Quellen-Tabelle

Der Court of Appeal entschied am 11. August 2020 im Fall R (Bridges) gegen Chief Constable of South Wales Police, dass der Einsatz automatisierter Gesichtserkennung (AFR Locate) durch die South Wales Police zwischen 2017 und 2019 rechtswidrig war. Das Gericht stellte einen Verstoß gegen Artikel 8 EMRK fest, weil die Rechtsgrundlage zu viel Ermessen bei Ort und Auswahl der Überwachten ließ. Zusätzlich fehlte eine ordnungsgemäße Datenschutz-Folgenabschätzung.

Offen blieb, ob der eingesetzte Algorithmus tatsächlich rassistisch oder geschlechtsspezifisch verzerrte Ergebnisse lieferte. Das Gericht bemängelte nur das Fehlen einer entsprechenden Prüfung, nicht einen nachgewiesenen Bias. Das Urteil erklärte Gesichtserkennung durch die Polizei nicht grundsätzlich für unzulässig.

Die US-Bank Evolve Bank & Trust bestätigte einen Ransomware-Angriff der Gruppe LockBit zwischen Februar und Mai 2024, ausgelöst durch einen Mitarbeiter, der auf einen schädlichen Link klickte. Die Täter erbeuteten Namen, Sozialversicherungsnummern, Kontodaten und Kontaktinformationen von Kunden der Bank sowie von Kunden ihrer Fintech-Partner. Nach der Weigerung, Lösegeld zu zahlen, veröffentlichte LockBit die Daten.

Die Angaben zur Gesamtzahl der Betroffenen schwanken je nach Quelle zwischen 7,6 Millionen und rund 18 Millionen Personen. Ein Vergleich über rund 11,85 Millionen US-Dollar wurde im Dezember 2025 gerichtlich final bestätigt. Nicht öffentlich dokumentiert ist, in welchem Umfang die gestohlenen Daten tatsächlich für Identitätsdiebstahl missbraucht wurden.

Am 22.09.2017 teilte Transport for London mit, dass die Betriebslizenz von Uber London Limited nach Ablauf nicht verlängert wird, weil das Unternehmen nicht als geeignet gilt. TfL nannte vier Gründe: den Umgang mit der Meldung schwerer Straftaten von Fahrern, die Art der Beschaffung ärztlicher Bescheinigungen und Führungszeugnisse sowie den Einsatz der Software Greyball, mit der Behördenmitarbeitern der volle App-Zugriff verwehrt werden konnte.

TfL bezifferte keine konkrete Zahl betroffener Fahrer oder Fahrgäste und stützte die Entscheidung auf Unternehmensverhalten, nicht auf einen einzelnen nachgewiesenen Datenschutzvorfall. Am 26.06.2018 erteilte das Westminster Magistrates' Court Uber unter Auflagen eine befristete neue Lizenz, sodass der ursprüngliche Entzug nicht dauerhaft wirksam wurde.

Der US Supreme Court entschied am 11. Juni 2001 mit 5 zu 4 Stimmen im Fall Kyllo gegen USA, dass der Einsatz einer Wärmebildkamera durch Bundesagenten am Wohnhaus eines Verdächtigen ohne Durchsuchungsbefehl eine unzulässige Durchsuchung im Sinne des vierten Verfassungszusatzes darstellte. Das Wärmebild diente als Grundlage für einen späteren Durchsuchungsbefehl, bei dem eine Marihuana-Plantage im Haus gefunden wurde. Die Mehrheitsmeinung stellte den Grundsatz auf, dass der Einsatz nicht allgemein verbreiteter Technologie zur Erfassung von Details eines Privathauses einen Durchsuchungsbefehl erfordert.

Nicht Gegenstand des Urteils war, ob die Polizei auch ohne die Wärmebilddaten ausreichenden Tatverdacht gehabt hätte. Offen blieb zudem, wie der Maßstab der nicht allgemein verbreiteten Technologie bei künftigen technischen Entwicklungen anzuwenden ist.

