K120.941/0012-DSK/2004 – Datenschutzkommission Entscheidung

BESCHEID

Die Datenschutzkommission hat unter dem Vorsitz von Dr. SPENLING und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. DUSCHANEK, Dr. HEISSENBERGER, Mag. PREISS und Dr. SOUHRADA-KIRCHMAYER sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 2. November 2004 folgenden Beschluss gefasst:

Spruch

Über die Beschwerde der K in L (Beschwerdeführerin) vom 31. Jänner 2004 gegen den Landesschulrat für Burgenland (Erstbeschwerdegegner) sowie das Amt der burgenländischen Landesregierung (Zweitbeschwerdegegner), wegen Verletzung im Recht auf Geheimhaltung durch Verwendung der Sozialversicherungsnummer der Beschwerdeführerin für Zwecke der Anmeldung zu einer Fortbildungsveranstaltung wird gemäß den §§ 1 Abs. 5 und 31 Abs. 2 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 136/2001, entschieden:

Der Erstbeschwerdegegner hat die Beschwerdeführerin durch die Verwendung ihrer beim Zweitbeschwerdegegner als Dienstleister des Erstbeschwerdegegners gespeicherten Sozialversicherungsnummer für Zwecke der Anmeldung zu einer Fortbildungsveranstaltung der Dienststelle 'Pädagogisches Institut des Bundes für Burgenland' im Jänner 2004 sowie durch die Weitergabe dieser Nummer an die Hauptschule L für Zwecke weiterer Anmeldungen zu derartigen Fortbildungsveranstaltungen im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG 2000 verletzt.

Die gegen den Zweitbeschwerdegegner gerichteten Beschwerdevorwürfe werden gemäß § 4 Z 4 und 5 DSG 2000 iVm den §§ 1, 2 und 6 des Burgenländischen Landeslehrerdiensthoheitsgesetzes 1995 (LDHG), LGBl Nr. 62/1995, abgewiesen.

Weitere angewendete Rechtsvorschriften: § 1 Abs. 2, § 4 Z 4, 5, 8 und 12, § 6 Abs. 1 Z 2 und 3, § 7 Abs. 3, § 8 Abs. 1 DSG 2000; § 22 Abs. 1 erster Satz des Landeslehrerdienstrechtsgesetzes 1984 (LDG), BGBl. Nr. 302 idF BGBl I Nr. 47/2001; § 3 Abs. 1 Z 1 lit. b des Bundes-Schulaufsichtsgesetzes (SchAufsG), BGBl Nr. 240/1962 idF BGBl Nr. 321/1975; § 125 Z 1 des Schulorganisationsgesetzes (SchOG), BGBl Nr. 242/1962 idF BGBl Nr. 77/2001; § 3 Z 1, § 4 Abs. 1 Z 5 und Abs. 2 des Akademien-Studiengesetzes 1999 (A-StG), BGBl I Nr. 94/1999; § 31 Abs. 4 Z 1 des Allgemeinen Sozialversicherungsgesetzes (ASVG), BGBl Nr. 189/1955 idF BGBl I Nr. 145/2003; § 159b des Beamten-Kranken- und Unfallversicherungsgesetzes (B-KUVG), BGBl 200/1967 idF BGBl I Nr. 145/2003; § 2 Abs. 1 Z 1 lit. a, Z 3 und 4, § 3 Abs. 1 Z 3 des Bildungsdokumentationsgesetzes (BildDokG), BGBl I Nr. 12/2002 idF BGBl I Nr. 169/2002; Art 20 Abs. 1 zweiter Satz B VG; § 2 Abs. 1 lit. e des Bundesgesetzblattgesetzes 1920 (BGBlG 1920), BGBl Nr. 33 idF BGBl Nr. 60/1964;

Begründung:

Die Beschwerdeführerin erachtet sich in ihrer Beschwerde im Recht auf Geheimhaltung dadurch verletzt, dass das Pädagogische Institut für Burgenland, bei dem sie sich im Jänner 2004 zu einer Fortbildungsveranstaltung angemeldet hatte, beim Zweitbeschwerdegegner ihre Sozialversicherungsnummer erhoben habe, nachdem sie zuvor die Bekanntgabe der Nummer verweigert hatte. Darüber hinaus sei diese Nummer sodann an die Direktion der Hauptschule L für Zwecke weiterer Anmeldungen am Pädagogischen Institut weitergegeben worden.

