Quellen-Tabelle

Am 09.05.2022 einigten sich die American Civil Liberties Union (ACLU) und das Unternehmen Clearview AI auf einen gerichtlich bestätigten Vergleich (Consent Decree) vor einem Gericht in Illinois, mit dem eine am 28.05.2020 eingereichte Klage nach dem Illinois Biometric Information Privacy Act (BIPA) beendet wurde. Die Klage richtete sich gegen die Praxis von Clearview AI, ohne Zustimmung Milliarden Gesichtsbilder aus dem Internet zu sammeln; das Unternehmen hatte nach eigenen Angaben bereits mehr als 10 Milliarden biometrische Gesichtsprofile gesammelt und plante eine Ausweitung auf 100 Milliarden. Der Vergleich verbietet Clearview AI dauerhaft und landesweit, seine Gesichtsdatenbank an die meisten privaten Unternehmen und Einzelpersonen zu verkaufen oder zugänglich zu machen. Für Illinois gilt zusätzlich ein fünfjähriges Verbot, den Datenbankzugang an private oder staatliche und kommunale Stellen im Bundesstaat zu vergeben. Clearview AI muss zudem ein Formular bereitstellen, über das Einwohner Illinois' den Ausschluss ihrer Gesichtsdaten aus Suchergebnissen beantragen können, und 50.000 US-Dollar für Online-Werbung zu diesem Opt-out-Mechanismus aufwenden. Eine direkte Geldzahlung an die Kläger enthält dieser Vergleich nicht. Das Gericht unterzeichnete die entsprechende Anordnung am 11.05.2022.

Der häufig im Zusammenhang mit Clearview AI zitierte Betrag von rund 50 Millionen US-Dollar stammt nicht aus diesem Vergleich, sondern aus einer separaten Bundesgerichts-Sammelklage, in der Klägern 2024 ein Eigenkapitalanteil von 23 Prozent zugesprochen wurde. Diese spätere Einigung wurde am 20.03.2025 richterlich bestätigt, im Juli 2026 aber vom Berufungsgericht wieder aufgehoben, sodass ihr endgültiger Ausgang offen ist.

Die US-Nachrichtenseite BuzzFeed News berichtete am 02.04.2018, dass die Dating-App Grindr sensible Nutzerdaten an die Drittfirmen Apptimize und Localytics weitergab. Grundlage war eine Analyse des norwegischen Forschungsinstituts SINTEF im Auftrag des schwedischen Senders SVT, die von BuzzFeed News unabhängig überprüft wurde. Zu den weitergegebenen Daten gehörten der HIV-Status samt Datum des letzten Tests, die GPS-Position, die Telefon-ID, die E-Mail-Adresse, die sexuelle Orientierung, die ethnische Zugehörigkeit, der Beziehungsstatus sowie die selbst gewählte Tribe-Kategorie. Grindr gab zum Zeitpunkt der Veröffentlichung 3,6 Millionen täglich aktive Nutzer weltweit an. Der SINTEF-Forscher Antoine Pultier erklärte, das Hauptproblem sei die Verknüpfung des HIV-Status mit den übrigen persönlichen Angaben zu einer Person. Grindr-Technikchef Scott Chen bezeichnete die Weitergabe zunächst als in der App-Branche übliche Praxis unter strengen Vertragsbedingungen. Nach der Veröffentlichung kündigte Grindr an, die Übermittlung des HIV-Status an Apptimize und Localytics zu beenden. Teile der Daten waren laut dem Bericht unverschlüsselt im Klartext übertragen worden.

Der Artikel belegt nicht, wie lange die Datenweitergabe bereits vor 2018 bestand oder ob Apptimize und Localytics die HIV-Daten für eigene Zwecke auswerteten. Eine mögliche behördliche Sanktion oder ein Bußgeld wegen dieses konkreten Vorfalls wird in dieser Quelle nicht behandelt.

Der US-Bildungssoftware-Anbieter PowerSchool mit Sitz in Folsom, Kalifornien, wurde Ende Dezember 2024 Opfer eines schwerwiegenden Datendiebstahls. Ein Angreifer verschaffte sich mit gestohlenen Zugangsdaten eines Mitarbeiters bzw. Subunternehmers Zugriff auf das Kundenportal PowerSource und blieb dabei rund neun Tage unentdeckt. Betroffen waren die Daten von mehr als 60 Millionen Schülern und rund 9,5 Millionen Lehrkräften in den USA und Kanada, darunter Namen, Adressen, Geburtsdaten, Sozialversicherungsnummern, medizinische Informationen und Angaben zu sonderpädagogischem Förderbedarf. PowerSchool zahlte den Angreifern nach eigenen Angaben rund 2,85 Millionen US-Dollar in Bitcoin, um die Veröffentlichung der Daten zu verhindern, die gestohlenen Daten wurden jedoch nicht gelöscht und einzelne Schulbezirke später zusätzlich erpresst. Als Täter wurde der damals 19-jährige Matthew Lane aus Massachusetts identifiziert, der sich schuldig bekannte. Ein US-Bundesgericht verurteilte Lane zu vier Jahren Haft, drei Jahren anschließender Bewährungsaufsicht, einer Geldstrafe von 25.000 US-Dollar sowie rund 14 Millionen US-Dollar Wiedergutmachungszahlung an PowerSchool. Die Gesamtkosten des Vorfalls für PowerSchool inklusive Identitätsschutz-Maßnahmen für Betroffene wurden mit über 14 Millionen US-Dollar beziffert.

Die genaue Zahl der tatsächlich von besonders sensiblen Daten wie Sozialversicherungsnummern betroffenen Personen ist nicht einheitlich belegt, da der Umfang je nach Schulbezirk stark variierte. Der Ausgang der laufenden Sammelklagen gegen PowerSchool sowie der Verbleib des größten Teils des gezahlten Lösegelds sind bislang nicht abschließend geklärt.

