K202.034/003-DSK/2003 – Datenschutzkommission Entscheidung

BESCHEID

Die Datenschutzkommission hat unter dem Vorsitz von Dr. MAIER und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. ROSENMAYR-KLEMENZ, Dr. SOUHRADA-KIRCHMAYER, Dr. STAUDIGL und Mag ZIMMER sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 12. Dezember 2003 folgenden Beschluss gefasst:

Spruch

Die Datenschutzkommission erteilt gemäß § 46 Abs 3 Datenschutzgesetz 2000, BGBl I Nr 165/1999 idF BGBl I 136/2001 (DSG 2000), an das Institut XY (in der Folge: XY), vertreten durch den mit der Projektleitung betrauten P, die Genehmigung zur Verwendung personenbezogener Daten des Hauptverbands der Sozialversicherungsträger (in der Folge: HV), der Sozialversicherungsanstalt der Gewerblichen Wirtschaft (in der Folge: SVA) und der Gebietskrankenkassen für Zwecke der wissenschaftlichen Forschung und Statistik nach Maßgabe der folgenden Bedingungen und Auflagen:

1) Die Verwendung ist nur für Zwecke der Durchführung der sozialwissenschaftlichen Grundlagenstudie mit dem Titel 'Leiharbeit und Neue Selbstständige in Österreich' – in Auftrag gegeben vom Bundesministerium für Wirtschaft und Arbeit (in der Folge: BMWA) – zulässig.

2) Die Bewilligung zur Datenverwendung gilt hinsichtlich des Verarbeitens von Daten (§ 4 Z 9 DSG 2000) bis zum Abschluss des unter 1) umschriebenen Forschungsprojekts.

Aus dem Antrag, den beigeschlossenen Unterlagen und telefonischen Kontaktaufnahmen zum Projekt 'Leiharbeit und Neue Selbstständige in Österreich' ergibt sich der folgende entscheidungsrelevante Sachverhalt:

Das BMWA hat das Institut XY mit der Erstellung einer sozialwissenschaftlichen Grundlagenstudie mit dem Titel 'Leiharbeit und Neue Selbstständige in Österreich' beauftragt. Die Datenermittlung erfolgt in 6 Schritten von der SVA, dem HV, den Gebietskrankenkassen und dem BMWA, wobei die Ermittlung der Daten für die Neuen Selbstständigen und die Leiharbeitnehmer sehr ähnlich verläuft. § 1 des Werkvertrags, der zwischen dem BMWA und XY geschlossen wurde, umschreibt folgende Leistungen:

Dem Antrag konnte folgende Vorgangsweise entnommen werden:

für die Neuen Selbstständigen:

1. Anforderung einer Liste aller Neuen Selbstständigen von der SVA (Pos 1 des Antrags)

2. Anforderung von 1500 Adressdaten aus der zuvor ermittelten Liste zur Durchführung repräsentativer fernmündlicher Interviews von der SVA (Pos 2 des Antrags)

für die Leiharbeitnehmer:

1. Anforderung einer Liste aller Personen, die seit 1.1.1993 zumindest einen Tag als Leiharbeitnehmer in Österreich beschäftigt waren vom HV inklusive Längsschnittdaten (Pos 3 des Antrags)

2. Anforderung von 1500 Adressdaten aus der zuvor ermittelten Liste zur Durchführung repräsentativer fernmündlicher Interviews von den einzelnen Gebietskrankenkassen (Pos 5 des Antrags)

Außerdem kommt es zur Verarbeitung anonymisierten Datenmaterials über die Anzahl der Leiharbeitnehmer, das in tabellarischer Form vom BMWA zur Verfügung gestellt wird.

In rechtlicher Hinsicht war zu erwägen:

Gemäß § 1 Abs 1 DSG 2000 hat jedermann Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Dieses ist ausgeschlossen, wenn die Daten infolge ihrer allgemeinen Verfügbarkeit oder mangels Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interesse eines anderen zulässig. Bei Eingriffen durch staatliche Behörden bedarf es neben diesem überwiegenden berechtigten Interesse noch einer formalgesetzlichen Grundlage (§ 1 Abs 2 DSG 2000).