Beide Beschwerdegegner haben das Beschwerdevorbringen in sachverhaltsmäßiger Hinsicht nicht bestritten.

Der Erstbeschwerdegegner führte aus, die Verwendung der Sozialversicherungsnummer sei zur Erfüllung der Verpflichtung der Beschwerdeführerin zur Fortbildung (§ 29 Abs. 3 LDG 1984) bedingt durch das Online-Anmeldesystem des Pädagogischen Instituts unumgänglich. Die Sozialversicherungsnummer ermögliche österreichweit die eindeutige Identifizierung einer Person.

Der Zweitbeschwerdegegner führte aus, die Datenweitergabe sei erfolgt, weil eine Anordnung des Landesschulrates ('der verfügungsbefugten Schulbehörde') vorgelegen sei. Dieser habe als Rechtsgrundlage angegeben, dass sich die Sozialversicherungsnummer bereits bei ihm befinde und das Pädagogische Institut für Burgenland ihm organisatorisch angehöre.

Auf Grund des von der Datenschutzkommission durchgeführten Ermittlungsverfahrens wird folgender Sachverhalt festgestellt:

Die Beschwerdeführerin steht als Hauptschullehrerin in einem öffentlich-rechtlichen Dienstverhältnis zum Land Burgenland. Sie wollte sich im Jänner 2004 zu einer Fortbildungsveranstaltung des Pädagogischen Instituts des Bundes Burgenland (in der Folge PIB) anmelden. Dies ist grundsätzlich nur mehr über das Internet möglich, wobei zur erfolgreichen Durchführung der Anmeldung die Eingabe der Sozialversicherungsnummer erforderlich ist.

Da die Beschwerdeführerin ihre Sozialversicherungsnummer nicht angeben wollte, wandte sie sich an den Leiter des PIB. Dieser akzeptierte zwar ihre Anmeldung außerhalb des 'Online-Anmeldesystems' in Papierform, ersuchte jedoch den Zweitbeschwerdegegner, welcher für Zwecke der Lohnverrechung über Personaldaten der Beschwerdeführerin verfügt, um Bekanntgabe der Sozialversicherungsnummer der Beschwerdeführerin für Zwecke der Anmeldung.

Der Zweitbeschwerdegegner kam diesem Ersuchen nach. Daraufhin nahm der Leiter des PIB die Anmeldung der Beschwerdeführerin unter Verwendung der Sozialversicherungsnummer vor. Außerdem gab er die Nummer 'für Zwecke künftiger Anmeldungen' an die Leitung der Hauptschule L, wo die Beschwerdeführerin beruflich tätig ist, weiter. Dort war die Nummer schon zuvor im Personalakt der Beschwerdeführerin aufgelegen.

Beweiswürdigung: Diese Feststellungen beruhen auf dem unbestrittenen Beschwerdevorbringen sowie dem der Beschwerde in Kopie angeschlossenen Schreiben des PIB vom 21. Jänner 2004. Hinsichtlich des Zwecks der Datenspeicherung beim Zweitbeschwerdegegner beruhen sie auf dessen unwidersprochen gebliebenen Vorbringen in seiner Stellungnahme vom 17. Mai 2004.

Das PIB wurde durch Erlass des damaligen Bundesministers für Unterricht und Kunst vom 25. Oktober 1971, GZ 31.992-Raum/71, errichtet und im Verordnungsblatt des Bundesministeriums verlautbart.

Beweiswürdigung: Diese Feststellung beruht auf dem vom Bundesministerium für Bildung, Wissenschaft und Kultur vorgelegten Erlass.

In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften:

Gemäß der Verfassungsbestimmung des § 1 Abs. 1 DSG 2000, hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind nach Abs. 2 leg. cit. Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.

