K120.991/0006-DSK/2005 – Datenschutzkommission Entscheidung

BESCHEID

Die Datenschutzkommission hat unter dem Vorsitz von Dr. MAIER und in Anwesenheit der Mitglieder Mag. HUTTERER, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Dr. STAUDIGL und Mag. ZIMMER sowie der Schriftführer Dr. KÖNIG und Fr. HAAS in ihrer Sitzung vom 11. März 2005 folgenden Beschluss gefasst:

Spruch

Über die Beschwerde des L in Ü (Beschwerdeführer), vertreten durch die Eltern ebendort, diese vertreten durch den Verein P in Q, vom 18. August 2004 gegen den Landesschulrat für Steiermark (Beschwerdegegner) wegen Verletzung im Recht auf Löschung wird gemäß den §§ 1 Abs. 5 und 31 Abs. 2 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 136/2001, entschieden:

Die Beschwerde wird hinsichtlich des Begehrens, die Sozialversicherungsnummer des Beschwerdeführers zu löschen, gemäß § 27 Abs. 1 DSG 2000 iVm § 3 Abs. 1 Z 3 und § 2 Abs. 1 Z 1 lit. a des Bildungsdokumentationsgesetzes (BildDokG), BGBl I Nr. 12/2002 idF BGBl I Nr. 169/2002, abgewiesen. Hinsichtlich des Begehrens betreffend alle übrigen Daten, deren Verwendung nicht im Einklang mit den Bestimmungen der EU-Datenschutzrichtlinie und des Datenschutzgesetzes 2000 steht, wird gemäß § 27 Abs. 4 iVm § 31 Abs. 2 DSG 2000 die Beschwerde abgewiesen.

Begründung:

1. Der Beschwerdeführer behauptet eine Verletzung im Recht auf Löschung dadurch, dass der Landesschulrat für Steiermark die Erfüllung eines am 16. Juni 2004 an die Direktion des BG und BRG A gerichteten Begehrens auf Löschung der Sozialversicherungsnummer des Beschwerdeführers mit Schreiben vom 29. Juli 2004 abgelehnt hat. Der Landesschulrat für Steiermark hält in diesem Schreiben dem Begehren unter anderem die Bestimmung des § 3 Bildungsdokumentationsgesetz, BGBl I Nr. 12/2002, entgegen. Der Beschwerdeführer beantragt in seiner an die Datenschutzkommission gerichteten Beschwerde, die Löschung all jener Daten durch den Beschwerdegegner, deren Verwendung nicht im Einklang mit den Bestimmungen der EU-Datenschutzrichtlinie und des Datenschutzgesetzes 2000 steht.

2. Folgender entscheidungsrelevanter Sachverhalt wird angenommen:

Der Beschwerdeführer besucht das Bundesgymnasium und Bundesrealgymnasium in A (BG/BRG A). Am 16. Juni 2004 richtete er (vertreten durch seine Eltern, diese wiederum vertreten durch den Verein P) ein Schreiben an die Direktion dieser Schule, in dem er die Löschung seiner seinerzeit bei der Anmeldung bekannt gegebenen Sozialversicherungsnummer begehrte und gleichzeitig eine allenfalls erteilte Zustimmung zur Verwendung der Sozialversicherungsnummer widerrief. Der Beschwerdeführer begründet sein Löschungsbegehren damit, dass die Zwecke, die mit der Einrichtung der Gesamtevidenz der Schüler und der Studierenden verfolgt werden - nämlich Planung, Wahrung der gesetzlichen Aufsichtspflichten, unter bestimmten Voraussetzungen Ermöglichung von Abfrageberechtigungen u.a.m.- auch ohne Verwendung der Sozialversicherungsnummer erreicht werden können. Der Beschwerdeführer bezieht sich im einzelnen auf § 5 Abs 1 Bildungsdokumentationsgesetz, der die Gesamtevidenz der Schüler und Studierenden regelt, und § 8 Bildungsdokumentationsgesetz, der unter gewissen Voraussetzungen Übermittlungen aus der Gesamtevidenz vorsieht. Er behauptet, dass die Verarbeitung der Sozialversicherungsnummer über die in beiden Bestimmungen festgelegten Verwendungszwecke hinausgeht.

