Quellen-Tabelle

Deutsche Datenschutzbehörden verhängten 2024 nur 266 Bußgelder mit einer Gesamtsumme von rund 2,5 Millionen Euro, ein deutlicher Rückgang gegenüber 2023 mit 357 Verfahren und einer Gesamtsumme von 4,94 Millionen Euro. Die durchschnittliche Bußgeldhöhe für Verstöße gegen technische und organisatorische Datenschutzanforderungen lag 2023 bei 27.033,33 Euro, der Median jedoch nur bei 3.600 Euro, was auf wenige hohe Ausreißer bei überwiegend geringen Einzelstrafen hindeutet. Die Zahl der Bußgeldverfahren steigt zwar über die Jahre insgesamt, die verhängten Summen bleiben aber vergleichsweise niedrig; zusätzlich verzeichnen Studien ein Vollzugsdefizit speziell bei Verstößen von Behörden selbst, gegen die im Verhältnis seltener und in geringerer Höhe sanktioniert wird als gegen private Unternehmen.

Die genauen Gründe für den Rückgang von 2023 auf 2024 (weniger Verstöße, weniger Verfolgung oder methodische Änderungen in der Erhebung) sind aus dieser Quelle nicht eindeutig belegt.

Die als Sicherheits-App vermarktete Familien-Tracking-App Life360 verkauft laut Recherchen von The Markup, gestützt auf Aussagen zweier ehemaliger Mitarbeiter, seit 2016 Standortdaten von rund 33 Millionen Nutzern an etwa ein Dutzend Datenbroker, die sie wiederum an praktisch jeden zahlenden Kunden weitergeben, darunter auch US-Regierungsbehörden wie das Verteidigungsministerium und die Gesundheitsbehörde CDC. Firmengründer und CEO Chris Hulls bestätigte, der Datenverkauf sei fester Bestandteil des Geschäftsmodells; die Datenschutzbestimmungen der App erwähnen die Weitergabe an Dritte, werden aber laut Berichten von den meisten Nutzern nicht sorgfältig gelesen. Der CEO betonte, man verkaufe Daten nicht direkt an Regierungsstellen, um die Rechte potenzieller Angeklagter in Strafverfahren nicht zu untergraben, wich damit aber der Frage nach der Weitergabe über zwischengeschaltete Datenbroker an genau solche Stellen aus.

Ob und wie oft die über Umwege an Behörden gelangten Life360-Standortdaten tatsächlich in konkreten Strafverfahren verwendet wurden, ist aus dieser Quelle nicht belegt.

Sicherheitsforscher von Palo Alto Networks Unit 42 entdeckten eine Angriffswelle, bei der Schadsoftware Router wie die FritzBox über insgesamt 13 Schwachstellen sowie Brute-Force-Angriffe in ein Botnetz eingliederte, ebenso wie IP-Kameras und andere IoT-Geräte. Angreifer können dadurch das Heimnetz ausspähen, Bewegungsprofile erstellen oder die Geräte für DDoS-Angriffe missbrauchen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte zusätzlich vor der komfortablen, aber riskanten Fernzugriffsfunktion, mit der die FritzBox über das Internet von außerhalb des Zuhauses erreichbar gemacht werden kann: Kriminelle durchsuchen das Internet gezielt nach FritzBoxen mit aktiviertem Fernzugriff und können bei geknacktem Passwort oder unentdeckter Sicherheitslücke vollen Zugriff auf den Router erlangen. Geräte mit eingestelltem Support gelten dabei als besonders gefährdet, da veraltete Firmware Zugriff auf Bankdaten und smarte Haushaltsgeräte im Netzwerk ermöglichen kann.

Wie viele deutsche Haushalte tatsächlich von der beschriebenen Botnetz-Kampagne betroffen waren, ist aus dieser Quelle nicht mit einer Gesamtzahl belegt.

Google und Mastercard trafen eine zunächst geheim gehaltene Vereinbarung, bei der Google massenhaft Kreditkarten-Transaktionsdaten von Mastercard kaufte und mit den Klicks eigener Nutzer auf Online-Werbung korrelierte, um so den Erfolg von Werbeanzeigen bis zum tatsächlichen Ladenkauf nachzuverfolgen. Visa wickelte im betreffenden Jahr 45 Milliarden Transaktionen ab, Mastercard 23 Milliarden; beide Unternehmen planten zusätzlich eigene Programme, mit denen gesammelte Kreditkartendaten künftig direkt für personalisierte Online-Werbung genutzt werden sollten. Beide Kartenanbieter bieten Websites an, auf denen Kunden der Analyse ihrer Kreditkartendaten für solche Zwecke widersprechen können.

