Quellen-Tabelle

Der EuGH entschied am 2. März 2021 im Fall H.K. gegen Prokuratuur (C-746/18), dass Zugriff auf gespeicherte Verkehrs- und Standortdaten nur zur Bekämpfung schwerer Kriminalität oder zur Abwehr ernster Bedrohungen der öffentlichen Sicherheit erlaubt ist. Das Unionsrecht steht einer nationalen Regelung entgegen, nach der die Staatsanwaltschaft selbst und ohne vorherige Kontrolle durch ein Gericht oder eine unabhängige Stelle über den Datenzugriff für Ermittlungsbehörden entscheiden darf. Das Urteil baut auf der Tele2/Watson-Linie des EuGH auf.

Nicht belegt ist, wie die estnische Staatsanwaltschaft und Gerichte den konkreten Ausgangsfall nach der Zurückverweisung entschieden haben. Ebenfalls offen bleibt die vollständige Umsetzungspraxis in allen EU-Mitgliedstaaten, insbesondere ob einzelne Länder ihre Zugriffsverfahren seither tatsächlich an eine unabhängige Vorabkontrolle angepasst haben.

Der EuGH entschied im Verfahren C-210/16, dass Betreiber einer Facebook-Fanpage gemeinsam mit Facebook für die Verarbeitung der Besucherdaten verantwortlich sind, auch wenn sie selbst keinen Zugriff auf personenbezogene Rohdaten haben. Die Wirtschaftsakademie Schleswig-Holstein nutzte für ihre Fanpage die Facebook-Funktion Insights, die auf Cookies mit bis zu zwei Jahre gültigen Nutzercodes basiert. Die Datenschutzaufsichtsbehörde des Sitzlandes des Fanpage-Betreibers darf daher sowohl gegen den Betreiber als auch gegen die dortige Facebook-Niederlassung vorgehen.

Offen blieb im Urteil, wie die konkrete Verteilung der Verantwortlichkeiten und Pflichten zwischen Facebook und den einzelnen Fanpage-Betreibern im Detail auszugestalten ist. Nicht Gegenstand der Entscheidung war zudem, in welchem Umfang einzelne Fanpage-Betreiber tatsächlich Einfluss auf die konkreten Verarbeitungszwecke und -mittel bei Facebook nehmen konnten.

Der EuGH entschied am 1. Oktober 2019 in der Rechtssache C-673/17 (Bundesverband der Verbraucherzentralen gegen Planet49 GmbH), dass eine wirksame Einwilligung zur Speicherung von Cookies eine aktive Handlung des Nutzers erfordert. Ein bereits angekreuztes Kästchen, das der Nutzer aktiv abwählen müsste, genügt dafür nicht. Anlass war ein Online-Gewinnspiel von Planet49, bei dem Teilnehmer per vorangekreuztem Kästchen der Setzung von Werbe-Cookies zustimmen sollten.

Offen blieb im Urteil selbst die konkrete technische Umsetzung von Cookie-Bannern in der Praxis, die erst durch nationale Gerichte und Aufsichtsbehörden nachfolgend konkretisiert wurde. Nicht Gegenstand des EuGH-Verfahrens waren mögliche Bußgelder gegen Planet49, da es sich um ein Vorabentscheidungsverfahren auf Vorlage des BGH handelte.

Der EuGH entschied in der Rechtssache C-40/17, dass der Betreiber einer Webseite, der einen Facebook-Like-Button einbindet, gemeinsam mit Facebook Ireland für die Erhebung und Übermittlung der personenbezogenen Daten der Webseitenbesucher verantwortlich ist. Konkret hatte der Modehändler Fashion ID den Like-Button eingebunden, wodurch IP-Adresse und Browserdaten der Besucher automatisch an Facebook übertragen wurden, auch ohne Klick auf den Button.

Der EuGH stellte klar, dass sich die Mitverantwortung von Fashion ID nur auf die Phase der Erhebung und Übermittlung der Daten bezieht, nicht auf die nachfolgende alleinige Verarbeitung durch Facebook. Offen blieb im Urteil die konkrete Ausgestaltung, wie Einwilligung und Informationspflichten in der Praxis technisch umzusetzen sind.