Ab dem 27.05.2023 nutzte die russischsprachige Ransomware-Gruppe Cl0p (auch Clop) eine SQL-Injection-Zero-Day-Schwachstelle (CVE-2023-34362) in der Dateiübertragungssoftware MOVEit Transfer des US-Herstellers Progress Software aus, um über eine eigens entwickelte Webshell Daten von den Servern betroffener Organisationen zu stehlen. Progress Software veröffentlichte den ersten Patch am 31.05.2023, in den folgenden Monaten wurden weitere Schwachstellen bekannt, darunter CVE-2023-35036 und CVE-2023-35708. Bis Mitte Juli 2023 waren mehr als 2.650 Organisationen betroffen, die Zahl stieg bis Ende 2023 nach verschiedenen Auswertungen auf über 2.700. Nach Angaben vom 18.10.2023 waren zu diesem Zeitpunkt Daten von rund 66 Millionen Menschen offengelegt, spätere Gesamtauswertungen gehen von deutlich mehr als 90 Millionen betroffenen Personen aus. Zu den namentlich bekannten Opfern zählen British Airways, die BBC, die US-Universitätsdatenclearingstelle National Student Clearinghouse, die Wirtschaftsprüfungsgesellschaften Deloitte, Ernst & Young und PwC sowie das US-Außenministerium. Progress Software bezifferte die eigenen Reaktionskosten bis zum 31.08.2023 auf 2,9 Millionen US-Dollar, gegen das Unternehmen wurden mehr als 58 Sammelklagen eingereicht, und die US-Börsenaufsicht SEC leitete am 02.10.2023 eine Untersuchung per Vorladung ein.

Die genaue Gesamtzahl betroffener Organisationen und Personen schwankt je nach Erhebungszeitpunkt und Quelle zwischen rund 2.500 und über 2.770 Organisationen sowie zwischen 66 und rund 96 Millionen Einzelpersonen. Der Ausgang der Sammelklagen gegen Progress Software war noch nicht rechtskräftig entschieden, eine SEC-Untersuchung wurde 2024 ohne Maßnahme eingestellt.

Der australische Kredit- und Finanzdienstleister Latitude Financial Services meldete am 16.03.2023 einen Cyberangriff, bei dem Angreifer mit gestohlenen Zugangsdaten eines Mitarbeiters auf Systeme zweier externer Dienstleister zugriffen, die Kundendaten von Latitude verwalteten. Zunächst nannte das Unternehmen rund 328.000 betroffene Personen, korrigierte die Zahl jedoch am 27.03.2023 drastisch auf etwa 14 Millionen Kunden in Australien und Neuseeland. Gestohlen wurden unter anderem rund 7,9 Millionen Führerscheinnummern, davon etwa 3,2 Millionen aus den letzten zehn Jahren, sowie rund 53.000 Passnummern, dazu Namen, Geburtsdaten, Adressen, Telefonnummern und E-Mail-Adressen. Damit gilt der Vorfall als der bis dahin größte Diebstahl von Identitätsdokumenten in der australischen Geschichte. Die australische Datenschutzbehörde OAIC kündigte am 10.05.2023 gemeinsam mit der neuseeländischen Datenschutzbehörde eine gemeinsame Untersuchung der Datenschutzpraktiken der Latitude-Gruppe an. Latitude bezifferte die durch den Vorfall verursachten Vorsteuerkosten und Rückstellungen später auf rund 76 Millionen australische Dollar. Latitude Financial ist einer der größten Anbieter von Konsumentenkrediten und Ratenzahlungen in Australien und Neuseeland.

Aus dieser Quelle nicht belegt sind der genaue Ausgang und ein Abschlussdatum der OAIC/OPC-Untersuchung sowie etwaige später verhängte Bußgelder gegen Latitude; auch die Identität der Angreifer bzw. ein mögliches Bekennerschreiben werden hier nicht bestätigt.

Seit Juni 2022 verwehrt der US-Freizeit- und Sportkonzern Madison Square Garden Entertainment (MSGE) Anwältinnen und Anwälten von Kanzleien, die aktive Klagen gegen das Unternehmen führen, den Zutritt zu seinen Veranstaltungsorten, solange das jeweilige Verfahren läuft. Durchgesetzt wird das Betretungsverbot mit Gesichtserkennungssoftware, die MSGE nach eigenen Angaben bereits seit 2018 an den Eingängen von Madison Square Garden, Radio City Music Hall, Hulu Theater und Beacon Theatre einsetzt. Fotos der betroffenen Anwälte werden von den Webseiten ihrer Kanzleien in eine interne Sperrliste eingespeist und beim Einlass automatisch mit den erfassten Gesichtern der Besucher abgeglichen. Bundesweite Aufmerksamkeit erhielt die Praxis, nachdem die Anwältin Kelly Conlon von der New Jersey Kanzlei Davis, Saperstein and Salomon am Wochenende nach Thanksgiving Ende November 2022 beim Besuch der Rockettes-Show Christmas Spectacular in der Radio City Music Hall per Gesichtserkennung erkannt und trotz gültigem Ticket des Saals verwiesen wurde, obwohl sie eine Pfadfindergruppe ihrer Tochter begleitete. MSGE erklärte, alle betroffenen Kanzleien seien vorab über die Regelung informiert worden. Nach Recherchen der New Yorker Generalstaatsanwältin Letitia James, die MSGE am 25.01.2023 offiziell zur Stellungnahme aufforderte, betraf das Verbot Anwälte aus mehr als 90 Kanzleien. James warnte, das Verbot und der Einsatz der Gesichtserkennung zu seiner Durchsetzung könnten gegen New Yorker Bürger- und Menschenrechtsgesetze verstoßen.

Aus dem Bericht geht nicht hervor, an welchem genauen Kalendertag im November 2022 Conlon abgewiesen wurde und wie der zum Zeitpunkt der Berichterstattung noch offene Rechtsstreit letztlich ausging.