Der genaue Umfang, wie viele Nutzer von der Google-Mastercard-Vereinbarung konkret betroffen waren, ist aus dieser Quelle nicht beziffert; Details der Vereinbarung wurden erst nachträglich öffentlich bekannt.

Das am 28.03.2021 verabschiedete Registermodernisierungsgesetz macht die Steuer-Identifikationsnummer zu einer einheitlichen Personenkennziffer, die einen automatisierten Datenabgleich und -austausch zwischen 51 geplanten bzw. 56 großen öffentlichen Registern ermöglicht. Kritiker verweisen auf das Volkszählungsurteil des Bundesverfassungsgerichts von 1983, das eine 'lückenlose Registrierung und Katalogisierung der Persönlichkeit' durch Zusammenführung einzelner Lebens- und Personendaten zu Persönlichkeitsprofilen für verfassungswidrig erklärte und die Einführung eines einheitlichen Personenkennzeichens explizit als Beispiel für ein solches unzulässiges Profiling nannte. Die Bürgerrechtsorganisation Humanistische Union reichte gegen das Gesetz Verfassungsbeschwerde ein, weil es aus ihrer Sicht das Grundrecht auf informationelle Selbstbestimmung verletzt.

Der Ausgang der Verfassungsbeschwerde ist aus dieser Quelle nicht belegt.

Chicago führte 2012 die 'Strategic Subjects List' ('Heat List') ein, die Personen mit hoher statistischer Wahrscheinlichkeit, eine Straftat zu begehen oder Opfer einer solchen zu werden, auf Basis historischer Faktoren wie Vorstrafen einen Zahlenwert von 0 bis über 500 zuwies. 2013 stufte der Algorithmus Hunderte junge Schwarze Männer als mutmaßliche Täter oder Opfer von Waffengewalt ein, obwohl viele von ihnen keinerlei Vorstrafen hatten; kritisiert wurde, dass die Eingabedaten (insbesondere Festnahmen) selbst bereits durch die diskretionären Entscheidungen von Polizeibeamten bei Streife und Ermittlung verzerrt waren. Die Liste erfasste unverhältnismäßig viele People of Color. Nach Untersuchungen, die dem Programm Ungenauigkeit, Wirkungslosigkeit und rassistische Verzerrung attestierten, stellte Chicago die Nutzung der Heat List im Januar 2020 endgültig ein.

Der genaue kausale Effekt der Liste auf tatsächliche Polizeimaßnahmen gegen gelistete Personen (z. B. verstärkte Kontrollen) ist aus dieser Quelle nicht mit Einzelfallzahlen belegt.

Seit der Waffenrechtsnovelle vom Februar 2020 muss die Waffenbehörde bei Zuverlässigkeitsprüfungen verpflichtend Auskünfte beim Bundeszentralregister, Verfahrensregister der Staatsanwaltschaften, der zuständigen Polizei sowie der Verfassungsschutzbehörde einholen. Ist eine geprüfte Person im gemeinsamen Datenbanksystem NADIS (Nachrichtendienstliches Informationssystem) erfasst, übermittelt die Verfassungsschutzbehörde alle offenen und rechtlich verwertbaren Erkenntnisse an die für die waffenrechtliche Zuverlässigkeitsprüfung zuständige Behörde. Ein Erlass stellte klar, dass sogenannte Reichsbürger grundsätzlich als waffenrechtlich unzuverlässig gelten. Trotz dieses Systems waren Ende 2024 laut Bundesregierung noch 357 als 'Reichsbürger' oder 'Selbstverwalter' erfasste Personen im Besitz waffenrechtlicher Erlaubnisse.

Ob die verbliebenen 357 Fälle Verfahren betreffen, die noch laufen, oder ein tatsächliches Vollzugsversagen darstellen, ist aus dieser Quelle nicht differenziert.

