Quellen-Tabelle

Journalisten von netzpolitik.org und dem Bayerischen Rundfunk erwarben im Juli 2024 über den deutschen Datenmarktplatz 'Datarade' von einem US-Datenhändler einen Datensatz mit 3,6 Milliarden Standortdatenpunkten allein für Deutschland; ein weiterer Datensatz aus demselben Monat enthielt 380 Millionen Standortdatenpunkte aus 137 Ländern, verknüpft mit rund 40.000 verschiedenen Apps. Die Standortdaten stammen als Werbe-IDs aus Smartphone-Apps, die sie sammeln und zum Zweck personalisierter Werbung weiterverkaufen. Vier identifizierte Werbe-SDKs (InMobi, BidMachine, Verve HyBid, Huawei Petal Ads) sammeln heimlich Standortdaten auf Android-Geräten, indem sie Berechtigungen der Host-App erben und die Sandbox-Trennung des Betriebssystems über WLAN- und Mobilfunk-Triangulation umgehen, ohne separate Nutzereinwilligung für die Weitergabe an Werbenetzwerke einzuholen.

Ob und wie oft diese konkreten Datensätze tatsächlich zur Re-Identifizierung einzelner Personen genutzt wurden, ist aus dieser journalistischen Untersuchung nicht mit Einzelfällen belegt.

Das Verwaltungsgericht Hannover erlaubte Amazon, im niedersächsischen Logistikzentrum Winsen die Arbeit von Beschäftigten lückenlos zu erfassen, obwohl die niedersächsische Landesdatenschutzbeauftragte dies 2017 wegen datenschutzrechtlicher Bedenken untersagt hatte. Beschäftigte müssen jeden Arbeitsschritt per Handscanner bestätigen; Vorgesetzte können mit entsprechender Software Arbeitsgeschwindigkeit minutengenau auswerten. Die Landesdatenschutzbeauftragte legte gegen das Urteil Berufung ein und argumentierte, der durch die lückenlose Überwachung entstehende Leistungs- und Anpassungsdruck müsse höher gewichtet werden als die wirtschaftlichen Interessen des Unternehmens. Sowohl das Gericht als auch die Datenschutzbeauftragte sehen dringenden gesetzgeberischen Handlungsbedarf, da es in Deutschland bislang kein eigenständiges Beschäftigtendatenschutzgesetz gibt.

Der Ausgang der eingelegten Berufung ist aus dieser Quelle nicht belegt; das Urteil beschreibt den Stand des Verfahrens zum Zeitpunkt der Berichterstattung.

Von August 2017 bis Sommer 2018 testete das Bundesinnenministerium am Berliner Bahnhof Südkreuz biometrische Gesichtserkennungskameras der Bundespolizei. Laut Auswertung erkannte die Software in 80 Prozent der Fälle Testpersonen zuverlässig wieder, selbst mit Brille, Hut oder Schal. Das Bundesinnenministerium bewertete den Test als Erfolg; Datenschützer widersprachen und bezeichneten die Ergebnisse als 'unwissenschaftlich' und ein 'Debakel'. Der Deutsche Anwaltsverein kritisierte, das massenhafte Scannen unbescholtener Bürger stelle sie unter Generalverdacht und verletze Persönlichkeits- und Freiheitsrechte. Frankfurt am Main betreibt inzwischen dauerhafte automatisierte Gesichtserkennung im Rotlichtviertel, bei der Kamerabilder permanent nach bestimmten Personen durchsucht werden.

Die 80-Prozent-Zahl stammt aus der Auswertung des Bundesinnenministeriums selbst, das ein Eigeninteresse am Erfolg des Projekts hatte; eine methodisch unabhängige Überprüfung der Fehlerquote wird von Kritikern in dieser Quelle ausdrücklich bestritten.

Die Gesichtserkennungsfirma Clearview AI wurde 2022 von den Datenschutzbehörden Italiens (Februar), Frankreichs und Griechenlands (Juli) jeweils mit einem Bußgeld von 20 Millionen Euro belegt, der jeweiligen gesetzlichen Höchststrafe. Die Behörden stellten fest, dass Clearview biometrische Daten ohne Rechtsgrundlage verarbeitete, da weder eine Einwilligung der abgebildeten Personen noch ein berechtigtes Interesse vorlag. Gerichte wiesen Clearviews Argument zurück, als US-Unternehmen nicht an die DSGVO gebunden zu sein, da das Unternehmen Daten von Personen in Europa sammelte. Griechenland untersagte zusätzlich jede weitere Erhebung oder Verarbeitung von Daten griechischer Staatsbürger und ordnete deren Löschung an.

