Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/I/I_00068/fnameorig_686474.html
Timestamp: 2019-01-16 03:45:14+00:00

Document:
Anhang 26: Datenschutz-Folgenabschätzung zu § 6 PUG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft das Berichtswesen der Privatuniversitäten an die Agentur für Qualitätssicherung gemäß § 6 des Privatuniversitätengesetzes (PUG), BGBl. Nr. 74/2011. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Gemäß § 6 Privatuniversitätengesetzes (PUG), BGBl. Nr.74/2011, ist eine Berichtspflicht von den Privatuniversitäten an die Agentur für Qualitätssicherung und Akkreditierung Austria (AQ Austria) vorgesehen. Diese Übermittlungspflichten sind erforderlich, damit die AQ Austria ihre (folgenden) Aufgaben (§ 3 Abs. 3 des Hochschul-Qualitätssicherungsgesetz, BGBl. I Nr. 74/2011) erfüllen kann:
– Entwicklung und Durchführung externer Qualitätssicherungsverfahren, jedenfalls Audit- und Akkreditierungsverfahren, nach nationalen und internationalen Standards;
– Akkreditierung von hochschulischen Bildungseinrichtungen und Studien;
– Berichte an den Nationalrat im Wege der zuständigen Bundesministerin oder des zuständigen Bundesministers;
– Veröffentlichung der Ergebnisberichte der Qualitätssicherungsverfahren;
– kontinuierliche begleitende Aufsicht akkreditierter hochschulischer Bildungseinrichtungen und Studien hinsichtlich der Akkreditierungsvoraussetzungen;
– Durchführung von Studien und Systemanalysen, Evaluierungen und Projekten;
– Information und Beratung zu Fragen der Qualitätssicherung und Qualitätsentwicklung;
In Bezug auf die heranzuziehenden Daten ergibt sich der Verarbeitungsumfang aus der Privatuniverstitäten-Jahresberichtsverordnung der AQ Austria vom 12.02.2013 (), https://www.aq.ac.at/de/akkreditierung/dokumente-verfahren-pu/AQ-Austria_PU_Jahresberichtsverordnung_22-01-2013.pdf folgenden Datenumfang vorsieht:
– Entwicklung (§ 5 Abs. 1 Z 1 leg. cit.);
– Studien und Lehre (§ 5 Abs. 1 Z 2 leg. cit.);
– Finanzierung und Ressourcen (§ 5 Abs. 1 Z 3 leg. cit.);
– Forschung bzw. Erschließung und Entwicklung der Künste (§ 5 Abs. 1 Z 4 leg. cit.);
– Nationale und internationale Kooperationen (§ 5 Abs. 1 Z 5 leg. cit.);
– Qualitätsmanagementsystem (§ 5 Abs. 1 Z 6 leg. cit.);
– Ziele und Profil der Institution (§ 5 Abs. 2 lit. a leg. cit.);
– Entwicklungsplan (§ 5 Abs. 2 lit. b leg. cit.);
– Organisation (§ 5 Abs. 2 lit. c leg. cit.);
– Raum und Infrastruktur (§ 5 Abs. 2 lit. d leg. cit)
– Studiengänge (§ 5 Abs. 2 lit. e leg. cit.).
Gemäß dem vorgeschlagenen § 6 Abs. 3 PUG dürfen darüber hinaus:
– die zuständige Bundesministerin oder der zuständige Bundesminister und
zur Erfüllung ihrer Aufgaben personenbezogene Daten gemäß Art. 4 Nr. 1 DSGVO von Studierenden und dem Personal der Privatuniversitäten, verarbeiten.
Die Verarbeitung erfolgt im Rahmen der Qualitätssicherung von Studien der Privatuniversitäten. Durch die Information der Entwicklungen der Prüfbereiche, soll der Agentur die Möglichkeit von Vergleichsprüfungen eingeräumt werden. Deshalb ist die AQ Austria ermächtigt, nach dem Zeitpunkt der Akkreditierung, die Bereitstellung von Informationen zu verlangen (ErläutRV 1222 d BlgNR 24. GP 35).
