K121.933/0029-DSK/2013 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Pseudonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Mag. HEILEGGER, Dr. ROSENMAYR-KLEMENZ, Mag. HUTTERER, Dr. KÖNIG und Dr. GUNDACKER sowie des Schriftführers Dr. SCHMIDL in ihrer Sitzung vom 9. August 2013 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde der Mag. Juliane A*** (Beschwerdeführerin) aus P***stadt, vertreten durch Mag. Ü***, Mag. Ö***, Mag. Ä*** und Dr. W***, Rechtsanwälte in **** R***stadt (**** Rechtsanwälte), vom 22. November 2012 (präzisiert laut Schreiben vom 21. Dezember 2012) gegen 1. die Handelsakademie und Handelsschule J***dorf (Erstbeschwerdegegnerin) und 2. den Landesschulrat für Kärnten (Zweitbeschwerdegegner) wegen Verletzung im Recht Geheimhaltung eigener personenbezogener Daten in Folge auf dienstliche Weisung hin vollzogener Selbstregistrierung und Selbst-Verarbeitung personenbezogener Daten auf der Internet-Lernplattform „****Lern- Schulnetz“ (kurz: ***lernen.at) für Zwecke der Notengebung in den von der Beschwerdeführerin unterrichteten Schulklassen wird entschieden:

Rechtsgrundlagen : § 1 Abs. 1 und 2, § 4 Z 1, 4, 7, 8, 9 und 14, § 7 Abs. 1 und 2, § 8 Abs. 1 Z 4 und Abs. 3 Z 1, § 14 Abs. 2, 4 und 5, § 31 Abs. 2 und 7, § 31a Abs. 2 und § 40 Abs. 4 DSG 2000 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF, iVm § 18 des Schulunterrichtsgesetzes (SchUG), BGBl. Nr. 472/1986 idgF.

B e g r ü n d u n g:

A. Vorbringen der Parteien

1. Die vom Beginn des Verfahrens an durch Rechtsanwälte vertretene Beschwerdeführerin behauptet in ihrer vom 22. November 2012 datierenden, am 3. Dezember 2012 bei der Datenschutzkommission eingelangten und auf Aufforderung der Datenschutzkommission mit Schreiben vom 21. Dezember 2012 präzisierten Beschwerde eine Verletzung im Recht auf Geheimhaltung eigener Daten (sowie der Datenschutzrechte ihrer Schülerinnen und Schüler) dadurch, dass Direktor Mag. Alfred H***, der ihr vorgesetzte Schulleiter, vehement die Einführung und verpflichtende Teilnahme an der Internetanwendung/Lernplattform ***lernen.at im Unterricht an der Erstbeschwerdegegnerin betrieben habe. Sie selbst unterrichte dort die Fächer Deutsch und Englisch. Sie habe ihren Vorgesetzten mehrfach u.a. auf die datenschutzrechtliche Problematik des Systems hingewiesen. Im Zuge einer mittlerweile sehr intensiven dienstrechtlichen Auseinandersetzung zwischen ihr und ihrem Vorgesetzten und dem Zweitbeschwerdegegner als Schul- und Dienstbehörde sei sie durch schriftliche Weisung und anschließende Einleitung eines Disziplinarverfahrens wegen zunächst verweigerter Beachtung dieser Weisung schließlich gezwungen worden, sich selbst auf ***lernen.at zu registrieren, ihre Daten dort zu speichern sowie Daten zur Benotung der schulischen Leistungen ihrer minderjährigen Schülerinnen und Schüler auf ***lernen.at zu verarbeiten. Die Lernplattform ***lernen.at sei grundsätzlich für jeden Internetnutzer offen, der sich dort registrieren und auf diesem Weg etwa Namen, Daten zur Schule und teilweise auch Bilder und (E-Mail ) Adressen von Lehrern und Schülern verschaffen könne. Die Lernplattform ***lernen.at widerspreche einigen Regelungen und Vorgaben des DSG 2000 und sei möglicherweise auch im Sinne des § 51 DSG 2000 strafrechtlich relevant. Erschwerend komme hinzu, dass nicht bei allen Schülern und deren Eltern die Zustimmung zur Nutzung von ***lernen.at eingeholt worden sei. Es sei praktisch der Regelfall, dass Lehrer ohne Rücksprache mit den Schülern deren Daten auf ***lernen.at registrieren würden, dies überdies auch ohne Einholung der Zustimmung der Eltern, was bei Minderjährigen geboten sei. Weder die Erstbeschwerdegegnerin noch der Zweitbeschwerdegegner hätten ***lernen.at als Datenanwendung bei der Datenschutzkommission (Datenverarbeitungsregister - DVR) gemeldet. Für die Verwendung von ***lernen.at im Unterrichtsbetrieb und zur Notengebung fehle es an einer gesetzlichen Grundlage. Die Beschwerdeführerin könne auch nicht ausschließen, sich durch die inzwischen erfolgte Befolgung der Weisung zur Nutzung von ***lernen.at einer Verwaltungsübertretung strafbar gemacht zu haben. Die Beschwerdeführerin beantragte, die erfolgten Rechtsverletzungen, insbesondere des Rechts auf Geheimhaltung festzustellen.

2. Die Erstbeschwerdegegnerin (kurz auch: HAK-HAS J***dorf) brachte mit Stellungnahme vom 20. Februar 2013 vor, die Beschwerdeführerin verwende die Lernplattform ***lernen.at, wofür sie ihren Namen, die Schule, an der sie beschäftigt sei, und eine gültige E-Mail-Adresse habe eintragen müssen. Es sei nicht zutreffend, dass Lehrer, etwa auch die Beschwerdeführerin, Daten von Schülern auf ***lernen.at registriert hätten. Jeder Lehrer könne nur Noten für Schüler eigener Klassen eintragen, auf die Daten anderer Schüler habe er keinen Zugriff. Am 14. September 2011 habe die „Eröffnungskonferenz“ der Schule auf Vorschlag des Direktors und des „Schulqualitätsteams“ beschlossen, die Beurteilung den Schülerinnen und Schülern über ***lernen.at zugänglich zu machen. Auch der Schulgemeinschaftsausschuss (kurz auch: SGA) habe am 27. Juni 2012 einstimmig einen entsprechenden Beschluss gefasst. Zuletzt hätten die Lehrerinnen und Lehrer in einer Dienststellenversammlung am 6. Juli 2012 (bei einer Stimmenthaltung) die Eingabe der Noten auf ***lernen.at beschlossen. Die Lernplattform werde inzwischen an 1.170 Schulen in ganz Österreich für über 13.000 Kurse genutzt. Grundsätzlich könne sich jeder dort registrieren. Kurse anlegen und Schüler dort aufnehmen könne aber nur ein Lehrer, dem ein Schuladministrator die entsprechende Befugnis eingeräumt habe. Ein Kurs entspreche etwa einer Klasse und einem Schuljahr. Der Lehrer könne online Aufgaben stellen, den Schülern Unterrichtsmaterialien zukommen lassen und Noten geben. Jeder Lehrer sehe dabei nur die Daten seiner Schülerinnen und Schüler, jede Schülerin und jeder Schüler nur die sie bzw. ihn betreffenden Daten. Die Nutzung einer solchen Lernplattform gehöre an einer modernen Schule zum Standard. Die durch ***lernen.at ermöglichte Transparenz der Notengebung gehöre überdies zu den im Rahmen des Qualitätsmanagements an berufsbildenden Schulen vorgegebenen Zielen.

