Quellen-Tabelle

Das Baltimore Police Department testete ab Mai ein sechsmonatiges Pilotprogramm namens Aerial Investigation Research (AIR), bei dem eine mit dem Privatunternehmen Persistent Surveillance Systems betriebene Cessna mit einem 12-Kamera-Array kontinuierlich die Stadt überflog, um Verdächtige bei Gewaltverbrechen wie Morden, Schießereien und bewaffneten Raubüberfällen zu identifizieren. Die zugrunde liegende Technologie war ursprünglich für Kriegsschauplätze im Irak entwickelt und zuvor nie in diesem Umfang über einer US-Stadt eingesetzt worden. Ein Bericht des NYU Policing Project stellte fest, dass das Programm wahrscheinlich über die eigenen zugesicherten Bürgerrechtsgrenzen hinausging, indem es einzelne Personen über mehrere Tage hinweg verfolgte und Aufnahmen nicht wie zugesichert nach 45 Tagen löschte; die Polizei ließ Fahrzeuge sogar an Orten wie der 'Wohnung der Mutter einer Zielperson' verfolgen, ohne dass dort ein Tatort vorlag. Ein Bundesberufungsgericht entschied schließlich, das Luftüberwachungsprogramm sei verfassungswidrig, da der Einsatz von Flugzeugen mit hochauflösenden Weitwinkelkameras eine durchsuchungsbefehlslose Durchsuchung im Sinne des Vierten Verfassungszusatzes darstelle.

Trotz des sechsmonatigen Einsatzes und erheblicher Kosten fingen die 'Spy Planes' laut Berichterstattung nur wenige tatsächliche Straftäter; ein belegter quantitativer Nutzen für die Kriminalitätsaufklärung ist aus dieser Quelle nicht erkennbar.

Nach einem Ransomware-Angriff zahlte das Kansas Heart Hospital im US-amerikanischen Wichita das geforderte Lösegeld, um seine verschlüsselten Dateien zurückzuerhalten. Die Angreifer entschlüsselten die Daten jedoch nicht vollständig und forderten stattdessen eine weitere Lösegeldzahlung. Das Krankenhaus erklärte daraufhin, kein weiteres Lösegeld zu zahlen; nach eigenen Angaben sei die Patientenversorgung durch den Vorfall nicht gefährdet worden. In derselben Region wurden weitere medizinische Einrichtungen Opfer ähnlicher Angriffe: Die Wichita Urology Group meldete im Dezember desselben Jahres einen Datenschutzvorfall mit potenziell über 5.000 Betroffenen, bereits die zweite derartige Verletzung innerhalb eines Jahres bei derselben Praxis; Kansas Joint and Spine Specialists meldete im Juni einen weiteren Cybersicherheitsvorfall mit möglichen Auswirkungen auf Patienten und Beschäftigte.

Der Fall widerlegt exemplarisch die verbreitete Annahme, eine Lösegeldzahlung garantiere die vollständige Wiederherstellung der Daten; ob und wie das Krankenhaus die Daten letztlich doch noch erhielt, ist aus dieser Quelle nicht belegt.

In der als 'Operation Cookie Monster' bezeichneten Aktion beschlagnahmten FBI und internationale Strafverfolgungsbehörden aus 17 Ländern am 05.04.2023 den seit 2018 aktiven Darknet-Marktplatz Genesis Market. Dort wurden 'digitale Identitäten' in Form von Browser-Fingerabdrücken gehandelt, die Käufern Zugriff auf Cookies, gespeicherte Logins und Autofill-Formulardaten von mit Schadsoftware infizierten Geräten verschafften und damit Anti-Betrugs-Erkennungssysteme vieler Websites umgingen. Genesis Market bot Zugang zu Daten von über 1,5 Millionen kompromittierten Computern weltweit mit insgesamt über 80 Millionen Zugangsdaten. Die internationale Operation führte zu rund 120 Festnahmen und 200 Durchsuchungen weltweit.

Wie viele der ursprünglich über 80 Millionen gehandelten Zugangsdaten zum Zeitpunkt der Beschlagnahmung noch aktiv nutzbar waren, ist aus dieser Quelle nicht beziffert.

