K202.045/0004-DSK/2006 – Datenschutzkommission Entscheidung

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. BLAHA, Dr. KOTSCHY, Dr. ROSENMAYR-KLEMENZ, Dr. STAUDIGL und Mag. ZIMMER sowie des Schriftführers Dr. KÖNIG in ihrer Sitzung vom 21. April 2006 folgenden Beschluss gefasst:

S p r u c h

1. Die Datenschutzkommission erteilt gemäß § 47 Abs.4 Datenschutzgesetz 2000 (DSG 2000), BGBl. I Nr. 165/1999 idF BGBl. I Nr.13/2005, die Genehmigung zur Übermittlung der Datenarten Vorname, Familienname und Zustelladresse hinsichtlich des Betroffenenkreises der Bezieher von Pflegegeld mit Wohnsitz im Land Oberösterreich aus dem Informationsverbundsystem „Österreichische Sozialversicherungsdatenbank“ (kurz: SV-DB; Betreiber :

Hauptverband der österreichischen Sozialversicherungsträger) an das Land Oberösterreich ( Datenempfänger ,

Auftraggeber: Amt der Oberösterreichischen Landesregierung,

DVR: 0069264).

2. Folgende Auflagen sind dabei zu beachten:

a. Die übermittelten Daten dürfen ausschließlich für eine Befragung der Betroffenen zur Erhebung der Betreuungssituation als Grundlage künftiger sozialpolitischer Maßnahmen und Planungsentscheidungen Verwendung finden.

b. Der Betreiber oder der Datenempfänger hat vor der Übermittlung der Daten die Zustimmung der Entscheidungsträger (§ 22 Abs.1 BPGG), denen als datenschutzrechtlichen Auftraggebern die Verfügung über die Daten zukommt, einzuholen.

c. Während der Datenübermittlung (Datenübertragung oder Datenträgerübersendung) zwischen dem Betreiber und dem Datenempfänger sind die Daten zu verschlüsseln. Dabei sind Daten und Schlüssel getrennt zu übermitteln. Die Auswahl der Daten hat entsprechend den Vorgaben des Spruchpunkts 1. durch den Betreiber zu erfolgen (§ 47 Abs.6 DSG 2000). Die Einräumung eines direkten Zugriffs auf die Daten des Informationsverbundsystems SV-DB an den Datenempfänger ist nicht zulässig.

d. Der Datenempfänger hat die ausgewählten Betroffenen anlässlich der Befragung über die Freiwilligkeit der Teilnahme und den Verwendungszweck der zu erhebenden Daten zu informieren. Weiters ist den Betroffenen gegenüber offen zu legen, woher die zum Versand der Befragungsunterlagen verwendeten Adressdaten stammen, dass deren Verwendung von der Datenschutzkommission genehmigt worden ist, und welche Auflagen zur Sicherstellung ihrer Rechte erteilt worden sind.

e. Bei einer postalischen Versendung der Befragungsunterlagen sind die übermittelten Daten spätestens drei Tage nach dem Versand zu löschen. Jede weitere direkt personenbezogene Verwendung dieser Daten, etwa für eine Kontrolle des Rücklaufs der Befragungsunterlagen, wird in diesem Fall ausdrücklich untersagt.

f. Bei anderer Durchführung der Befragung (persönliche Interviews) dürfen die zur Durchführung herangezogenen Personen keine vollständige Liste der übermittelten Daten erhalten sondern nur regional (nach Ortsgemeinden oder Postleitzahlen) gegliederte Auszüge. Es muss ihnen weiters untersagt werden, die Daten der Personen zu erheben, die eine Teilnahme an der Befragung abgelehnt haben.

g. Zulässig ist in den Fällen e. wie f. die weitere Verarbeitung statistischer Daten des Befragungssamples (wie: Anzahl und örtliche Verteilung der Befragten). Der Personenbezug der Daten ist gänzlich zu beseitigen, sobald er für die Durchführung der Befragung nicht mehr benötigt wird. Die Auswertung der Befragungsergebnisse hat jedenfalls in nicht personenbezogener Form zu erfolgen.

h. Zur Durchführung der Befragung herangezogene Personen und Dienstleister müssen entweder bereits auf Grund ihrer dienstlichen Stellung der Amtsverschwiegenheit unterliegen oder sich vertraglich verpflichten, das Datengeheimnis zu wahren. Sie sind nachweislich über das Datengeheimnis und die Strafbarkeit seiner Verletzung zu belehren.

