Das hat die Datenschutzbehörde laut der Rechercheplattform "Dossier" in einem (noch nicht rechtskräftigen) Bescheid festgestellt. Anlass für die Maßnahme der AUVA war, dass - später wieder verworfene - Übersiedlungspläne ins Haus der Wiener Kaufmannschaft öffentlich bekannt geworden waren.

AUVA suchte nach Whistleblower und verletzte Recht auf Geheimhaltung

Im August 2020 berichteten Medien vom Beschluss des Verwaltungsrates, vom Stammsitz in Wien-Brigittenau in das Haus der Wiener Kaufmannschaft am Schwarzenbergplatz zu übersiedeln. Dieses gehört der Wirtschaftskammer Wien - weshalb die SPÖ damals gegen ein millionenschweres Sponsoring für die vom ÖVP-Wirtschaftsbund dominierte Kammer mobilisierte. Im November wurde der Plan denn auch abgeblasen, die AUVA übersiedelte temporär in die Twin Towers am Wienerberg.

In der AUVA machte man sich jedoch auf die Suche nach Whistleblowern. Die Abteilung Corporate Governance (CG) ordnete die Auswertungen der E-Mails hinsichtlich der "VR-Protokolle" an, E-Mails im Zeitraum zwischen 30. Juli (Sitzung) und 15. August (Veröffentlichung) sollten gescannt werden.

AUVA: Interne Vereinbarungen wurden für Durchsuchung gesprengt

Laut Zentralbetriebsrat wurden die internen Vereinbarungen für diese Aktion allerdings zeitlich und inhaltlich gesprengt. Laut Datenschutzgrundverordnung (DSGVO) darf Einsicht in Mitarbeiter-Mails nur nach strengen Regeln (genaue Abgrenzung und Offenlegung im Vorhinein, gute Dokumentation) erfolgen. Ein Gutachten der GPA kam jedoch zum Schluss, dass offenbar nicht nur die Mails des relevanten Personenkreises weniger Personen, sondern aller 6.000 Mitarbeiter gescannt worden waren. Eine Pauschalkontrolle aller Accounts nur wegen der vermeintlichen Übermittlung eines Protokolls sei aber überschießend.

Verlängerung evon Geldbuße gegen AUVA nicht möglich

"In Gesamtschau der Ereignisse und der vorgenommenen Durchsuchung (...) kommt die Datenschutzbehörde zu der Ansicht, dass es sich hierbei um keine erforderliche Kontrollmaßnahme (...) gehandelt hat", so die Datenschutzbehörde laut dem "Dossier" vorliegenden Bescheid. "Die Mitarbeiter konnten keine Einwilligung in die Kontrollmaßnahme erteilen, da sie erst im Nachhinein von den Durchsuchungen erfuhren."

Die Verhängung einer Geldbuße gegen die AUVA, eine Körperschaft öffentlichen Rechts, ist nicht möglich - Behörden und öffentliche Stellen sind von dieser Sanktion ausgenommen. Allerdings könnten Mitarbeiterinnen und Mitarbeiter bzw. alle Personen, denen durch eine widerrechtliche E-Mail-Einsicht (immaterieller) Schaden entstanden ist, auf Schadenersatz klagen.

(APA/Red)