Die New York Times deckte am 11.03.2024 auf, dass General Motors über sein Telematiksystem OnStar und das Programm Smart Driver Fahrverhaltensdaten von Kunden sammelte und ohne klare Einwilligung an die Auskunfteien LexisNexis Risk Solutions und Verisk Analytics verkaufte. Erfasst wurden unter anderem Geschwindigkeit, Vollbremsungen, starke Beschleunigungen, Fahrtzeiten und gefahrene Strecken sowie teilweise Geodaten im Abstand von nur drei Sekunden. LexisNexis erstellte aus diesen Daten Risikoscores, die Versicherungsunternehmen bei der Festlegung von Prämien oder bei der Ablehnung von Kunden nutzten. Betroffen waren GM-Modelle der Marken Chevrolet, GMC, Cadillac und Buick ab Baujahr 2015. Nach dem öffentlichen Bekanntwerden stellte GM die Datenweitergabe an LexisNexis und Verisk am 20.03.2024 ein und beendete das Smart-Driver-Programm am 24.04.2024. Die Generalstaatsanwaltschaft von Texas verklagte GM im August 2024 wegen der Daten von mehr als 1,5 Millionen Fahrern im Bundesstaat. Die FTC einigte sich am 16.01.2025 mit GM auf einen Vergleich mit einem fünfjährigen Verbot der Weitergabe sensibler Standort- und Fahrverhaltensdaten an Auskunfteien sowie einer zwanzigjährigen Auflage zur Einholung ausdrücklicher Kundenzustimmung. Kalifornien schloss am 08.05.2026 einen eigenen Vergleich mit GM über eine Zivilstrafe von 12,75 Millionen US-Dollar.

Die genaue Gesamtzahl der betroffenen US-Fahrer ist nicht offiziell verifiziert; Sammelklagen sprechen von bis zu 16 Millionen Betroffenen, was durch die FTC-Dokumente nicht bestätigt wird. Ebenfalls nicht abschließend geklärt ist, in welchem Umfang einzelne Autohäuser Kunden aktiv zur Anmeldung bei Smart Driver gedrängt haben.

Am 13. und 14. September 2021 veröffentlichte das Wall Street Journal die Artikelserie The Facebook Files auf Basis interner Firmendokumente, die ihm die ehemalige Facebook-Produktmanagerin Frances Haugen zugespielt hatte. Haugen arbeitete von Juni 2019 bis Mai 2021 im Civic-Integrity-Team von Facebook und kopierte beim Ausscheiden Zehntausende interne Unterlagen. Eine Präsentationsfolie aus internen Studien von 2019 hielt fest, dass Facebook bei einem von drei Teenager-Mädchen Körperbildprobleme durch Instagram verschlimmert. Laut einer internen Erhebung vom März 2020 gaben 32 Prozent der befragten Teenager-Mädchen an, dass Instagram negative Gefühle zum eigenen Körper noch verstärkte. Unter Jugendlichen mit Suizidgedanken führten 13 Prozent der britischen und 6 Prozent der amerikanischen befragten Nutzer diese Gedanken auf Instagram zurück. Am 3. Oktober 2021 gab sich Haugen in einem Interview der CBS-Sendung 60 Minutes öffentlich als Whistleblowerin zu erkennen. Am 5. Oktober 2021 sagte sie vor dem Handelsausschuss des US-Senats aus. Am 22. Oktober 2021 veröffentlichte ein Konsortium von 17 US-Nachrichtenredaktionen weitere interne Dokumente unter dem Namen Facebook Papers. Facebook stellte daraufhin die Entwicklung einer eigenen Instagram-Version für Kinder unter 13 Jahren ein und benannte den Mutterkonzern am 28. Oktober 2021 in Meta um.

Die genaue Gesamtzahl der von Haugen kopierten Dokumente wird nur mit Zehntausenden beziffert, eine exakte Seiten- oder Dokumentenzahl ist aus dieser Quelle nicht belegt. Ob die SEC-Beschwerden zu einem förmlichen Verfahren oder zu Sanktionen gegen Meta geführt haben, geht aus dieser Quelle nicht hervor.

Am 06.06.2013 veröffentlichten The Guardian und die Washington Post erste Berichte über das geheime NSA-Programm PRISM, basierend auf Dokumenten des NSA-Vertragsmitarbeiters Edward Snowden, der zuvor für Booz Allen Hamilton tätig war. Snowden wurde am 09.06.2013 öffentlich als Quelle genannt und floh anschließend über Hongkong nach Russland. PRISM ermöglichte der NSA seit 2007 Zugriff auf Nutzerdaten von neun US-Internetkonzernen, beginnend mit Microsoft (2007), gefolgt von Yahoo (2008), Google, Facebook und Paltalk (2009), YouTube (2010), AOL und Skype (2011) sowie Apple (2012). Erfasst wurden unter anderem E-Mails, Chatprotokolle, Fotos, Videos, Videoanrufe und Verbindungsdaten. Rechtsgrundlage war Section 702 des Foreign Intelligence Surveillance Act (FISA) von 2008, der im Dezember 2012 unter Präsident Obama verlängert wurde. Laut den geleakten Unterlagen standen im April 2013 rund 117675 Zielpersonen unter aktiver Beobachtung durch die NSA. Bereits am 05.06.2013 hatte der Guardian zusätzlich eine geheime Gerichtsanordnung veröffentlicht, wonach die NSA Telefonverbindungsdaten von mehr als 120 Millionen Verizon-Kunden in den USA erhielt. Die Enthüllungen lösten weltweite Debatten über Massenüberwachung aus und führten unter anderem zu einem spürbaren Anstieg der Nutzerzahlen datenschutzfreundlicher Suchmaschinen wie DuckDuckGo.

Aus dieser Quelle nicht abschließend geklärt ist, ob die NSA tatsächlich direkten technischen Zugriff auf die Server der Unternehmen hatte, wie die ursprüngliche Berichterstattung nahelegte, oder ob Daten über separate, von den Firmen kontrollierte Übergabesysteme flossen, was die betroffenen Konzerne bestritten. Auch das exakte Gesamtvolumen der über PRISM erfassten Kommunikationsdaten bleibt unbelegt.