3. Der Zweitbeschwerdegegner brachte in seiner Stellungnahme vom 25. Februar 2013 vor, die Nutzung der Lernplattform ***lernen.at erfolge auf Grund einer Empfehlung des Bundesministeriums für Unterricht, Kunst und Kultur (kurz auch: BMUKK). Diese habe den Bundesschulen die Nutzung freigestellt, wobei diese Freiwilligkeit aber nicht den Schülerinnen und Schülern eingeräumt sei. Jede Bundesschule könne für sich selbst entscheiden, ob man dieses System einführen wolle. Es habe dazu weder seitens des BMUKK, noch seitens des Zweitbeschwerdegegners einen Auftrag gegeben. An der HAK-HAS J***dorf habe man durch verschiedene Beschlüsse das Schuljahr 2011/2012 als Versuchs- bzw. Einführungsjahr festgelegt. Im SGA, der dies einstimmig beschlossen habe, seien Eltern-, Lehrer- und Schülervertreter zugegen gewesen. Am 28. Juni 2012 hätte die Schulkonferenz für die Eintragung der Noten auf ***lernen.at gestimmt, wobei drei Lehrerinnen und Lehrer, darunter die Beschwerdeführerin, abwesend gewesen seien, drei hätten sich der Stimme enthalten. Am 6. Juli 2012 hätten sich anlässlich einer Dienststellenversammlung alle Anwesenden in einer geheimen Abstimmung für die Eingabe der Noten auf ***lernen.at ausgesprochen. Seitens des BMUKK habe es zu keiner Zeit Bedenken gegenüber dieser Lernplattform gegeben. Nur die Beschwerdeführerin habe sich beharrlich geweigert, entsprechende Weisungen zu befolgen, worauf gegen sie ein Disziplinarverfahren eingeleitet worden sei. Derzeit verwende die Beschwerdeführerin aber ***lernen.at. Im System sehe jeder Lehrer nur die Daten der Schülerinnen und Schüler im von ihm unterrichteten Gegenstand, jede Schülerin und jeder Schüler nur die eigenen Daten. Die Nutzung einer solchen Lernplattform gehöre im Rahmen des Qualitätsmanagements an einer modernen Schule zum Standard. Zu technischen Fragen der Zugänglichkeit des Systems könne sich der Zweitbeschwerdegegner nicht äußern und verweise diesbezüglich auf das BMUKK.

4. Das BMUKK brachte auf Ersuchen der Datenschutzkommission mit Schreiben vom 9. März 2013 vor, der Zweitbeschwerdegegner beziehe sich betreffend Empfehlung zur Nutzung von Lernplattformen vermutlich auf den Grundsatzerlass „Digitale Kompetenz an Österreichs Schulen“ aus dem Jahr 2010, Zl. 36.200/43-ITuGM/2010. Dieser (Kopie vorgelegt) befasse sich aber mit Lernplattformen und anderen elektronischen Werkzeugen allgemein und spreche keine Empfehlung für eine bestimmte Lernplattform aus. Weder die Direktion einer Schule noch Organe der Schuldemokratie wie der SGA oder das Schulforum seien berechtigt, die Nutzung einer Lernplattform für Lehrende und Schülerinnen bzw. Schüler verbindlich vorzuschreiben. Mit Rechtsfolgen verbundene Eintragungen wie Noten oder Zeugnisklauseln seien „nach Möglichkeit“ in anderer Form (mit höherer Datensicherheit) zu organisieren. Die Eintragung von Noten auf einer Internet-Lernplattform (mit Software etwa auf Basis von PHP) erscheine auch dem IT-Clusterleiter des BMUKK „vom sicherheitstechnischen Standpunkt nicht ausgegoren.“

5. Am 4. März 2013 gab der Zweitbeschwerdegegner noch eine ergänzende Stellungnahme ab, in der Mag. Ulrich I***, zuständig für die technische Betreuung der Lernplattform ***lernen.at, einige technische Aspekte der Datensicherheit erläuterte. So könne jede Userin und jeder User selbst einstellen, ob die eigene E-Mail-Adresse für andere User sichtbar und ob die Online-Sichtbarkeit für andere User eingeschaltet sein soll. Die Angabe einer eigenen Web-Adresse (URL, etwa einer persönlichen Homepage) sowie das Hochladen eines Bildes erfolge freiwillig. Ausgeschlossen sei ein Zugriff auf Noten für andere User als den jeweiligen Lehrer, der die Noten eingetragen habe.

6. Die Beschwerdeführerin gab zu den Stellungnahmen der Erstbeschwerdegegnerin (vom 20. Februar 2013) und des Zweitbeschwerdegegners (vom 25. Februar 2013) am 18. März 2013 folgende schriftliche Replik: Die Erstbeschwerdegegnerin befasse sich nicht mit der Frage, dass ***lernen.at Eingriffe in die Privatsphäre der Schüler möglich mache, für die eine Zustimmung erforderlich wäre. Der Zweitbeschwerdegegner gestehe zu, dass die Teilnahme an der Lernplattform ***lernen.at nicht auf einem gesetzlichen Auftrag sondern auf Freiwilligkeit beruhe. Eine „Genehmigung“ von ***lernen.at durch das BMUKK lasse sich aus dem Vorbringen nicht ableiten, das BMUKK habe ***lernen.at nach ihrem Kenntnisstand auch gar nicht unter datenschutzrechtlichen Gesichtspunkten geprüft. Es möge zwar richtig sein, dass es Lehrern vorbehalten sei, Schüler in einen Kurs aufzunehmen, auf die Frage der möglichen missbräuchlichen Datenverwendung durch Dritte gehe die Stellungnahme wiederum nicht ein.

7. Nach allseitigem Parteiengehör zum Vorbringen des BMUKK und dem vorgelegten Erlass brachte die Erstbeschwerdegegnerin mit Stellungnahme vom 2. April 2013 vor, die laufende Eintragung von Noten auf der Lernplattform ***lernen.at diene lediglich der Information der Schülerinnen und Schüler (Notentransparenz, Entstehung der Note). Die Schularbeitsnoten, Mitarbeitsnoten und Semester bzw. Zeugnisnoten müssten aber nach wie vor händisch von der Lehrerin bzw. vom Lehrer spätestens 3 Tage vor der Notenkonferenz im Notenkatalog eingetragen werden und würden dann vom Administrator (zwecks Zeugnisdrucks) in die offizielle Schulverwaltungssoftware übertragen.

Schülerbezogene Daten wie Geburtsdatum, Adresse, Noten, Schullaufbahn etc. würden nur mit Hilfe dieser Software in der Schule gespeichert.

8. Die Beschwerdeführerin brachte in einer Stellungnahme vom 18. März 2013 (unter Vorlage einer Reihe von Urkundenkopien und Ausdrucken aus ***lernen.at) vor, das BMUKK bestätige, dass weder die Schule noch die Schulbehörde berechtigt seien, die Nutzung der Lernplattform ***lernen.at verpflichtend vorzuschreiben und mit Rechtsfolgen verbundene Akte wie die Notengebung darauf vorzunehmen. Es bestätige auch die von ihr geäußerten Datensicherheitsbedenken. Auch der vorgelegte Erlass des BMUKK sehe vor, dass dem Datenschutz größeres Augenmerk geschenkt und etwa Einverständniserklärungen der Schüler eingeholt würden. Derzeit sei es so, dass nur Schüler, die sich auf ***lernen.at registriert hätten, Zugang zu den Benotungen erhielten. Aber jeder registrierte User von ***lernen.at könne etwa den Online-Status von Benutzern sehen. Es fehlten Identitätsverifizierungen und Zutrittsbeschränkungen auf den Kreis der Lehrer und Schüler. Beide Beschwerdegegner seien Auftraggeber von ***lernen.at, der Betreiber der Lernplattform sei als Dienstleister anzusehen. Den Auftraggebern fehle es aber an der gesetzlichen Zuständigkeit. Bei Annahme einer datenschutzrechtlichen Zustimmungserklärung als Grundlage, die nicht als stillschweigend erteilt angenommen werden könne, bedürfte es zusätzlich bei Minderjährigen einer Zustimmung der Eltern. Die Informationspflichten gemäß § 24 DSG 2000 seien ebenfalls nicht beachtet worden. Als Betroffene und durch die Auftraggeber zur rechtswidrigen Datenverwendung verpflichtete gehe sie davon aus, dass die Weiterführung der Datenanwendung gemäß § 30 Abs. 6a DSG 2000 zu untersagen sei. Die Beschwerdeführerin beantragte daher, über die aufrecht erhaltenen bisherigen Anträge in der Beschwerde hinaus, die Erlassung eines Untersagungsbescheides gemäß § 57 Abs. 1 AVG.

