K202.062/0006-DSK/2008 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. SOUHRADA-KIRCHMAYER, Dr. BLAHA, Dr. ROSENMAYR-KLEMENZ, Mag. ZIMMER und Dr. STAUDIGL sowie der Schriftführerin Mag. FRITZ in ihrer Sitzung vom 25. April 2008 folgenden Beschluss gefasst:

S p r u c h

Über den Antrag des Bundesministeriums für Wissenschaft und Forschung, Abteilung I/9b (Antragsteller) vom 8. Februar 2008 auf Genehmigung der Übermittlung von Adressen ehemaliger Studierender an öffentlichen Universitäten, welche die Universität ohne Erreichung eines Studienabschlusses verlassen haben, für eine Befragung hinsichtlich der Gründe für den Studienabbruch wird gemäß § 47 Abs. 3 und 4 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idgF, entschieden:

I. Dem Antrag wird Folge gegeben und die Genehmigung zur Übermittlung der Adressdaten erteilt.

II. Die Genehmigung wird unter folgenden Auflagen erteilt:

1. Die Adressdaten werden dem Antragsteller selbst nicht übermittelt, sondern nur dem die Befragung durchführenden Forschungsinstitut als Dienstleister.

2. Beim Dienstleister (Forschungsinstitut) darf der Zugriff auf die Adressdaten zur Versendung nur durch MitarbeiterInnen (§ 15 Abs. 1 DSG 2000) erfolgen, sofern diese nachweislich über das Datengeheimnis nach § 15 DSG 2000 belehrt wurden.

3. Der Zugang zu den von der Genehmigung umfassten Daten ist sowohl beim Antragsteller selbst als auch bei seinem Dienstleister in geeigneter Weise entsprechend § 14 Abs 2 Z 4 und 5 DSG 2000 durch namentliche Anmeldung des Benutzers und Vergabe eines Passwortes zu sichern.

4. Bei der ersten Kontaktaufnahme (zur Befragung) mit den von der Datenübermittlung betroffenen Personen, deren Adressen nach Pkt. I dem Antragsteller übermittelt werden dürfen, ist in verständlicher Form darzulegen, auf welche Art und Weise der Antragsteller zum Namen und der Adresse gelangt ist. Überdies ist in geeigneter Weise darzulegen, warum die Befragung auf andere Weise (etwa durch die Universitäten selbst) nicht möglich war. Der Betroffene ist weiters darüber aufzuklären, dass die Teilnahme an der Befragung vollkommen freiwillig ist und seine Daten vernichtet werden, wenn er nicht innerhalb der dafür vorgesehenen Frist, die acht Wochen nicht übersteigen darf, seine Bereitschaft zur Teilnahme erklärt. Es ist den Betroffenen auch die Möglichkeit anzubieten, dass ihre Daten, falls sie dies wünschen, mit Zugang einer entsprechenden Erklärung sofort gelöscht werden. Schließlich sind die Betroffenen darauf aufmerksam zu machen, dass, falls sie bereit sind, an der Befragung teilzunehmen, der Personenbezug spätestens nach Kontrolle der Fragebögen beseitigt wird; außerdem werden die Daten sofort gelöscht, wenn sich ihre Teilnahme nicht als erforderlich erweist.

B e g r ü n d u n g

Der Antragsteller begehrt für Zwecke einer Befragung hinsichtlich der Gründe eines Studienabbruchs die Übermittlung von Adressen jener ehemaliger Studierender an öffentlichen Universitäten, welche die Universität ohne Erreichung eines Studienabschlusses verlassen haben.

Der folgende Sachverhalt wird festgestellt:

In Umsetzung des Regierungsprogramms für die 23. Gesetzgebungsperiode, welches im Abschnitt Wissenschaft ua. das Ziel einer Verringerung der Zahl der Studienabbrecher und in diesem Zusammenhang eine umfassende Erhebung über die Ursachen von Studienabbrüchen vorsieht, plant der Antragsteller eine telefonische Befragung von Personen, welche von Wintersemester 2005 bis einschließlich Sommersemester 2007 ein ordentliches Studium an einer öffentlichen Universität begonnen haben, jedoch im Studienjahr 2007/08 an keiner öffentlichen Universität mehr zur Fortsetzung eines Studiums gemeldet waren.

Die Eingrenzung des entsprechenden Personenkreises und die Auswahl der Fälle für die repräsentative Stichprobe sollen mittels der Gesamtevidenz der Studierenden erfolgen. Die Adressdaten sollen aus dem Datenverbund der Universitäten gezogen und dem mit der Durchführung der Befragung beauftragten Forschungsinstitut zur Verfügung gestellt werden. Dem Antragsteller gelangen Adressdaten nicht selbst zur Kenntnis, der Bericht über die Ergebnisse enthalte ausschließlich statistisch aggregierte Darstellungen und deren Interpretationen.

