Behörden erhalten AZR-Daten künftig automatisch

Ein ägyptischer Asylsuchender erhielt über Facebook eine Drohnachricht. Der Absender machte deutlich, dass er mehr hat als nur üble Worte: Er schickte ihm einen Auszug aus dessen Datensatz im Ausländerzentralregister (AZR). Spätere Nachforschungen zeigten, ein Mitarbeiter der Bundesagentur für Arbeit hatte die Angaben abgerufen. Die Gesellschaft für Freiheitsrechte schilderte den Fall 2024 in einer Anhörung des Bundestages.

Der Fall zeigt: Daten aus einem staatlichen Register können in falsche Hände geraten und großen Schaden anrichten. Im Ausländerzentralregister liegen sensible Informationen über Millionen Menschen. Zahlreiche Behörden arbeiten damit.

Nun soll das Register nicht mehr nur Daten bereithalten. Künftig soll es bestimmte Informationen auch von selbst verschicken – an noch mehr Behörden.

Mehr als Name und Aufenthaltsstatus

Das AZR gehört zu den größten automatisierten Registern der deutschen Verwaltung. Zum Jahresende 2025 enthielt es nach Angaben des Bundesverwaltungsamtes 35,3 Millionen personenbezogene Datensätze. Dazu zählt neben dem allgemeinen Register auch die Visadatei.

Gespeichert werden längst nicht nur Namen, Geburtsdaten und Angaben zum Aufenthaltsstatus. Der gesetzlich festgelegte Datenbestand umfasst je nach Person und Verfahren unter anderem Anschriften, Fingerabdrücke, Lichtbilder, Identitätsdokumente, Gesundheitsuntersuchungen, Schulbildung, Beruf, Sprachkenntnisse, Integrationskurse, Sozialleistungsbezug und behördliche Entscheidungen.

Datenschutzbehörden kritisieren seit Jahren, dass sich das AZR dadurch von einem Register für ausländerrechtliche Zwecke zu einer umfassenden Informationsinfrastruktur entwickelt. Die Datenschutzkonferenz von Bund und Ländern warnte bereits 2019, die dauerhaft vergebene AZR-Nummer könne sich zu einem bereichsübergreifenden Personenkennzeichen entwickeln. Je mehr Behörden dieselbe Nummer verwenden, desto leichter lassen sich Angaben aus unterschiedlichen Lebensbereichen miteinander verbinden.

Auch der Europäische Gerichtshof setzte dem Register schon im Jahr 2008 Grenzen. Für die Anwendung des Aufenthaltsrechts könne die zentrale Speicherung bestimmter Daten nichtdeutscher EU-Bürger erforderlich sein, entschied er. Eine systematische Nutzung allein ihrer Daten zur allgemeinen Kriminalitätsbekämpfung diskriminiere sie jedoch wegen ihrer Staatsangehörigkeit.

Nicht jeder darf alles sehen

Das AZR ist eigentlich keine frei zugängliche Datenbank. Nicht jeder Behördenmitarbeiter darf nach Belieben darin recherchieren. Welche Stelle welche Daten sehen kann, hängt von ihrer gesetzlichen Aufgabe, ihrer technischen Berechtigung und dem angegebenen Abrufgrund ab. Doch bei Kontrollen zeigten sich erhebliche Probleme.

Der Bayerische Landesbeauftragte für den Datenschutz stellte bei einer Prüfung fest, dass es für die gesamte Bayerische Polizei kein spezielles AZR-Berechtigungskonzept gab, obwohl das Gesetz ein solches verlangte. Bei sämtlichen untersuchten Abrufen war offenbar routinemäßig „asylrechtliche Aufgaben“ als Grund ausgewählt worden. Diese Auswahl eröffnete die weitestgehende Einsicht in den Datenbestand.

Auch beim Bundesamt für Verfassungsschutz sah die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit Anlass für eine Kontrolle. Der Nachrichtendienst kann im automatisierten Verfahren umfangreiche AZR-Daten direkt einsehen, ohne dass das Bundesverwaltungsamt oder das Bundesamt für Migration und Flüchtlinge (Bamf) jeden einzelnen Zugriff zur Kenntnis nehmen. Ob ein Abruf erforderlich ist, beurteilt zunächst der Verfassungsschutz selbst. Nach der datenschutzrechtlichen Prüfung wurden das Berechtigungskonzept, die Dokumentation der Abrufe und das Verfahren zur Ermächtigung einzelner Beschäftigter angepasst.

Aus der Abfrage wird eine automatische Zustellung

In dieses bereits umstrittene System greift das neue Gesetz zur „Weiterentwicklung der Digitalisierung in der Migrationsverwaltung“ – oder kurz: Migrationsverwaltungsdigitalisierungsweiterentwicklungsgesetz (MDWG) – ein. Der Bundestag beschloss es am 9. Juli, der Bundesrat stimmte am folgenden Tag zu. Die Bundesregierung verspricht sich davon einen schnelleren Datenaustausch, weniger doppelte Erhebungen und eine Entlastung der Behörden.

Der entscheidende neue Schritt steckt in Paragraf 22a des AZR-Gesetzes. Danach soll das Register bestimmte Daten künftig unmittelbar nach ihrer Speicherung automatisiert an festgelegte Empfänger übermitteln.

Zu ihnen können bereits zum automatisierten Abruf zugelassene öffentliche Stellen, Meldebehörden, die Familienkasse Direktion der Bundesagentur für Arbeit und deutsche Auslandsvertretungen gehören. Neben den Grundpersonalien und der AZR-Nummer können jeweils gesetzlich zugeordnete weitere Angaben verschickt werden. Die zentralen Vorschriften zur automatischen Übermittlung sollen am 1. November 2027 in Kraft treten.

Bislang musste eine Behörde in vielen Fällen selbst aktiv werden: Sie stellte ein Ersuchen oder rief Daten über einen zugelassenen Direktzugang ab. Künftig wird zusätzlich das Register tätig. Sobald ein zuvor definiertes Ereignis gespeichert wird, kann das System die vorgesehenen Informationen automatisch an die zugeordneten Stellen senden.

Nicht alles geht an alle

Diese Automatisierung verändert die datenschutzrechtliche Lage. Bei einer individuellen Abfrage entscheidet ein Beschäftigter in einem konkreten Vorgang, dass Informationen benötigt werden. Bei einer Push-Übermittlung wird diese Entscheidung vorweggenommen: Der Gesetzgeber und die technische Konfiguration legen fest, welches gespeicherte Ereignis welchen Datenfluss auslöst.

Ist eine solche Regel zu weit gefasst, wirkt sie nicht nur in einem Einzelfall. Sie wird systematisch auf alle passenden Datensätze angewandt. Bei der Sachverständigenanhörung im Mai warnten Fachleute unter anderem vor unzureichender Datenminimierung und unklaren Zweckgrenzen. Andere Sachverständige betonten dagegen die mögliche Entlastung der Verwaltung und die Vorteile schnellerer, einheitlicher Verfahren. (mig) Aktuell Politik