Im Verfahren In re Facebook Biometric Information Privacy Litigation genehmigte das Gericht am 26.02.2021 einen Vergleich über 650 Millionen US-Dollar. Grundlage war der Vorwurf, Facebooks Funktion Tag Suggestions habe per Gesichtserkennung biometrische Gesichtsdaten von Nutzern in Illinois gespeichert, ohne die vom Illinois Biometric Information Privacy Act (BIPA) vorgeschriebene schriftliche Einwilligung einzuholen. Rund 1,6 Millionen Facebook-Nutzer aus Illinois waren anspruchsberechtigt und erhielten mindestens 345 US-Dollar pro Person, es handelte sich um den bis dahin höchsten Vergleichsbetrag in einem Datenschutzverfahren in den USA.

Aus den Quellen geht nicht hervor, dass Facebook im Vergleich ein Fehlverhalten eingeräumt hat, das Unternehmen bestritt die Vorwürfe weiterhin. Nicht abschließend belegt ist, wie viele der 1,6 Millionen Berechtigten tatsächlich einen Antrag stellten, Berichten zufolge lag die Abrufquote bei etwa 22 Prozent.

Im Juni 2024 einigte sich Clearview AI mit den Klägern der Sammelklage In re Clearview AI Consumer Privacy Litigation auf einen Vergleich, wonach die Klassenmitglieder statt einer Geldzahlung einen Anteil von 23 Prozent an Clearview AI erhalten sollten, damals mit rund 51,75 Millionen US-Dollar bewertet. Die zuständige US-Bezirksrichterin bestätigte den Vergleich am 20.03.2025 endgültig. Am 13.07.2026 hob das US-Berufungsgericht für den Siebten Bezirk die Genehmigung wieder auf, weil für die bundesweite Klasse kein eigener Klassenvertreter mitgewirkt hatte.

Offen bleibt, ob und wann ein neuer Vergleich mit separater Vertretung der bundesweiten Klasse zustande kommt und welchen tatsächlichen Geldwert die Klassenmitglieder am Ende erhalten, da der Wert weiterhin an einen ungewissen Börsengang oder Verkauf von Clearview AI gebunden wäre.

Der kalifornische Generalstaatsanwalt einigte sich im August 2022 mit dem Kosmetikhändler Sephora auf eine Zahlung von 1,2 Millionen US-Dollar. Grund war der erste große CCPA-Durchsetzungsfall: Sephora ließ Drittanbieter per Tracking-Pixel und Cookies Nutzerdaten sammeln, ohne dies als Datenverkauf offenzulegen, und ignorierte Opt-out-Signale über Global Privacy Control. Sephora musste seine Datenschutzerklärung anpassen und Opt-out-Mechanismen einführen.

Sephora räumte im Vergleich keine Rechtsverletzung ein, da es sich um einen Consent Decree ohne Schuldeingeständnis handelt. Offen bleibt, wie viele Nutzer konkret betroffen waren und welche der beteiligten Drittanbieter die Daten wofür genau weiterverwendeten.

Im Rahmen der vom deutschen Bundeskriminalamt geleiteten und von Europol koordinierten Operation Talent nahmen Behörden aus acht Ländern zwischen dem 28. und 30. Januar 2025 die Cybercrime-Foren Cracked und Nulled sowie den zugehörigen Zahlungsdienstleister Sellix und Hoster StarkRDP vom Netz. Die beiden Plattformen hatten zusammen über 10 Millionen registrierte Nutzerkonten. Es wurden zwei Personen in Spanien festgenommen, 12 Domains sowie 17 Server beschlagnahmt, dazu rund 300.000 Euro in Bargeld und Kryptowährungen.

Offen bleibt das genaue Gesamtausmaß der über die Foren abgewickelten kriminellen Umsätze. Nicht öffentlich dokumentiert ist, wie viele der acht identifizierten mutmaßlichen Hauptbetreiber inzwischen tatsächlich strafrechtlich verurteilt wurden, da Verfahren in mehreren Ländern noch liefen.

