Die DSGVO und die österreichische POST AG

Dem Recherchenetzwerk Addendum ist es zu verdanken, dass massive Verstöße der österreichischen POST AG gegen den Datenschutz bekannt wurden.   Die Datenschutzbehörde ist tätig geworden und hat mittlerweile zwei Prüfverfahren gegen die POST AG eingeleitet und es ist nicht davon auszugehen, dass es damit ein Ende hat. Zudem sind zahlreiche Beschwerden gegen die POST AG bei der Datenschutzbehörde anhängig.

Fehlende Professionalität oder passive Auskunftsverweigerung

Einem Unternehmen wie der POST AG darf man weitgehend Professionalität unterstellen, zumindest was sogenannte Geschäftsprozesse angeht. Daher ist es äußerst verwunderlich, dass Prozesse im Zusammenhang mit der Abwicklung von Auskunftsersuchen nach Artikel 15 DSGVO derart unprofessionell abgewickelt werden. Um es vorweg zu nehmen: Es entsteht der Eindruck, als sollte durch Unprofessionalität in der Abwicklung, gewissermaßen durch passiven Widerstand, Betroffenen der Zugang zur gesetzlich garantierten Auskunft erschwert werden.

Von einem Unternehmen dieser Größe und dieses Organisationsgrades wäre zu erwarten, dass es klar definierte Prozesse im Zusammenhang mit der Erfüllung von Betroffenenrechten geben sollte. Das wären Prozesse zum Recht auf Auskunft, zur Einschränkung der Verarbeitung, zur Berichtigung und zur Löschung personenbezogender Daten für den Fall der Geltendmachung von Betroffenenrechten.

Wie sich allerdings zeigt, tut sich die POST AG bereits schwer damit, dem Auskunftsrecht nachzukommen. Und vieles deutet darauf hin, dass es keine klar definierten Prozesse, jedenfalls keine effektiven und effizienten gibt. Das Datenschutzteam der POST AG scheint völlig überfordert zu sein und dürfte kaum einen Überblick über die jeweiligen Anfragen und den jeweiligen Stand der Informationsbeschaffung zur Auskunft zu haben, noch - wie sich zeigt - einen Überblick über die Korrespondenz mit Betroffenen.

Es fehlt ein Ticketsystem, das fast jedes kundenorientierte Unternehmen für Bereiche wie Kundenservice und Beschwerden nutzt. So könnte jede Anfrage zu Betroffenenrechten klar identifiziert werden, Weg und Stand der Bearbeitung sowie Kundenkontakte ermittelt werden. Im Fall der POST ändern sich im Laufe der Korrespondenz Betreffzeilen ohne dass durch eine ID Nummer ein Zusammenhang mit anderen Korrespondenzen herzustellen wäre. Im Mailverkehr lassen sich die Nachrichten noch nicht einmal als Antwort- bzw. Themenbaum darstellen, da immer wieder neue, teils durch Massenaussendungen angestoßene Nachrichten verschickt werden. Es wird in der Korrespondenz auf Antwortschreiben nicht eingegangen, was den Eindruck verstärkt, dass es sich bei den Nachrichten in erster Linie um Push-Mails handelt, die massenweise angestoßen werden.

Instrumentalisierung der Identitätsfeststellung zur Abwehr von Betroffenenrechten

Per Massenaussendung und wohl ohne sorgfältige interne Prüfung zur Identitätsfeststellung werden Betroffene auf Ihre Mitwirkungspflicht aufmerksam gemacht und aufgefordert, zum Identitätsnachweis eine Kopie eines Ausweises, Führerscheins etc. einzuscannen und per E-Mail an das Datenschutzteam der POST AG zu übermitteln. Wörtlich: Damit wir Ihre Identität überprüfen können, legen Sie bitte eine Kopie oder einen Scan eines amtlichen Lichtbildausweises (Reisepass, Personalausweis oder Führerschein) vor, damit wir Ihre Identität zweifelsfrei feststellen können. Nach dem enormen Vertrauensverlust und in Kenntnis des sorglosen und gesetzwidrigen Umgangs mit personenbezogenen Daten, wird sich jede Betroffene und jeder Betroffene hüten, eine Kopie eines amtlichen Ausweises zu übermitteln, zumal die DSGVO zwar eine Identitätsfeststellung verlangt, allerdings nicht zwingend die Kopie eines amtlichen Ausweises. Zudem wird mittlerweile in Frage gestellt, ob eine Kopie eines amtlichen Ausweises für einen sicheren Identitätsnachweis alleine ausreicht. (Erläuterung)

Im Fall der POST AG läge es nahe, das Postident-Verfahren für den Identitätsnachweis zu nutzen. Dieses Verfahren wird von vielen Unternehmen dazu genutzt, um der Verpflichtung durch die DSGVO zur Identitätsfestellung nachzukommen. Für die POST AG müsste dieses Verfahren ohnehin naheliegen, bietet sie dies doch als Briefzusatzleistung an, als die postalische Zustellung „eigenhändig” und mit „Übernahmeschein”.

Das Datenschutzteam der POST AG besteht allerdings auf der Zusendung einer Ausweiskopie und reagiert vielfach gar nicht auf vorgeschlagene Alternativen. Es deutet vieles darauf hin, dass die POST AG mit der Bearbeitung der Anfrage erst beginnt, nachdem der Identitätsnachweis in der geforderten Form vorliegt. Dabei sieht die DSGVO nur vor, dass die Identitätsfestellung bevor die Auskunft gegeben wird, erfolgt sein muss. Jedenfalls gibt es seitens der POST AG dazu keine genaueren Informationen.

Es deutet vieles darauf hin, dass die POST AG auf diese Weise die Auskunft verschleppen möchte und im Fall einer Beschwerde wegen Verstoßes gegen die Auskunftsfrist darauf Bezug nehmen möchte. Mit anderen Worten, die POST AG zielt mit dem Beharren auf einer Ausweiskopie auf eine Eskalation. Das macht das Unternehmen nicht sympathischer oder kundenfreundlicher wobei letztendlich nichts daran vorbeiführen wird, dass die POST AG ihrer Auskunftspflicht im Rahmen der Betroffenenrechte nachkommen muss. Auch hier zeigt sich mangelnde Professionalität.

Beschwerde bei der Datenschutzbehörde zur Durchsetzung von Rechten

Die Verlängerung der Auskunftsfrist von einem Monat auf drei Monate kann angesichts der massenhaften Auskunftsanfragen von Kunden der Post noch Verständnis entgegen gebracht werden. Die Verschleppung der Auskunft, weil eine bestimmte Form des Identitätsnachweises nicht erfüllt wird, ist letztlich kein Grund, dem Betroffenen, bzw. der Betroffenen die Auskunft zu verweigern, zumal es sicherere Möglichkeiten der Identitätsfeststellung gibt.

Es bleibt daher nur die Beschwerde bei der Datenschutzbehörde, da in Österreich der Klagsweg ausgeschlossen ist.

(Im Protokoll zum Auskunftsverlangen wird auch die Bearbeitung der Beschwerde durch die Datenschutzbehörde protokolliert)