Die teilstaatliche OMV soll zwischen Jänner und März 2021 personenbezogene Daten von 73 Personen unrechtmäßig für Zwecke interner Ermittlungen verwendet haben, berichtet das Investigativmagazin "Dossier" mit Verweis auf den ihm vorliegenden Bescheid der Datenschutzbehörde zu der seit längerem schwelenden Causa. Die Behörde ermittelte gegen die OMV wegen möglicher Verstöße gegen die Datenschutzgrundverordnung (DSGVO). Die OMV wies die Kritik zurück und focht den Bescheid an.

Hintergrund der Causa waren Turbulenzen in der OMV-Chefetage unter dem damaligen Chef Rainer Seele, die immer wieder den Weg in die Medien fanden. Daher ließ die Führung im Frühjahr 2020 E-Mails und Diensthandys von Mitarbeitern durchsuchen – mit Einwilligung der Betroffenen, aber ohne den Betriebsrat einzubinden. Dies rief die Datenschutzbehörde (DSB) auf den Plan.

Überwachung

Die dem Bescheid zugrundeliegende Begründung offenbare schwere Fehler aufseiten der OMV, so "Dossier". Sie erinnere an die Datenschutzverfahren gegen die Post AG und den Jö-Bonus-Club, die zu nicht rechtskräftigen Millionenstrafen geführt haben. Im Kern geht es um Überwachungsmaßnahmen, die die OMV auf Basis von "Einwilligungserklärungen" eingeleitet haben will, die von den Betroffenen freiwillig unterzeichnet worden seien – was die Datenschutzbehörde bezweifelt.

Der Fehler sei gewesen, nicht den Betriebsrat einzubinden, so die Rechtfertigung der OMV. Im 16 Seiten starken DSB-Bescheid ist dies aber ein Randthema, berichtet das Magazin und zitiert: "Im Allgemeinen schreibt die DSGVO vor, dass eine Einwilligung nicht gültig ist, wenn die betroffene Person keine wirkliche Wahl hat, sich zur Einwilligung gedrängt fühlt oder negative Auswirkungen erdulden muss, wenn sie nicht einwilligt." Aus Sicht der Datenschutzbehörde habe ein "Ungleichgewicht der Macht" geherrscht.

Entscheidung muss im Vorfeld getroffen werden

Weiters heiße es in dem Bescheid: "Hinzu kommt – wie bereits erwähnt –, dass die betroffenen Personen über die allfälligen mehrfachen Rechtsgrundlagen für die Verarbeitung gemäß (...) DSGVO bereits bei der Erhebung der Daten zu informieren sind (...) Im gegenständlichen Fall sind die betroffenen Personen nicht über das berechtigte Interesse gemäß (...) DSGVO informiert worden, sondern sind lediglich zur Einwilligung mittels Einwilligungserklärung aufgefordert worden. (...) "Rückwirkend (...) ein berechtigtes Interesse (...) als Grundlage für die Rechtfertigung der Verarbeitung zu wählen, wenn massive Probleme mit der Gültigkeit der Einwilligung aufgetreten sind", sei nicht möglich.

Genau das hat die OMV im DSB-Verfahren aber getan, so "Dossier". Darum habe die DSB festgestellt: "Verantwortliche müssen bereits im Vorfeld entscheiden, welche Rechtsgrundlage für eine Verarbeitung anwendbar ist und bereits zum Zeitpunkt der Erhebung der personenbezogenen Daten angeben, welche Rechtsgrundlage anwendbar ist."

Die börsennotierte OMV hat gegen die Entscheidung der Datenschutzbehörde Beschwerde eingelegt, jetzt prüft das Bundesverwaltungsgericht. "Wir haben innerhalb der vierwöchigen Frist (das heißt, im August) Beschwerde gegen den Bescheid der Datenschutzbehörde eingebracht. Wir machen etliche materielle und verfahrensbezogene Beschwerdepunkte geltend und stützen uns unter anderem auf ein Gutachten von Prof. Franz Marhold zur Frage der Notwendigkeit der Involvierung des Betriebsrates. Auf die Details dieser ausführlichen Beschwerde möchte ich nicht eingehen, bevor sich das zuständige Gericht damit befasst hat", so OMV-Sprecher Andreas Rinofner am Freitag zur APA. (APA, 22.10.2021)