Datenskandal: Post muss doch keine 18 Millionen Euro Strafe zahlen

Das Bundesverwaltungsgericht (BvWG) hat die 18 Mio. Euro-Strafe der Datenschutzbehörde gegen die Österreichische Post wegen eines Formalfehlers aufgehoben. Die Post bestätigte den Entscheid.

Die Österreichische Post betreibt seit dem Jahr 2001 über eine eigene Plattform Datenhandel. Neben Name, Adresse, Geschlecht und Alter werden auch weitere Daten gesammelt und an die jeweiligen Kunden zu Marketingzwecken verkauft oder vermietet. Anfang 2019 wurde bekannt, dass die Post Daten über politische Vorlieben ihrer Kunden gespeichert und verkauft hatte. Bei rund 2,2 Millionen Österreichern war die sogenannte „Parteiaffinität“ abgespeichert.

Im Oktober 2019 hatte die Post im Datenskandal um die Speicherung von Parteiaffinitäten von Millionen Post-Kunden und dem Verkauf dieser Daten an wahlwerbende Parteien eine Verwaltungsstrafe von der Datenschutzbehörde wegen der Verwendung von Marketingdaten erhalten. Das Strafausmaß: 18 Millionen Euro. Die Post legte damals Rechtsmittel gegen die Strafe ein.

Der Formfehler

Der BvWG wies die Strafe nun allerdings wegen eines Formalfehlers zurück, weil sie gegen eine juristische Person, und nicht gegen natürliche Personen verhängt worden war. Gegen juristische Personen wäre die Strafe aber nur möglich gewesen, wenn ausdrücklich erklärt worden wäre, dass für das Unternehmen tätige Personen für das Verschulden verantwortlich sind, heißt es in dem Bescheid, der sich auf ein Urteil aus Österreich bezieht, bei dem das festgestellt worden war. Laut Datenschutzgrundverordnung (DSGVO) ist eine direkte Haftung von juristischen Personen nämlich durchaus vorgesehen und möglich.

Die Datenschutzbehörde hatte zudem angeregt, diese Rechtsfrage als Vorlage an den Europäischen Gerichtshof (EuGH) zu schicken, doch das BvWG lehnte dies ab. Inhaltlich bestätigte das Bundesverwaltungsgericht aber die Position der Datenschutzbehörde, dass die Post Daten zu Parteiaffinitäten nicht hätte sammeln dürfen.

Kein neues Verfahren möglich

Laut Andrea Jelinek, Leiterin der Datenschutzbehörde, hat die Behörde keine weitere Handhabe gegenüber der Post. „Eine Neuerlassung des Straferkenntnisses gegen die Post kommt nicht mehr in Betracht, weil bereits Verjährung eingetreten ist“, so Jelinek laut netzpolitik.org. Bei künftigen Verwaltungsstrafverfahren will die Behörde in Zukunft auch einzelne Verantwortliche ins Visier nehmen, die dann hohe Geldstrafen erhalten könnten.