K210.716/0014-DSK/2013 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

E M P F E H L U N G

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. SOUHRADA-KIRCHMAYER, Dr. ROSENMAYR-KLEMENZ, Mag. HEILEGGER, Dr. BLAHA und Dr. GUNDACKER sowie des Schriftführers Mag. SUDA in ihrer Sitzung vom 6. September 2013 folgenden Beschluss gefasst:

Aus Anlass der Eingabe von Isidor B*** in X*** (Einschreiter), vertreten durch die Kindeseltern Irma und DI Adi B***, vertreten durch Dr. Y***Rechtsanwälte in J*** vom 11. Februar 2013 (ha. eingelangt am 14. Februar 2013), betreffend eine behauptete Verletzung im Recht auf Geheimhaltung durch den Schulpsychologen HR Dr. Helge P*** in J***, ergeht gemäß § 30 Abs. 6 DSG 2000 zur Herstellung des rechtmäßigen Zustands die folgende Empfehlung an den Landesschulrat für J***, dem das Verhalten des Dr. P*** datenschutzrechtlich zuzurechnen ist:

Rechtsgrundlagen: § 1 Abs. 1 und 2, § 4 Z 1, Z 2, Z 4 und Z 12, § 30 Abs. 6 des Datenschutzgesetzes 2000 (DSG 2000), BGBl. I Nr. 165/1999 idgF, iVm § 19 Abs. 4 SchUG, BGBl Nr 472/1986 idgF.

G r ü n d e f ü r d i e s e E m p f e h l u n g

:

A. Vorbringen der Beteiligten und Verfahrensgang

1. In seiner Eingabe vom 11. Februar 2013 führte der Einschreiter, vertreten durch seine Eltern, diese wiederum rechtsanwaltlich vertreten, aus, der Schulpsychologe HR Dr. Helge P***, der schulseitig zur Abklärung von Vorwürfen des Mobbings des Einschreiters durch Schüler des *** Gymnasiums J***, welches der Einschreiter besuche, beigezogen worden sei, habe im Zuge eines Elternabends am 31. Jänner 2013 trotz Amtsverschwiegenheit und der sich aus dem Psychologengesetz ergebenden Verschwiegenheit den Eltern seiner Mitschüler ihn betreffende personenbezogene Daten mitgeteilt. Er habe ausgeführt: „Isidors Verhalten in der Schule wurde als Folge der gewesenen Vorfälle klinisch psychologisch und psychotherapeutisch umfangreich abgeklärt“; „Isidor befindet sich in einer intensiven psychotherapeutischen Behandlung, welche auch dringend notwendig ist zur Korrektur seines Verhaltens in bestimmten Situationen.“; „... die Therapie für Isidor auch gut sei, denn die Schule ist ja keine Psychiatrie sondern eben eine Schule ...“; „... so wie er Isidor kennen gelernt habe, die Therapie auch länger dauern könne.“

Außerdem habe er der Großmutter des Einschreiters in einem Telefonat am 10. Jänner 2013 die Sachlage des Einschreiters „bis ins kleinste Detail geschildert“, als Therapiemaßnahmen und Inhalt der Therapiegespräche.

Durch beide Vorfälle habe er gegen seine gesetzlichen Verschwiegenheitspflichten verstoßen. Die Datenschutzkommission möge den Sachverhalt in Prüfung ziehen und den Einschreiter darüber informieren, wie mit dieser Eingabe verfahren wurde.

2. In seiner Stellungnahme vom 20. Februar 2013 (ha. eingelangt am 8. März 2013) gab HR Dr. Helge P*** nach Schilderung der Vorgeschichte im Fall des Einschreiters aus seiner Sicht im Wesentlichen an, am 31. Jänner 2013 habe der in diesem Schuljahr zweite Elternabend stattgefunden, in dessen Zuge er als psychosozial verantwortlicher Schulpsychologe den anwesenden Klasseneltern einige drängende Fragen so beantwortet habe, dass er den Gerüchten, die sich (mündlich, Handy, SMS, facebook) schon verbreitet hätten, einfache sachbezogene Antworten gegenübergestellt habe.

Im Bewusstsein seiner Verschwiegenheitsverpflichtungen habe sich dies auf wenige aktuelle allgemeine Informationen beschränkt, etwa dass der Einschreiter endlich jene Behandlung bekomme, welche für ihn notwendig sei. Personenbezogene Detailinformationen seien keine gegeben worden. Auch sei ausgeführt worden, dass das erste Drittel einer Psychotherapie für jeden Patienten eine besondere Belastung darstelle.

