Norm
DSG 2000 §1 Abs1;Text
[Anmerkung Bearbeiter: Namen (Firmen), (Internet-)Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]
E M P F E H L U N G
Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. STAUDIGL, Mag. HUTTERER, Dr. KOTSCHY, Mag. MAITZ-STRASSNIG und Mag. PREISS sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 7. September 2006 folgenden Beschluss gefasst:
Auf Grund der Eingabe des L in V (Einschreiter) vom 10. Mai 2005 gegen den Stadtschulrat für Wien (in der Folge nur Stadtschulrat) wegen Verletzung im Recht auf Geheimhaltung ergeht gemäß § 30 Abs. 6 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, die folgende Empfehlung an den Stadtschulrat:Auf Grund der Eingabe des L in römisch fünf (Einschreiter) vom 10. Mai 2005 gegen den Stadtschulrat für Wien (in der Folge nur Stadtschulrat) wegen Verletzung im Recht auf Geheimhaltung ergeht gemäß Paragraph 30, Absatz 6, des Datenschutzgesetzes 2000 (DSG 2000), Bundesgesetzblatt Teil eins, Nr. 165 aus 1999, in der Fassung Bundesgesetzblatt Teil eins, Nr. 13 aus 2005,, die folgende Empfehlung an den Stadtschulrat:
Für Zwecke der Anmeldung von Lehrern zu Fortbildungsveranstaltungen des Pädagogischen Instituts des Bundes in Wien (kurz: PI) möge innerhalb einer Frist von sechs Monaten die Sozialversicherungsnummer nicht mehr verwendet werden.
B e g r ü n d u n g:
Der Einschreiter bringt vor, für Zwecke der Online-Anmeldung zu Seminaren des PI sei seit einem Jahr (gerechnet vom Datum seiner Eingabe) nicht nur die Angabe des Namens sondern, um überhaupt ins Anmeldesystem einloggen zu können, auch die Eingabe der Sozialversicherungsnummer als Benutzername und Passwort für das erstmalige Einloggen (welches danach jedoch verpflichtend geändert werden muss) erforderlich. Er habe sich als Bundeslehrer regelmäßig auf diese Art und Weise am PI anmelden müssen. Diese Vorgangsweise hält der Einschreiter für bedenklich und nicht notwendig.
Der Stadtschulrat bestreitet in seiner Stellungnahme vom 7. September 2005 die vom Einschreiter behauptete Verwendung der Sozialversicherungsnummer für Anmeldezwecke am PI nicht - diese erfolge in den überregional eingesetzten Verwaltungsprogrammen WICI und WINPIVIS. Er bringt jedoch vor, diese sei bei einer Anzahl von ca. 1700 am PI zu erfassenden Lehrbeauftragten und Veranstaltungsleitern, Lehrerinnen und Lehrern für die Meldung der Dienstgeberbeiträge und der Einkünfte bei den Finanzbehörden wesentlich. Weiters verweist er auf das Bildungsdokumentationsgesetz bzw. die dazu ergangene Verordnung und die Erläuterungen hiezu. Insbesondere zur Vermeidung von Verwechslungen auf Grund von Namensgleichheiten sei die Sozialversicherungsnummer als eindeutiges Unterscheidungsmerkmal erforderlich, das allen Lehrern bekannt sei. Alternativ als Unterscheidungsmerkmal komme wohl nur Name, Geburtsdatum und Schulnummer in Frage. Dies bedeute höheren Änderungsaufwand bei Schulwechsel oder Namensänderung eines Lehrers.
In weiteren Stellungnahmen vom 28. November 2005 und vom 18. Jänner 2006 verweist der Stadtschulrat darauf, dass sowohl das Bildungsdokumentationsgesetz als auch das Akademien-Studiengesetz vom Bundesministerium für Bildung Wissenschaft und Kultur ausgearbeitet und umgesetzt worden seien. Der Stadtschulrat sei nur eine nachgeordnete Dienststelle.
Der folgende Sachverhalt wird als Grundlage der Empfehlung angenommen:
Um auf der für Anmeldungen zu Fortbildungsveranstaltungen am PI vorgesehenen Internetseite einloggen zu können, muss ein Lehrer als Benutzernamen seine Sozialversicherungsnummer eingeben. Damit erfolgt eine Identifizierung in den zur Administration der Lehrveranstaltungen am PI verwendeten Programmen WICI und WINPIVIS.
Der Einschreiter steht als AHS-Lehrer in einem Dienstverhältnis zum Bund.
Beweiswürdigung: Diese Feststellungen beruhen auf dem unbestrittenen Vorbringen des Einschreiters, welches vom Stadtschulrat in seinen Stellungnahmen konkretisiert wurde.
