Der dritte Teil einer Serie. Die stille Zusammenführung zeigte, wie Regierungen die Daten ihrer Bürgerinnen und Bürger mit Splink verknüpfen. Statistik oder Wirkbetrieb? zeigte, wie dasselbe Werkzeug von der Forschung in den Echtzeitbetrieb übertritt. Dieser Text stellt die kälteste Frage der drei: Wurde irgendetwas davon tatsächlich für rechtswidrig erklärt — und wenn ja, wo genau?
▶ Die Folienpräsentation öffnen · ↓ Folien (PDF) · ↓ Folien (PowerPoint)
Ich wollte hier sorgfältig sein, denn die Versuchung ist, zu viel zu behaupten. Also habe ich bewusst eine hohe Latte gelegt und jeden Befund daran gemessen. Stufe 1: eine Durchsetzungsanordnung, ein Bußgeld oder eine förmliche Rüge der ICO gegen das benannte System oder eine gerichtliche Entscheidung, dass die Verarbeitung rechtswidrig war — benannt, datiert, zitierfähig. Stufe 2: eine Beanstandung einer Aufsichtsbehörde unterhalb der Durchsetzung oder ein Judicial Review, der verglichen oder zurückgezogen statt entschieden wurde. Stufe 3: Kritik, wie ernst auch immer, ohne eine Entscheidung dahinter.
Dann habe ich die Suche dreimal unabhängig voneinander durchgeführt und jede Aussage adversarisch geprüft — eine Aussage musste den skeptischen Widerlegungsversuch einer unabhängigen Prüfung überstehen, sonst wurde sie verworfen. Über die drei Durchgänge hinweg: rund 300 Verifizierungs-Agenten, 99 Quellen und vier wegen Überdehnung verworfene Aussagen (darunter eine von mir selbst).
Das Fazit in einem Absatz
Gegen keines der vier genannten Systeme existiert eine Tier-1-Entscheidung — MoJ Data First, Splink, der ONS Integrated Data Service oder ADR UK. Kein Bußgeld, keine Anordnung, keine Rüge, kein Gerichtsurteil. Die echten Urteile über Rechtswidrigkeit betreffen alle das Angrenzende — sie treffen die Datenverarbeitung des Home Office nebenan, die dieselbe rechtliche Konstruktion nutzt. Ich werde Ihnen also nicht sagen, Data First sei für rechtswidrig befunden worden. Ist es nicht. Was ich Ihnen sage und belegen kann, ist: Dieselbe Abkürzung — die Datenschutzgarantien der Bürger in Richtlinien statt ins Gesetz zu schreiben — wurde von den Gerichten dreimal in Folge verworfen.
Ergebnis je Ziel
• MoJ Data First — nichts. Keine Klage, keine Maßnahme des ICO, kein Urteil. Der veröffentlichte Algorithmic Transparency Record dokumentiert lediglich eine DPIA, die Five Safes, das Entfernen von Identifikatoren und die Aufsicht durch ein Gremium. (Hoch.)
• Splink — nichts. Es ist das quelloffene Verknüpfungswerkzeug, das für Data First gebaut wurde; gegen das Werkzeug selbst ist nichts entschieden worden. (Hoch.)
• ONS Integrated Data Service — nichts, und diesmal habe ich gezielt danach gesucht, statt es aus dem Schweigen abzuleiten. Das Vollstreckungsregister des ICO, die Protokolle des National Statistician's Data Ethics Advisory Committee, das Office for Statistics Regulation und der Bericht des Public Accounts Committee vom März 2026 liefern nur Tier-3-Material — die Kritik des PAC betrifft Wirtschaftlichkeit und geringe Nutzung, ohne jeden Hinweis auf einen Datenschutzverstoß. NSDEC und OSR haben keine Vollstreckungsbefugnis; sie könnten einen Tier-1-Befund gar nicht hervorbringen, selbst wenn sie wollten. (Hoch.)
• ADR UK — nichts. Die Governance stützt sich auf den Digital Economy Act 2017, die Five Safes und die Ethikprüfung durch das NSDEC. Das ICO hat das Five-Safes-Modell befürwortet — das Gegenteil einer Durchsetzungsmaßnahme. (Hoch.)
Quellen: GOV.UK — MoJ Data First / Splink ATR; ADR UK Governance; OSR-Folgebericht zu Datenaustausch & Verknüpfung; PAC, Government use of data (März 2026); ICO-Vollstreckungsregister.
Was tatsächlich für rechtswidrig erklärt wurde — dreimal
Die wirklichen Entscheidungen liegen nebenan, im Regime der Einwanderungsdaten des Home Office. Es geht darin nicht um Verknüpfung; es geht um eine Ausnahmeregelung, die Migranten das Recht nimmt, die eigenen Daten einzusehen und anzufechten. Für diese Geschichte sind sie dennoch wichtig, denn sie verurteilen genau den Schritt, auf den sich die Verknüpfungsmaschinerie stützt: die Schutzvorkehrungen aus dem Gesetz herauszuhalten.
