Quellen-Tabelle

Am 07.04.2024 bot ein Hacker unter dem Namen USDoD auf dem Kriminalmarktplatz Breached eine Datenbank mit angeblich 2,9 Milliarden Datensätzen zu US-Bürgern an (277,1 GB), darunter vollständige Namen, aktuelle und frühere Adressen, Sozialversicherungsnummern, Geburtsdaten und Telefonnummern. Der Datendiebstahl beim Data Broker National Public Data begann im Dezember 2023, der eigentliche Abfluss ab April 2024. Am 02.10.2024 meldete das Unternehmen Insolvenz an, mit geschätztem Vermögen von nur 25.000 bis 75.000 USD. Generalstaatsanwälte aus über 20 US-Bundesstaaten fordern Bußgelder, rund 20 Sammelklagen sowie FTC-Ermittlungen laufen parallel.

Die Zahl von 2,9 Milliarden Datensätzen stammt aus der Eigenangabe des Angreifers beim Verkaufsangebot, nicht aus einer unabhängigen forensischen Verifikation der exakten Datensatzmenge.

Am 07.03.2021 lehnte die Schweizer Stimmbevölkerung mit knapp zwei Dritteln Nein-Stimmen ein E-ID-Gesetz ab, das eine private Firma mit der Ausgabe der elektronischen Identität beauftragt hätte. Das Parlament verabschiedete am 20.12.2024 ein neues E-ID-Gesetz, bei dem der Staat die technische Infrastruktur betreibt und auf Open-Source-Komponenten setzt. Über diese zweite Vorlage stimmte die Schweiz am 28.09.2025 erneut ab, nachdem ein Referendum mit 55.344 gültigen Unterschriften zustande gekommen war.

Das Ergebnis der Abstimmung vom 28.09.2025 selbst ist aus den vorliegenden Quellen nicht mit belastbarer Zahl belegt und wird hier bewusst nicht behauptet.

Das Produkt Draft One des Bodycam-Herstellers Axon nutzt eine angepasste ChatGPT-Variante, um aus dem Audio von Bodycam-Aufnahmen automatisch Entwürfe für Polizeiberichte zu erstellen, einsatzbereit binnen fünf Minuten nach Aufnahmeende. Die EFF kritisiert, dass es keine praktikable Möglichkeit gibt zu prüfen, welche Teile eines fertigen Berichts von der KI stammen und welche ein Beamter bearbeitet hat: Der KI-Entwurf verschwindet nach der Überarbeitung spurlos. Zudem entschied sich fast jede befragte Polizeibehörde gegen die Option, Draft One für bestimmte Deliktarten zu deaktivieren; eine Behörde nutzte die Software für über 900 Berichte, von Wohlfahrtschecks bis zu Entführungs- und Körperverletzungsfällen.

Belegt ist die fehlende Nachvollziehbarkeit der KI-Textanteile am fertigen Bericht. Ob dadurch bereits konkrete Fehlurteile oder Strafverfahren beeinflusst wurden, ist aus dieser Quelle nicht belegt.

Der britische Online Safety Act erhielt im Oktober 2023 königliche Zustimmung und gibt der Regulierungsbehörde Ofcom Befugnisse, Maßnahmen gegen illegale Inhalte auf Messaging-Plattformen zu verlangen, faktisch bis hin zu client-seitigem Scannen verschlüsselter Nachrichten vor deren Verschlüsselung. Signal-Präsidentin Meredith Whittaker erklärte, Signal werde Großbritannien 'absolut, zu 100 Prozent' verlassen, statt seine Verschlüsselung zu schwächen. Die britische Regierung drängt Ofcom, im Rahmen des Gesetzes Verschlüsselungs-Backdoors zu untersuchen; ein entsprechender Bericht ist für April 2026 angekündigt.

Ob Signal den Rückzug aus Großbritannien tatsächlich vollzogen hat, ist aus dieser Quelle (Stand der Ankündigung 2023, Bericht erst für April 2026 angekündigt) nicht belegt.