Darauf reagierte der Landesschulrat für Steiermark mit einem Schreiben vom 29. Juli 2004, in dem er die Löschung unter Verweis auf Bestimmungen des Bildungsdokumentationsgesetzes, insbesondere dessen § 3, verweigerte. Der Landesschulrat für Steiermark nahm bis 01.08.04 (Inkrafttreten der Muster- und Standardverordnung 2004) für seinen Zuständigkeitsbereich die Meldung der auf Schulebene erforderlichen Schülerdaten gegenüber dem Datenverarbeitungsregister wahr.

Beweiswürdigung: Diese Feststellungen beruhen auf dem unbestrittenen Beschwerdevorbringen und Einschau in das Datenverarbeitungsregister.

3. In rechtlicher Hinsicht folgt daraus:

a) anzuwendende Rechtsvorschriften

Gemäß § 27 Abs. 1 Z 2 DSG 2000 hat jeder Auftraggeber Daten, die entgegen den Bestimmungen des DSG 2000 in einer seiner Datenanwendungen verarbeitet werden, auf Antrag des Betroffenen zu löschen.

Bildungsdokumentationsgesetz:

Evidenzen der Schüler und Studierenden

§ 3 (1) Der Leiter einer Bildungseinrichtung gemäß § 2 Abs. 1 Z 1lit. a, b, c, f und h sowie Z 2 hat für die Vollziehung des Schulunterrichtsgesetzes, BGBl. Nr. 472/1986, des Schulunterrichtsgesetzes für Berufstätige, BGBl. I Nr. 33/1997, des Akademien-Studiengesetzes 1999, BGBl. I Nr. 94/1999, des Universitäts-Studiengesetzes, BGBl. I Nr. 48/1997, sowie der sonstigen schul- und hochschulrechtlichen Vorschriften folgende

schülerbezogene und studierendenbezogene Daten nach Maßgabe der technischen Möglichkeiten automationsunterstützt zu verarbeiten (§ 4 Z 9 Datenschutzgesetz 2000, BGBl. I Nr. 165/1999):

[...]

3. die Sozialversicherungsnummer,

[...]

§ 3 (6) Der Schüler bzw. Studierende hat die Sozialversicherungsnummerim Hinblick auf die bestehende gesetzliche Unfallversicherung dem Leiter der Bildungseinrichtung bekannt zu geben. Sofern eine Sozialversicherungsnummer nicht besteht, hat die Bildungseinrichtung anhand des Namens und des Geburtsdatums eine eindeutige Ersatzkennzeichnung zu bilden.

[...]

Gesamtevidenzen der Schüler und der Studierenden

§ 5 (1) Der Bundesminister für Bildung, Wissenschaft und Kultur hat als Auftraggeber gemäß § 4 Z 4 des Datenschutzgesetzes 2000, BGBl. I Nr. 165/1999, für die Zwecke der Planung, der Steuerung, der Wahrung der gesetzlichen Aufsichtspflichten, der Bundesstatistik und der Verwaltungsstatistik sowie für die in § 8 genannten Zwecke automationsunterstützt folgende Gesamtevidenzen einzurichten:

(2) In den Gesamtevidenzen sind die Daten der Schüler bzw. Studierenden nur indirekt personenbezogen (§ 6 Abs. 2 sowie § 7 Abs. 2 und 3) zu speichern. Zu diesem Zweck ist vorzusorgen, dass nach Eingang eines Datensatzes gemäß § 6 Abs. 2 und § 7 Abs. 2 und 3 beim Bundesminister für Bildung, Wissenschaft und Kultur und nach Weiterleitung einer Kopie dieses Datensatzes an die Bundesanstalt 'Statistik Österreich' (§ 9 Abs. 2) die Sozialversicherungsnummer im jeweiligen Datensatz nichtrückführbar verschlüsselt wird und sodann bei der Speicherung in der entsprechenden Gesamtevidenz an die Stelle der Sozialversicherungsnummer die durch ihre Verschlüsselung gewonnene Bildungsevidenz-Kennzahl (BEKZ) tritt, wobei ein und dieselbe Sozialversicherungsnummer bei der Verschlüsselung jeweils dieselbe BEKZ zu ergeben hat. Die Datensätze sind in der Gesamtevidenz nur unter dieser so erzeugten BEKZ zu speichern. Eine Speicherung der Datensätze durch den Bundesminister für Bildung, Wissenschaft und Kultur unter der Sozialversicherungsnummer und/oder dem Namen des Betroffenen ist für Zwecke der Gesamtevidenzen unzulässig.