Der finnische Psychotherapie-Anbieter Vastaamo, mit rund 40.000 behandelten Patienten der größte private Anbieter des Landes, wurde erstmals im November 2018 gehackt; die Datenbank blieb bis März 2019 unbemerkt kompromittiert. Ursache war eine ungesicherte Datenbank ohne Verschlüsselung, deren Root-Zugang lediglich mit dem Nutzernamen und Passwort root/root gesichert war. Der Angreifer Aleksanteri (Julius) Kivimäki erbeutete Patientendaten von etwa 33.000 Personen, darunter Namen, Personenkennzeichen und detaillierte Therapienotizen. Nachdem Vastaamo eine Lösegeldforderung von 40 Bitcoin, umgerechnet rund 450.000 Euro, nicht zahlte, veröffentlichte Kivimäki ab dem 21.10.2020 Patientendaten im Darknet und schickte tausenden Patienten direkt E-Mails mit der Forderung von 200 Euro, die sich bei Nichtzahlung innerhalb von 24 Stunden auf 500 Euro erhöhte. Rund 30.000 Patienten erhielten individuelle Erpresser-Nachrichten. Vastaamo meldete infolge des Vorfalls Insolvenz an. Die finnische Datenschutzaufsicht verhängte im Dezember 2021 ein Bußgeld von 608.000 Euro gegen das Unternehmen wegen Verstößen gegen die DSGVO. Kivimäki wurde im Februar 2023 in Frankreich unter falscher Identität festgenommen und nach Finnland ausgeliefert. Am 30.04.2024 verurteilte ihn ein finnisches Bezirksgericht wegen schwerer Datenrechtsverletzung sowie rund 21.000 Fällen versuchter und 20 Fällen vollendeter schwerer Erpressung zu sechs Jahren und drei Monaten Haft.

Die genaue Zahl der individuell erpressten Patienten schwankt je nach Quelle zwischen rund 22.000 und 30.000. Der Ausgang eines späteren Berufungsverfahrens sowie tatsächlich geleistete Entschädigungen an die Betroffenen sind in dieser Quelle nicht dokumentiert.

Im November 2014 wurde bekannt, dass Uber-Mitarbeiter über das interne Ortungswerkzeug God View in Echtzeit die Standorte von Fahrgästen einsehen konnten, ohne dass dafür ein geschäftlicher Anlass vorlag. Der New Yorker Uber-Manager Josh Mohrer griff zunächst auf die Fahrtdaten der BuzzFeed-Journalistin Johana Bhuiyan zu und verfolgte anschließend ohne ihre Zustimmung ihre Fahrt per God View. Spätere Berichte, unter anderem eines ehemaligen Uber-Sicherheitsmitarbeiters, warfen dem Unternehmen zudem vor, dass Mitarbeiter mit dem Werkzeug auch Prominente, Politiker sowie eigene Ex-Partner unerlaubt geortet hätten. Die New Yorker Generalstaatsanwaltschaft unter Eric Schneiderman leitete im November 2014 eine rund 14 Monate dauernde Untersuchung gegen Uber ein. Parallel dazu wurde bekannt, dass ein Uber-Ingenieur im September 2014 einen Zugangsschlüssel zu einem Cloud-Dienst versehentlich auf Github veröffentlicht hatte, wodurch Namens- und Führerscheindaten von Fahrern zugänglich waren; Uber informierte die Öffentlichkeit darüber erst am 26.02.2015. Am 06.01.2016 einigte sich Uber mit der New Yorker Generalstaatsanwaltschaft auf eine Zahlung von 20.000 US-Dollar sowie auf verbindliche Sicherheitsauflagen. Uber verpflichtete sich, Geodaten von Fahrgästen zu verschlüsseln, den Mitarbeiterzugriff auf God View auf begründete Geschäftszwecke zu beschränken, eine Multi-Faktor-Authentifizierung einzuführen und Zugriffe auf Nutzerdaten zu protokollieren.

Die genaue Zahl der Personen, die Uber-Mitarbeiter unrechtmäßig über God View verfolgt haben, ist nicht offiziell beziffert und stützt sich teils auf spätere, gerichtlich nicht geprüfte Whistleblower-Aussagen. Ebenso ist aus dieser Quelle nicht ersichtlich, wie viele Fahrer vom Datenleck 2014 konkret betroffen waren oder ob einzelne Mitarbeiter strafrechtlich belangt wurden.

Am 27.02.2019 gab die US-amerikanische Federal Trade Commission (FTC) eine Einigung mit dem Unternehmen hinter der Video-App Musical.ly bekannt, die inzwischen mit TikTok fusioniert war. Musical.ly zahlte 5,7 Millionen Dollar Zivilstrafe wegen Verstößen gegen den Children's Online Privacy Protection Act (COPPA). Die FTC warf dem Unternehmen vor, keine elterliche Zustimmung eingeholt zu haben, bevor personenbezogene Daten von Nutzern unter 13 Jahren gesammelt wurden. Zur Registrierung mussten Nutzer E-Mail-Adresse, Telefonnummer, vollständigen Namen, Nutzernamen, ein Profilbild und eine kurze Biografie angeben. Laut FTC-Beschwerde war dem Unternehmen bekannt, dass ein erheblicher Anteil der Nutzer jünger als 13 Jahre war, zudem gingen tausende Elternbeschwerden über Konten minderjähriger Kinder ein. Die Strafe war zum Zeitpunkt der Verhängung die höchste jemals von der FTC in einem Kinderschutzfall erzielte Zivilstrafe. Die Einigung verpflichtete das Unternehmen, künftig COPPA einzuhalten und alle von Nutzern unter 13 Jahren erstellten Videos offline zu nehmen. Die App firmierte zum Zeitpunkt der Ankündigung bereits unter der Marke TikTok, nachdem ByteDance Musical.ly im August 2018 übernommen und integriert hatte.

Aus der Pressemitteilung geht nicht hervor, wie viele Kinderkonten oder Videos konkret betroffen waren, und die genaue Zahl der eingegangenen Elternbeschwerden wird nur als tausende beziffert, nicht exakt. Ebenfalls nicht belegt ist eine detaillierte Aufschlüsselung, welcher Anteil der Gesamtnutzerschaft unter 13 Jahre alt war.