Der Zweck der Regelung ist das Berichtswesen. Es soll Information über die laufende Entwicklung der Privatuniversität an die AQ-Austria übermittelt werden. Dadurch wird es der AQ Austria ermöglicht, ihren Aufgaben nachzukommen. Das Berichtswesen soll die systematische Entwicklung und Sicherung der Qualität der Leistungen der Privatuniversitäten sicherstellen. Die vorliegende Regelung betrifft die externe Qualitätssicherung. Die Angaben der Informationen, die in § 6 PUG geregelt werden, dienen der Gewährleistung der Berechnung der Fördersummen und damit der Feststellung der Rechtmäßigkeit der Fördergebarung seitens des Bundes (ErläutRV 1222 d BlgNR 24. GP 35).
– der Nationalrat im Wege der zuständigen Bundesministerin oder des zuständigen Bundesministers,
– andere Bildungseinrichtungen im Rahmen der internationalen Zusammenarbeit im Bereich der Qualitätssicherung.
In § 6 PUG findet sich keine Regelung zur Speicherdauer, somit ist gemäß § 1 Abs. 3 PUG iVm § 2d Abs. 5 FOG die Speicherdauer grundsätzlich nicht beschränkt. Jedoch müssen die Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art. 5 DSGVO eingehalten werden. Danach dürfen die Daten nur solange gespeichert werden, wie sie dem Zweck angemessen sind.
Die verarbeiteten Daten der verschiedenen Prüfbereiche sind Voraussetzungen dafür, dass die Agentur für Qualitätssicherung und Akkreditierung Austria ihren Aufgaben nachkommen kann. Die Formen der Verarbeitung werden nicht eingeschränkt. Weitere Daten gemäß § 6 Abs. 3 PUG sind zur Gewährleistung der Berechnung der Fördersummen notwendig.
Die Zwecke werden in § 6 PUG festgelegt. Diese sind:
– die Erfüllung der Aufgaben der Agentur für Qualitätssicherung und Akkreditierung Austria (AQ Austria),
– gemäß § 6 Abs. 1 PUG die Erstellung eines Jahresberichtes,
– gemäß § 6 Abs. 2 PUG Bereitstellung von Informationen für Veröffentlichungen und
– gemäß § 6 Abs. 3 PUG Mitwirkung an statistischen Erhebungen zur Bereitstellung von Information über den Studienbetrieb.
Die Angabe der Zwecke in § 6 PUG ist eindeutig. Dass eine Verarbeitung mehrere Zwecke verfolgt werden darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“ müssen.
Die in § 6 PUG angegebenen Zwecke sind legitim, weil sie von den Öffnungsklauseln
– des Art. 9 Abs. 2 Buchstabe g („erhebliches öffentliches Interesse“) sowie
Die Verarbeitung der Daten ist erheblich, da die Verbesserung des Hochschulwesens für den Wohlstand entscheidend ist. Der Standortfaktor Wissen gewinnt zunehmend an Bedeutung. Bildung ist auch entscheidend für die Chancen am Arbeitsmarkt. Durch die im Rahmen dieser Studien erworbenen Abschlüsse, haben junge Menschen bessere Jobaussichten. Im Bericht Bildung in Zahlen 2015/2016 der Statistik Austria wird ausgeführt, dass für 25- bis 34-Jährige ohne weiterführenden Schulabschluss eine ca. sechs Mal höhere Wahrscheinlichkeit – im Vergleich zu Gleichaltrigen mit Hochschul- oder Akademieabschluss – besteht, arbeitslos zu sein (Statistik Austria, Bildung in Zahlen 2015/2016, 95; http://www.statistik.at/web_de/ services/publikationen/5/index.html?includePage=detailedView&section Name=Bildung%2C+Kultur&pubId=462 [29.01.2018]).
Die Erheblichkeit der Verarbeitung ergibt sich auch dadurch, dass der Staat der tertiären Ausbildung immer mehr Mittel zur Verfügung stellt (vgl. Bildungsausgabenstatistik, https://www.statistik.at/web_de/statistiken/ menschen_und_gesellschaft/bildung_und_kultur/formales_ bildungswesen/bildungsausgaben/081128.html [29.01.2018]).
