Quellen-Tabelle

Anfang Oktober 2025 räumte die Schufa-Tochterfirma Bonify (Forteil GmbH) einen schwerwiegenden Sicherheitsvorfall ein. Betroffen waren Ausweisdokumente, Adressdaten sowie Fotos und Videoaufnahmen aus dem Video-Ident-Verfahren, das zur Identitätsprüfung bei der Registrierung eingesetzt wird. Zusätzlich wurden laut Bericht sensible Angaben wie Risikobewertungen zu Spielsucht betroffen. Nach deutschem Datenschutzrecht müssen Unternehmen Ausweiskopien unmittelbar nach abgeschlossener Identifizierung löschen; eine automatisierte Speicherung von Ausweisdaten ist grundsätzlich nur für die elektronische Identitätsfeststellung zulässig und ansonsten untersagt.

Die genaue Zahl der betroffenen Personen und ob Bonify die datenschutzrechtlichen Löschpflichten für Ausweiskopien im konkreten Fall eingehalten hatte, ist aus dieser Quelle nicht belegt.

Das Ausländerzentralregister (AZR) ist mit 35,3 Millionen personenbezogenen Datensätzen (Stand 31.12.2025) eines der größten automatisierten Register der deutschen Verwaltung. Datenschutzbehörden kritisieren seit Jahren, dass sich das AZR von einem Register für rein ausländerrechtliche Zwecke zu einer umfassenden behördenübergreifenden Informationsinfrastruktur entwickelt hat; das zugrunde liegende Gesetz wurde seit Inkrafttreten 40-mal geändert, stets mit erweiterten Zugriffsrechten für Behörden, ohne dass Betroffene mehr Rechte erhielten. Am 09.07.2026 beschloss der Bundestag das Gesetz zur 'Weiterentwicklung der Digitalisierung in der Migrationsverwaltung' (MDWG), der Bundesrat stimmte am Folgetag zu. Danach soll das Register bestimmte Daten künftig automatisiert unmittelbar nach der Speicherung an festgelegte Empfängerbehörden übermitteln. Bereits 2019 warnte die Datenschutzkonferenz von Bund und Ländern, die dauerhaft vergebene AZR-Nummer könne sich zu einem bereichsübergreifenden Personenkennzeichen entwickeln, das Daten aus verschiedenen Lebensbereichen leichter verknüpfbar macht.

Die konkrete Liste der künftig automatisch empfangsberechtigten Behörden sowie eine erste Praxisauswertung nach Inkrafttreten des MDWG sind aus dieser Quelle nicht belegt, da das Gesetz zum Zeitpunkt der Quelle gerade erst beschlossen wurde.

Im Januar 2024 überwies ein Mitarbeiter des britischen Ingenieurbüros Arup in Hongkong 25,6 Millionen US-Dollar an Betrüger, nachdem er glaubte, in einem Video-Anruf mit seinem Finanzvorstand und mehreren Kollegen zu sprechen. Sämtliche Teilnehmer der Videokonferenz außer ihm selbst waren KI-generierte Deepfakes. Laut Versicherer Allianz Trade verursachten Deepfake-gestützte CEO-Fraud-Angriffe 2025 Schäden, die 81 Prozent über dem Vorjahresniveau lagen; die Rate des Deepfake-Betrugs in Deutschland stieg im Jahresvergleich um über 1.000 Prozent. In einem weiteren dokumentierten Fall erstellten Betrüger ein Deepfake-Video des Unternehmers Reinhold Würth, das über soziale Medien für betrügerische Geldanlagen warb; die Würth-Gruppe bestätigte die Fälschung öffentlich und leitete rechtliche Schritte ein.

Die Steigerungsrate von über 1.000 Prozent bezieht sich auf gemeldete Fälle, nicht auf eine unabhängig verifizierte Gesamtschadenssumme für Deutschland.