Die US-Handelsaufsichtsbehörde Federal Trade Commission (FTC) gab am 13. Januar 2021 einen Vergleich mit dem Unternehmen Flo Health Inc. bekannt, dem Entwickler der Perioden- und Fruchtbarkeits-Tracking-App Flo Period & Ovulation Tracker mit mehr als 100 Millionen Nutzerinnen weltweit. Die FTC warf Flo Health vor, entgegen eigener Datenschutzzusagen sensible Gesundheitsdaten wie den Eintritt der Periode, Schwangerschaftsabsichten und den Fruchtbarkeitsstatus von Nutzerinnen an Dritte weitergegeben zu haben, darunter die Analysedienste von Facebook und Google, den Facebook-Dienst App Events, Googles Fabric-Dienst sowie die Marketingfirmen AppsFlyer und Flurry. Eine Untersuchung des Wall Street Journal hatte die Praxis im Februar 2019 öffentlich gemacht, woraufhin Flo Health die Datenweitergabe einstellte. Nutzerinnen hatten laut FTC keine Möglichkeit erhalten, dieser Weitergabe zu widersprechen, obwohl die App Vertraulichkeit versprochen hatte. Der Vergleich verpflichtet Flo Health, künftig vor jeder Weitergabe von Gesundheitsdaten die ausdrückliche Einwilligung der Nutzerinnen einzuholen, eine unabhängige Überprüfung der eigenen Datenschutzpraxis durchführen zu lassen, betroffene Nutzerinnen über die frühere Offenlegung zu informieren und alle Drittfirmen anzuweisen, die erhaltenen Gesundheitsdaten zu löschen. Die FTC finalisierte die Anordnung am 22. Juni 2021.

Die genaue Zahl der tatsächlich von der Datenweitergabe betroffenen Nutzerinnen innerhalb der über 100 Millionen App-Nutzer ist aus dieser Quelle nicht ersichtlich. Der spätere zivilrechtliche Sammelklage-Vergleich über 59,5 Millionen US-Dollar aus dem Jahr 2025 ist nicht Teil dieser FTC-Anordnung und wird hier nicht behandelt.

Am 06.12.2021 veröffentlichte das gemeinnützige Rechercheportal The Markup eine Untersuchung, wonach die Familien-Tracking-App Life360 die präzisen Standortdaten ihrer weltweit rund 33 Millionen Nutzer an etwa ein Dutzend Datenhändler verkaufte. Zu den Käufern zählten unter anderem die Unternehmen X-Mode, Cuebiq, SafeGraph und Arity, eine Tochtergesellschaft des Versicherungskonzerns Allstate. Life360 wird von Eltern genutzt, um den Aufenthaltsort ihrer Kinder zu verfolgen, verkaufte die dabei gesammelten Standortdaten jedoch gleichzeitig weiter. Im Jahr 2020 erzielte das Unternehmen durch den Verkauf von Standortdaten rund 16 Millionen US-Dollar, was fast 20 Prozent des Jahresumsatzes entsprach. Zusätzlich erhielt Life360 rund 6 Millionen US-Dollar durch eine gesonderte Vereinbarung mit Arity. Nach Veröffentlichung der Recherche kündigte Life360 am 27.01.2022 an, den Verkauf präziser Standortdaten an die meisten der bisherigen Datenhändler einzustellen. Life360 bestätigte, seit mindestens 2016 Standortdaten an Dritte verkauft zu haben. Im April 2022 berichtete The Markup, dass US-Regulierungsbehörden nach der Recherche Informationen zu den Datenpraktiken von Life360 angefordert hatten. Im Juni 2023 wurde gegen Life360 eine Klage wegen ungerechtfertigter Bereicherung eingereicht.

Nicht belegt ist, wie viele der 33 Millionen Nutzer konkret von den Datenverkäufen betroffen waren und welche einzelnen Endkunden die Datenhändler mit den Rohdaten beliefert haben; der Ausgang der 2023 eingereichten Klage sowie das Ergebnis der Regulierungsanfragen waren zum Zeitpunkt der Berichterstattung offen.

Am 19.12.2022 veröffentlichte MIT Technology Review eine Recherche zu einem Datenleck bei iRobot. Die Redaktion konnte 15 Bildschirmfotos einsehen, die von Testgeräten der Roomba J7 Serie zwischen Juni und November 2020 in den USA, Japan, Frankreich, Deutschland und Spanien aufgenommen worden waren. Eines der Bilder zeigte eine Frau auf der Toilette in ihrer eigenen Wohnung. iRobot hatte mehr als 2 Millionen Bilder aus diesen Testgeräten an das Datenannotationsunternehmen Scale AI weitergegeben, damit dessen Plattform Remotasks die Aufnahmen für das Training von Künstlicher Intelligenz kennzeichnete. Gig Worker in Venezuela, die für Remotasks tätig waren, teilten die Bilder entgegen ihrer Vertraulichkeitsvereinbarung in geschlossenen Gruppen auf Facebook, Discord und anderen Plattformen. iRobot erklärte, es habe die Zusammenarbeit mit dem betroffenen Dienstleister beendet und untersuche den Vorfall. Das Unternehmen gab an, die Testgeräte seien mit einem grünen Aufkleber gekennzeichnet gewesen, der auf laufende Videoaufnahmen hinwies. Die betroffenen Testpersonen hatten einer Datenerfassung zu Entwicklungszwecken zugestimmt, jedoch nicht damit gerechnet, dass Aufnahmen aus ihren Wohnungen im Internet öffentlich geteilt werden.

Aus der Quelle geht nicht hervor, wie viele Personen insgesamt von der Weiterverbreitung betroffen waren und welche konkreten Konsequenzen die beteiligten Gig Worker oder Scale AI trugen. Ob es zu behördlichen Ermittlungen oder Sanktionen gegen iRobot oder Scale AI kam, ist ebenfalls nicht belegt.

