Achtzehn Millionen Euro, so viel soll die Österreichische Post dafür bezahlen, dass sie gegen die Datenschutzgrundverordnung (DSGVO) verstoßen hat. Am Ende wird es voraussichtlich nicht bei dieser Summe bleiben. Das Straferkenntnis ist nicht rechtskräftig, die Post wird Rechtsmittel ergreifen. Experten erwarten, dass die Strafe in zweiter Instanz reduziert wird.

Doch was ist von dieser Höhe zu halten? Sind derartige Strafen zu hoch? Keineswegs. Mit Kundendaten gilt es sorgsam umzugehen, und das ist bei der Post nicht ausreichend geschehen. Bestraft wurde der Verkauf der statistisch errechneten Parteiaffinitäten von Millionen Post-Kunden an wahlwerbende Gruppen. Das gefiel sehr vielen Kunden gar nicht: Tausende verlangen die Herausgabe dessen, was der gelbe Riese über sie gespeichert hat.

Keine Frage, 18 Millionen Euro sind nicht wenig. Die Höhe lässt sich durch die Zahl der Betroffenen sowie den Umsatz der Post erklären. Das mögliche Strafausmaß ist nämlich mit bis zu vier Prozent des Umsatzes bemessen. Seit Inkrafttreten des neuen Regelwerks im Frühjahr 2018 wurden nur dreimal höhere Strafen verhängt, 205 Millionen Euro gegen British Airways, 110 Millionen gegen Marriott und 50 Millionen gegen Google.

Saftige Strafen entsprechen dem Sinn der neuen Datenschutzregeln – nicht nur für Facebook, Google und Co, sondern für alle, die mit sensiblen Kundendaten hantieren.(Regina Bruckner, 30.10.2019)