ID Austria – Mögliche Folgen für Nichtanwender

Dezember 2023

Die zwingend vorgeschriebene Datenschutzfolgenabschätzung (DSFA) aus 2022 ¹ analysierte die potentiellen Risiken der ID Austria für Personen, die sie beantragen und nützen, sowie für Personen, die unabhängig davon leben wollen.

Hier stellen wir ein Teilergebnis dieser Untersuchung vor: Die theoretischen und praktischen Konsequenzen für Bürger*innen, die unabhängig von einer elektronischen ID leben wollen.

Das Risiko: sozialer Druck zur Erstellung bzw Nutzung einer E-ID

Es kommt zu Formen sozialen Drucks oder indirekten Zwangs zur Nutzung des E-ID Systems, um bestimmte Services überhaupt in Anspruch nehmen zu können.

Bei Diensten, die bis dato noch primär analog und anonym genutzt werden, kann es künftig dazu kommen, dass Service Provider die digitale Identifikation mittels staatlich geprüfter Identität verlangen. Dadurch wird die Verarbeitung personenbezogener Daten und der damit einhergehende Grundrechtseingriff zunehmend gefördert.

Bestimmte Verwaltungsprozesse werden unverhältnismäßig erschwert oder sind gar nicht mehr möglich ohne eine E-ID. Im privaten Bereich wäre beispielhaft das Szenario zu nennen, dass Banken bzw Anbieter*innen von Online-Banking nur noch das staatliche Identitätsmanagementsystem für den Login akzeptieren.

Warum ist dies ein realistisches Risiko?

Weil es für folgende Personen einfach ist, eine Bedrohung eintreten zu lassen:

Aufgrund interner Entscheidungsträger*innen, die die Möglichkeit vernachlässigen, dass diverse Dienste, Services und Anwendung, die mit dem E-ID System verbunden sind, bzw durch dieses bedient werden, nach wie vor auch analog genutzt und niederschwellig erreicht werden können.

Aufgrund einer größeren Zahl von privaten Service Ownern bzw deren Verhalten, das zu entsprechenden Drucksituationen führt.

Aufgrund politischer Entscheidungen und/oder der fortschreitenden Verwaltungsdigitalisierung, die zu einem faktischen Zwang zur Verwendung des E-ID führen könnten, weil ohne E-ID bestimmte Verwaltungsprozesse unverhältnismäßig erschwert oder gar nicht mehr möglich sind.

Mit welchem Schaden müssen Personen rechnen, die keine ID Austria verwenden oder dies gegen ihren Willen tun?

Die in der Folge genannten Schäden werden in der Untersuchung als „wesentlich“ eingestuft. Das bedeutet: Betroffene erleiden eventuell signifikante Konsequenzen, die sie nur mit ernsthaften Schwierigkeiten überwinden können:

Materieller Schaden: Möglicher Ausschluss von system- oder alltagsrelevanten Diensten, womit auch finanzielle Schäden verbunden sein könnten (zB Unmöglichkeit der Nutzung von Internetbanking führt zu Zusatzkosten)

Immaterielle Schäden:

• Einschränkungen in Teilen der (zB privaten) Lebensführung
• Einschränkungen in der Nutzung von Diensten aufgrund der Ablehnung, das ID Austria System zu nutzen
• Unfreiwillige Nutzung des ID Austria Systems trotz grundsätzlicher Ablehnung aufgrund von Bedenken
• Unfreiwillige oder auch bloß unreflektierte Herausgabe der Identität oder einzelner Attribute, weil diese bei bestimmten Diensten nunmehr verlangt werden bzw deren komfortable Herausgabe ermöglicht wird
• Verringerte Anonymität und verstärktes Hinterlassen personenbezogener Datenspuren im Alltagsleben

Anmerkung: Für Personen, die gegen ihren Willen die ID Austria verwenden, besteht nicht nur die Gefahr, die hier angeführten immateriellen Schäden zu erleiden, sondern auch alle weiteren Schäden, die etwa aufgrund des Missbrauches des Systems durch Regierungen oder aufgrund von Datenmissbrauch durch Dritte oder durch die Abhängigkeit von privaten IT-Konzernen entstehen können.

