Datenschutzbehörde prüft AfD nach Spender-Leak

Die Berliner Datenschutzaufsicht befasst sich mit einem Datenabfluss bei der AfD, bei dem interne Kommunikation und mutmaßliche Spenderdaten öffentlich wurden. Der Bundesverband der Partei meldete den Vorfall am 20. Oktober 2026. Geprüft wird nun, ob die Meldung ordnungsgemäß erfolgte, ob Betroffene informiert werden mussten und ob die Partei ausreichende technische und organisatorische Vorkehrungen getroffen hatte.

Umfangreicher Datensatz aus Parteisystemen

Eine Hackergruppe hatte nach eigenen Angaben im September Daten von einem AfD-Server erlangt und diese im Oktober veröffentlicht. Der Umfang des Materials liegt bei rund 280 Gigabyte. Dazu gehören etwa 420.000 E-Mails, viele davon mit Anhängen, sowie knapp 50.000 weitere Dokumente.

Der Datensatz gewährt Einblicke in interne Abläufe der Partei. Für die AfD besonders heikel sind aber Unterlagen, die personenbezogene Informationen enthalten. Dazu zählen automatisierte Zahlungsmitteilungen über Spenden, die über einen Zahlungsdienstleister eingingen. Außerdem finden sich Kontoauszüge, auf denen neben Spenden auch Mitgliedsbeiträge auftauchen. In vielen Fällen enthalten die Dokumente weitere Angaben wie Namen, Anschriften oder Kontodaten.

Aus den zusammengeführten Informationen ergeben sich mehr als 12.000 Spenden aus den Jahren 2014 bis 2025. Es handelt sich überwiegend um kleinere Beträge zwischen zwei und 150 Euro. Der Schwerpunkt liegt in den Jahren 2017 und 2018. Werden Mehrfachspenden herausgerechnet, sind gut 8.700 Personen betroffen.

Risiken für Spenderinnen und Spender

Die Veröffentlichung ist für die Betroffenen sensibel, weil Zahlungsdaten, politische Zuordnung und private Kontaktinformationen zusammenfallen können. In dem Material stehen teils Klarnamen, E-Mail-Adressen, Wohnanschriften, Bankverbindungen und die jeweilige Summe. Daraus können Risiken wie Belästigungen, Phishing, unerwünschte Kontaktaufnahmen oder Versuche zum Missbrauch weiterer Konten entstehen.

Die politische Dimension erhöht die Brisanz. Die AfD wird von Sicherheitsbehörden mindestens in Teilen als gesichert rechtsextremistisch eingestuft. Eine offen erkennbare Spende an die Partei kann daher für einzelne Personen auch berufliche oder gesellschaftliche Folgen haben.

Offen ist zudem, ob die Partei bestimmte Angaben überhaupt dauerhaft speichern durfte. Das Parteiengesetz verpflichtet Parteien zwar, Spenden zu dokumentieren. Anonyme Zuwendungen von mehr als 500 Euro sind verboten. Namen und Anschriften müssen jedoch erst bei höheren Beträgen im Rechenschaftsbericht erscheinen, wenn die Summe innerhalb eines Jahres über 10.000 Euro liegt. Bei vielen kleineren Zuwendungen kann deshalb entscheidend sein, ob für die Speicherung weiterhin ein rechtlicher Zweck bestand.

Behörde prüft Pflichten nach DSGVO

Nach der Datenschutzgrundverordnung müssen Organisationen personenbezogene Daten so schützen, dass ein Abfluss möglichst verhindert wird. Dazu gehören je nach Risiko etwa Verschlüsselung, Zugriffsbeschränkungen, Protokolle und klare Löschregeln. Bei sensiblen Daten wie politischen Präferenzen gelten hohe Anforderungen.

Der Berliner Aufsicht ist der Fall bekannt. Der AfD-Bundesverband meldete dort am 20. Oktober um 18.59 Uhr einen Datenschutzvorfall. Die Behörde bewertet nun unter anderem, ob die Partei die gesetzlichen Meldepflichten erfüllt hat. Nach der DSGVO müssen relevante Vorfälle grundsätzlich binnen 72 Stunden an die zuständige Aufsicht gemeldet werden. Betroffene Personen sind außerdem ohne unnötige Verzögerung zu benachrichtigen, wenn ihnen ein hohes Risiko droht.

Der IT-Rechtsanwalt Martin Schirmbacher bewertet den Fall als gravierend. Personenbezogene Daten dürften nur verarbeitet werden, solange es dafür eine Grundlage gebe. Ein strukturiertes Löschverfahren sei daher keine bloße Formalität. Auch unzureichende Schutzmaßnahmen könnten bereits einen Datenschutzverstoß darstellen und ein Bußgeld nach sich ziehen.

Mögliche Folgen für die Partei

Nach Darstellung der Hackergruppe gelang der Zugriff über eine technisch veraltete Website. Von dort aus seien weitere Berechtigungen im internen Netzwerk erlangt worden, bis schließlich Postfächer kopiert werden konnten. Diese Angaben sind für die Prüfung der technischen Schutzmaßnahmen bedeutsam.

Sollte die Aufsicht Verstöße feststellen, könnten der AfD finanzielle Sanktionen drohen. Maßgeblich wäre dabei, ob Daten länger als nötig aufbewahrt wurden, ob die Schutzvorkehrungen angemessen waren und ob die Partei ihre Melde- und Informationspflichten erfüllt hat. Für die Betroffenen bleibt entscheidend, ob und wie sie über die Veröffentlichung ihrer Daten informiert werden und welche Schutzmaßnahmen sie selbst ergreifen können.