Im Telefonat mit der Großmutter des Einschreiters sei dieser erklärt worden, dass er Dr. P*** als Schulpsychologe alles ihm Mögliche dazu beitragen werde, die Situation des Enkels zu verbessern und ihn zu unterstützen. Im Gespräch habe die Großmutter vieles erzählt, ihre Sorgen, aber auch ihr Unverständnis, wie die alte Schule mit ihm umgehe. Es seien keine personenbezogenen Daten weitergegeben worden, die die Großmutter nicht ohnehin gewusst habe.

3. Im Rahmen des rechtlichen Gehörs brachte der Einschreiter am 5. (bzw. 10. April 2013) zusammengefasst vor, Dr. P*** sei von seiner Verschwiegenheitsverpflichtung gegenüber Dritten nie entbunden worden. Beim gegenständlichen Elternabend habe Dr. P*** aus eigenem Antrieb über datengeschützte, personenbezogene Inhalte referiert, ohne dass ein Elternteil etwas gefragt hätte. Er sei dabei vom Vater des Einschreiters auf die Verletzung von Datenschutzbestimmungen hingewiesen worden. Die Ausführungen seien nicht allgemein und nicht wenig, sondern umfangreich und explizit auf den Einschreiter bezogen gewesen, da der Elternabend auch nur den Einschreiter zum Thema gehabt habe. Dafür wird beispielhaft angeführt:

„Isidor erzählte mir in einem Gespräch, dass die Mobbingsituation sich so entwickelt habe, dass ...“ sowie Inhalt aus einem Vieraugengespräch vom 19. Dezember 2012 im Büro des HR Dr. P***.

Die Großmutter des Einschreiters habe ausschließlich von den Problemen mit der Schule betreffend einer, dem Einschreiter nachteilig ausgelegten Zeichnung und der Schulsuspendierung des Einschreiters gewusst, nicht jedoch den Grund für jene. Dr. P*** habe der Großmutter des Einschreiters dann personenbezogene Details ohne jede Rücksicht auf seine Verschwiegenheitsverpflichtungen erzählt.

In ergänzender Stellungnahme vom 29. Mai 2013 wird dargelegt, dass die behauptete Datenschutzverletzung des HR Dr. P*** datenschutzrechtlich dem Landesschulrat für J*** oder dem ihm unterstehenden Direktor der Schule zuzurechnen sei.

4. In einer Stellungnahme vom 19. Juni 2013 brachte der Landesschulrat für J*** unter Bezugnahme auf einschlägige Rechtsvorschriften vor, dass HR Dr. P*** als Schulpsychologe in der Abteilung 6 des Landesschulrates für J*** tätig sei, zudem Leiter der Beratungsstelle J***-Stadt sei. Er sei neben dieser Leitung auch zuständig für die Durchführung pädagogisch-psychologischer Untersuchungen, für die Beratung von einzelnen Schülern, Lehrern, Direktoren, Schulaufsichtsbeamten, für längere psychologische Beratungen sowie für die Betreuung und Behandlung von Schülern, Eltern und Lehrern mit therapeutisch orientierten Beratungs- und Behandlungsmethoden.

Nach Vorwürfen des Mobbings gegen Isidor B*** sei HR P*** hinzugezogen worden. Unstrittig sei, dass am 14. Jänner 2013 eine sogenannte „Helferkonferenz“, bei der neben HR P***, LSI ****, Direktor ****, die Psychotherapeutin Dr. ****, die Schulärztin sowie der Klassenvorstand anwesend gewesen seien. Zur Datenverwendung in dieser „Helferkonferenz“ läge eine Zustimmung zur Datenverwendung durch die Eltern des Isidor B*** vor, beschränkt auf den Landesschulrat angehörende bzw. diesem unterstehende Personen.

Unstrittig sei auch, dass „am 30. Jänner 2013“ der Elternabend der Klasse **, die der Einschreiter besucht, stattgefunden habe, dies unter Anwesenheit von HR P***, dem Klassenvorstand und dem Direktor der Schule. Ein Hinweis auf die Schweigeverpflichtung durch die Eltern des Einschreiters habe nicht stattgefunden, es liege jedoch ein Mail vom 29. Jänner 2013 des Vaters des Einschreiters vor, mit welchem sämtliche Beteiligte auf ihre Schweigepflicht bzw. die Amtsverschwiegenheit hingewiesen worden seien. HR P*** habe das Mail CC erhalten. HR P*** habe während des Elternabends die aktuelle Situation um Isidor beschrieben, sei aber in der Diskussion auch auf detaillierte Informationen zu Isidors Entwicklung (Einschätzung der psychologischen Situation, therapeutische Notwendigkeiten) eingegangen, nach Auskunft des Schulleiters va. in der Diskussion mit Isidors Eltern.