In rechtlicher Hinsicht folgt daraus:
Zunächst ist anzumerken, dass der festgestellte Sachverhalt jenem, der dem angeschlossenen Bescheid der Datenschutzkommission vom 2. November 2004, GZ K120.941/0012- DSK/2004, zu Grunde liegt, in wesentlichen Punkten gleicht. Im Einzelnen ist im Hinblick auf den nunmehrigen Beschwerdefall hervorzuheben:
1. Keine Organqualität des PI, daher auch keine Auftraggeberfähigkeit; keine Anwendbarkeit des BildDokG
Mangels Errichtung der Pädagogischen Institute in außenwirksamer Form (durch Gesetz oder Verordnung) kann nicht von „Organen einer Gebietskörperschaft“ im Sinn von § 4 Z 4 DSG 2000 gesprochen werden. Das Handeln des PI ist vielmehr dem Stadtschulrat als gemäß § 3 Abs. 1 Z 1 lit. b des Bundesschul-Aufsichtsgesetzes (SchAufsG), BGBl 240/1962 idF BGBl Nr. 321/1975, zuständiger Schulbehörde zuzurechnen. Daher ist auch dieser als Beschwerdegegner zu behandeln. Die Datenschutzkommission hat in ihrem Bescheid vom 11. März 2005, GZ K120.991/0006-DSK/2005, abrufbar im Rechtsinformationssystem des Bundes unter www.ris.bka.gv.at/dsk, zwar Schulleitern ausnahmsweise Organqualität zuerkannt, dies jedoch nur im Anwendungsbereich des Bildungsdokumentationsgesetzes, BGBl I Nr. 12/2002 idF BGBl I Nr. 169/2002, in dem diese ausdrücklich als jenes Organ bezeichnet werden, das Daten zu verarbeiten hat. Im zitierten Bescheid vom 2. November 2004 wurde jedoch ausführlich dargelegt, dass auf Grund der Bestimmung des § 4 Abs. 2 des Akademien-Studiengesetzes 1999 (A-StG), BGBl I Nr. 94/1999, in einem Dienstverhältnis zum Bund oder einem Land stehende Lehrer weder als Schüler noch als Studierende im Sinn des § 2 Abs. 1 Z 3 und 4 BildDokG gelten, sodass dieses Gesetz auf die Dokumentation von Daten über diese Personengruppe keine Anwendung findet.Mangels Errichtung der Pädagogischen Institute in außenwirksamer Form (durch Gesetz oder Verordnung) kann nicht von „Organen einer Gebietskörperschaft“ im Sinn von Paragraph 4, Ziffer 4, DSG 2000 gesprochen werden. Das Handeln des PI ist vielmehr dem Stadtschulrat als gemäß Paragraph 3, Absatz eins, Ziffer eins, Litera b, des Bundesschul-Aufsichtsgesetzes (SchAufsG), Bundesgesetzblatt 240 aus 1962, in der Fassung Bundesgesetzblatt Nr. 321 aus 1975,, zuständiger Schulbehörde zuzurechnen. Daher ist auch dieser als Beschwerdegegner zu behandeln. Die Datenschutzkommission hat in ihrem Bescheid vom 11. März 2005, GZ K120.991/0006-DSK/2005, abrufbar im Rechtsinformationssystem des Bundes unter www.ris.bka.gv.at/dsk, zwar Schulleitern ausnahmsweise Organqualität zuerkannt, dies jedoch nur im Anwendungsbereich des Bildungsdokumentationsgesetzes, Bundesgesetzblatt Teil eins, Nr. 12 aus 2002, in der Fassung Bundesgesetzblatt Teil eins, Nr. 169 aus 2002,, in dem diese ausdrücklich als jenes Organ bezeichnet werden, das Daten zu verarbeiten hat. Im zitierten Bescheid vom 2. November 2004 wurde jedoch ausführlich dargelegt, dass auf Grund der Bestimmung des Paragraph 4, Absatz 2, des Akademien-Studiengesetzes 1999 (A-StG), Bundesgesetzblatt Teil eins, Nr. 94 aus 1999,, in einem Dienstverhältnis zum Bund oder einem Land stehende Lehrer weder als Schüler noch als Studierende im Sinn des Paragraph 2, Absatz eins, Ziffer 3 und 4 BildDokG gelten, sodass dieses Gesetz auf die Dokumentation von Daten über diese Personengruppe keine Anwendung findet.
