[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein.]
E M P F E H L U N G
Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. KOTSCHY, Mag. HUTTERER, Mag. MAITZ-STRASSNIG; Dr. STAUDIGL und Mag. PREISS sowie des Schriftführers Mag. FLENDROVSKY in ihrer Sitzung vom 7. September 2006 folgenden Beschluss gefasst:
Auf Grund der Eingabe des L in V (Einschreiter) vom 26. Februar 2006 gegen den Landesschulrat für Steiermark (in der Folge nur Landesschulrat) wegen Verletzung im Recht auf Geheimhaltung ergeht gemäß § 30 Abs. 6 des Datenschutzgesetzes 2000 (DSG 2000), BGBl I Nr. 165/1999 idF BGBl I Nr. 13/2005, die folgende Empfehlung an den Landesschulrat:
Für Zwecke der Anmeldung von Lehrern zu Fortbildungsveranstaltungen des Pädagogischen Instituts des Bundes in Steiermark (kurz: PI) möge innerhalb einer Frist von sechs Monaten die Sozialversicherungsnummer oder Teile davon nicht mehr verwendet werden.
B e g r ü n d u n g:
Der Einschreiter bringt vor, für Zwecke der Anmeldung zu Seminaren des PI, welche nur über das Internet möglich sei, sei die Eingabe der Sozialversicherungsnummer als Identifikationsnummer nötig. Das PI sei die für ihn als Landeslehrer zuständige Einrichtung zur Lehrerfortbildung. Diese Vorgangsweise hält der Einschreiter für rechtswidrig.
Das PI sowie der Landesschulrat bestreiten in ihren Stellungnahmen vom 31. März bzw. 18. April 2006 die vom Einschreiter behauptete Verwendung der Sozialversicherungsnummer für Anmeldezwecke am PI nicht. Diese würde für die Auszahlung von Honoraren für zahlreiche Lehrer benötigt, die als Referenten am PI tätig seien. Es seien bei der Anmeldung nur die ersten vier Stellen der Nummer - neben den ersten vier Buchstaben des Familiennamens und einem vorgegebenen Buchstaben - anzugeben. Das Bundesministerium für Bildung, Wissenschaft und Kultur habe - zusätzlich zum Landesschulrat - das Anmeldesystem aus juristischer Sicht bestätigt.
Der folgende Sachverhalt wird als Grundlage der Empfehlung angenommen:
Der Einschreiter steht als Lehrer in einem Dienstverhältnis zum Land Steiermark. Um sich über die dafür vorgesehene Internetseite zu Fortbildungsveranstaltungen am PI anmelden zu können, muss jeder Lehrer die ersten vier Buchstaben des Familiennamens, die Sozialversicherungsnummer (bestehend aus vier Ziffern) sowie im Anschluss daran einen von Seiten des PI vorgegebenen Buchstaben angeben.
Beweiswürdigung: Diese Feststellungen beruhen auf dem unbestrittenen Vorbringen des Einschreiters, welches von PI und Landesschulrat in ihren Stellungnahmen konkretisiert wurde.