Bei der Bundestagswahl 2021 setzten alle im Bundestag vertretenen Parteien politisches Microtargeting auf Facebook ein, um Wählergruppen gezielt mit personalisierter Wahlwerbung anzusprechen, darunter CDU, SPD, Bündnis 90/Die Grünen, AfD und Die Linke. Die Parteien investierten in den letzten drei Monaten vor der Wahl zusammen mehr als 6,9 Millionen Euro in Werbeanzeigen auf Meta-Plattformen, überwiegend Facebook. Die Datenschutzorganisation noyb reichte am 21.03.2023 Beschwerde gegen sechs deutsche Parteien ein, weil politische Meinungen nach DSGVO als besonders schutzwürdige Datenkategorie gelten und die praktizierte Zielgruppenansprache damit gegen geltendes Datenschutzrecht verstoße. Kritiker warnen zusätzlich, widersprüchliche, zielgruppenspezifisch zugeschnittene Wahlversprechen könnten gesellschaftliche Polarisierung verstärken, weil unterschiedliche Wählergruppen einander widersprechende politische Zusagen erhalten.

Der Ausgang der noyb-Beschwerde und ob die betroffenen Parteien ihre Microtargeting-Praxis seither änderten, ist aus dieser Quelle nicht belegt.

Das Amtsgericht Gelnhausen entschied in einem Nachbarschaftsstreit (Az. 52 C 76/24) zugunsten des Eigentümers eines Mehrfamilienhauses, der sich gegen eine auf dem Nachbargrundstück installierte Überwachungskamera wehrte. Das Gericht untersagte dem Nachbarn den Betrieb der Kamera in einer Weise, die Vorgänge auf dem klagenden Grundstück erfasst, und stufte die Videoüberwachung als unzulässigen Eingriff in die Persönlichkeitsrechte des Klägers und seiner Mieter ein; Sicherheitsinteressen allein rechtfertigen demnach grundsätzlich keine Aufzeichnung von Nachbargrundstücken. Das Gericht stellte zudem klar, dass die Kamera nicht drehbar sein darf. Das Amtsgericht Berlin-Spandau urteilte in einem vergleichbaren Fall, dass eine an der Haustür installierte Überwachungskamera das Nachbarhaus nicht erfassen darf. Ein Anspruch auf Entfernung einer Kamera kann bereits bestehen, wenn eine Person ernsthaft befürchten muss, von ihr überwacht zu werden, unabhängig davon, ob tatsächlich aufgezeichnet wird.

Die genannten Urteile setzen einen rechtlichen Maßstab für Einzelfälle; eine flächendeckende, verlässliche Kontrolle, ob private Klingelkameras in der Praxis tatsächlich nachbarschaftskonform konfiguriert sind, ist aus dieser Quelle nicht belegt.

Bei der am 01.09.2023 gestarteten vereinfachten digitalen Kfz-Zulassung (i-Kfz) reichten Betrüger Zulassungsanträge per E-Mail unter falscher Identität ein, mit gefälschten Kopien von Ausweisdokumenten, deren Unterschriften auf Anträgen und Vollmachten scheinbar mit den Dokumentkopien übereinstimmten. Das Kraftfahrt-Bundesamt (KBA) sperrte daraufhin rund zwei Drittel der deutschen Zulassungsstellen für die Bearbeitung von Fahrzeugzulassungen über i-Kfz, da die Computersysteme vieler Zulassungsstellen die Sicherheits-Mindeststandards nicht erfüllten. Als Reaktion wurde das Zulassungsverfahren verschärft: Zulassungsdienste und Autohäuser müssen seither bestätigen, dass ihnen das Originaldokument bei Antragstellung vorlag. Zum Schutz der Verbraucher müssen Kunden künftig zweimal persönlich bei der Zulassungsstelle erscheinen, einmal zur Antragstellung und einmal zur Abholung von Fahrzeugpapieren und Kennzeichen, was die zuvor mögliche rein digitale Einreichung der Antragsunterlagen einschränkt.

Die genaue Zahl der durch die Betrugsmasche tatsächlich erfolgreich zugelassenen Fahrzeuge unter falscher Identität ist aus dieser Quelle nicht beziffert.

