Das AfD-Datenleck

E1. Wer könnte betroffen sein?

Mögliche Kategorien – ihre tatsächliche Betroffenheit ist nicht belegt.

• Parteimitglieder und Beschäftigte
• Mandatsträger und Funktionsträger
• Bürgerinnen und Bürger mit Anfragen
• Bewerberinnen und Bewerber
• Journalistinnen und Journalisten
• Geschäftspartner und Dienstleister
• Andere politische Akteure und Kommunikationspartner

Allein aus dem Auftauchen einer Adresse lassen sich weder Parteimitgliedschaft noch politische Haltung oder eine tatsächliche Schädigung ableiten. Wie viele einzelne Menschen tatsächlich betroffen sind, ist bislang nicht geklärt. Wir zeigen nur geprüfte, aggregierte Kennzahlen; es gibt keine Personensuche und keine Einzelangaben.

E2. Sicherheit personenbezogener Daten

Art. 5 Abs. 1 lit. f, Art. 24 und Art. 32 DSGVO verpflichten Verantwortliche zu angemessenen technischen und organisatorischen Schutzmaßnahmen. Wir prüfen Fragen zu Zugriffskontrollen, dem Schutz von E-Mail-Archiven und Sicherungen, dem Umgang mit veralteten Systemen, der Erkennung unberechtigter Zugriffe und der Verantwortung externer Dienstleister.

Ob bestimmte Schutzmaßnahmen fehlten, ist nicht nachgewiesen. Die hier dokumentierten Quellen enthalten dazu keine belastbaren Angaben.

E3. Meldung an die Datenschutzaufsicht (Art. 33 DSGVO)

Eine Verletzung des Schutzes personenbezogener Daten ist der zuständigen Aufsichtsbehörde unverzüglich und möglichst innerhalb von 72 Stunden zu melden. Die Frist beginnt, sobald der Verantwortlichen die Verletzung bekannt wird – nicht automatisch zum technischen Angriffszeitpunkt. Eine Ausnahme gilt, wenn voraussichtlich kein Risiko für Betroffene besteht; bei späterer Meldung sind die Gründe für die Verzögerung anzugeben.

Laut Auskunft der Berliner Datenschutzaufsicht an das RND ging die Meldung am 20.10.2026 um 18:59 Uhr ein. Die von der Partei bestellte Datenschutzbeauftragte und die staatliche Aufsicht haben unterschiedliche Aufgaben; die AfD-Angabe „Datenschutzbeauftragte umgehend informiert“ belegt deshalb noch keine Meldung an die Behörde. Ob die Meldung fristgerecht war, hängt davon ab, wann die AfD von der Verletzung erfuhr. Ein Verstoß ist damit nicht nachgewiesen.

Quelle: RND (Felix Huesmann, Carina Huppertz, Jonathan Sachse), „AfD-Leak: Partei informierte Datenschutzbeauftragte offenbar deutlich zu spät“, 21.10.2026, 11:28 Uhr · t-online, 21.10.2026 · AfD, „AfD zum Daten-Hack: Angriff auf Parteiensystem und Demokratie“, 20.10.2026 · Verordnung (EU) 2016/679 (DSGVO)

E4. Benachrichtigung der Betroffenen (Art. 34 DSGVO)

Bei voraussichtlich hohem Risiko für Rechte und Freiheiten sind betroffene Personen grundsätzlich unverzüglich zu benachrichtigen; die Verordnung nennt Ausnahmen. Zu unterscheiden ist die Information von Postfachinhabern, der internen Datenschutzbeauftragten, der Aufsichtsbehörde und der betroffenen Personen selbst.

Laut AfD wurden Postfachinhaber umgehend informiert (nicht unabhängig bestätigt). Ob auch externe Kommunikationspartner benachrichtigt wurden, ist nicht geklärt.

Quelle: AfD, „AfD zum Daten-Hack: Angriff auf Parteiensystem und Demokratie“, 20.10.2026 · Verordnung (EU) 2016/679 (DSGVO)

E5. Besondere personenbezogene Daten (Art. 9 DSGVO)

Kommunikationsdaten können unter Umständen besonders geschützte Informationen enthalten, etwa politische Meinungen oder Gesundheitsdaten. Ob solche Inhalte im Datenbestand tatsächlich vorkommen, ist nicht geprüft und nicht zur Veröffentlichung freigegeben.

E6. Mögliche Folgen für Betroffene

Mögliche Risiken – keine dokumentierten Schäden:

• Identitätsmissbrauch
• Gezieltes Phishing
• Unbefugte Weiterverbreitung persönlicher Informationen
• Verletzung der Vertraulichkeit privater Kommunikation
• Mögliche Diskriminierungs- oder Reputationsrisiken

Allgemein gilt: Betroffene haben nach der DSGVO ein Auskunftsrecht gegenüber Verantwortlichen (Art. 15) und können sich bei einer Aufsichtsbehörde beschweren (Art. 77); Art. 82 regelt Schadensersatz. Das ist keine individuelle Rechtsberatung.

E7. Aktueller Prüfstatus

Uns liegt keine abschließende Entscheidung der zuständigen Aufsichtsbehörde oder eines Gerichts vor. Diese Recherche stellt selbst keinen Datenschutzverstoß fest.