Zwei Geschichten sind diese Woche zu einer verschmolzen. Die eine ist eine begutachtete Messstudie: Bei Samsung-Geräten mit Tizen bleibt nach dem Abschalten der Inhaltserkennung Netzwerkverkehr übrig, der zu genau dieser Erkennung passt – in mehr als 60 Prozent der bewerteten Szenarien, beim hauseigenen Streamingdienst in 30 von 30 Messungen.[1] Die andere ist ein Reverse-Engineering-Thread eines einzelnen Forschers, dessen ausführlicher Bericht noch nicht erschienen ist.[2][3] Wer beide auseinanderhält, gewinnt daraus eine Prüffrage für den eigenen Betrieb. Wer sie vermischt, verliert sie an die Empörung.

Wir arbeiten seit Jahren an der Frage, wo KI im Betrieb läuft und wer die Datenseite davon verantwortet. Dieser Fall liefert beides in einem Vorgang: eine Technik, die im Wohnzimmer seit Jahren im Einsatz ist, und einen Hersteller, der dazu schweigt. Was belegt ist, was nur eine Quelle hat und was offen bleibt, steht in diesem Text. Alle Quellen wurden am 26.10.2026 abgerufen.

Zwei Quellen, zwei Beweisgrade

Die erste Quelle ist eine Studie der Northeastern University, erschienen am 19.10.2026 in den Proceedings on Privacy Enhancing Technologies, lizenziert unter CC BY 4.0.[1][9] Die Autoren haben zwölf handelsübliche Fernseher mit acht Betriebssystemen vermessen, die zusammen etwa 95 Prozent des US-Markts abdecken. Sie haben pro Gerät zehn Sehszenarien durchgespielt, jeweils 30 Mal mit eingeschalteter Inhaltserkennung und 30 Mal mit ausgeschalteter, insgesamt 5.943 kontrollierte Experimente. Gemessen wurde im Netzwerk, nicht am Gerät: Sie haben nicht gerootet und nicht entschlüsselt, sondern beobachtet, welche Verbindungen ein Gerät tatsächlich aufbaut.[1]

Die zweite Quelle ist ein Thread vom 21.10.2026. Ein Reverse Engineer, der unter dem Namen log4j auftritt, hat seinen eigenen Samsung-Fernseher aus dem Modelljahr 2025 zerlegt – im Wortsinn über UART und JTAG, weil die Firmware verschlüsselt war. Seine Begründung im Original: „i kept getting weirdly targeted ads.“[2] Aus diesem Thread stammen alle Fundstücke, die diese Woche durch die Presse gingen: Zähler, Werbe-IDs, neuronale Netze, das Mikrofon über die Soundbar.[3][4]

Beide Quellen erzählen nicht dasselbe. Die Studie misst Verkehrsverhalten über Tausende Wiederholungen und kann sagen, wie oft etwas passiert. Der Thread schaut in den Code eines einzelnen Geräts und kann sagen, was dort angelegt ist. Was er nicht kann: zeigen, dass es ausgeführt wird, dass Daten das Gerät verlassen und dass ein Hersteller davon wusste. Ein ausführlicher Bericht mit rund 44 Einzelteilen war angekündigt, lag am 26.10.2026 aber noch nicht vor.[4][6]

Was die Messung zeigt

ACR heißt Automatic Content Recognition. Das Gerät erzeugt einen Fingerabdruck aus Bild- oder Tonspuren, schickt ihn an einen Server, der Server gleicht ihn mit einer Programmbibliothek ab. Samsung selbst beschreibt in seiner Werbedokumentation zwei Fingerprint-Samples pro Sekunde auf Tizen.[1] Das ist die Technik, um die es geht – nicht um ein Mikrofon im Wohnzimmer.

