Millionenstrafe für österreichische Post wegen Datenschacher

Ein langwieriger Rechtsstreit um sensible Daten

Der österreichische Verwaltungsgerichtshof (VwGH) hat ein rechtskräftiges Urteil im Fall der Österreichischen Post gefällt. Das Unternehmen muss eine Verwaltungsstrafe in Höhe von 13 Millionen Euro zahlen, ergänzt durch einen Kostenbeitrag von 100.000 Euro. Damit endet ein juristisches Verfahren, das sich über sieben Jahre erstreckte und das Höchstgericht mehrfach beschäftigte.

Der Kern des Konflikts liegt im Zeitraum zwischen Mai 2018 und Februar 2019. In dieser Phase erstellte und verkaufte die Post Schätzungen über die politische Affinität von rund 2,2 Millionen Menschen in Österreich. Diese Daten wurden ohne die explizite Zustimmung der Betroffenen verarbeitet, was bereits 2019 zu einem Einschreiten der Datenschutzbehörde führte.

Rechtliche Einordnung der Datenverarbeitung

Die Datenschutzbehörde untersagte der Post damals die weitere Verarbeitung dieser Informationen und verhängte eine Geldstrafe. Im Verlauf der juristischen Auseinandersetzung bestätigten sowohl das Bundesverwaltungsgericht als auch der VwGH, dass es sich bei den geschätzten politischen Affinitäten nicht lediglich um einfache personenbezogene Daten handelt. Vielmehr wurden diese als sensible Daten eingestuft, die unter einem besonderen Schutz stehen.

Ein zentraler Streitpunkt war die Frage, ob die Post schuldhaft gehandelt habe. Das Unternehmen argumentierte, es habe sich auf interne Bewertungen sowie externe Expertenmeinungen verlassen, die statistische Wahrscheinlichkeitswerte nicht als personenbezogene Daten einstuften. Zudem verwies die Post auf ihr bestehendes Compliance-System.

Die Entscheidung des Verwaltungsgerichtshofs

Der VwGH wies diese Argumentation zurück. Die Richter betonten, dass die Post die Schätzungen konkret einzelnen Personen zugeordnet habe. Die Auffassung, dass Marketingklassifikationen für politische Werbung kein Risiko für die Betroffenen bergen würden, bezeichnete das Gericht als „unvertretbar“. Zudem verfüge ein Unternehmen dieser Größe über ausreichende Mittel, um die Rechtslage korrekt zu prüfen, weshalb eine bloß leichte Fahrlässigkeit ausgeschlossen wurde.

Auch bei der Strafhöhe setzte sich das Gericht mit den Einwänden der Post auseinander. Während das Unternehmen forderte, die Strafe am tatbezogenen Umsatz zu orientieren, bestätigte der VwGH, dass der konzernweite Jahresumsatz als Bemessungsgrundlage dient. Zur konkreten Festlegung der 13 Millionen Euro orientierte sich das Gericht an den Leitlinien des Europäischen Datenschutzausschusses aus dem Jahr 2022.

Anpassungen bei den Verfahrenskosten

Eine Besonderheit ergibt sich bei den Kosten für das Verwaltungsstrafverfahren. Üblicherweise wird ein Aufschlag von zehn Prozent auf die Geldstrafe erhoben. Der VwGH entschied jedoch, dass dies bei derart hohen Bußgeldern zu einem unverhältnismäßigen Ergebnis führen würde. Daher wurde der zu zahlende Kostenbeitrag auf 100.000 Euro begrenzt.

Hintergrund und Bedeutung des Urteils

Das Verfahren durchlief verschiedene Instanzen, wobei auch formale Aspekte eine Rolle spielten. Zeitweise wurde die Strafe aufgrund von Formfehlern aufgehoben, da die Datenschutzbehörde im ursprünglichen Bescheid keine namentlich handelnden Personen benannt hatte. Durch eine Klarstellung des Europäischen Gerichtshofs (EuGH) in einem anderen Kontext wurde jedoch bestätigt, dass bei juristischen Personen keine namentliche Nennung der handelnden Mitarbeiter erforderlich ist. Dies ermöglichte die Rückkehr zum ursprünglichen Strafmaß.

Für die Österreichische Post markiert dieses Urteil den Abschluss eines prominenten Falls, der bereits 2019 mit der Verleihung eines „Big Brother Awards“ kritisch gewürdigt wurde. Die Entscheidung unterstreicht die hohen Anforderungen an den Datenschutz bei der Nutzung von statistischen Modellen und Wahrscheinlichkeitswerten, insbesondere wenn diese sensible Bereiche wie politische Einstellungen betreffen.