Juristische Aufarbeitung des Datenzugriffs

Ein Bundesgericht in New York hat in einem wegweisenden Urteil festgestellt, dass das US-Personalbüro für Bundesbedienstete (OPM) durch die Weitergabe sensibler Mitarbeiterdaten an das Department of Government Efficiency (DOGE) gegen den Privacy Act verstoßen hat. Die Klage, eingereicht von Gewerkschaften und Beschäftigten mit Unterstützung der Electronic Frontier Foundation (EFF), richtete sich gegen die massenhafte Freigabe von Zugriffsrechten auf zentrale Datenbanken des OPM. Richterin Denise Cote urteilte, dass das OPM zwei zentrale Bestimmungen des Privacy Act verletzt habe: die unzulässige Offenlegung geschützter personenbezogener Daten sowie die Missachtung gesetzlicher Pflichten zur Gewährleistung der Datensicherheit.

Systematische Umgehung von Sicherheitsstandards

Die Untersuchung des Gerichts ergab, dass die Zugriffsrechte für DOGE-Mitarbeiter ohne nachgewiesenen dienstlichen Bedarf und unter Missachtung grundlegender Cybersicherheitsstandards vergeben wurden. Ein zentrales Problem war die Nichteinhaltung des Prinzips der minimalen Rechtevergabe („Least Privilege“), wonach Zugriffe nur im unbedingt notwendigen Umfang gewährt werden dürfen. Viele DOGE-Agenten erhielten ihre Zugriffsrechte, bevor sie vorgeschriebene Sicherheitsschulungen absolviert hatten. Zudem wurden interne Datenbankverwalter zeitweise blockiert, während externe Kräfte uneingeschränkten Systemzugriff erhielten. Die Beklagten versuchten, diese Praktiken mit IT-Modernisierungspflichten und der Vorbereitung auf künftige Aufgaben zu rechtfertigen, doch das Gericht wies diese Argumente als unzureichend zurück.

Strukturelle Defizite und mangelnde Integrität

Das Gericht betonte, dass die Einhaltung des Privacy Act nicht allein durch technische Protokolle gewährleistet werden kann, sondern unmittelbar von der Integrität der handelnden Personen abhängt. Die Tatsache, dass die DOGE-Organisation inzwischen aufgelöst wurde und die meisten DOGE-Agenten das OPM verlassen haben, reichte dem Gericht nicht aus, um das Verfahren einzustellen. Richterin Cote begründete dies damit, dass das OPM sein früheres Vorgehen weiterhin rechtfertigte und die Schutzvorgaben erst aufgrund gerichtlich verhängter Fristen umgesetzt wurden. Dies lasse eine Wiederholung des Fehlverhaltens möglich erscheinen. Das Urteil unterstreicht, dass freiwillige Verhaltensänderungen ohne Einsicht in die Rechtswidrigkeit des Handelns keinen ausreichenden Schutz bieten.

Bedeutung des Urteils für den Datenschutz

Die Entscheidung des Gerichts hat weitreichende Implikationen für den Schutz personenbezogener Daten im öffentlichen Sektor. Die EFF wertet das Urteil als wichtigen Sieg für den Datenschutz und als Warnsignal an Behörden, die sensible Daten ohne ausreichende rechtliche Grundlage weitergeben. Das Gericht wird in einem separaten Beschluss über die genauen Bedingungen einer dauerhaften Unterlassungsverpflichtung entscheiden. Dies könnte zukünftig strengere Kontrollmechanismen und transparente Verfahren für den Zugriff auf sensible Daten erfordern. Das Urteil zeigt, dass der Schutz personenbezogener Daten nicht nur eine technische, sondern auch eine rechtliche und ethische Herausforderung darstellt.