Das Tracking-Tool Meta Pixel, Teil der Meta Business Tools, sammelt und wertet systematisch Nutzerdaten aus, ohne dass Betroffene sich dessen stets bewusst sind. Besonders kritisch ist der Einsatz auf Websites mit besonders sensiblen Kategorien nach Art. 9 DSGVO, etwa bei Gesundheitsportalen, Beratungsstellen sowie bei Anwaltskanzleien und Steuerberaterpraxen, deren Mandatsverhältnisse gesetzlich der Verschwiegenheitspflicht unterliegen. Mehrere Oberlandesgerichte (Jena, Dresden, Stuttgart) verurteilten Meta wegen datenschutzwidrigen Trackings; der Bundesgerichtshof stellte klar, dass bereits der bloße Kontrollverlust über personenbezogene Daten einen immateriellen Schaden begründen kann. Verbraucherschutzkanzleien reichten daraufhin hunderte Klagen ein, mit möglichem Schadensersatz von bis zu 10.000 Euro pro Betroffenem. Für Verbraucher bleibt dabei oft unklar, welche Daten genau an Meta fließen, wie lange sie gespeichert werden und mit welchen anderen Informationen sie verknüpft werden.

Ob Meta Pixel konkret auf Websites von Kanzleien oder Steuerberatern in belegter Zahl tatsächlich zu einer Verletzung der anwaltlichen Verschwiegenheitspflicht führte, ist aus dieser Quelle nicht mit Einzelfällen dokumentiert, sondern als strukturelles Risiko beschrieben.

Das australische Regierungsprogramm Robodebt verglich automatisiert zweimonatliche Sozialleistungsdaten von Centrelink mit jährlichen Einkommensdaten der australischen Steuerbehörde, um vermeintliche Überzahlungen an Sozialleistungsempfänger zu identifizieren. Der zugrunde liegende methodische Fehler bestand darin, ein Jahreseinkommen gleichmäßig auf Monate herunterzurechnen, was für die tatsächliche zweimonatliche Einkommenssituation ungenau war. Über eine halbe Million Australier waren von dem fehlerhaften Programm betroffen, das Betroffenen Briefe mit angeblichen Schulden von teils Tausenden Dollar zustellte. Eine Regierungsuntersuchung stellte fest, dass Robodebt vulnerable Menschen weiter in Schulden trieb und mehrere Suizide verursachte. Die australische Regierung sagte zusätzlich zu bereits geleisteten Rückzahlungen eine weitere Entschädigung von 475 Millionen australischen Dollar zu; die gesamten Rückzahlungs- und Entschädigungskosten der Regierung belaufen sich damit auf 2,4 Milliarden australische Dollar.

Die genaue Zahl der durch Robodebt verursachten Suizide wird von der Regierungsuntersuchung nicht als exakte Zahl benannt, sondern als ursächlicher Faktor unter mehreren beschrieben.

Im April 2025 gingen bei den Berliner Verkehrsbetrieben (BVG) personenbezogene Daten von rund 180.000 Fahrgästen verloren, nachdem ein externer Dienstleister die sensiblen Informationen verarbeitet hatte. Die Berliner Datenschutzbeauftragte Meike Kamp erteilte der BVG daraufhin offiziell eine Rüge wegen Versäumnissen im Umgang mit den Fahrgastdaten. Bei der Nutzung des VBB-Handytickets entstehen bei Ticketausstellung und -kontrolle über das Verkaufssystem und die Kontrollterminals der Verkehrsunternehmen zusätzlich Datensätze, die Zeitpunkt, Ort und Art des Kommunikationsvorgangs sowie die jeweiligen Kennungen von Ticket und Verkaufs- bzw. Kontrollterminal enthalten und an die Hintergrundsysteme der Verkehrsunternehmen übermittelt werden.

Welche konkreten Daten der 180.000 betroffenen Fahrgäste verloren gingen (nur Kontaktdaten oder auch Bewegungsprofile) und ob sie in falsche Hände gerieten, ist aus dieser Quelle nicht im Detail spezifiziert.