Ob Clearview die verhängten Bußgelder tatsächlich gezahlt hat, ist aus dieser Quelle nicht belegt; das Unternehmen operiert primär in den USA außerhalb direkter EU-Vollstreckungsmöglichkeiten.

Die baden-württembergische Datenschutzbehörde eröffnete das weltweit erste Bußgeldverfahren gegen die aus der Karibik operierende Gesichtssuchmaschine PimEyes, die es erlaubt, mit einem hochgeladenen Foto im gesamten Internet nach optisch ähnlichen Gesichtern zu suchen. Landesdatenschutzbeauftragter Stefan Brink bewertete das Missbrauchspotenzial als hochproblematisch: Stalker könnten die Software nutzen, Personen im Sexarbeitsgewerbe könnten geoutet, Rachepornografie leichter gefunden und Demonstrationsteilnehmer im Nachhinein identifiziert werden. Eine im November 2022 eingegangene Stellungnahme von PimEyes zu Rechtsgrundlage, technischen Maßnahmen und Missbrauchsschutz bewertete die Behörde als unzureichend, da zentrale Fragen unbeantwortet blieben.

Der Ausgang des Bußgeldverfahrens und eine mögliche tatsächliche Zahlung durch das karibisch ansässige Unternehmen sind aus dieser Quelle nicht belegt.

Der DNA-Testanbieter 23andMe meldete am 23.03.2025 Insolvenz nach Chapter 11 an, was potenziell den Verkauf von Gendaten von über 15 Millionen Nutzern zur Folge hatte. Das Pharmaunternehmen Regeneron Pharmaceuticals gewann zunächst die gerichtlich überwachte Auktion am 16.05.2025 mit einem Gebot von 256 Millionen US-Dollar. In einer überraschenden Wendung genehmigte ein Insolvenzrichter jedoch stattdessen den Verkauf des Unternehmens samt Gendaten an eine gemeinnützige Organisation unter Leitung von Mitgründerin Anne Wojcicki, als Reaktion auf verbreitete Datenschutzbedenken gegen die ursprünglich geplante Übertragung an einen Dritten wie Regeneron.

Ob und wie sich die Datenschutzbedingungen für Bestandskunden durch den Eigentümerwechsel an die Stiftung tatsächlich änderten, ist aus dieser Quelle nicht im Detail belegt.

Die FTC stellte fest, dass der Online-Therapieanbieter BetterHelp zwischen 2017 und 2020 E-Mail-Adressen, IP-Adressen und Angaben aus Gesundheitsfragebögen an Facebook (Meta), Snapchat, Pinterest und Criteo zu Werbezwecken weitergab, obwohl das Unternehmen Nutzern zugesichert hatte, Gesundheitsdaten nur eingeschränkt zu verwenden. BetterHelp nutzte insbesondere die Information, dass jemand bereits in Therapie gewesen war, um Facebook zur Identifizierung ähnlicher Zielgruppen für Werbung anzuweisen, was dem Unternehmen zehntausende neue zahlende Nutzer und Millionenumsätze einbrachte. Die FTC verhängte 2023 eine Zahlung von 7,8 Millionen US-Dollar, untersagte BetterHelp die Weitergabe von Gesundheitsdaten zu Werbezwecken und ordnete Rückerstattungen an Betroffene an, die ab Mai 2024 verschickt wurden.

Die Zahl der tatsächlich individuell entschädigten Nutzer und die durchschnittliche Rückerstattungssumme sind aus dieser Quelle nicht beziffert.

