Persönliche Daten von Millionen Post-Kunden wurden ohne Einwilligung gesammelt und vermarktet. Durch einen Formfehler entgeht die Post aber einer ursprünglich auf 18 Millionen Euro angesetzten Strafe.
Wien. Die Österreichische Post AG hat Daten von Millionen Österreicherinnen und Österreichern ohne Einwilligung der Betroffenen eingeholt und diese dann vermarktet. Dabei ging es nicht nur um Informationen wie Alter, Adresse, Qualifikationen, Bioaffinität oder Spendenbereitschaft der betroffenen Personen, sondern auch um Daten bezüglich deren Einkommen und politische Vorlieben. Die Datenschutzbehörde verhängte daraufhin wegen Speicherns und Verarbeitens schutzwürdiger Daten eine Strafe von 18 Millionen Euro zuzüglich 1,8 Millionen Euro an Verfahrenskosten. Die Post legte dagegen Berufung ein, da sie die Entscheidung für inhaltlich falsch und die Strafe für überzogen hielt. Die Datensammlung sei in Wirklichkeit nur eine statistische Hochrechnung gewesen und die Daten bereits gelöscht worden.
Das teilstaatliche Unternehmen entschied das Verfahren für sich. Das Bundesverwaltungsgericht berief sich dabei auf eine frühere Entscheidung des Verwaltungsgerichtshofs dieses Jahres, wonach der Adressat der Strafe konkret bestimmt werden müsse. Nur eine natürliche Person könne als Täterin ausgemacht werden, nicht eine juristische Person, wie im Falle des Post-Unternehmens. Die Behörde verwies hingegen darauf, dass der Vorstand einerseits im Rahmen des Projektes „Fitness für die DSGVO“ über alles informiert gewesen sei, sowie darauf, dass in Frankreich eine höchstgerichtliche Entscheidung gefällt worden wäre, wonach die Benennung von natürlichen Personen nicht nötig sei.
Das Bundesverwaltungsgericht hielt an seinem Standpunkt fest und ordnete die Strafe als rechtswidrig ein. Da keine natürlichen Personen genannt worden seien, fehle eine Konkretisierung des Tatvorwurfs. Das Verfahren wurde ohne Möglichkeit auf Revision eingestellt.
Quelle: Standard