Eine Studie der Duke University zeigte, dass der Datenbroker Acxiom als Teil seiner kommerziellen Dienstleistungen für Kreditkartenanbieter und Einzelhandelsbanken die Identifizierung und Lokalisierung von Militärangehörigen anbietet, die im Einsatz, aber von ihrer Basis abwesend sind. Ein Bericht des US-Direktors der nationalen Nachrichtendienste stellte fest, dass von zehn untersuchten großen Datenbrokern drei explizit damit werben, Daten zur Identifizierung von US-Militärpersonal liefern zu können. Weitere dokumentierte Zielgruppen-Segmente in Werbedaten basierten auf besuchten Orten, darunter Kirchen und andere sensible Örtlichkeiten; in einem prominenten Einzelfall wurden Standortdaten genutzt, um das Privatleben eines katholischen Priesters ohne dessen Wissen öffentlich offenzulegen.

Ob und wie oft die beworbene Militärpersonal-Identifizierung tatsächlich von Kunden der Datenbroker genutzt wurde, ist aus dieser Quelle nicht mit Einzelfällen belegt, nur als kommerzielles Angebot dokumentiert.

Roblox funktioniert nicht nur als Spiel, sondern als soziales Netzwerk, in dem Kinder gezielt von Erwachsenen angesprochen und manipuliert werden können. In einer Undercover-Recherche gaben sich ZDF-Reporter als minderjähriges Mädchen aus und traten Community-Gruppen auf der Plattform bei. Kurz nach dem Beitritt kontaktierte ein mutmaßlicher Cybergroomer das fiktive Profil und lockte es in einen privaten Chat auf einer externen Chat-Plattform, wo die Nachrichten schnell sexuellen und übergriffigen Charakter annahmen, verbunden mit Forderungen nach Fotos und Aufforderungen zur Geheimhaltung. Als Reaktion auf öffentlichen Druck deaktiviert Roblox verschlüsselte Chats, sobald Minderjährige beteiligt sind, um Inhalte besser überwachen zu können; Discord kündigte ähnliche Schutzmaßnahmen an, verschob deren Einführung jedoch nach Kritik.

Die Recherche zeigt einen dokumentierten Einzelfall unter kontrollierten Bedingungen; eine belastbare Häufigkeitsstatistik erfolgreicher Grooming-Versuche auf der Plattform insgesamt ist aus dieser Quelle nicht abgeleitet.

Politik und Deutsche Bahn verständigten sich auf ein Maßnahmenpaket, das intelligente Videoüberwachung und biometrische Gesichtserkennung an Bahnhöfen als Unterstützungsinstrument insbesondere für die Bundespolizei vorsieht. In einer ersten Testphase wurde Gesichtserkennungssoftware erprobt, in einer zweiten Phase sollen verschiedene Gefahrensituationen automatisch erkannt und angezeigt werden. Bei Vorstellung des Plans war laut Expertenkritik völlig offen, auf welcher Rechtsgrundlage der Einsatz erfolgen soll: Nach DSGVO ist die Erhebung biometrischer Daten zur Identifizierung von Personen grundsätzlich verboten. Bis 2023 standen bei der Bundespolizei bereits über 70 Millionen Euro für den Ausbau der Videoüberwachung bereit, aus dem Bundeshaushalt sollten zusätzlich 50 Millionen Euro hinzukommen.

Ob und auf welcher konkreten Rechtsgrundlage die Gesichtserkennung inzwischen tatsächlich im Regelbetrieb läuft, ist aus dieser Quelle nicht abschließend belegt; zum Berichtszeitpunkt war dies laut Quelle noch ungeklärt.