Der mit diesem Institut zu schließende Werkvertrag werde folgenden Punkt 2 der AGB enthalten:

„2. Verschwiegenheitspflichten und Datenschutz

Der/Die Auftragnehmer/in verpflichtet sich zur Einhaltung sämtlicher gesetzlicher Verschwiegenheitspflichten, insbesondere zur Geheimhaltung aller in Ausführung dieses Auftrages erlangten Kenntnisse, sofern ihn/sie der/die Auftraggeber/in nicht in einem bestimmten Fall schriftlich von dieser Verpflichtung entbindet. Überdies verpflichtet sich der/die Auftragnehmer/in bei sonstiger verschuldensunabhängiger Haftung für den Fall, dass er/sie sich zur Erbringung der Werkleistung anderer Personen bedient, diese Verschwiegenheitspflichten auch allen anderen von ihm/ihr zur Erbringung des Werkes herangezogenen Personen zu überbinden und nur solche Mitarbeiter/innen und Erfüllungsgehilfen/innen einzusetzen, die zur Geheimhaltung gemäß § 11 Abs. 1 Ziffer 2 des Datenschutzgesetzes 2000, BGBl. Nr. 165/1999, in der jeweils geltenden Fassung, ausdrücklich schriftlich verpflichtet wurden.“

Diese Bestimmung wäre von weiteren Datenschutzklauseln begleitet.

Die vorherige Einholung der Zustimmung der Betroffenen wäre mit der Kontaktierung eines wesentlich größeren Personenkreises verbunden, als aufgrund der Stichprobenberechnung benötigt werde, da das Adressmaterial der Universitäten an Aktualität verliere, und es müsste in dieser Phase, in nicht unerheblicher Aufwand für Meldeauskünfte getätigt werden.

Die Befragung entspräche einem wichtigen öffentlichen Befragungsinteresse, da Maßnahmen in der Steuerung der Universitäten mit dem Ziel eines geringeren Studienabbruches nur Erfolg versprechend gesetzt werden könnten, wenn sie auf verlässlichen Informationen über die Ursachen des Studienabbruches beruhen würden. Die Ergebnisse seien auch von wirtschaftlichem Interesse. Dem Geheimhaltungsinteresse der Studienabbrecherinnen und -abbrecher stünden überdies der bereits über die jeweilige Universität getätigte Ausbildungsaufwand des Bundes und die Tatsache gegenüber, dass mit Hilfe des Ergebnisses der Befragung ein Teil der Ursachen von Studienabbrüchen beseitigt werden könnten. Die Auskunftserteilung erfolge freiwillig und bliebe auch freiwillig, wenn der Betroffene der Weitergabe seiner Adresse für Zwecke der Befragung zuvor zugestimmt hätte. Die Annahme überwiegender schutzwürdiger Geheimhaltungsinteressen hätte nur zur Folge, dass der Bund einen deutlich höheren finanziellen Aufwand tätigen müsse, damit das beauftragte Institut den Betroffenenkreis gezielt ansprechen könne.

Beweiswürdigung: Diese Feststellungen beruhen auf dem Vorbringen im Antrag vom 8. Februar 2008, sowie auf der auf Grund des Verbesserungsauftrages der Datenschutzkommission abgegebenen Stellungnahme vom 18. März 2008.

In rechtlicher Hinsicht folgt daraus :

Gemäß § 4 Z 8 DSG 2000 bedeutet „Verwenden von Daten“ jede Art der Handhabung von Daten einer Datenanwendung, also sowohl das Verarbeiten (Z 9) einschließlich des Ermittelns, als auch das Übermitteln (Z 12) von Daten.

Für die Zurverfügungstellung von Adressen zur Benachrichtigung und Befragung von Betroffenen enthält das DSG 2000 in seinem § 47 eine Sondervorschrift. Diese lautet:

„ Zurverfügungstellung von Adressen zur Benachrichtigung und Befragung von Betroffenen

§ 47. (1) Soweit gesetzlich nicht ausdrücklich anderes bestimmt ist, bedarf die Übermittlung von Adreßdaten eines bestimmten Kreises von Betroffenen zum Zweck ihrer Benachrichtigung oder Befragung der Zustimmung der Betroffenen.

