Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681194.html
Timestamp: 2018-03-20 18:02:23+00:00

Document:
Anhang 1: Datenschutz-Folgenabschätzung zu § 4 Abs. 11 FHStG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Vergabe von Matrikelnummern an Fachhochschulen gemäß § 4 Abs. 11 des Fachhochschul-Studiengesetzes (FHStG), BGBl. Nr. 340/1993. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Fachhochschulen sollen, durch eine Novellierung des Bildungsdokumentationsgesetzes, an den Datenverbund der Universitäten und Pädagogischen Hochschulen angebunden werden. Jede Hochschule, die dem Datenverbundsystem angeschlossen ist, hat diesem studierenden-, studien- und studienbeitragsbezogene Daten zu übermitteln (vgl. § 7a des Bildungsdokumentationsgesetzes). Die Art der Verarbeitung wird nicht eingeschränkt (vgl. Anlage 3 zu § 7a Abs. 4 des Bildungsdokumentationsgesetzes).
Die von § 4 Abs. 11 FHStG iVm § 7a Abs. 4 iVm Anlage 3 zu § 7a Abs. 4 des Bildungsdokumentationsgesetzes umfassten Daten sind:
– Einordnungsdaten: meldende Hochschule, Bezugssemester und
Statistikmarken für die Personen- und Studienzählung (Z 1);
– Personendaten: Vorname(n) und Familienname, Geburtsdatum,
Geschlecht, Staatsangehörigkeit, akademische Grade, Anschrift am
Heimatort und Zustelladresse (Z 2);
– Studienbeitragsdaten: Studienbeitragsstatus, Beträge und
Valutadatum der Beitragsvorschreibung, Beträge und Valutadatum
der allfälligen Nachforderung, Auftrag für den Erlagscheindruck
samt Datum, Bezahlungsstatus und Ist-Betrag, letztes
Buchungsdatum und Studienbeitragskonto der Universität (Z 3);
– Studiendaten: Kennzeichnung des Studiums, Antrags-, Zulassungs-
oder Beginndatum des Studiums, Form, Datum und
Ausstellungsstaat der allgemeinen Universitätsreife,
Zulassungsstatus, Meldung der Fortsetzung des Studiums bzw. der
Inskription und die Art der internationalen Mobilität und Gastland
des Auslandsaufenthaltes (Z 4);
– Studienerfolgsdaten: Kennzeichnung des Studiums,
Semesterstunden abgelegter Prüfungen, Semesterstunden positiv
beurteilter Prüfungen, erlangte ECTS-Credits und Art und Datum
von erfolgreich ablegten Prüfungen, die ein Studium oder einen
Studienabschnitt abschließen (Z 5) und
– Daten zu Studienberechtigungsprüfungen: laufende Nummer des
Studienberechtigungsfalles, Kennzeichnung des Studiums bzw. der
Studienrichtungsgruppe, Datum des Antrages auf Zulassung zur
Studienberechtigungsprüfung und Datum der erfolgreichen
Ablegung der Studienberechtigungsprüfung (Z 6).
Die Verarbeitung soll eine Einbindung von Erhaltern von Fachhochschul-Studiengängen und Privatuniversitäten in ein einheitliches Matrikelnummernsystem ermöglichen. Dies setzt eine Anbindung der Erhalter von Fachhochschul-Studiengängen und Privatuniversitäten an den Datenverbund der Universitäten und Pädagogischen Hochschulen voraus, was mittels einer Novellierung des Bildungsdokumentationsgesetzes erfolgen soll.
Mit dem vorgeschlagenen § 4 Abs. 11 FHStG soll die Administration von gemeinsam eingerichteten Studien ermöglicht werden. Es wird die Durchlässigkeit, die Administrierbarkeit und die Praktikabilität solcher Studien gefördert.
Die Verarbeitung der Daten erfolgt zur Schaffung eines einheitlichen Matrikelnummernsystems (§ 4 Abs. 11 FHStG).
