Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681222.html
Timestamp: 2018-04-26 21:51:45+00:00

Document:
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Verarbeitung von Daten gemäß § 2 Z 4 FOG durch die Ombudsstelle gemäß § 31 des Hochschul-Qualitätssicherungsgesetzes (HS-QSG), BGBl. I Nr. 74/2011. Die Durchführung einer Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 1 DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten kommen kann.
Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether
processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten:
Die Ombudsstelle darf zur Erfüllung ihrer Aufgaben Daten iSd § 2 Z 4 FOG verarbeiten (§ 31 Abs. 6 HS-QSG). Mangels eindeutiger Anordnung zur Art der Verarbeitung darf diese sowohl in Papierform als auch in automationsunterstützter Form erfolgen. Besondere Formen, die aufgrund ihres Spannungsverhältnisses zu Bestimmungen der DSGVO, wie insbesondere Art. 5 DSGVO, einer gesetzlichen Regelung bedürften, wie etwa Big Data, sind nicht vorgesehen und damit nicht zulässig.
Die Verarbeitung umfasst folgende Datenarten:
– Namensangaben (§ 31 Abs. 6 Z 1 HS-QSG),
– Personenmerkmale (§ 31 Abs. 6 Z 2 HS-QSG),
– Angaben zur Identifikation (§ 31 Abs. 6 Z 3 HS-QSG),
– Adress- und Kontaktdaten (§ 31 Abs. 6 Z 4 HS-QSG),
– Angaben zum Schriftverkehr (§ 31 Abs. 6 Z 5 HS-QSG)
– Angaben zum Prozess und zur Erledigung (§ 31 Abs. 6 Z 6
HS-QSG).
Von der Verarbeitung betroffene Personen sind:
– alle Studierenden an hochschulischen Bildungseinrichtungen,
– Studieninteressentinnen und -interessenten,
– Studienwerberinnen und -werber sowie
– ehemalige Studierende (§ 31 Abs. 1 HS-QSG).
Die Verarbeitung erfolgt im Kontext der Information und Beratung von Studierenden im Hochschulwesen (§ 31 Abs. 2 und 3 HS-QSG). Eingerichtet ist die Ombudsstelle im Bundesministerium für Bildung, Wissenschaft und Forschung. Die §§ 5 bis 13 FOG sind nicht anzuwenden, weil die Ombudsstelle weder wissenschaftliche Einrichtung noch Abwicklungsstelle ist; einzige Ausnahme stellt § 11 Abs. 1 FOG dar, der sich auf öffentliche Stellen bezieht und eine solche ist die Ombudsstelle.
Die Verarbeitung der Daten erfolgt zur Erfüllung der Aufgaben der Ombudsstelle, die gemäß § 31 Abs. 2 und 3 HS-QSG Ombuds-, Informations- und Serviceaufgaben sind.
Empfängerinnen und Empfänger von Berichten der Ombudsstelle sind die zuständige Bundesministerin oder der zuständige Bundesminister, der Nationalrat sowie die Öffentlichkeit (§ 31 Abs. 7 HS-QSG). Außerdem kann es sein, dass den Studierenden, Bildungseinrichtungen und Studierendenvertretungen personenbezogene Daten übermittelt werden, wenn die Ombudsstelle gemäß § 31 Abs. 2 Z 1 HS-QSG mit Studierendenvertretungen kooperiert (vgl. ErläutRV 1222 d BlgNR 24. GP 23) oder gemäß § 31 Abs. 3 HS-QSG über die allenfalls getroffenen Veranlassungen berichtet.
Gemäß § 31 Abs. 6 HS-QSG dürfen die Daten für einen 30 Jahre nicht übersteigenden Zeitraum gespeichert werden.
Studierende können sich gemäß § 31 Abs. 3 HS-QSG zur Information und Beratung über den Studien-, Lehr-, Prüfungs-, Service- und Verwaltungsbetrieb an die Ombudsstelle wenden. Die dabei anfallenden Daten dürfen von der Ombudsstelle – für einen Zeitraum von maximal 30 Jahren – verarbeitet werden.
Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.
Der verfolgte Zweck – das ist die Erfüllung ihrer Aufgaben - ist in § 31 Abs. 6 HS-QSG festgelegt.
Die Angabe des Zwecks in § 31 Abs. 6 HS-QSG ist eindeutig: die angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Erfüllung der Aufgaben der Ombudsstelle, das sind gemäß § 31 Abs. 2 und 3 HS-QSG Ombuds-, Informations- und Serviceaufgaben, erforderlich ist.
