Quellen-Tabelle

Die spanische Datenschutzaufsicht verhängte gegen Vueling ein Bußgeld, weil das Cookie-Banner keine einfache Möglichkeit zur Ablehnung von Tracking-Cookies bot.

Spanische Behörde, aber früher Präzedenzfall für Cookie-Banner-Bußgelder.

Analysiert den Hongkonger Deepfake-CFO-Betrugsfall technisch als Beispiel für zunehmende Professionalisierung KI-gestützten CEO-Frauds.

Sicherheitssoftware-Hersteller hat kommerzielles Interesse, die Bedrohung zu betonen.

Ordnet WLAN- und Bluetooth-basierte Fahrgastzählverfahren datenschutzrechtlich ein und mahnt eine Interessenabwägung an.

Kanzlei-Blogpost, keine aufsichtsbehördliche Einzelfallprüfung.

Rein klingelaktivierte Videotürklingeln ohne Dauerspeicherung sind grundsätzlich zulässig, Erfassung von Gehweg oder Nachbargrundstück verstößt gegen § 201a StGB.

Ratgeberportal, ersetzt keine anwaltliche Einzelfallprüfung.

Der EuGH wies 2016 Klagen zyprischer Einleger gegen die Eurogruppe-Erklärung von 2013 ab und erklärte Eurogruppe-Erklärungen grundsätzlich für nicht individuell anfechtbar.

Primärquelle, das Urteil selbst. Betrifft die prozessuale Anfechtbarkeit, nicht die inhaltliche Rechtmäßigkeit des Bail-in.

Nach § 6 Abs. 1 Nr. 10 EinSiG sind Einlagen von Bund, Ländern und Kommunen ausdrücklich von der gesetzlichen Einlagensicherung ausgenommen.

Primärquelle, der Gesetzestext selbst. Regelt nur die gesetzliche Einlagensicherung, nicht freiwillige Sicherungssysteme der Bankenverbände.

Seit dem 19.06.2016 hat jede Person mit rechtmäßigem Aufenthalt in der EU in Deutschland ein gesetzliches Recht auf ein Basiskonto, Banken müssen es binnen zehn Werktagen einrichten.

Primärquelle, der Gesetzestext selbst. Banken dürfen die Basiskonto-Eröffnung nur in eng definierten gesetzlichen Ausnahmefällen verweigern.

Der BGH stellte am 28.07.2021 im ersten bundesweiten Cum-Ex-Strafverfahren höchstrichterlich fest, dass die Geschäfte Steuerhinterziehung waren, und ordnete die Einziehung von rund 176 Mio. Euro bei der Bank M.M. Warburg an.

Primärquelle, die offizielle Pressemitteilung des BGH zum Grundsatzurteil.

Der österreichische VfGH erklärte am 11.12.2019 (G 72-74/2019, G 181-182/2019) den geplanten Bundestrojaner zur verdeckten Überwachung verschlüsselter Kommunikation (WhatsApp, Skype) sowie die flächendeckende Kfz-Kennzeichenerfassung für verfassungswidrig. Begründung: verdeckte Computerüberwachung ist ein schwerer Eingriff in das durch Art. 8 EMRK geschützte Recht auf Achtung des Privatlebens und nur in sehr engen Grenzen zulässig.

Das Erkenntnis betrifft die geplante Gesetzesgrundlage von 2018, nicht einen bereits erfolgten Einsatz. Ob und in welcher Form ein Bundestrojaner in Österreich seither eingesetzt wird, ist aus dieser Quelle nicht belegt.

Die auf der Black-Hat-Konferenz 2019 vorgestellte GDPArrrrr-Forschung testete, wie Unternehmen auf DSGVO-Auskunftsanfragen (Art. 15) reagieren, wenn sich ein Angreifer als eine andere Person ausgibt. Ergebnis: Die Identitätsprüfung der angefragten Unternehmen war stark uneinheitlich, teilweise genügte eine E-Mail vom vermeintlichen Konto oder bloße Login-Daten als Nachweis. Einige Organisationen verwechselten die Auskunftsanfrage sogar mit einer Löschanfrage und entfernten Konten ohne ordentliche Identitätsprüfung.

Die Studie zeigt eine strukturelle Schwachstelle in der Praxis der Auskunftsbearbeitung, keine flächendeckende, aktuelle Zahl erfolgreicher Identitätsdiebstähle über diesen Weg.

