Österreich will im Alleingang eine Digitalsteuer einführen. Der zuletzt veröffentlichte Gesetzesentwurf der Regierung trifft jedoch auf scharfe Kritik: Er enthält mehrere Passagen, die IT-Unternehmen dazu verpflichten könnten, Nutzerdaten bis zu sieben Jahre lang zu speichern.

So sieht der erste Artikel des neuen Gesetzes vor, dass Anbieter von Werbung im Netz künftig die IP-Adresse von Nutzern ermitteln müssen. Zudem werden auch "sonstige Geoortungsinstrumente" zur Standortbestimmung in Aussicht gestellt. Das soll bereits dann geschehen, wenn User eine Werbeanzeige auf dem Gerät sehen – und nicht etwa erst, wenn sie auf einen Link klicken. Aus steuertechnischen Gründen müssen Aufzeichnungen darüber sieben Jahre lang gespeichert werden – Kritiker wie der Providerverband ISPA geben an, dass damit wohl auch die Daten selbst gemeint sind, da die Behörden nur so die Informationen auch nachprüfen können.

Vorratsdatenspeicherung?

"Es klingt ein wenig nach einer Art der Vorratsdatenspeicherung", sagt Franz Schmidbauer, Richter beim Landesgericht Salzburg. Allerdings nur in einer sehr eingeschränkten Form, da keine userbezogenen Daten gesammelt werden würden. Im Falle der Vorratsdatenspeicherung, die 2012 und 2016 vom Europäischen Gerichtshof gekippt wurde, ging es darum, dass es möglich war, Nutzer hinter den IP-Adressen identifizierbar zu machen.

Der Wiener Rechtsinformatiker Nikolaus Forgó sieht die Pläne sehr kritisch. So sei eine IP-Adresse nicht dafür geeignet, zuverlässig den Standort eines Geräts zu identifizieren, da diese verschleiert oder im Ausland als österreichisch angezeigt werden könnte. Zudem sieht er bei der Datenerhebung ein Potenzial zur Überwachung: Registriert man sich mit einer Funkzelle in der Nähe, ist ein Nutzer eindeutig erfasst – anhand der Standortdaten, die bei der Einsicht einer Werbeanzeige gespeichert werden, könnten sie dazu verwendet werden, um umfangreiche Bewegungsprofile zu erstellen.

Werbedaten werden gesammelt

Rechtsanwalt Markus Dörfler kritisiert gegenüber dem STANDARD, dass unklar ist, nach welchen Kriterien eine IP-Adresse als "inländisch" gewertet wird. Zudem sei problematisch, dass der sechste Paragraf wohl vorschreibt, eine ausführliche Liste darüber zu führen, welche IP-Adresse welche Werbung gesehen hat. Aktuell habe nicht jeder eine eigene IP-Adresse – mit der Verbreitung des Internetprotokollstandards IPv6 könnten jedoch Geräte weitaus eindeutiger identifiziert werden. "Das heißt, dass ein Onlinewerbeleister eine genaue Liste darüber führen muss, welcher Nutzer welche Werbung in den letzten sieben Jahren erhalten hat", sagt Dörfler. Da Onlinewerbung zumeist personalisiert ist, könnten sensible Informationen über Nutzer so gesammelt werden.

"Totalüberwachung"

"Nirgendwo im Entwurf ist ein Ansatz der Datensparsamkeit zu erkennen", sagt Ispa-Generalsekretär Maximilian Schubert. "Ohne zu übertreiben, sehen wir hier Verhältnisse auf die österreichischen Nutzerinnen und Nutzer zukommen, die weit über die vom Europäischen Gerichtshof aufgehobene Vorratsdatenspeicherung hinausgehen", kritisiert er. Der Verband sieht in dem Entwurf Pläne für eine Totalüberwachung. Dem schließt sich auch die Neos in einer Aussendung an. "Die Regierung baut den Überwachungsstaat aus, trackt jeden Schritt der Nutzer im Internet und tarnt diese Kontrolle als Digitalsteuer", sagt Neos-Klubobmann Niki Scherak.

Die SPÖ schloß sich am Freitagnachmittag der Kritik an. "Das ist in der Schwere des Eingriffes vergleichbar mit der vom EuGH und vom VfGH verbotenen Vorratsdatenspeicherung", erklärte SPÖ-Datenschutzsprecher Walter Bacher.

Weitgehende Ermächtigungen für Finanzminister

Zudem wird dem Finanzminister in dem Gesetz laut den Erläuterungen die Ermächtigung erteilt, "flexibel auf neue Entwicklungen reagieren zu können" und den Text mittels einer Verordnung anzupassen. Das heißt, dass er demnach die Vorgaben, zum Beispiel zu der verpflichtenden Datenspeicherung, ändern kann.

Auch könne er technische Details, etwa zu konkreten Maßnahmen zur Aufzeichnung, auf diese Weise näher festlegen. Schubert kritisiert, dass somit das Parlament nicht mehr eingreifen kann. Aus Forgós Sicht sei dies rechtsstaatlich bedenklich, da es dem Bestimmtheitsgebot widersprechen dürfte – dieses verbietet unbestimmte Gesetze, die einen zu hohen Handlungsspielraum erteilen.

Dazu komme, dass der Entwurf laut Dörfler nicht konform mit den Vorgaben der Datenschutzgrundverordnung (DSGVO) sei. Diese sieht vor, dass so wenige Daten wie absolut notwendig gesammelt werden. "Das könnten bei der IP-Adresse schon nur die ersten Bytes sein, dann wüsste man schon, ob es sich um einen österreichischen Provider handelt", sagt Dörfler.

Der Entwurf wurde am Mittwoch im Ministerrat beschlossen, nun befindet er sich im Begutachtungsprozess. Das Finanzministerium erklärt auf Anfrage des STANDARD, dass Datenschutz-Bedenken während dieser ausgeräumt werden sollen. Änderungen sind also noch möglich. Der Vorstoß Österreichs erfolgt, nachdem es in der EU zu keiner europaweiten Einigung gekommen ist. Die Finanzminister hatten sich darauf geeinigt, auf eine Studie der OECD zu warten, die 2020 erscheint. Nun will die Regierung im Alleingang ein Gesetz schaffen.

200 Millionen für die Staatskasse

Die Regierung will mit dem Digitalsteuerpaket für Steuergerechtigkeit zwischen digitalen und klassischen Unternehmen sorgen. Das Paket, dass jährlich über 200 Mio. Euro von Google, Facebook, Airbnb, Amazon und Co. in die Staatskasse spülen soll, setzt sich aus drei Maßnahmen zusammen: eine fünfprozentige Abgabe auf Online-Werbeumsätze, eine Ausdehnung der Einfuhrumsatzsteuer im Online-Handel sowie eine Haftungsklausel für Online-Vermittlungsplattformen.

Aus den Erläuterungen geht auch hervor, dass 2020 erst mit 55 Mio. Euro an Steuereinnahmen gerechnet wird – 25 Mio. aus der Digitalsteuer, 30 Mio. Euro aus der Meldepflicht für Online-Plattformen. 2021 sollen die Steuererträge auf 208 Mio. Euro steigen – 28 Mio. Euro aus der Digitalsteuer, 30 Mio. Euro aus der Meldepflicht und 150 Mio. Euro aus der Ausdehnung der Einfuhrumsatzsteuer. (Muzayen Al-Youssef, Markus Sulzbacher 5.4.2019)