Dass der Stadtschulrat dem Bundesministerium für Bildung, Wissenschaft und Kultur organisatorisch nachgeordnet und damit nach Art. 20 Abs. 1 B-VG (im Umfang des Art. 81a Abs. 4 B-VG) an dessen Weisungen gebunden ist, vermag an der gesetzlich vorgegebenen Zurechnung von Verwaltungshandeln nichts zu ändern (vgl. dazu den Bescheid vom 16. November 2004, GZ K120.951/0009-DSK/2004, ebenfalls im RIS abrufbar).Dass der Stadtschulrat dem Bundesministerium für Bildung, Wissenschaft und Kultur organisatorisch nachgeordnet und damit nach Artikel 20, Absatz eins, B-VG (im Umfang des Artikel 81 a, Absatz 4, B-VG) an dessen Weisungen gebunden ist, vermag an der gesetzlich vorgegebenen Zurechnung von Verwaltungshandeln nichts zu ändern vergleiche dazu den Bescheid vom 16. November 2004, GZ K120.951/0009-DSK/2004, ebenfalls im RIS abrufbar).
2. Verletzung im Recht auf Geheimhaltung durch Verwendung der Sozialversicherungsnummer
Gemäß der Verfassungsbestimmung des § 1 Abs. 1 DSG 2000, hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.Gemäß der Verfassungsbestimmung des Paragraph eins, Absatz eins, DSG 2000, hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind nach Abs. 2 leg. cit. Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind nach Absatz 2, leg. cit. Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Artikel 8, Absatz 2, EMRK genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
Gemäß § 30 Abs. 1 DSG 2000 kann sich jedermann wegen einer behaupteten Verletzung seiner Rechte oder ihn betreffender Pflichten eines Auftraggebers oder Dienstleisters nach diesem Bundesgesetz mit einer Eingabe an die Datenschutzkommission wenden.Gemäß Paragraph 30, Absatz eins, DSG 2000 kann sich jedermann wegen einer behaupteten Verletzung seiner Rechte oder ihn betreffender Pflichten eines Auftraggebers oder Dienstleisters nach diesem Bundesgesetz mit einer Eingabe an die Datenschutzkommission wenden.
Gemäß § 30 Abs. 6 DSG 2000 kann die Datenschutzkommission zur Herstellung des rechtmäßigen Zustandes Empfehlungen aussprechen, für deren Befolgung erforderlichenfalls eine angemessene Frist zu setzen ist. Wird einer solchen Empfehlung innerhalb der gesetzten Frist nicht entsprochen, so kann die Datenschutzkommission je nach der Art des Verstoßes von Amts wegen insbesondereGemäß Paragraph 30, Absatz 6, DSG 2000 kann die Datenschutzkommission zur Herstellung des rechtmäßigen Zustandes Empfehlungen aussprechen, für deren Befolgung erforderlichenfalls eine angemessene Frist zu setzen ist. Wird einer solchen Empfehlung innerhalb der gesetzten Frist nicht entsprochen, so kann die Datenschutzkommission je nach der Art des Verstoßes von Amts wegen insbesondere
1. ein Verfahren zur Überprüfung der Registrierung gemäß § 22 Abs. 4 einleiten, oder1. ein Verfahren zur Überprüfung der Registrierung gemäß Paragraph 22, Absatz 4, einleiten, oder
2. Strafanzeige nach §§ 51 oder 52 erstatten, oder2. Strafanzeige nach Paragraphen 51, oder 52 erstatten, oder
[...]
4. bei Verstößen von Auftraggebern, die Organe einer Gebietskörperschaft sind, das zuständige oberste Organ befassen. Dieses Organ hat innerhalb einer angemessenen, jedoch zwölf Wochen nicht überschreitenden Frist entweder dafür Sorge zu tragen, dass der Empfehlung der Datenschutzkommission entsprochen wird, oder der Datenschutzkommission mitzuteilen, warum der Empfehlung nicht entsprochen wurde. Die Begründung darf von der Datenschutzkommission der Öffentlichkeit in geeigneter Weise zur Kenntnis gebracht werden, soweit dem nicht die Amtsverschwiegenheit entgegensteht.
Im vorzitierten Bescheid vom 2. November 2004 hat die Datenschutzkommission ausgeführt, dass § 31 Abs. 4 ASVG und auch § 159b B-KUVG den Zweck der Sozialversicherungsnummer klar vorgeben. Demnach darf diese nur zur Verwaltung personenbezogener Daten für Zwecke der Sozialversicherung bzw. des Arbeitsmarktservice verwendet werden. Eine Ausweitung dieser Zweckbestimmung bedürfte einer gesetzlichen Grundlage, die für den Bereich der Lehrerfortbildung am PI nicht zu erkennen ist. Sie ist insbesondere durch das BildDokG nicht gegeben, da dieses dafür, wie soeben unter 1. ausgeführt, gar nicht anwendbar ist.Im vorzitierten Bescheid vom 2. November 2004 hat die Datenschutzkommission ausgeführt, dass Paragraph 31, Absatz 4, ASVG und auch Paragraph 159 b, B-KUVG den Zweck der Sozialversicherungsnummer klar vorgeben. Demnach darf diese nur zur Verwaltung personenbezogener Daten für Zwecke der Sozialversicherung bzw. des Arbeitsmarktservice verwendet werden. Eine Ausweitung dieser Zweckbestimmung bedürfte einer gesetzlichen Grundlage, die für den Bereich der Lehrerfortbildung am PI nicht zu erkennen ist. Sie ist insbesondere durch das BildDokG nicht gegeben, da dieses dafür, wie soeben unter 1. ausgeführt, gar nicht anwendbar ist.