Laut einer Erhebung von noyb erhielten nur 16,5 Prozent der Anfragenden eine vollständige Antwort auf ihre Auskunftsanfrage nach Art. 15 DSGVO, fast 30 Prozent bekamen überhaupt keine Antwort. Damit erfüllten 83,5 Prozent der untersuchten Antworten nicht die gesetzlichen Vorgaben. noyb betont, das eigentliche Problem sei nicht der Missbrauch des Auskunftsrechts durch Betroffene, sondern die mangelhafte Erfüllung der Auskunftspflicht durch die Unternehmen selbst, und kritisiert deshalb den EU-Digital-Omnibus-Vorschlag, der das Auskunftsrecht einschränken will.

Die Stichprobengröße und Methodik der zitierten noyb-Erhebung ist aus dieser Sekundärquelle nicht im Detail belegt; die Prozentzahlen stammen aus noybs eigener Auswertung.

Der EuGH entschied am 09.02.2023 (Rechtssache C-453/21), dass ein Interessenkonflikt im Sinne von Art. 38 Abs. 6 DSGVO vorliegen kann, wenn ein Datenschutzbeauftragter gleichzeitig weitere Aufgaben wahrnimmt, in denen er selbst über Zwecke und Mittel der Datenverarbeitung entscheidet. Im konkreten Fall ging es um einen Datenschutzbeauftragten, der zugleich freigestellter Betriebsratsvorsitzender war und nach Inkrafttreten der DSGVO 2018 von seiner Position als Datenschutzbeauftragter abberufen wurde. Ob ein solcher Konflikt vorliegt, muss laut EuGH im Einzelfall von den nationalen Gerichten geprüft werden.

Das Urteil stellt einen abstrakten Prüfmaßstab auf; es bewertet nicht, wie viele betriebliche Datenschutzbeauftragte in Deutschland tatsächlich in einem solchen Interessenkonflikt stehen.

Amazons Türklingelkamera-Anbieter Ring bestätigte 2022 gegenüber dem US-Senat, dass das Unternehmen Videoaufnahmen ohne Durchsuchungsbefehl und ohne Zustimmung der Gerätebesitzer an Polizeibehörden weitergeben kann, wenn nach eigener Einschätzung 'unmittelbare Gefahr für Leib oder Leben' vorliegt. Allein im Jahr 2022 geschah dies laut Unternehmensangabe bereits elfmal. Was als Notfall gilt, entscheidet Ring selbst, ohne gerichtliche Kontrolle. Reguläre Anfragen erfordern weiterhin einen gültigen Durchsuchungsbefehl; seit Februar 2024 hat Amazon zusätzlich das Werkzeug abgeschaltet, mit dem Polizei über die Neighbors-App direkt Nutzer um Aufnahmen bitten konnte.

Wie oft die Notfall-Ausnahme seit 2022 insgesamt genutzt wurde, ist aus dieser Quelle nicht mit aktueller Zahl belegt.

Mit der Verordnung (EU) 2024/1358 wurde die EU-Datenbank Eurodac von einem reinen Fingerabdruck-Abgleichsystem zu einem vollständigen Asyl- und Migrationsmanagementsystem ausgebaut. Zu den Erweiterungen zählen die zusätzliche Speicherung von Gesichtsbildern neben Fingerabdrücken, eine Ausweitung der erfassten Personenkategorien sowie verstärkte Vorkehrungen zur Datenspeicherung. Die modernisierte Datenbank soll ab Mitte 2026 in Betrieb gehen.

Der genaue Umfang der neu erfassten Personenkategorien und die tatsächliche Nutzung der Gesichtsbilddaten durch nationale Behörden nach Inbetriebnahme sind aus dieser Rechtsakt-Zusammenfassung nicht im Detail belegt.

Das Stanford Internet Observatory fand im offenen KI-Trainingsdatensatz LAION-5B, verwaltet von der in Deutschland ansässigen Non-Profit-Organisation LAION, mindestens 1.008 Bilder mutmaßlichen Kindesmissbrauchs; der Datensatz könnte darüber hinaus tausende weitere solcher Fälle enthalten. Human Rights Watch fand darüber hinaus in einer eigenen Untersuchung 170 Fotos brasilianischer Kinder aus zehn Bundesstaaten in dem Datensatz, teils aus dem gesamten Kindheitsverlauf und mit intimen Momenten wie Geburten, die ohne Wissen der Betroffenen für KI-Training verwendet wurden. LAION entfernte den betroffenen Datensatz vorübergehend und kündigte eine Bereinigung vor erneuter Veröffentlichung an.