Zwischen Ende November 2018 und März 2019 wurde der finnische Psychotherapie-Anbieter Vastaamo gehackt; die Angreifer erbeuteten die Therapieakten von rund 33.000 Patienten. Nachdem CEO Ville Tapio am 28.09.2020 erstmals vom Täter kontaktiert wurde und Behörden informierte, forderte der Erpresser zunächst 40 Bitcoin (rund 450.000 Euro) vom Unternehmen. Mitte Oktober 2020 erhielten über 33.000 Patienten direkt Droh-E-Mails mit Forderungen von 200 bis 500 Euro in Bitcoin, verbunden mit der Drohung, ihre persönlichen Daten und Therapienotizen zu veröffentlichen, darunter Angaben zu psychischer Gesundheit, Missbrauch und Suizidgedanken. Der Fall löste die größte strafrechtliche Ermittlung in der finnischen Geschichte aus und führte zu Krisengesprächen der damaligen Regierung unter Ministerpräsidentin Sanna Marin. Vastaamo meldete Insolvenz an. Der später identifizierte Täter, der Finne Aleksanteri Kivimäki, wurde in Frankreich festgenommen, nach Finnland ausgeliefert und zu über sechs Jahren Haft verurteilt.

Wie viele der erpressten Patienten tatsächlich zahlten, ist aus dieser Quelle nicht beziffert.

Die von einem Berliner Start-up entwickelte Luca-App sollte Gesundheitsämtern die Kontaktnachverfolgung während der Corona-Pandemie erleichtern, geriet aber 2021 stark in die Kritik. Die Polizei Mainz griff im Rahmen von Ermittlungen zu einem Todesfall auf Besucherdaten eines Restaurants zu, die über Luca erfasst worden waren, obwohl das Infektionsschutzgesetz die Nutzung von Kontaktnachverfolgungsdaten für polizeiliche Zwecke ausdrücklich untersagt. Der baden-württembergische Datenschutzbeauftragte Stefan Brink bezeichnete dies als klaren Gesetzesverstoß. Kritiker verwiesen zudem darauf, dass Luca die Daten zentral speichert, im Gegensatz zur dezentral und transparent konzipierten, staatlichen Corona-Warn-App. Berlin kündigte an, die Nutzung von Luca ab Januar 2022 zu beenden.

Ob der beschriebene Polizeizugriff in Mainz strafrechtliche oder dienstrechtliche Konsequenzen für die beteiligten Beamten hatte, ist aus dieser Quelle nicht belegt.

Im Januar 2018 entdeckte der australische Forscher Nathan Ruser beim Durchsuchen der neuen 'Global Heatmap' des Fitness-Trackers Strava, dass Jogging-Routen mitten in der syrischen Wüste aufleuchteten, exakt an den Standorten von US- und alliierten Militärbasen. Die Heatmap fasste eine Milliarde Strava-Aktivitäten und drei Billionen GPS-Datenpunkte zusammen, aufgezeichnet zwischen 2015 und September 2017. Journalisten bestätigten, dass die Tracker-Daten unbeabsichtigt Umrisse ausländischer Basen im Irak, in Afghanistan und Syrien sowie Versorgungsrouten und Patrouillenwege preisgaben. Das US-Militär kündigte an, seine Regeln zur Nutzung von Fitness-Trackern und Apps durch Soldaten zu überprüfen; Strava sagte zu, seine Datenschutzeinstellungen zu überarbeiten.

Ob die offengelegten Standortmuster in der Folge tatsächlich für Angriffe auf die betroffenen Basen genutzt wurden, ist aus dieser Quelle nicht belegt.

Mit Amazon One können Kunden an der Kasse bezahlen, indem sie ihre Handfläche über einen Scanner halten, der die biometrischen Daten mit gespeicherten Handscans abgleicht und den Betrag vom verknüpften Amazon-Konto abbucht. Bis Ende 2023 plante Amazon, über 500 Whole-Foods-Filialen in den USA mit der Technik auszustatten, nachdem sie bereits in 200 Whole-Foods-Filialen und 200 weiteren Einzelhandelsstandorten im Einsatz war. Ein seit 2021 geltendes New Yorker Landesgesetz verpflichtet Unternehmen, mit gut sichtbaren Schildern auf die Erfassung biometrischer Daten hinzuweisen. Amazon sieht sich einer Sammelklage ausgesetzt, weil solche Hinweisschilder in den kassenlosen Amazon-Go-Filialen angeblich nicht ausreichend sichtbar angebracht waren.

Der Ausgang der Sammelklage ist aus dieser Quelle nicht belegt. Amazon selbst betont, dass nur Kunden erfasst werden, die sich aktiv für Amazon One registrieren.