Die als Sicherheits-App vermarktete Familien-Tracking-App Life360 verkauft laut Recherchen von The Markup, gestützt auf Aussagen zweier ehemaliger Mitarbeiter, seit 2016 Standortdaten von rund 33 Millionen Nutzern an etwa ein Dutzend Datenbroker, die sie wiederum an praktisch jeden zahlenden Kunden weitergeben, darunter auch US-Regierungsbehörden wie das Verteidigungsministerium und die Gesundheitsbehörde CDC. Firmengründer und CEO Chris Hulls bestätigte, der Datenverkauf sei fester Bestandteil des Geschäftsmodells; die Datenschutzbestimmungen der App erwähnen die Weitergabe an Dritte, werden aber laut Berichten von den meisten Nutzern nicht sorgfältig gelesen. Der CEO betonte, man verkaufe Daten nicht direkt an Regierungsstellen, um die Rechte potenzieller Angeklagter in Strafverfahren nicht zu untergraben, wich damit aber der Frage nach der Weitergabe über zwischengeschaltete Datenbroker an genau solche Stellen aus.

Ob und wie oft die über Umwege an Behörden gelangten Life360-Standortdaten tatsächlich in konkreten Strafverfahren verwendet wurden, ist aus dieser Quelle nicht belegt.

Sicherheitsforscher von Palo Alto Networks Unit 42 entdeckten eine Angriffswelle, bei der Schadsoftware Router wie die FritzBox über insgesamt 13 Schwachstellen sowie Brute-Force-Angriffe in ein Botnetz eingliederte, ebenso wie IP-Kameras und andere IoT-Geräte. Angreifer können dadurch das Heimnetz ausspähen, Bewegungsprofile erstellen oder die Geräte für DDoS-Angriffe missbrauchen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnte zusätzlich vor der komfortablen, aber riskanten Fernzugriffsfunktion, mit der die FritzBox über das Internet von außerhalb des Zuhauses erreichbar gemacht werden kann: Kriminelle durchsuchen das Internet gezielt nach FritzBoxen mit aktiviertem Fernzugriff und können bei geknacktem Passwort oder unentdeckter Sicherheitslücke vollen Zugriff auf den Router erlangen. Geräte mit eingestelltem Support gelten dabei als besonders gefährdet, da veraltete Firmware Zugriff auf Bankdaten und smarte Haushaltsgeräte im Netzwerk ermöglichen kann.

Wie viele deutsche Haushalte tatsächlich von der beschriebenen Botnetz-Kampagne betroffen waren, ist aus dieser Quelle nicht mit einer Gesamtzahl belegt.

Google und Mastercard trafen eine zunächst geheim gehaltene Vereinbarung, bei der Google massenhaft Kreditkarten-Transaktionsdaten von Mastercard kaufte und mit den Klicks eigener Nutzer auf Online-Werbung korrelierte, um so den Erfolg von Werbeanzeigen bis zum tatsächlichen Ladenkauf nachzuverfolgen. Visa wickelte im betreffenden Jahr 45 Milliarden Transaktionen ab, Mastercard 23 Milliarden; beide Unternehmen planten zusätzlich eigene Programme, mit denen gesammelte Kreditkartendaten künftig direkt für personalisierte Online-Werbung genutzt werden sollten. Beide Kartenanbieter bieten Websites an, auf denen Kunden der Analyse ihrer Kreditkartendaten für solche Zwecke widersprechen können.

Der genaue Umfang, wie viele Nutzer von der Google-Mastercard-Vereinbarung konkret betroffen waren, ist aus dieser Quelle nicht beziffert; Details der Vereinbarung wurden erst nachträglich öffentlich bekannt.

Chicago führte 2012 die 'Strategic Subjects List' ('Heat List') ein, die Personen mit hoher statistischer Wahrscheinlichkeit, eine Straftat zu begehen oder Opfer einer solchen zu werden, auf Basis historischer Faktoren wie Vorstrafen einen Zahlenwert von 0 bis über 500 zuwies. 2013 stufte der Algorithmus Hunderte junge Schwarze Männer als mutmaßliche Täter oder Opfer von Waffengewalt ein, obwohl viele von ihnen keinerlei Vorstrafen hatten; kritisiert wurde, dass die Eingabedaten (insbesondere Festnahmen) selbst bereits durch die diskretionären Entscheidungen von Polizeibeamten bei Streife und Ermittlung verzerrt waren. Die Liste erfasste unverhältnismäßig viele People of Color. Nach Untersuchungen, die dem Programm Ungenauigkeit, Wirkungslosigkeit und rassistische Verzerrung attestierten, stellte Chicago die Nutzung der Heat List im Januar 2020 endgültig ein.