Der Befund für Tizen im Detail, jeweils mit ausgeschalteter Inhaltserkennung: Verkehr in der Signatur von ACR blieb in allen 30 Messungen mit dem Samsung-eigenen Streamingdienst bestehen, in 41 von 60 Antennenmessungen und in 18 von 30 HDMI-Messungen. Bei Tubi waren es 6 von 30, im Leerlauf 9, bei Netflix 2 und bei YouTube 3.[1] Bei Netflix und YouTube ist das insofern bemerkenswert, als dort auch mit eingeschalteter Erkennung kein ACR-Verkehr auftritt – die Erkennung ist bei diesen Diensten vertraglich ausgenommen. Verkehr, der zur Erkennung passt, taucht nach dem Ausschalten also auch dort auf, wo vorher keiner war.

Vier der sieben Systeme, für die die Autoren einen ACR-Endpunkt identifizieren konnten, schalten mit dem Opt-out vollständig ab: LG webOS, Sony Google TV, Fire OS und VIDAA. Bei Vizio SmartCast änderte sich in keinem der ausgeschalteten Szenarien etwas, der Endpunkt bekam weiter Verkehr.[1] Tizen ist mit 34 Prozent Marktanteil in den USA das größte getestete System.[1]

Für Tizen nennen die Autoren einen validierten Endpunkt und zwei Regeln für die Blockliste, die sie selbst veröffentlicht haben: acr-us-prd.samsungcloud.tv als Endpunkt, dazu *.samsungcloud.tv und *.samsungacr.com.[1][21] Wer das im eigenen Netz blockiert, kann den Effekt selbst nachvollziehen.

Und die Grenze, die in jedem Text mitlaufen muss: Der Verkehr ist verschlüsselt. Die Autoren können nicht sagen, welche Daten im Paket stecken und ob der Empfänger sie verarbeitet oder wegwirft. Sie schreiben es selbst: „we cannot know for certain without access to payload content.“[1] Was bleibt, ist ein Widerspruch zwischen dem Schalter und dem Verhalten – für Nutzer derselbe Effekt, egal ob Absicht oder Fehler dahintersteckt. Und: Gemessen wurde in den USA, an US-Geräten. Ob ein in Deutschland gekauftes Gerät sich gleich verhält, ist nicht untersucht; die Autoren erwarten selbst Unterschiede zwischen Rechtsräumen.[1]

Was der Thread zeigt – und was daran offen bleibt

Die Fundstücke aus dem Thread, jeweils mit der Quelle, die sie trägt: Nach seinen Angaben liegen in der Telemetrie des Geräts Zähler für Hundegebell und Babyweinen, zugeordnet zum Ereignis EV201/SOUNDSENSOR_ON, dazu ein Flag für den Umgebungslichtsensor, ein Kamerastatus und die Dauer von Kameraübertragungen. Übermittelt werden sie als Schlüssel-Wert-Paare an einen Samsung-Cloudserver.[4] Dazu kommen eine geräteübergreifende Werbe-ID (AID), ein regionsspezifisches neuronales Netz für die Videoauswertung und ein Zugriff auf Mikrofone verbundener Geräte, wenn der Fernseher selbst keines hat.[3]

Zwei Dinge daran werden in der Berichterstattung regelmäßig falsch einsortiert.

Erstens: Hundegebell und Babyweinen sind keine Entdeckung, sondern beworbene Funktionen. Samsung vermarktet Pet Care und Family Care für seine Geräte aus 2025, die Erkennung läuft lokal, und Pet Care funktioniert laut Samsung nur bei ausgeschaltetem Fernseher.[4] Der Kritikpunkt ist ein anderer: dass die Anzahl dieser Ereignisse als Zähler an Samsung übertragen wird, ohne dass das in der Funktionsbeschreibung steht. Wer die Funktion selbst zum Skandal erklärt, wird fachlich zerlegt – in der Fachdiskussion ist genau das passiert.[10]

Zweitens: Der Mikrofon-Test, der durch die Presse ging, ist ein Einzeltest mit Vorbehalt. Ein Entwickler hat einen Flipper Zero als vorgetäuschtes USB-Mikrofon angeschlossen und beobachtet, dass das Mikrofon exakt fünf Sekunden offen war und danach über Stunden nicht wieder. Sein Gerät war gerootet und in mehreren Einstellungen verändert; er weist selbst darauf hin, dass ein unverändertes Gerät sich anders verhalten kann.[3][4] Ein Mitschnitt aus dem Wohnzimmer ist damit nicht nachgewiesen.