Die FTC leitete ein Verfahren nach ihrer Health Breach Notification Rule gegen den Online-Apotheken-Preisvergleichsdienst GoodRx ein, weil das Unternehmen es versäumte, Nutzer über unautorisierte Weitergaben ihrer Gesundheitsdaten zu informieren. GoodRx teilte sensible Angaben zu verschriebenen Medikamenten und Gesundheitszuständen wiederholt mit Werbepartnern wie Facebook, Google, Criteo sowie weiteren Dritten wie Branch und Twilio, obwohl es Nutzern zuvor Vertraulichkeit zugesichert hatte. Mit den an Facebook übermittelten Daten ließ GoodRx eigene Nutzer gezielt mit personalisierter, medikamentenspezifischer Werbung auf Facebook und Instagram ansprechen. Das Unternehmen zahlte im Rahmen des Vergleichs eine Zivilstrafe von 1,5 Millionen US-Dollar, bestritt jedoch jegliches Fehlverhalten und erklärte, die Praxis bereits rund drei Jahre vor der FTC-Untersuchung von sich aus beendet zu haben.

GoodRx bestreitet die Vorwürfe ausdrücklich, obwohl das Unternehmen die Zahlung leistete; ein gerichtliches Schuldeingeständnis liegt laut dieser Quelle nicht vor.

Die FTC stellte fest, dass die Zyklus- und Fruchtbarkeits-App Flo trotz gegenteiliger Zusicherung sensible Gesundheitsdaten von Millionen Nutzerinnen an Marketing- und Analysefirmen weitergab, darunter die Analyseabteilungen von Facebook und Google, Googles Fabric-Dienst, AppsFlyer und Flurry, unter anderem die Tatsache einer Schwangerschaft in Form von 'App-Events'. Eine Wall-Street-Journal-Recherche hatte 2019 aufgedeckt, dass mehrere Gesundheits-Apps, darunter Flo, sensible In-App-Aktivitätsdaten über eingebettete Analysetools an Facebook sendeten. Die FTC verpflichtete Flo Health per Vergleich, künftig vor jeder Weitergabe persönlicher Gesundheitsdaten eine ausdrückliche Einwilligung einzuholen und die eigene Datenschutzpraxis unabhängig prüfen zu lassen. In einem späteren Verfahren zahlten Google 48 Millionen und Flo Health 8 Millionen US-Dollar Entschädigung an Nutzerinnen, die zwischen November 2016 und Februar 2019 Menstruations- oder Schwangerschaftsdaten eingegeben hatten.

Die Entschädigungssumme betrifft nur Nutzerinnen im genannten Zeitraum; ob und wie Daten nach Aufdeckung des Falls weiterhin bei den Empfängern gespeichert blieben, ist aus dieser Quelle nicht belegt.

Ende Januar 2022 deckte Politico auf, dass die gemeinnützige Krisenchat-Organisation Crisis Text Line (CTL) Daten aus vertraulichen Krisengesprächen mit Loris.ai teilte, einer gewinnorientierten Firmenausgründung der CTL-Mitgründerin Nancy Lublin, die damit Kundenservice-Software und Chatbots für schwierige Gespräche entwickelte, ohne Einwilligung der Hilfesuchenden. Nach öffentlichem Druck, unter anderem von einem Mitglied der US-Kommunikationsbehörde FCC und Vorstandsmitgliedern von CTL, beendete die Organisation die Datenpartnerschaft am 31.01.2022 sofort und forderte Loris.ai zur Löschung aller bereits erhaltenen Daten auf. Laut CTL hatte Loris.ai jedoch bereits seit Anfang 2020 keinen aktiven Zugriff mehr auf die Daten gehabt.

Ob Loris.ai die Löschung der Daten tatsächlich vollständig umsetzte, ist aus dieser Quelle nicht unabhängig verifiziert, sondern beruht auf der Selbstauskunft der Beteiligten.

Eine gemeinsame Recherche von The Markup und STAT News fand im Juni 2022 heraus, dass ein Drittel der 100 größten US-Krankenhäuser das Tracking-Tool Meta Pixel einsetzte, das bei jeder Terminbuchung Daten an Meta übermittelt, darunter Angaben zu Krankheitsbildern, verschriebenen Medikamenten und Terminen. Bei 33 der getesteten Krankenhäuser sendete der Meta-Pixel-Tracker bei jedem Klick auf 'Termin vereinbaren' ein Datenpaket an Facebook; bei sieben Gesundheitssystemen war der Tracker sogar innerhalb passwortgeschützter Patientenportale installiert. Fünf Monate nach der Veröffentlichung sahen sich große Klinikkonzerne wie UPMC, Advocate Aurora und Duke Health mit daraus resultierenden Klagen konfrontiert.

