Ein US-Gericht hat entschieden, dass Agenten des Department of Government Efficiency illegal auf Daten von Bundesbehörden zugegriffen haben, wie heise online berichtet. Der Beschluss trägt eine gerichtliche Feststellung in eine Auseinandersetzung, die bisher eine reine Zuständigkeitsdebatte war: ob ein per Dekret geschaffenes Gremium, dessen Personal überwiegend aus angebundenen Kräften und Auftragnehmern statt aus vom Senat bestätigten Beamten besteht, in Systeme reichen darf, die Steuer-, Gesundheits-, Personal- und Sozialleistungsdaten von Amerikanern enthalten.
Die rechtliche Grundlage ist schmal, aber tragfähig. Der Privacy Act von 1974 beschränkt nicht nur, wer einen Bundesdatensatz lesen darf; er beschränkt die Weitergabe und bindet den Zugriff an das Need-to-know-Prinzip innerhalb der Behörde, die die Daten hält. Routine-Use-Klauseln erlauben die Weitergabe für Zwecke, die die Behörde vorab veröffentlicht hat. Was sie nicht erlauben, ist ein allgemeines Einsichtsrecht für jeden, den das Weiße Haus benennt. Wenn es um die Zahlungsdateien des Finanzministeriums oder den zentralen Leistungsdatensatz der Social Security Administration geht – beides wurde zum Brennpunkt –, ist der Unterschied zwischen „Zugriff zu einem genannten Zweck" und „Zugriff, weil wir gefragt haben" der ganze Fall.
Die Entscheidungen, die in diesem Feld gegen die Regierung ausgingen, laufen eher auf Verfahren hinaus als auf Politik: dass Behörden keine Rechtsgrundlage benannt, die erforderliche Routine-Use-Bekanntmachung nicht veröffentlicht oder die freigegebenen Personen nicht überprüft haben. Gerichte zeigen sich auffällig zurückhaltend, das dahinterliegende Programm für verfassungswidrig zu erklären, und auffällig bereit zu sagen, dass diese konkrete Leitung ohne Genehmigung verlegt wurde.
Damit bleibt die schwierigere Frage. Die Feststellung, dass der Zugriff illegal war, betrifft die Vergangenheit. Der Rechtsbehelf betrifft die Gegenwart: bereits kopierte Datensätze, bereits zusammengeführte Bestände, bereits gerechnete Auswertungen. Bundesdaten kommen selten zurück. Der Privacy Act gibt Betroffenen ein Recht auf Auskunft und Berichtigung, aber keinen sauberen Mechanismus, um zu beweisen, dass eine unrechtmäßige Kopie vernichtet wurde, und keinen Schadensersatzweg, solange keine nachteilige Wirkung dargestellt wird – eine Schwelle, die kaum zu erreichen ist, wenn der Schaden ein Profil ist und keine Entscheidung.
Für Technologen ist der Beschluss eine Erinnerung daran, dass die interessanten Fehler in staatlichen Datensystemen selten technisch sind. Die Berechtigungen waren korrekt gesetzt. Die Audit-Logs funktionierten. Was fehlte, war ein rechtlich gültiger Grund, überhaupt im System zu sein – und dafür ersetzt keine Ingenieurssorgfalt etwas.
