US-Gericht: Zugriff von DOGE-Agenten auf Behördendaten war illegal

Das Bundesgericht für den südlichen Bezirk des Staats New York hat entschieden, dass das US-Personalbüro für Bundesbedienstete mit dem massenhaften Gewähren von Datenzugriffen für Mitarbeiter des Department of Government Efficiency (DOGE) gegen Bundesgesetze verstoßen hat. In ihrem Urteil vom Dienstag stellt Richterin Denise Cote fest, dass das Personalbüro zwei Bestimmungen des Privacy Act verletzt habe. So seien geschützte personenbezogene Datensätze des Office of Personnel Management (OPM) unzulässig offengelegt worden. Zudem habe das OPM gesetzliche Pflichten zur Gewährleistung der Datensicherheit ignoriert.

Die Klage hatten Gewerkschaften und Beschäftigte mit Unterstützung der Bürgerrechtsorganisation Electronic Frontier Foundation (EFF) eingereicht (Az. 1:25-cv-01237-DLC). Hintergrund war der unter US-Präsident Donald Trump und Musk initiierte Erlass zur Gründung von DOGE. In der Folge erhielten Mitarbeiter der Behörde weitreichende Zugriffsrechte auf zentrale Datenbanken mit sensiblen Informationen von Millionen Beschäftigten.

Das Gericht befand, dass diese Freigaben ohne nachgewiesenen dienstlichen Bedarf erfolgten und Cybersicherheitsstandards umgingen. Viele DOGE-Agenten hätten vorgeschriebene Sicherheitsschulungen erst Wochen nach Erhalt ihrer Zugriffsrechte absolviert. Grundsätze wie das Prinzip der minimalen Rechtevergabe (Least Privilege) seien missachtet worden.

Die Beklagten versuchten, die Vorwürfe mit IT-Modernisierungspflichten und der Vorbereitung auf künftige Aufgaben zu rechtfertigen. Richterin Cote wies dies zurück, da Erneuerungen keinen pauschalen Zugriff rechtfertigten. Die Exekutive habe keinen Beleg für eine entsprechende Notwendigkeit erbringen können. Die Beweisaufnahme habe zudem gezeigt, dass interne Datenbankverwalter zeitweise blockiert worden seien. Externe Kräfte hätten parallel uneingeschränkten Systemzugriff erhalten.

Folgen der Entscheidung

Im Laufe des Verfahrens berief sich die Regierung auch darauf, dass sich die Klage bereits erledigt habe. Da die temporäre DOGE-Organisation im Juli endgültig außer Dienst gestellt worden sei, hätten fast alle DOGE-Agenten das OPM verlassen. Ferner habe das OPM seine internen Richtlinien nach gerichtlichen Rügen schon verschärft. Musk selbst war Ende Mai 2025 von Bord gegangen.

Die Richterin lehnte es aber ab, das Verfahren einzustellen, weil die Behörde an der Rechtmäßigkeit ihres früheren Vorgehens festgehalten habe und die Schutzvorgaben vor allem aufgrund gerichtlich verhängter Fristen erfolgt seien. Cote betont, dass eine freiwillige Verhaltensänderung bei fortbestehender Rechtfertigung des Fehlverhaltens eine Wiederholung nicht ausschließe. Per Urteil ohne Hauptverhandlung (Summary Judgment) gab sie den Klägern bei ihren Ansprüchen gegen das OPM recht.

Das Gericht unterstreicht auch, dass die Einhaltung des US-Datenschutzgesetzes unmittelbar von der Integrität der Handelnden abhänge. Deshalb garantierten strenge Protokolle allein keinen vollen Schutz vor Umgehungen. Da die Zugriffsrechte inzwischen ohnehin widerrufen wurden, müssen diese nicht mehr formell aufgehoben werden. Dennoch steht mit dem Urteil die Rechtswidrigkeit des Vorgehens nun klar fest.

Über die genauen Bedingungen einer dauerhaften Unterlassungsverpflichtung sowie über offene Details will das Gericht nach Stellungnahmen der Parteien in einem separaten Beschluss entscheiden. Die EFF wertet die Entscheidung als Sieg für den Datenschutz im Streit über den Schutz staatlicher Beschäftigtendaten vor politisch motivierten Eingriffen.