Der genaue kausale Effekt der Liste auf tatsächliche Polizeimaßnahmen gegen gelistete Personen (z. B. verstärkte Kontrollen) ist aus dieser Quelle nicht mit Einzelfallzahlen belegt.

Ein Cyberangriff auf einen externen IT-Dienstleister führte zum Abfluss von Daten Zehntausender Patienten und betraf mehrere große deutsche Universitätskliniken, darunter Freiburg, Heidelberg, Tübingen, Ulm, Mannheim und Köln. Insgesamt wurden über 120.000 Patientendatensätze deutscher Universitätskliniken im sogenannten Unimed-Cyberangriff gestohlen. Parallel griffen Hacker um den Jahreswechsel 2024/25 das Praxisverwaltungssystem des MVZ Herz-Lungen-Praxis Hamburg-Bergedorf an, einer Tochtergesellschaft der LungenClinic Großhansdorf, und erlangten Zugriff auf 12.000 Patientendatensätze. Nach Angaben von Check Point Software stiegen Cyberangriffe in der DACH-Region 2025 um 124 Prozent, wobei Deutschland über 82 Prozent aller registrierten Vorfälle in der Region ausmachte.

Ob und in welchem Umfang die gestohlenen Daten öffentlich veröffentlicht wurden oder ausschließlich im kriminellen Untergrund gehandelt wurden, ist aus dieser Quelle nicht abschließend geklärt.

An der Adolph-Schönfelder-Grundschule in Hamburg sowie 15 weiteren Schulen entschied ein Catering-Unternehmen, dass Grundschulkinder ihren Fingerabdruck zeigen mussten, um Zugang zur Schulkantine zu erhalten. Die IT-Firma People & Project GmbH aus Schleswig-Holstein hatte das biometrische Bezahlsystem den Schulbehörden im Oktober 2012 angeboten, eingeführt wurde es zu Schuljahresbeginn. Das Unternehmen ignorierte laut Piratenpartei Hamburg die Einwände zahlreicher Eltern; Kritik kam zusätzlich von der Opposition und Datenschutzinstitutionen, die betonten, Schulen hätten die pädagogische Aufgabe, Kinder für den Umgang mit ihren persönlichen Daten zu sensibilisieren, statt sie zur biometrischen Erfassung zu zwingen.

Ob das System nach den Protesten tatsächlich wieder abgeschafft wurde, ist aus dieser Quelle nicht belegt.

Der britische Gesundheitsdienst NHS England unterzeichnete 2023 einen zunächst siebenjährigen Vertrag über 330 Millionen Pfund, der die zentrale Datenverwaltungsplattform des gesamten Gesundheitssystems an das US-Unternehmen Palantir auslagert. Latifa Patel, Vorsitzende des Vertretungsgremiums der British Medical Association, nannte die Vergabe 'zutiefst besorgniserregend'; Amnesty International forderte von Palantir verbindliche Garantien, Patientendaten künftig nicht zu monetarisieren. 2023 blockierten rund 200 Menschen die NHS-Büros aus Protest gegen die Vertragsvergabe; Aktivisten der Koalition um 'Keep Our NHS Public' organisierten seither wiederholt Informationsstände, Flugblattaktionen und Unterschriftensammlungen. Ein parlamentarischer Ausschuss warnte, Palantirs Rolle stelle eine 'inakzeptable Schwachstelle' dar und verwies auf die Risiken einer Abhängigkeit von wenigen US-Technologieunternehmen.

Ob Palantir die geforderten Garantien gegen eine Monetarisierung der Patientendaten tatsächlich abgegeben hat, ist aus dieser Quelle nicht belegt.