Auch bei Ende-zu-Ende-verschlüsselten Messengern wie WhatsApp gilt die Verschlüsselung nur für den Nachrichteninhalt, nicht für Metadaten wie Sender, Empfänger, Zeitpunkt, Datum und Nachrichtengröße, aus denen sich ablesen lässt, wer mit wem wann kommuniziert; der Meta-Konzern speichert diese Metadaten zentral auf eigenen Servern. Michael Hayden, sowohl ehemaliger NSA-Direktor (1999–2005) als auch CIA-Direktor (2006–2009), erklärte im April 2014 bei einer öffentlichen Debatte an der Johns Hopkins University wörtlich: 'We kill people based on metadata' ('Wir töten Menschen basierend auf Metadaten'), um die geheimdienstliche Relevanz von Metadaten trotz Inhaltsverschlüsselung zu unterstreichen.

Das Zitat bezieht sich auf US-Drohnenoperationen im Kontext von NSA-Metadatenauswertung allgemein, nicht speziell auf WhatsApp-Metadaten; die Übertragbarkeit auf zivile Messenger-Nutzung wird in dieser Quelle als Beispiel, nicht als belegter Einzelfall dargestellt.

Von 2013 bis 2016 erhielt Open Whisper Systems, der Vorläufer des heutigen Signal-Messengers, rund 2,955 Millionen US-Dollar vom Open Technology Fund (OTF). Der OTF ist ein Unterprojekt von Radio Free Asia, das wiederum zur U.S. Agency for Global Media (USAGM) gehört, einer mit rund einer Milliarde US-Dollar jährlich vom US-Kongress finanzierten Bundesbehörde. Die Signal Foundation hat bislang zu keinem Zeitpunkt Finanzberichte veröffentlicht oder die Identität ihrer Spender offengelegt; für 2024 meldete die Stiftung dennoch Einnahmen von 29.413.537 US-Dollar und Ausgaben von 38.019.696 US-Dollar.

Eine staatliche Anschubfinanzierung eines Open-Source-Projekts ist keine Aussage über eine bestehende Kontrolle des Quellcodes oder der Verschlüsselung durch die US-Regierung; der quelloffene Code von Signal wird unabhängig von Kryptographen geprüft. Die genannte Finanzierungssumme betrifft eine frühe Entwicklungsphase, nicht den heutigen Betrieb.

Der Rückversicherer Munich Re sieht laut einer gemeinsamen Studie von Munich Re Life US und der britischen Datenanalysefirma Klarity großes Potenzial darin, Gesundheitsdaten aus Smartwatches, etwa tägliche Schrittzahlen, für die Risikobewertung (Underwriting) bei Lebensversicherungen zu nutzen. Nach Angaben des Unternehmens erlauben solche Wearable-Daten eine genauere individuelle Risikoeinschätzung als traditionelle Messgrößen. Über sein 'Connect & Protect'-Angebot bietet Munich Re Versicherern zusätzlich Zugriff auf versicherungsrelevante Daten aus vernetzten Gebäuden und Gewerbeumgebungen, um Gefahren und Risiken aus Versicherungssicht besser einschätzen oder vermeiden zu können.

Ob und in welchem Umfang diese Wearable-Daten bereits konkret in Deutschland zur Prämienberechnung herangezogen werden, ist aus dieser Quelle nicht belegt; der Fokus der zitierten Studie liegt auf dem US-Markt.

Ein Cyberangriff auf einen externen IT-Dienstleister führte zum Abfluss von Daten Zehntausender Patienten und betraf mehrere große deutsche Universitätskliniken, darunter Freiburg, Heidelberg, Tübingen, Ulm, Mannheim und Köln. Insgesamt wurden über 120.000 Patientendatensätze deutscher Universitätskliniken im sogenannten Unimed-Cyberangriff gestohlen. Parallel griffen Hacker um den Jahreswechsel 2024/25 das Praxisverwaltungssystem des MVZ Herz-Lungen-Praxis Hamburg-Bergedorf an, einer Tochtergesellschaft der LungenClinic Großhansdorf, und erlangten Zugriff auf 12.000 Patientendatensätze. Nach Angaben von Check Point Software stiegen Cyberangriffe in der DACH-Region 2025 um 124 Prozent, wobei Deutschland über 82 Prozent aller registrierten Vorfälle in der Region ausmachte.