Gemäß § 4 DSG 2000 bedeuten im Sinne der folgenden Bestimmungen dieses Bundesgesetzes die Begriffe:

1. 'Daten' ('personenbezogene Daten'): Angaben über Betroffene (Z 3), deren Identität bestimmt oder bestimmbar ist; 'nur indirekt personenbezogen' sind Daten für einen Auftraggeber (Z 4), Dienstleister (Z 5) oder Empfänger einer Übermittlung (Z 12) dann, wenn der Personenbezug der Daten derart ist, dass dieser Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann;

[…]

4. 'Auftraggeber': natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die Entscheidung getroffen haben, Daten für einen bestimmten Zweck zu verarbeiten (Z 9), und zwar unabhängig davon, ob sie die Verarbeitung selbst durchführen oder hiezu einen anderen heranziehen. Als Auftraggeber gelten die genannten Personen, Personengemeinschaften und Einrichtungen auch dann, wenn sie einem anderen Daten zur Herstellung eines von ihnen aufgetragenen Werkes überlassen und der Auftragnehmer die Entscheidung trifft, diese Daten zu verarbeiten. Wurde jedoch dem Auftragnehmer anläßlich der Auftragserteilung die Verarbeitung der überlassenen Daten ausdrücklich untersagt oder hat der Auftragnehmer die Entscheidung über die Art und Weise der Verwendung, insbesondere die Vornahme einer Verarbeitung der überlassenen Daten, auf Grund von Rechtsvorschriften, Standesregeln oder Verhaltensregeln gemäß § 6 Abs. 4 eigenverantwortlich zu treffen, so gilt der mit der Herstellung des Werkes Betraute als datenschutzrechtlicher Auftraggeber;

5. 'Dienstleister': natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie Daten, die ihnen zur Herstellung eines aufgetragenen Werkes überlassen wurden, verwenden (Z 8);

[…]

7. 'Datenanwendung' (früher: 'Datenverarbeitung'): die Summe der in ihrem Ablauf logisch verbundenen Verwendungsschritte (Z 8), die zur Erreichung eines inhaltlich bestimmten Ergebnisses (des Zweckes der Datenanwendung) geordnet sind und zur Gänze oder auch nur teilweise automationsunterstützt, also maschinell und programmgesteuert, erfolgen (automationsunterstützte Datenanwendung);

8. 'Verwenden von Daten': jede Art der Handhabung von Daten einer Datenanwendung, also sowohl das Verarbeiten (Z 9) als auch das Übermitteln (Z 12) von Daten;

9. 'Verarbeiten von Daten': das Ermitteln, Erfassen, Speichern, Aufbewahren, Ordnen, Vergleichen, Verändern, Verknüpfen, Vervielfältigen, Abfragen, Ausgeben, Benützen, Überlassen (Z 11), Sperren, Löschen, Vernichten oder jede andere Art der Handhabung von Daten einer Datenanwendung durch den Auftraggeber oder Dienstleister mit Ausnahme des Übermittelns (Z 12) von Daten;

11. 'Überlassen von Daten': die Weitergabe von Daten vom Auftraggeber an einen Dienstleister;

12. 'Übermitteln von Daten': die Weitergabe von Daten einer Datenanwendung an andere Empfänger als den Betroffenen, den Auftraggeber oder einen Dienstleister, insbesondere auch das Veröffentlichen solcher Daten; darüber hinaus auch die Verwendung von Daten für ein anderes Aufgabengebiet des Auftraggebers;

[…]

Die §§ 6, 7 und 8 DSG 2000 lauten auszugsweise:

'Grundsätze

§ 6. (1) Daten dürfen nur

1. nach Treu und Glauben und auf rechtmäßige Weise verwendet werden;

2. für festgelegte, eindeutige und rechtmäßige Zwecke ermittelt und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverwendet werden; […]

3. soweit sie für den Zweck der Datenanwendung wesentlich sind, verwendet werden und über diesen Zweck nicht hinausgehen;

[…]

Zulässigkeit der Verwendung von Daten

§ 7. (1) Daten dürfen nur verarbeitet werden, soweit Zweck und Inhalt der Datenanwendung von den gesetzlichen Zuständigkeiten oder rechtlichen Befugnissen des jeweiligen Auftraggebers gedeckt sind und die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nicht verletzen.