9. Der Zweitbeschwerdegegner brachte in einer Stellungnahme vom 10. April 2013 vor, das SchUG sehe Informationsrechte der Schülerinnen, Schüler und Erziehungsberechtigten vor. Zur Vollziehung dieser Bestimmungen trage ***lernen.at bei. Sämtliche Noten sowie sensible Daten der Schülerinnen und Schüler würden weiterhin mit Hilfe der Schulverwaltungssoftware erfasst. Die durch ***lernen.at mögliche Transparenz sei der ausdrückliche und durch einen einstimmigen SGA-Beschluss dokumentierte Wunsch der Beteiligten. Entgegen der Ansicht des BMUKK sei der Zweitbeschwerdegegner als Schulbehörde auch der Meinung, die Freiwilligkeit der Nutzung von ***lernen.at gelte nur für einen Schulstandort, nicht jedoch für Mitglieder einer Schule, die sich unter Beachtung der Schuldemokratie zu Verwendung der Lernplattform entschlossen habe. In einem solchen Fall seien die Lehrerinnen und Lehrer verpflichtet, die Lernplattform bestimmungsgemäß zu verwenden. Da auf der Lernplattform ***lernen.at keine sensiblen Daten eingetragen würden, könnten datenschutzrechtliche Bedenken nicht geteilt werden.

10. Die Datenschutzkommission führte weitere Ermittlungen durch und nahm mit dem Betreiber der Lernplattform ***lernen.at (u.a. als Inhaber der entsprechenden WWW-Domain), der Wissen Verbreitung ***- Beratungs-Ges.m.b.H. aus M*** (auch kurz: W V***), Kontakt auf.

Die W V*** gab am 23. Mai 2013 folgende Stellungnahme ab: Sie betrachte sich als Technikdienstleister, wobei das BMUKK als Kunde ( „Dienstleistungsnehmer“ ) betrachtet werde. Es sei festzuhalten, dass auf ***lernen.at keine Zeugnisnoten geführt würden. Das System unterstütze die Lehrerin oder den Lehrer dabei, den Unterricht zu dokumentieren und die laufende Leistungsbeurteilung transparent zu machen. Eine automatisierte Überführung der Beurteilung in die endgültige Zeugnisnote und damit ins Schulverwaltungssystem sei weder umgesetzt noch vorgesehen. Das System sei von Lehrern für Lehrer konzipiert worden. Es arbeite ohne Schnittstelle zu den Schulverwaltungssystemen. Jede Lehrerin und jeder Lehrer agiere autonom bei der Anlegung von Kursen und der Aufnahme von Schülerinnen und Schülern. Es gäbe keine im System angelegten Rollen für die Schulleitung oder die behördliche Schulaufsicht, etwa in Form einer Einsicht in die Kursaktivitäten der Lehrer, außer der Möglichkeit, die Lernplattform zur Informationsverbreitung zu nutzen. Die W V*** verwies weiters auf die online abrufbaren Handbücher zur Benutzung von ***lernen.at und erklärte die Bereitschaft, der Datenschutzkommission eine Online-Einschaunahme (in das Userprofil der Beschwerdeführerin sowie in die von ihr angelegten Kurse) mit Administratorrechten zu ermöglichen (einige Ausdrucke bzw. Screenshots dazu wurden mit der Stellungnahme vorgelegt).

Die entsprechende Online-Einschaunahme der Datenschutzkommission fand am 28. Mai 2013 statt und wurde in einem Aktenvermerk, einem Ausdruck und 24 Screenshots („Bildschirmfotos“) dokumentiert (GZ: DSK-K121.933/0017- DSK/2013). Anschließend wurde den Parteien nochmals Gehör gewährt.

11. Die Beschwerdeführerin brachte in einer Stellungnahme vom 10. Juni 2013 dazu vor, sie bestreite insbesondere die Behauptung der W V***, es seien weder für den Schuldirektor, noch für die Schulaufsicht besondere Rollen in ***lernen.at definiert, und es gäbe daher für diese Stellen keinen Einblick in die Kursaktivitäten der Lehrerinnen und Lehrer einer Schule. Ihr seien zwei Kolleginnen bekannt, die als vom Direktor nominierte „***lernen.at-Beauftragte“ Zugang zu den Benotungen hätten. Ursprünglich habe der Direktor selber die entsprechende Rolle übernehmen wollen, was aber anlässlich eines Einführungsseminars von Seiten der W V*** abgelehnt worden sei. Aufgrund der Tatsache, dass der Direktor der HAK-HAS J***dorf über ihre Aktivitäten (bzw. zuerst Nicht-Aktivitäten) auf ***lernen.at stets gut informiert gewesen sei, vermute sie sogar, dass er ihre Online-Aktivitäten überwacht und selbst Zugang zu den Benotungen habe. Weiters hätten noch fünf (namentlich genannte und als Zeuginnen und Zeugen namhaft gemachte) Kolleginnen und Kollegen Zugang zu den Benotungen. Dies ergäbe sich u.a. daraus, dass einer davon für eine abwesende Kollegin Noten aus ***lernen.at ermittelt ( „abgeschrieben“ ) und in den offiziellen Notenkatalog übertragen habe, da sonst wegen Abwesenheit der verantwortlichen Lehrerin gar keine Zeugnisse ausgestellt hätten werden können.

12. Die Erstbeschwerdegegnerin brachte in ihrer Stellungnahme vom 3. Juni 2013 vor, es habe keinerlei Weisung gegeben, Bilder der Userinnen und User auf ***lernen.at hochzuladen; dies sei eine rein freiwillige Option. Auch habe es keine Weisung gegeben, den Kalender auf ***lernen.at zur Dokumentation der eigenen und der Klassen-Termine oder sogar der Anwesenheitszeit in der Schule zu verwenden. Der Direktor könne allerdings Termine für alle Schulangehörigen eintragen und so bekanntmachen. Der Stundenplan eines Lehrers sei überdies kein „Geheimdossier“ . Er sei in der Aula der Schule und im Konferenzzimmer ausgehängt, und jeder Besucher der Schule könne sich informieren, wer wann und wo unterrichte. Betreffend die Notengebung wurde vorgebracht, dass jeder Lehrer im Konferenzzimmer den vollständigen Notenkatalog einer Klasse einsehen könne. Auf ***lernen.at könne etwa der Englischlehrer nur die von ihm selbst eingetragenen detaillierten Englischnoten sehen, jede Schülerin und jeder Schüler die eigenen Noten, die ***lernen.at-Administratorinnen die Noten aller Schülerinnen und Schüler sowie die Klassenvorstände den aktuellen Stand in den einzelnen Fächern der Klasse.

13. Der Zweitbeschwerdegegner führte in seiner Stellungnahme vom 12. Juni 2013 aus, er schließe sich den Ausführungen der W V*** an und unterstreiche diese. Das System diene der Transparenz, führe nicht die Zeugnisnoten an und sei von Lehrerinnen und Lehrern konzipiert worden. Einblicke von außen in die Kursaktivitäten seien nicht möglich. Bestimmte Daten, wie etwa das Geburtsdatum oder ein Bild, müssten auch nicht gespeichert werden, es gebe dazu keine ausdrückliche Verpflichtung. Überhaupt müssten auf ***lernen.at „keine personenbezogenen oder sonstigen sensiblen Daten eingetragen werden, welche vom Datenschutz umfasst sind.“ Die Verwendung von ***lernen.at sei überdies, wie bereits ausgeführt, ausdrücklicher Wunsch der Schülerinnen, Schüler und Eltern.

14. Nach weiteren amtswegigen Ermittlungen der Datenschutzkommission wurde nochmals allseitiges Parteiengehör zur Tatsache gegeben, dass Name, Foto, dienstliche E-Mail-Adresse und Unterrichtsfächer der Beschwerdeführerin auf der Homepage der Erstbeschwerdegegnerin in einer Liste der dort tätigen Lehrer öffentlich abrufbar sind.