Ob und in welchem Umfang die gestohlenen Daten öffentlich veröffentlicht wurden oder ausschließlich im kriminellen Untergrund gehandelt wurden, ist aus dieser Quelle nicht abschließend geklärt.

Bei Telematik- bzw. 'Blackbox'-Kfz-Versicherungen zeichnet ein im Fahrzeug installiertes Gerät kontinuierlich Standort, Geschwindigkeit, Beschleunigung und Bremsverhalten auf; im Gegenzug für verkehrskonformes Fahrverhalten winken Prämienrabatte. Verbraucherschützer beziffern die durchschnittliche Ersparnis auf 10 bis 15 Prozent, in Einzelfällen sind Rabatte von bis zu 45 Prozent möglich. Datenschützer kritisieren die permanente Datensammlung: Die erfassten Standortdaten könnten grundsätzlich auch für personalisierte Werbung genutzt werden, der Versicherer kann die Fahrdaten bei einem Unfall gegen den Versicherten verwenden, und bei auffällig negativem Fahrverhalten kann der Versicherer den Vertrag kündigen.

Ob und wie oft Versicherer Telematik-Daten tatsächlich bereits gegen Kunden in Schadensfällen oder bei Vertragskündigungen verwendet haben, ist aus dieser Quelle nicht mit Fallzahlen belegt.

An der Adolph-Schönfelder-Grundschule in Hamburg sowie 15 weiteren Schulen entschied ein Catering-Unternehmen, dass Grundschulkinder ihren Fingerabdruck zeigen mussten, um Zugang zur Schulkantine zu erhalten. Die IT-Firma People & Project GmbH aus Schleswig-Holstein hatte das biometrische Bezahlsystem den Schulbehörden im Oktober 2012 angeboten, eingeführt wurde es zu Schuljahresbeginn. Das Unternehmen ignorierte laut Piratenpartei Hamburg die Einwände zahlreicher Eltern; Kritik kam zusätzlich von der Opposition und Datenschutzinstitutionen, die betonten, Schulen hätten die pädagogische Aufgabe, Kinder für den Umgang mit ihren persönlichen Daten zu sensibilisieren, statt sie zur biometrischen Erfassung zu zwingen.

Ob das System nach den Protesten tatsächlich wieder abgeschafft wurde, ist aus dieser Quelle nicht belegt.

Am 21.02.2024 wurde ein Ransomware-Angriff auf Change Healthcare entdeckt, einen der größten Abrechnungsdienstleister im US-Gesundheitssystem, nachdem Angreifer der mit BlackCat/ALPHV verbundenen Gruppe neun Tage lang unbemerkt im Netzwerk operiert hatten. Zugang erhielten sie über ein Citrix-Fernzugriffsportal ohne Multi-Faktor-Authentifizierung. Die Muttergesellschaft UnitedHealth zahlte über ihre Tochter Optum ein Lösegeld von 22 Millionen US-Dollar. Nach anfänglichen Schätzungen von 100 Millionen Betroffenen korrigierte UnitedHealth die Zahl später auf 190 Millionen betroffene Amerikaner, fast die Hälfte der US-Bevölkerung, deren persönliche und Gesundheitsdaten gestohlen wurden. Der Angriff verursachte monatelange Ausfälle im US-Gesundheitssystem; UnitedHealth gab 2024 insgesamt 3,1 Milliarden US-Dollar für die Bewältigung der Attacke aus.

UnitedHealth verzögerte laut Medienberichten die Benachrichtigung Betroffener über mehrere Monate; die genauen Gründe für die Verzögerung sind aus dieser Quelle nicht abschließend geklärt.

Der britische Gesundheitsdienst NHS England unterzeichnete 2023 einen zunächst siebenjährigen Vertrag über 330 Millionen Pfund, der die zentrale Datenverwaltungsplattform des gesamten Gesundheitssystems an das US-Unternehmen Palantir auslagert. Latifa Patel, Vorsitzende des Vertretungsgremiums der British Medical Association, nannte die Vergabe 'zutiefst besorgniserregend'; Amnesty International forderte von Palantir verbindliche Garantien, Patientendaten künftig nicht zu monetarisieren. 2023 blockierten rund 200 Menschen die NHS-Büros aus Protest gegen die Vertragsvergabe; Aktivisten der Koalition um 'Keep Our NHS Public' organisierten seither wiederholt Informationsstände, Flugblattaktionen und Unterschriftensammlungen. Ein parlamentarischer Ausschuss warnte, Palantirs Rolle stelle eine 'inakzeptable Schwachstelle' dar und verwies auf die Risiken einer Abhängigkeit von wenigen US-Technologieunternehmen.