Ob und in welchem Umfang Meta die erhaltenen Gesundheitsdaten tatsächlich für Werbezwecke gegen einzelne Patienten nutzte, ist aus dieser Untersuchung nicht abschließend belegt; sie weist primär den Datenfluss selbst nach.

2021 verabschiedete der chilenische Senat einstimmig eine Verfassungsänderung, die als weltweit erste ein Recht auf mentale Privatsphäre ('Neurorechte') verankert. Das neue Verfassungsrecht schützt die Privatsphäre der Gedanken, die Willensfreiheit des Denkens, den gleichberechtigten Zugang zu Technologien, die menschliche Fähigkeiten erweitern, sowie den Schutz vor Diskriminierung aufgrund neuronaler Daten. Der chilenische Oberste Gerichtshof wandte das neue Recht bereits 2023 in einem wegweisenden Urteil gegen das US-Neurotechnologie-Unternehmen Emotiv an. Colorado folgte 2024 mit dem Protect Privacy of Biological Data Act (HB24-1058, in Kraft seit 07.08.2024), der 'biologische Daten' einschließlich neuronaler Daten aus Gehirn-Messgeräten als besonders sensible Datenkategorie einstuft.

Wie das chilenische Neurorecht in der Praxis gegenüber kommerziellen Konsumgeräten (z. B. Wearables mit EEG-Sensoren) außerhalb des Emotiv-Falls durchgesetzt wird, ist aus dieser Quelle nicht im Detail belegt.

Die britische Forschungsdatenbank UK Biobank gibt Forschern ausschließlich pseudonymisierte Daten weiter: Jeder Teilnehmer erhält eine aus der NHS-Nummer generierte, nicht zurückrechenbare Kennung (PID), und jeder Datensatz wird zusätzlich nach einem antragsspezifischen Schema pseudonymisiert, sodass sich Daten aus verschiedenen Forschungsanträgen nicht ohne Weiteres verknüpfen lassen. Dennoch zeigten Sicherheitsvorfälle, dass Pseudonymisierung als alleinige Schutzmaßnahme Grenzen hat: Experten argumentierten, dass bereits Teildatensätze Risiken bergen können, etwa wenn sich Personen durch Kombination von Geburtsmonat und -jahr mit öffentlich verfügbaren Angaben zu medizinischen Ereignissen re-identifizieren lassen. UK Biobank betont, dass bislang keine Teilnehmer tatsächlich re-identifiziert wurden, und initiierte eine externe Überprüfung möglicher zusätzlicher Schutzmaßnahmen wie Generalisierung, Differential Privacy und homomorphe Verschlüsselung.

UK Biobank bestreitet, dass es bereits zu einer tatsächlichen Re-Identifizierung kam; die zitierten Risiken sind theoretischer bzw. methodenkritischer Natur, kein dokumentierter Einzelfall.

Swisscom führte im August 2016 als vermutlich erstes Schweizer Unternehmen 'Voiceprint' ein: Ein im Callcenter gespeicherter Stimmabdruck erkennt Kunden bei künftigen Anrufen automatisch anhand der Stimme, ohne dass Sicherheitsfragen nötig sind. Auch die Postfinance und weitere Banken setzten vergleichbare Stimmerkennung zur Authentifizierung ein. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) betonte, dass solche Verfahren erhebliche Risiken für Grundrechte und Freiheiten bergen, da biometrische Merkmale dauerhaft und eindeutig mit einer Person verknüpft sind. Mitte April 2019 stellte Swisscom Voiceprint ein und löschte alle gespeicherten Stimmabdrücke, mutmaßlich als Reaktion auf die wachsende Kritik an den Datenschutzimplikationen der Technologie.

Der genaue Auslöser für die Einstellung durch Swisscom (behördlicher Druck, öffentliche Kritik oder interne Entscheidung) ist aus dieser Quelle nicht eindeutig belegt, nur als Vermutung formuliert.