15. Die Beschwerdeführerin brachte dazu in ihrer Stellungnahme vom 15. Juli 2013 vor, diese Daten seien ohne ihre Zustimmung veröffentlich worden. Das entsprechende Lichtbild sei von Direktor Mag. H*** unter Hinweis auf die Pflichten aller Lehrer der Schule gegen den Willen der Beschwerdeführerin im Zuge einer Lehrerkonferenz (genaues Kalenderdatum nicht mehr bekannt) angefertigt worden. Dies und die Veröffentlichung auf der Schul-Homepage stellten erzwungene Maßnahmen durch den Vorgesetzten der Beschwerdeführerin dar.

16. Die Erstbeschwerdegegnerin brachte in der Stellungnahme vom 5. Juli 2013 vor, die neue Homepage der Schule sei seit April 2010 online. Auch davor (ca. 5-7 Jahre zurück) habe es schon eine Schul-Homepage mit den angeführten Daten gegeben, die daher öffentlich zugänglich seien. Bisher habe niemand aus dem Betroffenenkreis (alle Lehrerinnen und Lehrer, Sekretärin, Schulwart und Schulärztin) deswegen Einspruch erhoben. Die angegebene E-Mail-Adresse sei die offizielle, dienstliche E-Mail-Adresse der Beschwerdeführerin. Deren Veröffentlichung diene der leichten digitalen Erreichbarkeit der Lehrer. Private E-Mail-Adressen würden auf der Homepage nicht veröffentlicht.

17. Der Zweitbeschwerdegegner (Landesschulrat für Kärnten) hat keine weitere Stellungnahme abgegeben.

B. Beschwerdegegenstand

Auf Grund des Vorbringens der Beschwerdeführerin ergibt sich, dass Beschwerdegegenstand die Frage ist, ob die Beschwerdeführerin dadurch, dass einer oder beide Beschwerdegegner sie betreffende Daten mit Hilfe der Lernplattform ***lernen.at verarbeiten, in ihrem Grundrecht auf Datenschutz verletzt worden ist.

C. Sachverhaltsfeststellungen

Ausgehend vom Beschwerdegegenstand wird der folgende Sachverhalt festgestellt:

Die Wissen Verbreitung ***-Beratungs-Ges.m.b.H. aus M*** betreibt (durch Erwerb einer Generalnutzungslizenz für alle Bundesschulen und Pädagogische Hochschulen Österreichs finanziert durch das BMUKK) als technischer Dienstleister, gemeinsam mit drei weiteren beteiligten Organisationen („Projektträger“), darunter das BMUKK, unter der Domain http://www.***lernen.at und der Bezeichnung “****Lern- Schulnetz” eine Lernplattform im Internet, die besonders auf die Bedürfnisse des Schulbetriebs zugeschnitten worden ist. Das System ermöglicht es u.a. Lehrern (an mittleren und höheren Schulen), ihren Unterricht in Form von Online-Kursen klassenweise zu begleiten, Lernmaterialien (z.B. Hausübungen) zu verteilen und detaillierte Aufzeichnungen über Schularbeits-, Mitarbeits- und Gesamtnoten sowie eine Notenstatistik (für ganze Kurse/Klassen) zu führen. Weiters können über eine Kalenderfunktion private und öffentliche Kalender geführt und Termine bekanntgegeben werden.

Die Datenübertragung zwischen den einzelnen Userinnen und Usern (Lehrer, Schüler und Systemadministratoren) von ***lernen.at und den eingesetzten Datenverarbeitungsgeräten (PCs und Servern) erfolgt über öffentlich zugängliche Netze mit Hilfe des verschlüsselten Übertragungsprotokolls https (Hypertext Transmission Protocol Secure).

Zur Registrierung als User genügt die Angabe eines frei wählbaren Usernamens und einer E-Mail-Adresse. Dies ermöglicht die Anlage eines Userprofils, das grundsätzlich allgemein zugänglich ist, dessen Sichtbarkeit (Online-Status, Lesbarkeit der E-Mail-Adresse) aber durch vom User vorzunehmende Privatsphäre-Einstellungen beschränkt werden kann. Es ist bei Anlage eines Userprofils auch möglich, sich selbst einer bestimmten Schule (etwa der Erstbeschwerdegegnerin) zuzuordnen.

Grundsätzlich steht das System für jedermann zur Registrierung offen. Um als Schüler einer bestimmten Schule Zugang zu einem Kurs/einer Klasse zu erhalten, muss der User von einem mit entsprechenden Berechtigungen (Zuordnung zur Usergruppe Lehrer) versehenen Lehrer in den Kurs/die Klasse aufgenommen werden.

Die Aufzeichnung der Leistung von Schülern auf ***lernen.at erfolgt dergestalt, dass Prüfungsnoten eingetragen und Punkte (etwa für die Mitarbeit in einer bestimmten Zeitperiode) vergeben werden, aus denen das System auf Grund einer Gewichtung (etwa: Schularbeiten : Mitarbeit : (mündlicher) Prüfung = 60 : 40 : 40) eine Gesamtnote errechnet und ausweist. Jeder Schüler kann und darf nur die ihn betreffenden Aufzeichnungen des Lehrers einsehen, jeder Lehrer kann nur die von ihm selbst gemachten Aufzeichnungen sehen, Personen mit weiterreichenden technischen Befugnissen (Administratoren) können auch die Daten ganzer Usergruppen (etwa Lehrern und Schülern einer Schule) einsehen.

An der HAK-HAS J***dorf (Erstbeschwerdegegnerin) haben sich der Schulleiter, Direktor Mag. Alfred H***, die Schulkonferenz (des Lehrpersonals) und der Schulgemeinschaftsausschuss (Lehrer, Eltern und Schüler, Beschluss vom 27. Juni 2012) für die Nutzung von ***lernen.at ausgesprochen. Die Beschwerdeführerin war dagegen und verweigerte zunächst die Nutzung. Am 10. Februar, 27. April und 9. November 2012 erhielt die Beschwerdeführerin vom Schulleiter jeweils die schriftliche Weisung, „die Noten der Schüler/innen auf der Lernplattform „***lernen.at“ unter dem Punkt Beurteilung“ zu erfassen und den Schüler/innen zugänglich zu machen[..]“ „Es ist das Zustandekommen der Noten zu beschreiben. Die Mitarbeits-, Test- und Schularbeitsnoten sind laufend einzutragen.“ Die Beschwerdeführerin kam den beiden ersten Weisungen nicht nach. Darauf wurde gegen sie vom Schulleiter ein Disziplinarverfahren eingeleitet. Der Zweitbeschwerdegegner erließ am 31. Oktober 2012 zu Zl. *3*4.00**31*1/**3*-B/2012 eine Disziplinarverfügung gegen die Beschwerdeführerin, in der wegen Missachtung von Dienstpflichten eine Geldbuße in Höhe von 500 Euro verhängt wurde. Erst danach hat die Beschwerdeführerin begonnen, ihr bereits am 1. Juni 2011 angelegtes Userprofil zu benutzen, Kurse anzulegen und ihre Schüler betreffende Aufzeichnungen mit Hilfe von ***lernen.at zu führen.

Betreffend die Beschwerdeführerin konnte die Speicherung folgender Daten festgestellt werden (auf der Lernplattform ***lernen.at am 28. Mai 2013 gespeichert und mit Administratorrechten zugänglich):

Vorname: Juliane

Nachname: A***

E-Mail: juliane.a***@hak-j***dorf.at

Geburtsdatum: *5. ** 19**

User-ID: 2***2*4

Registrierungsdatum: 1. Juni 2011

Registrierungs-IP: *4*.*2.31.9 (others)

Letzter Besuch: 15. Mai 2013 0*:30

Mitgliedstatus: approved

Dazu kommen nicht im Detail wiedergegebene Daten zu Mitgliedschaften bzw. Einrichtung in bzw. von 19 Kursen bzw. Klassen (tw. auch in mehrere Gruppen geteilte Schulklassen), in denen die Beschwerdeführerin Aufzeichnungen zur Leistungsbeurteilung vorgenommen hat.

Die Lernplattform ***lernen.at ist weder von Parteien dieses Verfahrens, noch vom BMUKK oder der W V*** als Datenanwendung gemäß §§ 17 ff DSG 2000 der Datenschutzkommission gemeldet worden (Stand: 23. Juli 2013 – am 9.8. aktualisiert).