Das Bundesverfassungsgericht entschied mit Beschluss vom 4. April 2006 (1 BvR 518/02), dass die nach dem 11. September 2001 bundesweit angeordnete präventive Rasterfahndung gegen mutmaßliche Schläfer teilweise verfassungswidrig war. Eine solche Rasterfahndung greift in das Recht auf informationelle Selbstbestimmung ein und ist nur zulässig, wenn eine konkrete Gefahr für hochrangige Rechtsgüter vorliegt. Eine bloß allgemeine, durch die Anschläge vom 11. September ausgelöste Bedrohungslage genügt dafür nicht.

Offen bleibt in der Entscheidung, ob und wie konkret eine Gefahr im Einzelfall künftig belegt werden muss, damit eine Rasterfahndung rechtmäßig angeordnet werden kann. Nicht dokumentiert ist, wie viele der zuvor bundesweit erfassten rund 32.000 bis 40.000 Personendatensätze aus der Rasterfahndung 2001/2002 nach dem Urteil tatsächlich gelöscht wurden.

Der Bundesgerichtshof entschied am 27.07.2020 im Verfahren VI ZR 405/18, dass ein ehemaliger Geschäftsführer eines Wohlfahrtsverbandes keinen Anspruch auf Auslistung kritischer Presseartikel aus der Google-Suche hat. Die Artikel von 2011 hatten über ein Millionendefizit seiner Regionalgeschäftsstelle und seine Krankmeldung berichtet. Der Senat verlangte eine umfassende Abwägung zwischen dem Persönlichkeitsrecht des Betroffenen und der Meinungs- sowie Informationsfreiheit nach der EU-Grundrechtecharta, ohne pauschale Vermutung zugunsten der Löschung.

Aus der Pressemitteilung geht nicht hervor, wie der Senat die einzelnen Abwägungskriterien im Detail gewichtete und welche konkrete Rolle der seit 2011 verstrichene Zeitraum spielte. Im am selben Tag verhandelten Parallelverfahren VI ZR 476/18 legte der BGH dem EuGH Fragen zur Vorabentscheidung vor, dessen Ausgang aus dieser Quelle nicht ersichtlich ist.

Fünf von der Gesellschaft für Freiheitsrechte unterstützte Beschwerdeführer griffen Paragraf 9a des Zensusvorbereitungsgesetzes 2021 an, der die zentrale Zusammenführung nicht anonymisierter Meldedaten von bis zu 82 Millionen Einwohnern zum Stichtag 13. Januar 2019 für einen Software-Testlauf erlaubte. Das Bundesverfassungsgericht lehnte die Verfassungsbeschwerde am 20. Januar 2022 als unzulässig ab, da der fachgerichtliche Rechtsweg vor den Verwaltungsgerichten nicht ausgeschöpft worden war.

Eine inhaltliche verfassungsrechtliche Prüfung der Datenschutzfragen fand nicht statt, da das Gericht die Beschwerde allein aus formalen Gründen der Subsidiarität verwarf. Ob die zentrale, nicht anonymisierte Zusammenführung der Meldedaten mit dem Recht auf informationelle Selbstbestimmung vereinbar gewesen wäre, blieb damit gerichtlich ungeklärt.

loanDepot meldete der US-Börsenaufsicht SEC im Januar 2024 einen Ransomware-Angriff der Gruppe ALPHV/BlackCat, bei dem Systeme des Hypothekenanbieters verschlüsselt und Daten entwendet wurden. Betroffen waren rund 16,9 Millionen Kunden, deren Namen, Sozialversicherungsnummern, Geburtsdaten und Finanzkontonummern offengelegt wurden. Das Unternehmen bezifferte allein für das erste Quartal 2024 Kosten von 12 bis 17 Millionen Dollar und bildete später eine Rückstellung von 25 Millionen Dollar für Sammelklagen.

Offen bleibt, wie die Angreifer ursprünglich in die Systeme eindrangen und ob loanDepot ein Lösegeld zahlte. Auch die Ermittlungen mehrerer US-Bundesstaaten sowie die Sammelklagen der betroffenen Kunden waren zum Zeitpunkt der Meldung noch nicht abgeschlossen.