In der Ukraine wurden laut Berichten binnen drei Monaten über 22.000 Einsätze unbemannter Systeme registriert; KI-gestützte Objekterkennung unterstützt Drohnen zunehmend bei der Zielerfassung. Der israelische Journalist Yuval Abraham interviewte Soldaten, die ein KI-Zielsystem namens 'Lavender' nutzten; ein Zitat lautete: 'Früher hatten wir 70 Ziele im Jahr, jetzt haben wir 70 Ziele am Tag.' KI-Expertin Verena Jackson erklärte, eine ethisch geführte Kriegsführung mit autonomen Waffen sei kaum möglich; neu am Ukraine-Krieg sei das weitgehende Herausnehmen des menschlichen Entscheiders aus der Zielauswahl, ein Szenario, das Ethiker zuvor ein Jahrzehnt lang als theoretischen Worst Case diskutiert hatten und das nun ohne Regelwerk, Aufsicht oder Präzedenzfall operativer Standard geworden sei. Amnesty International, Access Now und über 200 weitere Organisationen forderten einen sofortigen Stopp des KI-Einsatzes in militärischen Tötungsketten.

Das 'Lavender'-System wird primär im Kontext des Gaza-Kriegs beschrieben, nicht spezifisch der Ukraine; die Quelle verknüpft beide Konflikte als Beispiele für denselben Trend zur KI-gestützten Zielerfassung, ohne dass Lavender selbst in der Ukraine nachgewiesen im Einsatz war.

In den USA häuften sich Fälle, in denen Hacker sich unbefugten Zugriff auf smarte Ring- und Nest-Kameras verschafften. In Mississippi spielte ein Hacker über die Kamera im Kinderzimmer eines Mädchens den Song 'Tiptoe Through The Tulips' ab und beschimpfte die Achtjährige; in Florida spionierte ein Unbekannter eine Familie tagelang über deren Ring-Kameras aus, aktivierte die Alarmsirene und moderierte über die Lautsprecher einen Hacker-Podcast, während er Eltern und Sohn beschimpfte. Weitere Fälle wurden aus Georgia, New York und Connecticut gemeldet. Bei Google-Nest-Kameras übernahm in Milwaukee ein Hacker wiederholt die Kontrolle über smarte Haushaltsgeräte; bereits 2018 berichteten US-Medien über Sicherheitsprobleme bei Nest-Kameras, bei denen Angreifern der Zugriff auf Nutzerkonten gelang.

Die dokumentierten Fälle beruhen überwiegend auf wiederverwendeten, bei anderen Datenlecks erbeuteten Zugangsdaten (Credential Stuffing), nicht auf einer direkten Sicherheitslücke in Ring oder Nest selbst; dieser technische Hintergrund wird in den zitierten Berichten nicht in jedem Einzelfall differenziert dargestellt.

Toll Collect GmbH, seit 2002 zuständig für Organisation und Kontrolle der deutschen LKW-Maut und zu jeweils 45 Prozent im Besitz der Deutschen Telekom und Daimler sowie zu 10 Prozent des französischen Baukonzerns Vinci, errichtete rund 600 zusätzliche Kfz-Kennzeichen-Scanner entlang der Autobahnen und Bundesstraßen. Kritiker warnten, dass die dabei eingesetzte Gesichtserkennung theoretisch zur Erstellung von Bewegungsprofilen beliebiger Autobahnnutzer oder zur Personenverfolgung genutzt werden könnte, da die Kontrolleinrichtungen praktisch jedes durchfahrende Fahrzeug fotografieren. Ob die erfassten Daten tatsächlich für Strafverfolgung oder durch Nachrichtendienste genutzt werden, wird immer wieder diskutiert, ohne dass es dafür bislang Belege gibt. Zusätzlich wurde Toll Collect vorgeworfen, dem Staat fragwürdige Ausgaben wie eine Oldtimer-Rallye, eine Luxushotel-Vorstandssitzung und die Unterstützung eines Berliner Kinderheims als 'Marketingkosten' der LKW-Maut in Rechnung gestellt zu haben.