Ob Palantir die geforderten Garantien gegen eine Monetarisierung der Patientendaten tatsächlich abgegeben hat, ist aus dieser Quelle nicht belegt.

Die französische Datenschutzbehörde CNIL verhängte am 10.12.2020 nach Online-Kontrollen auf google.fr und amazon.fr Bußgelder von insgesamt 135 Millionen Euro: 100 Millionen Euro gegen Google (60 Mio. gegen Google LLC, 40 Mio. gegen Google Ireland Ltd.) und 35 Millionen Euro gegen Amazon. Beide Unternehmen platzierten automatisch personalisierte Werbe-Cookies auf den Endgeräten der Nutzer, ohne vorab deren Einwilligung einzuholen; zusätzlich bewertete die CNIL die bereitgestellten Informationen zu den Cookies als unzureichend. Die Unternehmen erhielten drei Monate Zeit zur Anpassung, andernfalls drohten weitere 100.000 Euro Strafe pro zusätzlichem Verzögerungstag. Der französische Conseil d'État bestätigte die Entscheidung gegen Amazon später in der Berufung.

Ob die tatsächlich verhängten Nachfrist-Strafzahlungen von 100.000 Euro pro Tag jemals fällig wurden, ist aus dieser Quelle nicht belegt.

In der Ukraine wurden laut Berichten binnen drei Monaten über 22.000 Einsätze unbemannter Systeme registriert; KI-gestützte Objekterkennung unterstützt Drohnen zunehmend bei der Zielerfassung. Der israelische Journalist Yuval Abraham interviewte Soldaten, die ein KI-Zielsystem namens 'Lavender' nutzten; ein Zitat lautete: 'Früher hatten wir 70 Ziele im Jahr, jetzt haben wir 70 Ziele am Tag.' KI-Expertin Verena Jackson erklärte, eine ethisch geführte Kriegsführung mit autonomen Waffen sei kaum möglich; neu am Ukraine-Krieg sei das weitgehende Herausnehmen des menschlichen Entscheiders aus der Zielauswahl, ein Szenario, das Ethiker zuvor ein Jahrzehnt lang als theoretischen Worst Case diskutiert hatten und das nun ohne Regelwerk, Aufsicht oder Präzedenzfall operativer Standard geworden sei. Amnesty International, Access Now und über 200 weitere Organisationen forderten einen sofortigen Stopp des KI-Einsatzes in militärischen Tötungsketten.

Das 'Lavender'-System wird primär im Kontext des Gaza-Kriegs beschrieben, nicht spezifisch der Ukraine; die Quelle verknüpft beide Konflikte als Beispiele für denselben Trend zur KI-gestützten Zielerfassung, ohne dass Lavender selbst in der Ukraine nachgewiesen im Einsatz war.

Der EuGH entschied am 21.06.2022 auf Vorlage des belgischen Verfassungsgerichtshofs zur Auslegung der PNR-Richtlinie, die die systematische Verarbeitung von Fluggastdaten (Passenger Name Records) für Flüge zwischen der EU und Drittstaaten regelt. Das Gericht stellte fest, die Richtlinie greife schwerwiegend in das Recht auf Achtung des Privatlebens und auf Datenschutz ein, und erklärte die bis dahin praktizierte fünfjährige Speicherfrist für Fluggastdaten für unverhältnismäßig. Datenerhebung und -auswertung müssen sich künftig auf das 'absolut Notwendige' beschränken; die Speicherung von Fluggastdaten bei EU-internen Flügen ist seither nur noch bei konkreten Anzeichen einer terroristischen Bedrohung oder auf sogenannten kriminellen Flugrouten zulässig, mit einer maximalen Speicherdauer von sechs Monaten. Laut einer Bundestagsanfrage stieg die Zahl der in Deutschland gespeicherten Fluggastdatensätze bis 2023 auf 424 Millionen deutlich an.