3. Gemäß § 78 Abs.1 Allgemeines Verwaltungsverfahrensgesetz 1991 (AVG), BGBl. Nr. 51/1991 idF BGBl. I Nr. 10/2004 iVm §§ 1 Abs.1, 2 Abs.1 und TP 2 Bundesverwaltungsabgabenverordnung 1983 (BVwAbgV), BGBl. Nr.24/1983 idF BGBl. II Nr.103/2005, hat das Land Oberösterreich an den Bund eine Verwaltungsabgabe in Höhe von 6,50 Euro zu entrichten. Diese Abgabe wird mit Erlassung (Zustellung) dieses Bescheids fällig.

B e g r ü n d u n g:

A) Antragstellung, Sachverhaltsfeststellung und Beweiswürdigung

Auf Grund des Antrags des Landes Oberösterreich vom 7. Dezember 2005, Aktenzeichen SO-070038/6-2005-Ro/Sin, der ergänzenden Stellungnahme vom 2. Jänner 2006, Aktenzeichen SO- 070038/8-2005-Ro/Sin (samt Beilagen), sowie dem Rechtsauskunftsersuchen des Bundesministeriums für soziale Sicherheit und Generation vom 27. September 2005 samt Antwort der Datenschutzkommission (GZ: K209.365/0002-DSK/2005) steht folgender Sachverhalt fest:

Im Jahr 2004 haben 52.676 Personen mit Wohnsitz im Land Oberösterreich Pflegegeld nach bundesgesetzlichen Bestimmungen (Bundespflegegeldgesetz – BPGG, BGBl. Nr.110/1993 idF BGBl. I Nr.136/2004) bezogen. Daten dieser Betroffenen werden gemäß den Bestimmungen des § 31 Abs.4 Z.3 lit.a ASVG von den Entscheidungsträgern gemäß § 22 Abs.1 BPGG im vom Hauptverband der österreichischen Sozialversicherungsträger betriebenen Informationsverbundsystem DB-SV verarbeitet (Betreiber (auch als Teilnehmer) registriert zu DVR: 0024279 im bei der Datenschutzkommission eingerichteten Datenverarbeitungsregister, Datenanwendung mit der laufenden Nr. 19).

Das Land Oberösterreich beabsichtigt, aus diesem Betroffenenkreis diejenigen Personen auszuwählen, die weder stationäre noch mobile institutionalisierte Unterstützung erhalten (ihre Zahl wird auf etwa 30.000 geschätzt) und unter diesen Betroffenen eine Befragung nach der konkreten Betreuungssituation durchzuführen, die den Zweck verfolgt, statistische Grundlagen für zukünftige sozialpolitische und sozialplanerische Entscheidungen im Sinne einer Bedarfserhebung für Zwecke der Sozialhilfe zu gewinnen. Der Hauptverband der österreichischen Sozialversicherungsträger macht in Übereinstimmung mit dem Bundesministerium für soziale Sicherheit, Generationen und Konsumententenschutz jede Datenübermittlung von einer Genehmigung der Datenschutzkommission nach § 47 DSG 2000 abhängig.

Beweiswürdigung : Diese Feststellungen ergeben ich aus dem glaubwürdigen Vorbringen des Antragstellers, den zitierten Akten der Datenschutzkommission sowie dem Stand des Datenverarbeitungsregisters.

B) rechtliche Beurteilung

1. anzuwendende Rechtsvorschriften :

§ 47 DSG 2000 lautet unter der Überschrift „Zurverfügungstellung von Adressen zur Benachrichtigung und Befragung von Betroffenen“:

„ § 47 (1) Soweit gesetzlich nicht ausdrücklich anderes bestimmt ist, bedarf die Übermittlung von Adreßdaten eines bestimmten Kreises von Betroffenen zum Zweck ihrer Benachrichtigung oder Befragung der Zustimmung der Betroffenen.