Wie bewertet die Untersuchung das Risiko?

In der Datenschutzfolgenabschätzung wird das potentielle Schadensausmaß und die Eintrittswahrscheinlichkeit zu einem Risiko kombiniert. Ein sich daraus ergebendes „hohes Risiko“ bedeutet ein hohes Risiko, durch die ID Austria irgendwann einen wesentlichen bis maximalen Schaden zu erleiden!

Die Untersuchung ergab für diesen Aspekt ein hohes Risiko! Deshalb bedarf es einer Vielzahl von Maßnahmen, damit die beschriebenen Schäden weniger wahrscheinlich eintreten.

Gibt es genügend Zusatzmaßnahmen, damit das Risiko nicht schlagend wird?

Aufgrund der Einschätzung, dass es hier um ein „hohes Risiko“ geht, sind zwingend Maßnahmen erforderlich. Ohne diese Maßnahmen dürfte die Verwendung der ID Austria letztlich nicht empfohlen werden.

Die Untersuchung führt als geplante Maßnahmen an: Neben der Prüfung privater Dienstleister, die am ID Austria-System teilnehmen wollen, wird vor allem gefordert, dass Verwaltungsprozesse den Betroffenen nach wie vor auch analog ohne Smartphone und auch niederschwellig zu Verfügung stehen müssen.

Kritisch anzumerken ist hier, dass diese Forderung offensichtlich bereits im Jahr 2023 von Behörden nicht konsequent umgesetzt wird und somit Schaden nicht wirksam abgewendet wird.

Kritisch wird auch angemerkt, dass keine Maßnahme vorgesehen ist, um vor allem private Dienstleister, wie Online-Shops oder Banken daran zu hindern, nur noch das staatliche Identitätsmanagementsystem für den Login zu akzeptieren.

In welchen Bereichen materialisieren sich die Risiken bereits heute?

Alle uns mitgeteilten Unterschiede zwischen Versprechen und Realität haben wir hier dokumentiert: ID Austria – Versprechen und Realität.

Hier einige exemplarische Beispiele, wo entweder bereits im Dezember 2023 die oben genannte Maßnahme offensichtlich nicht umgesetzt wird, oder wo an eine Missachtung der erforderlichen Maßnahmen bereits laut gedacht wird:

• Per Gesetz: Unternehmer sind seit 1.1.2020 verpflichtet, an der elektronischen Zustellung teilzunehmen. RSa und RSb-Briefe können heute nur mit ID Austria im Postfach des USP abgeholt werden. ^{2 3}
• In der Verwaltung: Für Mitarbeiter*innen des Landes Niederösterreich ist der Zugang zum Mitarbeiterportal mit ID Austria geregelt.
• Bereits jetzt wird von privaten Arbeitgeberinnen Druck auf Mitarbeiterinnen ausgeübt und mögliche Kündigungen in den Raum gestellt.
• Als „Hebel“ wurde der „Grüne Pass“ gesehen, der aufgrund der politisch verordneten Zwangssituation als „Selbstläufer“ betrachtet wurde, aber vorerst eingestellt ist. ⁵ Der elektronische Impfpass ⁶, der künftig die einzig erlaubte Variante sein soll, ist ebenfalls nur über ID Austria verfügbar.
• Als „Hebel“ für die Verbreitung der ID Austria wird der digitale Schülerausweis angedacht, der für Schüler ab 14 Jahren geplant ist. Die Ideen reichen von der Identitätsfeststellung an der Supermarktkassa oder beim Fahren im Zug bis hin zur Voraussetzung beim Nutzen schulinterner Services, wie dem Zugang zu Druckern oder dem Einloggen in das Schulnetz. „Es wird intensiv daran gearbeitet“. ⁴