(2) Daten dürfen nur übermittelt werden, wenn

1. sie aus einer gemäß Abs. 1 zulässigen Datenanwendung stammen und

2. der Empfänger dem Übermittelnden seine ausreichende gesetzliche Zuständigkeit oder rechtliche Befugnis - soweit diese nicht außer Zweifel steht - im Hinblick auf den Übermittlungszweck glaubhaft gemacht hat und

3. durch Zweck und Inhalt der Übermittlung die schutzwürdigen Geheimhaltungsinteressen des Betroffenen nicht verletzt werden.

(3) Die Zulässigkeit einer Datenverwendung setzt voraus, daß die dadurch verursachten Eingriffe in das Grundrecht auf Datenschutz nur im erforderlichen Ausmaß und mit den gelindesten zur Verfügung stehenden Mitteln erfolgen und daß die Grundsätze des § 6 eingehalten werden.

Schutzwürdige Geheimhaltungsinteressen bei Verwendung nicht-sensibler Daten

§ 8. (1) Gemäß § 1 Abs. 1 bestehende schutzwürdige Geheimhaltungsinteressen sind bei Verwendung nicht-sensibler Daten dann nicht verletzt, wenn

1. eine ausdrückliche gesetzliche Ermächtigung oder Verpflichtung zur Verwendung der Daten besteht oder

2. der Betroffene der Verwendung seiner Daten zugestimmt hat, wobei ein Widerruf jederzeit möglich ist und die Unzulässigkeit der weiteren Verwendung der Daten bewirkt, oder

3. lebenswichtige Interessen des Betroffenen die Verwendung erfordern oder

4. überwiegende berechtigte Interessen des Auftraggebers oder eines Dritten die Verwendung erfordern.

[…]'

Gemäß Art 20 Abs. 1 B VG führen unter der Leitung der obersten Organe des Bundes und der Länder nach den Bestimmungen der Gesetze auf Zeit gewählte Organe oder ernannte berufsmäßige Organe die Verwaltung. Sie sind, soweit nicht verfassungsgesetzlich anderes bestimmt wird, an die Weisungen der ihnen vorgesetzten Organe gebunden […].

Gemäß § 2 Abs. 1 lit. e BGBlG 1920 war das Bundesgesetzblatt bestimmt zur Verlautbarung der Verordnungen der Bundesregierung und der Bundesministerien, jedoch mit Ausnahme der ausschließlich an unterstellte Verwaltungsbehörden ergehenden allgemeinen Verordnungen (Dienstanweisungen, Instruktionen).

Das LDHG lautet auszugsweise:

'Allgemeines

§ 1. Die Ausübung der Diensthoheit des Landes über die in einem öffentlich-rechtlichen Dienstverhältnis zum Land stehenden Lehrer (Landeslehrer) für Volks-, Haupt-, Sonderschulen und Polytechnische Lehrgänge sowie für Berufsschulen und über die Personen, die einen Anspruch auf Ruhe- und Versorgungsbezug aus einem solchen Dienstverhältnis eines Landeslehrers haben, obliegt den im folgenden genannten Dienstbehörden.

[…]

Landesregierung

§ 2. (1) Der Landesregierung obliegt unbeschadet der ihr als oberstem Vollzugsorgan des Landes zustehenden Befugnisse

a) die Festsetzung des Dienstpostenplanes (Stellenplanes) gemäß Art. IV Abs. 2 Bundesverfassungsgesetz, BGBl. Nr. 215/1962;

b) die Erklärung und Aufhebung der Schulfestigkeit gemäß § 24 Abs. 5 Landeslehrer-Dienstrechtsgesetz 1984;

c) die Verleihung von schulfesten Stellen gemäß § 26 Abs. 1 Landeslehrer-Dienstrechtsgesetz 1984 mit den damit verbundenen Ernennungen auf eine andere Planstelle gemäß § 8 Landeslehrer-Dienstrechtsgesetz 1984. Die Landesregierung kann eine schulfeste Stelle an Volks-, Haupt- und Sonderschulen sowie an Polytechnischen Lehrgängen nur an einen Bewerber verleihen, der im Besetzungsvorschlag des Kollegiums des Bezirksschulrates und im Besetzungsvorschlag des Kollegiums des Landesschulrates aufscheint. Eine schulfeste Stelle an Berufsschulen kann sie nur an einen Bewerber verleihen, der im Besetzungsvorschlag des Kollegiums des Landesschulrates aufscheint;

d) die Entscheidung betreffend neuerliche Ausschreibung von schulfesten Stellen gemäß § 26 Abs. 7 letzter Satz Landeslehrer-Dienstrechtsgesetz 1984;

e) die Bewilligung des Diensttausches zwischen Inhabern schulfester Stellen gemäß § 20 Landeslehrer-Dienstrechtsgesetz 1984;

f) die Ausübung des Gnadenrechtes gemäß § 105 Landeslehrer-Dienstrechtsgesetz 1984.