Weil die europäischen Hauptsitze von Meta, TikTok, X/Twitter und WhatsApp in Irland liegen, ist die irische Datenschutzbehörde (DPC) für die meisten grenzüberschreitenden Verfahren gegen diese Konzerne federführend zuständig. Johnny Ryan vom Irish Council for Civil Liberties nennt Irland den 'schlimmsten Flaschenhals' der DSGVO-Durchsetzung. Verfahren gegen Meta, X/Twitter und WhatsApp zogen sich über Jahre und mussten teils vom Europäischen Datenschutzausschuss (EDPB) korrigiert werden, weil andere Behörden die irischen Entwurfsentscheidungen als zu schwach ansahen. Andere EU-Staaten müssen auf irische Entwurfsentscheidungen warten, bevor sie selbst tätig werden können.

Die Kritik am 'Flaschenhals' stammt von zivilgesellschaftlicher Seite (ICCL) und wird von anderen Aufsichtsbehörden geteilt; eine offizielle Selbsteinschätzung der irischen DPC mit dieser Formulierung liegt hier nicht vor.

Am 06.07.2021 wurden Server des Landkreises Anhalt-Bitterfeld durch die Ransomware-Gruppe 'Pay or Grief' verschlüsselt. Der Landkreis zahlte kein Lösegeld und rief am 09.07.2021 den Katastrophenfall aus, laut BSI der erste Fall in Deutschland, der auf einen Cyberangriff zurückgeht. In der Folge konnten zeitweise keine Sozialleistungen ausgezahlt und keine Bürgerdienste erbracht werden; die Angreifer luden zusätzlich abgeflossene Daten ins Darknet hoch. Der Katastrophenfall wurde erst im Februar 2022 aufgehoben, die Gesamtkosten des Angriffs beliefen sich auf rund 2,5 Millionen Euro.

Welche konkreten Bürgerdaten dauerhaft kompromittiert blieben, ist aus dieser Quelle nicht im Detail beziffert.

Die Initiative 'Project Red Card' vertritt über 850 Profifußballer aus Premier League, National League, EFL und schottischer Premiership und fordert Entschädigung dafür, dass Wett- und Gaming-Unternehmen ihre Leistungsdaten (u. a. Lauf- und Positionsdaten) ohne ausreichende Rechtsgrundlage sammeln und verwerten. Die Global Sports Data and Technology Group verschickte vorprozessuale Aufforderungsschreiben an 17 Unternehmen, die mit Spielerdaten im Wett- und Gaming-Sektor handeln, mit der Begründung, die Datenverarbeitung verstoße gegen Datenschutzrecht.

Der Ausgang etwaiger Gerichtsverfahren und eine mögliche Entschädigungssumme sind aus dieser Quelle nicht belegt; es handelt sich um vorprozessuale Forderungen.

Am 05.02.2021 wurde gemeldet, ein Hacker habe sich per Fernzugriff in die Steuerung des Wasserwerks von Oldsmar, Florida, eingeklinkt und den Natriumhydroxid-Wert kurzzeitig von 100 auf 11.100 ppm erhöht, ein Vorfall, der weltweit als Beweis für die Verwundbarkeit kritischer Infrastruktur galt. Das FBI konnte in seiner Untersuchung jedoch keinen gezielten externen Cyberangriff bestätigen. Der damalige City Manager von Oldsmar erklärte später, es habe sich um ein 'Nichtereignis' gehandelt: Ein Mitarbeiter habe versehentlich die falschen Schaltflächen angeklickt und danach selbst seine Vorgesetzten informiert.

Der Fall zeigt, wie schnell ein Bedienfehler medial und politisch als Hackerangriff auf kritische Infrastruktur eingeordnet wird; eine abschließende behördliche Feststellung, was tatsächlich geschah, liegt aus dieser Quelle nicht vor.

