entschädigten Nutzer und die durchschnittliche Rückerstattungssumme sind aus dieser Quelle nicht beziffert.

Zwischen Ende November 2018 und März 2019 wurde der finnische Psychotherapie-Anbieter Vastaamo gehackt; die Angreifer erbeuteten die Therapieakten von rund 33.000 Patienten. Nachdem CEO Ville Tapio am 28.09.2020 erstmals vom Täter kontaktiert wurde und Behörden informierte, forderte der Erpresser zunächst 40 Bitcoin (rund 450.000 Euro) vom Unternehmen. Mitte Oktober 2020 erhielten über 33.000 Patienten direkt Droh-E-Mails mit Forderungen von 200 bis 500 Euro in Bitcoin, verbunden mit der Drohung, ihre persönlichen Daten und Therapienotizen zu veröffentlichen, darunter Angaben zu psychischer Gesundheit, Missbrauch und Suizidgedanken. Der Fall löste die größte strafrechtliche Ermittlung in der finnischen Geschichte aus und führte zu Krisengesprächen der damaligen Regierung unter Ministerpräsidentin Sanna Marin. Vastaamo meldete Insolvenz an. Der später identifizierte Täter, der Finne Aleksanteri Kivimäki, wurde in Frankreich festgenommen, nach Finnland ausgeliefert und zu über sechs Jahren Haft verurteilt.

Wie viele der erpressten Patienten tatsächlich zahlten, ist aus dieser Quelle nicht beziffert.

Die von einem Berliner Start-up entwickelte Luca-App sollte Gesundheitsämtern die Kontaktnachverfolgung während der Corona-Pandemie erleichtern, geriet aber 2021 stark in die Kritik. Die Polizei Mainz griff im Rahmen von Ermittlungen zu einem Todesfall auf Besucherdaten eines Restaurants zu, die über Luca erfasst worden waren, obwohl das Infektionsschutzgesetz die Nutzung von Kontaktnachverfolgungsdaten für polizeiliche Zwecke ausdrücklich untersagt. Der baden-württembergische Datenschutzbeauftragte Stefan Brink bezeichnete dies als klaren Gesetzesverstoß. Kritiker verwiesen zudem darauf, dass Luca die Daten zentral speichert, im Gegensatz zur dezentral und transparent konzipierten, staatlichen Corona-Warn-App. Berlin kündigte an, die Nutzung von Luca ab Januar 2022 zu beenden.

Ob der beschriebene Polizeizugriff in Mainz strafrechtliche oder dienstrechtliche Konsequenzen für die beteiligten Beamten hatte, ist aus dieser Quelle nicht belegt.

Im Januar 2018 entdeckte der australische Forscher Nathan Ruser beim Durchsuchen der neuen 'Global Heatmap' des Fitness-Trackers Strava, dass Jogging-Routen mitten in der syrischen Wüste aufleuchteten, exakt an den Standorten von US- und alliierten Militärbasen. Die Heatmap fasste eine Milliarde Strava-Aktivitäten und drei Billionen GPS-Datenpunkte zusammen, aufgezeichnet zwischen 2015 und September 2017. Journalisten bestätigten, dass die Tracker-Daten unbeabsichtigt Umrisse ausländischer Basen im Irak, in Afghanistan und Syrien sowie Versorgungsrouten und Patrouillenwege preisgaben. Das US-Militär kündigte an, seine Regeln zur Nutzung von Fitness-Trackern und Apps durch Soldaten zu überprüfen; Strava sagte zu, seine Datenschutzeinstellungen zu überarbeiten.

Ob die offengelegten Standortmuster in der Folge tatsächlich für Angriffe auf die betroffenen Basen genutzt wurden, ist aus dieser Quelle nicht belegt.

Mit Amazon One können Kunden an der Kasse bezahlen, indem sie ihre Handfläche über einen Scanner halten, der die biometrischen Daten mit gespeicherten Handscans abgleicht und den Betrag vom verknüpften Amazon-Konto abbucht. Bis Ende 2023 plante Amazon, über 500 Whole-Foods-Filialen in den USA mit der Technik auszustatten, nachdem sie bereits in 200 Whole-Foods-Filialen und 200 weiteren Einzelhandelsstandorten im Einsatz war. Ein seit 2021 geltendes New Yorker Landesgesetz verpflichtet Unternehmen, mit gut sichtbaren Schildern auf die Erfassung biometrischer Daten hinzuweisen. Amazon sieht sich einer Sammelklage ausgesetzt, weil solche Hinweisschilder in den kassenlosen Amazon-Go-Filialen angeblich nicht ausreichend sichtbar angebracht waren.

Der Ausgang der Sammelklage ist aus dieser Quelle nicht belegt. Amazon selbst betont, dass nur Kunden erfasst werden, die sich aktiv für Amazon One registrieren.