B. Sachverhaltsfeststellungen

Es wird der folgende Sachverhalt festgestellt:

Der Einschreiter ist Schüler am *** Gymnasium J***. Nachdem seine Eltern Vorwürfe des Mobbings gegen ihn erhoben haben, wobei auch Konflikte mit MitschülerInnen im Raum standen (Auslöser sei eine Rauferei im Dezember 2012 gewesen), wurde HR Dr. Helge P*** als Schulpsychologe des Landesschulrats für J*** (Abteilung Schulpsychologie-Bildungsberatung) zur therapeutischen Beratung herangezogen.

Im Laufe dieser Beratung fand am 31. Dezember 2013 ein Elternabend der Klasse **, die der Einschreiter besucht, statt. Bei diesem Elternabend waren neben den Eltern von Schülern dieser Klasse, darunter auch die Eltern des Einschreiters, der Schulpsychologe HR Dr. P*** sowie der Klassenvorstand und der Direktor der Schule anwesend.

Im Zuge des Elternabends gab HR Dr. P*** in der Diskussion hauptsächlich mit den Eltern des Einschreiters, ohne von seinen Verschwiegenheitspflichten entbunden worden zu sein, für alle Anwesenden hörbar, an, dass sich der Einschreiter in einer psychotherapeutischen Behandlung befinde und warum diese notwendig sei. Außerdem stellte HR Dr. P*** auch Mutmaßungen über die Dauer der Behandlung an. Angesprochen wurde schließlich ein Gespräch des HR Dr. P*** mit dem Einschreiter vom 19. Dezember 2012.

Bereits am 10. Jänner 2013 rief HR Dr. P*** die Großmutter des Einschreiters, Frau Heidi B*** an, in welchem das Verhalten des Einschreiters und seine Behandlung zur Sprache kamen, was der Großmutter bis zu diesem Zeitpunkt nicht bewusst war. Grund des Anrufs war ein Brief der Großmutter an [den/die (damalige/n) Landeshauptmann/Landeshauptfrau] gewesen, der HR Dr. P*** weitergeleitet wurde.

Beweiswürdigung: Die Feststellungen zu den Inhalten des Elternabends vom 31. Dezember 2013 beruhen auf den glaubwürden Angaben des Einschreiters in der verfahrenseinleitenden Eingabe vom 11. Februar 2013 als auch in der Stellungnahme vom 5. April 2013. Darüber hinausgehend konnte nicht festgestellt werden, dass Daten betreffend den Einschreiter von HR Dr. P*** am Elternabend bekannt gegeben worden seien, zumal dies vom Einschreiter in seinen Eingaben auch nicht näher konkretisiert werden konnte. Im Übrigen (zur Vorgeschichte) sind die Feststellungen unbestritten. Auch hinsichtlich des Telefonats mit der Großmutter stimmen die Angaben von Einschreiter und HR Dr. P*** weitgehend überein. Im Übrigen wird hier auch den glaubwürdigen Angaben des Einschreiters gefolgt.

C. In rechtlicher Hinsicht folgt daraus

1. anzuwendende Rechtsvorschriften

Die relevanten Vorschriften des DSG 2000 lauten auszugsweise:

Die Verfassungsbestimmung § 1 Abs. 1 und 2 DSG 2000 lautet samt Überschrift:

„Grundrecht auf Datenschutz

§ 1. (1) Jedermann hat, insbesondere auch im Hinblick auf die Achtung seines Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

(2) Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 der Europäischen Konvention zum Schutze der Menschenrechte und Grundfreiheiten (EMRK), BGBl. Nr. 210/1958, genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.“

§ 4 Z 1, 2, 4 und 12 DSG 2000 lautet:

㤠4. Im Sinne der folgenden Bestimmungen dieses Bundesgesetzes bedeuten die Begriffe:

1. „Daten“ („personenbezogene Daten“): Angaben über Betroffene (Z 3), deren Identität bestimmt oder bestimmbar ist; „nur indirekt personenbezogen“ sind Daten für einen Auftraggeber (Z 4), Dienstleister (Z 5) oder Empfänger einer Übermittlung (Z 12) dann, wenn der Personenbezug der Daten derart ist, daß dieser Auftraggeber, Dienstleister oder Übermittlungsempfänger die Identität des Betroffenen mit rechtlich zulässigen Mitteln nicht bestimmen kann;

2. „sensible Daten“ („besonders schutzwürdige Daten“): Daten natürlicher Personen über ihre rassische und ethnische Herkunft, politische Meinung, Gewerkschaftszugehörigkeit, religiöse oder philosophische Überzeugung, Gesundheit oder ihr Sexualleben;

...