In rechtlicher Hinsicht folgt daraus:
Zunächst ist anzumerken, dass der festgestellte Sachverhalt jenem, der dem angeschlossenen Bescheid der Datenschutzkommission vom 2. November 2004, GZ K120.941/0012- DSK/2004, zu Grunde liegt, in wesentlichen Punkten gleicht. Im Einzelnen ist im Hinblick auf den nunmehrigen Beschwerdefall hervorzuheben:
1. Keine Organqualität des PI, daher auch keine Auftraggeberfähigkeit; keine Anwendbarkeit des BildDokG
Mangels Errichtung der Pädagogischen Institute in außenwirksamer Form (durch Gesetz oder Verordnung) kann nicht von „Organen einer Gebietskörperschaft“ im Sinn von § 4 Z 4 DSG 2000 gesprochen werden. Das Handeln des PI ist vielmehr dem Landesschulrat als gemäß § 3 Abs. 1 Z 1 lit. b des Bundesschul-Aufsichtsgesetzes (BSchulAufsG), BGBl 240/1962 idF BGBl Nr. 321/1975, zuständiger Schulbehörde zuzurechnen. Daher ist auch dieser als Beschwerdegegner zu behandeln. Die Datenschutzkommission hat in ihrem Bescheid vom 11. März 2005, GZ K120.991/0006-DSK/2005, abrufbar im Rechtsinformationssystem des Bundes unter www.ris.bka.gv.at/dsk, zwar Schulleitern ausnahmsweise Organqualität zuerkannt, dies jedoch nur im Anwendungsbereich des Bildungsdokumentationsgesetzes, BGBl I Nr. 12/2002 idF BGBl I Nr. 169/2002. Im zitierten Bescheid vom 2. November 2004 wurde jedoch ausführlich dargelegt, dass auf Grund der Bestimmung des § 4 Abs. 2 des Akademien-Studiengesetzes 1999 (AStG), BGBl I Nr. 94/1999, in einem Dienstverhältnis zum Bund oder einem Land stehende Lehrer weder als Schüler noch als Studierende im Sinn des § 2 Abs. 1 Z 3 und 4 BildDokG gelten, sodass dieses Gesetz auf die Dokumentation von Daten über diese Personengruppe keine Anwendung findet.
2. Verletzung im Recht auf Geheimhaltung durch Verwendung der Sozialversicherungsnummer
Gemäß der Verfassungsbestimmung des § 1 Abs. 1 DSG 2000, hat jedermann, insbesondere auch im Hinblick auf die Achtung des Privat- und Familienlebens, Anspruch auf Geheimhaltung der ihn betreffenden personenbezogenen Daten, soweit ein schutzwürdiges Interesse daran besteht. Das Bestehen eines solchen Interesses ist ausgeschlossen, wenn Daten infolge ihrer allgemeinen Verfügbarkeit oder wegen ihrer mangelnden Rückführbarkeit auf den Betroffenen einem Geheimhaltungsanspruch nicht zugänglich sind.
Soweit die Verwendung von personenbezogenen Daten nicht im lebenswichtigen Interesse des Betroffenen oder mit seiner Zustimmung erfolgt, sind nach Abs. 2 leg. cit. Beschränkungen des Anspruchs auf Geheimhaltung nur zur Wahrung überwiegender berechtigter Interessen eines anderen zulässig, und zwar bei Eingriffen einer staatlichen Behörde nur auf Grund von Gesetzen, die aus den in Art. 8 Abs. 2 EMRK genannten Gründen notwendig sind. Derartige Gesetze dürfen die Verwendung von Daten, die ihrer Art nach besonders schutzwürdig sind, nur zur Wahrung wichtiger öffentlicher Interessen vorsehen und müssen gleichzeitig angemessene Garantien für den Schutz der Geheimhaltungsinteressen der Betroffenen festlegen. Auch im Falle zulässiger Beschränkungen darf der Eingriff in das Grundrecht jeweils nur in der gelindesten, zum Ziel führenden Art vorgenommen werden.
Gemäß § 30 Abs. 1 DSG 2000 kann sich jedermann wegen einer behaupteten Verletzung seiner Rechte oder ihn betreffender Pflichten eines Auftraggebers oder Dienstleisters nach diesem Bundesgesetz mit einer Eingabe an die Datenschutzkommission wenden.
Gemäß § 30 Abs. 6 DSG 2000 kann die Datenschutzkommission zur Herstellung des rechtmäßigen Zustandes Empfehlungen aussprechen, für deren Befolgung erforderlichenfalls eine angemessene Frist zu setzen ist. Wird einer solchen Empfehlung innerhalb der gesetzten Frist nicht entsprochen, so kann die Datenschutzkommission je nach der Art des Verstoßes von Amts wegen insbesondere
1. ein Verfahren zur Überprüfung der Registrierung gemäß § 22 Abs. 4 einleiten, oder
2. Strafanzeige nach §§ 51 oder 52 erstatten, oder
[...]
