Es sollte ein Vorzeigeprojekt der Digitalen Verwaltung werden, das Unternehmensserviceportal, das seit 2010 mehr dümpelte als funktionierte und mit 2017 Fahrt aufnehmen sollte. Das sogenannte und etwas unglücklich abgekürzte „USP” soll das zentrale Internetportal der Republik Österreich für Unternehmen darstellen und direkten Zugang zu zahlreichen E-Government-Anwendungen ermöglichen sowie unternehmensrelevante Informationen bieten. Offenbar war das aber eines jener zahllosen Projekte, die gut gemeint waren …

Zwangsrekrutierungen von Teilnehmer*innen

Da staunten viele Unternehmer*innen nicht schlecht, als sie in Ihrer Databox bei Finanz-Online eine Nachricht des Bundesministeriums für Digitales und Wirtschaftsstandort (BMDW) fanden, in der ihnen mitgeteilt wurde, dass ihre Daten aus Finanz-Online in das Unternehmensserviceportal übernommen wurden und künftig Behördenmitteilungen als zugestellt gelten, sofern diese in den Posteingang des zwangsweise eingerichteten Accounts eingegangen sind. Hier beginnt bereits das erste und wie ich meine gravierende Missverständnis von Service.

Die gesetzlich verfügte eZustellung

So heißt es in der Mitteilung: Mit 1. Jänner 2020 tritt das Recht auf elektronischen Verkehr mit Behörden gemäß §1a E-Government-Gesetz in Kraft. Damit setzt Österreich einen großen Meilenstein in Richtung digitaler Kommunikation. Auch Sie als Unternehmen sind mit 1. Jänner 2010 zur Teilnahme an der elektronischen Zustellung gemäß §1b E-Government-Gesetz verpflichtet und müssen alle Voraussetzungen geschaffen haben, um elektronische Zustellungen empfangen zu können.

Was hier als „Recht” im ersten Satz verkauft wird, mutiert im nächsten Satz bereits zur „Pflicht” und zur Aufgabe, entsprechende Voraussetzungen zu schaffen. Einzig jene, die nicht über die erforderlichen technischen Voraussetzungen oder keinen Internetanschluss verfügen, sind nach §1b Abs. 2 E-GovG ausgenommen — was wohl nur auf eine mehr als überschaubare Zahl von Unternehmen zutreffen dürfte. Andererseits ist die hier angelegte Definition von Unternehmen nach §3 Z20 des Bundesgesetzes über die Bundesstatistik sehr weitgreifend. Demnach wären von dieser „Pflicht” beispielsweise auch Kunstschaffende betroffen.

Eine weitere Ausnahme von der Regel gibt es noch: Unternehmen, die der Teilnahme an der elektronischen Zustellung widersprechen und die wegen Unterschreiten der Umsatzgrenze nicht zur Abgabe von Umsatzsteuervoranmeldungen verpflichtet sind, sind nach §1b Abs. 4 E-GovG ausgenommen. Das würde m.E. bedeuten, dass Kleinunternehmer*innen, die von der Kleinunternehmerregelung (Umsätze bis 30T Euro/a) Gebrauch machen, befreit wären - so sie einen Widerspruch eingelegt haben.

Worüber nicht gesprochen und informiert wird

Die öffentliche Verwaltung reduziert Kosten. So wird es künftig beispielsweise keine RSA Zustellungen mehr geben, denn behördliche Dokumente gelten als zugestellt sobald sie im Postfach des betreffenden Accounts beim Unternehmensserviceportal eingelangt sind. Von da an ist der Adressat in der Pflicht, auch in der Nachweispflicht. Während bislang die öffentliche Verwaltung nachweisen musste, dass Schriftstücke zugestellt wurden, muss nun der Adressat nachweisen, dass ihn ein elektronisches Dokument ohne eigenes Verschulden nicht erreicht hat.

Das kann sehr leicht der Fall sein. Cyber-Hacking und technische Probleme beim Bundesrechnungszentrum, das für die technische Betreuung zuständig ist, auf der einen Seite aber auch Übermittlungsfehler an die hinterlegte E-Mail-Adresse auf der anderen Seite können leicht dazu führen, dass Unternehmer*innen über das Vorliegen eines behördlichen digitalen Schriftstücks nicht informiert werden. Das könnte kritische Folgen haben, wenn dadurch beispielsweise Fristen versäumt werden et cetera. Für die meisten Unternehmen dürfte der Nachweis, dass sie kein Verschulden trifft, kaum zu führen sein. Mit anderen Worten: Für viele Unternehmer*innen bringt die eZustellung einen deutlich höheren Aufwand und ein entsprechendes Risiko.