Es ist auch ausdrücklich darauf hinzuweisen, dass Praktikabilitätsargumente allein die Verwendung der Sozialversicherungsnummer außerhalb des Sozialversicherungsbereichs seit Inkrafttreten des E-Government-Gesetzes, BGBl I Nr. 10/2004, nicht mehr rechtfertigen können.Es ist auch ausdrücklich darauf hinzuweisen, dass Praktikabilitätsargumente allein die Verwendung der Sozialversicherungsnummer außerhalb des Sozialversicherungsbereichs seit Inkrafttreten des E-Government-Gesetzes, Bundesgesetzblatt Teil eins, Nr. 10 aus 2004,, nicht mehr rechtfertigen können.
Somit erfolgt die Verwendung der Sozialversicherungsnummer - darunter fällt nach § 4 Z 8 und 9 DSG 2000 sowohl deren Speicherung als auch deren Ermittlung und Abgleich aus Anlass einer Anmeldung - in den für Zwecke der Lehrerfortbildung am PI eingesetzten Datenanwendungen „WICI“ und „WINPIVIS“ entgegen der gesetzlichen Zweckbestimmung und verstößt damit auch gegen den in § 6 Abs. 1 Z 2 und 3 DSG 2000 niedergelegten Zweckbindungsgrundsatz von Daten. Damit ist gleichzeitig die von § 1 Abs. 2 DSG 2000 geforderte gesetzliche Grundlage überschritten, sodass eine Verletzung des Einschreiters - und jedes anderen Lehrers, der seiner Pflicht zur dienstlichen Fortbildung nach § 58 BDG 1979 bzw. § 29 Abs. 3 LDG 1984 auf diese Art und Weise nachkommen muss - in seinem Recht auf Geheimhaltung nach § 1 Abs. 1 DSG 2000 vorliegt.Somit erfolgt die Verwendung der Sozialversicherungsnummer - darunter fällt nach Paragraph 4, Ziffer 8 und 9 DSG 2000 sowohl deren Speicherung als auch deren Ermittlung und Abgleich aus Anlass einer Anmeldung - in den für Zwecke der Lehrerfortbildung am PI eingesetzten Datenanwendungen „WICI“ und „WINPIVIS“ entgegen der gesetzlichen Zweckbestimmung und verstößt damit auch gegen den in Paragraph 6, Absatz eins, Ziffer 2 und 3 DSG 2000 niedergelegten Zweckbindungsgrundsatz von Daten. Damit ist gleichzeitig die von Paragraph eins, Absatz 2, DSG 2000 geforderte gesetzliche Grundlage überschritten, sodass eine Verletzung des Einschreiters - und jedes anderen Lehrers, der seiner Pflicht zur dienstlichen Fortbildung nach Paragraph 58, BDG 1979 bzw. Paragraph 29, Absatz 3, LDG 1984 auf diese Art und Weise nachkommen muss - in seinem Recht auf Geheimhaltung nach Paragraph eins, Absatz eins, DSG 2000 vorliegt.
Um diesen rechtswidrigen Zustand zu beseitigen, war die vorliegende Empfehlung auf Grundlage des § 30 Abs. 6 DSG 2000 auszusprechen. Eine Frist von sechs Monaten scheint in Anbetracht des Umstandes, dass einerseits nicht unerhebliche technische Veränderungen am Anmeldesystem erforderlich sein dürften und die Änderungen darüber hinaus einem relativ großen Benutzerkreis zur Kenntnis gebracht werden müssen, angemessen.Um diesen rechtswidrigen Zustand zu beseitigen, war die vorliegende Empfehlung auf Grundlage des Paragraph 30, Absatz 6, DSG 2000 auszusprechen. Eine Frist von sechs Monaten scheint in Anbetracht des Umstandes, dass einerseits nicht unerhebliche technische Veränderungen am Anmeldesystem erforderlich sein dürften und die Änderungen darüber hinaus einem relativ großen Benutzerkreis zur Kenntnis gebracht werden müssen, angemessen.
Dokumentnummer
DSKTE_20060907_K211623_0005_DSK_2006_00