Runde 1 — Court of Appeal, 26. Mai 2021. In R (Open Rights Group & the3million) v SSHD entschied der Court of Appeal, dass die Einwanderungsausnahme des Data Protection Act 2018 rechtswidrig sei — eine „unzulässige Abweichung von den durch die GDPR verliehenen Grundrechten“ —, weil die nach Artikel 23(2) vorgeschriebenen Schutzvorkehrungen nirgends im Gesetz standen. Die Rechtsfolge wurde ausgesetzt; die Regierung erließ eine Neuregelung (SI 2022/76).
Runde 2 — High Court, 29. März 2023. Richter Saini entschied, die überarbeitete Ausnahme sei weiterhin rechtswidrig: Schutzvorkehrungen „müssen im Gesetzestext selbst stehen oder in einem (vom Parlament gebilligten) verbindlichen Kodex mit Gesetzeskraft“ — sie lassen sich nicht in einem Richtliniendokument abstellen.
Runde 3 — Court of Appeal, 11. Dezember 2023. Der Court of Appeal bestätigte erneut, dass die Ausnahme gegen Artikel 23(2) verstieß. Auf dieses Urteil hin erfolgte die zweite Nachbesserung der Regierung.
Fundstellen: [2023] EWHC 713 (Admin) · Urteils-PDF; [2021] EWCA Civ 800 und [2023] EWCA Civ 1474 (Court of Appeal). Hintergrund: Briefing der House of Lords Library; Kampagne der Open Rights Group.
Wie es heute steht (2026): Die Ausnahme gilt in geänderter Form wieder. Das zweite Abhilfeinstrument — The Data Protection Act 2018 (Amendment of Schedule 2 Exemptions) Regulations 2024, SI 2024/342 — wurde am 7. März 2024 erlassen und trat am 8. März 2024 in Kraft; damit standen endlich die Einzelfallentscheidung, ein Erforderlichkeits- und Verhältnismäßigkeitstest sowie Schutzvorkehrungen für schutzbedürftige Personen und Konventionsrechte im Gesetzestext selbst. Das nachfolgende Datenschutzgesetz, der Data (Use and Access) Act 2025 (Royal Assent am 19. Juni 2025), ließ die Einwanderungsausnahme unangetastet — es ändert nur die gesonderte Ausnahme für Straftaten. Stand Mitte 2026 ergab eine gezielte Suche keine vierte Runde von Gerichtsverfahren.
Quellen: SI 2024/342 (legislation.gov.uk) · Explanatory Memorandum; Data (Use and Access) Act 2025 · Zusammenfassung auf gov.uk; ICO-Leitfaden zur Einwanderungsausnahme.
Die Grenze, die ich nicht überschreite
Hier kommt der Teil, der die Sache ehrlich hält. Die Einwanderungsurteile sind Tier 1 und unerschütterlich — aber sie betreffen eine Ausnahme von den eigenen Betroffenenrechten der Menschen, nicht das Verknüpfen oder Teilen von Datenbeständen. Der Mangel, den die Gerichte verwarfen, war ein verfahrensmäßiger: Schutzvorkehrungen gehören ins Gesetz, nicht in Richtlinien. Keines der drei Urteile behandelt ressortübergreifenden Datenaustausch, Datensatzverknüpfung oder Massenabgleich.
Die faire Behauptung lautet also: Dasselbe Ministerium wurde, weil es mit demselben Kniff die Schutzvorkehrungen aus dem Gesetz heraushielt, dreimal für rechtswidrig befunden. Die unfaire Behauptung — die ich nicht aufstelle und die auch Sie nicht aufstellen sollten — wäre, die Gerichte hätten die staatliche Datenverknüpfung verurteilt. Das haben sie nicht. Genauigkeit ist hier die Waffe; wer einem Gegner eine einzige Übertreibung nachweist, entwertet alles Wahre, das daneben steht.
Was einer Entscheidung über Verknüpfung am nächsten kommt
Es gibt einen Befund, der der Verknüpfungsmaschinerie näher kommt als die Einwanderungsfälle — und er ist Tier 2, nicht Tier 1. Am 26. März 2021 äußerte sich der Information Commissioner förmlich zum Plan des Cabinet Office, die Datenabgleichszwecke der National Fraud Initiative auszuweiten. Die Aufsichtsbehörde warnte schriftlich, das Cabinet Office „hat noch keine DPIA durchgeführt“ und solle dies vor jeder Verarbeitung tun, Erforderlichkeit und Verhältnismäßigkeit seien nicht dargelegt, und ein Abgleich auf Abruf „könnte es Teilnehmern möglicherweise erlauben, ohne rechtmäßigen Grund unverhältnismäßige Suchen nach Informationen über bestimmte Einzelpersonen quer durch ein breites Spektrum von Quellen durchzuführen.“
Das ist eine Aufsichtsbehörde, die aktenkundig davor warnt, dass ein staatliches Programm zum Datenabgleich rechtswidrige, unverhältnismäßige Verarbeitung ohne abgeschlossene Folgenabschätzung riskiert. Für die Frage, die diese Serie stellt, ist es der einschlägigste Fund der gesamten Untersuchung — aber es ist eine Stellungnahme im Konsultationsverfahren, keine Durchsetzungsmaßnahme. Es wurde keine Tier-1-Anordnung und kein Gerichtsurteil zum ressortübergreifenden staatlichen Datenabgleich gefunden.