Am 25.11.2023 griff die mit den iranischen Revolutionsgarden verbundene Gruppe CyberAv3ngers eine Pumpstation der Municipal Water Authority of Aliquippa in Pennsylvania an, indem sie über das Internet erreichbare, unzureichend gesicherte Unitronics-Industriesteuerungen (PLCs) kompromittierte und eine politische Botschaft gegen Israel auf den Displays anzeigte. Der Wasserversorger schaltete nach Entdeckung auf manuellen Betrieb um; laut Betreiber bestand zu keinem Zeitpunkt eine Gefährdung der Wasserversorgung. Bundesbehörden bestätigten, dass dieselbe Gruppe zusätzlich vier weitere Versorger und ein Aquarium angriff.

Die Behauptung, es habe zu keinem Zeitpunkt eine Gefährdung der Wasserqualität gegeben, stammt vom betroffenen Betreiber selbst, nicht von einer unabhängigen technischen Prüfung.

Im April 2019 bestätigte Amazon einen Bloomberg-Bericht, wonach weltweit Mitarbeiter einzelne Sprachaufnahmen von Alexa-Geräten anhören und transkribieren, um die Spracherkennung zu verbessern, unter anderem an Standorten in Boston, Costa Rica, Indien und Rumänien. Zwei Mitarbeiter in Bukarest gaben an, bis zu 1.000 Aufnahmen pro Schicht abzuhören. Amazon erklärte, man werte 'eine extrem kleine Zahl an Interaktionen einer zufälligen Kundengruppe' aus. Bloomberg fand jedoch heraus, dass ein Screenshot einer solchen Transkriptionsaufgabe eine Kontonummer, den Vornamen des Kunden und die Geräteseriennummer enthielt. Nutzer konnten bis zur Veröffentlichung nicht erkennen, dass ihre Alexa-Gespräche von Menschen mitgehört wurden.

Wie viele der abgehörten Aufnahmen tatsächlich versehentliche Aktivierungen ('false wake words') betrafen, bei denen private Gespräche ohne Sprachbefehl aufgezeichnet wurden, ist aus dieser Quelle nicht separat beziffert.

Nach deutschem Recht ist der Einsatz von Spionagesoftware zur heimlichen Überwachung von Personen nach § 238 StGB strafbar. Dennoch wird sogenannte Stalkerware wie mSpy oder FlexiSpy mehr oder weniger offen zur Partnerüberwachung vermarktet, was von App-Stores weder erlaubt noch geduldet wird, aber ein florierendes Geschäft bleibt. Laut Kaspersky-Erhebung führt Deutschland europaweit bei digitalem Stalking: Fast jede dritte Person hat digitales Stalking erlebt, jede zehnte gibt zu, in irgendeiner Form Stalkerware genutzt zu haben, 9 Prozent räumen offen ein, das Smartphone des Partners manipuliert zu haben. Deutsche Cybersicherheitsexperten kritisieren, dass sich die zentralen Cybercrime-Ermittlungsstellen der Bundesländer zu wenig mit dem Thema befassen.

Die Prozentangaben stammen aus einer Befragung (Selbstauskunft), nicht aus behördlicher Kriminalstatistik; die tatsächliche Zahl strafrechtlich verfolgter Fälle ist aus dieser Quelle nicht belegt.

Ein Geofence Warrant (auch Reverse Location Warrant) ist ein gerichtlicher Beschluss, mit dem US-Ermittlungsbehörden von Google alle Mobilgeräte abfragen können, die sich zu einem bestimmten Zeitpunkt in einem festgelegten geografischen Gebiet befanden, ohne vorab eine konkrete verdächtige Person zu benennen. Solche Anfragen wurden erstmals 2016 genutzt und griffen auf Googles zentrale Standortdatenbank 'Sensorvault' zu. 2023 kündigte Google an, die Standortdaten künftig primär lokal auf den Geräten der Nutzer statt zentral auf eigenen Servern zu speichern, wodurch der Konzern faktisch keinen Zugriff mehr auf sammelbare Standortverläufe für solche Sammelanfragen hat.

