Am vergangenen Sonntag machte Thomas Hitzlsperger seinen Rücken breit. Zumindest war das in seiner eigenen Diktion so. Motto: Der Vorstandsvorsitzende der VfB Stuttgart Aktiengesellschaft stellt sich vor die in der Datenaffäre Belasteten. Ein feiner Zug von Hitzlsperger, der sagte: "Da gegen die Mitarbeiter nichts vorlag und auch bis jetzt nichts vorliegt, konnten wir die Konten nicht sperren." Das war seine Replik auf eine Berichterstattung der Stuttgarter Zeitung. Diese berief sich auf einen Zwischenbericht und Dokumente der Firma Esecon, die die Affäre aufklären soll und laut der die in die Weitergabe von Mitgliederdaten involvierten Mitarbeiter weiterhin Zugang zum IT-System gehabt haben sollen. Die Mitarbeiter, so hatte es der VfB eigentlich mitgeteilt, würden "ihre Aufgaben in Abstimmung mit dem Vorstandsvorsitzenden Thomas Hitzlsperger für den Zeitraum der laufenden Untersuchungen zu ihrem eigenen Schutz ruhen lassen".
Er selbst habe erst nach Erscheinen des kicker-Artikels gewusst, was wirklich passiert ist, sagte Hitzlsperger am Sonntag. In diesem Artikel war auch eine E-Mail des langjährigen VfB-Kommunikationschefs aufgeführt, Oliver Schraft. Und zwar vom 7. März 2016, mit rund 35.000 E-Mail-Adressen von Mitgliedern. Das Datum spielt eine zentrale Rolle.
Denn laut der Ausgliederungsdokumentation, die alle vom e.V. in die AG überführten Verträge listet, sind die ersten Vereinbarungen mit der damaligen Agentur des PR-Unternehmers Andreas Schlittenhardt erst deutlich später geschlossen worden: am 11. und am 24. Oktober 2016. Schlittenhardt erhielt wiederholt Mitgliederdaten und betrieb privat die Facebookseite "Fokus VfB", die vom Verein bespielt wurde, aber vermeintlich neutral Ausgliederungspropaganda unters Volk brachte. "Guerilla-Marketing" nannte man das beim VfB. Zwar gab es eine weitere, zeitlich befristete Kooperation mit der Agentur. Doch das Angebot hierzu wurde erst am 15. April 2016 vfb-seitig unterzeichnet und zwar vom heutigen Präsidiumsmitglied Rainer Mutschler. "Der Wortlaut dieses Angebots lässt nicht darauf schließen, dass die Vertragsparteien sich Gedanken über datenschutzrechtliche Anforderungen gemacht hätten", sagt etwa der Rechtsanwalt und Datenschutzexperte Stephan Schmidt der Kanzlei TCI Rechtsanwälte.
Datenweitergabe am 7. März, erste Angebotsunterzeichnung am 15. April
Die Version des VfB, wonach die Mitgliederdaten "im Rahmen einer Auftragsverarbeitung" weitergegeben worden seien, gerät vor dem Hintergrund dieser Chronologie weiter ins Wanken. Datenweitergabe am 7. März, erste Angebotsunterzeichnung am 15. April - es wäre erstaunlich, wenn es ohne Angebotsgrundlage die für die Übermittlung nötige Vereinbarung zur Auftragsverarbeitung gegeben hätte. Vereinbarungen zur Auftragsverarbeitung nehmen normalerweise Bezug auf einen Hauptvertrag oder eben ein Angebot, was hier aber wohl noch gar nicht möglich war. Und die agenturseitige Bezeichnung des April-Angebots "VFB01-16001" jedenfalls lässt den Schluss zu, dass es sich um eine Erstbeauftragung gehandelt haben dürfte.
War Hitzlsperger von seinen Kollegen nicht über diese belastende zeitliche Reihenfolge informiert, als er am Sonntag sagte, es liege nichts vor gegen diese Mitarbeiter? Er werde sich nicht mehr öffentlich äußern vor dem Abschlussbericht und der Beurteilung durch den Landesdatenschutzbeauftragten, teilt er auf eine entsprechende Anfrage mit.
Dabei wäre eine Antwort so interessant wie angebracht. Mutschler ist schließlich neben seiner Tätigkeit im e.V.-Präsidium auch AG-Angestellter. Und AG-Finanzvorstand Stefan Heim und Justiziar Jan Räker vertraten im Ausgliederungs- und Übernahmevertrag aus dem April 2017 den e.V. respektive die AG, hätten also von den Vertragslagen wissen sollen.
Wer wusste von Zusammenarbeit mit der Facebookseite "Fokus VfB"?
"Wir klären auf", warb Hitzlsperger am Sonntag um Vertrauen. "Aber wir tun das rechtskonform. Wir ziehen Konsequenzen, aber auf Grundlage von Fakten." Nun, die Fakten erwecken den Eindruck, dass mindestens die erste Weitergabe von Mitgliederdaten ohne jegliche Vertragsgrundlage erfolgte angesichts der Fünf-Wochen-Lücke zwischen 7. März und 15. April 2016. Was die weiteren Datenpakete angeht, so hat der VfB nie die Nachfrage beantwortet, mit wem genau und an welchem Tag er eine Auftragsverarbeitung geschlossen haben will. Geschweige denn, wer aus der heutigen Führungsriege der AG von der Zusammenarbeit mit der Facebookseite "Fokus VfB" wusste. Ein erstaunlicher Zustand der Generalamnesie angesichts der personellen Überschneidungen in den Führungspositionen damals wie heute - Hitzlsperger ausgenommen, übrigens.