Für die immer wieder diskutierte Nutzung der Mautdaten durch Polizei oder Nachrichtendienste gibt es laut dieser Quelle explizit keine Belege; die Kritik betrifft primär das theoretische Missbrauchspotenzial der Infrastruktur.

Für rund 9 US-Dollar im Monat können Eltern die App Bark mit den Geräten ihrer Kinder verbinden, um Textnachrichten, E-Mails sowie Social-Media-Beiträge auf über 30 Plattformen (u. a. Instagram, Snapchat, TikTok, Discord) automatisiert per KI auf Anzeichen von Mobbing, Grooming, Selbstverletzung, Suizidgedanken oder anderen Risiken zu durchsuchen; die App hat nach eigenen Angaben bereits über 2 Millionen Smartphones gescannt. Eine Kinderschutzexpertin von UNICEF wies auf Datenschutzbedenken hin, insbesondere wenn Kinder nicht wissen, dass eine solche App installiert ist. Zahlreiche Nutzer, darunter Teenager selbst, beschweren sich über die Verletzung ihrer Privatsphäre und berichten, dass die Überwachung das Vertrauen innerhalb der Familie beschädigt; Kritiker bezeichnen das Bark-Monitoring als De-facto-Überwachung des Privatlebens von Kindern im Namen ihrer Sicherheit.

Bark selbst wirbt damit, nur bei tatsächlich erkannten Risiken zu alarmieren statt alle Nachrichten offenzulegen; ob dieses Versprechen technisch zuverlässig eingehalten wird, ist aus dieser Quelle nicht unabhängig geprüft.

Im August 2022 reichten unter anderem das Irish Council for Civil Liberties (ICCL), der Forschungsdirektor Mike Katz-Lacabe sowie die Informationswissenschaftlerin Jennifer Golbeck eine Sammelklage gegen Oracle beim US-Bezirksgericht für den Nordbezirk Kaliforniens ein. Die Klage wirft dem Softwarekonzern und seinen Ad-Tech-Tochterfirmen vor, ohne Zustimmung detaillierte Dossiers zu rund fünf Milliarden Menschen erstellt zu haben, was praktisch alle Internetnutzer weltweit abdecken würde, und diese Überwachungsdaten mit weiteren Daten aus Oracles eigenem Datenmarktplatz zu Profilen zu verknüpfen und zu verkaufen. Teile der Klagebegründung stützen sich auf eine 2016 gehaltene Präsentation von Oracle-Gründer und CTO Larry Ellison, in der er beschrieb, wie Daten gesammelt werden, damit Unternehmen das Kaufverhalten von Verbrauchern vorhersagen können.

Der Ausgang der Sammelklage ist aus dieser Quelle nicht belegt, da sie den Zeitpunkt der Klageeinreichung beschreibt.

Der US Supreme Court entschied im Fall Chatrie v. United States, dass der Zugriff auf Googles Standortverlauf (Location History) über einen Geofence Warrant eine Durchsuchung im Sinne des Vierten Verfassungszusatzes darstellt und künftig einen richterlichen Durchsuchungsbefehl erfordert. In einem aufsehenerregenden früheren Fall aus Pennsylvania hatte die Polizei von Google Informationen zu allen Personen erhalten, die zuvor nach einer bestimmten Adresse gesucht hatten, die später zum Tatort eines Mordes wurde. Google selbst hatte seine Timeline-Funktion bereits 2023 auf geräteinterne Speicherung umgestellt und speichert Standortdaten seit Juli 2025 nicht mehr zentral auf eigenen Servern.

Die Wirkung des Urteils auf bereits laufende oder abgeschlossene Verfahren, in denen Standortdaten ohne Durchsuchungsbefehl erlangt wurden, ist aus dieser Quelle nicht behandelt.