Der in § 31 Abs. 6 HS-QSG angegebene Zweck ist legitim, weil er von den Öffnungsklauseln
gedeckt und in § 31 Abs. 6 HS-QSG vorgesehen ist.
Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Buchstabe c iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstaben g und j DSGVO, wonach die Verarbeitung für Zwecke der Ombudsstelle aufgrund einer rechtlichen Verpflichtung erfolgt. Diese Verpflichtung liegt – nach den Erläuterungen zum Hochschul-Qualitätssicherungsgesetz – im erheblichen öffentlichen Interesse an der Qualität des faktenbasierten Erkenntnisgewinns gemäß § 1 Abs. 1 Z 1 lit. a FOG (ErläutRV 1222 d BlgNR 24. GP 3).
Es werden gemäß § 31 Abs. 6 HS-QSG nur jene Daten von betroffenen Personen verarbeitet, die für die angegebenen Zwecke erforderlich sind. Das zeigt sich insbesondere daran, dass die in § 31 Abs. 6 HS-QSG angeführten Datenarten der aktuellen Standardanwendung „SA029 Aktenverwaltung (Büroautomation)“ entsprechen. Diese Standardanwendung hätte nicht erlassen werden dürfen, wenn sie dem § 17 Abs. 2 Z 6 DSG 2000 in der Fassung des Bundesgesetzes, BGBl. I Nr. 132/2015, widersprächen. Diese Bestimmung verlangt nämlich, dass die „Gefährdung schutzwürdiger Geheimhaltungsinteressen der Betroffenen unwahrscheinlich ist“.
Die Verarbeitung der Daten ist erheblich, da die Ombudsstelle sonst ihre Ombuds-, Informations- und Serviceaufgaben gemäß § 31 Abs. 2 und 3 HS-QSG nicht erfüllen kann (siehe näher dazu unten: Abhilfemaßnahmen / Minimierung der Verarbeitung personenbezogener Daten).
Die Verarbeitung ist auf das Aktenverwaltungssystem, das zur Aufgabenerfüllung erforderlich ist, sowie die Übermittlung zu Aufsichtszwecken an das Bundesministerium für Bildung, Wissenschaft und Forschung (§ 31 Abs. 7 HS-QSG), beschränkt.
Die zeitliche Speicherdauer gemäß § 31 Abs. 6 HS-QSG entspricht der langen Verjährungsfrist gemäß § 1478 ABGB. Da nicht ausgeschlossen werden kann, dass die Tätigkeit der Ombudsstelle zu gerichtlichen Auseinandersetzungen führen kann, ist die Ombudsstelle gemäß Art. 9 Abs. 2 Buchstabe f DSGVO sogar zur Speicherung sensibler Daten durch einen Zeitraum von 30 Jahren berechtigt.
Unter der Voraussetzung, dass die Ombudsstelle ihre Prozesse so anpasst, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Veröffentlichung auf der Website des Hochschulombudsmanns
unter http://www.hochschulombudsmann.at/ (10.01.2018);
werden sollen: durch Publikation des § 31 Abs. 6 HS-QSG als
werden: durch Publikation des § 31 Abs. 6 HS-QSG als
Unter der Voraussetzung, dass die Ombudsstelle
verarbeitet werden: durch Publikation der Aufzählung gemäß § 31
Abs. 6 HS-QSG als Bundesgesetz im Bundesgesetzblatt sowie
insbesondere des § 31 Abs. 4 HS-QSG als Bundesgesetz im
Unter der Voraussetzung, dass die Ombudsstelle ihre Prozesse gegebenenfalls so anpasst, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Eine Übermittlung in Drittländer wäre nach § 1 Abs. 4 HS-QSG iVm den §§ 5 und 13 FOG grundsätzlich zulässig. Allerdings sind die Regelungen der §§ 5 ff FOG nur leges speciales gegenüber den allgemeinen Bestimmungen des DSG, sodass speziellere Bestimmungen, wie § 31 HS-QSG über die Ombudsstelle, den §§ 5 ff FOG vorgehen. Gemäß § 31 HS-QSG ist eine Übermittlung in Drittländer zwar nicht ausgeschlossen, aber sehr restriktiv zu sehen und nur dann zulässig, wenn dies für die Erfüllung der Aufgaben gemäß § 31 Abs. 6 HS-QSG erforderlich ist.