Was Samsung selbst sagt: In einem Beitrag im eigenen Community-Forum heißt es, die Inhaltserkennung sei „fully optional“, und: man zeichne keine Inhalte auf und sehe sie nicht an. Erhoben würden Wiedergabeverlauf, eine gerätespezifische Kennung und die IP-Adresse, übertragen werde eine Signatur.[7] Zu den Fundstücken aus dem Thread hat sich Samsung bis zum 26.10.2026 nicht geäußert; es gibt keine Sicherheitsmeldung, keine CVE-Nummer, keinen Patch-Hinweis.[3][4][6]

Ein Detail, das in dieser Woche unterging: Die Frage ist rechtlich nicht neu. Texas hat im Dezember 2025 fünf Hersteller verklagt, Samsung hat sich am 26.02.2026 als erster verglichen. Teil der Einigung ist ein ausdrückliches Opt-in vor der Erhebung, mit klareren Einwilligungsbildschirmen.[8] Und 2017 zahlte Vizio 2,2 Millionen Dollar Strafe an die US-Handelsaufsicht, weil die Erhebung nicht offengelegt war.[1]

Wo das rechtlich hängt

Vorweg, damit es sauber bleibt: Das ist eine strukturierte Prüfliste, kein Rechtsgutachten. Formulierungen wie „das verstößt gegen“ gehören nicht in einen Text, der ohne Akteneinsicht geschrieben ist. Belastbar ist eine Einordnung, die die Bedingung mitnennt und die offene Frage stehen lässt.

DSGVO. Wiedergabeverlauf, Gerätekennung und IP-Adresse sind personenbezogene Daten.[13] Für eine umfassende Verhaltensbeobachtung im Wohnraum kommt als Rechtsgrundlage praktisch nur die Einwilligung in Betracht, mit den Anforderungen aus Artikel 7: freiwillig, informiert, eindeutig, jederzeit widerrufbar. Beim Opt-in-Design liegt die Beweislast beim Verantwortlichen.

Der zweite Punkt ist die Transparenz. Die Studie liefert dafür den empirischen Unterbau, weil sie die Offenlegung jedes Systems in acht Dimensionen bewertet hat. Für Tizen steht die Inhaltserkennung nur auf einer Support-Seite, nicht in der verbindlichen US-Datenschutzerklärung. Der Schalter im Gerät heißt „Viewing Information Services“ – das Wort ACR kommt darin nicht vor. Bei fünf von acht Systemen ist der Schalter so benannt, dass die Technik dahinter nicht erkennbar ist; die Autoren ordnen das als Interface-Interference-Muster ein, also als Gestaltung, die eine informierte Entscheidung erschwert. HDMI als Eingangsweg ist in Samsungs Richtlinie nicht adressiert, obwohl dort Verkehr gemessen wurde.[1] Wenn Zwecke und Empfänger nicht vollständig benannt sind, ist die Information nach Artikel 13 nicht vollständig – das ist der Punkt, an dem Messdaten und Recht zusammenkommen, ohne dass daraus ein Urteil wird.

Ein Punkt, den man nicht verallgemeinern darf: Sensible Kategorien nach Artikel 9 sind für Samsung nicht belegt, weil der Verkehr verschlüsselt ist. Belegt sind sie beim zweiten, unabhängigen Teil derselben Studie – bei VIDAA, wo ACR unverschlüsselt über MQTT lief und die Forscher in drei Stunden 57 Millionen Erkennungsergebnisse von über einer Million Geräten sahen, in 82 Kategorien, darunter Religion, Politik und Gesundheit.[1][11] Das ist VIDAA, nicht Samsung. Es zeigt aber, was aus Sehverhalten ableitbar ist, wenn niemand hinsieht.