Die Ankündigung betrifft die Praxis bei Google; ob andere Anbieter mit zentraler Standortspeicherung ähnliche Anfragen weiterhin bedienen, ist aus dieser Quelle nicht belegt.

Journalisten von netzpolitik.org und dem Bayerischen Rundfunk erwarben im Juli 2024 über den deutschen Datenmarktplatz 'Datarade' von einem US-Datenhändler einen Datensatz mit 3,6 Milliarden Standortdatenpunkten allein für Deutschland; ein weiterer Datensatz aus demselben Monat enthielt 380 Millionen Standortdatenpunkte aus 137 Ländern, verknüpft mit rund 40.000 verschiedenen Apps. Die Standortdaten stammen als Werbe-IDs aus Smartphone-Apps, die sie sammeln und zum Zweck personalisierter Werbung weiterverkaufen. Vier identifizierte Werbe-SDKs (InMobi, BidMachine, Verve HyBid, Huawei Petal Ads) sammeln heimlich Standortdaten auf Android-Geräten, indem sie Berechtigungen der Host-App erben und die Sandbox-Trennung des Betriebssystems über WLAN- und Mobilfunk-Triangulation umgehen, ohne separate Nutzereinwilligung für die Weitergabe an Werbenetzwerke einzuholen.

Ob und wie oft diese konkreten Datensätze tatsächlich zur Re-Identifizierung einzelner Personen genutzt wurden, ist aus dieser journalistischen Untersuchung nicht mit Einzelfällen belegt.

Der DNA-Testanbieter 23andMe meldete am 23.03.2025 Insolvenz nach Chapter 11 an, was potenziell den Verkauf von Gendaten von über 15 Millionen Nutzern zur Folge hatte. Das Pharmaunternehmen Regeneron Pharmaceuticals gewann zunächst die gerichtlich überwachte Auktion am 16.05.2025 mit einem Gebot von 256 Millionen US-Dollar. In einer überraschenden Wendung genehmigte ein Insolvenzrichter jedoch stattdessen den Verkauf des Unternehmens samt Gendaten an eine gemeinnützige Organisation unter Leitung von Mitgründerin Anne Wojcicki, als Reaktion auf verbreitete Datenschutzbedenken gegen die ursprünglich geplante Übertragung an einen Dritten wie Regeneron.

Ob und wie sich die Datenschutzbedingungen für Bestandskunden durch den Eigentümerwechsel an die Stiftung tatsächlich änderten, ist aus dieser Quelle nicht im Detail belegt.

Zwischen Ende November 2018 und März 2019 wurde der finnische Psychotherapie-Anbieter Vastaamo gehackt; die Angreifer erbeuteten die Therapieakten von rund 33.000 Patienten. Nachdem CEO Ville Tapio am 28.09.2020 erstmals vom Täter kontaktiert wurde und Behörden informierte, forderte der Erpresser zunächst 40 Bitcoin (rund 450.000 Euro) vom Unternehmen. Mitte Oktober 2020 erhielten über 33.000 Patienten direkt Droh-E-Mails mit Forderungen von 200 bis 500 Euro in Bitcoin, verbunden mit der Drohung, ihre persönlichen Daten und Therapienotizen zu veröffentlichen, darunter Angaben zu psychischer Gesundheit, Missbrauch und Suizidgedanken. Der Fall löste die größte strafrechtliche Ermittlung in der finnischen Geschichte aus und führte zu Krisengesprächen der damaligen Regierung unter Ministerpräsidentin Sanna Marin. Vastaamo meldete Insolvenz an. Der später identifizierte Täter, der Finne Aleksanteri Kivimäki, wurde in Frankreich festgenommen, nach Finnland ausgeliefert und zu über sechs Jahren Haft verurteilt.

Wie viele der erpressten Patienten tatsächlich zahlten, ist aus dieser Quelle nicht beziffert.

