Im Urteil C-416/23 hat die österreichische Datenschutzbehörde (DSB) eine schallende Ohrfeige vom EuGH kassiert. Die Behörde hat – willkürlich – die Anzahl an Beschwerden, die Betroffene einbringen dürfen, auf maximal zwei Beschwerden pro Monat festgelegt, auch wenn man fast täglich von DSGVO-Verletzungen betroffen ist. Der EuGH hat nun klargestellt: So lange man keine missbräuchlichen Beschwerden einbringt, haben alle Nutzer:innen das Recht, auch jede DSGVO-Verletzung von der DSB abgestellt zu bekommen.
DSB: Abweisen und Einstellen im Akkord. Die DSB hat schon seit Jahren diverse "Techniken" entwickelt, um Verfahren gegen Unternehmen möglichst einzustellen. So wird Betroffenen häufig nach jeder Stellungnahme eines Unternehmens mit der Einstellung des Verfahrens gedroht, wenn man nicht innerhalb zwei Wochen widerspricht. Die DSB stellt auch massenhaft Verfahren ein, wenn sich ein Unternehmen (nach jahrelangem Streit) in letzter Minute doch an die DSGVO hält. Der neueste "Trick" war, die Anzahl der Beschwerden auf zwei pro Monat zu beschränken - obwohl Nutzer:innen mitunter stündlich von DSGVO-Verletzungen betroffen sind. Dieser "Trick" wurde nun vom EuGH kassiert nachdem ein Bürger geklagt hat und bis zum EuGH gehen musst – die anderen genutzten Wege, Beschwerden loszuwerden, sind aber weiterhin in Gebrauch.
Max Schrems: "Grundrechte hat man immer – nicht nur zwei mal pro Monat. Wenn die DSB Rechtsverstöße konsequent ahnden würde, gäbe es auch weniger Beschwerden. Stattdessen setzt die DSB unterschiedliche Techniken ein, um Beschwerdeführer:innen möglichst loszuwerden. Unternehmen haben gelernt, dass es keine Konsequenzen gibt. Mit diversen prozessualen Tricks wird ein großer Teil der Beschwerden abgedreht – und Unternehmen brechen fröhlich weiter die Gesetze."
1,36% aller Verfahren führen zu einer Strafe. Aktuell gibt die DSB selbst an, im Jahr 2023 4.030 Verfahren geführt zu haben (2.389 nationale Beschwerden, 876 grenzüberschreitende Beschwerden und 765 amtswegige Verfahren). Gleichzeitig wurden im gesamten Jahr aber nur 55 Strafen verhängt. Statistisch enden also nur 1,36% aller Verfahren mit einer Strafe. Zum Vergleich: In Österreich wurden 2021 8,34 Millionen Verkehrsstrafen ausgestellt. 2023 wurden zu Spitzenzeiten allein für falsch geparkte E-Scooter in Wien mehr als 7.000 Strafen pro Monat verhängt. Die DSB bräuchte statistisch gesehen 127 Jahre, um diese 7.000 Strafen auszustellen. Dabei sind viele DSGVO-Verletzungen ebenso banal wie Falschparken. Anfragen von Nutzer:innen werden einfach nicht bearbeitet, Einwilligungen nicht eingeholt oder Daten nicht gelöscht.
Max Schrems: "Zu Spitzenzeiten wurden allein in Wien bis zu 7.000 monatliche Strafen wegen falsch geparkter E-Scooter verhängt. Die Datenschutzbehörde kam 2023 hingegen nur auf 55 Strafen. Jeder Falschparker hat in Österreich mehr zu befürchten als Konzerne, die millionenfach persönliche Daten missbrauchen. In mehr als 98% aller Fälle vor der DSB gibt es keine Strafen. Unternehmen, die sich an die Gesetze halten, stehen somit blöd da."
Verfahren dauern Jahre – statt Monate. Nach § 73 AVG muss die DSB eigentlich innerhalb von 6 Monaten entscheiden. In der Realität dauern Verfahren fast immer deutlich länger. Zum Beispiel sind 3 Jahre für eine Entscheidung zu einem illegalen Cookie-Banner keine Ausnahme. Die noyb-Statistik für Österreich zeigt viele Fälle die weit über 6 Monate auf eine Entscheidung warten. Weitere Rechtszüge zum Bundesverwaltungsgericht dauern ebenso mehrere Jahre statt den gesetzlich vorgesehenen 6 Monaten. Im Endeffekt ist die Rechtsdurchsetzung in Österreich damit in keiner Weise konform mit dem EU-Recht.
Max Schrems: "Ich hab noch nie ein DSB-Verfahren gesehen, das innerhalb der gesetzlichen Frist entschieden wurde. Statt den vorgesehenen 6 Monaten reden wir oft von 3 Jahren und mehr, auch bei vollkommen banalen Fällen wie einem illegalen Cookie-Banner. Die DSB schafft es strukturell nicht, das Recht effizient durchzusetzen."
Budgetprobleme? Eine Google-Strafe zahlt den Brennerbasistunnel. Die DSB fragt schon seit Jahren nach einem höheren Budget. Seit 2020 wurde der Personalstand von 43 auf 60 Personen erhöht. Eine entsprechende Ausstattung wäre dabei durchaus lohnend für den Staat: Die österreichische Datenschutzbehörde ist nicht nur für Unternehmen in Österreich, sondern mitunter auch für viele internationale Konzerne direkt zuständig, darunter etwa auch für Google USA. Nur eine einzige Strafe gegen Google könnte bis zu € 6 Milliarden betragen – also mehr als der österreichische Anteil am Brenner Basistunnel oder einen guten Teil des aktuellen Budgetlochs von €15 bis 23 Milliarden
Max Schrems: "Würde die DSB endlich aus ihrem Dornröschenschlaf aufwachen und dafür ein ordentliches Budget bekommen, könnte sich das schnell auszahlen. Eine DSGVO-Strafe gegen Google ist zum Beispiel mehr als unser Anteil am Brennerbasistunnnel – nur um sich die Dimension vorzustellen. Die DSB muss aber auch effizienter werden. Man kann nicht nur nach mehr Budget fragen und dann weiter Fälle strukturell nicht bearbeiten."