4. bei Verstößen von Auftraggebern, die Organe einer Gebietskörperschaft sind, das zuständige oberste Organ befassen. Dieses Organ hat innerhalb einer angemessenen, jedoch zwölf Wochen nicht überschreitenden Frist entweder dafür Sorge zu tragen, dass der Empfehlung der Datenschutzkommission entsprochen wird, oder der Datenschutzkommission mitzuteilen, warum der Empfehlung nicht entsprochen wurde. Die Begründung darf von der Datenschutzkommission der Öffentlichkeit in geeigneter Weise zur Kenntnis gebracht werden, soweit dem nicht die Amtsverschwiegenheit entgegensteht.
Im vorzitierten Bescheid vom 2. November 2004 hat die Datenschutzkommission ausgeführt, dass § 31 Abs. 4 ASVG und auch § 159b B-KUVG den Zweck der Sozialversicherungsnummer klar vorgeben. Demnach darf diese nur zur Verwaltung personenbezogener Daten für Zwecke der Sozialversicherung bzw. des Arbeitsmarktservice verwendet werden. Eine Ausweitung dieser Zweckbestimmung bedürfte einer gesetzlichen Grundlage, die für den Bereich der Lehrerfortbildung am PI nicht zu erkennen ist. Sie ist insbesondere durch das BildDokG nicht gegeben, da dieses dafür, wie soeben unter 1. ausgeführt, gar nicht anwendbar ist.
Somit erfolgt die Verwendung der Sozialversicherungsnummer - darunter fällt nach § 4 Z 8 und 9 DSG 2000 sowohl deren Speicherung als auch deren Ermittlung und Abgleich aus Anlass einer Anmeldung - in der für Zwecke der Lehrerfortbildung am PI verwendeten Datenanwendung entgegen der gesetzlichen Zweckbestimmung und verstößt damit auch gegen den in § 6 Abs. 1 Z 2 und 3 DSG 2000 niedergelegten Zweckbindungsgrundsatz von Daten. Dabei macht es keinen Unterschied, ob die gesamte (10- stellige) Sozialversicherungsnummer oder nur die ersten vier Stellen verwendet werden, weil schon eine einzelne Stelle personenbezogenes Datum im Sinn des § 4 Z 1 DSG 2000 ist und die Zweckfestlegung in § 31 Abs. 4 ASVG und § 159b B-KUVG selbstverständlich auch für Teile der Nummer gilt.
Somit ist die von § 1 Abs. 2 DSG 2000 geforderte gesetzliche Grundlage überschritten, sodass eine Verletzung des Einschreiters – und jedes anderen Lehrers, der seiner Pflicht zur dienstlichen Fortbildung nach § 58 BDG 1979 bzw. § 29 Abs. 3 LDG 1984 auf diese Art und Weise nachkommen muss - in seinem Recht auf Geheimhaltung nach § 1 Abs. 1 DSG 2000 vorliegt.
Wie ebenfalls schon im Bescheid vom 2. November 2004 näher ausgeführt, ändert es an dieser Beurteilung im Hinblick auf den Zweckbindungsgrundsatz (§§ 4 Z 12, 6 Abs 1 Z 2 DSG 2000) nichts, dass die Sozialversicherungsnummer dem Landesschulrat in seiner Funktion als Dienstbehörde des Einschreiters schon bekannt war. Ebensolches gilt für das Vorbringen des PI, die Nummer sei für Zwecke der Auszahlung von Honoraren erforderlich, weil dies bei Lehrern, die sich für Fortbildungsveranstaltungen anmelden, nicht zum Tragen kommen kann. Schließlich kann auch die Billigung der Vorgangsweise durch das Bundesministerium für Bildung, Wissenschaft und Kultur daran nichts ändern.
Um den rechtswidrigen Zustand zu beseitigen, war die vorliegende Empfehlung auf Grundlage des § 30 Abs. 6 DSG 2000 auszusprechen. Eine Frist von sechs Monaten scheint in Anbetracht des Umstandes, dass einerseits nicht unerhebliche technische Veränderungen am Anmeldesystem erforderlich sein dürften und die Änderungen darüber hinaus einem relativ großen Benutzerkreis zur Kenntnis gebracht werden müssen, angemessen.
Rückverweise