Im Rahmen der Novellierung des Bildungsdokumentationsgesetzes soll es zu einer Anbindung der Erhalter von Fachhochschul-Studiengängen und Privatuniversitäten an den Datenverbund der Universitäten und Pädagogischen Hochschulen kommen. Empfängerinnen und Empfänger der Daten wird daher der Datenverbund sein.
Der Datenverbund hat die Daten der letzten acht Semester zu beinhalten. Heimatort und Zustelladresse sind für zehn Jahre zu speichern. Bestimmte Merkmale der Studierenden sind, zur Gewährleistung einer ordnungsgemäßen Vergabe von Matrikelnummern, 99 Jahre zu speichern (§ 7a Abs. 9 des Bildungsdokumentationsgesetzes).
Aufgrund der Anlage 3 zu § 7a Abs. 4 Z 1 des Bildungsdokumentationsgesetzes ist jede Form der Verarbeitung zulässig. Gemäß § 7a Abs. 1 des Bildungsdokumentationsgesetzes dient die Verarbeitung der Vollziehung universitäts- und hochschulübergreifend wahrzunehmender Vorschriften.
Der Zweck ist in § 4 Abs. 11 FHStG festgelegt. Er besteht in der Zuordnung einer Matrikelnummer an Studienwerberinnen oder Studienwerber anlässlich einer erstmaligen Zulassung.
Die Angabe des Zwecks in § 4 Abs. 11 FHStG ist eindeutig: die Daten dürfen nur verarbeitet werden, soweit dies zur Erreichung des angegebenen Ziels erforderlich ist. Ein zukünftiges, einheitliches Matrikelnummernsystem bildet die Grundlage für die Administration von gemeinsam eingerichteten Studien.
Der in § 4 Abs. 11 FHStG angegebene Zweck ist legitim, weil er von den Öffnungsklauseln
gedeckt und in § 4 Abs. 11 FHStG vorgesehen ist.
Durch diese Regelung wird eine Durchführung von gemeinsam eingerichteten Studien ermöglicht (vgl. IA 2235/A 25. GP 116) und eine Rechtsgrundlage für die Durchführung gemeinsam eingerichtete Studien geschaffen. Die Norm führt zu einer Durchlässigkeit des Systems, was dazu führen soll, junge Menschen zu motivieren, ein Studium zu beginnen.
In Bezug auf die Datenarten darf, da es zu einer Einbindung an den Datenverband kommen soll, auf die Anlage 3 zu § 7a Abs. 4 des Bildungsdokumentationsgesetzes verwiesen werden. Die Datenarten werden hier abschließend angegeben. Die Verarbeitung dieser Daten ist angemessen, weil alle Daten zur Erreichung des Zieles notwendig sind. Ohne diese aufgezählten Daten kann es nicht zur Durchführung von gemeinsam eingerichteten Studien kommen. Des Weiteren ist, wie unter Punkt „Speicherdauer“ ausgeführt, die Speicherdauer zeitlich beschränkt. Die Empfängerinnen und Empfänger sind auf jene Hochschulen eingeschränkt, mit denen gemeinsame Studien geführt werden.
Name=Bildung%2C+Kultur&pubId=462; [29.01.2018]) wird auf der Seite 95 ausgeführt, dass für 25- bis 34-Jährige ohne weiterführenden Schulabschluss eine ca. sechs Mal höhere Wahrscheinlichkeit, im Vergleich zu Gleichaltrigen mit Hochschul- oder Akademieabschluss, besteht, arbeitslos zu sein. Die Bildungsbeteiligung der 20- bis 29-Jährigen ist in Österreich unter dem EU-Schnitt (vgl. Bildung in Zahlen 2015/2016, Statistik Austria, 39) Auf Seite 42 der Studie wird ausgeführt, dass die Zahl der Hochschulstudienabschlüsse von 13.800 im Studienjahr 1994/95 auf 34.539 im Studienjahr 2014/2015 gestiegen ist und das bereits jeder vierte Hochschulabschluss an einer Fachhochschule erworben wird. Um das Angebot und die Attraktivität der Studien weiter zu erhöhen, um dadurch auch eine höhere Bildungsbeteiligung zu erreichen, wird eine Rechtsgrundlage für die Administration von gemeinsam eingerichteter Studien geschaffen.