Am 14. April 2024 entdeckte der US-Telekomanbieter Frontier Communications einen unbefugten Zugriff auf Teile seiner IT-Systeme, den es in einer Pflichtmitteilung an die SEC offenlegte. Laut einer Meldung an die Generalstaatsanwaltschaft von Maine waren 751.895 Personen betroffen, deren Namen und Sozialversicherungsnummern kompromittiert wurden. Die Ransomware-Gruppe RansomHub bekannte sich zu dem Angriff und Frontier bot Betroffenen ein Jahr kostenlose Kreditüberwachung an.

Offen bleibt, wie viele Datensätze tatsächlich abgeflossen sind, denn RansomHub behauptete den Diebstahl von über 2 Millionen Kundendatensätzen, deutlich mehr als die von Frontier bestätigten rund 752.000 Betroffenen. Der genaue technische Einstiegspunkt des Angriffs und ob ein Lösegeld gezahlt wurde, sind nicht öffentlich dokumentiert.

Der EuGH entschied am 08.12.2022 im Verfahren C-460/20 (TU und RE gegen Google), dass ein Suchmaschinenbetreiber Ergebnisse auslisten muss, wenn die betroffene Person nachweist, dass die verlinkten Inhalte offensichtlich unrichtig sind. Ein vorheriges Gerichtsurteil gegen den Webseitenbetreiber ist dafür nicht zwingend erforderlich, es reichen zumutbare Beweismittel der antragstellenden Person. Zusätzlich stellte der Gerichtshof klar, dass als Vorschaubilder angezeigte Fotos gesondert nach ihrem Informationswert abzuwägen sind.

Der Bundesgerichtshof, der die Vorlagefrage gestellt hatte, musste den konkreten Ausgangsfall der beiden Investmentmanager anhand dieser Vorgaben erst noch abschließend entscheiden, das Ergebnis ist der Pressemitteilung nicht zu entnehmen. Wie Google die Kriterien zur offensichtlichen Unrichtigkeit in der Praxis bei Millionen jährlicher Löschanträge anwendet, bleibt aus dieser Quelle offen.

Der EuGH entschied am 02.10.2018 in der Rechtssache C-207/16 (Ministerio Fiscal), dass der Zugriff auf reine Identifikationsdaten von SIM-Karten-Inhabern wie Namen und Adressen auch zur Verfolgung nicht besonders schwerer Straftaten zulässig sein kann. Anlass war ein Diebstahl einer Geldbörse und eines Mobiltelefons in Spanien. Der EuGH stellte klar, dass dieser Zugriff zwar in die Grundrechte auf Achtung des Privatlebens und Datenschutz eingreift, mangels präziser Rückschlüsse auf das Privatleben aber keinen schwerwiegenden Eingriff darstellt.

Aus der Pressemitteilung geht nicht hervor, wie der spanische Ausgangsfall zum Diebstahl der Geldbörse letztlich entschieden wurde. Offen bleibt zudem, welche konkrete Straftaten-Schwelle die Mitgliedstaaten seither für den Zugriff auf reine Bestandsdaten in ihren nationalen Gesetzen festgelegt haben.

Der EuGH entschied am 21.12.2016 in den verbundenen Rechtssachen C-203/15 (Tele2 Sverige) und C-698/15 (gegen Tom Watson u.a.), dass eine allgemeine und unterschiedslose Vorratsspeicherung von Verkehrs- und Standortdaten aller Nutzer elektronischer Kommunikationsdienste gegen EU-Recht verstößt. Zulässig bleibt nur eine gezielte, auf das absolut Notwendige begrenzte Speicherung zur Bekämpfung schwerer Kriminalität, wobei der Datenzugriff einer vorherigen Kontrolle durch ein Gericht oder eine unabhängige Stelle unterliegen muss.

Offen blieb im Urteil selbst, wie die Grenze zwischen unzulässiger generischer und erlaubter gezielter Speicherung in der Praxis exakt zu ziehen ist. Diese Konkretisierung erfolgte erst in späteren Verfahren vor nationalen Gerichten und weiteren EuGH-Entscheidungen.