Die IT-Sicherheitsfirma Pen Test Partners meldete Peloton Interactive am 20.01.2021 im Rahmen von dessen Bug-Bounty-Programm mehrere ungesicherte API-Endpunkte. Über den Endpunkt /api/user/search sowie eine GraphQL-Schnittstelle des Leaderboards konnten persönliche Profildaten beliebiger Peloton-Nutzer abgerufen werden, ohne dass eine Anmeldung erforderlich war. Betroffen waren Nutzer-ID, Alter, Geschlecht, Wohnort, Gewicht, Trainingsstatistiken und Instructor-ID, selbst wenn ein Nutzer sein Profil als privat eingestellt hatte. Peloton hatte zu diesem Zeitpunkt mehr als drei Millionen Abonnenten. Peloton behob den unauthentifizierten Zugriff am 02.02.2021 zunächst nur teilweise, sodass die Daten weiterhin für jeden angemeldeten Nutzer einsehbar blieben. Erst nachdem Pen Test Partners nach Ablauf der 90-tägigen Offenlegungsfrist einen Journalisten von TechCrunch einschaltete, meldete sich Pelotons neue Chief Information Security Officer direkt bei den Forschern. Die verbliebenen Schwachstellen wurden daraufhin innerhalb von rund sieben Tagen behoben, TechCrunch veröffentlichte den Fall am 05.05.2021. Finanzielle Strafen oder behördliche Sanktionen im Zusammenhang mit dem Vorfall wurden nicht bekannt.

Aus der Quelle geht keine konkrete Zahl tatsächlich abgerufener Nutzerkonten hervor, und ob Dritte die Schwachstelle vor der Behebung aktiv zum massenhaften Auslesen von Daten genutzt haben, ist nicht belegt.

Die Nachrichtenseite The Verge veröffentlichte am 25.04.2019 einen Bericht von Colin Lecher über ein automatisiertes Leistungsüberwachungssystem im Amazon-Logistikzentrum BWI2 in Baltimore, Maryland. Grundlage waren interne Dokumente, die im Zuge einer Beschwerde beim National Labor Relations Board offengelegt wurden. Das System erfasst die Kennzahl Time Off Task, also Zeitspannen, in denen ein Mitarbeiter nicht aktiv scannt, verpackt oder Ware einlagert. Unterschreitet ein Beschäftigter die vorgegebene Produktivitätsrate, generiert das System automatisch Verwarnungen oder Kündigungen, ohne dass ein Vorgesetzter eingreifen muss. Laut den Dokumenten wurden zwischen August 2017 und September 2018 rund 300 Vollzeitkräfte am Standort BWI2 wegen Ineffizienz entlassen. Das Lager beschäftigte zu dieser Zeit etwa 2.500 Mitarbeiter, sodass die Kündigungen hochgerechnet mehr als 10 Prozent der Belegschaft pro Jahr betrafen. Amazon widersprach der Darstellung und erklärte, kein Mitarbeiter werde allein durch Software entlassen, da Vorgesetzte vor einer Kündigung eingebunden würden und Beschäftigte zuvor Coaching und Schulungen erhielten. Bußgelder, Vergleichszahlungen oder ein Gerichtsurteil im Zusammenhang mit diesem konkreten Bericht sind nicht bekannt.

Aus dem Bericht geht nicht hervor, wie oft Vorgesetzte automatisiert erzeugte Kündigungsvorschläge tatsächlich prüften oder aufhoben, und ob die geschilderte Praxis am Standort BWI2 in identischer Form auch in anderen Amazon-Lagern galt.

Der US-Hersteller von Smart-Home-Kameras Wyze Labs aus Seattle ließ die Daten von rund 2,4 Millionen Kunden ungeschützt im Internet zugänglich. Ursache war eine falsch konfigurierte Elasticsearch-Datenbank, die ein Mitarbeiter am 04.12.2019 für ein internes Analyseprojekt aus den Produktivservern kopierte und dabei ohne Zugriffsschutz beließ. Die Datenbank blieb bis zum 26.12.2019 offen einsehbar, also rund drei Wochen lang. Entdeckt wurde das Leck von der Sicherheitsfirma Twelve Security, die einen Bericht veröffentlichte, sowie zeitgleich durch die Nachfrage eines Reporters der Plattform IPVM bei Wyze. Offengelegt waren unter anderem E-Mail-Adressen von Kunden, Kamera-Spitznamen, WLAN-Netzwerknamen (SSID), Geräteinformationen sowie rund 24.000 Tokens für die Alexa-Integration. Bei einer kleinen Gruppe von Beta-Testern waren zudem Körperdaten wie Größe, Gewicht und Geschlecht betroffen. Passwörter und Zahlungsdaten waren nach Angaben von Wyze nicht in der Datenbank enthalten. Am 27.12.2019 entdeckte Wyze bei einer internen Sicherheitsüberprüfung eine zweite offen zugängliche Datenbank. Im Februar 2020 wurde beim US-Bezirksgericht für den Western District of Washington eine Sammelklage gegen Wyze Labs eingereicht.

Aus dieser Quelle nicht belegt sind die tatsächliche Zahl der von Dritten wirklich abgerufenen Datensätze sowie der Ausgang der 2020 eingereichten Sammelklage einschließlich einer möglichen Vergleichssumme oder Geldstrafe.

Der Cloud-Softwareanbieter Blackbaud, dessen Systeme von tausenden gemeinnützigen Organisationen, Universitäten und Stiftungen zur Spenderverwaltung genutzt werden, wurde im Mai 2020 Opfer eines Ransomware-Angriffs auf seine selbst gehostete Cloud-Umgebung. Die Angreifer wurden vor vollständiger Verschlüsselung der Systeme gestoppt, kopierten zuvor jedoch einen Teil der Kundendaten. Rund 13.000 Kundenorganisationen weltweit waren betroffen, darunter zahlreiche britische Universitäten wie Oxford Brookes, Leeds, Manchester und Glasgow sowie US-amerikanische Hochschulen und Wohltätigkeitsorganisationen. Gestohlen wurden je nach betroffener Organisation Namen, Kontaktdaten, Geburtsdaten, Spendenhistorien, teilweise auch Sozialversicherungsnummern und Bankverbindungen von Spendern. Blackbaud teilte am 16.07.2020 öffentlich mit, Bankdaten und Sozialversicherungsnummern seien nicht zugänglich gewesen; diese Aussage stellte sich laut SEC innerhalb weniger Tage intern als falsch heraus, wurde von der Unternehmensleitung aber nicht korrigiert. Erst im September 2020 räumte Blackbaud in einer SEC-Meldung ein, dass Sozialversicherungsnummern und Bankdaten möglicherweise gestohlen worden waren. Im März 2023 einigte sich Blackbaud mit der SEC auf eine Zivilstrafe von 3 Millionen US-Dollar wegen irreführender Offenlegungspraxis. Zusätzlich zahlte Blackbaud 2023 rund 49,5 Millionen US-Dollar zur Beilegung eines Verfahrens mit den Generalstaatsanwälten von 49 US-Bundesstaaten.

