Österreichische Post: 13 Mio. Euro DSGVO-Strafe für politische Profildaten

Veröffentlicht am 05.08.2026

13 Millionen Euro Strafe – so teuer kann es werden, wenn ein Unternehmen persönliche Daten seiner Kunden zu Geld macht, ohne die Betroffenen um Erlaubnis zu fragen. Genau das ist der Österreichischen Post AG passiert. Nach einem sieben Jahre langen Rechtsstreit steht nun fest: Das Unternehmen muss zahlen, weil es die geschätzte politische Gesinnung von rund 2,2 Millionen Menschen ohne deren ausdrückliche Einwilligung gewerblich verwertet und an Dritte weitergegeben hat. Der österreichische Verwaltungsgerichtshof (VwGH) hat dieses Urteil (Aktenzeichen Ro 2025/04/0007) rechtskräftig bestätigt.

Für Sie als Website-Betreiber oder Geschäftsführer eines kleinen oder mittleren Unternehmens ist dieser Fall aus einem einfachen Grund relevant: Er zeigt in aller Deutlichkeit, wie teuer der falsche Umgang mit personenbezogenen Daten werden kann – und dass selbst große, etablierte Unternehmen mit eigenen Rechtsabteilungen an den Regeln der Datenschutz-Grundverordnung (DSGVO) scheitern können. Die Grundsätze, um die es hier geht, gelten für jedes Unternehmen, das Kundendaten verarbeitet. Also auch für Sie.

Was ist passiert?

Die Österreichische Post hat zwischen Mai 2018 und Februar 2019 die sogenannte „politische Affinität“ von rund 2,2 Millionen Österreicherinnen und Österreichern geschätzt. Vereinfacht gesagt: Das Unternehmen hat auf Basis vorhandener Daten Wahrscheinlichkeiten berechnet, welcher Partei eine Person nahestehen könnte – und diese Einschätzungen anschließend gewerblich genutzt und an Dritte weitergegeben.

Das Entscheidende dabei: Die betroffenen Menschen wurden nicht ausdrücklich um ihre Einwilligung gebeten. Genau das aber verlangt die DSGVO, wenn es um besonders sensible Daten geht – und die politische Meinung gehört ausdrücklich zu dieser besonders geschützten Kategorie.

Der Verwaltungsgerichtshof hat die DSGVO-Verstöße bestätigt und die Strafe im Zuge des Verfahrens auf 13 Millionen Euro reduziert. Das Verfahren zog sich über sieben Jahre hin – ein Hinweis darauf, wie langwierig und aufwendig solche Auseinandersetzungen sein können, wenn ein Datenschutzverstoß einmal festgestellt wurde.

Der technische und rechtliche Hintergrund – verständlich erklärt

Um zu verstehen, warum dieser Fall so schwerwiegend ist, lohnt sich ein Blick auf zwei zentrale Begriffe.

Profilbildung (Profiling)

Unter Profiling versteht man die automatisierte Verarbeitung persönlicher Daten, um bestimmte Eigenschaften einer Person zu bewerten oder vorherzusagen – etwa ihr Kaufverhalten, ihre Interessen oder eben ihre politische Neigung. Die Post hat aus vorhandenen Informationen abgeleitet, welche Partei ein Mensch bevorzugen könnte. Genau das ist ein Musterbeispiel für Profiling.

Besondere Kategorien personenbezogener Daten

Die DSGVO unterscheidet zwischen „normalen“ personenbezogenen Daten (etwa Name und Adresse) und besonders sensiblen Daten. Zu diesen besonders geschützten Kategorien zählen unter anderem Angaben zur Gesundheit, zur ethnischen Herkunft, zur religiösen Überzeugung – und zur politischen Meinung. Für diese Daten gelten strengere Regeln. Sie dürfen grundsätzlich nur dann verarbeitet werden, wenn eine ausdrückliche Einwilligung der betroffenen Person vorliegt oder ein anderer, eng gefasster gesetzlicher Ausnahmegrund greift.

Der entscheidende Punkt im Fall der Post: Es spielt keine Rolle, dass die politische Affinität lediglich geschätzt wurde. Auch eine berechnete Wahrscheinlichkeit über die politische Neigung eines Menschen fällt unter diese besonders schützenswerte Kategorie. Wer solche Daten ohne ausdrückliche Einwilligung erzeugt, nutzt und weitergibt, verstößt gegen die DSGVO.