[…]

Landesschulrat

§ 6. Dem Landesschulrat obliegt die Durchführung der nicht in den §§ 2 bis 5 angeführten Maßnahmen, insbesondere

[…].'

Gemäß § 22 Abs. 1 LDG kann der Landeslehrer bei Bedarf mit seiner Zustimmung unter Freistellung von der für ihn bisher geltenden Arbeitszeit vorübergehend einer Dienststelle des Bundes oder der Landesverwaltung oder einer in der Verwaltung des Bundes stehenden Schule zugewiesen werden.

Gemäß § 29 Abs. 3 LDG hat der Landeslehrer um seine berufliche Fortbildung bestrebt zu sein.

Gemäß § 3 Abs. 1 Z 1 lit. b SchAufsG ist der Landesschulrat für die Pädagogischen Institute zuständige Schulbehörde des Bundes in erster Instanz.

Gemäß § 125 Z 1 SchOG haben die Pädagogischen Institute unter anderem die Aufgabe, Personen mit abgeschlossener Erstausbildung fortzubilden.

Gemäß § 3 Z 1 A-StG gilt dieses Bundesgesetz ua. für die öffentlichen Pädagogischen Institute. Gemäß § 4 Abs. 1 Z 5 A-StG sind unter Akademielehrgängen alle Studien zu verstehen, die nicht Diplomstudien sind, insbesondere die der Fortbildung und der Weiterbildung dienenden Lehrveranstaltungen gemäß § 125 SchOG. Sofern in diesem Bundesgesetz von Studierenden die Rede ist, beziehen sich die betreffenden Bestimmungen gemäß § 4 Abs. 2 A-StG nicht auf bereits in einem Dienstverhältnis zum Bund oder zu einem Land stehende Lehrer.

§ 31 ASVG lautete in der im Spruch genannten Fassung auszugsweise:

'Hauptverband der österreichischen Sozialversicherungsträger

§ 31. […]

(2) Dem Hauptverband obliegt

2. die zentrale Erbringung von Dienstleistungen für die Sozialversicherungsträger

[…]

(4) Zu den zentralen Dienstleistungen im Sinne des Abs. 2 Z 2 gehören:

1. die Vergabe von einheitlichen Versicherungsnummern zur Verwaltung personenbezogener Daten im Rahmen der der Sozialversicherung gesetzlich übertragenen Aufgaben; […]'

Gemäß § 159b B-KUVG darf die Versicherungsnummer nach § 31 Abs. 4 Z 1 ASVG in der elektronischen Datenverarbeitung für Zwecke der Sozialversicherung und des Arbeitsmarktservice verwendet werden.

Die §§ 2 und 3 BildDokG lauten auszugsweise:

Begriffsbestimmungen

§ 2. (1) Im Sinne dieses Bundesgesetzes sind zu verstehen:

1. unter Bildungseinrichtungen des Schul- und Erziehungswesens sowie des Gesundheitswesens:

a) Schulen, die Übungsschulen, -kindergärten, -horte und - schülerheime gemäß Schulorganisationsgesetz, BGBl. Nr. 242/1962,

[…]

3. unter Schülern: Schüler gemäß Schulunterrichtsgesetz, BGBl. Nr. 472/1986, Schüler gemäß Bundesgesetz über Schulen zur Ausbildung von Leibeserziehern und Sportlehrern, BGBl. Nr. 140/1974, Studierende gemäß Schulunterrichtsgesetz für Berufstätige, BGBl. I Nr. 33/1997, Studierende gemäß Akademien-Studiengesetz 1999, BGBl. I Nr. 94/1999, Studierende an Akademien für Sozialarbeit (jeweils einschließlich in der Eigenschaft als Prüfungskandidaten im Rahmen abschließender Prüfungen) sowie Bildungsteilnehmer an Bildungseinrichtungen gemäß Z 1 lit. c, d, e, g und h bis n;

