Es ist der wohl größte Datenskandal, den es in Österreich je gegeben hat: Die Gebühren Info Service (GIS) verschlampte im Jahr 2020 die Meldedaten von so ziemlich jedem Menschen im Land. Sie hatte ein Subunternehmen damit beauftragt, eine interne Datenbank der GIS neu zu strukturieren. Diese stellte versehentlich die Adressen, Namen und Geburtsdaten von neun Millionen Menschen – also fast der gesamten Bevölkerung – ungeschützt ins Netz. Ein Hacker aus den Niederlanden griff sie ab und bot sie zum Verkauf an.
Nun hat die Datenschutzbehörde in einem Bescheid, der dem STANDARD vorliegt, festgestellt: Die GIS hat gegen die Datenschutzgrundverordnung (DSGVO) verstoßen. Die GIS kann – und dürfte höchstwahrscheinlich – Beschwerde dagegen erheben. Eine Presseanfrage dazu läuft aktuell.
Daten nicht gut genug geschützt
Konkret hat sie laut der Behörde gegen das Recht auf Geheimhaltung verstoßen, indem sie nicht ausreichend technisch und organisatorisch dafür gesorgt hatte, dass die personenbezogenen Daten der Betroffenen geschützt bleiben. Zur Erklärung: Das Wiener Subunternehmen, das im Auftrag der GIS arbeitete, hatte die Daten im Rahmen seiner Tests offen ins Internet gestellt. Der Zugriff darauf war somit "ohne große Mühe" möglich, kritisiert der Rechtsanwalt Robert Haupt dem STANDARD. Gemeinsam mit seinem Kollegen Florian Scheiber führt er aktuell ein Sammelverfahren gegen die GIS, welchem sich schon über 4.000 Menschen angeschlossen haben.
Eine Geldstrafe kann die Datenschutzbehörde nicht verhängen, da eine solche in Österreich für die öffentliche Hand nicht vorgesehen ist. Sie stellt in ihrem Bescheid aber klar fest, dass die Meldedaten für Identitätsdiebstähle missbraucht werden könnten.
Haupt und Scheiber sehen diese Feststellung als möglichen Grund, dass ihre anstehende Schadenersatzklage gegen die GIS Erfolg haben könnte: Die Anwälte fordern einen sogenannten immateriellen Schadenersatz. Auch wenn kein tatsächlicher Schaden entstanden ist, also etwa Daten missbraucht wurden – sondern man etwa aufgrund eines Verstoßes erheblich genervt ist –, reicht dies für einen Anspruch, solange die entstandenen Beeinträchtigungen vor Gericht als erheblich genug gewertet werden. Sollte die Klage Erfolg haben, könnte potenziell fast jeder Mensch im Land Schadenersatz von der GIS fordern. (Muzayen Al-Youssef, 29.11.2023)