Die von einem Berliner Start-up entwickelte Luca-App sollte Gesundheitsämtern die Kontaktnachverfolgung während der Corona-Pandemie erleichtern, geriet aber 2021 stark in die Kritik. Die Polizei Mainz griff im Rahmen von Ermittlungen zu einem Todesfall auf Besucherdaten eines Restaurants zu, die über Luca erfasst worden waren, obwohl das Infektionsschutzgesetz die Nutzung von Kontaktnachverfolgungsdaten für polizeiliche Zwecke ausdrücklich untersagt. Der baden-württembergische Datenschutzbeauftragte Stefan Brink bezeichnete dies als klaren Gesetzesverstoß. Kritiker verwiesen zudem darauf, dass Luca die Daten zentral speichert, im Gegensatz zur dezentral und transparent konzipierten, staatlichen Corona-Warn-App. Berlin kündigte an, die Nutzung von Luca ab Januar 2022 zu beenden.

Ob der beschriebene Polizeizugriff in Mainz strafrechtliche oder dienstrechtliche Konsequenzen für die beteiligten Beamten hatte, ist aus dieser Quelle nicht belegt.

Im Januar 2018 entdeckte der australische Forscher Nathan Ruser beim Durchsuchen der neuen 'Global Heatmap' des Fitness-Trackers Strava, dass Jogging-Routen mitten in der syrischen Wüste aufleuchteten, exakt an den Standorten von US- und alliierten Militärbasen. Die Heatmap fasste eine Milliarde Strava-Aktivitäten und drei Billionen GPS-Datenpunkte zusammen, aufgezeichnet zwischen 2015 und September 2017. Journalisten bestätigten, dass die Tracker-Daten unbeabsichtigt Umrisse ausländischer Basen im Irak, in Afghanistan und Syrien sowie Versorgungsrouten und Patrouillenwege preisgaben. Das US-Militär kündigte an, seine Regeln zur Nutzung von Fitness-Trackern und Apps durch Soldaten zu überprüfen; Strava sagte zu, seine Datenschutzeinstellungen zu überarbeiten.

Ob die offengelegten Standortmuster in der Folge tatsächlich für Angriffe auf die betroffenen Basen genutzt wurden, ist aus dieser Quelle nicht belegt.

Mit Amazon One können Kunden an der Kasse bezahlen, indem sie ihre Handfläche über einen Scanner halten, der die biometrischen Daten mit gespeicherten Handscans abgleicht und den Betrag vom verknüpften Amazon-Konto abbucht. Bis Ende 2023 plante Amazon, über 500 Whole-Foods-Filialen in den USA mit der Technik auszustatten, nachdem sie bereits in 200 Whole-Foods-Filialen und 200 weiteren Einzelhandelsstandorten im Einsatz war. Ein seit 2021 geltendes New Yorker Landesgesetz verpflichtet Unternehmen, mit gut sichtbaren Schildern auf die Erfassung biometrischer Daten hinzuweisen. Amazon sieht sich einer Sammelklage ausgesetzt, weil solche Hinweisschilder in den kassenlosen Amazon-Go-Filialen angeblich nicht ausreichend sichtbar angebracht waren.

Der Ausgang der Sammelklage ist aus dieser Quelle nicht belegt. Amazon selbst betont, dass nur Kunden erfasst werden, die sich aktiv für Amazon One registrieren.

Ende Januar 2022 deckte Politico auf, dass die gemeinnützige Krisenchat-Organisation Crisis Text Line (CTL) Daten aus vertraulichen Krisengesprächen mit Loris.ai teilte, einer gewinnorientierten Firmenausgründung der CTL-Mitgründerin Nancy Lublin, die damit Kundenservice-Software und Chatbots für schwierige Gespräche entwickelte, ohne Einwilligung der Hilfesuchenden. Nach öffentlichem Druck, unter anderem von einem Mitglied der US-Kommunikationsbehörde FCC und Vorstandsmitgliedern von CTL, beendete die Organisation die Datenpartnerschaft am 31.01.2022 sofort und forderte Loris.ai zur Löschung aller bereits erhaltenen Daten auf. Laut CTL hatte Loris.ai jedoch bereits seit Anfang 2020 keinen aktiven Zugriff mehr auf die Daten gehabt.