Quelle: Stellungnahme des ICO zur NFI im Konsultationsverfahren (26. März 2021) · vollständiges PDF. Verwandt: Stellungnahme des ICO zur Eligibility Verification Measure.
Vier Punkte, die stärker aussehen, als sie sind
Weil sie in der Berichterstattung immer wieder auftauchen und weil ein einziger Fehler hier das ganze Argument zu Fall bringt:
• Royal Free–DeepMind (ICO, 3. Juli 2017). Das ICO stellte fest, dass der Trust mit der Weitergabe von rund 1,6 Millionen Patientenakten gegen den Data Protection Act 1998 verstoßen hatte — das Mittel war jedoch eine freiwillige Verpflichtungserklärung, kein Bußgeld und keine Anordnung. Zitieren Sie es als „Feststellung im Wege einer Verpflichtungserklärung“, nie als Sanktion. ICO-Eintrag ↗
• Visa-Streaming-Algorithmus des Home Office (2020). Nach einem Antrag auf gerichtliche Überprüfung durch JCWI und Foxglove noch vor jeder Verhandlung zurückgezogen. Tier 2 — ein Rückzieher ohne Eingeständnis und ohne Urteil. „Erfolgreiche gerichtliche Überprüfung“ ist Presseverkürzung. Foxglove ↗
• DWP Universal Credit, [2020] EWCA Civ 778. Ein echtes Urteil gegen das DWP — aber wegen Unvernunft (irrationality) bei der zeitlichen Zuordnung von Gehaltszahlungen. Keine datenschutzrechtliche Feststellung. Für Verknüpfung irrelevant. BAILII ↗
• GPS-Überwachung von Migranten durch das Home Office (ICO, 1. März 2024). Eine echte Tier-1-Anordnung samt Verwarnung — aber wegen eingriffsintensiver Überwachung und eines DPIA-Versäumnisses, nicht wegen Datenabgleichs. Der stärkste verfügbare Tier-1-Treffer gegen das Home Office betrifft Überwachung, nicht Verknüpfung. ICO-Eintrag ↗
Was ich nicht abschließen konnte
• Ob das Cabinet Office die vom ICO 2021 geforderte DPIA je abgeschlossen hat und ob das ICO nachfasste, als der ausgeweitete Abgleich in Betrieb ging.
• Ob gegen die anderen großen Austauschregime — Betrugsabgleich beim DWP, Massenweitergabe durch HMRC, die Befugnisse zur öffentlichen Leistungserbringung aus dem Digital Economy Act 2017 — über die NFI-Konsultation hinaus eine Tier-1-Maßnahme existiert. Noch nicht erschöpfend recherchiert.
• Das Vollstreckungsregister des ICO wird dynamisch erzeugt; das „nichts gefunden“ bei ONS stützt sich auf konvergierende Suchen statt auf eine einzige maßgebliche Abfrage. Eine nicht berichtete oder sehr junge Eingabe lässt sich nicht vollständig ausschließen.
Den Rest der Serie lesen
→ Die stille Zusammenführung — wie die Verknüpfung funktioniert und warum es den Bürgern nie wirklich gesagt wurde. Enthält den vollständigen Beweisschrank: jede staatliche Quelle archiviert, als Screenshot gesichert und gespeichert. ↓ Beweispaket.
→ Statistik oder operativer Einsatz? — dasselbe Werkzeug beim Übertritt von der Forschung in den Echtzeitbetrieb, in den Worten der Regierung selbst.
↗ Vollständiges Repository, Belege & begleitende Untersuchungen (GitHub)
Methodik des dritten Durchgangs: drei unabhängige Rechercheläufe, rund 300 adversarielle Verifikationsagenten, 99 Quellen, 75 geprüfte Behauptungen, 4 wegen Übertreibung verworfen. Jede Rechtstatsache im Abschnitt „Wie es heute steht“ wurde wörtlich gegen legislation.gov.uk abgeglichen; jede gerichtliche Feststellung gegen das Originalurteil oder den Rechtsprechungsbestand der National Archives. Nur öffentliche Quellen; auf kein nicht öffentliches System wurde zugegriffen. Konfidenzniveaus sind angegeben; was nicht geprüft wurde, ist als ungeprüft gekennzeichnet.