Es sollte ein Vorzeigeprojekt der Digitalen Verwaltung werden, das Unternehmensserviceportal , das seit 2010 mehr dümpelte als funktionierte und mit 2017 Fahrt aufnehmen sollte. Das sogenannte und etwas unglücklich abgekürzte „USP” soll das zentrale Internetportal der Republik Österreich für Unternehmen darstellen und direkten Zugang zu zahlreichen E-Government-Anwendungen ermöglichen sowie unternehmensrelevante Informationen bieten. Unrühmliche Bekanntheit hatte das Digitale Amt Anfang des Jahres wegen einer nicht zu Ende gedachten App zur Wohnsitzanmeldung erlangt.  Offenbar ist das Unternehmensserviceportal eines jener zahllosen Projekte, die gut gemeint waren …

Übernahme von Daten aus FinanzOnline in das zentrale Teilnehmerverzeichnis

Da staunten viele Unternehmer*innen nicht schlecht, als sie in Ihrer Databox bei FinanzOnline eine Nachricht des Bundesministeriums für Digitales und Wirtschaftsstandort (BMDW) fanden, in der ihnen mitgeteilt wurde, dass ihre Daten aus FinanzOnline in das zentrale TeilnehmerverzeichnisNEU im Rahmen des Unternehmensserviceportals übernommen wurden. Künftig würden Behördenmitteilungen im Zuge der sogenannten eZustellung als zugestellt gelten, sofern diese in den Posteingang des zwangsweise eingerichteten Accounts eingegangen sind. Hier beginnt bereits das erste und wie ich meine gravierende Missverständnis von Service.

Die gesetzlich verfügte eZustellung

So heißt es in der Mitteilung des BMDW: Mit 1. Jänner 2020 tritt das Recht auf elektronischen Verkehr mit Behörden gemäß §1a E-Government-Gesetz in Kraft. Damit setzt Österreich einen großen Meilenstein in Richtung digitaler Kommunikation. Auch Sie als Unternehmen sind mit 1. Jänner 2020 zur Teilnahme an der elektronischen Zustellung gemäß §1b E-Government-Gesetz verpflichtet und müssen alle Voraussetzungen geschaffen haben, um elektronische Zustellungen empfangen zu können.

Was hier als „Recht” im ersten Satz verkauft wird, mutiert im nächsten Satz bereits zur „Pflicht” und zur Aufgabe, entsprechende Voraussetzungen zu schaffen. Einzig jene, die nicht über die erforderlichen technischen Voraussetzungen oder keinen Internetanschluss verfügen, sind nach §1b Abs. 2 E-GovG   bis Ende 2019 ausgenommen — was wohl ohnehin nur auf eine mehr als überschaubare Zahl von Unternehmen zutreffen dürfte. Zudem ist die hier angelegte Definition von Unternehmen nach §3 Z20 des Bundesgesetzes über die Bundesstatistik sehr weitgreifend. Demnach wären von dieser „Pflicht” beispielsweise auch Kunstschaffende oder Vereine betroffen.

Was ist darunter zu verstehen, dass Betroffene bis 1. Januar 2020 entsprechende Voraussetzungen schaffen müssen, um elektronische Zustellungen empfangen zu können? Bedeutet das, dass sich Betroffene zwangsweise für eine Handysignatur oder eine Bürgerkarte registrieren lassen müssen? Schränkt diese Vorgabe nicht das Selbstbestimmungsrecht Betroffener ein, nur weil das Unternehmensserviceportal keinen alternativen Zugang einrichten will, obwohl das, wie FinanzOnline zeigt, durchaus möglich wäre? Fragen, welchen gesondert nachgegangen werden wird (siehe eZustellungsgesetz und das Selbstbestimmungsrecht, vorerst nur für registrierte Nutzer zugänglich.)

Eine Ausnahme von der Regel gibt es noch: Unternehmen, die der Teilnahme an der elektronischen Zustellung widersprechen und die wegen Unterschreiten der Umsatzgrenze nicht zur Abgabe von Umsatzsteuervoranmeldungen verpflichtet sind, sind nach §1b Abs. 4 E-GovG ausgenommen. Das würde m.E. bedeuten, dass Kleinunternehmer*innen, die von der Kleinunternehmerregelung (Umsätze bis 30T Euro/a) Gebrauch machen, befreit wären - so sie einen Widerspruch eingelegt haben. Ob die betroffenen Unternehmen allerdings aktiv auf ihr Widerspruchsrecht hingewiesen wurden bzw. werden, konnte nicht recherchiert werden. Ungeklärt, selbst nach Nachfragen beim USP, dem BMDW und BMF blieb die Frage, wo Widerspruch eingelegt werden kann, d.h. an wen dieser zu adressieren ist und ob dafür Formvorschriften zu beachten sind, bzw. ob der Widerspruch formlos eingebracht werden kann. (Die Recherchen dazu werden in einem gesonderten Beitrag Widerspruch zur eZustellung nach §1b Absatz 4 E-GovG veröffentlicht.)

