VwGH bestätigt Post-Datenhandel als rechtswidrig — 13 Mio. Euro Strafe nach sieben Jahren

Der österreichische Verwaltungsgerichtshof (VwGH) hat am 24.06.2026 bestätigt, dass die Österreichische Post AG Partei-Affinitäten ihrer Kunden unrechtmäßig verarbeitet hat, und die Geldbuße mit 13 Mio. Euro festgesetzt. Das teilte die Datenschutzbehörde (DSB) am 16.07.2026 in einer amtlichen Bekanntmachung mit. Damit endet ein Verfahren, das die österreichische Datenschutzaufsicht sieben Jahre lang beschäftigt hat.

Der Ausgangspunkt liegt im Jahr 2019: Die Post hatte für Millionen Österreicherinnen und Österreicher errechnet, welcher Partei sie vermutlich nahestehen, und diese Einschätzungen für Direktwerbung verwertet. Niemand hatte diese Neigung angegeben — sie war aus Adressdaten, Alter, Geschlecht und Konsummerkmalen abgeleitet, also klassisches Profiling. Die DSB verhängte dafür 18 Mio. Euro.

Der Umweg über Luxemburg

Bis zur Rechtskraft brauchte es einen europäischen Zwischenschritt. Das Bundesverwaltungsgericht hob das Straferkenntnis im November 2020 auf — nicht, weil es die Datenverarbeitung für zulässig hielt, sondern aus einem formalen Grund österreichischer Prägung: Im Straferkenntnis war keine natürliche Person benannt, der die Verletzung zugerechnet werden konnte. Die DSB erhob außerordentliche Revision an den VwGH, der das Verfahren aussetzte und die europäische Klärung abwartete.

Die kam am 05.12.2023. In der Rechtssache Deutsche Wohnen (C-807/21) entschied der EuGH, dass eine nationale Regel, die die Zurechnung zu einer identifizierten natürlichen Person verlangt, nicht angewendet werden darf — Art. 83 DSGVO sieht ein solches Erfordernis schlicht nicht vor. Unternehmen haften unmittelbar. Auf dieser Grundlage hob der VwGH im April 2024 die Entscheidung des Bundesverwaltungsgerichts auf. Der Spruch vom Juli 2026 schließt die Kette: rechtswidrig, 13 Mio. Euro.

Dass die politische Neigung überhaupt in die schärfste Schutzkategorie fällt, hatte der VwGH bereits früher festgehalten: Partei-Affinität zählt zu den Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Entscheidend ist dabei nicht, woher ein Datum stammt, sondern was es aussagt — eine berechnete Neigung ist ebenso geschützt wie eine angegebene. Zivilrechtlich hatte die Post den Komplex bereits durch einen Millionenvergleich mit Betroffenen beendet. Eine öffentliche Stellungnahme des Unternehmens zur VwGH-Entscheidung war am 20.07.2026 nicht auffindbar; die Presseseite von post.at antwortete auf Anfrage mit einem Fehler.

Warum das für KI-Systeme zählt

Der Fall ist kein KI-Fall — die Post rechnete mit Statistik, nicht mit neuronalen Netzen. Der Rechtssatz dahinter trifft KI-Anwendungen aber unmittelbar: Wer aus harmlosen Merkmalen sensible Eigenschaften ableitet, verarbeitet sensible Daten und braucht dafür eine Rechtsgrundlage nach Art. 9 DSGVO. Genau das tun Empfehlungs-, Scoring- und Zielgruppensysteme routinemäßig, und moderne Modelle tun es deutlich treffsicherer als eine Regressionsformel von 2019.

Bemerkenswert bleibt die Zeitachse. Zwischen erster Strafe und Rechtskraft liegen sieben Jahre, davon mehr als drei im Wartestand auf den EuGH — und die Buße fällt am Ende um 5 Mio. Euro niedriger aus als 2019 verhängt. Für die Durchsetzungskraft der österreichischen Aufsicht ist das ein zwiespältiges Signal: Die Rechtsfrage ist geklärt, doch die Behörde, die sie erstritten hat, kämpft parallel mit ihrer Budgetausstattung. Wie schnell sich derselbe Rechtssatz künftig gegen KI-gestütztes Profiling durchsetzen lässt, hängt weniger am Gesetz als an dieser Ausstattung.