Seit 2012 setzt die britische Durham Constabulary das gemeinsam mit Statistikexperten der University of Cambridge entwickelte Harm Assessment Risk Tool (HART) ein, das vorhersagen soll, ob Verdächtige ein niedriges, mittleres oder hohes Risiko haben, innerhalb der nächsten zwei Jahre erneut straffällig zu werden. HART verarbeitet Vorstrafenhistorie, Alter, Postleitzahl und weitere Hintergrundmerkmale einer Person zu einer Risikoeinstufung. Die Polizei geriet in die Kritik, weil sie damit sozioökonomische Daten zur Rückfallrisikoprognose heranzieht; ethische Bedenken umfassen laut Fachliteratur unzureichende Evidenz, die zu ungerechtfertigten Maßnahmen führt, undurchsichtige Entscheidungsgrundlagen, verzerrte Datenbasis, die Diskriminierung begünstigt, und Auswirkungen auf Autonomie und informationelle Privatsphäre. Die benachbarte Polizei von Avon und Somerset kündigte 2019 an, binnen zwölf Monaten sämtliche Bereiche über mindestens 23 verschiedene Vorhersagemodelle zu steuern, darunter Algorithmen zum Einbruchsrisiko, Nichterscheinen vor Gericht, Vermisstenfällen und häuslicher Gewalt; Bristol City Council führte 2019 zusätzlich ein eigenes Modell zur Vorhersage von Kindeswohlgefährdung durch kriminelle Ausbeutung ein.

Ob und in welchem Umfang HART tatsächlich zu diskriminierenden Polizeimaßnahmen führte, ist aus dieser Quelle nicht mit konkreten Einzelfällen belegt, sondern als strukturelle ethische Kritik formuliert.

Google kündigte im November 2019 die Übernahme des Wearable-Herstellers Fitbit im Wert von 2,1 Milliarden US-Dollar an, um sein stagnierendes Wearable-Geschäft anzukurbeln. Kritiker warnten, Google erhielte damit Zugriff auf die Gesundheitsdaten von Millionen Fitbit-Nutzern, die für personalisierte Werbung genutzt werden könnten. Die EU-Wettbewerbshüter genehmigten die Übernahme im Dezember 2020 nur unter der Bedingung, dass Google die Fitnessdaten der Nutzer nicht für Werbeprofile verwendet und Fitbit-Daten technisch nicht mit anderen Google-Diensten wie Google Maps oder YouTube verknüpft. Google musste diese Auflagen für mindestens zehn Jahre einhalten, überwacht durch einen Treuhänder mit weitreichenden Kontrollbefugnissen.

Ob Google die zehnjährigen Auflagen in der Praxis lückenlos einhält, kann aus dieser Quelle zum Zeitpunkt der Genehmigung naturgemäß nicht rückblickend beurteilt werden.

Bundesinnenminister Alexander Dobrindt (CSU) plant, dass Bundeskriminalamt und Bundespolizei kommerzielle Gesichtssuchmaschinen wie Clearview AI und PimEyes für die Polizeiarbeit nutzen können. Das Bundesinnenministerium unter Dobrindt erarbeitete dazu ein neues 'Sicherheitspaket' mit zwei Gesetzentwürfen, die es BKA, Bundespolizei und Bundesamt für Migration und Flüchtlinge (BAMF) erlauben würden, biometrische Daten wie Gesichtsbilder oder Sprachaufnahmen aus öffentlich zugänglichen Internetquellen zu erheben und automatisiert mit polizeilichen Datenbanken abzugleichen. Auf die Frage nach einer Nutzung durch das Bundesamt für Verfassungsschutz (BfV) und den Bundesnachrichtendienst (BND) verweigerte die Bundesregierung unter Berufung auf 'Geheimhaltungsinteressen' die Antwort.

Ob und in welchem Umfang BND oder BfV Clearview AI bereits vor Verabschiedung der geplanten Gesetzentwürfe informell nutzten, bleibt aus dieser Quelle mangels Antwort der Bundesregierung offen.