Worüber nicht gesprochen und informiert wird

Die öffentliche Verwaltung reduziert Kosten. So wird es künftig beispielsweise keine RSa Zustellungen mehr geben, denn behördliche Dokumente gelten als zugestellt sobald sie im Postfach des betreffenden Accounts beim Unternehmensserviceportal eingelangt sind. Von da an ist der Adressat in der Pflicht, auch in der Nachweispflicht. Während bislang die öffentliche Verwaltung nachweisen musste, dass Schriftstücke zugestellt wurden, muss nun der Adressat nachweisen, dass ihn ein elektronisches Dokument ohne eigenes Verschulden nicht erreicht hat.

Das kann sehr leicht der Fall sein. Cyber-Hacking und technische Probleme beim Bundesrechnungszentrum, das für die technische Betreuung zuständig ist, auf der einen Seite aber auch Übermittlungsfehler mittels der hinterlegten E-Mail-Adresse können leicht dazu führen, dass Unternehmer*innen über das Vorliegen eines behördlichen digitalen Schriftstücks nicht informiert werden. Das könnte kritische Folgen haben, wenn dadurch beispielsweise Fristen versäumt werden et cetera. Für die meisten Unternehmen dürfte der Nachweis, dass sie kein Verschulden trifft, kaum zu führen sein. Mit anderen Worten: Für viele Unternehmer*innen bringt die eZustellung einen deutlich höheren Aufwand und ein entsprechendes Risiko.

Fehlende Transparenz

Cyber Angriffe auf das Bundesrechenzentrum wurden, soweit ich das überblicke, in der Vergangenheit eher nicht bekannt gemacht, obwohl davon auszugehen ist, dass es sie gab. Ebenso wenig ist etwas über kritische Bugs und korrumpierte Prozesse et cetera in Erfahrung zu bringen. Es gibt keine Informationen, wie Krisen bearbeitet werden und wie Behörden in solchen reagieren. Es darf auch davon ausgegangen werden, dass die Zusammenarbeit im Klärungsfall mit dem Bundesrechnungszentrum und den betroffenen Behörden eher schwierig werden wird, da der Bürokratismus in Österreich immer noch comme il faut ist. Für alle, die wissen, dass Technologie und Digitales nicht fehlerfrei sind, eher sogar mit zunehmender Komplexität fehleranfälliger werden, sind das keine guten Aussichten.

Datenschutz-Defizite bei Betreibern des Unternehmensserviceportals

Verwunderlich ist die mangelnde Sensibilität und womöglich auch lückenhafte Kenntnis der DSGVO bei Portalbetreibern, Projektverantwortlichen und im federführenden Ministerium für Digitales und Wirtschaftsstandort, das laut Impressum als „Herausgeber” fungiert.  Als Medieninhaber werden angeführt: Ministerien, das AMS, die Statistik Austria, das Austria Standards Institute, die Datenschutzbehörde, der Hauptverband der österreichischen Sozialversicherungsträger, das Österreichische Patentamt bis hin zur Wirtschaftskammer. 

Erklärungsbedürftige Datenweitergabe von BMF zu BMDW

Beim FinanzOnline hinterlegte Unternehmer*innen– und Unternehmens–Daten wurden laut Mitteilung des Bundesministeriums für Digitales und Wirtschaftsstandort (BMDW) in eine neues zentrales Teilnehmerverzeichnis übernommen, sofern die Unternehmer*innen auf FinanzOnline nicht auf elektronische Zustellung verzichtet hatten.

