K121.013/0015-DSK/2005 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.]

BESCHEID

Die Datenschutzkommission hat unter dem Vorsitz von Dr. MAIER und in Anwesenheit der Mitglieder Dr. HEISSENBERGER, Mag. HUTTERER, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ und Mag. ZIMMER sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 30. Juni 2005 folgenden Beschluss gefasst:

Spruch

Über die Beschwerde der Maria N*** in Wien (Beschwerdeführerin), vertreten durch die Eltern Frau I*** und Herr A***, gegen den Leiter des V***- Gymnasiums in Wien (Beschwerdegegner), vom 20. Dezember 2004 wegen Verletzung im Recht auf Löschung wird gemäß den §§ 1 Abs. 5 und 31 Abs. 2 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, entschieden:

I. Der Beschwerde wird gemäß § 1 Abs. 3 Z 2 iVm § 27 Abs. 1 und 4 DSG 2000 teilweise Folge gegeben und festgestellt, dass der Beschwerdegegner die Beschwerdeführerin im Recht auf Löschung dadurch verletzt hat, dass er

1. sie nicht von der antragsgemäß durchgeführten Löschung ihrer Sozialversicherungsnummer verständigt hat und

2. hinsichtlich der begehrten Löschung von „anderen Daten“ weder innerhalb von acht Wochen nach Einlangen ihres Löschungsbegehrens dem Antrag entsprochen und der Beschwerdeführerin davon Mitteilung gemacht noch schriftlich begründet hat, warum die verlangte Löschung nicht vorgenommen wird.

II. Der Antrag, dem Beschwerdegegner bei sonstiger Exekution aufzutragen, alle Daten, deren Verwendung nicht im Einklang mit den Bestimmungen der EU-Datenschutzrichtlinie und des DSG 2000 stehen, insbesondere die Sozialversicherungsnummer, zu löschen bzw. für jede weitere Verwendung zu sperren, wird gemäß § 40 Abs. 4 DSG 2000, hinsichtlich der Sozialversicherungsnummer auch gemäß § 27 Abs. 1 Z 2 iVm Abs. 4 DSG 2000, abgewiesen.

Begründung:

Die Beschwerdeführerin behauptet eine Verletzung im Recht auf Löschung dadurch, dass der Beschwerdegegner ihrem Antrag vom 22. November 2004 auf Löschung der im Bildungsdokumentationsgesetz bzw. den Bildungsdokumentationsverordnungen vorgesehenen Daten, insbesondere ihrer Sozialversicherungsnummer, nicht nachgekommen sei.

Der Beschwerdegegner hält dem entgegen, die Sozialversicherungsnummer sei bereits gelöscht worden.

Der folgende Sachverhalt wird festgestellt:

Die Beschwerdeführerin richtete am 22. November 2004 unter ausdrücklicher Berufung auf § 27 DSG 2000 an den Beschwerdegegner den Antrag, ihre Sozialversicherungsnummer und „andere personenbezogene Daten“ zu löschen. Darin wurde eine Verfassungs- bzw. Europarechtswidrigkeit der im Bildungsdokumentationsgesetz bzw. in den Bildungsdokumentationsverordnungen vorgesehenen Vorgangsweise bei der Verwendung von personenbezogenen Daten, insbesondere der Sozialversicherungsnummer, behauptet.

Daraufhin erhielt die Beschwerdeführerin zunächst einen Bescheid des Stadtschulrates für Wien vom 2. Dezember 2004, mit folgendem Spruch:

„Gemäß § 3 und 4 des Bildungsdokumentationsgesetzes (BildDokG, BGBl. I/12/2002), in der geltenden Fassung, sind die entsprechenden im Gesetz vorgesehenen Daten durch die Erziehungsberechtigten bzw. die eigenberechtigten Schüler an den Schulleiter und durch diesen in der Folge an das Bundesministerium für Bildung, Wissenschaft und Kultur zu übermitteln.

Der § 3 Absatz 1 Ziffer 3 des Bildungsdokumentationsgesetzes sieht ausdrücklich die Übermittlung der Sozialversicherungsnummer vor.“

Beweiswürdigung : Diese Feststellungen beruhen auf dem schlüssigen Beschwerdevorbringen.

Der Beschwerdegegner löschte die Sozialversicherungsnummer der Beschwerdeführerin, verständigte sie jedoch nicht davon.

Beweiswürdigung : Diese Feststellung beruht auf dem Vorbringen des Beschwerdegegners in seiner Stellungnahme vom 13. Mai 2005, dem die Beschwerdeführerin im Rahmen des ihr gewährten Parteiengehörs nicht entgegen getreten ist.

In rechtlicher Hinsicht folgt daraus:

1. Anzuwendende Rechtsvorschriften:

Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 2 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

Gemäß § 4 Z 9 DSG 2000 ist unter dem „Verarbeiten von Daten“ sowohl das Ermitteln als auch das Löschen von Daten einer Datenanwendung durch den Auftraggeber zu verstehen.

§ 27 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 2 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Löschung. Gemäß § 27 Abs. 1 Z 2 DSG 2000 hat der Auftraggeber auf begründeten Antrag des Betroffenen unrichtige oder entgegen den Bestimmungen dieses Bundesgesetzes verarbeitete Daten richtigzustellen oder zu löschen. Gemäß § 27 Abs. 4 leg. cit. ist innerhalb von acht Wochen nach Einlangen eines Antrags auf Richtigstellung oder Löschung dem Antrag zu entsprechen und dem Betroffenen davon Mitteilung zu machen oder schriftlich zu begründen, warum die verlangte Löschung oder Richtigstellung nicht vorgenommen wird.