Folgende Daten der Beschwerdeführerin sind jedenfalls seit April 2010 in einer Liste der Lehrerinnen und Lehrer auf der Homepage der HAK-HAS J***dorf (Erstbeschwerdegegnerin) öffentlich zugänglich und von jedermann unter der URL http://www.hak-j***dorf.at/lehrer/a***-juliane/ abrufbar:

1. Name: A*** Juliane

2. E-Mail-Adresse: juliane.a***@hak-j***dorf.at

3. Unterrichtsfächer: Deutsch, Englisch

4. Lichtbild: http://www.hak-J***dorf.at/

files/img/de/text*_*21*_1.jpg

(Link, Bild auf der genannten Website

grafisch dargestellt)

Beweiswürdigung : Diese Feststellungen beruhen in den Hauptpunkten auf den Ergebnissen der Online-Einschaunahme der Datenschutzkommission am 28. Mai 2013, einliegend in GZ: DSK-K121.933/0016-DSK/2013, insbesondere den Auskünften und Screenshots. Weiters auf der schriftlichen Stellungnahme der W V*** vom 23. Mai 2013, einliegend in GZ: DSK-K121.933/0015- DSK/2013. Die Feststellungen zu den dienst- und disziplinarrechtlichen Maßnahmen, durch welche die Beschwerdeführerin zur Benutzung von ***lernen.at veranlasst wurde, stützen sich auf die Beilagen (Kopien) zur Stellungnahme der Beschwerdeführerin vom 18. März 2013. Die Feststellungen zur Meldung und Registrierung von ***lernen.at stützen sich auf das offene Datenverarbeitungsregister. Die Feststellungen zu den auf der Schul-Homepage der HAK-HAS-J***dorf öffentlich zugänglichen Daten der Beschwerdeführerin stützen sich auf die Abfrage dieser Daten am 3. Juli 2013 (wiederholt am 23. Juli 2013) durch die Datenschutzkommission.

D. In rechtlicher Hinsicht folgt daraus :

1. anzuwendende Rechtsvorschriften

Die Verfassungsbestimmung § 1 Abs. 1 und 2 DSG 2000 lautet samt Überschrift:

„ Grundrecht auf Datenschutz

§ 1 . (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.“

§ 4 DSG 2000 lautet samt Überschrift:

„ Definitionen

§ 4 . Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:

§ 7 DSG 2000 lautet samt Überschrift:

„ Zulässigkeit der Verwendung von Daten

§ 7 . (1) Daten dürfen nur verarbeitet werden, soweit Zweck und Inhalt der Datenanwendung von den gesetzlichen Zuständigkeiten oder rechtlichen Befugnissen des jeweiligen Auftraggebers gedeckt sind und die schutzwürdigen Geheimhaltungsinteressen der Betroffenen nicht verletzen.

(2) Daten dürfen nur übermittelt werden, wenn

(3) Die Zulässigkeit einer Datenverwendung setzt voraus, daß die dadurch verursachten Eingriffe in das Grundrecht auf Datenschutz nur im erforderlichen Ausmaß und mit den gelindesten zur Verfügung stehenden Mitteln erfolgen und daß die Grundsätze des § 6 eingehalten werden.“

§ 8 Abs. 1 bis 3 DSG 2000 lautet samt Überschrift:

„ Schutzwürdige Geheimhaltungsinteressen bei

Verwendung nicht-sensibler Daten

§ 8 . (1) Schutzwürdige Geheimhaltungsinteressen sind bei Verwendung nicht-sensibler Daten dann nicht verletzt, wenn

(2) Bei der Verwendung von zulässigerweise veröffentlichten Daten oder von nur indirekt personenbezogenen Daten gelten schutzwürdige Geheimhaltungsinteressen als nicht verletzt. Das Recht, gegen die Verwendung zulässigerweise veröffentlichter Daten gemäß § 28 Widerspruch zu erheben, bleibt unberührt.

(3) Schutzwürdige Geheimhaltungsinteressen sind aus dem Grunde des Abs. 1 Z 4 insbesondere dann nicht verletzt, wenn die Verwendung der Daten

§ 14 Abs.1 bis 5 DSG 2000 lautet samt Überschrift:

„ Datensicherheitsmaßnahmen

§ 14 . (1) Für alle Organisationseinheiten eines Auftraggebers oder Dienstleisters, die Daten verwenden, sind Maßnahmen zur Gewährleistung der Datensicherheit zu treffen. Dabei ist je nach der Art der verwendeten Daten und nach Umfang und Zweck der Verwendung sowie unter Bedachtnahme auf den Stand der technischen Möglichkeiten und auf die wirtschaftliche Vertretbarkeit sicherzustellen, daß die Daten vor zufälliger oder unrechtmäßiger Zerstörung und vor Verlust geschützt sind, daß ihre Verwendung ordnungsgemäß erfolgt und daß die Daten Unbefugten nicht zugänglich sind.

(2) Insbesondere ist, soweit dies im Hinblick auf Abs. 1 letzter Satz erforderlich ist,

Diese Maßnahmen müssen unter Berücksichtigung des Standes der Technik und der bei der Durchführung erwachsenden Kosten ein Schutzniveau gewährleisten, das den von der Verwendung ausgehenden Risiken und der Art der zu schützenden Daten angemessen ist.

(3) Nicht registrierte Übermittlungen aus Datenanwendungen, die einer Verpflichtung zur Auskunftserteilung gemäß § 26 unterliegen, sind so zu protokollieren, daß dem Betroffenen Auskunft gemäß § 26 gegeben werden kann. In der Standardverordnung (§ 17 Abs. 2 Z 6) oder in der Musterverordnung (§ 19 Abs. 2) vorgesehene Übermittlungen bedürfen keiner Protokollierung.

(4) Protokoll- und Dokumentationsdaten dürfen nicht für Zwecke verwendet werden, die mit ihrem Ermittlungszweck - das ist die Kontrolle der Zulässigkeit der Verwendung des protokollierten oder dokumentierten Datenbestandes - unvereinbar sind. Unvereinbar ist insbesondere die Weiterverwendung zum Zweck der Kontrolle von Betroffenen, deren Daten im protokollierten Datenbestand enthalten sind, oder zum Zweck der Kontrolle jener Personen, die auf den protokollierten Datenbestand zugegriffen haben, aus einem anderen Grund als jenem der Prüfung ihrer Zugriffsberechtigung, es sei denn, daß es sich um die Verwendung zum Zweck der Verhinderung oder Verfolgung eines Verbrechens nach § 278a StGB (kriminelle Organisation) oder eines Verbrechens mit einer Freiheitsstrafe, deren Höchstmaß fünf Jahre übersteigt, handelt.

(5) Sofern gesetzlich nicht ausdrücklich anderes angeordnet ist, sind Protokoll- und Dokumentationsdaten drei Jahre lang aufzubewahren. Davon darf in jenem Ausmaß abgewichen werden, als der von der Protokollierung oder Dokumentation betroffene Datenbestand zulässigerweise früher gelöscht oder länger aufbewahrt wird.“

§ 31 Abs. 2 und 7 DSG 2000 lautet samt Überschrift:

„ Beschwerde an die Datenschutzkommission

§ 31 . (1) [...]

(2) Die Datenschutzkommission erkennt weiters über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Geheimhaltung (§ 1 Abs. 1) oder in ihrem Recht auf Richtigstellung oder auf Löschung (§§ 27 und 28) verletzt zu sein, sofern der Anspruch nicht nach § 32 Abs. 1 vor einem Gericht geltend zu machen ist oder sich gegen ein Organ im Dienste der Gesetzgebung oder der Gerichtsbarkeit richtet.

(3) [...] (6) [...]