Eine MIT-Studie mit dem Titel 'The Cop In Your Neighbor's Doorbell' untersuchte die Nutzung von Amazon Rings Nachbarschafts-App 'Neighbors' in Los Angeles und stellte fest, dass Nutzer gefilmte Personen aktiv als kriminell und verdächtig einordnen, dass die ethnische Zusammensetzung eines Viertels die Häufigkeit solcher Meldungen deutlich beeinflusst, und dass die App insbesondere in überwiegend weißen Vierteln, die an nicht-weiße Gebiete grenzen, als eine Art 'Racial Gatekeeping'-Werkzeug fungieren kann. Bei einer Auswertung von über 100 Nutzerbeiträgen über zwei Monate im Raum New York City waren am häufigsten als 'verdächtig' gemeldete Personen People of Color; in mehreren dokumentierten Fällen ermutigten Kommentatoren Nutzer, wegen Gruppen junger Schwarzer Jungen die Polizei zu rufen, ohne dass irgendein Hinweis auf tatsächliches kriminelles Verhalten vorlag. Die Forscher erstellten zudem die erste umfassende landesweite Karte und Analyse der Nutzung smarter Türklingelkameras in den kontinentalen USA.

Die Studie beschreibt statistische Muster und dokumentierte Einzelfälle aus einer begrenzten Stichprobe; eine flächendeckende bundesweite Häufigkeitsstatistik rassistisch motivierter Meldungen wird daraus nicht abgeleitet.

Der US-Lebensversicherer John Hancock entwickelte im April 2015 gemeinsam mit dem Anbieter Vitality ein Versicherungsprodukt, das Kunden bis zu 15 Prozent Prämienrabatt für das Tracking gesunder Gewohnheiten wie Sport bietet. Teilnehmer können eine Apple Watch für 25 US-Dollar erwerben und verpflichten sich im Gegenzug, die erfassten Fitnessdaten zwei Jahre lang an ihre Versicherung weiterzuleiten. Über 15.000 tägliche Schritte erhöhen das Punktekonto um 30 Punkte; wer weniger als 500 Vitality-Punkte im Monat sammelt, muss zusätzliche Gebühren für die Apple Watch zahlen, während gute Werte die Gesamtprämie senken. John Hancock erklärt, Versicherte könnten selbst entscheiden, welche Daten sie teilen, es bestehe kein Zwang zur Datenweitergabe.

Ob Kunden, die sich gegen die Datenweitergabe entscheiden, dieselben Versicherungskonditionen wie teilnehmende Kunden erhalten, ist aus dieser Quelle nicht belegt; ein faktischer Druck zur Teilnahme durch bessere Konditionen für Teilnehmer liegt nahe, wird aber nicht explizit bestätigt.

Die 2015 von der französischen Regierungsagentur Etalab entwickelte Software PredVol wurde 2016 im Département Val d'Oise getestet, um das Risiko von Autodiebstählen vorherzusagen, und 2017/2018 wieder eingestellt, da sie nicht besser abschnitt als einfache menschliche Einschätzung. Die ab 2017 von der Gendarmerie entwickelte Nachfolgesoftware PAVED wurde ab 2018 in mehreren Departements erprobt, verhinderte laut Bericht zwar möglicherweise vereinzelte Autodiebstähle, blieb aber insgesamt in ihrer Vorhersagekraft enttäuschend und führte zu keiner erhöhten Zahl von Festnahmen auf frischer Tat; trotz ursprünglicher Pläne wurde PAVED nie flächendeckend innerhalb der Gendarmerie Nationale eingeführt. Kritiker von La Quadrature du Net bemängeln zusätzlich, dass Hersteller den Quellcode ihrer Software nicht offenlegen, wodurch sich nicht überprüfen lässt, wie die Algorithmen ihre Prognosen tatsächlich berechnen und gewichten, und fordern deshalb ein grundsätzliches Verbot von Predictive Policing in Frankreich.

Ob eine geringe Wirksamkeit oder primär Datenschutzbedenken den entscheidenden Grund für die faktische Nichteinführung von PAVED darstellten, lässt sich aus dieser Quelle nicht eindeutig trennen.

Bei einem sogenannten Keyword Warrant muss Google alle Daten zu Nutzersuchen herausgeben, die bestimmte Suchbegriffe innerhalb eines festgelegten Zeitraums enthielten, unabhängig davon, ob die suchenden Personen mit einer Straftat in Verbindung stehen. Google wird nach Schätzungen jährlich mit tausenden solcher Anordnungen konfrontiert; Keyword Warrants gelten als eine der umstrittensten Durchsuchungsmaßnahmen in den USA. In einem Fall aus dem Jahr 2016 forderte die Polizei nach der Vergewaltigung einer Frau in Pennsylvania per Durchsuchungsbeschluss von Google die Herausgabe aller Nutzer, die zuvor nach der Adresse des Opfers gesucht hatten; in einer Untersuchung aus Wisconsin 2019 verlangten Behörden Informationen zu allen Nutzern, die den Namen des Opfers, zwei Schreibweisen des Namens seiner Mutter und dessen Adresse innerhalb eines bestimmten Zeitraums gesucht hatten. Kritiker warnen, dass unschuldige Personen durch dieses 'Fischen im Trüben' ins Visier von Ermittlern geraten können, ohne selbst verdächtig zu sein.