Der texanische Generalstaatsanwalt Ken Paxton verklagte General Motors im August 2024 wegen unrechtmäßiger Sammlung und Weitergabe von Fahrverhaltensdaten. Über das Programm OnStar Smart Driver sammelte GM in Fahrzeugen ab Modelljahr 2015 Daten wie Geschwindigkeit und Bremsverhalten und verkaufte diese an Datenmakler, die daraus Driving Scores für Versicherer erstellten.

Ob GM Kunden aktiv täuschte oder ob die Anmeldung ohne echte Zustimmung erfolgte, war zum Zeitpunkt der Klageeinreichung rechtlich noch nicht entschieden. Die Klage fordert Geldstrafen und die Löschung der gesammelten Daten, ein Urteil oder Vergleich stand noch aus.

Die Datenschutzbehörden von Bund, Québec, British Columbia und Alberta stellten am 03.02.2021 in einer gemeinsamen Untersuchung fest, dass Clearview AI mit einer Datenbank aus über drei Milliarden aus dem Internet gescrapten Fotos gegen kanadisches Datenschutzrecht verstieß. Das Unternehmen sammelte biometrische Gesichtsdaten ohne Einwilligung, was gegen PIPEDA sowie die Datenschutzgesetze der drei Provinzen verstieß. Die Behörden forderten Clearview auf, das Angebot für kanadische Kunden einzustellen und bereits gesammelte Bilder zu löschen.

Wie viele Personen in Kanada konkret betroffen waren, blieb offen. Clearview AI wies die Empfehlungen größtenteils zurück und setzte die geforderte Löschung nicht vollständig um. Der einzige kanadische Kunde, die RCMP, hatte die Nutzung bereits im Juli 2020 eigenständig beendet.

Die französische Datenschutzbehörde CNIL verhängte am 15. Juni 2023 ein Bußgeld von 40 Millionen Euro gegen die Ad-Tech-Firma Criteo. Criteo setzte auf Partnerseiten Tracking-Cookies für verhaltensbasierte Werbung ein, konnte aber für rund 370 Millionen Nutzerprofile keine gültige Einwilligung nachweisen. Die CNIL stellte fünf DSGVO-Verstöße fest, unter anderem fehlenden Einwilligungsnachweis und mangelhafte Reaktion auf Löschanfragen. Der französische Staatsrat bestätigte die Sanktion im März 2026 endgültig.

Offen bleibt, wie viele der 370 Millionen betroffenen Identifikatoren konkret auf EU-Bürger entfielen und in welchem Umfang die gesammelten Daten tatsächlich für schädliche Zwecke genutzt wurden. Die genaue Zusammensetzung der finanziellen Vorteile, die Criteo laut CNIL erzielte, wurde nicht im Detail beziffert.

Die irische Datenschutzbehörde DPC verhängte am 9. Dezember 2020 ein Bußgeld von 450.000 Euro gegen Twitter International Company. Grund war ein Verstoß gegen Artikel 33 DSGVO, weil Twitter eine Datenpanne aus Dezember 2018 nicht fristgerecht innerhalb von 72 Stunden meldete. Die Panne machte durch einen Programmierfehler geschützte Tweets bestimmter Nutzer öffentlich sichtbar und betraf mindestens 88.726 Nutzer in der EU. Das Verfahren war das erste, das den Artikel-65-Streitbeilegungsmechanismus der DSGVO durchlief.

Offen bleibt, wie lange der zugrunde liegende Programmierfehler unentdeckt bestand, Berichte nennen als möglichen Beginn bereits das Jahr 2014. Nicht öffentlich dokumentiert ist der genaue interne Ablauf bei Twitter zwischen Entdeckung und Meldung an die DPC.

