Die Arbeit der Datenschutzbehörde war im Jahr 2021 bereits das zweite Jahr in Folge geprägt von der Pandemie. Im Berichtsjahr 2021 seien insgesamt 6.051 Individualbeschwerden bei der Datenschutzbehörde eingebracht worden. Im Vergleich zum Vorjahr (1.603 Beschwerden) bedeute dies einen Anstieg um satte 277 Prozent. 4.271 Beschwerden standen dem Bericht zufolge ausschließlich im Kontext mit der Versendung von Schreiben zur Impfung gegen COVID-19. Durch eine im Sommer 2021 durchgeführte, konzertierte Aktion („DSB 2.0.“) konnte demnach eine Vielzahl von Verfahren abgeschlossen werden.
„Data Breaches“-Meldungen zu COVID-19-Testergebnissen
Im Berichtsjahr wurden dem Bericht zufolge der Datenschutzbehörde 1.169 nationale Sicherheitsverletzungen, sogenannte „Data Breaches“ gemeldet. Eine nicht unwesentliche Anzahl gemeldeter Vorfälle sei auch hier auf die Corona-Pandemie zurückzuführen, insbesondere im Zusammenhang mit den COVID-19-Testergebnissen. Von Betreibern öffentlicher Kommunikationsdienste habe es 55 Sicherheitsverletzungen nach dem Telekommunikationsgesetz gegeben.
Die Datenschutzbehörde habe im Beobachtungszeitraum 36 Geldbußen über in Summe 24,7 Mio. € verhängt sowie sieben Verwarnungen ausgesprochen. Ein beachtlicher Teil dieser Strafen sei nicht rechtskräftig, so der Bericht, wie beispielsweise für eine vorgenommene Einschränkung des Kommunikationsweges ausschließlich auf ein Kontaktformular mit einer verhängten Geldbuße von 9,5 Mio. €. Die DSB erläutert dazu, dass es grundsätzlich keine Bedenken gegen den Einsatz von Web-Formularen zur Kontaktaufnahme durch Betroffene gebe, dies jedoch nicht dazu führen dürfe, dass sonstige Kommunikationswege (wie z.B. E-Mails) beschränkt oder sogar gänzlich ausgeschlossen werden, was offensichtlich hier der Fall gewesen sei.
401 Beschwerdefälle wurden bei der DSB im Jahr 2021 eingebracht, die einen grenzüberschreitenden Sachverhalt aufwiesen. In 407 Fällen wurde die DSB umgekehrt als betroffene Aufsichtsbehörde in das Verfahren einbezogen. Das breite Spektrum der Aufgaben der DSB umfasst neben der Zusammenarbeit auf europäischer Ebene unter anderem auch Genehmigungen im internationalen Datenverkehr, aber auch Rechtsauskünfte an Bürger sowie umfassende Informationen im Zusammenhang mit dem geltenden Datenschutzrecht auf der Webseite der Behörde.
An amtswegigen Verfahren hat die DSB im Jahr 2021 274 an der Zahl eingeleitet. 180 amtswegige Verfahren seien im Berichtszeitraum einer Enderledigung mit Bescheid oder Einstellung zugeführt worden.
Im Jahr 2021 seien außerdem 511 Beschwerden gegen Bescheide der Datenschutzbehörde erhoben worden. Es habe 56 Säumnisbeschwerden im Berichtszeitraum gegeben. 11 Beschwerden gegen Straferkenntnisse der Datenschutzbehörde wurden dem Bericht zufolge beim Bundesverwaltungsgericht erhoben. Ein gemeinsam mit der Universität Wien durchgeführtes Projekt habe im Jahr 2021 Fahrt aufgenommen und die ersten Zwischenergebnisse seien bereits intern präsentiert worden.
Beendigung der „Post-Task-Force“
Als eine der wesentlichen höchstgerichtlichen Entscheidungen 2021 wird im Bericht etwa ein Erkenntnis des Verwaltungsgerichtshofs (VwGH) angeführt, der die Revision der Österreichischen Post im Ergebnis abgewiesen habe. Der VwGH habe somit letztinstanzlich die mittlerweile mehrjährige Spruchpraxis der DSB bestätigt, wonach bereits die Zuordnung einer (bloß) vermuteten politischen Meinung („Parteiaffinität“) gegen das Verarbeitungsverbot der DSGVO verstößt. Die in der DSB eigens dafür eingerichtete Post-Task-Force habe zuvor 2021 in knapp 50 Individualbeschwerdefällen abermals die rechtswidrige Verarbeitung der „Parteiaffinität“ durch die Österreichische Post festgestellt.
Im Sinne dieser Rechtsprechung sei überdies in rund 60 Fällen eine Verletzung im Recht auf Geheimhaltung aufgrund der Verarbeitung der „Sinus-Geo-Milieus“ – welche (gleichermaßen vermutete) weltanschauliche Überzeugungen wiedergeben – ausgesprochen worden. Der erfolgreiche Abschluss von rund 135 Verfahren im Berichtszeitraum bei gleichzeitig signifikantem Rückgang der Ersteingaben habe schließlich zur Beendigung der Arbeit der Post-Task-Force mit Ende des Jahres 2021 geführt, so der Bericht.