(2) Wenn allerdings angesichts der Auswahlkriterien für den Betroffenenkreis und des Gegenstands der Benachrichtigung oder Befragung eine Beeinträchtigung der Geheimhaltungsinteressen der Betroffenen unwahrscheinlich ist, bedarf es keiner Zustimmung, wenn

(3) Liegen die Voraussetzungen des Abs. 2 nicht vor und würde die Einholung der Zustimmung der Betroffenen gemäß Abs. 1 einen unverhältnismäßigen Aufwand erfordern, ist die Übermittlung der Adreßdaten mit Genehmigung der Datenschutzkommission gemäß Abs. 4 zulässig, falls die Übermittlung an Dritte

(4) Die Datenschutzkommission hat die Genehmigung zur Übermittlung zu erteilen, wenn der Antragsteller das Vorliegen der in Abs. 3 genannten Voraussetzungen glaubhaft macht und überwiegende schutzwürdige Geheimhaltungsinteressen der Betroffenen der Übermittlung nicht entgegenstehen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen knüpfen, soweit dies zur Wahrung der schutzwürdigen Interessen der Betroffenen, insbesondere bei der Verwendung sensibler Daten als Auswahlkriterium, notwendig ist.

(5) Die übermittelten Adreßdaten dürfen ausschließlich für den genehmigten Zweck verwendet werden und sind zu löschen, sobald sie für die Benachrichtigung oder Befragung nicht mehr benötigt werden.

(6) In jenen Fällen, in welchen es gemäß den vorstehenden Bestimmungen zulässig ist, Namen und Adresse von Personen, die einem bestimmten Betroffenenkreis angehören, zu übermitteln, dürfen auch die zum Zweck der Auswahl der zu übermittelnden Adreßdaten notwendigen Verarbeitungen vorgenommen werden.“

§ 31 Abs.4 Z.3 lit.a ASVG lautet:

„(4) Zu den zentralen Dienstleistungen im Sinne des Abs. 2 Z 2 gehören:

[...]

3. a) die Errichtung und Führung einer zentralen Anlage zur Aufbewahrung und Verarbeitung der für die Versicherung bzw. den Leistungsbezug und das Pflegegeld bedeutsamen Daten aller nach den Vorschriften dieses oder eines anderen

Bundesgesetzes versicherten Personen sowie Leistungsbezieher einschließlich der Leistungsbezieher nach den Landespflegegeldgesetzen;“

Gemäß § 22 Abs.1 Z.1 bis 9 BPGG sind zur „Entscheidung in Angelegenheiten nach diesem Bundesgesetz“ eine Reihe von Sozialversicherungsträgern, sonstige Bundesbehörden sowie die ÖBB-Dienstleistungs Ges.m.b.H. (als beliehener Rechtsträger) zuständig.

2. rechtliche Schlussfolgerungen für dieses Verfahren :

a) Das Land Oberösterreich als Antragsteller hat glaubwürdig dargestellt, die beantragten Adressdaten der Pflegegeldempfänger aus einem wichtigen öffentlichen Befragungsinteresse (§ 47 Abs.3 Z.2 DSG 2000) zu benötigen. Da die gesetzgeberische Verantwortung für Maßnahmen der Sozialhilfe beim Land liegt, werden statistische Grundlagen benötigt, um die zukünftige Gestaltung von Betreuungsdiensten und Pflegeeinrichtungen, einschließlich der notwendigen Aufbringung finanzieller Mittel, mit der gebotenen Zuverlässigkeit planen zu können. Diese entspricht auch dem gesetzlichen Auftrag aus § 54 des OÖ Sozialhilfegesetzes. Insoweit bietet auch § 47 Abs. 3 Z 3 DSG 2000 eine taugliche Rechtsgrundlage (Befragung für statistische Zwecke).