§ 25 TDDDG. Artikel 5 Absatz 3 der ePrivacy-Richtlinie verlangt eine Einwilligung für das Speichern von Informationen im Endgerät und den Zugriff darauf; in Deutschland steht das seit Mai 2024 in § 25 TDDDG.[14][15] ACR liest Bildschirminhalt und Tonspur aus dem Gerät aus – das ist Zugriff auf Informationen im Endgerät, nicht bloß ihre Übermittlung. Damit stehen zwei Einwilligungstatbestände nebeneinander, und ein Aus-Schalter ist keiner davon. Ob die reine Berechnung des Fingerabdrucks auf dem Gerät schon Zugriff ist oder erst die Übertragung, ist nicht abschließend geklärt; das EDPB hat den Rahmen mit den Leitlinien 2/2023 präzisiert.[16] Für die Praxis reicht: in der Sache einschlägig, im Detail umstritten.

KI-Verordnung. Hier wird es für Ihren Betrieb interessant, weil die KI-VO gerade gern als Rundumschlag benutzt wird. Ein neuronales Netz, das Sehverhalten klassifiziert, ist ein KI-System nach Artikel 3. Es fällt aber nicht unter die Hochrisiko-Kategorien des Anhang III, ist keine Sicherheitskomponente nach Anhang I und erfüllt keinen Verbotstatbestand des Artikels 5: Emotionserkennung ist dort nur am Arbeitsplatz und in Bildungseinrichtungen verboten, biometrische Kategorisierung nur dann, wenn aus biometrischen Daten sensible Merkmale abgeleitet werden. Werbung im Wohnzimmer ist beides nicht.[17] Vollziehbar sind die Verbote trotzdem: In Deutschland führt die Bundesnetzagentur die Marktüberwachung für die KI-VO.[20] Nach der derzeitigen Faktenlage ist das hier also eine Datenschutz- und eine Endgerätefrage, keine KI-VO-Frage. Die Gesichtserkennungs-Passage, die im Thread kursiert, wäre der Punkt, an dem sich das ändern würde – sie ist aber Code-Präsenz, keine Ausführung, und damit kein Beleg.

Und die Fristen, weil sie ständig durcheinandergehen: Die Verbote gelten seit 02.02.2025, die 2026 ergänzten Verbotstatbestände ab 02.12.2026, die Transparenzpflichten aus Artikel 50 seit 02.08.2026.[17] Der Hochrisiko-Block ist durch den Digital Omnibus verschoben, Verordnung (EU) 2026/1744, im Amtsblatt seit 24.07.2026 – auf den 02.12.2027 für eigenständige Systeme und den 02.08.2028 für eingebettete Systeme.[18] Wer mit „ab August 2026 gilt die KI-VO“ argumentiert, hat drei Stichtage in einen gepackt. In der Zielgruppe fällt das auf.

Was das für Handwerk und Mittelstand heißt

Der Fall spielt im Wohnzimmer. Der Bogen zum Betrieb funktioniert nur über Parallelen, die belegbar sind – nicht über Behauptungen.

Die erste Parallele ist die Methode. Die Autoren haben nicht gefragt, was das Gerät tun soll, sondern gemessen, was es tut. Überwachungskamera, Zeiterfassung, Fahrzeug-Telematik, vernetzte Werkstattgeräte: Überall gilt dieselbe Frage, und sie ist mit Hausmitteln zu beantworten. Ein Blick in die Verbindungsliste des Routers sagt mehr als jedes Datenblatt.

Die zweite Parallele ist die Transparenz. Der Befund, dass die Inhaltserkennung nur im Support-Bereich steht und nicht in der verbindlichen Erklärung, ist keine Samsung-Eigenheit, sondern eine Prüffrage: Steht die Datenverarbeitung im Vertrag oder im Handbuch? Für Geräte im Betrieb heißt das: Die Antwort gehört in den Vertrag, nicht in eine FAQ-Seite, die sich ändern kann.