Im April 2025 griff die Gruppe Scattered Spider den britischen Einzelhändler Marks and Spencer per Social Engineering an, verschaffte sich Zugang zu einem Drittanbieter-Servicedesk und setzte die DragonForce-Ransomware ein, was wochenlange Ausfälle bei Online-Bestellungen und Warenregalen verursachte. M&S-Chairman Archie Norman bestätigte den Vorfall als Ransomware-Angriff vor einem Unterausschuss des britischen Parlaments am 08.07.2025 und bezifferte den Gewinneinbruch auf rund 300 Millionen Pfund. Die National Crime Agency nahm am 10.07.2025 vier Verdächtige im Zusammenhang mit den Angriffen auf M&S, Co-op und Harrods fest.

Offen bleibt, ob M&S ein Lösegeld gezahlt hat; Norman wollte sich dazu nicht äußern. Die genaue Rolle und Identität der vier festgenommenen Personen im Verhältnis zur Scattered-Spider-Gruppe war zum Zeitpunkt der Festnahme noch nicht gerichtlich geklärt.

Caesars Entertainment bestätigte in einer SEC-Pflichtmitteilung, dass ein unbefugter Akteur durch Social Engineering gegen einen externen IT-Dienstleister Zugriff auf die Datenbank des Treueprogramms erlangte. Dabei wurden Führerscheinnummern und/oder Sozialversicherungsnummern einer erheblichen Zahl von Mitgliedern gestohlen. Laut Presseberichten zahlte Caesars rund 15 Millionen US-Dollar Lösegeld, die Angriffsgruppe wird der als Scattered Spider bekannten Gruppe zugeschrieben.

Die genaue Höhe der Lösegeldzahlung und die vollständige Identität der Angreifer sind nicht Teil der offiziellen SEC-Mitteilung, sondern stammen aus Presseberichten unter Berufung auf anonyme Quellen. Ob die gestohlenen Daten nach Zahlung tatsächlich gelöscht wurden, konnte das Unternehmen selbst laut eigener Aussage nicht garantieren.

Ein US-Bundesgericht in Nordkalifornien stellte im Januar 2025 per Summary Judgment fest, dass NSO Group 2019 eine Schwachstelle in WhatsApp ausnutzte, um Pegasus-Spyware auf rund 1.400 Geräten von Journalisten, Menschenrechtlern, Diplomaten und Dissidenten zu installieren. Damit verstieß NSO gegen US-Hacking-Gesetze und WhatsApps Nutzungsbedingungen. Am 6. Mai 2025 sprach eine Jury WhatsApp/Meta rund 444.000 US-Dollar Schadenersatz und zunächst 167 Millionen US-Dollar Strafschadenersatz zu.

Die Richterin reduzierte den Strafschadenersatz später auf rund 4 Millionen US-Dollar und verhängte stattdessen eine dauerhafte Unterlassungsverfügung gegen NSO. Ob NSO die Beträge tatsächlich zahlt oder erfolgreich Rechtsmittel einlegt, war zum Zeitpunkt dieser Quelle offen.

Das US-Handelsministerium setzte am 03.11.2021 die israelischen Spyware-Hersteller NSO Group und Candiru sowie zwei weitere Firmen auf die Entity List. Begründet wurde dies damit, dass NSO Group und Candiru Spionagesoftware an ausländische Regierungen lieferten, mit der gezielt Regierungsbeamte, Journalisten, Aktivisten und Botschaftsmitarbeiter überwacht wurden. Die Listung verpflichtet US-Firmen, für Exporte oder Technologietransfers an diese Unternehmen eine Lizenz zu beantragen.

Nicht Teil dieser Maßnahme war ein strafrechtliches Verbot des Geschäftsbetriebs von NSO Group und Candiru selbst, da die Entity List nur den Export von US-Technologie einschränkt. Aus der Quelle nicht ersichtlich sind die konkreten wirtschaftlichen Folgen der Listung für NSO Group.

Das US-Justizministerium klagte am 11. Dezember 2024 vierzehn nordkoreanische Staatsangehörige an, die über Tarnfirmen mit gefälschten und gestohlenen US-Identitäten als Remote-IT-Mitarbeiter bei amerikanischen Firmen angeheuert wurden. Über sechs Jahre erbeuteten mindestens 130 eingesetzte IT-Arbeiter so rund 88 Millionen US-Dollar, die an das nordkoreanische Regime flossen. In mehreren Fällen drohten die Täter zusätzlich mit der Veröffentlichung gestohlenen Quellcodes.