[...]

Erteilung von Auskünften und Zugang zu Daten, Datensicherheitsmaßnahmen

§ 8 (1) Der Bundesminister für Bildung, Wissenschaft und Kultur hat auf Verlangen

1.den Bildungseinrichtungen, die Evidenzen gemäß § 3 führen, zum Zweck der Durchführung der Anmeldung der Schüler bzw. Studierenden,

2. den Schulbehörden des Bundes zum Zweck der Wahrnehmung der ihnen gesetzlich übertragenen Aufgaben (Planung, Steuerung und Wahrung der gesetzlichen Aufsichtspflichten),

3. den Organen des Bundes in Angelegenheiten des Familienlastenausgleichs sowie den Gerichten in gerichtlichen Unterhaltsverfahren und gerichtlichen Verfahren über die Gewährung von Unterhaltsvorschüssen,

4. den Gebietskörperschaften in Angelegenheiten ihrer Schulerhalterschaft und

5. dem Hauptverband der österreichischen Sozialversicherungsträger bzw. den Sozialversicherungsträgern in Angelegenheiten der Kranken-, Unfall- und Pensionsversicherung eine Abfrageberechtigung im Wege des Datenfernverkehrs auf die in den Gesamtevidenzen gemäß § 5 verarbeiteten Daten zu eröffnen.

Die Ermittlung von Daten über einen bestimmten Bildungsteilnehmer aus den Gesamtevidenzen ist nur in dem Ausmaß zulässig, als dies zur Wahrnehmung der den Einrichtungen gemäß Z 1 bis 5 gesetzlichübertragenen Aufgaben erforderlich ist. Bei einer derartigen Anfrage hat der Anfragende die Sozialversicherungsnummer des Betroffenen einzugeben, die automatisiert in die BEKZ (§ 5 Abs. 2) umgewandelt und sodann zur Suche in den Gesamtevidenzen eingesetzt wird.

[...]

(5) Sofern der Betroffene (§ 4 Z 3 Datenschutzgesetz 2000, BGBl. I Nr. 165/1999) Auskunft über die in den Gesamtevidenzen gemäß § 5 zu seiner Person in indirekt personenbezogener Form verarbeiteten Daten erlangen möchte, kann er ein Auskunftsbegehren unter Nachweis seiner Identität und Angabe seiner Sozialversicherungsnummer an die von ihm besuchte bzw. zuletzt besuchte Bildungseinrichtung stellen. Diese hat unter Verwendung der Sozialversicherungsnummer des Betroffenen den diesbezüglichen Inhalt der Gesamtevidenz abzufragen und dem Betroffenen mitzuteilen. Für die Durchsetzung dieses Auskunftsrechts sowie allfälliger Berichtigungs- und Löschungsbegehren gilt § 30 Datenschutzgesetz 2000, BGBl. I Nr. 165/1999.

(6) Die in den Evidenzen gemäß § 3 und § 5 bis 7 enthaltenen Datensätze sind 60 Jahre nach der letzten Eintragung zu löschen. Die Bestimmungen des Bundesarchivgesetzes, BGBl. I Nr. 162/1999, bleiben

unberührt.

Schulunterrichtsgesetz: Verfahren

§ 70 (1) Soweit zur Durchführung von Verfahren auf Grund dieses Bundesgesetzes andere Organe als die Schulbehörden des Bundes (Schulleiter, Lehrerkonferenz, Prüfungskommission usw.) berufen sind, sind in den nachstehend angeführten Angelegenheiten die Abs. 2 bis 4 anzuwenden:

a) Aufnahme in die Schule und Übertritt in eine andere Schulart oder eine andere Form oder Fachrichtung einer Schulart (§§ 3 bis 5, 29 bis 31),

[das an das BG/BRG A gerichtete Löschungsbegehren nimmt auf § 27 DSG 2000 eindeutig Bezug:]

b) zur Passivlegitimation:

aa) Aus § 27 DSG 2000 ergibt sich, dass Adressat eines Löschungsbegehrens 'der Auftraggeber' jener Datenanwendung ist, in der nach Meinung des Betroffenen jene seiner Daten enthalten sind, deren Löschung er begehrt. Im vorliegenden Fall hat der Beschwerdeführer sein Löschungsbegehren an die Direktion des BG und BRG A gestellt, und zwar offenbar unter Beachtung des § 3 Bildungsdokumentationsgesetz, der mit der Verarbeitung des in Rede stehenden Datums 'Sozialversicherungsnummer' für Zwecke der Evidenz der Schüler (und Studierenden) den Leiter der jeweiligen Bildungseinrichtung betraut.