Die irische Datenschutzbehörde DPC verhängte gegen TikTok ein Bußgeld von 345 Millionen Euro wegen DSGVO-Verstößen im Umgang mit Daten minderjähriger Nutzer zwischen Ende Juli und Ende Dezember 2020. Konkret bot TikTok 13- bis 17-Jährigen als Voreinstellung an, ihre Beiträge standardmäßig öffentlich für alle sichtbar zu veröffentlichen, und die Kommentarfunktion in Minderjährigen-Profilen war standardmäßig für alle anderen Nutzer offen. Zusätzlich kritisierte die DPC die 'Familien-Kopplung', mit der Erwachsene ihr Konto mit dem eines Kindes verknüpfen konnten, ohne dass geprüft wurde, ob es sich tatsächlich um ein Elternteil oder eine berechtigte Person handelte, wodurch Fremde Minderjährigen Direktnachrichten senden konnten. TikTok musste die Datenverarbeitung binnen drei Monaten DSGVO-konform anpassen.

Ob TikTok die geforderten Anpassungen fristgerecht und vollständig umsetzte, ist aus dieser Quelle nicht belegt.

Der EuGH entschied am 07.12.2023 in den verbundenen Rechtssachen C-634/21, C-26/22 und C-64/22, dass die automatisierte Erstellung eines Bonitäts-Score-Werts wie durch die Schufa unter das DSGVO-Verbot rein automatisierter Einzelentscheidungen fallen kann, wenn der Score-Wert die eigentlich maßgebliche Grundlage für eine nachgelagerte Entscheidung eines Dritten (etwa eine Bank) bildet. Ob dies im Einzelfall zutrifft, muss laut EuGH von den nationalen Gerichten geprüft werden; entscheidend ist, ob der Dritte dem Score-Wert bei seiner Entscheidung maßgebliche Rolle einräumt. Seit dem 17.03.2026 nutzt die Schufa ein neues, für Verbraucher verständlicheres Berechnungsverfahren mit zwölf Kriterien, darunter das Alter des ältesten Bankkontos und der ältesten Kreditkarte, Zahlungsausfälle und der Kreditstatus.

Das Urteil legt einen Prüfmaßstab fest, verbietet Scoring-Verfahren aber nicht grundsätzlich; ob und wie oft deutsche Gerichte seither tatsächlich automatisierte Ablehnungen wegen dieses Urteils kassierten, ist aus dieser Quelle nicht beziffert.

Im April 2018 wurde der sogenannte 'Golden State Killer' Joseph James DeAngelo mithilfe genetischer Genealogie identifiziert: Ermittler luden eine an einem Tatort von 1980 gesicherte DNA-Probe bei GEDmatch hoch, einer kostenlosen Plattform, auf der Nutzer ihre bei kommerziellen Anbietern wie 23andMe oder Ancestry erstellten DNA-Profile hochladen können, um entfernte Verwandte zu finden. Anders als 23andMe und Ancestry, die für Strafverfolgungsanfragen einen förmlichen Durchsuchungsbefehl oder Gerichtsbeschluss verlangen, benötigten die Behörden für den Zugriff auf die GEDmatch-Datenbank keinen Gerichtsbeschluss. Über Ururgroßeltern und Cousins dritten Grades rekonstruierten Genealogen einen Stammbaum, der zum Verdächtigen führte. Eine spätere wissenschaftliche Analyse zeigte, dass diese Methode etwa 60 Prozent der weißen US-Bevölkerung über verwandtschaftliche Treffer identifizierbar macht, selbst wenn die Person selbst nie einen DNA-Test gemacht hat.

Die 60-Prozent-Schätzung bezieht sich auf die weiße US-Bevölkerung und stammt aus einer wissenschaftlichen Modellrechnung, nicht aus einer Vollerhebung; Übertragbarkeit auf andere Bevölkerungsgruppen oder Länder ist aus dieser Quelle nicht belegt.

Die schwedische Datenschutzbehörde IMY verhängte im März 2022 gegen den Zahlungsdienst Klarna ein Bußgeld von 7,5 Millionen schwedischen Kronen (rund 671.000 Euro). Klarna informierte Nutzer nicht ausreichend über Zweck und Rechtsgrundlage bestimmter Datenverarbeitungen und machte unvollständige beziehungsweise irreführende Angaben darüber, an welche Empfänger, darunter schwedische und ausländische Auskunfteien, personenbezogene Daten weitergegeben wurden. Zudem fehlten Informationen darüber, in welche Länder außerhalb des Europäischen Wirtschaftsraums Klarna Daten übermittelt und wie Betroffene entsprechende Auskünfte erhalten können. Während der laufenden Untersuchung änderte Klarna wiederholt seine Angaben zum Umgang mit personenbezogenen Daten. Ein Berufungsgericht in Stockholm bestätigte das ursprüngliche Bußgeld in vollem Umfang.