Diese Risiken sind für die Tätigkeit der Ombudsstelle nahezu ausgeschlossen, weil mit den Strafbestimmungen des 22. Abschnitts über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen, insbesondere dessen §§ 302 (Amtsmissbrauch) und 310 („Verletzung des Amtsgeheimnisses“) des Strafgesetzbuches (StGB), BGBl. Nr. 60/1974, wirksame Vorkehrungen gegen die unrechtmäßige Verarbeitung und somit das Entstehen von physischen, materiellen oder immateriellen Schäden bestehen (RIS-Justiz, RS0054100).
Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von der Ombudsstelle einzuhalten. Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert.
Außerdem werden keine Finanzdaten verarbeitet, womit die Wahrscheinlichkeit für den Eintritt dieses Risikos sehr gering ist.
Die Pseudonymisierung würde der Aufgabenerfüllung der Ombudsstelle entgegenstehen, weil die Identifikation dann nur mehr auf elektronischem Wege, etwa durch einen elektronischen Identitätsnachweis gemäß § 2 Z 10 E-GovG, möglich wäre. Damit wären die wichtigsten Kommunikationswege zur Ombudsstelle abgeschnitten und Personen, die nicht über einen elektronischen Identitätsnachweis verfügen, benachteiligt. Dieses Risiko kann sich – mangels durchführbarer Pseudonymisierung – nicht verwirklichen.
Die gemäß § 31 Abs. 6 HS-QSG zu verarbeitenden Daten sind auf das Minimum beschränkt, weil:
– ohne Namensangaben (§ 31 Abs. 6 Z 1 HS-QSG), ein Auffinden
bestehender Akten für Personen, die sich nur mittels Namen
identifizieren nicht möglich wäre;
– ohne Personenmerkmale (§ 31 Abs. 6 Z 2 HS-QSG), eine
Ausstattung mit bereichsspezifischen Personenkennzeichen nicht
möglich wäre;
– ohne Angaben zur Identifikation (§ 31 Abs. 6 Z 3 HS-QSG), die
Eindeutigkeit der Identität der betroffenen Personen nicht
überprüft werden kann;
– ohne Adress- und Kontaktdaten (§ 31 Abs. 6 Z 4 HS-QSG), mit
den betroffenen Personen nicht in Kontakt getreten werden kann;
– ohne Angaben zum Schriftverkehr (§ 31 Abs. 6 Z 5 HS-QSG),
die Eingaben der betroffenen Personen nicht verarbeitet werden
– ohne Angaben zum Prozess und zur Erledigung (§ 31 Abs. 6 Z 1
HS-QSG), Erledigungen weder ausgearbeitet noch – im
Nachhinein – überprüft bzw. wiederverwendet werden können.
Die Pseudonymisierung würde der Aufgabenerfüllung der Ombudsstelle entgegenstehen, weil die Identifikation dann nur mehr auf elektronischem Wege, etwa durch einen elektronischen Identitätsnachweis gemäß § 2 Z 10 E-GovG, möglich wäre. Damit wären die wichtigsten Kommunikationswege, d.h. persönlicher und telefonischer Kontakt, zur Ombudsstelle abgeschnitten und Personen, die nicht über einen elektronischen Identitätsnachweis verfügen, benachteiligt.
Durch die Publikation des § 31 Abs. 6 HS-QSG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die Funktionen und Verarbeitung personenbezogener Daten durch die Ombudsstelle von der Öffentlichkeit kostenlos nachvollzogen werden.
die Möglichkeit, die Verarbeitung ihrer Daten durch die Ombudsstelle zu überwachen.
Die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO sind auch von der Ombudsstelle zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.

References: Art. 35
 § 2
 § 31
 Art. 35
 Art. 35
 § 2
 Art. 5
 § 11
 § 31
 § 31
 § 31
 § 31
 § 31
 Art. 35
 Art. 32
 § 31
 § 31
 § 31
 § 31
 § 31
 Art. 6
 Art. 9
 § 1
 § 31
 § 31
 § 17
 § 31
 § 31
 § 1478
 Art. 9
 Art. 35
 § 31
 § 31
 § 31
 § 31
 Art. 15
 Art. 35
 § 1
 § 31
 § 31
 § 31
 Art. 32
 § 2
 § 31
 § 2
 § 31
 Art. 32
 Art. 35
 Art. 32