[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.]
BESCHEID
Die Datenschutzkommission hat unter dem Vorsitz von Dr. Maier und in Anwesenheit der Mitglieder Dr. Kotschy, Mag. Hutterer, Dr. Rosenmayr-Klemenz, Dr. Staudigl und Mag. Zimmer, sowie des Schriftführers Mag. Suda in ihrer Sitzung vom 22. April 2005 folgenden Beschluss gefasst:
Spruch
Über die Beschwerde der K G in P (Beschwerdeführerin), vertreten durch die Mutter Ö G gegen den Leiter des Bundesrealgymnasiums P (Beschwerdegegner) wegen Verletzung im Recht auf Löschung wird gemäß den §§ 1 Abs. 5 und 31 Abs. 2 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, entschieden:
Der Beschwerde wird gemäß § 1 Abs. 3 Z 2 iVm § 27 Abs. 1 und 4 DSG 2000 teilweise Folge gegeben und festgestellt, dass der Beschwerdegegner die Beschwerdeführerin im Recht auf Löschung dadurch verletzt hat, dass er weder innerhalb von acht Wochen nach Einlangen ihres Löschungsbegehrens dem Antrag entsprochen und der Beschwerdeführerin davon Mitteilung gemacht noch schriftlich begründet hat, warum die verlangte Löschung nicht vorgenommen wird.
Der Antrag, dem Beschwerdegegner bei sonstiger Exekution aufzutragen, alle Daten, deren Verwendung nicht im Einklang mit den Bestimmungen der EU-Datenschutzrichtlinie und des DSG 2000 stehen, insbesondere die Sozialversicherungsnummer, zu löschen bzw. für jede weitere Verwendung zu sperren, wird gemäß § 40 Abs. 4 DSG 2000 abgewiesen.
Begründung:
Die Beschwerdeführerin behauptete eine Verletzung im Recht auf Löschung dadurch, dass der Beschwerdegegner ihrem Antrag vom 11. November 2004 auf Löschung der im Bildungsdokumentationsgesetz bzw. den Bildungsdokumentationsverordnungen vorgesehenen Daten, insbesondere ihrer Sozialversicherungsnummer, nicht nachgekommen sei.
Der Landesschulrat Q weist auf die Zulässigkeit der Ermittlung der Sozialversicherungsnummer sowie der übrigen in § 3 BildDokG bzw. § 5 BildDokV genannten Daten hin.
Der folgende Sachverhalt wird festgestellt:
Die Beschwerdeführerin richtete am 11. November 2004 unter ausdrücklicher Berufung auf § 27 DSG 2000 an den Beschwerdegegner den Antrag, ihre Sozialversicherungsnummer und 'andere personenbezogene Daten' zu löschen. Darin wurde eine Verfassungs- bzw. Europarechtswidrigkeit der im Bildungsdokumentationsgesetz bzw. in den Bildungsdokumentationsverordnungen vorgesehenen Vorgangsweise bei der Verwendung von personenbezogenen Daten, insbesondere der Sozialversicherungsnummer, behauptet.
Daraufhin erhielt die Beschwerdeführerin einen Bescheid des Landesschulrates Q vom 23. November 2004, mit folgendem Spruch:
'Gemäß § 3 und 4 des Bildungsdokumentationsgesetzes (BildDokG, BGBl. I/12/2002), in der geltenden Fassung, sind die entsprechenden im Gesetz vorgesehenen Daten durch die Erziehungsberechtigten bzw. die eigenberechtigten Schüler an den Schulleiter und durch diesen in der Folge an das Bundesministerium für Bildung, Wissenschaft und Kultur zu übermitteln.
Der § 3 Absatz 1 Ziffer 3 des Bildungsdokumentationsgesetzes sieht ausdrücklich die Übermittlung der Sozialversicherungsnummer vor.'
Eine Löschung durch den Beschwerdegegner erfolgte nicht.
Beweiswürdigung: Diese Feststellungen beruhen auf dem unwidersprochenen Beschwerdevorbringen.
In rechtlicher Hinsicht folgt daraus:
1. Anzuwendende Rechtsvorschriften:
Nach der Verfassungsbestimmung des § 1 Abs. 3 Z 2 DSG 2000 hat jedermann, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen das Recht auf Löschung unzulässigerweise verarbeiteter Daten. Gemäß § 4 Z 9 DSG 2000 ist unter dem 'Verarbeiten von Daten' sowohl das Ermitteln als auch das Löschen von Daten einer Datenanwendung durch den Auftraggeber zu verstehen.