Die exakte Gesamtzahl der individuell betroffenen Spender und Personen weltweit ist aus dieser Quelle nicht belegt, ebenso wenig die Identität der Angreifer oder ob Lösegeld gezahlt wurde. Die SEC-Strafe betrifft nur die irreführende Offenlegung gegenüber Investoren, nicht die Datenschutzverstöße gegenüber den betroffenen Spendern selbst.

Am 10.04.2021 berichtete das IT-Sicherheitsportal Cybernews, dass eine SQL-Datenbank mit rund 1,3 Millionen Nutzerdatensätzen der Audio-App Clubhouse kostenlos in einem bekannten Hackerforum veröffentlicht wurde. Die Datensätze enthielten unter anderem Nutzer-ID, Namen, Profilbild-URL, Nutzername, verknüpfte Twitter- und Instagram-Handles, Anzahl der Follower und Abonnements, das Erstellungsdatum des Kontos sowie den Namen der Person, die den jeweiligen Nutzer eingeladen hatte. Clubhouse dementierte am 11.04.2021 über CEO Paul Davison bei einem unternehmensinternen Townhall-Treffen, Ziel eines Hacks geworden zu sein, und bezeichnete die Berichterstattung als irreführend. Nach Darstellung des Unternehmens handelte es sich ausschließlich um öffentlich zugängliche Profildaten, die jeder Nutzer über die App oder die API von Clubhouse einsehen konnte. Die App-Analystin Jane Manchun Wong erklärte, die Daten seien mutmaßlich über eine einfache Schleifenfunktion abgegriffen worden, da Clubhouse Nutzer-IDs fortlaufend nummerierte. Kreditkartendaten, Telefonnummern oder andere sensible Identifikationsmerkmale waren nach übereinstimmenden Berichten nicht Teil der veröffentlichten Datensätze. Clubhouse befand sich zu diesem Zeitpunkt, wenige Monate nach dem pandemiebedingten Nutzerboom Anfang 2021, noch in einer geschlossenen Betaphase mit Einladungssystem.

Nicht belegt ist, ob Clubhouse wegen des Vorfalls behördlich belangt oder finanziell sanktioniert wurde, da öffentlich keine Bußgelder oder Aufsichtsverfahren bekannt wurden. Ebenfalls ungeklärt bleibt die genaue technische Vorgehensweise des Scrapings, da Clubhouse selbst keine forensische Analyse veröffentlichte.

Im September 2020 wurde der Anbieter der PDF-Software Nitro (Nitro Software) Opfer eines Datendiebstahls. Eine 14 GB große Datenbank mit 77.159.696 Nutzerdatensätzen wurde zunächst gemeinsam mit 1 TB an Dokumenten für 80.000 US-Dollar zum Kauf angeboten. Am 20.01.2021 veröffentlichte ein Akteur, der sich der Gruppe ShinyHunters zurechnete, die vollständige Datenbank kostenlos in einem Hackerforum. Die Datensätze enthielten E-Mail-Adressen, vollständige Namen, bcrypt-gehashte Passwörter, Firmennamen, Berufsbezeichnungen, IP-Adressen sowie Titel aus mit der Software konvertierten Dokumenten. Bleeping Computer bestätigte die Echtheit der Daten anhand bekannter Nitro-Konten. Nitro Software hatte den Vorfall bereits am 21.10.2020 in einer Mitteilung an die australische Börse ASX als Sicherheitsvorfall mit geringen Auswirkungen gemeldet und erklärt, es seien keine Kundendaten betroffen gewesen, was sich im Nachhinein als unzutreffend erwies. Unter den betroffenen Organisationen, deren Mitarbeiter Nitro-Konten nutzten, wurden unter anderem Google, Apple, Microsoft, Chase und Citibank genannt. Have I Been Pwned nahm den Vorfall am 19.01.2021 mit 77,2 Millionen betroffenen Konten in seine Datenbank auf.

Nicht belegt ist der genaue technische Einbruchsweg in die Nitro-Systeme sowie eine offizielle, detaillierte Bestätigung des Umfangs durch Nitro Software selbst, das den Vorfall zunächst herunterspielte. Auch die Identität des Täters beruht nur auf dessen eigener Behauptung im Hackerforum.

Am 17.12.2020 genehmigte die Europäische Kommission unter der EU-Fusionskontrollverordnung die von Google im November 2019 angekündigte Übernahme des Wearable-Herstellers Fitbit für rund 2,1 Milliarden US-Dollar, allerdings nur unter Auflagen. Die Kommission hatte zuvor am 04.08.2020 eine vertiefte Prüfung (Phase II) eingeleitet, da sie befürchtete, Google könne durch den Zugriff auf Fitbits Gesundheits- und Fitnessdaten seine Marktmacht in der Online-Werbung weiter ausbauen. Google verpflichtete sich für die Dauer von zehn Jahren, die über Fitbit-Geräte gesammelten Gesundheits- und Standortdaten von EWR-Nutzern technisch getrennt von anderen Google-Daten in einem sogenannten Datensilo zu speichern und nicht für zielgerichtete Werbung zu verwenden. Zudem muss Google Nutzern eine echte Wahlmöglichkeit einräumen, ob ihre Fitbit- oder Google-Konto-Gesundheitsdaten für andere Google-Dienste wie Suche oder Maps genutzt werden dürfen. Google sicherte außerdem zu, den kostenlosen Zugang zur Fitbit Web API für Drittanbieter-Apps sowie zu Android-APIs für Wearable-Hersteller mindestens zehn Jahre lang aufrechtzuerhalten. Die Zusagen unterliegen der Überwachung durch einen von der Kommission bestellten Treuhänder.