Australien verabschiedete am 6. Dezember 2018 den Telecommunications and Other Legislation Amendment (Assistance and Access) Act, der am 8. Dezember 2018 in Kraft trat. Das Gesetz verpflichtet Kommunikationsanbieter über drei Stufen zur Mithilfe bei der Entschlüsselung von Kommunikation, mit Bußgeldern bis zu 10 Millionen australischen Dollar bei Nichtbefolgung. Australien war damit das erste westliche Land mit einer solchen gesetzlichen Verpflichtung, wogegen Apple, Google, WhatsApp und weitere Unternehmen öffentlich protestierten.

Nicht öffentlich dokumentiert ist, in welchem Umfang die australische Regierung tatsächlich Technical Capability Notices erlassen hat, da diese vertraulich gehalten werden können. Offen bleibt zudem, ob einzelne Unternehmen tatsächlich systemische Schwachstellen einbauen mussten, was der Gesetzestext nominell ausschließt.

Die gemeinsame Untersuchung von vier kanadischen Datenschutzbehörden ergab, dass die Tim-Hortons-App den Standort von rund 1,6 Millionen Nutzern auch dann kontinuierlich alle paar Minuten erfasste, wenn die App geschlossen war. Die Daten wurden genutzt, um Wohn- und Arbeitsorte sowie Besuche bei Konkurrenzcafés abzuleiten, obwohl Tim Hortons die geplante ortsbasierte Werbung nie umsetzte. Tim Hortons stimmte zu, verbleibende Standortdaten zu löschen und ein Datenschutzprogramm einzuführen.

Die genaue Zahl der tatsächlich betroffenen Nutzer und der exakte Umfang der bereits erfolgten Datennutzung bleiben in der öffentlichen Zusammenfassung unklar. Offen bleibt zudem, ob und in welchem Umfang die gesammelten Standortdaten an Dritte weitergegeben wurden.

Am 02.04.2024 veröffentlichte das US-Heimatschutzministerium den Bericht des Cyber Safety Review Board zur Exchange-Online-Cyberspionage im Sommer 2023. Die mit China verbundene Gruppe Storm-0558 griff ab dem 15.05.2023 mit gefälschten Authentifizierungs-Tokens auf E-Mail-Postfächer von rund 25 Organisationen zu, darunter das US-Außenministerium. Die Angreifer nutzten einen gestohlenen Microsoft-Signaturschlüssel aus dem Jahr 2016. Der CSRB bewertete den Einbruch als vermeidbar.

Wie genau der Signaturschlüssel bei Microsoft entwendet wurde, blieb laut CSRB-Bericht ungeklärt. Microsofts eigene Erklärung, der Schlüssel sei über einen Absturzbericht abgeflossen, fand der CSRB durch keine Logs oder Beweise belegt.

Verizon meldete der Maine Attorney General am 07.02.2024 einen Vorfall vom 21.09.2023, bei dem ein eigener Mitarbeiter unbefugt auf eine Datei mit Personaldaten zugriff. Betroffen waren 63.206 aktuelle und ehemalige Mitarbeiter, deren Namen, Adressen, Geburtsdaten und Sozialversicherungsnummern in der Datei enthalten waren. Verizon entdeckte den Vorfall am 12.12.2023 und stufte ihn als unbeabsichtigte interne Offenlegung ein.

Nicht belegt ist, ob und in welchem Umfang die Daten tatsächlich außerhalb von Verizon weiterverbreitet oder missbraucht wurden. Auch die Identität und Motivation des betroffenen Mitarbeiters wurden von Verizon nicht öffentlich benannt.

Die BfDI verhängte am 03.06.2025 gegen Vodafone Deutschland Bußgelder von insgesamt 45 Millionen Euro, das bis dahin höchste DSGVO-Bußgeld der Behörde. 15 Millionen Euro betrafen mangelhafte Kontrolle von Vertriebspartneragenturen, bei denen Mitarbeitende fingierte Verträge zulasten von Kunden abschlossen. 30 Millionen Euro betrafen Sicherheitslücken im Authentifizierungsprozess zwischen dem Portal MeinVodafone und der Kundenhotline, über die Unbefugte auf eSIM-Profile zugreifen konnten.