Die dritte Parallele ist die Einwilligung. § 25 TDDDG und Artikel 6 DSGVO gelten auch für Ihr Unternehmen. Wer den Cookie-Banner sauber gemacht hat und bei Geräten und Diensten weiter auf „standardmäßig an“ setzt, hat eine Lücke an der Stelle, die niemand mehr ansieht.

Die vierte Parallele sind die Empfänger. Ob die „mehr als 400 Partner“ aus dem Thread eine Empfängerliste oder eine Konfigurationsdatei sind, ist unklar – belegt ist nur, dass eine solche Liste im Gerät liegt.[5][6] Als Frage an jeden Gerätelieferanten taugt sie trotzdem: Wer sind die Empfänger, und stehen sie in einem Auftragsverarbeitungsvertrag?

Die fünfte ist praktisch und kostet nichts. Die Studie liefert eine Blockliste und hat im eigenen Labor geprüft, dass die gesperrten Endpunkte die Gerätefunktion nicht stören.[1] Für den Betrieb ist das der kleinere Bruder der Netzsegmentierung: Geräte in ein eigenes Netz, die Wege nach draußen benennen, nicht global freigeben. Und für Besprechungsräume, in denen über Angebote gesprochen wird, ist ein Fernseher mit dauerhaftem Netzanschluss eine Entscheidung, die jemand treffen sollte.

Was hier nicht passt: NIS-2. Das adressiert kritische und besonders wichtige Einrichtungen, nicht Konsumelektronik im Wohnzimmer. Wer daraus ein NIS-2-Pflichtenthema macht, überzieht.

Was nicht belegt ist

Wir schreiben lieber auf, was wir nicht belegen können, als es glatt zu formulieren.

• Ein Mitschnitt aus dem Wohnzimmer ist nicht nachgewiesen. Belegt sind Verkehr nach dem Opt-out (Studie) und Code-Spuren für Audio-Kategorisierung (eine Quelle). Der Fünf-Sekunden-Test lief auf einem gerooteten Gerät, dessen Tester selbst einschränkt, dass ein unverändertes Gerät sich anders verhalten kann.[3][4]
• Nicht belegt ist, was im Tizen-Verkehr steckt. Verschlüsselt, kein Payload-Zugriff, keine Aussage über serverseitige Verarbeitung.[1]
• Keine unabhängige Replikation des Threads. Kein zweites Labor, kein zweiter Forscher, kein Write-up, keine Modell- oder Firmware-Liste.[3][6]
• Kein Nachweis, dass die Zähler befüllt oder gesendet werden. log4j hält selbst fest, dass die Zähler nicht belegen, ob je eine Benachrichtigung ausgelöst wurde.[4]
• Kein Zusammenhang zwischen Werbung und Mikrofon. Dass die „seltsam passenden“ Anzeigen aus Audio- oder ACR-Daten stammen, ist eine Vermutung des Forschers, keine Messung.[2][10]
• Zur Reaktion von Samsung gibt es nichts zu berichten. Bis 26.10.2026 keine Stellungnahme zu den Fundstücken. Die in einzelnen Meldungen zitierte Samsung-Position ist ein älterer allgemeiner Beitrag zum Thema ACR, keine Antwort auf diesen Thread.[4][7]
• Die 57-Millionen-Zahl gehört zu VIDAA, nicht zu Samsung. Sie stammt aus dem zweiten Teil der Studie.[1]
• Eine frühere Studie kam für Samsung zum gegenteiligen Ergebnis. Anselmi et al. haben 2024 bei Samsung und LG beobachtet, dass der Opt-out den Verkehr zu ACR-Servern stoppt.[19] Andere Geräte, andere Jahre, andere Szenarien – kein Widerspruch, den man auflösen müsste, aber auch keine „Studie widerlegt Studie“.
• Die kursierende Zahl von 3,7 Millionen Aufrufen zum Thread stammt aus einem Sekundärblog und ist nicht unabhängig geprüft. Wir verwenden sie nicht.