Ob Loris.ai die Löschung der Daten tatsächlich vollständig umsetzte, ist aus dieser Quelle nicht unabhängig verifiziert, sondern beruht auf der Selbstauskunft der Beteiligten.

Eine gemeinsame Recherche von The Markup und STAT News fand im Juni 2022 heraus, dass ein Drittel der 100 größten US-Krankenhäuser das Tracking-Tool Meta Pixel einsetzte, das bei jeder Terminbuchung Daten an Meta übermittelt, darunter Angaben zu Krankheitsbildern, verschriebenen Medikamenten und Terminen. Bei 33 der getesteten Krankenhäuser sendete der Meta-Pixel-Tracker bei jedem Klick auf 'Termin vereinbaren' ein Datenpaket an Facebook; bei sieben Gesundheitssystemen war der Tracker sogar innerhalb passwortgeschützter Patientenportale installiert. Fünf Monate nach der Veröffentlichung sahen sich große Klinikkonzerne wie UPMC, Advocate Aurora und Duke Health mit daraus resultierenden Klagen konfrontiert.

Ob und in welchem Umfang Meta die erhaltenen Gesundheitsdaten tatsächlich für Werbezwecke gegen einzelne Patienten nutzte, ist aus dieser Untersuchung nicht abschließend belegt; sie weist primär den Datenfluss selbst nach.

Swisscom führte im August 2016 als vermutlich erstes Schweizer Unternehmen 'Voiceprint' ein: Ein im Callcenter gespeicherter Stimmabdruck erkennt Kunden bei künftigen Anrufen automatisch anhand der Stimme, ohne dass Sicherheitsfragen nötig sind. Auch die Postfinance und weitere Banken setzten vergleichbare Stimmerkennung zur Authentifizierung ein. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) betonte, dass solche Verfahren erhebliche Risiken für Grundrechte und Freiheiten bergen, da biometrische Merkmale dauerhaft und eindeutig mit einer Person verknüpft sind. Mitte April 2019 stellte Swisscom Voiceprint ein und löschte alle gespeicherten Stimmabdrücke, mutmaßlich als Reaktion auf die wachsende Kritik an den Datenschutzimplikationen der Technologie.

Der genaue Auslöser für die Einstellung durch Swisscom (behördlicher Druck, öffentliche Kritik oder interne Entscheidung) ist aus dieser Quelle nicht eindeutig belegt, nur als Vermutung formuliert.

Im April 2018 wurde der sogenannte 'Golden State Killer' Joseph James DeAngelo mithilfe genetischer Genealogie identifiziert: Ermittler luden eine an einem Tatort von 1980 gesicherte DNA-Probe bei GEDmatch hoch, einer kostenlosen Plattform, auf der Nutzer ihre bei kommerziellen Anbietern wie 23andMe oder Ancestry erstellten DNA-Profile hochladen können, um entfernte Verwandte zu finden. Anders als 23andMe und Ancestry, die für Strafverfolgungsanfragen einen förmlichen Durchsuchungsbefehl oder Gerichtsbeschluss verlangen, benötigten die Behörden für den Zugriff auf die GEDmatch-Datenbank keinen Gerichtsbeschluss. Über Ururgroßeltern und Cousins dritten Grades rekonstruierten Genealogen einen Stammbaum, der zum Verdächtigen führte. Eine spätere wissenschaftliche Analyse zeigte, dass diese Methode etwa 60 Prozent der weißen US-Bevölkerung über verwandtschaftliche Treffer identifizierbar macht, selbst wenn die Person selbst nie einen DNA-Test gemacht hat.