b) Der Hauptverband der österreichischen Sozialversicherungsträger ist durch 33 Abs.2 BPGG zwar gesetzlich dazu berufen, statistische Daten („Statistik der Pflegevorsorge“) über die nach dem BPGG gewährten (Geld )Leistungen (einschließlich der Pflegegeldstufe und der Art der Behinderung [§ 33 Abs.2 Z.5 und 6 BPGG]) zu ermitteln, doch ermöglichen die auf Grundlage dieser Bestimmung kompilierten Daten keine Abschätzung des tatsächlichen gegenwärtigen oder zukünftigen Bedarfs an Sachleistungen zur Unterstützung pflegebedürftiger Menschen. Dem Land Oberösterreich ist darin beizupflichten, dass es zur Erhebung solcher Daten wohl einer genaueren Befragung der Betroffenen (eventuell auch der zur Pflege der Betroffenen berufenen Personen) bedarf. Zumutbare Alternativen zur geplanten Datenverwendung bestehen daher nicht, die Datenverwendung ist für den angestrebten Zweck notwendig.

c) Daten betreffend den Bezug vom Pflegegeld sind Gesundheitsdaten, da sie die Angabe beinhalten, dass der Betroffene auf Grund einer körperlichen, geistigen oder psychischen Behinderung oder einer Sinnesbehinderung der ständigen Betreuung und Hilfe bedarf (vergleiche die Anspruchsvoraussetzungen gemäß § 4 Abs.1 BPGG). Es handelt sich um hochsensible Daten. Der Eingriff in schutzwürdige Geheimhaltungsinteressen ist daher nur unter den Voraussetzungen gemäß § 9 DSG 2000 zulässig.

d) Eine unmittelbar anwendbare gesetzliche Ermächtigung zur Übermittlung der Daten an das Land Oberösterreich besteht nicht (vgl. die in der Meldung des Informationsverbundsystems SV-DB hinsichtlich der Datenart „Pflegegeldbezug“ angeführten Empfängerkreise und Rechtsgrundlagen). § 9 Z.3 DSG 2000 kann daher nicht zur Anwendung kommen. § 33 Abs.2 BPGG sowie auch § 67 Abs. 4 des OÖ Sozialhilfegesetzes ermächtigen nur zum Datenaustausch im Einzelfall, etwa für Zwecke der „Feststellung der Gebührlichkeit und Höhe des Pflegegeldes“, nicht aber für planerische Zwecke im weiteren Sinne.

e) Überhaupt sind jene Körperschaften und Staatsorgane, die gemäß § 22 Abs.1 BPGG zur Entscheidung in Fragen des (Bundes )Pflegegelds berufen sind, als Auftraggeber im Sinne von § 4 Z.4 DSG 2000 für die zu übermittelnden Daten verantwortlich. Daher ist es auch nicht möglich, eine Ermächtigung zur Datenübermittlung vom Hauptverband der österreichischen Sozialversicherungsträger an das Land Oberösterreich auszusprechen, sondern kann nur die Übermittlung an das Land Oberösterreich genehmigt (im Sinne von: „für zulässig erklärt“) werden, wobei die tatsächliche Erlaubtheit des Übermittlungsvorgangs unter dem Vorbehalt der Zustimmung des jeweils verantwortlichen Auftraggebers bleiben muss.

f) Die Einholung einer Zustimmung der Betroffenen im Sinne von § 47 Abs.2 Z.2 lit.b DSG 2000 wäre zwar möglich (die entsprechenden Adressdaten liegen in anzunehmend aktueller Form dem Betreiber und den Auftraggebern des Informationsverbundsystems SV-DB vor), würde aber angesichts der Zahl der Betroffenen (wie festgestellt, sind dies etwa 58.000 Personen) großen Aufwand erfordern. Fügt man hinzu, dass nicht alle Betroffenen, die aus der SV DB ausgewählt werden können, befragt werden sollen sondern nur diejenigen, die keine Sachleistungen nach dem OÖ SHG erhalten (ein zweiter Auswahlschritt gemäß § 47 Abs.6 DSG 2000, der erst beim Datenempfänger erfolgen kann), und setzt man dies in Relation (arg „... einen unverhältnismäßigen Aufwand erfordern“) zur Gefährdung schutzwürdiger Geheimhaltungsinteressen der Betroffenen durch den einen mit Auflagen gesicherten Vorgang einer Befragung, so ergibt sich, dass die Genehmigung der Zurverfügungstellung der Adressdaten gemäß § 47 Abs.3 Z.2 DSG 2000 zulässig ist.