Die Beantwortung dieses Begehrens, die gemäß § 27 Abs. 4 DSG 2000 innerhalb von 8 Wochen durch den Auftraggeber zu erfolgen hat, weist nun insofern eine Besonderheit auf, als nicht der mit dem Begehren angesprochene Schulleiter sondern der Landesschulrat für Steiermark die Löschung abgelehnt hat. Aus der Formulierung dieses Antwortschreibens geht nicht hervor, in welcher rechtlichen Eigenschaft die Antwort abgegeben wird:

ob dies nur 'stellvertretend' für den Auftraggeber 'Leiter BG und BRG A' geschah oder mit der Behauptung, Auftraggeber der gemäß § 3 Bildungsdokumentationsgesetz beim BG und BRG A erfolgenden Verarbeitung zu sein.

§ 27 DSG 2000 nennt als Adressaten eines Auskunftsbegehrens des Betroffenen 'den Auftraggeber'. Gemäß § 4 Z 4 DSG 2000 kommt es für die Auftraggebereigenschaft auf ein faktisches Verhalten an ('wer..die Entscheidung getroffen hat, Daten..zu verarbeiten') und auf eine bestimmte organisationsrechtliche Qualität und zwar im vorliegenden Zusammenhang auf die Eigenschaft als 'Organ einer Gebietskörperschaft'. Das faktische Element der Auftraggebereigenschaft scheint verwirklicht, da Daten (einschließlich der Sozialversicherungsnummer) für Zwecke der Schülerevidenz bei der Anmeldung des Beschwerdeführers zum Besuch des BG und BRG A unbestrittenermaßen erhoben wurden.

Was das Erfordernis der Organqualität betrifft, ist folgendes auszuführen:

Entsprechend dem Bundes - Schulaufsichtsgesetz (§ 2 Schulbehörden des Bundes; BGBl. Nr. 312/1975) werden die 'Schulverwaltung und Schulaufsicht des Bundes vom Bundesminister für Unterricht und Kunst, den ihm unterstehenden Landesschulräten und den diesen unterstehenden Bezirksschulräten besorgt.' Schulen haben demgegenüber den Charakter einer unselbständigen Anstalt öffentlichen Rechts (Jonak, Schulrecht) .

Schulleiter können allerdings ausnahmsweise hoheitliche Aufgaben in der Eigenschaft eines selbständigen Organs wahrnehmen. Das Schulunterrichtsgesetz (BGBl. Nr. 472/1986, zuletzt geändert durch BGBl. I Nr. 172/2004) nimmt in den Verfahrensregeln des § 70 darauf Bezug, dass auch andere Organe als die im Bundes - Schulaufsichtsgesetz bezeichneten Behörden in eingeschränktem – unterrichtsbezogenen – Umfang bestimmte Verfahrensaufgaben wahrnehmen können. Als Organe, die hierfür in Frage kommen, werden u.a. ausdrücklich Schulleiter angeführt.

Bei Anwendung eines funktionellen Organ- bzw. Behördenbegriffes ist maßgeblich für die Eigenschaft als 'Behörde', dass nach den bestehenden Rechtsvorschriften Zwangsakte gesetzt werden können (so etwa Walter-Mayer, Bundesverfassungsrecht, 9. Aufl., RZ 549). Nun bestimmt das Bildungsdokumentationsgesetz in § 3, dass 'die Leiter der Bildungseinrichtungen' die Evidenz der Schüler nach Maßgabe der technischen Möglichkeiten automationsunterstützt zu führen haben. Die Bekanntgabe der hiefür notwendigen Daten, insbesondere der Sozialversicherungsnummer, steht hiebei nicht im Belieben der von der Evidenz betroffenen Schüler, sondern ist durch Gesetz zwingend vorgeschrieben, wobei eine Nicht-Offenlegung der für die Evidenz benötigten Daten sogar strafrechtlich sanktioniert ist (§ 11 Abs. 2 Bildungsdokumentationsgesetz). Der mit der Führung der Evidenz beauftragte Leiter hat somit die Ermittlung der Evidenzdaten hoheitlich, d.h. allenfalls durch erzwingbare Anordnung vorzunehmen.