Zum Schluss

Wenn Sie aus diesem Text eine Sache mitnehmen, dann diese: Die Frage „Was sendet dieses Gerät eigentlich?“ ist in zehn Minuten beantwortbar und ersetzt jede Diskussion über Vertrauen. Die zweite Sache betrifft Ihre Rolle – wer KI-Verfahren einkauft oder einsetzt, kauft die Datenseite mit, und die zeigt sich nicht im Datenblatt, sondern im Netzwerk.

Und wie ist es bei Ihnen? Wissen Sie, welche Geräte in Ihrem Betrieb nachts ins Netz sprechen – und wohin? Schreiben Sie uns, was auf Ihrer Verbindungsliste steht; wir sortieren es gemeinsam.

Quellen

Alle Adressen wurden am 26.10.2026 abgerufen. Die Zahlen der Studie wurden gegen den PDF-Volltext geprüft, nicht aus der Berichterstattung übernommen. [12] ist die Ausgangsmeldung, die den Anlass gab, und trägt keine Aussage im Text.

1. Mammadov, Joshi, Dubois, Choffnes: Watching the Watchers: Privacy Analysis of U.S. Smart TV Automatic Content Recognition. Northeastern University, Proceedings on Privacy Enhancing Technologies (PETS) 2026, publiziert 19.10.2026, CC BY 4.0 – https://dataleaks.org/wp-content/uploads/2026/10/Privacy-Analysis-of-U.S.-Smart-TV-1.pdf (5.943 Experimente, 30/30 · 41/60 · 18/30 Tizen nach Opt-out, „more than 60%“, vier wirksame Opt-outs, 34 % Marktanteil, Endpunkt und Blockliste, Offenlegungs-Stufen T1–T3, „Viewing Information Services“, VIDAA 57 Mio. / 82 Kategorien, Grenzen der Studie, Vizio 2,2 Mio. USD)
2. log4j, Eröffnungs-Post auf X, 21.10.2026 – https://x.com/log4j/status/2113014142600953868 (Wortlaut über [3] verifiziert)
3. Tom’s Hardware, Jhet Borja, 25.10.2026: „Cybersecurity bounty hunter says Samsung TVs use AI to record audio and screenshots for ads“ – https://www.tomshardware.com/tech-industry/cyber-security/hacker-finds-own-samsung-tv-collecting-scary-amounts-of-user-information-and-gets-banned-by-openai-for-cyber-abuse-tv-runs-an-ai-model-that-collects-audio-screenshots-and-plenty-of-other-user-data-for-ad-targeting (Wortlaut des Posts, AID, neuronales Netz, Soundbar-Mikrofon, ngxson-Test mit Vorbehalt)
4. Notebookcheck (DE), Anubhav Sharma / Enrico Frahn, 26.10.2026: „Auch ohne Mikrofon: Samsung-TVs könnten Nutzer über Soundbar abhören“ – https://www.notebookcheck.com/Auch-ohne-Mikrofon-Samsung-TVs-koennten-Nutzer-ueber-Soundbar-abhoeren.1433846.0.html (EV201/SOUNDSENSOR_ON, Pet Care / Family Care, Vorbehalte des Forschers, ausstehendes Write-up, keine Samsung-Stellungnahme)
5. Cybernews, Niamh Ancell, 26.10.2026: „Samsung accused of spying on users and then sharing data with 400+ partners“ – https://cybernews.com/privacy/samsung-smart-tv-spying-microphones-ai/ (Fundstücke im Detail, „400 Partner“ als Konfigurationsliste)
6. Zeniteq, Jim Clyde Monge, 25.10.2026: „Samsung TV AI Surveillance Claims Remain Unconfirmed“ – https://www.zeniteq.com/samsung-tv-ai-surveillance-claims-remain-unconfirmed-4gx8ht (keine Replikation, keine Samsung-Antwort, Trennung der drei Datentypen)