4. unter Studierenden: Studierende gemäß Universitäts-Studiengesetz, BGBl. I Nr. 48/1997, sowie Studierende an den Bildungseinrichtungen gemäß Z 2 lit. d bis g;

[…]

Evidenzen der Schüler und Studierenden

'§ 3. (1) Der Leiter einer Bildungseinrichtung gemäß § 2 Abs. 1 Z 1 lit. a, b, c, f und h sowie Z 2 hat für die Vollziehung des Schulunterrichtsgesetzes, BGBl. Nr. 472/1986, des Schulunterrichtsgesetzes für Berufstätige, BGBl. I Nr. 33/1997, des Akademien-Studiengesetzes 1999, BGBl. I Nr. 94/1999, des Universitäts-Studiengesetzes, BGBl. I Nr. 48/1997, sowie der sonstigen schul- und hochschulrechtlichen Vorschriften folgende schülerbezogene und studierendenbezogene Daten nach Maßgabe der technischen Möglichkeiten automationsunterstützt zu verarbeiten (§ 4 Z 9 Datenschutzgesetz 2000, BGBl. I Nr. 165/1999):

[…]

3. die Sozialversicherungsnummer,

[…]'

2. Ermittlung der Beschwerdegegner und Auftraggeberstellung

Die Beschwerdeführerin hat ihre Beschwerde gegen den Leiter des PIB ******** sowie 'den bisher unbekannten Bediensteten des Amtes der burgenländischen Landesregierung' erhoben. Das sonstige Beschwerdevorbringen lässt jedoch klar erkennen, dass es der Beschwerdeführerin nicht um die datenschutzrechtliche Verantwortlichkeit von Privatpersonen geht, sondern um die Verantwortlichkeit von Organen, für die die von ihr bezeichneten Organwalter gehandelt haben.

Hinsichtlich des PIB ist festzuhalten, dass dieses lediglich durch eine sogenannte 'Verwaltungsverordnung', also eine Weisung (Art. 20 Abs. 1 B –VG) mit generellem Charakter (vgl. etwa Walter/Mayer, Bundesverfassungsrecht, 9. Aufl.(2000), Rz 594, 616), errichtet worden ist, welche – schon mangels Kundmachung im Bundesgesetzblatt (vgl. § 2 Abs. 1 lit. e des im Errichtungszeitpunkt geltenden Bundesgesetzblattgesetzes BGBl Nr. 33/1920) – keinerlei Wirkungen außerhalb des Zuständigkeitsbereiches des damaligen Bundesministers für Unterricht und Kunst zu entfalten vermag. Der Rechtsprechung des Verfassungsgerichtshofes (s. insbesondere das Erkenntnis vom 12. Oktober 1993, VfSlg 13578/1993) ist ebenso wie dem Aufsatz von Matzka, Organisationskreation in der österreichischen Verwaltungsrechtsordnung, JBl 1980 505, zu entnehmen, dass durch Verwaltungsverordnung ein Organ mit der Fähigkeit zu eigenständigem behördlichen Handeln (Wahrnehmung von eigenen Behördenzuständigkeiten) nicht errichtet werden kann. Dazu bedarf es vielmehr eines Gesetzes oder zumindest einer Verordnung im Sinn von Art 18 Abs. 2 B-VG mit ausreichender gesetzlicher Grundlage. Da keine dieser Voraussetzungen hinsichtlich des PIB erfüllt ist, kann es sich beim PIB lediglich allenfalls um eine Dienststelle (des Bundes) im Sinn von § 278 Abs. 1 des Beamten-Dienstrechtsgesetzes 1979, BGBl Nr. 333 idF BGBl I Nr. 127/1999, handeln. Dies kann jedoch auch für die Qualifikation als Organ im Sinn von § 4 Z 4 DSG 2000 nicht ausreichen, wenn man das eben dargestellte Erfordernis einer gesetzlichen Grundlage samt ordnungsgemäßer Kundmachung für die Errichtung einer Behörde nicht unterlaufen will, was der Fall wäre, wenn man der nur verwaltungsinternen 'Errichtungsanordnung' doch Bedeutung zumessen würde. Für diese Auslegung spricht auch die gesonderte Nennung von 'Geschäftsapparaten' in § 4 Z 4 DSG 2000 als – die einzige - gewisse Erweiterung und Vereinfachung allgemeiner verwaltungsrechtlicher Zurechnungsregeln. Von einem 'Geschäftsapparat' kann jedoch beim PIB keine Rede sein. Das Handeln des PIB ist somit datenschutzrechtlich dem (durch Art 81a Abs. 2 B VG errichteten) Landesschulrat für Burgenland als gemäß § 3 Abs. 1 Z 1 lit. b SchAufsG zuständiger Schulbehörde zuzurechnen, weshalb dieser als Erstbeschwerdegegner zu behandeln ist.