Ob und in welchem Umfang bereits veröffentlichte KI-Bildmodelle mit dem unbereinigten Datensatz trainiert wurden und welche Folgen das für einzelne Betroffene hatte, ist aus dieser Quelle nicht abschließend belegt.

Das Verwaltungsgericht Hannover erlaubte Amazon, im niedersächsischen Logistikzentrum Winsen die Arbeit von Beschäftigten lückenlos zu erfassen, obwohl die niedersächsische Landesdatenschutzbeauftragte dies 2017 wegen datenschutzrechtlicher Bedenken untersagt hatte. Beschäftigte müssen jeden Arbeitsschritt per Handscanner bestätigen; Vorgesetzte können mit entsprechender Software Arbeitsgeschwindigkeit minutengenau auswerten. Die Landesdatenschutzbeauftragte legte gegen das Urteil Berufung ein und argumentierte, der durch die lückenlose Überwachung entstehende Leistungs- und Anpassungsdruck müsse höher gewichtet werden als die wirtschaftlichen Interessen des Unternehmens. Sowohl das Gericht als auch die Datenschutzbeauftragte sehen dringenden gesetzgeberischen Handlungsbedarf, da es in Deutschland bislang kein eigenständiges Beschäftigtendatenschutzgesetz gibt.

Der Ausgang der eingelegten Berufung ist aus dieser Quelle nicht belegt; das Urteil beschreibt den Stand des Verfahrens zum Zeitpunkt der Berichterstattung.

2021 verabschiedete der chilenische Senat einstimmig eine Verfassungsänderung, die als weltweit erste ein Recht auf mentale Privatsphäre ('Neurorechte') verankert. Das neue Verfassungsrecht schützt die Privatsphäre der Gedanken, die Willensfreiheit des Denkens, den gleichberechtigten Zugang zu Technologien, die menschliche Fähigkeiten erweitern, sowie den Schutz vor Diskriminierung aufgrund neuronaler Daten. Der chilenische Oberste Gerichtshof wandte das neue Recht bereits 2023 in einem wegweisenden Urteil gegen das US-Neurotechnologie-Unternehmen Emotiv an. Colorado folgte 2024 mit dem Protect Privacy of Biological Data Act (HB24-1058, in Kraft seit 07.08.2024), der 'biologische Daten' einschließlich neuronaler Daten aus Gehirn-Messgeräten als besonders sensible Datenkategorie einstuft.

Wie das chilenische Neurorecht in der Praxis gegenüber kommerziellen Konsumgeräten (z. B. Wearables mit EEG-Sensoren) außerhalb des Emotiv-Falls durchgesetzt wird, ist aus dieser Quelle nicht im Detail belegt.

Die britische Forschungsdatenbank UK Biobank gibt Forschern ausschließlich pseudonymisierte Daten weiter: Jeder Teilnehmer erhält eine aus der NHS-Nummer generierte, nicht zurückrechenbare Kennung (PID), und jeder Datensatz wird zusätzlich nach einem antragsspezifischen Schema pseudonymisiert, sodass sich Daten aus verschiedenen Forschungsanträgen nicht ohne Weiteres verknüpfen lassen. Dennoch zeigten Sicherheitsvorfälle, dass Pseudonymisierung als alleinige Schutzmaßnahme Grenzen hat: Experten argumentierten, dass bereits Teildatensätze Risiken bergen können, etwa wenn sich Personen durch Kombination von Geburtsmonat und -jahr mit öffentlich verfügbaren Angaben zu medizinischen Ereignissen re-identifizieren lassen. UK Biobank betont, dass bislang keine Teilnehmer tatsächlich re-identifiziert wurden, und initiierte eine externe Überprüfung möglicher zusätzlicher Schutzmaßnahmen wie Generalisierung, Differential Privacy und homomorphe Verschlüsselung.

UK Biobank bestreitet, dass es bereits zu einer tatsächlichen Re-Identifizierung kam; die zitierten Risiken sind theoretischer bzw. methodenkritischer Natur, kein dokumentierter Einzelfall.