Wie oft Keyword Warrants tatsächlich zur Verurteilung unbeteiligter Personen führten, ist aus dieser Quelle nicht mit Fallzahlen belegt; die Kritik bezieht sich auf das strukturelle Risiko der Methode.

Die Private-Equity-Firma Blackstone übernahm im August 2020 für 4,7 Milliarden US-Dollar die Mehrheit an Ancestry.com, Betreiber der weltweit größten Datenbank für genetische und genealogische Verbraucherdaten mit 24 Milliarden Datensätzen und Genom-Daten von 18 Millionen Menschen. Eine Sammelklage warf Ancestry.com vor, seine genetische Datenbank ohne die nach Illinois-Recht erforderliche schriftliche Einwilligung der Betroffenen an den erwerbenden Finanzinvestor weitergegeben zu haben; die Übernahme umfasste neben Genomdaten auch persönliche Identifikationsdaten wie Vor- und Nachnamen, E-Mail-Adressen, Wohnadressen sowie teils Alter und Geschlecht. Blackstone erklärte öffentlich, das Unternehmen habe keinen und werde keinen Zugriff auf DNA-Daten der Nutzer erhalten. Datenschutzexperten wiesen dennoch darauf hin, dass sich die Datenschutzbedingungen für Bestandskunden durch den Eigentümerwechsel nicht änderten und ein solcher Kontrollwechsel bei sensiblen Gendaten einen 'sehr besorgniserregenden Trend' darstelle, den Aufsichtsbehörden bislang unzureichend regulieren.

Ob Blackstones öffentliche Zusicherung, keinen Zugriff auf DNA-Daten zu erhalten, durch eine unabhängige Prüfung verifiziert wurde, ist aus dieser Quelle nicht belegt; sie beruht auf der Selbstauskunft des Unternehmens.

Im September 2022 meldete der australische Telekommunikationsanbieter Optus einen Cyberangriff, bei dem Daten von fast 10 Millionen aktuellen und ehemaligen Kunden zugänglich wurden. Betroffen waren Namen, Geburtsdaten, Wohnadressen, Telefonnummern, E-Mail-Adressen sowie amtliche Ausweisdaten wie Reisepassnummern, Führerscheinnummern und Medicare-Kartennummern. Nach Angaben eines Insiders bei Optus und der australischen Regierung war menschliches Versagen bei einer offenen, nicht durch Authentifizierung geschützten Datenbank-Schnittstelle (API) die Ursache, während Optus selbst den Vorfall öffentlich als komplexen Angriff darstellte. Ein Angreifer unter dem Namen 'optusdata' bekannte sich zu dem Hack und forderte zunächst eine Million US-Dollar Lösegeld, um die Daten nicht im Netz zu verkaufen. Der australische Datenschutzbeauftragte (Australian Information Commissioner) leitete daraufhin ein zivilrechtliches Verfahren gegen Optus ein.

Die widersprüchlichen Darstellungen von Optus (komplexer Angriff) und Insidern/Regierung (einfaches menschliches Versagen bei ungesicherter API) lassen sich aus dieser Quelle nicht abschließend auflösen.

Zur Dopingbekämpfung müssen Athleten im Anti-Doping-Verwaltungssystem ADAMS (Anti-Doping Administration and Management System) jederzeit ihren genauen Aufenthaltsort für unangekündigte Kontrollen hinterlegen; viele Sportler fühlen sich durch diese detaillierten Standortangaben indirekt permanent überwacht. Die Datensicherheit des Systems geriet in die Kritik, nachdem ein Hackerangriff dazu führte, dass Gesundheitsdaten von Athleten im Internet auffindbar waren. Kritiker bemängeln zusätzlich, dass ein biologischer Athletenpass, der Blutparameter über die Zeit verfolgt, von Sportlern mit erfahrenen Beratern gezielt durch Mikrodosierung von Dopingsubstanzen wie EPO unterlaufen werden kann, deren minimale Verabreichung so bemessen ist, dass sie im Blutpass keinen Verdacht auslöst.