Wenn die Datenschutzkommission eine Verletzung von Bestimmungen dieses Bundesgesetzes durch einen Auftraggeber des öffentlichen Bereichs festgestellt hat, so hat dieser gemäß § 40 Abs. 4 DSG 2000 mit den ihm zu Gebote stehenden rechtlichen Mitteln unverzüglich den der Rechtsanschauung der Datenschutzkommission entsprechenden Zustand herzustellen.

2. Zur Auftraggeberstellung des Beschwerdegegners

Die Datenschutzkommission hat bereits in ihrem Bescheid vom 11. März 2005, GZ K120.991/0006-DSK/2005 (abrufbar im Rechtsinformationssytem des Bundes - RIS - unter www.ris.bka.gv.at) dargelegt, dass im Fall der in § 2 Abs. 1 Z 1 lit. a BildDokG genannten Schulen der Schulleiter Auftraggeber der Evidenz nach § 3 BildDokG ist. Daher war der Leiter des V***- Gymnasiums als Beschwerdegegner zu behandeln.

3. Recht auf Löschung

Der Beschwerdegegner ist dem Löschungsbegehren der Beschwerdeführerin hinsichtlich der Sozialversicherungsnummer nachgekommen. Daher war die Beschwerde, in der eine Nichterfüllung des Löschungsbegehrens behauptet wurde, hinsichtlich der Sozialversicherungsnummer in Spruchpunkt II. gemäß § 27 Abs. 1 Z 2 iVm Abs. 4 DSG 2000 abzuweisen.

Nicht erfüllt hat der Beschwerdegegner jedoch die gemäß § 27 Abs. 4 DSG 2000 mit einer Löschung verbundene Mitteilungspflicht. Wie die Datenschutzkommission bereits in ihrem Bescheid vom 8. Oktober 2004, GZ K120.889/0010-DSK/2004, ebenfalls abrufbar im RIS, ausgesprochen hat, hat der Betroffene ein Recht auf Löschung UND Verständigung von dieser. Daher hat der Beschwerdegegner durch die Unterlassung der Verständigung von der Löschung die Beschwerdeführerin im Recht auf Löschung verletzt, was in Spruchpunkt I. 1. festzustellen war.

Hinsichtlich der „anderen Daten“, deren Löschung die Beschwerdeführerin begehrte, ist zu bemerken, dass der Bescheid des Stadtschulrates vom 2. Dezember 2004 lediglich über die Zulässigkeit der Ermittlung (=im Bescheidtext wird fälschlich das Wort „übermitteln“ für die Offenlegung der Daten durch den Betroffenen verwendet) der im BildDokG genannten Daten und ihre Übermittlung an das Bundesministerium für Bildung, Wissenschaft und Kultur abspricht. Aus der Zulässigkeit des (seinerzeitigen) Ermittelns von Daten ergibt sich jedoch nicht zwingend, dass diese nicht später dennoch zu löschen sind. Das DSG 2000 unterscheidet in seinem § 4 Z 9 diese unterschiedlichen Schritte des Verarbeitens. Der Bescheid enthält keinen Abspruch über das Löschungsbegehren der Beschwerdeführerin und ist daher für das vorliegende Verfahren über die Durchsetzung eines behaupteten Löschungsanspruchs nicht relevant.

Eine Deutung des Bescheids des Stadtschulrates als Ablehnung der Löschung durch den Beschwerdegegner (wie im vorzitierten Bescheid der Datenschutzkommission vom 11. März 2005) erscheint auf Grund der vom Stadtschulrat gewählten Bescheidform und der daraus gemäß § 38 AVG resultierenden Bindung an den Spruch (auch für die Datenschutzkommission, vgl. Walter/Mayer, Verwaltungsverfahren, 8. Aufl., Rz 465 ff) nicht möglich. Daher fehlt eine Auseinandersetzung mit dem auf Löschung gerichteten Begehren der Beschwerdeführerin vom 11. November 2004.

Somit hat der Beschwerdegegner hinsichtlich dieser Daten § 27 Abs. 4 DSG 2000 nicht entsprochen. Schon durch diese - der von der Beschwerdeführerin behaupteten Verweigerung der Löschung vorgelagerte - Unterlassung hat er die Beschwerdeführerin wiederum im Recht auf Löschung verletzt, was in Spruchpunkt I.

2. festzustellen war.

Die von der Beschwerdeführerin begehrte Erteilung eines entsprechenden Leistungsauftrages kommt trotz der festgestellten Rechtsverletzungen nicht in Betracht. Vielmehr ergibt sich aus dem (§ 87 Abs. 2 VfGG, § 63 Abs. 1 VwGG und § 67c Abs. 3 AVG vergleichbaren) § 40 Abs. 4 DSG 2000, dass gegenüber Auftraggebern des öffentlichen Bereichs eine Rechtsverletzung lediglich festzustellen ist. Aus dieser Feststellung resultiert sodann eine unmittelbare gesetzliche Verpflichtung zur Herstellung des der Rechtanschauung der Datenschutzkommission entsprechenden Zustandes. Daher waren sämtliche auf Leistung gerichtete Anträge in Spruchpunkt II. abzuweisen.