Fehlende Transparenz

Cyber Angriffe auf das Bundesrechenzentrum wurden, soweit ich das überblicke, in der Vergangenheit nicht bekannt gemacht, obwohl davon auszugehen ist, dass es sie gab. Ebenso wenig ist etwas über kritische Bugs und korrumpierte Prozesse et cetera in Erfahrung zu bringen. Es gibt keine Informationen, wie Krisen bearbeitet werden und wie Behörden in solchen reagieren. Es darf auch davon ausgegangen werden, dass die Zusammenarbeit im Klärungsfall mit dem Bundesrechnungszentrum und den betroffenen Behörden eher schwierig werden wird, da der Bürokratismus in Österreich immer noch comme il faut ist. Für alle, die wissen, dass Technologie und Digitales nicht fehlerfrei sind, eher sogar mit zunehmender Komplexität fehleranfälliger werden, sind das keine guten Aussichten.

Datenschutz-Defizite bei Betreibern des Unternehmensserviceportals

Verwunderlich ist die mangelnde Sensibilität und womöglich auch lückenhafte Kenntnis der DSGVO bei Portalbetreibern, Projektverantwortlichen und im federführenden Ministerium für Digitales und Wirtschaftsstandort.

Erklärungsbedürftige Datenweitergabe von BMF zu BMDW

Beim Finanz-Online hinterlegte Unternehmer*innen– und Unternehmens–Daten wurden laut Mitteilung des Bundesministeriums für Digitales und Wirtschaftsstandort (BMDW) in die neue Plattform übernommen, weil die Unternehmer*innen nicht auf elektronische Zustellung verzichtet haben.

Zunächst ist nach der Rechtsgrundlage zu fragen, wonach ein Ministerium sensible Daten an ein anderes Ministerium einfach so transferieren kann. Mir ist keine bekannt, jedenfalls wurde keine genannt. Weiters setzt die DSGVO für die Verarbeitung personenbezogener Daten eine Einwilligung voraus. Es genügt nicht, einer Verarbeitung nicht widersprochen zu haben. Einwilligungen wurden zu keiner Zeit eingeholt. Die Datenbanken beim Bundesministerium für Finanzen (BMF) sind keine öffentlich zugänglichen Datenbanken. 

Das BMDW ist der Informationspflicht nach DSGVO nicht nachgekommen

Auch wenn im österreichischen Bürokratismus einige die Auffassung vertreten mögen, dass für Bürokratie andere Rechte gelten als für andere, sei darauf hingewiesen, dass weder Ministerien noch Behörden über dem Recht stehen, auch nicht über der DSGVO. Entsprechend haben Sie – unabhängig davon ob die Verarbeitung personenbezogener Daten auf einer gesetzlichen Grundlage erfolgt oder aus berechtigten Interessen – der Informationspflicht nachzukommen. Es ist nicht klar, welche Betroffenenrechte gegenüber dem Unternehmensserviceportal bestehen, welche auf gesetzlicher Grundlage eingeschränkt sind und welche nicht geltend gemacht werden können.

Es ist noch nicht einmal klar, wie das Handling personenbezogener Daten erfolgt. Es wird in Texten von Single Sign On gesprochen, dann aber wieder von Datenübernahme. Würde das Unternehmensserviceportal ausschließlich ein Zugangsportal zu bestehenden E-Services im Sinne eines Single-Sign-On bieten, käme es zu keiner eigenständigen Verarbeitung personenbezogener Daten. Das BMDW spricht aber ausdrücklich davon, dass personenbezogene Daten „übernommen” werden. Auch für nicht technisch affine Personen muss klar sein, dass hierbei Daten transferiert werden. Damit käme es auf der Unternehmensserviceplattform (oder wie auch immer) hinter dem Unternehmensserviceportal zu einer Verarbeitung personenbezogener Daten. Wer hat darauf Zugriff? An wen werden die Daten weitergeleitet? Kommt es dabei zu einer Automatisierung bei der Verarbeitung personenbezogener Daten? Werden Daten aus unterschiedlichen Datenbanken unterschiedlicher Rechtspersonen aggregiert? Besteht die Absicht, diese Daten zu Profilen im Sinne eines Profiling zu verdichten? Wir wissen es nicht, weil es dazu keine Informationen gibt.

Fazit

Die Ausgestaltung und Umsetzung des Unternehmensserviceportals und der eZustellung sind ein Musterbeispiel eines selbstbezogenen Bürokratismus, der bürgernahem Service, offener Kommunikation und Transparenz Hohn spricht und zudem sehr viele Fragen offen lässt.