Rund fünf Jahre nach Aufliegen des Datenskandals bei der Österreichischen Post könnte die Causa für das Unternehmen noch einmal richtig teuer werden. Die Post hatte Adressdaten von Personen mit Einschätzungen zu deren politischer Einstellung verknüpft und sollte dafür laut Datenschutzbehörde eine Strafe in Höhe von 18 Millionen Euro bezahlen. Das Bundesverwaltungsgericht (BVwG) hob die Strafe auf – doch jetzt muss das Verfahren wiederholt werden. Der Grund dafür ist eine aktuelle Entscheidung des Verwaltungsgerichtshofs (VwGH 1.2.2024, Ra 2020/04/0187), über die zuerst die "Salzburger Nachrichten" berichteten.
Das Bundesverwaltungsgericht hatte die Millionenstrafe gegen die Post Ende 2020 wegen eines Formalfehlers aufgehoben. Vereinfacht gesagt, kritisierte das Gericht, dass die Datenschutzbehörde in ihrer Entscheidung nicht bestimmte Mitarbeiter der Post für den Verstoß gegen den Datenschutz verantwortlich gemacht hatte, sondern nur das Unternehmen als solches, was zu wenig gewesen sei. Die Datenschutzbehörde ließ aber nicht locker und wandte sich mit einer Revision an das Höchstgericht. Dort hat sie vorläufig recht bekommen. Das Bundesverwaltungsgericht muss nun eine neuerliche Entscheidung über die Strafe fällen. Das Verfahren ist bereits am Gericht anhängig, bestätigt ein Pressesprecher dem STANDARD. Wie es ausgeht, ist offen.
EuGH-Urteil entscheidend
Der Grund, warum das Verfahren wiederholt werden muss, ist eine Entscheidung des Europäischen Gerichtshofs (EuGH). Das EU-Höchstgericht hatte in einem Verfahren gegen das Unternehmen Deutsche Wohnen Ende vergangenen Jahres klargestellt, dass Datenschutzstrafen auch gegen Unternehmen ausgesprochen werden können, ohne konkret verantwortliche Personen zu nennen – so wie das bei der Post der Fall war. Im neuen Verfahren muss das Bundesverwaltungsgericht klären, ob alle sonstigen Voraussetzungen für eine Strafe erfüllt sind.
"Auf die Entscheidung des EuGH zur Deutsche Wohnen haben wir alle gewartet", sagt Datenschutzanwalt Rainer Knyrim dem STANDARD. "Die Datenschutzbehörde hat in der Zwischenzeit zahlreiche Verfahren pausiert und jetzt wieder aufgenommen." Derzeit ergingen deshalb laufend Entscheidung in Verfahren, die vorübergehend ausgesetzt gewesen seien. "Ich denke, wir werden wieder einige Millionenstrafen sehen", glaubt Knyrim.
Eine Entscheidung des BVwG im Post-Verfahren dürfte erst in einigen Monaten ergehen. Auf Anfrage des STANDARD wollte das Unternehmen das laufende Verfahren nicht weiter kommentieren. Einen Datenschutzverstoß hatte die Post stets bestritten, weil die Daten anonymisiert erhoben worden sein. Die Parteiaffinitäten seien in der Folge auch gelöscht worden. In Anbetracht einer möglichen Strafe hat das Unternehmen in ihrer Bilanz Vorsorgen getroffen.
Schadenersatz?
Zusätzlich hatte die Datenschutzbehörde gegen die Post in einem weiteren Verfahren auch eine Strafe in Höhe von 9,5 Millionen Euro verhängt, weil die Post zwar Telefonnummer, Web-Kontaktformular und Adresse für Betroffenenanfragen bereitstellte, aber keine E-Mail-Adresse. Das Unternehmen hat Beschwerde gegen die Strafe eingelegt, eine Entscheidung des BVwG erwarte man "in Kürze", heißt es auf Anfrage des STANDARD.
Im Zuge des Datenschutzskandals war die Post in den vergangenen Jahren auch mit Schadenersatzklagen von Betroffenen konfrontiert. Ein Musterverfahren dazu ist nach wie vor beim Obersten Gerichtshof (OGH) anhängig. Laut dem ORF-Wirtschaftsmagazin "Eco" hat die Post bereits Anfang 2023 mit rund 2000 Betroffenen einen Vergleich über insgesamt 2,7 Millionen Euro abgeschlossen. (Jakob Pflügl, 22.4.2024)