4. Auftraggeber: natürliche oder juristische Personen, Personengemeinschaften oder Organe einer Gebietskörperschaft beziehungsweise die Geschäftsapparate solcher Organe, wenn sie allein oder gemeinsam mit anderen die Entscheidung getroffen haben, Daten zu verwenden (Z 8), unabhängig davon, ob sie die Daten selbst verwenden (Z 8) oder damit einen Dienstleister (Z 5) beauftragen. Sie gelten auch dann als Auftraggeber, wenn der mit der Herstellung eines Werkes beauftragte Dienstleister (Z 5) die Entscheidung trifft, zu diesem Zweck Daten zu verwenden (Z 8), es sei denn dies wurde ihm ausdrücklich untersagt oder der Beauftragte hat auf Grund von Rechtsvorschriften oder Verhaltensregeln über die Verwendung eigenverantwortlich zu entscheiden;

...

12. Übermitteln von Daten: die Weitergabe von Daten an andere Empfänger als den Betroffenen, den Auftraggeber oder einen Dienstleister, insbesondere auch das Veröffentlichen von Daten; darüber hinaus auch die Verwendung von Daten für ein anderes Aufgabengebiet des Auftraggebers;“

§ 30 Abs. 1 und 6 DSG 2000 lauten:

„„Kontrollbefugnisse der Datenschutzkommission

§ 30.

(1) Jedermann kann sich wegen einer behaupteten Verletzung seiner Rechte oder ihn betreffender Pflichten eines Auftraggebers oder Dienstleisters nach diesem Bundesgesetz mit einer Eingabe an die Datenschutzkommission wenden.

[…]

(6) Zur Herstellung des rechtmäßigen Zustandes kann die Datenschutzkommission, sofern nicht Maßnahmen nach den §§ 22 und 22a oder nach Abs. 6a zu treffen sind, Empfehlungen aussprechen, für deren Befolgung erforderlichenfalls eine angemessene Frist zu setzen ist. Wird einer solchen Empfehlung innerhalb der gesetzten Frist nicht entsprochen, so kann die Datenschutzkommission je nach der Art des Verstoßes von Amts wegen insbesondere

1. Strafanzeige nach §§ 51 oder 52 erstatten, oder

§ 19 Abs. 4 Schulunterrrichtsgesetz (SchUG), BGBl Nr 472/1986 idgF, lautet:

„(4) Wenn das Verhalten eines Schülers auffällig ist, wenn der Schüler seine Pflichten gemäß § 43 Abs. 1 in schwer wiegender Weise nicht erfüllt oder wenn es die Erziehungssituation sonst erfordert, ist dies den Erziehungsberechtigten unverzüglich mitzuteilen und dem Schüler sowie den Erziehungsberechtigten vom Klassenvorstand oder vom unterrichtenden Lehrer im Sinne des § 48 Gelegenheit zu einem beratenden Gespräch zu geben (Frühinformationssystem). Dabei sind insbesondere Fördermaßnahmen zur Verbesserung der Verhaltenssituation (zB individuelles Förderkonzept, Ursachenklärung und Hilfestellung durch die Schulpsychologie-Bildungsberatung und den schulärztlichen Dienst) zu erarbeiten und zu beraten. Dies gilt für Berufsschulen mit der Maßgabe, dass die Verständigung auch an den Lehrberechtigten zu ergehen hat; diese Verständigungspflicht besteht nicht an lehrgangsmäßigen Berufsschulen mit einer geringeren Dauer als acht Wochen.“

2. rechtliche Schlussfolgerungen

Gegenstand dieser Empfehlung ist die Beurteilung der Rechtmäßigkeit der Verwendung von personenbezogenen sensiblen Daten des Einschreiters im Laufe eines Elternabends sowie eines Telefongesprächs.

Da personenbezogene Daten ausschließlich in nichtautomationsunterstützter Weise (bzw. nicht in einer manuellen Datei) verwendet wurden, ist die Zulässigkeit der Verwendung ausschließlich an Hand des Grundrechts auf Datenschutz gemäß § 1 DSG 2000 zu prüfen, wobei der einfachgesetzliche Teil des DSG 2000 zu Auslegungsfragen betreffend das Grundrecht bzw. betreffend Eingriffe in dieses herangezogen werden kann (vgl. den Bescheid der Datenschutzkommission vom 24. Februar 2012, GZ K121.750/0003- DSK/2012).