Soweit sich die Beschwerde gegen das Amt der Burgenländischen Landesregierung richtet, so kommt dieses als klassischer 'Geschäftsapparat' zwar grundsätzlich als Auftraggeber des öffentlichen Bereichs und damit als Zweitbeschwerdegegner in Betracht. Aus dem festgestellten Sachverhalt ergibt sich jedoch, dass der Zweitbeschwerdegegner die Sozialversicherungsnummer der Beschwerdeführerin nur für Zwecke der Lohnverrechnung und damit im Rahmen von Aufgaben verwendet, deren Besorgung nach außen hin dem Erstbeschwerdegegner als Dienstbehörde der Beschwerdeführerin nach § 6 Abs. 1 LDHG obliegt. Der Zweitbeschwerdegegner wird hinsichtlich der Lohnverrechnung nur im Auftrag des Erstbeschwerdegegners und damit datenschutzrechtlich als dessen Dienstleister nach § 4 Z 5 DSG 2000 tätig. Eine Verwendung der Sozialversicherungsnummer außerhalb dieses 'Werkes' für eigene Zwecke des Zweitbeschwerdegegners ist im Ermittlungsverfahren nicht hervorgekommen. Daraus ergibt sich, dass die Weitergabe der Sozialversicherungsnummer vom Zweitbeschwerdegegner an das PIB und somit an den Erstbeschwerdegegner lediglich im Rahmen des zwischen ihm und dem Erstbeschwerdegegner bestehenden Auftragsverhältnisses erfolgt ist. Die vom Erstbeschwerdegegner vorgenommene Zweckänderung (s. sogleich unten 3.) hat der Zweitbeschwerdegegner keinesfalls zu vertreten.

Die gegen den Zweitbeschwerdegegner gerichteten Vorwürfe waren daher schon mangels Auftragebereigenschaft spruchgemäß abzuweisen und sind gegenüber dem Erstbeschwerdegegner als (alleinigem) Auftraggeber zu prüfen.

3. Verwendung der Sozialversicherungsnummer der Beschwerdeführerin für Zwecke ihrer Anmeldung am PIB durch den Erstbeschwerdegegner

Aus den Sachverhaltsfeststellungen geht klar hervor, dass alleiniger Zweck der Verwendung der Sozialversicherungsnummer der Beschwerdeführerin im Zusammenhang mit ihrer Anmeldung am PIB die Verwendung dieser Nummer als Ordnungsbegriff ('eindeutige Identifikation') war. Daraus folgt zunächst, dass die Nummer, die ursprünglich im Rahmen der Tätigkeit der Erstbeschwerdegegnerin als Dienstbehörde nach § 6 Abs. 1 LDHG, konkret für die Erfüllung sozialversicherungsrechtlicher Dienstgeberpflichten aus dem Dienstverhältnis der Beschwerdeführerin, verwendet wurde, nunmehr für ein anderes Aufgabengebiet des Erstbeschwerdegegners verwendet wurde, nämlich die Administration von Anmeldungen zu Fortbildungsveranstaltungen nach § 125 SchOG (also gemäß § 4 Abs. 1 Z 5 A-StG zu Akademielehrgängen) am PIB, welche dem Erstbeschwerdeführer nach § 3 Abs. 1 Z 1 lit. b SchAufsG unter Berücksichtigung der bereits oben unter 2. begründeten Erkenntnis, dass dem PIB keine eigene Behördenstellung zukommt, zuzurechnen ist. Dass der Erstbeschwerdegegner nicht bloß als Dienstbehörde im Rahmen des § 22 Abs. 1 LDG tätig geworden ist, ist nicht zuletzt daraus zu schließen, dass der Leiter des PIB die Sozialversicherungsnummer angefordert hat. Damit liegt eine Übermittlung im Sinn von § 4 Z 12 letzter Halbsatz DSG 2000 vor, deren Rechtmäßigkeit nach den §§ 6 bis 8 DSG 2000 zu beurteilen ist.