3. zu den erteilten Auflagen:

a) Die Auflagen a. und b. dienen der Zweckbindung und der Sicherung der Verfügungsgewalt der Auftraggeber über die Daten.

b) Die Auflage c. dient gemäß § 14 Abs.1 letzter Halbsatz DSG 2000 der Sicherstellung der angemessenen Datensicherheit angesichts der Sensibilität der verwendeten Daten. Die Verwendung eines Verschlüsselungsprogramms während des Transfers der Daten an einen anderen Auftraggeber stellt den Stand der Technik dar und ist wirtschaftlich vertretbar, da solche Programme heute bereits in gängiger Software wie Webbrowsern standardmäßig integriert sind. Die Datenschutzkommission stellt es den Beteiligten dabei frei, die Daten über ein geschlossenes oder öffentliches Kommunikationsnetz zu übertragen oder durch Austausch von Datenträgern zu übermitteln, solange sichergestellt ist, dass die Daten dabei nicht Unbefugten zugänglich gemacht werden.

c) Die Auflagen d. bis f. dienen einerseits der Sicherstellung der in § 24 DSG 2000 festgelegten Informationspflichten. Insbesondere war dabei zu berücksichtigen, dass die Befragung zwar von einer Gebietskörperschaft – somit einer im weitesten Sinne „amtlichen Stelle“ – ausgehen soll, dennoch aber keine Pflicht zur Teilnahme besteht. Weiters war zu bedenken, dass gerade pflegebedürftige Menschen, die öffentliche Unterstützung beziehen, in hohem Maße abhängig und dadurch beeinflussbar sind. Gemäß § 24 Abs.2 Z.2 DSG 2000 muss in solchen Fällen zur Sicherstellung der Datenverwendung nach Treu und Glauben der Betroffene so informiert werden, dass er keine Zweifel über das Bestehen oder Nichtbestehen einer Pflicht zur Bekanntgabe seiner Daten hat. Weiters war klarzustellen, dass der Datenempfänger kein Recht hat, die Teilnahme an der Befragung zu überprüfen und Daten darüber zu verarbeiten, um gar nicht erst den Verdacht aufkommen zu lassen, dass Kooperation oder Nicht-Kooperation in irgend einer Weise belohnt oder sanktioniert werden könnte. Und nicht zuletzt war sicherzustellen, dass bei Heranziehung von Hilfskräften diesen kein vollständiges Verzeichnis der nach bestimmten Kriterien ausgewählten Betroffenen zur Verfügung gestellt wird.

d) Die Auflage g. dient der Klarstellung, dass die zur wissenschaftlichen Auswertung der Befragung notwendigen statistischen Rahmendaten Verwendung finden dürfen, jeder Personenbezug jedoch zu beseitigen ist.

e) Die Auflage h. stellt eine Konkretisierung der Vorschriften über die Wahrung des Datengeheimnisses (§ 15 DSG 2000) dar.

C) Gebühren und Verwaltungsabgabe

Die Aufforderung zur Gebührenentrichtung nach dem GebG konnte wegen der Gebührenbefreiung des Landes Oberösterreich gemäß § 2 Z.2 GebG entfallen, da die Datenermittlung für Zwecke der Sozialhilfe in den öffentlich-rechtlichen Wirkungskreis dieser Gebietskörperschaft fällt. Eine Verwaltungsabgabe in festgesetzter Höhe war dennoch vorzuschreiben, da die Befreiung gemäß § 78 Abs.1 2. Satz AVG enger gefasst ist und die erteilte Genehmigung keine „ unmittelbare Voraussetzung der dem Rechtsträger obliegenden Vollziehung der Gesetze bildet“ (Unterstreichung durch die Datenschutzkommission). Die Höhe der zu entrichtenden Verwaltungsabgabe bemisst sich nach Tarifpost 2 der BVwAbgV.

Es war daher spruchgemäß zu entscheiden.