K121.153/0006-DSK/2006 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KOTSCHY, Mag. HUTTERER, Mag. MAITZ-STRASSNIG, Dr. STAUDIGL und Mag. PREISS sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 7. September 2006 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde der Z in K (Beschwerdeführerin), vertreten durch die Rechtsanwälte T G in Ä, vom 18. April 2006 gegen den Landesschulrat für Oberösterreich in Linz (Beschwerdegegner) wegen Verletzung im Recht auf Geheimhaltung wird gemäß den §§ 1 Abs. 5 und 31 Abs. 2 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, entschieden:

Der Beschwerde wird teilweise Folge gegeben und festgestellt, das der Beschwerdegegner die Beschwerdeführerin durch die mit Schreiben vom 10. Februar 2006 erfolgte Ablehnung ihres Antrages vom 15. Dezember 2005, ihre Sozialversicherungsnummer aus den Datenanwendungen des Pädagogischen Instituts des Bundes in Oberösterreich (kurz PI) zu löschen, im Recht auf Löschung nach § 1 Abs. 3 Z 2 iVm § 6 Abs. 1 Z 2, 3 und § 27 Abs. 1 Z 2 DSG 2000, verletzt hat.

Das Mehrbegehren auf Anordnung der Löschung der Sozialversicherungsnummer wird gemäß § 40 Abs. 4 DSG 2000 zurückgewiesen.

B e g r ü n d u n g:

Der Beschwerdeführer behauptet eine Verletzung im Recht auf Löschung durch die im Spruch bezeichnete Ablehnung ihres Löschungsbegehrens vom 15. Dezember 2005 mit dem Schreiben des Beschwerdegegners vom 10. Februar 2006.

Der Beschwerdegegner bestreitet in seiner Stellungnahme vom 12. Mai 2006 die Verwendung der Sozialversicherungsnummer der Beschwerdeführerin im PI für Zwecke der Anmeldung zu Seminaren ebenso wenig wie die Ablehnung von deren Löschung. Er bringt jedoch vor, die Sozialversicherungsnummer sei für die eindeutige Identifizierung einer Person erforderlich. Der konkrete Verwendungsvorgang wird durch ein beigeschlossenes Schreiben des PI näher dargelegt.

Der folgende Sachverhalt wird festgestellt:

Die Beschwerdeführerin steht als AHS-Lehrerin in einem Dienstverhältnis zum Bund. Ihre Dienststelle ist das BORG C. Am 15. Dezember 2005 richtete sie sowohl an die Direktion ihrer Schule als auch an das PI den Antrag auf Löschung Ihrer Sozialversicherungsnummer aus Datenanwendungen des PI, wo diese als Identifikationsnummer für verschiedene Kursanmeldungen verwendet werde.

Mit Schreiben vom 10. Februar 2006 lehnte der Beschwerdegegner die begehrte Löschung ab. In der Datenbank des PI werde für alle Datensätze ein eindeutiger Schlüssel benötigt. Dabei erscheine es sinnvoll, einen bereits existierenden eindeutigen Schlüssel, eben die Sozialversicherungsnummer, als Anknüpfungspunkt zu verwenden. Eine Verwaltung von individuellen Passwörtern wäre aufwändiger gewesen und hätte das Prozedere für die Anmeldung verkompliziert. Der Zugang zur Seminaranmeldung mit Sozialversicherungsnummer und Schulnummer erscheine in der Kombination von Sicherheit und einfacher Bedienbarkeit ausreichend sicher, da doch ein Großteil der LehrerInnen die eigene Sozialversicherungsnummer kenne.

Beweiswürdigung : Diese Feststellungen beruhen auf dem unbestrittenen Beschwerdevorbringen.

Am PI ist die Sozialversicherungsnummer der Beschwerdeführerin im elektronischen Seminarverwaltungssystem „PISA“ gespeichert und wird dort zur Identifikation bei der Anmeldung zu Fortbildungsveranstaltungen benützt.

Beweiswürdigung: Diese Feststellungen beruhen auf der Stellungnahme des Beschwerdegegners vom 12. Mai 2006 bzw. dem beigeschlossenen Schreiben des PI.

In rechtlicher Hinsicht folgt daraus:

Zunächst ist anzumerken, dass der festgestellte Sachverhalt jenem, der dem angeschlossenen Bescheid der Datenschutzkommission vom 2. November 2004, GZ K120.941/0012- DSK/2004, zu Grunde liegt, in wesentlichen Punkten gleicht. Im Einzelnen ist im Hinblick auf den nunmehrigen Beschwerdefall hervorzuheben:

