Hintergrund des Falls

Ein New Yorker Bundesgericht hat entschieden, dass das US-Personalbüro (OPM) gegen Bundesgesetze verstoßen hat. Das OPM hatte Mitarbeitern des Department of Government Efficiency (DOGE) Zugriff auf sensible Daten von Bundesbediensteten gewährt. Die Klage wurde von Gewerkschaften und Mitarbeitern mit Unterstützung der Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) eingereicht.

Verstöße gegen den Privacy Act

Richterin Denise Cote stellte fest, dass das OPM zwei Bestimmungen des Privacy Act verletzt hat. Zum einen wurden geschützte personenbezogene Daten unzulässig offengelegt. Zum anderen hat das OPM seine gesetzlichen Pflichten zur Datensicherheit nicht erfüllt. Die Zugriffe erfolgten ohne nachgewiesenen dienstlichen Bedarf und unter Missachtung von Cybersicherheitsstandards.

Kritik an den Zugriffsrechten

Viele DOGE-Mitarbeiter erhielten Zugriff auf zentrale Datenbanken, ohne zuvor vorgeschriebene Sicherheitsschulungen absolviert zu haben. Das Prinzip der minimalen Rechtevergabe („Least Privilege“) wurde ignoriert. Interne Datenbankverwalter wurden zeitweise blockiert, während externe Kräfte uneingeschränkten Systemzugriff erhielten. Die Beklagten rechtfertigten dies mit IT-Modernisierungspflichten, doch das Gericht wies diese Argumente zurück.

Folgen des Urteils

Die Richterin lehnte es ab, das Verfahren einzustellen, obwohl die DOGE-Organisation inzwischen aufgelöst wurde. Sie betonte, dass eine freiwillige Verhaltensänderung bei fortbestehender Rechtfertigung des Fehlverhaltens eine Wiederholung nicht ausschließe. Das Gericht unterstrich, dass strenge Protokolle allein keinen ausreichenden Schutz bieten, wenn die Integrität der Handelnden nicht gewährleistet ist. Die EFF wertet das Urteil als wichtigen Sieg für den Datenschutz.