In den Archiven des Bundesnachrichtendienstes (BND) in Pullach tauchten 2015 zuvor unbekannte Dateien mit insgesamt 459.000 sogenannten Selektoren auf, Suchbegriffen zur Filterung von Internet- und Telefonkommunikation, die der BND im Auftrag der NSA einsetzte. Die Suchbegriffe zielten auf europäische Institutionen, Personen und laut Berichten auch 'hochrangige politische Persönlichkeiten'. Oppositionsfraktionen reichten gemeinsam Klage beim Bundesverfassungsgericht ein, weil die Bundesregierung dem parlamentarischen Untersuchungsausschuss zur Spionageaffäre wichtige Beweismittel vorenthalte. Die Bundesregierung verweigerte dem Ausschuss unter Berufung auf Staatswohlgründe und geheime Vereinbarungen mit den USA über den Umgang mit Nachrichtendienstmaterial die Einsicht in die vollständige Liste.

Ob und in welchem Umfang der BND die von der NSA übermittelten Suchbegriffe tatsächlich systematisch prüfte, bevor er sie einsetzte, ist aus dieser Quelle nicht abschließend geklärt; genau das war Gegenstand der Untersuchung.

Section Control erfasst über mehrere Kilometer verteilte Kennzeichen aller durchfahrenden Fahrzeuge, unabhängig von deren Geschwindigkeit, um daraus die Durchschnittsgeschwindigkeit auf dem Streckenabschnitt zu berechnen. Ein Rechtsanwalt klagte gegen das niedersächsische Pilotprojekt bei Hannover mit der Begründung, die pauschale Kennzeichenerfassung aller Fahrzeuge verletze das Grundrecht auf informationelle Selbstbestimmung; das Verwaltungsgericht gab ihm zunächst recht und legte den Betrieb still. Das Oberverwaltungsgericht Lüneburg bestätigte die Rechtmäßigkeit später nach einer Nachbesserung des niedersächsischen Polizeigesetzes und erlaubte die Wiederinbetriebnahme. 2024 wurde das System dennoch endgültig abgeschaltet, offiziell wegen neuer rechtlicher Anforderungen an Mess- und Kalibrierverfahren bei verschlüsselten Daten.

Ob die endgültige Abschaltung 2024 primär technische Kalibrierungsgründe hatte oder erneut mit den ursprünglichen Datenschutzbedenken zusammenhing, lässt sich aus dieser Quelle nicht eindeutig trennen.

Jeder Scan der Payback-Karte oder jede Zahlung mit der Payback-App speichert neue Informationen zu Alter, Geschlecht, Standort und Einkaufsverhalten, einschließlich der Frage, wo Kunden am meisten Geld ausgeben. Name, Adresse und Geburtsdatum dürfen zu Werbezwecken an Partnerunternehmen weitergegeben werden, solange der Kunde nicht widerspricht; Partnerunternehmen können anhand der übermittelten Kundennummer das Kaufverhalten von Werbeempfängern mit dem von Nicht-Empfängern vergleichen, um den Werbeerfolg zu kontrollieren. Payback positioniert sich damit als erste Online-Marketingplattform in Deutschland, die gezielte Kundenwerbung auf Basis von Offline-Einkäufen anbietet. Eine KPMG-Umfrage ermittelte, dass die Sorge vor Nachverfolgung des eigenen Kaufverhaltens der wichtigste Grund war, weshalb Verbraucher auf Kundenkartenprogramme verzichten.

Wie viele Kunden dem beschriebenen Widerspruchsrecht tatsächlich aktiv widersprechen und wie hoch der Anteil der weitergegebenen Profile am Gesamtbestand ist, ist aus dieser Quelle nicht beziffert.