Wer ist betroffen?

Im konkreten Fall sind rund 2,2 Millionen Österreicherinnen und Österreicher betroffen, deren geschätzte politische Neigung ohne Einwilligung verarbeitet wurde. Das ist die unmittelbare Dimension des Falls.

Für Sie als Unternehmer ist jedoch die übergeordnete Botschaft wichtiger: Betroffen im weiteren Sinne ist jedes Unternehmen, das personenbezogene Daten verarbeitet und daraus Profile oder Zielgruppen ableitet. Dazu gehören zum Beispiel:

• Online-Shops, die aus dem Kaufverhalten Rückschlüsse auf Interessen ziehen
• Unternehmen, die Kundendaten für zielgerichtete Werbung anreichern oder segmentieren
• Firmen, die Adress- oder Kundendaten an Dritte weitergeben oder verkaufen
• Betreiber von Websites mit Newsletter- oder Tracking-Systemen, die Nutzer nach Verhalten kategorisieren

Die DSGVO gilt EU-weit. Was für die Österreichische Post gilt, gilt in gleicher Weise für ein Unternehmen in Deutschland. Der Fall stammt zwar aus Österreich, doch die rechtliche Grundlage ist dieselbe europäische Verordnung, die auch für Sie verbindlich ist.

So prüfen Sie, ob Ihr Unternehmen ein ähnliches Risiko trägt

Auch wenn Sie keine politischen Daten verarbeiten – die Grundfrage lautet: Verarbeiten Sie personenbezogene Daten in einer Weise, für die Sie keine ausreichende Rechtsgrundlage haben? Gehen Sie dazu die folgenden Punkte durch:

1. Bestandsaufnahme: Welche personenbezogenen Daten erheben Sie überhaupt? Erstellen Sie eine Liste aller Datenkategorien – von der E-Mail-Adresse bis zum Bestellverlauf.
2. Sensible Daten identifizieren: Verarbeiten Sie besonders schützenswerte Daten (Gesundheit, Religion, ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, sexuelle Orientierung)? Auch abgeleitete oder geschätzte Werte zählen hier dazu.
3. Rechtsgrundlage klären: Auf welcher Grundlage verarbeiten Sie jede dieser Datenkategorien? Liegt eine Einwilligung vor, ein Vertrag oder ein berechtigtes Interesse? Bei besonders sensiblen Daten brauchen Sie in aller Regel eine ausdrückliche Einwilligung.
4. Profilbildung prüfen: Leiten Sie aus vorhandenen Daten neue Eigenschaften ab, etwa Interessen, Bonität oder Vorlieben? Falls ja: Haben Sie die Betroffenen darüber informiert und gegebenenfalls deren Einwilligung eingeholt?
5. Datenweitergabe prüfen: Geben Sie Daten an Dritte weiter oder verkaufen Sie diese? Genau das war im Post-Fall ein zentraler Verstoß. Prüfen Sie jede Weitergabe auf ihre rechtliche Grundlage.
6. Einwilligungen dokumentieren: Können Sie für jede Einwilligung nachweisen, wann und wie sie erteilt wurde? Ohne Nachweis gilt eine Einwilligung im Zweifel als nicht erteilt.

Das sollten Sie jetzt konkret tun

Nutzen Sie diesen Fall als Anlass, Ihre eigene Datenverarbeitung kritisch zu überprüfen. Die folgenden Schritte helfen Ihnen, Ihr Risiko deutlich zu senken:

