Post-Datenstrafe: Die Begründung des VwGH liegt vor, entschieden wurde am 24. Juni

Die Österreichische Post AG zahlt 13 Mio. Euro Geldbuße und 100.000 Euro Verfahrenskostenbeitrag. Festgesetzt hat das der Verwaltungsgerichtshof mit Erkenntnis Ro 2025/04/0007 am 24. Juni 2026. Die schriftliche Begründung ist inzwischen veröffentlicht, deutsche Medien griffen sie am 29. Juli auf.

Gegenstand sind die Partei-Affinitäten von rund 2,2 Millionen Menschen, die die Post zwischen Mai 2018 und Februar 2019 errechnete, speicherte und teilweise an Wahlwerber verkaufte. Der VwGH stuft diese berechneten Wahrscheinlichkeitswerte als Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO ein. Eine Einwilligung lag nicht vor, ein anderer Ausnahmegrund auch nicht.

Der Weg dorthin dauerte sieben Jahre. Die Datenschutzbehörde verhängte im Oktober 2019 zunächst 18 Mio. Euro samt 1,8 Mio. Euro Verfahrenskosten. Das Bundesverwaltungsgericht bestätigte die Verstöße im Dezember 2024 im Kern und senkte die Buße auf 16 Mio. Euro. Der VwGH kam nun auf 13 Mio.

Zwei Sätze, die über den Fall hinausreichen

Erstens das Verschulden. Die Post hatte argumentiert, statistisch errechnete Wahrscheinlichkeitswerte seien keine personenbezogenen Daten, und sich dabei auf externe Sachverständige berufen. Der VwGH hält diese Position angesichts der bestehenden Rechtslage für unhaltbar und wertet das Verhalten als grob fahrlässig. Der Maßstab dafür kommt aus dem Unionsrecht, nicht aus dem österreichischen Verwaltungsstrafrecht. Ein bestelltes Gutachten entschuldigt also nichts.

Zweitens die Bemessungsgrundlage. Für die Höhe zählt der Konzernumsatz, nicht der Umsatz jenes einzelnen Geschäfts, mit dem die Daten verkauft wurden. Bei der Berechnung orientierte sich das Gericht an den Bußgeld-Leitlinien 04/2022 des Europäischen Datenschutzausschusses. Beim Verfahrenskostenbeitrag ging es umgekehrt vor: Ein prozentualer Zuschlag führe bei sehr hohen Bußen zu einem unverhältnismäßigen Ergebnis, deshalb 100.000 statt 1,6 Mio. Euro.

Der Bezug zur KI liegt in der Rechenformel

Die Post arbeitete mit Regression, nicht mit neuronalen Netzen. Der Rechtssatz trifft trotzdem jedes moderne System, das aus Adressdaten, Alter und Kaufverhalten neue Eigenschaften ableitet. Profiling und Scoring sind genau das, und ein Sprachmodell oder ein Gradient-Boosting-Modell errechnet die politische Neigung eines Haushalts heute deutlich treffsicherer als eine Formel von 2019.

Damit werden zwei Punkte des Erkenntnisses zum Betriebsrisiko. Wer ein Modell auf einen Kundenstamm richtet, kann sich nicht auf die Einschätzung des Anbieters verlassen, das Ergebnis sei ja nur eine Wahrscheinlichkeit. Und die Buße richtet sich am Konzern aus, nicht am Umsatz des Pilotprojekts.

Wir hatten die Entscheidung am 20. Juli nach der Bekanntmachung der Datenschutzbehörde gemeldet und dabei den 16. Juli als Entscheidungsdatum genannt. Das war der Tag der Veröffentlichung; entschieden wurde am 24. Juni. Ein zweites Verfahren gibt es nicht, es ist derselbe Akt.

Eine Stellungnahme der Post zum Erkenntnis war am 29.07.2026 nicht auffindbar, die Newsroom-Pfade auf post.at antworten mit 404. Zivilrechtlich hat das Unternehmen den Komplex bereits durch einen Vergleich mit Betroffenen beendet.

Offen bleibt eine Frage, die das Erkenntnis nicht beantwortet: Wem ist grobe Fahrlässigkeit vorzuwerfen, wenn die Neigung nicht mehr im eigenen Rechenzentrum entsteht, sondern in einem zugekauften Modell? Dem Anbieter des Modells oder dem Händler, der es auf seine Adressen anwendet.