(7) Soweit sich eine Beschwerde nach Abs. 1 oder 2 als berechtigt erweist, ist ihr Folge zu geben und die Rechtsverletzung festzustellen. Ist eine festgestellte Verletzung im Recht auf Auskunft (Abs. 1) einem Auftraggeber des privaten Bereichs zuzurechnen, so ist diesem auf Antrag zusätzlich die – allenfalls erneute – Reaktion auf das Auskunftsbegehren nach § 26 Abs. 4, 5 oder 10 in jenem Umfang aufzutragen, der erforderlich ist, um die festgestellte Rechtsverletzung zu beseitigen. Soweit sich die Beschwerde als nicht berechtigt erweist, ist sie abzuweisen.“

§ 31a DSG 2000 lautet samt Überschrift:

„ Begleitende Maßnahmen im Beschwerdeverfahren

§ 31a . (1) Sofern sich eine zulässige Beschwerde nach § 31 Abs. 2 auf eine meldepflichtige Datenanwendung (Datei) bezieht, kann die Datenschutzkommission die Erfüllung der Meldepflicht überprüfen und erforderlichenfalls nach den §§ 22 und 22a vorgehen.

(2) Macht der Beschwerdeführer im Rahmen einer Beschwerde nach § 31 Abs. 2 eine wesentliche Beeinträchtigung seiner schutzwürdigen Geheimhaltungsinteressen durch die Verwendung seiner Daten glaubhaft, so kann die Datenschutzkommission nach § 30 Abs. 6a vorgehen.

(3) Ist in einem Verfahren nach § 31 Abs. 2 die Richtigkeit von Daten strittig, so ist vom Beschwerdegegner bis zum Abschluss des Verfahrens ein Bestreitungsvermerk anzubringen. Erforderlichenfalls hat dies die Datenschutzkommission auf Antrag des Beschwerdeführers mit Mandatsbescheid anzuordnen.“

§ 40 Abs. 4 DSG 2000 lautet samt Überschrift:

„ Wirkung von Bescheiden der Datenschutzkommission

und des geschäftsführenden Mitglieds

§ 40 . (1) [...] (3) [...]

(4) Wenn die Datenschutzkommission eine Verletzung von Bestimmungen dieses Bundesgesetzes durch einen Auftraggeber des öffentlichen Bereichs festgestellt hat, so hat dieser mit den ihm zu Gebote stehenden rechtlichen Mitteln unverzüglich den der Rechtsanschauung der Datenschutzkommission entsprechenden Zustand herzustellen.“

§ 18 SchUG lautet samt Überschrift:

„ Leistungsbeurteilung

§ 18 . (1) Die Beurteilung der Leistungen der Schüler in den einzelnen Unterrichtsgegenständen hat der Lehrer durch Feststellung der Mitarbeit der Schüler im Unterricht sowie durch besondere in die Unterrichtsarbeit eingeordnete mündliche, schriftliche und praktische oder nach anderen Arbeitsformen ausgerichtete Leistungsfeststellungen zu gewinnen. Maßstab für die Leistungsbeurteilung sind die Forderungen des Lehrplanes unter Bedachtnahme auf den jeweiligen Stand des Unterrichtes.

(2) Für die Beurteilung der Leistungen der Schüler sind folgende Beurteilungsstufen (Noten) zu verwenden: Sehr gut (1), Gut (2), Befriedigend (3), Genügend (4), Nicht genügend (5). In der Volksschule und der Sonderschule sowie an der Neuen Mittelschule kann das Klassenforum oder das Schulforum beschließen, dass der Beurteilung der Leistungen durch Noten eine schriftliche Erläuterung hinzuzufügen ist.

(2a) In der 7. und 8. Schulstufe der Neuen Mittelschule haben Leistungsfeststellungen und -beurteilungen in den differenzierten Pflichtgegenständen nach den Anforderungen des Lehrplans nach grundlegenden und vertieften Gesichtspunkten zu erfolgen. Leistungsfeststellungen haben die Beurteilung nach den Anforderungen der grundlegenden oder der vertieften Allgemeinbildung auszuweisen. Die Beurteilung im Rahmen der vertieften Allgemeinbildung kann nicht schlechter als „Genügend“ sein und setzt voraus, dass die Anforderungen im Bereich der grundlegenden Allgemeinbildung mindestens mit „Gut“ zu beurteilen sind, anderenfalls hat lediglich eine Beurteilung nach den Anforderungen der grundlegenden Allgemeinbildung zu erfolgen.

(3) Durch die Noten ist die Selbständigkeit der Arbeit, die Erfassung und die Anwendung des Lehrstoffes, die Durchführung der Aufgaben und die Eigenständigkeit des Schülers zu beurteilen.

(4) Vorgetäuschte Leistungen sind nicht zu beurteilen.

(5) Das Verhalten des Schülers in der Schule (§ 21) darf in die Leistungsbeurteilung nicht einbezogen werden.

(6) Schüler, die wegen einer körperlichen Behinderung eine entsprechende Leistung nicht erbringen können oder durch die Leistungsfeststellung gesundheitlich gefährdet wären, sind entsprechend den Forderungen des Lehrplanes unter Bedachtnahme auf den wegen der körperlichen Behinderung bzw. gesundheitlichen Gefährdung erreichbaren Stand des Unterrichtserfolges zu beurteilen, soweit die Bildungs- und Lehraufgabe des betreffenden Unterrichtsgegenstandes grundsätzlich erreicht wird.

(7) Der zuständige Bundesminister hat durch Verordnung zu bestimmen, bei welchen Pflichtgegenständen die äußere Form der Arbeit einen wesentlichen Bestandteil der Leistung darstellt und bei der Leistungsbeurteilung mit zu berücksichtigen ist.

(8) Bei der Beurteilung der Leistungen eines Schülers in Musikerziehung, Bildnerischer Erziehung und Werkerziehung (Technisches Werken, Textiles Werken) sowie Bewegung und Sport sind mangelnde Anlagen und mangelnde körperliche Fähigkeiten bei erwiesenem Leistungswillen zugunsten des Schülers zu berücksichtigen. Dieser Absatz gilt insoweit nicht, als einer der genannten Gegenstände für die Aufgabe einer Schulart von besonderer Bedeutung ist.

(9) Die Leistungen von Schulpflichtigen, die gemäß § 4 Abs. 2 wegen mangelnder Kenntnis der Unterrichtssprache als außerordentliche Schüler aufgenommen worden sind, sind unter Berücksichtigung ihrer Sprachschwierigkeiten zu beurteilen.

(10) Der zuständige Bundesminister hat durch Verordnung nach den Aufgaben der einzelnen Schularten und nach der Art der einzelnen Unterrichtsgegenstände nähere Bestimmungen für den Aufbau und die Durchführung von Leistungsfeststellungen und die Beurteilung der Leistungen der Schüler zu erlassen.

(11) Wenn die Leistungen von mehr als der Hälfte der Schüler bei einer schriftlichen oder graphischen Leistungsfeststellung mit „Nicht genügend” zu beurteilen sind, so ist sie mit neuer Aufgabenstellung ein Mal zu wiederholen. Als Grundlage für die Beurteilung ist in diesem Falle jene Leistungsfeststellung heranzuziehen, bei der der Schüler die bessere Leistung erbracht hat.

(12) Auf Antrag eines Schülers, dessen Muttersprache nicht die Unterrichtssprache der betreffenden Schule ist, hat der Schulleiter zu bestimmen, daß hinsichtlich der Beurteilung die Unterrichtssprache an die Stelle der lebenden Fremdsprache tritt, wenn eine lebende Fremdsprache als Pflichtgegenstand in der betreffenden Schulstufe lehrplanmäßig vorgesehen ist; der Schüler hat in seiner Muttersprache Leistungen nachzuweisen, die jenen eines Schülers deutscher Muttersprache im Pflichtgegenstand Deutsch entsprechen, allenfalls auch im Wege von Externistenprüfungen (§ 42), sofern die Durchführung von Prüfungen in der betreffenden Sprache möglich ist. Dasselbe gilt sinngemäß für die Pflichtgegenstände Kaufmännischer Schriftverkehr, Phonotypie, Textverarbeitung, Kurzschrift und Maschinschreiben. Das Jahreszeugnis ist mit einem entsprechenden Vermerk zu versehen. Dieser Absatz gilt nicht für Bildungsanstalten für Kindergartenpädagogik und für Bildungsanstalten für Sozialpädagogik.

