Über Jahre hat die Republik Datensätze – Namen, Wohnadressen, Geburtsdaten – von mehr als einer Million Bürgern auf einer frei zugänglichen Website gesammelt und ständig aktualisiert veröffentlicht. Wer wollte, konnte dort in einem Suchfeld nach beliebigen Namen suchen – und auch Personen finden, deren Privatadressen etwa im Melderegister gesperrt sind, wie von Bundespräsident Alexander Van der Bellen, Schauspielern oder TV-Moderatoren.

Die Neos, die die Existenz des „Ergänzungsregisters für sonstige Betroffene“ gemeinsam mit den Datenschutz-Aktivisten von epicenter.works am Freitag publik gemacht haben, sehen den „größten Datenschutzskandal der Zweiten Republik“. Das Wirtschafts- und Finanzministerium, aber auch die Wirtschaftskammer hätten ein massives Datenleck zu verantworten, so Neos-Abgeordneter Douglas Hoyos. Spätestens mit der DSGVO 2018 hätte die Datenbank von der Seite genommen werden müssen.

"Grundlegender Fehler im Datenschutzverständnis"

Datenschutzexperte Thomas Lohninger von epicenter.works spricht von einem „grundlegenden Fehler im Datenschutzverständnis öffentlicher Einrichtungen“: Er verstehe nicht, warum dieses Register überhaupt öffentlich geführt werden müsse.

Um zu verstehen, worum es geht, muss man in die Mitte der Nulllerjahre zurückgehen. Damals begann Österreich, sich auf digitale Amtswege einzustellen –unter anderem mittels der „Bürgerkarte“. Um solche Online-Amtswege zu ermöglichen, brauchte jeder Bürger, jedes Unternehmen eine eindeutig zuordenbare Kennzahl.

Register von 2007 für Personen ohne Nummer

Für die allermeisten Leute hat der Staat bereits vorhandene Zahlen genommen: Die Melderegister-Nummer für Einzelpersonen, die Firmenbuch-Nummer für Unternehmen, und so weiter. Weil es aber auch Personen gibt, die noch keine solche Nummer hatten – zum Beispiel besondere Einrichtungen wie Universitäten oder Einzelunternehmer ohne österreichischen Wohnsitz –, überarbeitete die rot-schwarze Regierung Faymann/Molterer 2007 zwei bereits unter schwarz-blau 2004 konzipierte Register für Personen, die noch nirgendwo anders registriert waren. Einerseits das „Ergänzungsregister für natürliche Personen“, andererseits das fragliche für „sonstige Betroffene“ – das einer Verordnung Faymanns von 2009 nach öffentlich zu führen sei.

In den zuständigen Behörden – bis 2018 dem Kanzleramt, seither dem Wirtschaftsministerium – ging man aber von einem besonders weiten Begriff „sonstiger Betroffener“ aus: Man nahm, beliefert vom Finanzministerium, auch Einzelpersonen in das Register auf, die schon im Melderegister vermerkt waren – weil, wie ein Ressortsprecher zur Kleinen Zeitung sagt, „diese auf Basis des E-Government-Gesetzes im Rechts- oder Wirtschaftsleben eine eigene Identität“ hätten.

Register ist seit Donnerstag offline

Praktisch jeder, der in seiner Einkommensteuererklärung auch nur eine Nebenbeschäftigung aus unternehmerischer Tätigkeit gemeldet hat, findet sich damit in der Datenbank.

Oder besser: fand. Denn das Ministerium hat die Daten am Donnerstagabend vom Netz genommen – obwohl man sich im Rahmen der Rechtsbasis von 2008 sieht. Eine „Taskforce“ mit Experten des Justizministeriums und von epicenter soll nun eine „rechtliche Anpassung und Verbesserung“ erarbeiten.