(2) Wenn allerdings angesichts der Auswahlkriterien für den Betroffenenkreis und des Gegenstands der Benachrichtigung oder Befragung eine Beeinträchtigung der Geheimhaltungsinteressen der Betroffenen unwahrscheinlich ist, bedarf es keiner Zustimmung, wenn

(3) Liegen die Voraussetzungen des Abs. 2 nicht vor und würde die Einholung der Zustimmung der Betroffenen gemäß Abs. 1 einen unverhältnismäßigen Aufwand erfordern, ist die Übermittlung der Adreßdaten mit Genehmigung der Datenschutzkommission gemäß Abs. 4 zulässig, falls die Übermittlung an Dritte

1. zum Zweck der Benachrichtigung oder Befragung aus einem wichtigen Interesse des Betroffenen selbst oder

2. aus einem wichtigen öffentlichen Benachrichtigungs- oder Befragungsinteresse oder

3. zur Befragung der Betroffenen für wissenschaftliche oder statistische Zwecke erfolgen soll.

(4) Die Datenschutzkommission hat die Genehmigung zur Übermittlung zu erteilen, wenn der Antragsteller das Vorliegen der in Abs. 3 genannten Voraussetzungen glaubhaft macht und überwiegende schutzwürdige Geheimhaltungsinteressen der Betroffenen der Übermittlung nicht entgegenstehen. Die Datenschutzkommission kann die Genehmigung an die Erfüllung von Bedingungen und Auflagen knüpfen, soweit dies zur Wahrung der schutzwürdigen Interessen der Betroffenen, insbesondere bei der Verwendung sensibler Daten als Auswahlkriterium, notwendig ist.

(5) Die übermittelten Adreßdaten dürfen ausschließlich für den genehmigten Zweck verwendet werden und sind zu löschen, sobald sie für die Benachrichtigung oder Befragung nicht mehr benötigt werden.

(6) In jenen Fällen, in welchen es gemäß den vorstehenden Bestimmungen zulässig ist, Namen und Adresse von Personen, die einem bestimmten Betroffenenkreis angehören, zu übermitteln, dürfen auch die zum Zweck der Auswahl der zu übermittelnden Adreßdaten notwendigen Verarbeitungen vorgenommen werden.“

Der Antragsteller beabsichtigt, für die Übermittlung der Adressdaten weder die Zustimmung der Betroffenen (§ 47 Abs. 1 DSG 2000) einzuholen noch die Betroffenen über Anlass und Inhalt der Übermittlung innerhalb angemessener Frist entsprechend zu informieren (§ 47 Abs. 3 DSG 2000). Daher ist die Übermittlung der Adressdaten von den Universitäten an den Antragsteller von einer Genehmigung der Datenschutzkommission abhängig (§ 47 Abs. 3 leg.cit.). Der Antrag ist daher zulässig.

Gemäß Abs. 4 leg.cit. hat die Datenschutzkommission die Genehmigung zu erteilen, wenn der Antragsteller das Vorliegen der in Abs. 3 genannten Voraussetzungen glaubhaft macht und überwiegende schutzwürdige Geheimhaltungsinteressen der Betroffenen der Übermittlung nicht entgegenstehen. Es müssen daher folgende Voraussetzungen für die Genehmigung vorliegen:

1. die Einholung der Zustimmung der Betroffenen würde einen unverhältnismäßigen Aufwand erfordern;

2. es liegt ein wichtiges Interesse des Betroffenen selbst oder ein wichtiges öffentlichen Benachrichtigungs- oder Befragungsinteresse vor oder die Befragung der Betroffenen erfolgt für wissenschaftliche oder statistische Zwecke; und

3. überwiegende schutzwürdige Geheimhaltungsinteressen der Betroffenen stehen der Übermittlung nicht entgegen.

Die Einholung der Zustimmung von diesem – unbekannten – Kreis der Betroffenen zur Adressübermittlung würde einen unverhältnismäßigen Aufwand erfordern und die Befragung erfolgt für wissenschaftliche Zwecke (§ 47 Abs. 3 Z 3 DSG 2000), sodass die ersten beiden Voraussetzungen gegeben sind.