Aus der Pressemitteilung nicht belegt ist, wie wirksam die Zehn-Jahres-Verpflichtungen in der Praxis durchgesetzt und kontrolliert wurden; Kritiker bezweifelten schon damals, ob die Datensilo-Lösung technisch und rechtlich ausreichend überprüft werden kann.

Am 10.01.2019 veröffentlichte das Onlinemagazin The Intercept eine Recherche von Sam Biddle, wonach Amazons Tochterfirma Ring Mitarbeitern in den USA und in der Ukraine weitreichenden, teils uneingeschränkten Zugriff auf private Kundenvideos ihrer Überwachungskameras gewährte. Laut der Enthüllung hatten Ring-Ingenieure in der Ukraine seit 2016 Zugang zu einem Amazon-S3-Cloud-Ordner, der praktisch jedes von einer Ring-Kamera je aufgenommene Video enthielt. In den USA konnten zudem Mitarbeiter und Führungskräfte auf Live-Feeds von Kundenkameras zugreifen, obwohl Ring dies in seinen Nutzungsbedingungen nicht offenlegte. Quellen berichteten dem Magazin, dass Mitarbeiter sich gegenseitig Aufnahmen aus Kameras von Kollegen zeigten. Ring erklärte, Mitarbeiter hätten keinen Zugriff auf Livestreams, und verschärfte im Februar 2019 die internen Regeln, sodass ein Videozugriff fortan die Zustimmung des jeweiligen Kunden voraussetzte. Die FTC bestätigte die Vorwürfe 2023 in einer eigenen Klage und dokumentierte, dass ein einzelner Mitarbeiter über Monate hinweg tausende Videos von mindestens 81 Nutzerinnen der Ring-Kamera Stick Up Cam eingesehen hatte. Ring einigte sich im Mai 2023 mit der FTC auf eine Zahlung von 5,8 Millionen US-Dollar, aus der die Behörde ab 2024 rund 117044 Rückerstattungen an betroffene Kunden auszahlte.

Die genaue Gesamtzahl der Kunden, deren private Videos über die Jahre unbefugt von Mitarbeitern oder Vertragspartnern eingesehen wurden, ist nicht abschließend beziffert. Der Intercept-Artikel selbst stützt sich auf anonyme Quellenangaben, während das volle Ausmaß des Zugriffs erst später durch die FTC teilweise dokumentiert wurde.

Am 16. Juli 2021 verhängte die luxemburgische Datenschutzbehörde CNPD (Commission Nationale pour la Protection des Données) gegen Amazon Europe Core S.à r.l. ein Bußgeld in Höhe von 746 Millionen Euro. Bekannt wurde die Entscheidung am 30. Juli 2021, als Amazon sie in ihrem Quartalsbericht bei der US-Börsenaufsicht SEC offenlegte. Die CNPD warf Amazon vor, personenbezogene Daten seiner Kunden ohne wirksame und freiwillige Einwilligung für personalisierte Werbung zu verarbeiten und damit gegen die Grundsätze der Transparenz und Zweckbindung der DSGVO zu verstoßen. Grundlage des Verfahrens war eine Sammelbeschwerde, die die französische Bürgerrechtsorganisation La Quadrature du Net im Mai 2018 gemeinsam mit rund 10.000 Unterstützern eingereicht hatte. Mit 746 Millionen Euro war dies zum Zeitpunkt der Verhängung das höchste jemals von einer europäischen Datenschutzbehörde verhängte DSGVO-Bußgeld und übertraf die bisherige Rekordstrafe von 50 Millionen Euro gegen Google aus dem Jahr 2019 um ein Vielfaches. Amazon wies die Vorwürfe zurück und legte Rechtsmittel gegen die Entscheidung ein. Im März 2025 bestätigte das Verwaltungsgericht Luxemburg die Entscheidung der CNPD und die Bußgeldhöhe von 746 Millionen Euro in vollem Umfang.

Aus der Quelle nicht abschließend belegt ist, ob und in welcher Form Amazon nach der Bestätigung durch das Verwaltungsgericht Luxemburg im März 2025 weitere Rechtsmittel eingelegt hat und ob die Summe bereits tatsächlich gezahlt wurde.

Die irische Datenschutzbehörde Data Protection Commission (DPC) verhängte am 02.09.2022 gegen Meta Platforms Ireland Limited als Betreiberin von Instagram ein Bußgeld in Höhe von 405 Millionen Euro. Die Entscheidung wurde am 15.09.2022 öffentlich bekannt gegeben und war zu diesem Zeitpunkt die höchste von der DPC verhängte Strafe. Grundlage war eine am 21.09.2020 eingeleitete Untersuchung, ausgelöst durch Hinweise des US-Datenwissenschaftlers David Stier. Die DPC stellte fest, dass Instagram bei der Nutzung von Business-Konten E-Mail-Adressen und Telefonnummern minderjähriger Nutzer öffentlich sichtbar machte und persönliche Konten von Kindern standardmäßig auf öffentlich statt privat einstellte. Die Behörde sah darin Verstöße gegen mehrere Artikel der DSGVO. Der ursprüngliche Entscheidungsentwurf der DPC von Dezember 2021 stieß auf Einwände von sechs anderen europäischen Datenschutzbehörden, weshalb der Fall gemäß Artikel 65 DSGVO an den Europäischen Datenschutzausschuss (EDPB) verwiesen wurde. Der EDPB traf am 28.07.2022 eine bindende Entscheidung und verlangte die zusätzliche Feststellung eines Verstoßes gegen Artikel 6(1), wofür allein 20 Millionen Euro der Gesamtstrafe vorgesehen wurden. Es handelte sich um die dritte Strafe gegen ein Meta-Unternehmen nach 225 Millionen Euro gegen WhatsApp im September 2021 und 17 Millionen Euro gegen Facebook im März 2022.

Aus der Pressemitteilung der DPC geht nicht hervor, wie viele Kinder konkret von der öffentlichen Anzeige ihrer Kontaktdaten betroffen waren, und der Ausgang eines möglichen Rechtsmittelverfahrens von Meta gegen die Entscheidung ist darin nicht dokumentiert.