Die 60-Prozent-Schätzung bezieht sich auf die weiße US-Bevölkerung und stammt aus einer wissenschaftlichen Modellrechnung, nicht aus einer Vollerhebung; Übertragbarkeit auf andere Bevölkerungsgruppen oder Länder ist aus dieser Quelle nicht belegt.

In der Nacht vom 21. auf den 22.10.2022 verschafften sich Angreifer unbefugten Zugriff auf die IT-Systeme der Kreisverwaltung Rhein-Pfalz-Kreis in Rheinland-Pfalz. Alle rund 600 Computer der Verwaltung wurden lahmgelegt, Systeme und Daten verschlüsselt. Erste Ermittlungen deuteten auf die mutmaßlich aus Russland operierende Gruppe 'Vice Society' hin. Ab dem 11.11.2022 tauchten rund 20.000 Einzeldateien der Kreisverwaltung im Darknet auf. Bürger wurden aufgefordert, ihre Konten zu überprüfen, da die Verwaltung eine Veröffentlichung vertraulicher Daten von Bürgern und Beschäftigten nicht ausschließen konnte. Die Kommunikation mit der Verwaltung war zeitweise nur noch per Brief möglich, da Telefon- und E-Mail-Systeme ausfielen; rund 750 Laptops mussten neu aufgesetzt oder komplett neu beschafft werden.

Ob und in welchem Umfang tatsächlich Bürgerdaten unter den veröffentlichten Dateien waren, ist aus dieser Quelle nicht abschließend beziffert; die Verwaltung sprach von einer nicht auszuschließenden Möglichkeit.

Laut Recherchen teilten Tesla-Beschäftigte zwischen 2019 und 2022 in internen Chats Kameraaufnahmen aus Fahrzeugen, um sich über die gefilmten Personen lustig zu machen, teils in eindeutig privaten oder heiklen Situationen, darunter eine Aufnahme einer nackten Person sowie Unfälle und riskante Fahrmanöver. Laut Teslas Datenschutzerklärung seien Kameraaufnahmen anonymisiert und nicht einem bestimmten Fahrzeug zuordenbar; sieben ehemalige Mitarbeiter gaben gegenüber Reuters jedoch an, dass die verwendete interne Software den Standort der Videos anzeigte, was Rückschlüsse auf die Fahrzeughalter ermöglichte. Deutsche Datenschützer kritisierten zusätzlich, dass neuere Tesla-Modelle mit Innenraumkameras und Umgebungsaufnahmen aus dem öffentlichen Straßenraum arbeiten, deren Daten unter Umständen in die USA übertragen werden.

Der Umfang, wie viele Kunden tatsächlich betroffen waren und ob Tesla die interne Weitergabe technisch inzwischen unterbunden hat, ist aus dieser Quelle nicht belegt.

Amnesty International dokumentierte, dass ein erheblicher Teil des für Batterien in Smartphones und Elektroautos benötigten Kobalts aus der Demokratischen Republik Kongo mit Kinderarbeit in Verbindung steht: Kinder arbeiten in einsturzgefährdeten Tunneln bis zu 12 Stunden täglich für ein bis zwei US-Dollar Tageslohn beim Abbau von Kobalterzen. 2019 wurde in den USA Klage gegen Apple, Alphabet (Google), Dell, Microsoft und Tesla eingereicht, weil diese Unternehmen Kobalt aus Minen bezögen, in denen Kinder tödlich verunglückt seien. Apple veröffentlichte als erstes Unternehmen der Branche die Namen seiner Kobaltlieferanten und gilt seither als Branchenführer im Bereich verantwortungsvoller Kobaltbeschaffung; bei einer breiteren Zulieferer-Überprüfung fand Apple bei zehn Zulieferern insgesamt 91 minderjährige Beschäftigte.

Der Ausgang der 2019 eingereichten Klage in den USA ist aus dieser Quelle nicht belegt.