(13) Pflichtpraktika und Praktika außerhalb des schulischen Unterrichtes, verbindliche und unverbindliche Übungen sowie therapeutische und funktionelle Übungen sowie Kurse im Zusammenhang mit der Feststellung des sonderpädagogischen Förderbedarfes (§ 8 Abs. 2 und 3 des Schulpflichtgesetzes 1985) sind nicht zu beurteilen.“

§ 71 SchUG lautet samt Überschrift:

„ Berufung

§ 71 . (1) Gegen Entscheidungen in den Angelegenheiten des § 70 Abs. 1 ist die Berufung an die Schulbehörde erster Instanz zulässig. Die Berufung ist schriftlich (in jeder technisch möglichen Form, nicht jedoch mit E-Mail) innerhalb von fünf Tagen bei der Schule, im Falle der Externistenprüfungen bei der Prüfungskommission, einzubringen.

(2) Gegen die Entscheidung,

ist die Berufung an die Schulbehörde erster Instanz zulässig. Die Berufung ist schriftlich (in jeder technisch möglichen Form, nicht jedoch mit E-Mail) innerhalb von fünf Tagen bei der Schule, im Falle der Externistenprüfungen bei der Prüfungskommission, einzubringen. Der Schulleiter (der Vorsitzende der Prüfungskommission) hat die Berufung unter Anschluß einer Stellungnahme der Lehrer (Prüfer), auf deren Beurteilungen sich die Entscheidung gründet, sowie unter Anschluß aller sonstigen Beweismittel unverzüglich der Schulbehörde erster Instanz vorzulegen.

(3) Die Frist für die Einbringung der Berufung beginnt im Falle der mündlichen Verkündung der Entscheidung mit dieser, im Falle der schriftlichen Ausfertigung der Entscheidung jedoch mit der Zustellung.

(4) Die Schulbehörde erster Instanz hat in den Fällen des Abs. 2, insoweit sich die Berufung auf behauptete unrichtige Beurteilungen mit „Nicht genügend” stützt, diese zu überprüfen. Wenn die Unterlagen nicht zur Feststellung, daß eine auf „Nicht genügend” lautende Beurteilung unrichtig oder richtig war, ausreichen, ist das Verfahren zu unterbrechen und der Berufungswerber zu einer kommissionellen Prüfung (Abs. 5) zuzulassen. Die Überprüfung der Beurteilungen bzw. die Zulassung zur kommissionellen Prüfung hat auch dann zu erfolgen, wenn deren Ergebnis keine Grundlage für eine Änderung der angefochtenen Entscheidung gibt.

(5) Für die Durchführung der kommissionellen Prüfung gelten die Bestimmungen über die Wiederholungsprüfung (§ 23 Abs. 6) mit der Maßgabe, dass

Wenn eine Einigung über die Beurteilung des Ergebnisses dieser Prüfung nicht zu Stande kommt, entscheidet der Vorsitzende.

(6) Der der Berufung stattgebenden oder diese abweisenden Entscheidung ist die Beurteilung zugrunde zu legen, die die Behörde nach der Überprüfung bzw. die Prüfungskommission nach der Durchführung der Prüfung für richtig hält. Sofern diese Beurteilung nicht auf „Nicht genügend” lautet, ist ein Zeugnis auszustellen, das diese Beurteilung enthält.

(7) Im Berufungsverfahren gegen die Entscheidung der Schulbehörde erster Instanz darf eine kommissionelle Prüfung im Sinne der Abs. 4 und 5 nicht wiederholt werden.

(8) In den Fällen des § 70 Abs. 1 und des § 71 Abs. 2 lit. a, lit. b, lit. c nach Ablegung von einer oder zwei Wiederholungsprüfung(en) oder nach Ablegung einer Nachtragsprüfung, lit. d, lit. e und lit. g ist gegen die Entscheidung der Schulbehörde erster Instanz ein ordentliches Rechtsmittel nicht zulässig. In den Fällen des § 71 Abs. 2 lit. c (sofern nicht der erste Satz Anwendung findet) und lit. f sowie in den Fällen der Beendigung des Schulbesuches (§ 33) geht der Instanzenzug der Verwaltung bis zur Schulbehörde zweiter Instanz, gegen deren Entscheidung kein ordentliches Rechtsmittel zulässig ist.

(9) Gegen Entscheidungen, die weder im Abs. 1 noch im Abs. 2 genannt werden, noch in erster Instanz von einer Schulbehörde zu treffen sind, ist eine Berufung nicht zulässig.“

§ 3 Abs. 1 Bundes-Schulaufsichtsgesetz lautet:

„ § 3. Sachliche Zuständigkeit der Schulbehörden des Bundes.

(1) Sachlich zuständige Schulbehörde des Bundes ist, soweit durch Bundesgesetz nicht anderes bestimmt ist:

1. in erster Instanz:

2. rechtliche Schlussfolgerungen

2.1. Reichweite der Entscheidung der Datenschutzkommission

Das Beschwerdeverfahren gemäß § 31 DSG 2000 dient der Wahrung subjektiver Rechte, im vorliegenden Fall der Überprüfung der Frage, ob die Beschwerdeführerin in ihrem Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten verletzt worden ist. Die Beschwerdeführerin ist aber nicht aktiv legitimiert, die Rechte anderer von der Datenverwendung in bzw. auf der Lernplattform ***lernen.at Betroffene (insbesondere Kolleginnen oder Kollegen aus der Lehrerschaft der HAK-HAS J***dorf bzw. dort eingeschriebene Schülerinnen und Schüler) zu vertreten bzw. deren Rechte geltend zu machen.

Eine derartige „Popularklage“ (Klage, die von jemanden erhoben wird, der nicht allein davon betroffen ist) vor der Datenschutzkommission ist nach geltender Rechtslage nicht zulässig und ihre Behandlung daher nicht möglich, da Rechtsverletzungen behauptende Anbringen an die Datenschutzkommission – sowohl die weniger formellen Eingaben gemäß § 30 Abs 1 DSG 2000 als auch die formellen Beschwerden nach § 31 Abs 1 und 2 DSG 2000 – nur von Personen gemacht werden können, die behaupten, in ihrer Rechtssphäre von den Handlungen eines datenschutzrechtlichen Auftraggebers betroffen zu sein (Bescheid der Datenschutzkommission vom 30. März 2012, K121.765/0008-DSK/2012, RIS).

Das Verfahren war weiters auf die aus dem Grundrecht auf Datenschutz gemäß § 1 DSG 2000 ableitbaren subjektiven Rechte (auf Geheimhaltung, Löschung und Richtigstellung personenbezogener Daten bzw. auf Auskunft über solche Daten) zu beschränken. Auf die Einhaltung von sonstigen Pflichten, die das Gesetz einem datenschutzrechtlichen Auftraggeber auferlegt, besteht kein im Beschwerdeverfahren nach § 31 DSG 2000 durchsetzbarer Anspruch des einzelnen Betroffenen (dies betrifft u.a. die Beachtung der durch § 14 DSG 2000 gebotenen Datensicherheitsmaßnahmen, vgl. etwa den Bescheid der Datenschutzkommission vom 2. August 2005, K121.038/0006- DSK/2005, RIS).

Auf das Vorbringen der Beschwerdeführerin, soweit es allgemein rechtswidriges Handeln der Beschwerdegegner und Eingriffe in Rechte Dritter behauptet, war daher nur insoweit einzugehen, als aus den Sachverhaltsfeststellungen ableitbar ist, dass Daten der Beschwerdeführerin entgegen gesetzlichen Bestimmungen verwendet worden sind.

2.2. Lehrerberuf als Ausübung einer öffentlichen Funktion

Die Leistungsbeurteilung gemäß § 18 SchUG ist, jedenfalls gilt dies zweifelsfrei für öffentliche Schulen wie die als Bundesschule eingerichtete HAK-HAS J***dorf, durch Gesetz geregeltes staatliches, hoheitliches Verwaltungshandeln, an das sich Rechtsfolgen knüpfen, etwa der Aufstieg in eine höhere Schulstufe oder die Ausstellung eines Zeugnisses (z.B. nach dem Bestehen der Reifeprüfung), das zum Nachweis schulischer Leistungen im Berufsleben dient oder Voraussetzung der Zulassung zu weiteren Bildungslaufbahnen (wie Universitätsstudien) ist. Gegen zahlreiche Entscheidungen der Schulorgane und der Schulbehörden hat die Schülerin oder der Schüler eine Rechtsmittelbefugnis (vgl. § 71 Abs. 2 SchUG), die auch eine Überprüfung der Gesetzmäßigkeit der Leistungsbeurteilung umfassen kann (vgl. etwa die Ausführungen des VwGH zur Leistungsbeurteilung im Erkenntnis vom 9. März1981, Zl. 3420/80, VwSlg 10391 A/1981).