Im Jahr 2023 führten im Auftrag der EU-Grenzschutzagentur Frontex beauftragte Firmen 1.711 Überwachungsflüge im Mittelmeer durch, davon 243 mit unbemannten Drohnen. Seit 2022 kritisieren Seenotrettungsorganisationen wiederholt, dass mit Frontex-Drohnen von Malta aus gesammelte Informationen über Standorte von Migrantenbooten an die libysche Küstenwache weitergegeben werden, die daraufhin Boote abfängt und Menschen zurück nach Libyen bringt, wo sie erneut in Lagern misshandelt werden, aus denen sie sich zuvor freigekauft hatten. Bei der Bootskatastrophe von Messenia im Juni 2023, einem der schwersten Unglücke in der EU-Migrationsgeschichte mit rund 650 Toten, waren ebenfalls Drohnen im Einsatz. Frontex' technische Strategie für 2023–2027 sieht Investitionen von 400 Millionen Euro in Drohnen und weitere Überwachungstechnologie vor.

Eine direkte kausale Verantwortung von Frontex für einzelne Todesfälle wie bei Messenia wird in dieser Quelle nicht behauptet; kritisiert wird die Weitergabepraxis von Standortdaten an Libyen als strukturelles Problem.

Die Nachbarschafts-App Nextdoor, gedacht für Themen wie Flohmärkte oder gestohlene Fahrräder, geriet in den Ruf, zu einer Plattform für Racial Profiling geworden zu sein: Nutzer posteten wiederholt Warnungen vor 'verdächtigen' Personen, oft People of Color, mit Formulierungen wie 'Dunkelhäutiger Mann bricht in Auto ein' oder 'Hispanischer Mann läuft verdächtig durch die Nachbarschaft', teils ohne jedes weitere Merkmal außer Hautfarbe. Gemeinschaftsgruppen in Oakland, Kalifornien, machten das Unternehmen auf entsprechende Beiträge aufmerksam. Nextdoor wurde zusätzlich für seine enge Zusammenarbeit mit Polizeibehörden kritisiert und entfernte im Juni 2020 die umstrittene Funktion 'Forward to Police', mit der Nutzer Beiträge direkt an die lokale Polizei weiterleiten konnten. Im August 2020 kündigte das Unternehmen eine algorithmische Lösung gegen reines Rassenprofiling in Beiträgen an, ergänzt um Bias-Schulungen für Moderatoren und die Rekrutierung weiterer Schwarzer Moderatoren.

Neun Monate nach der Ankündigung der algorithmischen Lösung bestand das Problem laut derselben Quelle weiterhin fort; die Wirksamkeit der Gegenmaßnahmen war zum Berichtszeitpunkt also nicht belegt.

Ab dem 01.01.2027 soll in Deutschland ein antragsloses Kindergeld eingeführt werden, mit automatischer Auszahlung ab etwa März 2027 zunächst für Eltern, die bereits für ein älteres Kind Kindergeld beziehen. Kern des neuen Verfahrens ist ein automatisierter Datenabgleich zwischen Behörden: Nach der Geburt eines Kindes meldet das Standesamt Daten an die Meldebehörde, die sie an das Bundeszentralamt für Steuern (BZSt) weiterleitet, welches eine Steuer-Identifikationsnummer für das Kind vergibt und die Familienkasse informiert. Der Deutsche Familienverband begrüßte den Schritt als spürbare Entlastung für Eltern. Für einen erheblichen Teil der Eltern greift die Automatik jedoch nicht, weil technische oder rechtliche Voraussetzungen fehlen: neu zugezogene Eltern ohne Steuerhistorie, Bedarfsgemeinschaften mit abweichender bürokratischer Logik, getrennt lebende Eltern bei Sorgerechtsstreit (das Melderegister kann Haushaltswechsel nach Trennung nicht automatisch auflösen) sowie im Ausland lebende Eltern, die weiterhin einen vorausgefüllten Antrag selbst einreichen müssen.

Die Reform löst das Antragsproblem primär für Eltern mit stabiler, unkomplizierter Familien- und Aufenthaltssituation; gerade Familien in komplexeren Lebenslagen bleiben laut dieser Quelle vom automatisierten Verfahren ausgeschlossen.