1. Verzeichnis der Verarbeitungstätigkeiten aktualisieren. Die DSGVO verlangt von den meisten Unternehmen eine strukturierte Übersicht darüber, welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden. Prüfen Sie, ob dieses Verzeichnis vollständig und aktuell ist.
2. Besonders sensible Daten gesondert behandeln. Wo Sie sensible Daten verarbeiten, stellen Sie sicher, dass eine ausdrückliche Einwilligung vorliegt – und dass diese freiwillig, informiert und nachweisbar erteilt wurde.
3. Profilbildung kritisch hinterfragen. Wenn Sie aus Kundendaten Zielgruppen oder Interessensprofile ableiten, prüfen Sie, ob dies rechtlich abgesichert ist und ob Sie die Betroffenen transparent darüber informieren.
4. Datenweitergabe an Dritte überprüfen. Beenden Sie jede Weitergabe, für die Sie keine belastbare Rechtsgrundlage haben. Der Verkauf oder das Teilen von Daten ohne Einwilligung ist eines der größten Bußgeldrisiken.
5. Datenschutzerklärung anpassen. Ihre Datenschutzerklärung auf der Website muss ehrlich und vollständig widerspiegeln, was Sie tatsächlich mit den Daten tun – inklusive Profilbildung und Weitergabe.
6. Fachlichen Rat einholen. Wenn Sie unsicher sind, ob eine bestimmte Verarbeitung zulässig ist, ziehen Sie einen Datenschutzbeauftragten oder eine spezialisierte Beratung hinzu. Die Kosten dafür sind ein Bruchteil eines möglichen Bußgeldes.

Einordnung: Warum dieser Fall wichtig ist

Der Post-Fall macht mehrere Dinge unmissverständlich klar.

Erstens: Datenschutzverstöße verjähren nicht einfach im Alltag. Die beanstandete Datenverarbeitung fand zwischen Mai 2018 und Februar 2019 statt – das rechtskräftige Urteil kam Jahre später. Wer heute nachlässig mit Daten umgeht, kann noch lange danach zur Verantwortung gezogen werden. Das Verfahren zog sich über sieben Jahre.

Zweitens: Die Höhe der Strafe zeigt, dass die Behörden und Gerichte DSGVO-Verstöße ernst nehmen. 13 Millionen Euro sind kein symbolischer Betrag, sondern ein Signal. Die DSGVO sieht Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor – je nachdem, welcher Betrag höher ist. Auch für kleinere Unternehmen können Bußgelder empfindlich hoch ausfallen und im schlimmsten Fall die Existenz bedrohen.

Drittens: Besonders sensible Daten – wie die politische Meinung – genießen einen strengeren Schutz. Wer solche Daten verarbeitet, ableitet oder schätzt, bewegt sich auf einem rechtlich besonders heiklen Terrain. Und wie der Fall zeigt: Selbst eine bloße Wahrscheinlichkeitsschätzung reicht aus, um in den Anwendungsbereich dieser strengen Regeln zu fallen.

Viertens: Die Weitergabe von Daten an Dritte ohne Einwilligung ist eines der größten Risiken. Wenn Sie Kundendaten teilen, verkaufen oder mit externen Dienstleistern zu Marketingzwecken kombinieren, sollten Sie jede dieser Praktiken sorgfältig prüfen.

Fazit

Der Fall der Österreichischen Post ist ein Lehrstück in Sachen Datenschutz. Ein großes Unternehmen hat die politische Affinität von 2,2 Millionen Menschen ohne ausdrückliche Einwilligung verwertet und weitergegeben – und zahlt dafür nach sieben Jahren Rechtsstreit 13 Millionen Euro. Die Botschaft für kleine und mittlere Unternehmen ist eindeutig: Es kommt nicht auf die Größe des Unternehmens an, sondern auf die Einhaltung der Regeln.

Prüfen Sie deshalb jetzt, ob Ihre eigene Datenverarbeitung auf sicheren Füßen steht. Fragen Sie sich bei jeder Datenkategorie: Habe ich eine klare Rechtsgrundlage? Bei sensiblen Daten: Liegt eine ausdrückliche, nachweisbare Einwilligung vor? Und bei jeder Weitergabe an Dritte: Darf ich das überhaupt? Wer diese Fragen ehrlich beantwortet und eventuelle Lücken schließt, schützt nicht nur die Daten seiner Kunden, sondern auch das eigene Unternehmen vor teuren und langwierigen Verfahren.

Datenschutz ist kein einmaliges Projekt, sondern eine dauerhafte Aufgabe. Der Post-Fall zeigt, dass sich Nachlässigkeit rächen kann – auch noch Jahre später. Investieren Sie lieber heute in saubere Prozesse, als morgen ein Bußgeld zu riskieren.