Weitere (weltweite) Bestrebungen, die konsequenterweise den sozialen Druck stark erhöhen werden, vor dem die bestehenden und die bisher angedachten Maßnahmen nicht schützen:

• Die Wirtschaft will eine Garantie für eindeutige ID; auch die Gaming-Industrie
• Der politische Wunsch, Bürger vollständig im virtuellen Raum zu haben
• Der Wunsch, alle Karten aufs Handy zu bekommen
• Die Implementierung des ID-Wallet – Damit verbunden der politische Wunsch nach mehr Wirtschaftsleistung, falls die E-ID und ID-Wallet vollständig verbreitet ist (zum Beispiel 3-4% der Wirtschaftsleistung als Mehrwert für die BRD, wie es McKinsey verspricht) ⁷

Resümee

Das beschriebene Risiko und damit die Gefahr, dass Betroffene dadurch eventuell signifikante Konsequenzen erleiden, die sie nur mit ernsthaften Schwierigkeiten überwinden können, bleibt. Die angedachten Maßnahmen, die das Risiko auf ein gerade noch annehmbares Niveau senken könnten, sind zu schwach und es ist nicht nachvollziehbar, warum die Untersuchung diese Maßnahmen als ausreichend bewertet, um keine datenschutzrechtliche Ablehnung aussprechen zu müssen.

Da die Grundrechte absehbar mehr als versprochen berührt werden, besteht die Notwendigkeit, die Dynamik, die hinter der E-ID steht, auf eine neue Grundlage zu stellen: Nicht die Bedürfnisse der Wirtschaft oder einer mutmaßlich wirtschaftlicheren Verwaltung dürfen die treibenden Kräfte sein, sondern der konkrete Dienst an den Bürger*innen im Bewusstsein, dass ihre Bedürfnisse weit über die wirtschaftlichen Aspekte hinaus gehen.

Die Gefahr besteht, dass manche Verantwortungsträger ihrer Verantwortung nicht gerecht werden und ihre Macht nicht dafür einsetzen wollen, um die potentiellen Schäden, die realistisch zu erwarten sind, zu verhindern, sondern nur, um die Berichterstattung über diese Schäden zu verhindern.

Weitere Anforderungen an die Gesetzgebung

Die Republik kann über private Einrichtungen Druck ausüben ohne selbst aktiv zu werden.
Wenn das Schule macht, dann können bald alle Einrichtungen, Firmen etc, die Gutachten, Zertifikate, Gütesiegel etc ausstellen, durch Diskriminierungen bis hin zu Schritten, die Existenzen gefährden, Druck auf eine digitale Abwicklung entfalten.
Da die Grundrechte im engeren Sinn nur gegenüber Körperschaften des öffentlichen Rechts gelten, müsste hier unbedingt eine Drittwirkung der Grundrechte verankert werden!

1https://www.oesterreich.gv.at/dam/jcr:75b866bb-3735-4571-b859-39df84e2a281/DSFA_IDAUSTRIA_BMDW.pdf

2https://www.ris.bka.gv.at/eli/bgbl/i/2004/10/P1b/NOR40192216

3https://www.bmf.gv.at/services/Elektronische-Zustellung/FAQs-eZustellung-Unternehmen.html

4Aussagen von Sprechern der Veranstaltung “14. Public Management Impulse: ID Austria – was, warum und wie?”, FH OÖ Campus Linz, am 29.11.2022

5Aussagen von Sprechern der Veranstaltung “14. Public Management Impulse: ID Austria – was, warum und wie?”, FH OÖ Campus Linz, am 29.11.2022

6https://www.gesundheit.gv.at/gesundheitsleistungen/elga/elektronischer-impfpass.html

7Aussagen von Sprechern der Veranstaltung “14. Public Management Impulse: ID Austria – was, warum und wie?”, FH OÖ Campus Linz, am 29.11.2022