Die in den Pos 1 - 5 des Antrags angegeben Daten unterliegen dem Grundrecht auf Datenschutz, da sie im Gegensatz zu den in Pos 6 des Antrags aufgezählten Daten rückführbar und nicht allgemein verfügbar sind. Datenschutzrechtlich nicht relevant ist daher die Verarbeitung der unter Pos 6 des Antrags genannten Daten.

Eingriffe in das Grundrecht sind an die strengen Voraussetzungen des § 1 Abs 2 DSG 2000 gebunden. Bloß für besondere Verwendungszwecke, wie etwa die wissenschaftliche Forschung und Statistik, sind Beschränkungen des Geheimhaltungsanspruchs erleichtert. So darf der datenschutzrechtliche Auftraggeber gemäß § 46 Abs 1 DSG 2000 für Zwecke wissenschaftlicher und statistischer Untersuchungen, die keine personenbezogenen Daten zum Ziel haben, alle Daten verwenden, die:

Andere Daten dürfen nur verwendet werden, wenn dafür eine besondere gesetzliche Vorschrift, die Zustimmung des Betroffenen oder eine Genehmigung der Datenschutzkommission besteht (§ 46 Abs 2 DSG 2000). Diese ist zu erteilen, wenn

1) die Einholung der Zustimmung mit einem unverhältnismäßigen Aufwand verbunden ist (§ 46 Abs 3 Z 1 DSG 2000),

2) ein öffentliches Interesse an der beantragten Verwendung besteht und (§ 46 Abs 3 Z 2 DSG 2000)

3) die fachliche Eignung des Antragstellers glaubhaft gemacht wird (§ 46 Abs 3 Z 3 DSG 2000).

Auftraggeber im datenschutzrechtlichen Sinn ist wer allein oder gemeinsam mit anderen die Entscheidung trifft Daten für einen bestimmten Zweck zu verarbeiten (§ 4 Z 4 DSG 2000).

Auf Grund einer Rückfrage beim BMWA und des vorliegenden Antrags konnte festgestellt werden, dass das antragstellende Institut die Entscheidungshoheit über die Datenverarbeitung hat und daher als datenschutzrechtlicher Auftraggeber anzusehen ist.

Indirekt personenbezogen sind Daten für einen Auftraggeber dann, wenn der Personenbezug so beschaffen ist, dass der Auftraggeber die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann (§ 4 Z 1 DSG 2000).

Die unter Pos 1 – 5 des Antrags angeführten Daten sind daher in einer Gesamtschau betrachtet nicht indirekt personenbezogen, da unter Pos 2 und 5 ausdrücklich sogar die Identität der Betroffenen festgestellt wird. Auch die übrigen Voraussetzungen des § 46 Abs 1 sind nicht gegeben, da es sich weder um bereits zulässigerweise ermittelte noch um öffentlich zugängliche Daten handelt. Somit bleibt nur noch die Möglichkeit einer Eingriffslegitimation gemäß § 46 Abs 2 DSG 2000, wobei mangels besonderer gesetzlicher Vorschrift realistischerweise nur eine Genehmigung durch die Datenschutzkommission in Betracht kommt. Der unverhältnismäßige Aufwand zur Einholung jeder einzelnen Zustimmungserklärung ergibt sich aus der großen Anzahl der verwendeten Datensätze (siehe Pos 3 und 4 des Antrags). Mit Bescheid vom 24. April 2001 (GZ K202.010/002-DSK/2001) hat die Datenschutzkommission entschieden, dass eine Förderung aus öffentlichen Mitteln das Bestehen eines öffentlichen Interesses im Sinne des § 46 Abs 3 DSG 2000 indiziert. Im konkreten Fall besteht nicht bloß eine Förderung, sondern sogar ein dotierter Auftrag. Es darf daher vom Bestehen eines öffentlichen Interesses ausgegangen werden. Schließlich konnte auf Grund einer telefonischen Anfrage beim BMWA, sowie der zahlreichen auf Homepage des antragsstellenden Instituts vorgestellten Projekte – auffindbar unter http://www.xy.at - und der überwiegend akademischen Ausbildung im einschlägigen Fachbereich von der fachlichen Eignung des Antragstellers ausgegangen werden.

Es war daher spruchgemäß zu entscheiden.