Gemäß § 1 Abs. 1 DSG 2000 hat jedermann Anspruch auf die Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist nur dann ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.

Das Grundrecht auf Datenschutz gemäß § 1 Abs. 1 DSG 2000 bewirkt einen Anspruch auf Geheimhaltung personenbezogener Daten. Darunter ist der Schutz des Betroffenen vor Ermittlung seiner Daten und der Schutz vor der Weitergabe der über ihn ermittelten Daten zu verstehen (vgl. EB zur RV, DSG 2000, abgedruckt in Dohr/Pollirer/Weiss/Knyrim , Datenschutzrecht, 2. Auflage, 10. Erg. Lfg., S 9).

Daten zu einer psychotherapeutischen Behandlung einer bestimmten Person, insbesondere schon die Angabe, dass sich diese Person in einer solchen befindet, fallen unzweifelhaft in den Schutzbereich des Grundrechts.

Zulässige Eingriffe in das Grundrecht sind in § 1 Abs. 2 DSG 2000 geregelt. Eingriffe einer staatlichen Behörde bedürfen dabei stets einer formalgesetzlichen Grundlage, die die Voraussetzungen des Art 8 Abs. 2 der Europäischen Menschenrechtskonvention erfüllt.

Im vorliegenden Fall geht es um die Verwendung von sensiblen personenbezogenen Daten aus einer schulpsychologischen Beratung des HR Dr. P*** im festgestellten Umfang.

Dabei stellt sich zunächst die Frage, wem als datenschutzrechtlichen Auftraggeber diese Verwendung zuzurechnen ist. Gemäß § 4 Z 4 DSG 2000 ist Auftraggeber, wer die Entscheidung getroffen hat, Daten zu verwenden. Im Falle von gesetzlich geregelter Datenverwendung oder gesetzlich geregelten Aufgaben ist (in der Regel) derjenige, der die Datenverwendung zu besorgen hat bzw. dem die Aufgabe zukommt, als Auftraggeber zu sehen.

Die Heranziehung der Schulpsychologie-Bildungsberatung ist in § 19 Abs. 4 SchUG geregelt. Die Schulpsychologie-Bildungsberatung ist beim Landesschulrat für J*** eingerichtet, dem folglich die in diesem Zusammenhang ermittelten und weiterverarbeiteten Daten datenschutzrechtlich zuzurechnen sind. Für die Verwendung von Daten im Rahmen der Schulpsychologie-Bildungsberatung ist daher der Landesschulrat für J*** als datenschutzrechtlicher Auftraggeber (§ 4 Z 4 DSG 2000) anzusehen. Da im gegenständlichen Fall auch nicht hervorgekommen ist, dass HR Dr. P***, der als Schulpsychologe in der Abteilung Schulpsychologie-Bildungsberatung des Landesschulrats für J*** tätig ist, auf eigene Entscheidung tätig geworden ist, ist auch die gegenständliche Datenverwendung dem Landesschulrat für J*** zuzurechnen.

Die Weitergabe von Daten an Dritte, wie hier an die Eltern von Mitschülern im Laufe eines Elternabends oder die Großmutter des Betroffenen im Zuge eines Telefongesprächs stellt datenschutzrechtlich ein Übermitteln (§ 4 Z 12 DSG 2000) dar.

Eine Übermittlung durch eine staatliche Behörde wie den Landesschulrat bedarf, wie oben schon ausgeführt, datenschutzrechtlich einer formalgesetzlichen Grundlage. Eine solche ist für beide zu beurteilenden Fälle (Elternabend, Telefongespräch) weder in Bundes- noch in Landesgesetzen zu erblicken. Der genaue Umfang der übermittelten Daten kann dabei dahingestellt bleiben, da bereits die Tatsache, dass sich ein betroffener Schüler in psychotherapeutischer Behandlung befindet, mangels formalgesetzlicher Grundlage im Allgemeinen nicht weitergegeben werden darf. Besondere Umstände, die dies im Rahmen der Aufgabenerfüllung im Sinne des § 19 Abs. 4 SchUG erforderlich machen, werden nicht nachgewiesen.

Es war daher gemäß § 30 Abs. 6 DSG 2000 zur Herstellung des rechtmäßigen Zustands die obige Empfehlung zu erteilen, die unverzüglich umzusetzen ist.