Man könnte meinen, die Wogen rund um den Verlust von neun Millionen Meldedaten aus einer Datenbank der GIS haben sich geglättet. So ruhig ist es um den Fall geworden, nachdem die Datenschutzbehörde bekanntgegeben hatte, alle Verfahren gegen den Gebühreneintreiber einzustellen. Allerdings geben sich nicht alle mit diesem Ausgang zufrieden. Schon im Februar starteten die Rechtsanwälte Florian Scheiber und Robert Haupt deshalb ein Sammelverfahren und warnten, dass "alle österreichischen Bürger und Unternehmen vom Datenvorfall betroffen sein" könnten.

In der Zwischenzeit hat sich einiges getan, erklären die beiden Juristen im Gespräch mit dem STANDARD. Mittlerweile 4.000 Menschen haben sich laut ihnen zum erwähnten Sammelverfahren angemeldet. Vor Ablauf der dreijährigen Frist (der Datenvorfall wurde erstmals im Mai 2020 bekannt) haben Haupt und Scheiber außerdem rund 130 Beschwerden bei der Datenschutzbehörde eingereicht. Darin erheben sie unter anderem den Vorwurf, dass die GIS mit der Datenweitergabe an ein externes IT-Unternehmen das Recht auf Geheimhaltung verletzt habe. Eine solche Übergabe an Externe sei laut Rundfunkgebühren-Gesetz ausschließlich im Kontext von Inkassoforderungen erlaubt.

Aber nicht nur das: Die Rechtsanwälte sind der Meinung, dass alle Betroffenen – also quasi alle Menschen mit Wohnsitz in Österreich – persönlich über den Datenvorfall hätten informiert werden müssen. Eine Bekanntgabe per APA-Meldung sei laut ihnen gar nicht zulässig. Auch deshalb, weil laut Scheiber nicht mit Sicherheit geklärt sei, ob tatsächlich nur Meldedaten abhandengekommen sind oder ob der Hacker auch Ausweis- und Bankdaten erbeuten konnte. Zumindest bei Gebührenzahlern würde die GIS entsprechende Informationen speichern. Das würden auch diverse Auskunftsbegehren ihrer Mandanten an die GIS nahelegen, sagt Scheiber. In diesen seien sowohl Ausweis- als auch Bankdaten zu finden.

Daten frei im Netz

Um zu verstehen, warum überhaupt echte Informationen frei im Netz verfügbar waren, muss man sich den Grund für das Datenleck in Erinnerung rufen. Im Jahr 2020 hatte die GIS ein Wiener IT-Unternehmen mit der Zusammenführung zweier Datenbanken beauftragt und ihr für diesen Zweck alle notwendigen Daten übermittelt. Einem dort beschäftigten Mitarbeiter unterlief dann der Fehler, für einen Testlauf die echten Daten zu verwenden. Für etwa eine Woche waren die Meldedaten quasi aller Österreichinnen und Österreicher deshalb frei im Netz verfügbar – und konnten von einem niederländischen Hacker, der im November letzten Jahres dingfest gemacht wurde, abgegriffen werden.

Um welches IT-Unternehmen es sich eigentlich handelt, ist weiterhin unbekannt. Die GIS behaupte laut Robert Haupt und Florian Scheiber, gar nicht zu wissen, welche Firma die besagte Testdatenbank aufgesetzt hat. Eine Aussage, die laut den Juristen nicht glaubhaft sei – weshalb sie den Gebühren Info Service beim Landesgericht für Zivilrechtssachen Wien auf Bekanntgabe des IT-Unternehmens geklagt haben. In einer Stellungnahme gegenüber dem STANDARD erklärt die GIS diesbezüglich nur, dass sie laufende Verfahren nicht kommentiere. Nach ihrem Wissensstand seien beim Datendiebstahl allerdings keine Bank- oder Ausweisdaten betroffen gewesen.

Hoffnung auf Entschädigung

Nicht zuletzt beklagen Scheiber und Haupt, dass die Staatsanwaltschaft Wien ihnen die Einsicht in den Strafakt zur Causa GIS-Datenleck verwehre. Die StA behaupte demnach, den Akt bereits an die niederländischen Kollegen übergeben zu haben. Außerdem finde man ihren Mandanten nicht in den Unterlagen. "Das wundert mich jetzt nicht, weil dann theoretisch alle Österreicher, die gemeldet sind, im Akt auftauchen müssten", sagt Haupt. Die beiden Rechtsanwälte haben deshalb eine Beschwerde eingebracht, in der Hoffnung, doch noch Zugang zu dem Strafakt zu erhalten. Die Staatsanwaltschaft Wien sagt gegenüber dem STANDARD hingegen, dass sie gar keine Akteneinsicht gewähren darf, solange ein Mandant nicht verfahrensbeteiligt ist. Ein Rechtsmittel, also der von Haupt und Scheiber angesprochene Einspruch, liege bisher noch nicht vor.

Dennoch scheinen die Juristen zuversichtlich. "Im Idealfall soll das Ganze darin fußen, dass wir vielleicht eine entsprechende Abgeltung für unsere Klienten erzielen können", sagt Haupt. Im Februar stellte dieser einen Schadenersatz von bis zu 1.000 Euro in den Raum. Daran würde auch die Einführung einer Haushaltsabgabe für den ORF nichts ändern. "Selbst wenn es die GIS irgendwann nicht mehr geben sollte, an den Ansprüchen ändert sich nichts." (Mickey Manakas, 10.5.2023)