§ 31 Abs. 4 Z 1 ASVG und auch § 159b B-KUVG geben den Zweck der Sozialversicherungsnummer, nämlich die Verwaltung personenbezogener Daten für Zwecke der Sozialversicherung, klar vor. Aus dieser gesetzlichen Zweckvorgabe ist abzuleiten, dass jede rechtmäßige Verwendung dieser Nummer für andere Zwecke auf einer gesetzlichen Ermächtigung beruhen muss.

§ 3 Abs. 1 Z 3 BildDokG stellt für den Beschwerdefall keine solche Ermächtigung dar. Zunächst ist der Erstbeschwerdegegner keine Schule im Sinn des SchOG und auch sonst keine in § 2 Abs. 1 Z1 und 2 BildDokG genannte Bildungseinrichtung. Daran vermag es nichts zu ändern, dass ihm die Handlungen des nach außen hin nicht rechtswirksam errichteten PIB datenschutzrechtlich zugerechnet werden. Darüber hinaus ist aber die Beschwerdeführerin nach den Legaldefinitionen des § 2 Abs. 1 Z 3 und 4 BildDok iVm § 4 Abs. 2 A StG auch – mangels Studierendeneigenschaft nach dem A-StG – trotz ihrer Teilnahme an einem Akademielehrgang nach § 4 Abs. 1 Z 5 A StG weder Schülerin noch Studentin im Sinn des BildDokG.

Da somit eine gesetzliche Ermächtigung für eine Verwendung der Sozialversicherungsnummer für Zwecke außerhalb der Sozialversicherung im vorliegenden Fall fehlt, entsprach die Verwendung für Zwecke der Anmeldung am PIB ebenso wie die Weitergabe an die Hauptschule L zum Zweck künftiger Anmeldungen nicht dem in § 6 Abs. 1 Z 2 und 3 DSG 2000 zum Ausdruck kommenden Grundsatz der Zweckbindung. Daraus ergibt sich schon gemäß § 7 Abs. 3 DSG 2000 die Unzulässigkeit dieser Verwendungsvorgänge, woraus wiederum folgt, dass ein überwiegendes berechtigtes Interesse an der Verwendung nach § 8 Abs. 1 Z 4 DSG 2000 auszuschließen ist. Die Tatbestände des § 8 Abs. 1 Z 1 bis 3 DSG 2000 sind offenkundig nicht erfüllt. Somit liegt eine Verletzung der Beschwerdeführerin im Recht auf Geheimhaltung nach § 1 Abs. 1 DSG 2000 vor, die spruchgemäß festzustellen war.

Abschließend sei nochmals darauf hingewiesen, dass es nichts an der Schutzwürdigkeit der Sozialversicherungsnummer ändert, dass diese sowohl dem Erstbeschwerdegegner als auch dem Übermittlungsempfänger, der Hauptschule L, bereits bekannt war, weil beide die Nummer lediglich für Zwecke der Administration von Sozialversicherungsangelegenheiten verwenden durften. Jede andere Auslegung würde den in § 4 Z 12 sowie § 6 Abs. 1 Z 2 und 3 DSG 2000 zum Ausdruck kommenden Zweckbindungsgrundsatz unterlaufen. Geheimhaltung bedeutet demnach nicht bloß, dass ein Auftraggeber Daten Dritten nicht weitergeben darf, sondern auch, dass er selbst sie grundsätzlich nicht für andere Zwecke (insbesondere andere Aufgabengebiete) verwenden darf.