7. Samsung Community: „Samsung Smart TV Automatic Content Recognition (ACR) Feature“ – https://us.community.samsung.com/t5/QLED-and-The-Frame-TVs/Samsung-Smart-TV-Automatic-Content-Recognition-ACR-Feature/td-p/3556304 („fully optional“, „does not record or watch any of the content displayed“, erhobene Daten, „unique signature“)
8. The Record, Suzanne Smalley, 27.02.2026: „Samsung updates ACR privacy practices after Texas sues TV manufacturers“ – https://therecord.media/samsung-updates-acr-privacy-practices-texas (Vergleich vom 26.02.2026, Opt-in vor Erhebung)
9. Ars Technica, Scharon Harding, 21.10.2026: „Does opting out of smart TV tracking work? Research finds ’suspicious‘ traffic“ – https://arstechnica.com/gadgets/2026/10/does-opting-out-of-smart-tv-tracking-work-research-finds-suspicious-traffic/ (Aufbereitung der Studie mit Autorenzitaten)
10. Hacker News: „Root shell on Samsung TV“, 836 Punkte, 623 Kommentare – https://news.ycombinator.com/item?id=50218633 (fachliche Gegenposition zu Pet Care / Family Care und zur Interpretation von Dekompilaten)
11. CyberInsider, Bill Mann, 22.10.2026: „Smart TV privacy study finds tracking persists even when opting out“ – https://cyberinsider.com/smart-tv-privacy-study-finds-tracking-persists-even-when-opting-out/ (Studienzusammenfassung inkl. VIDAA-Vorfall)
12. all-ai.de, Andreas Becker, 26.10.2026: „Samsung-TV: KI soll Zuschauer durchleuchten“ – https://www.all-ai.de/news/news26top/samsung-tv-ki-ueberwachung (Ausgangsmeldung; diente als Anlass, nicht als Belegquelle)
13. Verordnung (EU) 2016/679 (DSGVO), Art. 4, 5, 6, 7, 9, 12–14, 25, 35 – https://eur-lex.europa.eu/eli/reg/2016/679/oj
14. Richtlinie 2002/58/EG (ePrivacy), Art. 5 Abs. 3 – https://eur-lex.europa.eu/eli/dir/2002/58/oj/eng/
15. § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) – https://www.gesetze-im-internet.de/ttdsg/__25.html
16. EDPB, Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 der ePrivacy-Richtlinie – https://www.edpb.europa.eu/system/files/2025-02/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_de.pdf
17. Verordnung (EU) 2024/1689 (KI-VO), Art. 3, 5, 50, 113 – https://artificialintelligenceact.eu/article/50/ und https://artificialintelligenceact.eu/article/113/
18. Verordnung (EU) 2026/1744 (Digital Omnibus on AI), unterzeichnet 08.07.2026, Amtsblatt 24.07.2026; Nachweis über das Europäische Parlament – https://www.europarl.europa.eu/legislative-train/package-digital-package/file-digital-omnibus-on-ai (Hochrisiko ab 02.12.2027 bzw. 02.08.2028)
19. Anselmi, Vekaria, D’Souza, Callejo, Mandalari, Shafiq: Watching TV with the Second-Party. arXiv:2409.06203, September 2024 – https://arxiv.org/abs/2409.06203 (Gegenbefund zur Opt-out-Frage)
20. Bundesnetzagentur: Verbotene Praktiken nach der KI-VO – https://www.bundesnetzagentur.de/DE/Fachthemen/Digitales/KI/8_VerbotenePraktiken/start.html (Marktüberwachung, Vollziehbarkeit der Verbote)
21. Mammadov, Joshi, Dubois, Choffnes: ACR-Endpunkt-Blockliste zum Paper – https://github.com/IlgarNEU/Watching-the-Watchers/blob/main/Blocklist/Blocklist.txt

Autor: Team REN-AI-SSANCE – mit KI-Unterstützung erstellt, von Menschen geprüft und freigegeben.