Es ist daher davon auszugehen, dass hinsichtlich der Führung der Schülerevidenz gemäß § 3 Bildungsdokumentationsgesetz die Leiter der Bildungseinrichtungen Organqualität haben (vgl. nur Standardanwendung SA025 (Evidenzen der Schüler sowie Evidenz über den Aufwand für Bildungseinrichtigungen) der Standard- und Musterverordnung, BGBl II Nr. 312/2004).

Das Löschungsbegehren des Beschwerdeführers vom 16. Juni 2004 betr. die Evidenz der Schüler gemäß § 3 Bildungsdokumentationsgesetz war daher zu Recht an die Direktion des BG und BRG A gerichtet.

bb) Der Umstand, dass das Antwortschreiben auf dieses Löschungsbegehren vom örtlich zuständigen Landesschulrat erstattet wurde, hat im vorliegenden Fall nur deshalb nicht die Wirkung, dass eine fristgerechte, innerhalb von 8 Wochen mitgeteilte Antwort fehlt, weil der Auftraggeber den Landesschulrat offenbar zwecks juristischer Ausformulierung der Beantwortung befasst hatte.

---------------------------

Die Datenschutzkommission geht daher davon aus, dass die Pflicht, innerhalb von 8 Wochen einem Löschungsbegehren zu entsprechen oder zu begründen, warum die verlangte Löschung nicht vorgenommen wird, im vorliegenden Fall erfüllt ist.

c).Zur Frage der Pflicht zur Löschung aller Daten, die 'entgegen den Bestimmungen des Datenschutzgesetzes' verarbeitet würden:

Die Rechtmäßigkeit einer Datenverarbeitung ist gemäß § 7 Abs. 1 DSG 2000 davon abhängig, dass Zweck und Inhalt der Datenanwendung

---------------------------

d) Die in der Beschwerde vorgebrachte Behauptung, die §§ 3 Abs. 1 Z 3, 5 Abs 1 und 8 BildDokG seien verfassungswidrig, kann die Datenschutzkommission mangels Kompetenz nicht prüfen.

e) Dem Vorbringen, § 3 Abs. 1 Z 3 BildDokG widerspreche Art. 6 der Richtlinie 95/46/EG (DS-RL), kann nicht gefolgt werden. Die gemäß § 3 Abs. 6 vorgeschriebene Weiterverwendung der zunächst für Zwecke der gesetzlichen Unfallversicherung erhobenen Sozialversicherungsnummer zur Berechnung der Bildungsevidenz-Kennzahl (BEKZ; § 5 Abs. 2 BildDokG), erfolgt für statistisch/planerische Zwecke, weshalb auch die Speicherung in bloß indirekt personenbezogener Form vorgesehen ist. Eine Weiterverwendung von Daten für derartige Zwecke ist gemäß Art.6 Abs. 1 lit. b zweiter Satz der RL 95/46/EG ausdrücklich von allfälligen Weiterverwendungsbeschränkungen ausgenommen. Im Übrigen ist diese Frage auch nicht präjudiziell für eine Löschungsverpflichtung beim Schulleiter, da die Notwendigkeit der Ermittlung der Sozialversicherungsnummer durch die Schule für Zwecke der Unfallversicherung außer Zweifel steht.

f) Bezüglich der Vorhaltung, § 5 Abs 1 und 8 BildDokG stünden im Widerspruch zu § 6 der Richtlinie 95/46/EG (DS-RL):

Soweit sich das Löschungsbegehren auf indirekt personenbezogene Daten in der Gesamtevidenz bezieht, ist ein subjektiver Rechtsanspruch auf Löschung schon deshalb zu verneinen, weil bezüglich der Gesamtevidenz der Landeschulrat keinesfalls Auftraggeber ist. Das beim BG/BRG A eingebrachte Löschungsbegehren kann mangels einer § 8 Abs 5 BildDokG vergleichbaren Regelung für Auskunftsbegehren auch nicht dem Bundesminister für Bildung, Wissenschaft und Kultur als Auftraggeber gemäß § 4 Z 4 des Datenschutzgesetzes 2000 unmittelbar zugeordnet werden.

Da somit die gemäß § 27 DSG 2000 genannten Voraussetzungen für die Verpflichtung zur Löschung im vorliegenden Fall nicht verwirklicht sind, war spruchgemäß zu entscheiden.