Die untersuchten Angaben betreffen den Stand von Frühjahr 2020; ob Klarnas Praxis inzwischen vollständig DSGVO-konform ist, ist aus dieser Quelle nicht belegt.

In der Nacht vom 21. auf den 22.10.2022 verschafften sich Angreifer unbefugten Zugriff auf die IT-Systeme der Kreisverwaltung Rhein-Pfalz-Kreis in Rheinland-Pfalz. Alle rund 600 Computer der Verwaltung wurden lahmgelegt, Systeme und Daten verschlüsselt. Erste Ermittlungen deuteten auf die mutmaßlich aus Russland operierende Gruppe 'Vice Society' hin. Ab dem 11.11.2022 tauchten rund 20.000 Einzeldateien der Kreisverwaltung im Darknet auf. Bürger wurden aufgefordert, ihre Konten zu überprüfen, da die Verwaltung eine Veröffentlichung vertraulicher Daten von Bürgern und Beschäftigten nicht ausschließen konnte. Die Kommunikation mit der Verwaltung war zeitweise nur noch per Brief möglich, da Telefon- und E-Mail-Systeme ausfielen; rund 750 Laptops mussten neu aufgesetzt oder komplett neu beschafft werden.

Ob und in welchem Umfang tatsächlich Bürgerdaten unter den veröffentlichten Dateien waren, ist aus dieser Quelle nicht abschließend beziffert; die Verwaltung sprach von einer nicht auszuschließenden Möglichkeit.

Laut Recherchen teilten Tesla-Beschäftigte zwischen 2019 und 2022 in internen Chats Kameraaufnahmen aus Fahrzeugen, um sich über die gefilmten Personen lustig zu machen, teils in eindeutig privaten oder heiklen Situationen, darunter eine Aufnahme einer nackten Person sowie Unfälle und riskante Fahrmanöver. Laut Teslas Datenschutzerklärung seien Kameraaufnahmen anonymisiert und nicht einem bestimmten Fahrzeug zuordenbar; sieben ehemalige Mitarbeiter gaben gegenüber Reuters jedoch an, dass die verwendete interne Software den Standort der Videos anzeigte, was Rückschlüsse auf die Fahrzeughalter ermöglichte. Deutsche Datenschützer kritisierten zusätzlich, dass neuere Tesla-Modelle mit Innenraumkameras und Umgebungsaufnahmen aus dem öffentlichen Straßenraum arbeiten, deren Daten unter Umständen in die USA übertragen werden.

Der Umfang, wie viele Kunden tatsächlich betroffen waren und ob Tesla die interne Weitergabe technisch inzwischen unterbunden hat, ist aus dieser Quelle nicht belegt.

Eine 2024 auf der ACM Internet Measurement Conference veröffentlichte, peer-reviewte Studie zeigt, dass LG-Fernseher alle 15 Sekunden und Samsung-Fernseher jede Minute Bildschirminhalte per 'Automatic Content Recognition' (ACR) erfassen und mit einer Inhaltsdatenbank abgleichen, um zu erkennen, was gerade angezeigt wird. ACR erfasst dabei alles, was über HDMI angezeigt wird, also auch Inhalte von angeschlossenen Spielkonsolen, Kabelboxen und Laptops. Im Dezember 2025 leitete der texanische Generalstaatsanwalt Ken Paxton Klagen gegen Sony, Samsung, LG, Hisense und TCL ein, denen vorgeworfen wird, TV-Sehdaten unrechtmäßig gesammelt und monetarisiert zu haben; Verbraucherschützer wiesen zudem nach, dass es auf LG-Geräten 27 Klicks brauchte, um die Funktion vollständig zu deaktivieren. Am 26.02.2026 einigte sich Samsung als erster Hersteller außergerichtlich mit der texanischen Behörde.

Die Klagen und die Vergleichszahlung betreffen US-Recht (Texas); eine vergleichbare Untersuchung oder Sanktion für den deutschen bzw. europäischen Markt ist aus dieser Quelle nicht belegt.