Gemäß § 18 Abs. 1 SchUG erfolgt die Leistungsbeurteilung durch den Lehrer.

Die Ausübung ihres Berufs als Lehrerin durch die Beschwerdeführerin ist daher die Ausübung einer „öffentlichen Funktion“ gemäß § 8 Abs. 3 Z 6 DSG 2000. Sie handelt dabei in Fragen der Leistungsbeurteilung als Organ der Schulbehörde.

Anders als im Fall der Schülerevidenz gemäß § 3 BildDokG (vgl. den Bescheid der Datenschutzkommission vom 11. März 2005, GZ: K120.991/0006-DSK/2005 u.a.m., RIS) ist für hoheitliches Verwaltungshandeln im Schulbetrieb datenschutzrechtlich die der Schule übergeordnete Schulbehörde auftraggeberisch verantwortlich. Gemäß § 3 Abs. 1 Z 1 lit. b Bundes-Schulaufsichtsgesetz ist dies der Landesschulrat für Kärnten und somit der Zweitbeschwerdegegner. Die Schulbehörde verfügt auch über die gesetzliche Zuständigkeit gemäß § 7 Abs. 1 DSG 2000, Daten betreffend die gesetzlich vorgesehene schulische Leistungsbeurteilung zu verarbeiten.

Daraus folgt, dass weder die Erstbeschwerdegegnerin (die HAK-HAS J***dorf) noch der do. Schulleiter datenschutzrechtlich für ***lernen.at verantwortlich ist, mag der Einsatz der Lernplattform auch auf Betreiben des Schulleiters „beschlossen“ worden sein. Bereits daraus ergibt sich die Abweisung der Beschwerde hinsichtlich der Erstbeschwerdegegnerin.

2.3. Datenverarbeitung hinsichtlich der Leistungsbeurteilung durch die Beschwerdeführerin

In weiterer Folge ergibt sich aus den vorhergehenden Erwägungen, dass die Beschwerdeführerin durch eine per Weisung „transparent“ gestaltete Notengebung in der Form, dass sie die von ihr vorgenommene Leistungsbeurteilung über die Lernplattform ***lernen.at laufend den betroffenen Schülerinnen und Schülern zugänglich machen muss, nicht in ihrem Recht auf Geheimhaltung schutzwürdiger personenbezogener Daten verletzt wird. Die entsprechenden Daten, soweit sie überhaupt die Beschwerdeführerin betreffende Daten sind (was deshalb zu bejahen sein wird, weil Bewertungen, Gutachten und dergleichen, stets auch Rückschlüsse auf die Person zulassen, die diese Angaben über einen Betroffenen, hier die Schülerin oder den Schüler, macht), dürfen gemäß § 8 Abs. 1 Z 4 und Abs. 3 Z 6 DSG 2000 im überwiegenden berechtigten Interesse des Zweitbeschwerdegegners verwendet werden, da sie sich ausschließlich auf die Ausübung der öffentlichen Funktion des Lehrerberufs durch die Beschwerdeführerin beziehen. Es beziehen sich auch weitere Daten betreffend die Ausübung des Lehrerberufes (wie: Name, akademische Grade und Titel, Tätigkeit an einer bestimmten Schule, unterrichtete Unterrichtsfächer und Klassen) auf eine solche öffentliche Funktion und dürfen daher die Beschwerdeführerin betreffend im gegebenen Zusammenhang durch die Schulbehörde verwendet werden.

2.4. sonstige, die Beschwerdeführerin betreffende Datenverarbeitung

Soweit die Daten zu den Datenarten Name, öffentliche Funktion als Lehrerin an einer bestimmten Schule und dienstliche E-Mail-Adresse auf ***lernen.at verwendet werden, gilt das oben unter Punkt 2.3 gesagte sinngemäß.

Daten betreffend die Systemverwendung (Protokoll- und Dokumentationsdaten wie Log-in-Zeiten, verwendete IP-Adressen, interne ID-Nummer) sind zwar die Beschwerdeführerin betreffende personenbezogene Daten, das Ermittlungsverfahren hat jedoch ergeben, dass diese nicht an andere Userinnen und User übermittelt sondern nur Mitarbeitern des Dienstleisters und von diesem bestellten Systemadministratoren zugänglich sind. Die Verwendung solcher Daten ist, soweit ihre Verwendung zweckgemäß auf die Kontrolle der Systemfunktionen und die Gewährleistung der technischen Datensicherheit beschränkt bleibt, gestützt auf § 14 Abs. 2, 4 und 5 DSG 2000 zulässig.

Für die Verwendung des Geburtsdatums der Beschwerdeführerin auf ***lernen.at kann allerdings in keinem der vorstehenden Rechtfertigungsgründe Deckung gefunden werden. Weder besteht ein direkter Konnex zwischen dem Geburtsdatum und der öffentlichen Funktion des Lehrerberufs, noch besteht eine ausdrückliche gesetzliche Grundlage für die Verwendung dieses Datums oder ein zwingender Zusammenhang mit den Zwecken der Lernplattform ***lernen.at. Ob dieses Datum freiwillig von der Beschwerdeführerin selbst oder ohne ihr Zutun von einem bei der Erstbeschwerdegegnerin tätigen Systemadministrator in ***lernen.at eingegeben worden ist, kann dahingestellt bleiben. Es steht nämlich fest, dass die Beschwerdeführerin ***lernen.at nicht freiwillig sondern nur unter Androhung und Anwendung disziplinarrechtlicher Sanktionen benützt hat. Daher kann auch eine durch sie selbst erfolgte Eingabe des Geburtsdatums nicht als „ohne Zwang abgegebene Willenserklärung“ gemäß § 4 Z 14 DSG 2000 und damit als gültige Zustimmung zur Verwendung dieses Datums verstanden werden.

Hinsichtlich des Geburtsdatums war daher ein unzulässiger Eingriff in das Recht auf Geheimhaltung festzustellen (Spruchpunkt 1.).

2.5. Antrag auf Mandats- und Untersagungsbescheid (§ 31a Abs. 2 DSG 2000)

Gemäß § 31 Abs. 7 DSG 2000 ist die Datenschutzkommission im Beschwerdeverfahren nach § 31 Abs. 2 DSG 2000 wegen Verletzung des Rechts auf Geheimhaltung nur befugt, Feststellungsbescheide zu erlassen, die gegenüber Auftraggebern des öffentlichen Bereichs gemäß § 40 Abs. 4 DSG 2000 besondere Bindungswirkungen entfalten.

Nach Erlassung des die Beschwerdesache erledigenden Bescheides bleibt hier für einen vorläufigen Rechtsschutz auch unter Beachtung der den stattgegebenen Teil des Spruchs zukommenden Bindungswirkung gemäß § 40 Abs. 4 DSG 2000 kein Raum.

2.6. Schlussresümee

Mangels einer Verletzung schutzwürdiger Geheimhaltungsinteressen der Beschwerdeführerin durch die mittels des Einsatzes der Lernplattform ***lernen.at „transparent“ erfolgende Leistungsbeurteilung war die Beschwerde daher abzuweisen, nur im Hinblick auf die Verwendung des Geburtsdatums der Beschwerdeführerin war ihr Folge zu geben.

Die Datenschutzkommission wird in einem Verfahren nach § 30 Abs. 1 DSG 2000 überprüfen, ob über den Kreis der Lehrerinnen und Lehrer hinaus Maßnahmen zur Herstellung des rechtskonformen Zustandes betreffend weiterer von ***lernen.at datenschutzrechtlich Betroffenen notwendig sind.