Offen bleibt, wie viele Kunden konkret von den Betrugsfällen oder dem unbefugten eSIM-Zugriff tatsächlich betroffen waren, da die Pressemitteilung keine genaue Fallzahl nennt. Nicht dokumentiert ist zudem, ob einzelne Kunden Schadensersatz erhielten.

Der EuGH entschied am 27.02.2025 in der Rechtssache C-203/22, dass Betroffene bei automatisiertem Bonitätsscoring einen Anspruch auf präzise und verständliche Erläuterung der konkret angewandten Verfahren haben. Ausgangspunkt war eine Beschwerde gegen die Auskunftei Dun & Bradstreet Austria (vormals Bisnode Austria), die einem Mobilfunkkunden per automatisierter Bewertung die Bonität abgesprochen hatte. Geschäftsgeheimnisse rechtfertigen laut Urteil keine pauschale Auskunftsverweigerung.

Das Urteil ist eine Vorabentscheidung zur DSGVO-Auslegung, kein Bußgeldbescheid. Ob die österreichische Datenschutzbehörde am Ende ein Bußgeld gegen die Auskunftei verhängte, geht aus dieser Quelle nicht hervor. Wie der ursprüngliche Fall nach Zurückverweisung konkret endete, bleibt offen.

Der EuGH entschied am 20.09.2022 in den verbundenen Rechtssachen C-793/19 (SpaceNet) und C-794/19 (Telekom Deutschland), dass Unionsrecht einer allgemeinen und unterschiedslosen Vorratsspeicherung von Verkehrs- und Standortdaten entgegensteht, außer bei ernster Bedrohung der nationalen Sicherheit. Die Internetanbieter SpaceNet AG und Telekom Deutschland hatten die Speicherpflicht nach dem deutschen Telekommunikationsgesetz vor deutschen Gerichten angefochten. Das Bundesverwaltungsgericht hatte den Fall im September 2019 dem EuGH zur Vorabentscheidung vorgelegt.

Die tatsächliche Eilaussetzung der Vollzugspraxis erfolgte bereits 2017 durch das OVG Münster, während das Bundesverwaltungsgericht erst am 14.08.2023 endgültig über die Unionsrechtswidrigkeit der deutschen Regelung entschied. Offen blieb nach dem EuGH-Urteil zunächst, wie der deutsche Gesetzgeber die zulässigen Ausnahmen wie IP-Adressenspeicherung oder Quick-Freeze-Verfahren konkret umsetzt.

Der Bayerische Verfassungsgerichtshof erklärte am 14. Juni 2023 den erweiterten polizeilichen Präventivgewahrsam nach Art. 20 PAG mit einer Höchstdauer von bis zu zwei Monaten für vereinbar mit der Bayerischen Verfassung. Eine Popularklage gegen mehrere PAG-Vorschriften wurde vom Gericht teils als unzulässig, teils als unbegründet abgewiesen.

Ob der Gefahrenbegriff drohende Gefahr selbst für präventive Polizeimaßnahmen mit höherrangigem Recht vereinbar ist, prüfte das Gericht nicht abschließend, da die entsprechende Rüge als nicht ausreichend begründet eingestuft wurde. Ein separates Verfahren zu genau dieser Frage läuft seit 2026 vor dem Bundesverfassungsgericht.

Das Bundesverfassungsgericht verwarf am 8. Juni 2021 eine Verfassungsbeschwerde gegen § 54 Abs. 2 des baden-württembergischen Polizeigesetzes als unzulässig, das heimliche Überwachung durch Ausnutzung von IT-Sicherheitslücken erlaubt. Der Senat stellte grundsätzlich fest, dass der Staat eine grundrechtliche Schutzpflicht für die Sicherheit informationstechnischer Systeme trägt und Behörden bei Kenntnis unbekannter Schwachstellen den Nutzen einer Ausnutzung gegen das Risiko für Dritte abwägen müssen.