Zunächst ist nach der Rechtsgrundlage zu fragen, wonach ein Ministerium sensible Daten im Sinne des Datenschutzes an ein anderes Ministerium einfach so transferieren kann. Mir ist keine bekannt, jedenfalls wurde keine genannt. Der Bezug auf §28b Absatz 4 ZustG   führt nur aus, dass die Daten vom Bundesminister für Finanzen automationsunterstützt an das Teilnehmerverzeichnis zu übermitteln [sind]. Es ist auch nicht ersichtlich, welche Daten davon betroffen sind und übermittelt werden. In einer PDF Unterlage werden gewissermaßen nur Listen- bzw. Stammdaten angeführt^.  Es bleiben letztlich jedoch Zweifel, ob sich der Datentransfer tatsächlich darauf beschränkt. Ob die rechtliche Grundlage §28b Absatz 4 ZustG auch datenschutzrechtlich ausreicht, darf bezweifelt werden. Weiters setzt die DSGVO für die Verarbeitung personenbezogener Daten eine Einwilligung voraus, was hier nur für anderer FinanzOnline-Teilnehmer^ebd. vorgesehen ist, also alle, die nicht unter den Begriff Unternehmen subsumiert werden können. Nachdem in Österreich nach §1 DSG auch Unternehmen und nicht nur natürliche Personen Subjekte des Datenschutzgesetzes sind, ist ohnehin fraglich, ob diese hier getroffene Unterscheidung damit nicht kollidiert.

Das BMDW ist der Informationspflicht nach DSGVO nicht nachgekommen

Unabhängig davon bleibt die Informationspflicht nach Artikel 13 und 14 DSGVO aufrecht. Und diese erschöpft sich nicht in der Mitteilung: Wir haben Ihre Daten übernommen. Entsprechend hätte das BMDW – unabhängig davon ob die Verarbeitung personenbezogener Daten auf einer gesetzlichen Grundlage erfolgt oder aus berechtigten Interessen – der Informationspflicht nach DSGVO nachzukommen. So wird Betroffenen auch nicht mitgeteilt, welche Betroffenenrechte gegenüber dem Unternehmensserviceportal respektive dem BMDW bestehen, welche davon auf gesetzlicher Grundlage eingeschränkt sind und welche nicht geltend gemacht werden können.

Es ist noch nicht einmal klar, wie das Handling personenbezogener Daten erfolgt. Es wird in Texten von Single Sign On gesprochen, dann aber wieder von Datenübernahme. Würde das Unternehmensserviceportal ausschließlich ein Zugangsportal zu bestehenden E-Services im Sinne eines Single-Sign-On bieten, käme es zu keiner eigenständigen Verarbeitung personenbezogener Daten. Das BMDW spricht aber ausdrücklich davon, dass personenbezogene Daten „übernommen” werden. Auch für nicht technisch affine Personen muss klar sein, dass hierbei Daten transferiert werden. Damit käme es auf der Unternehmensserviceplattform respektive im BMDW zu einer Verarbeitung personenbezogener Daten. Wer hat darauf Zugriff? An wen werden die Daten weitergeleitet? Kommt es dabei zu einer Automatisierung bei der Verarbeitung personenbezogener Daten? Werden Daten aus unterschiedlichen Datenbanken aggregiert? Besteht die Absicht, diese Daten zu Profilen im Sinne eines Profiling zu verdichten? Wir wissen es nicht, weil es dazu keine Informationen gibt.

Erstaunliche Intransparenz und Verschleierung

In diesem Beitrag wird davon ausgegangen, dass das BMDW als Herausgeber letztverantwortlich für das Unternehmensserviceportal ist. Doch ob das tatsächlich der Fall ist, lässt sich aktuell nicht sagen. Zuletzt wurde seitens des Bundesrechnungszentrums FinanzOnline als „Auftraggeber” des zentralen Teilnehmerverzeichnisses und der eZustellung genannt. Daraus ergäben sich datenschutzrechtlich neue Aspekte. Bislang gibt es aber niemanden, der das bestätigte. Offiziell wird auf den Herausgeber verwiesen, das BMDW.

Fazit

Die Ausgestaltung und Umsetzung des Unternehmensserviceportals und der eZustellung sind ein Musterbeispiel eines selbstbezogenen Bürokratismus, der bürgernahem Service, offener Kommunikation und Transparenz Hohn spricht und zudem sehr viele Fragen offen lässt, auch wenn er unter dem Titel „Service” gegenteiliges verspricht.

Diese Beiträge  zum Unternehmensserviceportal und BMDW sind ebenfalls lesenswert:

Das BMDW und die DSGVO – ein problematisches Verhältnis — Das Bundesministerium für Digitales und Wirtschaftsstandort (BMDW) tut sich augenscheinlich schwer mit der EU Datenschutz-Grundverordnung (DSGVO). Jedenfalls scheint der österreichischen Ministerialbürokratie das Mindset hinter der DSGVO eher fremd, zumindest ungewohnt zu sein. Sie sträubt sich. Mehr lesen...

Mangelhafte Kenntnis und Umsetzung der DSGVO Chronologie und Protokoll zur Auskunftsanforderung nach Artikel 15 DSGVO an das Bundesministerium für Digitales und Wirtschaftsstandort, wo das Unternehmensserviceportal angesiedelt ist. Mehr lesen...