Wien – Auch eine knappe Woche nach Bekanntwerden eines öffentlichen Registers, in dem Privatdaten von Bürgern gespeichert waren, gibt es kaum mehr Licht im Dunkeln. Fest steht, dass das "Ergänzungsregister sonstiger Personen" von mehreren Institutionen befüllt wird, darunter unter anderem dem Finanzamt. Wer genau Daten bezogen und eingespeist hat, ist nach wie vor nicht geklärt. Die ÖVP verweist auf die bestehende Rechtsgrundlage.

Das Register besteht jedenfalls seit rund 16 Jahren, seit 2009 war es im Internet einsehbar. Der breiten Öffentlichkeit ist es jedoch erst seit vergangener Woche ein Begriff, als die Neos es zusammen mit der Grundrechts-NGO Epicenter Works als "größten Datenschutzskandal der Geschichte" aufs Tapet brachten. Laut Neos-Abgeordneten Douglas Hoyos hat die Partei das Wirtschaftsministerium vor der Pressekonferenz am Freitag mehrfach auf das Problem hingewiesen. Nachdem das Register weiter zugänglich war, sei man an die Öffentlichkeit gegangen.

Privatadressen, Geburtsdaten und mehr

Mittlerweile wurden die Datenbank offline genommen. Darin zu finden waren Privatanschriften und weitere Daten von bis zu einer Million Bürgern, darunter hunderte Politiker und Journalisten.

Beim Finanzministerium (BMF) heißt es auf Nachfrage, man füge in das Register ein, was vom Gesetz vorgesehen sei. Steuerdaten würden jedenfalls nicht eingespeist werden. Aus den öffentlich zugänglichen Daten sei nur ersichtlich gewesen, wann eine Steuererklärung abgegeben wurde – mehr nicht. Es handle sich jedenfalls um kein Datenleck, sagte ein Sprecher zum STANDARD.

Regelmäßig aktualisiert

Aufscheinen würden Personen, die in ihrem Leben einer selbstständigen Tätigkeit nachgegangen sind und diese in einer Steuererklärung deklariert haben. Dazu zählen auch Nebeneinkünfte, wie etwa Vermietung. Die Daten zu jenen Personen würden "regelmäßig" neu eingespielt werden.

Beim Wirtschaftsministerium heißt es, im Register würden natürliche Personen genannt werden, die nicht im zentralen Melderegister eingetragen sind sowie nicht-natürliche Personen, die weder im Firmenbuch noch im Vereinsregister eingetragen sein müssen. Das Ergänzungsregister werde in zwei Teilen geführt. Der Begriff "sonstige Betroffene" umfasse hauptsächlich unternehmerisch Tätige, die nicht im Firmenbuch oder Vereinsregister stehen, sagte ein Sprecher. Andere sind Einrichtungen, wie etwa Arbeitsgemeinschaften, Stiftungen und Körperschaften des öffentlichen Rechts.

Wer genau das Register befüllt, beantwortete das Ministerium auch auf Nachfrage nicht. "Eintragungsfälle sind in der Verordnung geregelt", teilte ein Sprecher dem STANDARD lediglich mit, "das sind im Wesentlichen der Antrag der bzw. des Betroffenen selbst sowie die Veranlassung eines Verantwortlichen des öffentlichen Bereichs, zum Beispiel etwa die Gemeinde Wien."

Statistik Austria hostet das Register

Auch die Agrarmarkt Austria (AMA) wurde im Zusammenhang mit der Datenbank genannt. Dort heißt es wiederum, man hätte Daten abgefragt, aber keine in das System eingespeist. Und auch die Wirtschaftskammer, die in mehreren Dokumenten als "Eintragungsstelle" genannt wurde, betonte wiederholt, keine Daten einzuspeisen. Wieso sie dennoch genannt wurde, müsse das zuständige Wirtschaftsministerium beantworten. Dort hieß es: "Um das Ergänzungsregister zu befüllen bzw. zu aktualisieren, greift die Statistik Austria zur Nutzung technischer Synergien auf das Unternehmensregister, das unter anderem von der WKO befüllt wird, zurück." Die Statistik Austria ist das für das Hosting des Registers zuständig.

Eine Taskforce, die diese Woche aufgestellt wird, soll nun jedenfalls für Aufklärung sorgen. Auch externe Experten sollen beteiligt werden – womöglich jene von Epicenter Works. Dort heißt es, man habe noch keine Einladung erhalten. Damit es zu einer Zusammenarbeit komme, müsse die Regierung vorab eine Reihe offener Fragen klären. Die NGO hat auf ihrer Homepage ein Formular bereitgestellt, mit dem Bürger beim Ministerium anfragen können, ob sie in dem Register geführt wurden.

Die Neos bringen zudem zwei parlamentarische Anfragen ein, um zu klären, wer Zugriff auf die Daten hatte, welche Informationen eingespeist wurden und ob weiteres Material im Hintergrund abgespeichert war. Unklar ist nach wie vor, ob das Register der Datenschutzgrundverordnung gerecht wird. Demnach müssten gelistete Personen darüber informiert worden sein. Nachdem das Register nicht mehr einsehbar ist, könne man das aus Sicht von Juristen derzeit nicht klären. (Nora Laufer, 14.5.2020)