Umfang und Folgen des ADAMS-Hackerangriffs (Anzahl betroffener Athleten, welche Daten konkret veröffentlicht wurden) sind aus dieser Quelle nicht detailliert beziffert.

Seit Ende 2022 sind bei der Polizei Berlin 250 Bodycams sowie 50 beim Rettungsdienst der Berliner Feuerwehr im Einsatz; ein Evaluationsbericht der Senatsverwaltung für Inneres und Sport wurde im Oktober 2024 dem Abgeordnetenhaus vorgelegt. Die Speicherfrist für Bodycam-Aufnahmen ist je nach Bundesland sehr unterschiedlich geregelt, etwa vier Tage in Hamburg gegenüber bis zu 30 Tagen in anderen Ländern; der Hamburger Datenschutzbeauftragte kritisierte die kurze Frist, weil sie Betroffenen zu wenig Zeit lasse, sich über das Verhalten von Polizeibeamten zu beschweren, bevor die Aufnahmen automatisch gelöscht werden. Amnesty International forderte, dass die Polizei Videoaufzeichnungen vor der automatischen Löschung systematisch auf strafrechtlich relevantes Verhalten von Beamten selbst hin auswerten müsse. Eine Gesetzesänderung erlaubt seit Ende 2023 unter engen rechtlichen Voraussetzungen zusätzlich den Einsatz von Bodycams innerhalb von Wohnungen.

Ob die Polizei Aufnahmen tatsächlich systematisch auf das eigene Fehlverhalten hin auswertet, wie von Amnesty gefordert, oder überwiegend nur bei Beschwerden reaktiv genutzt wird, ist aus dieser Quelle nicht belegt.

Verbraucherschützer warnten im Dezember 2024, der Zahlungsdienstleister Klarna analysiere im Rahmen seiner Bonitätsprüfung offenbar detailliert die Kontoauszüge seiner Nutzer, um Zahlungsverhalten und Wahrscheinlichkeitswerte für künftiges Verhalten (Scoring) zu ermitteln. Klarna erhebt und nutzt laut eigenen Datenschutzangaben Daten zum bisherigen Zahlungsverhalten der betroffenen Person zur Entscheidung über Begründung, Durchführung oder Beendigung einer Vertragsbeziehung und gibt personenbezogene Daten auch an verbundene Unternehmen der Klarna-Gruppe sowie Leistungserbringer und Subunternehmer weiter, soweit dies zur Vertragserfüllung erforderlich ist.

Der genaue technische Umfang der Kontoauszugsanalyse (welche einzelnen Datenpunkte konkret ausgewertet werden) und ob Nutzer dieser Analyse gezielt widersprechen können, ist aus dieser Quelle nicht im Detail belegt.

Autonome Robotaxis wie die von Waymo zeichnen kontinuierlich Innen- und Außenraumvideo auf und werden damit faktisch zu mobilen Überwachungskameras im Stadtraum. In einem Fall in San Francisco nutzte ein Einbrecher nach einem Überfall auf ein Yogastudio ein Waymo-Fahrzeug als Fluchtauto; als die Polizei im April eine Durchsuchungsanforderung stellte, hatte das Unternehmen die Innenraumaufnahmen bereits routinemäßig gelöscht. Waymo verpixelt Gesichter von Passanten auf seinen Aufnahmen standardmäßig, um deren Privatsphäre zu schützen. 2023 erwirkte die Polizei sowohl in San Francisco als auch in Maricopa County, Arizona, förmliche Durchsuchungsbefehle für Waymo-Videoaufnahmen; ein Waymo-Sprecher erklärte, das Unternehmen prüfe jede polizeiliche Anfrage auf ihre rechtliche Gültigkeit und weise zu weit gefasste Forderungen zurück, um die Daten der Fahrgäste zu schützen. Bei einem separaten Vorfall mit dem Waymo-Konkurrenten Cruise wurde eine Frau von einem Robotaxi erfasst und mehrere Meter mitgeschleift, woraufhin die Verkehrsbehörde San Francisco der General-Motors-Tochter die Testerlaubnis entzog.