Ob die deutsche Praxis der PNR-Speicherung inzwischen vollständig an das Urteil angepasst wurde, ist aus dieser Quelle nicht abschließend belegt; die zitierte Zunahme auf 424 Millionen Datensätze deutet eher auf einen weiter wachsenden Datenbestand hin.

Nach einer Beschwerde des norwegischen Verbraucherrats Forbrukerrådet und der Datenschutzorganisation noyb.eu im Januar 2020 verhängte die norwegische Datenschutzbehörde Datatilsynet im Dezember 2021 ein Bußgeld von 65 Millionen norwegischen Kronen (rund 6,5 Millionen Euro) gegen die Dating-App Grindr. Zwischen 2018 und 2020 gab Grindr ohne ausreichende Rechtsgrundlage Alter, Geschlecht, GPS-Standort, IP-Adresse und Werbe-ID seiner Nutzer an zahlreiche Werbeunternehmen weiter. Besonders kritisiert wurde, dass Grindr auch die Information weitergab, dass jemand Grindr-Nutzer ist: Diese Angabe allein legt bereits eine von der Mehrheit abweichende sexuelle Orientierung nahe, selbst wenn die sexuelle Orientierung nicht explizit übermittelt wird.

Grindr focht die Entscheidung an; ob das Bußgeld in voller Höhe rechtskräftig gezahlt wurde, ist aus dieser Quelle nicht abschließend belegt.

Cambridge Analytica sammelte über eine Facebook-App unrechtmäßig Daten von schätzungsweise 87 Millionen Facebook-Nutzern, darunter rund 310.000 in Deutschland, um sie mit individuell zugeschnittenen Wahlwerbeanzeigen zur Wahl Donald Trumps zu bewegen. Über Microtargeting-Kampagnen erhielten Wähler politische Botschaften, die gezielt auf ihre individuellen Ängste, Hoffnungen und Vorurteile zugeschnitten waren. Laut späteren Umfragen gaben 86 Prozent aktueller und ehemaliger Facebook-Nutzer an, wenig oder gar kein Vertrauen zu haben, dass das Netzwerk verantwortungsvoll mit ihren persönlichen Daten umgeht. Nachfolgeorganisationen und -akteure wie die Gruppe 'Team Jorge' setzten ähnliche Methoden der Desinformation und Wahlbeeinflussung auch im Superwahljahr 2024 fort, wenn auch über andere Kanäle als Cambridge Analytica.

Die direkte kausale Wirkung des Cambridge-Analytica-Microtargetings auf den tatsächlichen Wahlausgang 2016 ist wissenschaftlich umstritten und aus dieser Quelle nicht als belegter Kausalzusammenhang, sondern als beschriebene Methode dargestellt.

In den USA häuften sich Fälle, in denen Hacker sich unbefugten Zugriff auf smarte Ring- und Nest-Kameras verschafften. In Mississippi spielte ein Hacker über die Kamera im Kinderzimmer eines Mädchens den Song 'Tiptoe Through The Tulips' ab und beschimpfte die Achtjährige; in Florida spionierte ein Unbekannter eine Familie tagelang über deren Ring-Kameras aus, aktivierte die Alarmsirene und moderierte über die Lautsprecher einen Hacker-Podcast, während er Eltern und Sohn beschimpfte. Weitere Fälle wurden aus Georgia, New York und Connecticut gemeldet. Bei Google-Nest-Kameras übernahm in Milwaukee ein Hacker wiederholt die Kontrolle über smarte Haushaltsgeräte; bereits 2018 berichteten US-Medien über Sicherheitsprobleme bei Nest-Kameras, bei denen Angreifern der Zugriff auf Nutzerkonten gelang.

Die dokumentierten Fälle beruhen überwiegend auf wiederverwendeten, bei anderen Datenlecks erbeuteten Zugangsdaten (Credential Stuffing), nicht auf einer direkten Sicherheitslücke in Ring oder Nest selbst; dieser technische Hintergrund wird in den zitierten Berichten nicht in jedem Einzelfall differenziert dargestellt.