Alle 14 Angeklagten befinden sich weiterhin auf freiem Fuß, es liegen keine bestätigten Festnahmen vor. Wie viele der über 100 betroffenen US-Unternehmen die Infiltration bereits vorher bemerkten, bleibt in der Anklage offen.

Das Oberlandesgericht Köln wies am 23.05.2025 einen Eilantrag der Verbraucherzentrale NRW gegen Meta Platforms Ireland ab, mit dem die Nutzung öffentlicher Facebook- und Instagram-Inhalte europäischer Nutzer zum Training des KI-Modells LLaMA gestoppt werden sollte. Das Gericht sah weder einen Verstoß gegen die DSGVO noch gegen den Digital Markets Act, da Meta sich auf ein berechtigtes Interesse stützen könne. Meta durfte die Datenverarbeitung deshalb ab dem 27.05.2025 wie geplant beginnen.

Der Beschluss erging nur im Eilverfahren; ein Hauptsacheverfahren zur endgültigen datenschutzrechtlichen Bewertung war zum Zeitpunkt der Quelle noch nicht abgeschlossen. Auch ein separates Dringlichkeitsverfahren des Hamburgischen Datenschutzbeauftragten lief parallel.

Die EU-Kommission verhängte am 23. April 2025 gegen Apple ein Bußgeld von 500 Millionen Euro, weil das Unternehmen gegen die Anti-Steering-Pflichten des Digital Markets Act verstoßen hat. Apple erlaubte App-Entwicklern demnach nicht ausreichend, Nutzer im App Store auf günstigere Kaufoptionen außerhalb der Plattform hinzuweisen. Es handelt sich um die erste Bußgeldentscheidung der Kommission unter dem DMA, parallel wurde Meta mit 200 Millionen Euro belegt. Apple legte im Juli 2025 Rechtsmittel gegen die Entscheidung ein.

Offen ist der Ausgang von Apples Berufung vor dem Gericht der EU, das Verfahren war zum Zeitpunkt der Recherche noch nicht entschieden. Nicht dokumentiert sind interne Abwägungen bei Apple zur Preisgestaltung der App-Store-Gebühren.

Am 08.11.2023 legte die Ransomware-Gruppe LockBit die IT-Systeme von ICBC Financial Services lahm, der US-Tochter der chinesischen Großbank ICBC. Die Angreifer nutzten eine Citrix-NetScaler-Schwachstelle aus, blockierten E-Mail-Zugänge und die Anbindung an die Clearingstelle DTCC, sodass zahlreiche Trades mit US-Staatsanleihen nicht fristgerecht abgewickelt werden konnten. Am 20.02.2024 bestätigte das US-Finanzministerium mit Sanktionen gegen zwei mutmaßliche LockBit-Mitglieder offiziell den Zusammenhang mit dem Angriff.

Ob und in welcher Höhe ICBC tatsächlich ein Lösegeld zahlte, ist offiziell nicht bestätigt, LockBit behauptete lediglich eine erfolgte Zahlung. Das genaue Ausmaß der Marktstörung bleibt umstritten, Analysen nennen einen Anstieg gescheiterter Trades auf rund 60 Milliarden US-Dollar.

Western Digital bestätigte, dass am 26. März 2023 ein unbefugter Dritter in Firmensysteme eindrang, woraufhin der My-Cloud-Dienst und der Online-Shop tagelang abgeschaltet wurden. Das Unternehmen bestätigte, dass eine Kopie der Online-Shop-Datenbank mit Kundennamen, Adressen, E-Mail-Adressen und Teilen von Kreditkartennummern entwendet wurde. Die Ransomware-Gruppe ALPHV/BlackCat reklamierte den Angriff für sich und behauptete, rund 10 Terabyte an Daten erbeutet zu haben.

Der von den Angreifern behauptete Umfang von rund 10 Terabyte gestohlener Daten ist nicht unabhängig verifiziert, ebenso wenig eine tatsächliche Lösegeldzahlung. Western Digital bestätigte offiziell nur den Diebstahl der Online-Shop-Kundendatenbank.