Der EuGH entschied am 07.12.2023 in den verbundenen Rechtssachen C-634/21, C-26/22 und C-64/22, dass die automatisierte Erstellung eines Bonitäts-Score-Werts wie durch die Schufa unter das DSGVO-Verbot rein automatisierter Einzelentscheidungen fallen kann, wenn der Score-Wert die eigentlich maßgebliche Grundlage für eine nachgelagerte Entscheidung eines Dritten (etwa eine Bank) bildet. Ob dies im Einzelfall zutrifft, muss laut EuGH von den nationalen Gerichten geprüft werden; entscheidend ist, ob der Dritte dem Score-Wert bei seiner Entscheidung maßgebliche Rolle einräumt. Seit dem 17.03.2026 nutzt die Schufa ein neues, für Verbraucher verständlicheres Berechnungsverfahren mit zwölf Kriterien, darunter das Alter des ältesten Bankkontos und der ältesten Kreditkarte, Zahlungsausfälle und der Kreditstatus.

Das Urteil legt einen Prüfmaßstab fest, verbietet Scoring-Verfahren aber nicht grundsätzlich; ob und wie oft deutsche Gerichte seither tatsächlich automatisierte Ablehnungen wegen dieses Urteils kassierten, ist aus dieser Quelle nicht beziffert.

Eine 2024 auf der ACM Internet Measurement Conference veröffentlichte, peer-reviewte Studie zeigt, dass LG-Fernseher alle 15 Sekunden und Samsung-Fernseher jede Minute Bildschirminhalte per 'Automatic Content Recognition' (ACR) erfassen und mit einer Inhaltsdatenbank abgleichen, um zu erkennen, was gerade angezeigt wird. ACR erfasst dabei alles, was über HDMI angezeigt wird, also auch Inhalte von angeschlossenen Spielkonsolen, Kabelboxen und Laptops. Im Dezember 2025 leitete der texanische Generalstaatsanwalt Ken Paxton Klagen gegen Sony, Samsung, LG, Hisense und TCL ein, denen vorgeworfen wird, TV-Sehdaten unrechtmäßig gesammelt und monetarisiert zu haben; Verbraucherschützer wiesen zudem nach, dass es auf LG-Geräten 27 Klicks brauchte, um die Funktion vollständig zu deaktivieren. Am 26.02.2026 einigte sich Samsung als erster Hersteller außergerichtlich mit der texanischen Behörde.

Die Klagen und die Vergleichszahlung betreffen US-Recht (Texas); eine vergleichbare Untersuchung oder Sanktion für den deutschen bzw. europäischen Markt ist aus dieser Quelle nicht belegt.

Die Mozilla Foundation untersuchte 25 Autohersteller unabhängig und kam zu dem Schluss, Autos seien 'die schlechteste Produktkategorie, die wir je in Bezug auf Datenschutz geprüft haben'. 84 Prozent der untersuchten Hersteller geben an, personenbezogene Daten mit Dritten teilen zu können, 19 von 25 Marken erwähnen explizit den 'Verkauf' von Daten. Jeder untersuchte Hersteller speicherte deutlich mehr personenbezogene Daten als notwendig, erfasst über Kameras, Mikrofone oder gekoppelte Smartphones, darunter Angaben zu privaten Interessen, Sexualleben und individuellem Gesundheitszustand. GPS-Antennen und fest verbaute SIM-Karten übertragen diese Daten kontinuierlich an die Hersteller; anonymisierte und aggregierte Daten fließen zusätzlich an sogenannte Vehicle Data Hubs, die digitalen Datenbroker der Automobilbranche. Die Mozilla-Experten konnten bei keiner der 25 untersuchten Marken bestätigen, dass sämtliche persönlichen Kundendaten verschlüsselt wurden.

Ob und in welchem Umfang die genannten sensiblen Datenkategorien (z. B. Sexualleben) tatsächlich systematisch erfasst oder nur theoretisch laut Datenschutzerklärung erfassbar sind, differenziert diese Quelle nicht in jedem Einzelfall.