Hinsichtlich der dritten Voraussetzung, dass überwiegende schutzwürdige Geheimhaltungsinteressen der Betroffenen der Übermittlung nicht entgegen stehen, ist folgendes auszuführen:

den Interessen des mit Bildungswesen beauftragten Antragstellers, aufgrund der Studie den Ausbildungsaufwand des Bundes zu senken und einen Teil der Ursachen von Studienabbrüchen zu beseitigen, stehen die Interessen der ehemaligen Studierenden entgegen, dass dem Antragsteller die Tatsache, dass sie von Wintersemester 2005 bis einschließlich Sommersemester 2007 ein ordentliches Studium an einer öffentlichen Universität begonnen haben, jedoch im Studienjahr 2007/08 an keiner öffentlichen Universität mehr zur Fortsetzung eines Studiums gemeldet waren (und damit die Ausbildung – aus welchem Grund immer – nicht beendet haben), nicht bekannt wird. Diese Interessenabwägung würde zu Lasten des ehemaligen Studierenden gehen, würde die Anfrage zur Befragung durch die Universitäten selbst erfolgen (da diesen das Faktum des „Studienabbruchs“ bereits bekannt ist). Da die Anfrage zur Befragung aber durch den Antragsteller (wenn auch durch einen Dienstleister) erfolgt, verschiebt sich die Interessenslage in Richtung des ehemaligen Studierenden. Es stünde nämlich auch das – aus datenschutzrechtlicher Sicht – gelindere Mittel der Anfrage zur Befragung durch die Universitäten selbst zur Verfügung, welches in die Interessenabwägung einzubeziehen ist. Vom Antragsteller wurde angeführt, dass eine „Beauftragung“ der Universitäten problematisch sei. Der Antragsteller hat überdies vorgebracht, dass ihm selbst die Daten der ehemaligen Studierenden nicht zur Kenntnis gelangen. Es besteht daher insofern kein Unterschied zur Variante, dass die Universitäten die Befragung selbst durchführen, als auch diese einen Dienstleister heranziehen könnten und würden. Damit ist aber die Anfrage zur Befragung in dieser Form verhältnismäßig, sodass auch die dritte Voraussetzung erfüllt ist. Es war aber eine entsprechende Auflage 1 zu erteilen, dass die Daten dem Antragsteller selbst nicht übermittelt werden.

Um sicherzustellen, dass den MitarbeiterInnen (im Sinn von § 15 Abs. 1 DSG 2000) des Dienstleisters ihre Pflicht zur Verschwiegenheit auch bewusst ist, war im Sinn von § 15 Abs. 3 DSG 2000 in der Auflage 2 der Nachweis einer Belehrung über das Datengeheimnis zu fordern. Um die Befragung in technischer Hinsicht abzusichern, ist die Auflage 3 geeignet und erforderlich. Entsprechend einer Ermessensübung im Sinne des DSG 2000 konkretisiert diese Auflage die Datensicherheitsmaßnahmen des § 14 Abs. 2 Z 5 und 6 DSG 2000 für den vorliegenden Fall und schreibt den Passwortschutz (anders als § 14 Abs. 2 DSG 2000, der dem Auftraggeber beim Einsatz der Datensicherheitsmaßnahmen einen Spielraum gewährt) verbindlich vor.

Die Auflage 4 soll für die Betroffenen den Datenfluss, der stattgefunden hat, transparent machen und ihnen so die Überprüfung der Rechtmäßigkeit des Vorgangs erleichtern. Dies entspricht auch dem Zweck des datenschutzrechtlichen Auskunftsrechts nach § 26 DSG 2000 und ist somit im Sinn des Gesetzes. Festzuhalten ist, dass es sich um andere als die von § 24 Abs. 1 DSG 2000 geforderten Informationen handelt, der ja nach § 24 Abs. 3 Z 3 leg. cit. im Fall der Datenermittlung nach den §§ 46 und 47 leg. cit. nicht zur Anwendung gelangt. Anders als nach § 24 Abs. 1 DSG 2000 sind die Informationen auch noch nicht anlässlich der Ermittlung sondern erst gleichzeitig mit der Kontaktaufnahme zu geben. Damit entstehen dafür keine besonderen Kosten, wovon § 24 Abs. 3 Z 3 leg. cit. seinem Wortlaut nach ausgeht.

Außerdem soll den Betroffenen klar sein, dass sie zur Beantwortung der an sie gerichteten Fragen – und damit zur Preisgabe weiterer personenbezogener Daten – nicht verpflichtet sind und der Personenbezug nur aufrecht erhalten wird, solange er für die Befragung erforderlich ist. Dies trägt gemeinsam mit der Möglichkeit, jederzeit eine Löschung der Daten verlangen zu können, dazu bei, die schutzwürdigen Interessen der Betroffenen zu wahren, wie von § 47 Abs. 4 DSG 2000 gefordert.

Auf die aus § 47 Abs. 5 DSG 2000 erfließenden Verpflichtungen, die Adressdaten zu löschen, sobald sie für die Studie nicht mehr erforderlich sind, wird abschließend ausdrücklich hingewiesen.

Es war daher spruchgemäß zu entscheiden.