Die FTC leitete ein Verfahren nach ihrer Health Breach Notification Rule gegen den Online-Apotheken-Preisvergleichsdienst GoodRx ein, weil das Unternehmen es versäumte, Nutzer über unautorisierte Weitergaben ihrer Gesundheitsdaten zu informieren. GoodRx teilte sensible Angaben zu verschriebenen Medikamenten und Gesundheitszuständen wiederholt mit Werbepartnern wie Facebook, Google, Criteo sowie weiteren Dritten wie Branch und Twilio, obwohl es Nutzern zuvor Vertraulichkeit zugesichert hatte. Mit den an Facebook übermittelten Daten ließ GoodRx eigene Nutzer gezielt mit personalisierter, medikamentenspezifischer Werbung auf Facebook und Instagram ansprechen. Das Unternehmen zahlte im Rahmen des Vergleichs eine Zivilstrafe von 1,5 Millionen US-Dollar, bestritt jedoch jegliches Fehlverhalten und erklärte, die Praxis bereits rund drei Jahre vor der FTC-Untersuchung von sich aus beendet zu haben.

GoodRx bestreitet die Vorwürfe ausdrücklich, obwohl das Unternehmen die Zahlung leistete; ein gerichtliches Schuldeingeständnis liegt laut dieser Quelle nicht vor.

Die FTC stellte fest, dass die Zyklus- und Fruchtbarkeits-App Flo trotz gegenteiliger Zusicherung sensible Gesundheitsdaten von Millionen Nutzerinnen an Marketing- und Analysefirmen weitergab, darunter die Analyseabteilungen von Facebook und Google, Googles Fabric-Dienst, AppsFlyer und Flurry, unter anderem die Tatsache einer Schwangerschaft in Form von 'App-Events'. Eine Wall-Street-Journal-Recherche hatte 2019 aufgedeckt, dass mehrere Gesundheits-Apps, darunter Flo, sensible In-App-Aktivitätsdaten über eingebettete Analysetools an Facebook sendeten. Die FTC verpflichtete Flo Health per Vergleich, künftig vor jeder Weitergabe persönlicher Gesundheitsdaten eine ausdrückliche Einwilligung einzuholen und die eigene Datenschutzpraxis unabhängig prüfen zu lassen. In einem späteren Verfahren zahlten Google 48 Millionen und Flo Health 8 Millionen US-Dollar Entschädigung an Nutzerinnen, die zwischen November 2016 und Februar 2019 Menstruations- oder Schwangerschaftsdaten eingegeben hatten.

Die Entschädigungssumme betrifft nur Nutzerinnen im genannten Zeitraum; ob und wie Daten nach Aufdeckung des Falls weiterhin bei den Empfängern gespeichert blieben, ist aus dieser Quelle nicht belegt.

Ende Januar 2022 deckte Politico auf, dass die gemeinnützige Krisenchat-Organisation Crisis Text Line (CTL) Daten aus vertraulichen Krisengesprächen mit Loris.ai teilte, einer gewinnorientierten Firmenausgründung der CTL-Mitgründerin Nancy Lublin, die damit Kundenservice-Software und Chatbots für schwierige Gespräche entwickelte, ohne Einwilligung der Hilfesuchenden. Nach öffentlichem Druck, unter anderem von einem Mitglied der US-Kommunikationsbehörde FCC und Vorstandsmitgliedern von CTL, beendete die Organisation die Datenpartnerschaft am 31.01.2022 sofort und forderte Loris.ai zur Löschung aller bereits erhaltenen Daten auf. Laut CTL hatte Loris.ai jedoch bereits seit Anfang 2020 keinen aktiven Zugriff mehr auf die Daten gehabt.

Ob Loris.ai die Löschung der Daten tatsächlich vollständig umsetzte, ist aus dieser Quelle nicht unabhängig verifiziert, sondern beruht auf der Selbstauskunft der Beteiligten.

Eine gemeinsame Recherche von The Markup und STAT News fand im Juni 2022 heraus, dass ein Drittel der 100 größten US-Krankenhäuser das Tracking-Tool Meta Pixel einsetzte, das bei jeder Terminbuchung Daten an Meta übermittelt, darunter Angaben zu Krankheitsbildern, verschriebenen Medikamenten und Terminen. Bei 33 der getesteten Krankenhäuser sendete der Meta-Pixel-Tracker bei jedem Klick auf 'Termin vereinbaren' ein Datenpaket an Facebook; bei sieben Gesundheitssystemen war der Tracker sogar innerhalb passwortgeschützter Patientenportale installiert. Fünf Monate nach der Veröffentlichung sahen sich große Klinikkonzerne wie UPMC, Advocate Aurora und Duke Health mit daraus resultierenden Klagen konfrontiert.

Ob und in welchem Umfang Meta die erhaltenen Gesundheitsdaten tatsächlich für Werbezwecke gegen einzelne Patienten nutzte, ist aus dieser Untersuchung nicht abschließend belegt; sie weist primär den Datenfluss selbst nach.