1. Staatsexamen · Öffentliches Recht

Datenleck im Bundesamt

Bearbeitungszeit 5 Stunden · Fortgeschritten

Sachverhalt

Das Bundesamt für Migrationsdienste (BMD) ist eine Bundesoberbehörde im Geschäftsbereich des Bundesministeriums des Innern. Es verwaltet ein digitales Antragsportal, über das Personen Anträge auf Aufenthaltstitel stellen. Dort werden Name, Anschrift, Geburtsdatum, Passnummer, Familienstand sowie Angaben zu Krankheiten gespeichert, soweit sie für humanitäre Aufenthaltstitel vorgetragen werden.

K ist deutscher Staatsangehöriger und Rechtsanwalt. Er stellte am 10.01.2025 im Portal für seine ausländische Mandantin einen Antrag. Dabei hinterlegte er als Bevollmächtigter seine eigenen Daten, nämlich Kanzleianschrift, private Mobilnummer, Geburtsdatum und Bankverbindung für Kostenerstattungen.

Das BMD hatte im Jahr 2024 eine neue Portalversion einführen lassen. Der zuständige Referatsleiter R1 hatte intern angeordnet, vor Inbetriebnahme einen Penetrationstest durchzuführen. Der Sachbearbeiter S2, dem die Anordnung bekannt war, strich den Test aus der Aufgabenliste, weil der Starttermin politisch vorgegeben war. Eine Dokumentation der Entscheidung unterblieb. Die Umsetzung der Anordnung kontrollierte R1 nicht. Ein Sicherheitsgutachten des Bundesamts für Sicherheit in der Informationstechnik von 2023 hatte für vergleichbare Systeme ausdrücklich einen solchen Test empfohlen. Die Portalversion ging am 01.10.2024 ans Netz.

Am 14.03.2025 wurde über eine ungeschützte Schnittstelle (fehlende Zugriffsbeschränkung) auf einen Datenbestand von etwa 48.000 Antragstellern und Bevollmächtigten zugegriffen. Unbekannte Täter kopierten die Daten und stellten sie am 20.03.2025 in einem Internetforum zum Download bereit. Unter den kopierten und veröffentlichten Datensätzen befanden sich auch Name, Geburtsdatum, Kanzleianschrift, private Mobilnummer und Bankverbindung des K. Das BMD meldete die Verletzung am 17.03.2025 der Bundesdatenschutzbeauftragten und informierte am 25.03.2025 die Betroffenen per E-Mail. Das Forum wurde am 02.04.2025 abgeschaltet; ob Kopien weiter kursieren, ist unklar.

K erhielt in den Wochen danach 14 Phishing-Anrufe und mehrere SMS, in denen sein Geburtsdatum und seine Kanzleianschrift genannt wurden. Eine Überweisung oder Preisgabe weiterer Daten erfolgte nicht. Ein finanzieller Schaden entstand nicht. K schildert, er habe seitdem Angst vor Identitätsmissbrauch und Kontoplünderung, schlafe schlecht und habe seine Mobilnummer wechseln müssen. Das Wechseln der Nummer verursachte Kosten von 35 €. Ein ärztliches Attest liegt nicht vor. K ließ außerdem sein Konto durch seine Bank überwachen, was kostenlos war.

K erhebt am 05.11.2025 Klage vor dem zuständigen Landgericht gegen die Bundesrepublik Deutschland. Er beantragt Zahlung von 2.500 € als Ersatz für den immateriellen Schaden sowie 35 € materiellen Schadens. Er stützt sich auf Art. 82 DSGVO und hilfsweise auf § 839 BGB i.V.m. Art. 34 GG. Die Bundesrepublik trägt vor, ein bloßer Kontrollverlust und Unannehmlichkeiten begründeten keinen Schaden; sie habe zudem angemessene Maßnahmen getroffen und der Angriff sei ein krimineller Akt Dritter. Ferner sei Art. 82 DSGVO neben § 839 BGB nicht anwendbar und im Amtshaftungsrecht sei der Verweis auf anderweitige Ersatzmöglichkeit zu beachten, da K seine Daten auch gegenüber der Mandantin offengelegt habe. Das Landgericht hält die Auslegung des Schadensbegriffs für entscheidungserheblich und klärungsbedürftig und erwägt, die Sache dem Gerichtshof der Europäischen Union vorzulegen, obwohl ein Urteil in der Berufung angreifbar wäre.

Bearbeitervermerk

Es ist ein Gutachten zu folgenden Fragen zu erstellen:
1. Hat K gegen die Bundesrepublik Deutschland einen Anspruch auf Ersatz des immateriellen Schadens (2.500 €) und der 35 € aus Art. 82 DSGVO?
2. Hat K einen Anspruch aus § 839 BGB i.V.m. Art. 34 GG und in welchem Verhältnis steht dieser zu Art. 82 DSGVO?
3. Ist das Landgericht zur Vorlage nach Art. 267 AEUV berechtigt oder verpflichtet?
Auf die Höhe des immateriellen Schadensersatzes ist nur kurz einzugehen. Verjährung, Prozessführungsbefugnis und Zuständigkeit des Landgerichts sind zu unterstellen. Etwaige Verstöße gegen Art. 33 und 34 DSGVO (Meldung und Benachrichtigung) sind nicht zu prüfen. Straf- und aufsichtsrechtliche Sanktionen (Art. 83, 84 DSGVO) sind nicht zu prüfen. Das BDSG ist, soweit einschlägig, zu berücksichtigen. Die Rechtslage ist nach dem Stand Oktober 2026 zu beurteilen.

Quelle: Eigenentwurf