Der Erste Senat des Bundesverfassungsgerichts entschied am 16.02.2023 (1 BvR 1547/19, 1 BvR 2634/20), dass die gesetzlichen Regelungen zur automatisierten Datenanalyse in Hessen und Hamburg gegen das Grundrecht auf informationelle Selbstbestimmung verstoßen und verfassungswidrig sind, weil es an klaren und hinreichend bestimmten Voraussetzungen und Grenzen für einen derart schwerwiegenden Grundrechtseingriff fehlte. Hessen hatte 2017 die Analysesoftware 'Gotham' des US-Unternehmens Palantir erworben und setzte sie unter dem Namen 'hessenDATA' ein; vergleichbare Systeme laufen in Bayern als VeRA und in Nordrhein-Westfalen als DAR. Das Gericht verpflichtete Hessen, die betroffene Vorschrift bis Ende September 2023 zu überarbeiten und ließ die weitere Nutzung von hessenDATA bis dahin nur unter Auflagen zu; Hamburgs zugehörige Regelung war noch nicht in Kraft getreten und wurde für nichtig erklärt.

Das Urteil betrifft ausdrücklich nur die gesetzlichen Grundlagen in Hessen und Hamburg; ob die vergleichbaren Systeme in Bayern (VeRA) und Nordrhein-Westfalen (DAR) auf denselben verfassungsrechtlichen Mangel geprüft und ggf. angepasst wurden, ist aus dieser Quelle nicht belegt.

Am 02.12.2024 verabschiedete die UN-Generalversammlung eine Resolution zu tödlichen autonomen Waffensystemen (Lethal Autonomous Weapons Systems, LAWS). Über 115 Staaten unterstützen mittlerweile Verhandlungen über einen völkerrechtlich verbindlichen Vertrag zur Regulierung; bei einem Treffen im September 2024 gaben 42 Staaten, darunter Deutschland, ein gemeinsames Statement ab, wonach die bisherigen Diskussionsfortschritte für den Einstieg in konkrete Vertragsverhandlungen ausreichten. Die großen Militärmächte USA, Russland und China stellen sich jedoch bislang gegen ein verbindliches internationales Verbot sogenannter Killerroboter und blockieren damit den diplomatischen Prozess.

Die Resolution selbst hat keinen bindenden Charakter; ob und wann ein tatsächlicher Vertrag zustande kommt, ist aus dieser Quelle offen und nicht absehbar.

2022 stellte Deutschland mit 24.166 Löschanträgen die zweithöchste Anzahl an 'Recht auf Vergessenwerden'-Anfragen in Europa, ein Rückgang von 24 Prozent gegenüber dem Vorjahr. 2022 erhielten Google und Microsoft zusammen über 155.000 solcher Anfragen, davon rund 147.000 (96 Prozent) allein bei Google. Kumuliert erhielt Google bis 2021 über 1,3 Millionen Löschanträge nach Art. 17 DSGVO, von denen rund die Hälfte abgelehnt wurde, überwiegend mit der Begründung eines bestehenden öffentlichen Interesses an der jeweiligen Information.

Die Kriterien, nach denen Google im Einzelfall 'öffentliches Interesse' bejaht oder verneint, werden vom Unternehmen selbst angewendet und sind nicht durch eine unabhängige Instanz vorab geprüft; wie viele abgelehnte Anträge nachträglich gerichtlich angefochten und erfolgreich durchgesetzt wurden, ist aus dieser Quelle nicht belegt.

Als 'Sharenting' wird die Praxis bezeichnet, wenn Eltern regelmäßig Fotos oder Informationen über ihre Kinder in sozialen Medien teilen. Studien zeigen, dass viele pädokriminelle Nutzer ihre Inhalte gezielt von 'Momfluencern' beziehen, also Müttern, die ihre Elternschaft strategisch zur Follower-Generierung einsetzen. Laut Kriminologe Thomas-Gabriel Rüdiger sammeln Pädokriminelle solche öffentlich zugänglichen Bilder, kommentieren sie mit einschlägigen Texten und teilen sie in eigenen Netzwerken; Familienbilder tauchen wiederholt auf einschlägigen Darknet-Websites auf. Besonders kritisch wird es, wenn Eltern zusätzliche Informationen wie Wohnadresse, Schule oder Kindergarten veröffentlichen, weil Pädokriminelle und Stalker die Kinder dadurch vergleichsweise leicht lokalisieren können.

Wie viele der im Darknet kursierenden Familienbilder konkret aus öffentlichen Social-Media-Konten stammen im Vergleich zu anderen Quellen, ist aus dieser Quelle nicht separat beziffert.