Marriott meldete am 30.11.2018, dass Angreifer bereits seit 2014 unentdeckten Zugriff auf das Reservierungssystem der 2016 übernommenen Hotelkette Starwood hatten. Betroffen waren bis zu 500 Millionen Gästeeinträge; bei 327 Millionen davon umfassten die gestohlenen Daten eine Kombination aus Name, Postanschrift, Telefonnummer, E-Mail-Adresse, Passnummer, SPG-Kontoinformationen, Geburtsdatum, Geschlecht sowie An- und Abreisedatum. Betroffen waren Gäste der Starwood-Marken W Hotels, St. Regis, Sheraton, Westin, Element, Aloft, The Luxury Collection, Tribute Portfolio, Le Méridien, Four Points by Sheraton und Design Hotels.

Der Angriff blieb laut Quelle vier Jahre lang unentdeckt; ob dies auf mangelnde Sicherheitsüberwachung bei Starwood vor der Marriott-Übernahme zurückzuführen ist, wird in dieser Quelle nicht abschließend geklärt.

Im Mai 2024 reichte das US-Justizministerium gemeinsam mit den Generalstaatsanwälten von 29 Bundesstaaten und dem District of Columbia vor dem Bundesgericht im Südbezirk von New York eine zivilrechtliche Kartellklage gegen Live Nation Entertainment und Ticketmaster ein. Der Klage zufolge nutzt der Konzern seine Monopolstellung im Bereich Primärticketverkauf, Konzertpromotion und Veranstaltungsstättenmanagement, um Wettbewerb zu unterdrücken, wobei Live Nation nach eigenen Angaben rund 80 Prozent Marktanteil bei großen US-Konzertveranstaltungsorten kontrolliert. Die Klage fordert unter anderem die Abspaltung von Ticketmaster vom Konzern, die Aufhebung bestimmter Ticketing-Verträge sowie ein Verbot wettbewerbswidriger Praktiken. Im August 2024 erweiterten die Kläger die Klage um zehn weitere Bundesstaaten.

Der Ausgang des Verfahrens (Urteil, Vergleich oder Abweisung) ist aus dieser Quelle zum Zeitpunkt der Klageeinreichung noch offen und nicht belegt.

Zusätzlich zum 2019 von der US-amerikanischen FTC verhängten Bußgeld von 508,1 Millionen US-Dollar gegen die Muttergesellschaft belegte die britische Finanzaufsicht Financial Conduct Authority (FCA) 2023 die britische Tochtergesellschaft Equifax Ltd. mit einem eigenen Bußgeld von 11 Millionen Pfund. Vom ursprünglichen Equifax-Datenleck 2017 waren auch 13,8 Millionen Briten betroffen. Die FCA stellte fest, dass Equifax seine britischen Kunden weder transparent noch wahrheitsgemäß über den Vorfall informierte: Das Unternehmen sprach zunächst lediglich von einem Cyber-Sicherheitsvorfall in den USA, obwohl es zu diesem Zeitpunkt bereits vom Diebstahl britischer Kundendaten wusste.

Der zeitliche Abstand zwischen Kenntnis des Datenlecks und der öffentlichen Kommunikation ist aus dieser Quelle nicht mit exakten Daten beziffert.

Das niederländische System Risk Indication (SyRI) wurde von der Regierung eingesetzt, um Betrug bei Sozialleistungen, Steuern, Sozialabgaben und im Arbeitsrecht automatisiert aufzudecken, kam aber nur in bestimmten Regionen des Landes mit besonders vielen Einwohnern unterhalb eines undefinierten Einkommensniveaus zum Einsatz, ohne dass es Belege dafür gab, dass Menschen aus diesen Regionen überproportional häufig Sozialbetrug begingen. Menschenrechtsaktivisten reichten 2019 Klage gegen SyRI ein, weil das System arme Menschen diskriminiere; der UN-Sonderberichterstatter für Armut kritisierte, das System nutze Parameter, die explizit auf Menschen mit niedrigem Einkommen und ethnische Minderheiten zielten. Das Bezirksgericht Den Haag entschied am 06.02.2020, dass SyRI gegen das Recht auf Achtung des Privatlebens nach Art. 8 der Europäischen Menschenrechtskonvention verstößt, und ordnete den sofortigen Stopp des Systems an.

Ob und in welcher Form die niederländische Regierung nach dem Urteil ein Nachfolgesystem einführte, ist aus dieser Quelle nicht belegt.