Eine zeitliche Beschränkung der Speicherdauer wird in § 6 PUG nicht vorgesehen. Eine zeitliche Beschränkung würde zu einer Verhinderung der langfristigen Vergleichbarkeit der jährlichen Berichte gemäß § 6 Abs. 1 PUG führen. Der Speicherbegrenzung wirkt sich dadurch aus, dass die Daten nur für die Zweckerreichung verarbeitet werden. Sobald die Zweckerreichung nicht mehr gegeben ist, werden die Daten gelöscht.
– der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 2d Abs. 6 Z 6 FOG besteht;
Unter der Voraussetzung, dass die Privatuniversitäten ihre Prozesse so anpassen, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
– Name und Kontaktdaten des Verantwortlichen: durch Veröffentlichung z. B. auf der Website der AQ Austria (10.01.2018);
– die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 6 PUG als Bundesgesetz im Bundesgesetzblatt;
– die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt
– die Aufzählung der Kategorien personenbezogener Daten, die verarbeitet werden: durch Publikation des § 6 PUG als Bundesgesetz im Bundesgesetzblatt sowie
– der Datenquellen: durch Publikation des vorliegenden Entwurfes, insbesondere des § 6 PUG als Bundesgesetz im Bundesgesetzblatt.
Eine Übermittlung in Drittländer wäre nach § 1 Abs. 3 PUG iVm den §38a (4) FOG grundsätzlich zulässig. Allerdings sind die Regelungen des § 38a FOG nur leges speciales gegenüber den allgemeinen Bestimmungen des DSG, sodass speziellere Bestimmungen, wie § 6 PUG über das Berichtswesen, dem §38a FOG vorgehen. Gemäß § 6 PUG ist eine Übermittlung in Drittländer zwar nicht ausgeschlossen, aber sehr restriktiv zu sehen und nur dann zulässig, wenn dies für die Erfüllung der Aufgaben gemäß § 3 Abs. 3 HS-QSG erforderlich ist.
Diese Risiken sind für Verarbeitungen im Rahmen des Berichtswesens der Privatuniversitäten an die AQ Austria vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten.
Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden ebenfalls ein. Diese sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen genormt. Es sind insbesondere § 302 (Amtsmissbrauch) und § 310 („Verletzung des Amtsgeheimnisses“) StGB, die Schäden vorbeugen (RIS-Justiz, RS0054100). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt.
– Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen,
– § 7a Abs. 11 des Bildungsdokumentationsgesetzes: es sind entsprechende Datensicherheitsmaßnahmen zu setzen und
– insbesondere folgende Bestimmungen des 22. Abschnittes im Strafgesetzbuch:
– der Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO,
– § 7a Abs. 11 Bildungsdokumentationsgesetz: es sind entsprechende Datensicherheitsmaßnahmen zu setzen und
– insbesondere folgender Bestimmungen des 22. Abschnittes im Strafgesetzbuch:
Eine Minimierung der Verarbeitung personenbezogener Daten wird dadurch sichergestellt, dass die Daten nur für die Dauer der Erreichung des Zweckes verarbeitet werden. Wie lange das genau sein wird, kann im Vorhinein nicht gesagt werden. Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes.
Eine Pseudonymisierung ist in § 6 PUG nicht vorgesehen. Die schnellstmögliche Pseudonymisierung personenbezogener Daten wird durch Art. 89 DSGVO sichergestellt, der vorsieht, dass „technische und organisatorische Maßnahmen [zu] bestehen [haben], mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören“. Diese hat schnellstmöglich zu erfolgen.
Durch die Publikation des § 6 PUG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten im Zuge des Berichtswesens der Privatuniversitäten an die AQ Austria von der Öffentlichkeit kostenlos nachvollzogen werden.

References: § 6
 Art. 35
 § 6
 Art. 35
 Art. 9
 § 6
 § 6
 Art. 4
 § 6
 § 6
 § 1
 § 2
 Art. 5
 § 6
 § 6
 § 6
 § 6
 § 6
 § 6
 Art. 5
 § 6
 Art. 9
 § 6
 § 6
 Art. 21
 § 2
 Art. 35
 § 6
 § 6
 § 6
 § 1
 §38
 § 38
 § 6
 §38
 § 6
 § 3
 Art. 25
 Art. 32
 § 302
 § 310
 § 2
 § 2
 § 2
 § 2
 Art. 25
 § 7
 Art. 32
 Art. 83
 § 7
 § 2
 § 6
 Art. 89
 § 6