§ 27 DSG 2000 ist als einfachgesetzliche Ausführungsbestimmung zu § 1 Abs. 3 Z 2 DSG 2000 ('nach Maßgabe gesetzlicher Bestimmungen') Anspruchsgrundlage für das individuelle Recht auf Löschung. Gemäß § 27 Abs. 1 Z 2 DSG 2000 hat der Auftraggeber auf begründeten Antrag des Betroffenen unrichtige oder entgegen den Bestimmungen dieses Bundesgesetzes verarbeitete Daten richtigzustellen oder zu löschen. Gemäß § 27 Abs. 4 leg. cit. ist innerhalb von acht Wochen nach Einlangen eines Antrags auf Richtigstellung oder Löschung dem Antrag zu entsprechen und dem Betroffenen davon Mitteilung zu machen oder schriftlich zu begründen, warum die verlangte Löschung oder Richtigstellung nicht vorgenommen wird.
Wenn die Datenschutzkommission eine Verletzung von Bestimmungen dieses Bundesgesetzes durch einen Auftraggeber des öffentlichen Bereichs festgestellt hat, so hat dieser gemäß § 40 Abs. 4 DSG 2000 mit den ihm zu Gebote stehenden rechtlichen Mitteln unverzüglich den der Rechtsanschauung der Datenschutzkommission entsprechenden Zustand herzustellen.
2. Zur Auftraggeberstellung des Beschwerdegegners
Die Datenschutzkommission hat bereits in ihrem Bescheid vom 11. März 2005, GZ K120.991/0006-DSK/2005 dargelegt, dass im Fall der in § 2 Abs. 1 Z 1 lit. a BildDokG genannten Schulen der Schulleiter Auftraggeber der Evidenz nach § 3 BildDokG ist. Daher war der Leiter des BRG P als Beschwerdegegner zu behandeln.
3. Verletzung im Recht auf Löschung:
Der Bescheid des Landesschulrates vom 23. November 2004 spricht lediglich über die Zulässigkeit der Ermittlung (=im Bescheidtext wird fälschlich das Wort 'übermitteln' für die Offenlegung der Daten durch den Betroffenen verwendet) der im BildDokG genannten Daten und ihre Übermittlung an das Bundesministerium für Bildung, Wissenschaft und Kultur ab. Aus der Zulässigkeit des (seinerzeitigen) Ermittelns von Daten ergibt sich jedoch nicht zwingend, dass diese nicht später dennoch zu löschen sind. Das DSG 2000 unterscheidet in seinem § 4 Z 9 diese unterschiedlichen Schritte des Verarbeitens. Der Bescheid enthält keinen Abspruch über das Löschungsbegehren der Beschwerdeführerin und ist daher für das vorliegende Verfahren über die Durchsetzung eines behaupteten Löschungsanspruchs nicht relevant.
Eine Deutung des Bescheids des Landesschulrates als Ablehnung der Löschung durch den Beschwerdegegner (wie im vorzitierten Bescheid der Datenschutzkommission vom 11. März 2005) erscheint auf Grund der vom Landesschulrat gewählten Bescheidform und der daraus gemäß § 38 AVG resultierenden Bindung an den Spruch (auch für die Datenschutzkommission, vgl. Walter/Mayer, Verwaltungsverfahren, 8. Aufl., Rz 465 ff) nicht möglich. Daher fehlt eine Auseinandersetzung mit dem auf Löschung gerichteten Begehren der Beschwerdeführerin vom 11. November 2004.
Somit hat der Beschwerdegegner § 27 Abs. 4 DSG 2000 nicht entsprochen. Schon durch diese - der von der Beschwerdeführerin behaupteten Verweigerung der Löschung vorgelagerte - Unterlassung hat er die Beschwerdeführerin im Recht auf Löschung verletzt, was spruchgemäß festzustellen war.
Die von der Beschwerdeführerin begehrte Erteilung eines entsprechenden Leistungsauftrages kommt dennoch nicht in Betracht. Vielmehr ergibt sich aus dem (§ 87 Abs. 2 VfGG, § 63 Abs. 1 VwGG und § 67c Abs. 3 AVG vergleichbaren) § 40 Abs. 4 DSG 2000, dass gegenüber Auftraggebern des öffentlichen Bereichs eine Rechtsverletzung lediglich festzustellen ist. Aus dieser Feststellung resultiert sodann eine unmittelbare gesetzliche Verpflichtung zur Herstellung des der Rechtanschauung der Datenschutzkommission entsprechenden Zustandes.
Rückverweise