Nicht entschieden wurde, ob die konkrete Schutzpflicht im vorliegenden Fall tatsächlich verletzt wurde. Offen blieb auch, wie die Abwägungspflicht zwischen Offenlegung an Hersteller und behördlicher Nutzung von Sicherheitslücken in der Praxis konkret auszugestalten ist.

Laut SEC-Meldung von Coinbase bestachen Angreifer mehrere externe Support-Mitarbeiter, um Kundendaten aus internen Systemen zu stehlen. Betroffen waren rund 69.461 Nutzer, erbeutet wurden unter anderem Namen, Adressen, maskierte Sozialversicherungsnummern und Ausweisfotos. Am 11. Mai 2025 forderten die Täter 20 Millionen Dollar Lösegeld, Coinbase lehnte die Zahlung ab und setzte stattdessen eine Belohnung von 20 Millionen Dollar für Hinweise aus.

Offen bleibt die genaue Zahl und Identität aller bestochenen Support-Mitarbeiter sowie das vollständige Ausmaß der internen Dokumente, die abgeflossen sind. Nicht abschließend beziffert ist der tatsächliche finanzielle Gesamtschaden durch Betrugsfälle bei betroffenen Kunden.

Am 13. Juni 2025 stellte die kanadische Fluggesellschaft WestJet fest, dass sich ein unbefugter Dritter Zugriff auf interne Systeme verschafft hatte, wodurch App und Website zeitweise eingeschränkt waren. Betroffen waren Daten aus einigen Buchungen sowie begrenzte Mitarbeiterdaten, jedoch keine Zahlungskartendaten oder Passwörter. WestJet informierte FBI, das kanadische Cybersicherheitszentrum und die Datenschutzbehörde.

Die genaue Zahl der betroffenen Personen wird von WestJet selbst nicht offiziell genannt, Medienberichte sprechen von rund 1,2 Millionen betroffenen Kunden. Die Identität der Angreifer und der genaue Einbruchsvektor wurden nicht veröffentlicht.

Aflac bestätigte am 20. Juni 2025, dass Angreifer am 12. Juni 2025 per Social Engineering in US-Systeme eindrangen und dabei Sozialversicherungsnummern, Gesundheitsdaten und Schadensfallinformationen abgriffen. Sicherheitsforscher ordneten den Angriff der Gruppe Scattered Spider zu, die im gleichen Zeitraum weitere US-Versicherer attackierte. Laut einer Meldung vom Februar 2026 waren fast 13,9 Millionen Personen mit betroffenen Gesundheitsdaten registriert.

Die Zuordnung zur Gruppe Scattered Spider stammt von Sicherheitsforschern, nicht von einer offiziellen Bestätigung Aflacs. Offen bleibt, ob und in welchem Umfang die gestohlenen Daten tatsächlich für Betrug missbraucht wurden.

Google bestätigte im August 2025 einen Datendiebstahl aus einer eigenen Salesforce-Instanz durch die Gruppe ShinyHunters, von Google als UNC6040 und UNC6240 verfolgt. Die Angreifer riefen per Voice Phishing Mitarbeitende an, gaben sich als vertrauenswürdige Kollegen aus und brachten sie dazu, eine manipulierte Version der Salesforce-Data-Loader-App zu autorisieren. Betroffen waren vor allem Kontaktdaten kleiner und mittlerer Geschäftskunden wie Firmennamen, E-Mail-Adressen und Telefonnummern, zusätzlich waren OAuth-Tokens der Drift-Plattform kompromittiert.

Passwörter oder Finanzdaten waren nach Googles eigener Darstellung nicht betroffen, diese Einschätzung stammt jedoch vom betroffenen Unternehmen selbst. Die vollständige Liste der betroffenen Google-Geschäftskunden sowie die genaue Zahl der kompromittierten Datensätze wurde nicht veröffentlicht.