Wie viele der bei Waymo eingegangenen Durchsuchungsanfragen das Unternehmen tatsächlich als 'zu weit gefasst' zurückwies, ist aus dieser Quelle nicht mit einer Zahl belegt; die Aussage stammt aus einer Unternehmenserklärung.

Das biometrische Grenzkontrollsystem EasyPASS wurde 2009 unter dem Namen 'GAnGes' am Flughafen Frankfurt getestet und läuft dort seit 2014 im Regelbetrieb. Reisende scannen ihren elektronischen Reisepass am eGate und blicken für die Gesichtserkennung in eine Kamera, die charakteristische Gesichtsmerkmale berechnet und mit dem im Pass gespeicherten biometrischen Foto abgleicht. Personen- und passbezogene Daten werden regulär 48 Stunden gespeichert; bei einer polizeilichen Feststellung kann die Speicherdauer manuell auf bis zu 30 Tage verlängert werden. Aktuell sind 255 EasyPASS-Kontrollspuren an acht großen deutschen Flughäfen im Einsatz (Frankfurt, München, Köln/Bonn, Düsseldorf, Berlin/Brandenburg, Stuttgart, Hannover, Hamburg), nutzbar für alle EU-Bürger ab zwölf Jahren mit gültigem elektronischem Reisepass.

Wie oft die Ausnahmeregelung zur verlängerten 30-Tage-Speicherung tatsächlich angewendet wird und nach welchen konkreten Kriterien eine 'polizeiliche Feststellung' definiert ist, ist aus dieser Quelle nicht belegt.

Der Europäische Datenschutzbeauftragte (EDSB) stellte bereits im September 2020 fest, dass Europol bei seiner Voranalyse zur Personenkategorisierung gegen den Grundsatz der Datenminimierung verstieß, und ordnete im Januar 2022 an, Daten zu Personen zu löschen, für die keine Verbindung zu kriminellen Aktivitäten nachgewiesen war. Laut Recherchen des Guardian umfasste die betroffene Datensammlung rund vier Petabyte, entsprechend etwa drei Millionen CD-ROMs, zu mindestens 250.000 Personen, die nationale Strafverfolgungsbehörden an Europol übermittelt hatten, darunter Angaben zu Tausenden unbeteiligten Menschen sowie Einträge aus Terrorlisten einzelner Staaten, die eigentlich hätten gelöscht werden müssen. Statt die Löschanordnung umzusetzen, verabschiedete die EU eine Verordnung, die den Datenberg rückwirkend legalisierte: Die neuen Artikel 74a und 74b erlaubten Europol rückwirkend die Verarbeitung großer Datensätze ohne nachgewiesenen Bezug zu Straftaten und traten am 28.06.2022 in Kraft, womit der Widerspruch des EDSB vom Januar 2022 überschrieben wurde. Der EDSB brachte den Fall daraufhin vor den Europäischen Gerichtshof.

Der Ausgang des Verfahrens vor dem Europäischen Gerichtshof ist aus dieser Quelle nicht belegt.

Das Unternehmen Worldcoin (Tools for Humanity) sammelte weltweit Iris-Scans gegen Kryptowährungs-Token, häufig von Menschen aus wirtschaftlich benachteiligten Gemeinschaften, ohne ausreichende Aufklärung darüber, was die Erfassung biometrischer Irisdaten bedeutet oder wie die Daten international verarbeitet werden. Die kenianische Datenschutzbehörde setzte das Programm am 02.08.2023 wegen unzureichenden Schutzes biometrischer Daten und fehlender Einwilligungsmechanismen aus; im Mai 2025 erklärte der High Court of Kenya den Betrieb der Plattform für illegal. In Deutschland ordnete das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) im Dezember 2024 nach einer DSGVO-Prüfung an, dass Worldcoin die in Deutschland erhobenen Irisdaten löschen muss. Weltweit haben mindestens acht Länder, von Spanien bis Indonesien, den Betrieb von Worldcoin verboten oder untersucht.

Ob Worldcoin die BayLDA-Löschanordnung tatsächlich vollständig umsetzte, ist aus dieser Quelle nicht belegt.