Am 3. November 2022 reichten anonyme Programmierer beim US-Bezirksgericht in Nordkalifornien eine Sammelklage gegen GitHub, Microsoft und OpenAI ein. Sie werfen den Firmen vor, den KI-Assistenten Copilot mit Milliarden Zeilen öffentlichem Code trainiert und dabei Lizenzpflichten wie Namensnennung aus Open-Source-Lizenzen wie GPL und MIT verletzt zu haben. Am 22. Januar 2024 wies der zuständige Richter 20 von 22 Klagepunkten ab, ließ aber die Vertragsbruchklage und Teile der DMCA-Klage zu.

Ob Copilot tatsächlich urheberrechtlich geschützten Code unzulässig reproduziert und ob sich die Firmen erfolgreich auf Fair Use berufen können, ist gerichtlich bisher nicht entschieden. Das Verfahren läuft weiter, ein Endurteil oder Vergleich steht noch aus.

Der US Supreme Court entschied am 22. Juni 2018 mit 5 zu 4 Stimmen, dass der Zugriff von Ermittlungsbehörden auf historische Handystandortdaten (Cell Site Location Information) eine Durchsuchung im Sinne des vierten Verfassungszusatzes darstellt und daher grundsätzlich einen richterlichen Durchsuchungsbefehl erfordert. Grundlage war der Fall Timothy Carpenter, dessen Bewegungsprofil über 127 Tage mit rund 12.898 Standortpunkten ohne Durchsuchungsbefehl beim Mobilfunkanbieter angefordert worden war. Die Mehrheitsmeinung lehnte eine Anwendung der bisherigen Third Party Doctrine auf diese Datenkategorie ab.

Offen bleibt, wie die Regel auf andere Formen der Standort- oder Metadatenerhebung anzuwenden ist, etwa Echtzeit-Tracking, Kameranetzwerke oder Datensammlungen unter sieben Tagen. Das Urteil äußert sich ausdrücklich nicht zu Notfallsituationen, nationaler Sicherheit oder Echtzeitüberwachung.

Der US Supreme Court entschied am 25. Juni 2014 einstimmig im Fall Riley v. California (573 U.S. 373), dass die Polizei bei einer Festnahme grundsätzlich einen Durchsuchungsbefehl braucht, um die digitalen Inhalte eines beschlagnahmten Mobiltelefons zu durchsuchen. Auslöser war der Fall des Angeklagten David Riley, dessen Handy nach seiner Festnahme 2009 ohne Durchsuchungsbefehl ausgewertet wurde, wobei gefundene Daten ihn mit einer Schießerei und Gangaktivität in Verbindung brachten. Das Gericht stellte klar, dass die bisherige Ausnahme für Durchsuchungen bei Festnahmen wegen der riesigen Datenmenge auf modernen Smartphones nicht automatisch gilt.

Offen bleibt, wie die Grundsatzentscheidung in der Praxis auf Grenzfälle wie Cloud-Daten, verschlüsselte Geräte oder Notfallsituationen angewendet wird. Nicht Teil des Urteils sind spätere technische Entwicklungen wie biometrische Entsperrung oder die genaue Reichweite bei Grenzkontrollen.

Der US Supreme Court entschied am 23. Januar 2012 einstimmig im Fall United States v. Jones, dass das heimliche Anbringen eines GPS-Senders an einem Fahrzeug durch die Polizei und die anschließende Standortüberwachung eine Durchsuchung im Sinne des Vierten Verfassungszusatzes darstellen. Ermittler hatten den Sender außerhalb der im Durchsuchungsbefehl erlaubten Frist angebracht und die Fahrzeugbewegungen 28 Tage lang aufgezeichnet, was über 2000 Seiten Standortdaten ergab.

Offen blieb im Mehrheitsvotum, ob auch eine rein elektronische Standortverfolgung ohne physisches Anbringen eines Geräts künftig einen Durchsuchungsbefehl erfordert. Nur die Sondervoten thematisierten Grenzen für die Dauer verdachtsunabhängiger Langzeitüberwachung, ohne dass die Mehrheit dazu eine verbindliche Regel aufstellte.