1. Keine Organqualität des PI, daher auch keine Auftraggeberfähigkeit; keine Anwendbarkeit des BildDokG

Mangels Errichtung der Pädagogischen Institute in außenwirksamer Form (durch Gesetz oder Verordnung) kann nicht von „Organen einer Gebietskörperschaft“ im Sinn von § 4 Z 4 DSG 2000 gesprochen werden. Das Handeln des PI ist vielmehr dem Landesschulrat für Oberösterreich als gemäß § 3 Abs. 1 Z 1 lit. b des Bundesschul-Aufsichtsgesetzes (SchAufsG), BGBl 240/1962 idF BGBl Nr. 321/1975, zuständiger Schulbehörde zuzurechnen. Daher ist auch dieser als Beschwerdegegner zu behandeln. Die Datenschutzkommission hat in ihrem Bescheid vom 11. März 2005, GZ K120.991/0006-DSK/2005, abrufbar im Rechtsinformationssystem des Bundes unter www.ris.bka.gv.at/dsk, zwar Schulleitern ausnahmsweise Organqualität zuerkannt, dies jedoch nur im Anwendungsbereich des Bildungsdokumentationsgesetzes, BGBl I Nr. 12/2002 idF BGB I Nr. 169/2002. Im zitierten Bescheid vom 2. November 2004 wurde jedoch ausführlich dargelegt, dass auf Grund der Bestimmung des § 4 Abs. 2 des Akademie-Studiengesetzes 1999 (A-StG), BGBl I Nr. 94/1999, in einem Dienstverhältnis zum Bund oder einem Land stehende Lehrer weder als Schüler noch als Studierende im Sinn des § 2 Abs. 1 Z 3 und 4 BildDokG gelten, sodass dieses Gesetz auf die Dokumentation von Daten über diese Personengruppe keine Anwendung findet.

2. Verletzung im Recht auf Löschung

Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 2 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Löschung unzulässigerweise verarbeiteter Daten.

§ 27 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 2 DSG 2000 („nach Maßgabe gesetzlicher Bestimmungen“) Anspruchsgrundlage für das individuelle Recht auf Löschung. Gemäß § 27 Abs. 1 Z 2 DSG 2000 hat der Auftraggeber auf begründeten Antrag des Betroffenen unrichtige oder entgegen den Bestimmungen dieses Bundesgesetzes verarbeitete Daten richtigzustellen oder zu löschen. Gemäß § 27 Abs. 4 leg. cit. ist innerhalb von acht Wochen nach Einlangen eines Antrags auf Richtigstellung oder Löschung dem Antrag zu entsprechen und dem Betroffenen davon Mitteilung zu machen oder schriftlich zu begründen, warum die verlangte Löschung oder Richtigstellung nicht vorgenommen wird.

Im vorzitierten Bescheid vom 2. November 2004 hat die Datenschutzkommission ausgeführt, dass § 31 Abs. 4 ASVG und auch § 159b B-KUVG den Zweck der Sozialversicherungsnummer klar vorgeben. Demnach darf diese nur zur Verwaltung personenbezogener Daten für Zwecke der Sozialversicherung bzw. des Arbeitsmarktservice verwendet werden. Eine Ausweitung dieser Zweckbestimmung bedürfte einer gesetzlichen Grundlage, die für den Bereich der Lehrerfortbildung am PI nicht zu erkennen ist. Sie ist insbesondere durch das BildDokG nicht gegeben, da dieses dafür, wie soeben unter 1. ausgeführt, gar nicht anwendbar ist.

Somit erfolgt die Verwendung der Sozialversicherungsnummer in der für Zwecke der Lehrerfortbildung am PI verwendeten Datenanwendung „PISA“ entgegen der gesetzlichen Zweckbestimmung und verstößt damit auch gegen den in § 6 Abs. 1 Z 2 und 3 DSG 2000 niedergelegten Zweckbindungsgrundsatz von Daten. Damit liegen die Voraussetzungen für eine Löschung nach § 27 Abs. 1 DSG 2000 vor. Dadurch, dass der Beschwerdegegner dem Löschungsersuchen der Beschwerdeführerin nicht entsprochen hat, hat er diese daher im Recht auf Löschung verletzt, was spruchgemäß festzustellen war.

3. kein Löschungsauftrag

Nach neuester Judikatur des Verwaltungsgerichtshofs (Erkenntnis vom 27. März 2006, Zl. 2004/06/0125) umfasst die Entscheidungsbefugnis der Datenschutzkommission in Beschwerdefällen wegen Verletzung des Löschungsrechts gemäß § 31 Abs.2 DSG 2000 nur die Feststellung aktueller Rechtsverletzungen, wobei die „Vollstreckung“ der Entscheidung ex lege gemäß § 40 Abs.4 DSG 2000 durch den Auftraggeber zu erfolgen habe. Die Datenschutzkommission sieht dadurch ihre neuere Spruchpraxis als bestätigt. Aus dem (§ 87 Abs. 2 VfGG, § 63 Abs. 1 VwGG und § 67c Abs. 3 AVG vergleichbaren) § 40 Abs. 4 DSG 2000 ergibt sich, dass gegenüber Auftraggebern des öffentlichen Bereichs eine Rechtsverletzung lediglich festzustellen ist. Aus dieser Feststellung resultiert sodann eine unmittelbare gesetzliche Verpflichtung zur Herstellung des der Rechtsanschauung der Datenschutzkommission entsprechenden Zustandes (Bescheid der Datenschutzkommission vom 22. April 2005, GZ: K121.010/0004-DSK/2005, veröffentlicht in der Entscheidungsdokumentation der Datenschutzkommission im RIS, http://www.ris.bka.gv.at/dsk/). Der Antrag, dem Beschwerdegegner den Auftrag zur Löschung der Daten zu erteilen, war daher spruchgemäß zurückzuweisen.