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die Speicherdauert beschränkt wird und die Daten, die verarbeitet werden dürfen, abschließend aufgezählt werden.
Eine zeitliche Beschränkung der Speicherdauer wird im Rahmen des Bildungsdokumentationsgesetzes vorgesehen werden. Der Datenverbund hat die letzten acht Semester zu beinhalten. Heimatort und Zustelladresse sind für zehn Jahre zu speichern. Bestimmte Merkmale der Studierenden zur Gewährleistung einer ordnungsgemäßen Vergabe von Matrikelnummern sind 99 Jahre zu speichern (§ 7a Abs. 9 des Bildungsdokumentationsgesetzes).
Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine Datenschutz-Folgenabschätzung auch die transparente Information gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 13 und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mitteilungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind:
nur im Rahmen des § 5 Abs. 7 FOG besteht;
werden sollen: durch Publikation des § 4 Abs. 11 FHStG als
werden: durch Publikation der Anpassung des
Bildungsdokumentationsgesetzes als Bundesgesetz im
Unter der Voraussetzung, dass die Hochschulen ihre Prozesse gegebenenfalls so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Gemäß § 7a Abs. 2 des Bildungsdokumentationsgesetzes ist die Bundesrechenzentrum GmbH Auftragsverarbeiterin und bietet hinreichend Garantien dafür, dass die Rechte der betroffenen Personen geschützt werden.
Eine Übermittlung in Drittländer wäre nach § 1 Abs. 2 FHStG iVm den §§ 5 und 13 FOG grundsätzlich zulässig. Allerdings sind die Regelungen der §§ 5 ff FOG nur leges speciales gegenüber den allgemeinen Bestimmungen des DSG, sodass speziellere Bestimmungen, wie § 4 Abs. 11 FHStG über die Vergabe von Matrikelnummern, den §§ 5 ff FOG vorgehen. Gemäß § 4 Abs. 11 FHStG ist eine Übermittlung in Drittländer zwar nicht ausgeschlossen, aber sehr restriktiv zu sehen und nur dann zulässig, wenn dies für die Zweckerreichung notwendig ist.
Diese Risiken sind für Verarbeitungen im Rahmen der Vergabe von Matrikelnummern vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten.
Des Weiteren hat der Betreiber des Datenverbunden gemäß § 7a Abs. 11 des Bildungsdokumentationsgesetzes dafür zu sorgen, dass entsprechende Datensicherheitsmaßnahmen gesetzt werden.
Die Diskriminierung im Rahmen der Verarbeitung für die Vergabe von Matrikelnummern an Fachhochschulen ist aufgrund folgender Maßnahmen nahezu ausgeschlossen:
Eine Minimierung der Verarbeitung personenbezogener Daten wird dadurch vorgeschrieben, dass die Speicherung der Daten zeitlich begrenzt wird. Zusätzlich werden jene Daten, die verarbeitet werden, in der Anlage 3 zu § 7a Abs. 4 des Bildungsdokumentationsgesetzes abschließend aufgezählt.
Durch die Publikation des § 4 Abs. 11 FHStG und der zu erlassenen Regelungen im Bildungsdokumentationsgesetz als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei der Vergabe von Matrikelnummern an Fachhochschulen von der Öffentlichkeit kostenlos nachvollzogen werden.
Die Öffnungsklausel des Art. 23 Abs. 1 DSGVO wird in Anspruch genommen. Dies ist gerechtfertigt, weil es sich um ein wichtiges Ziel des allgemeines öffentlichen Interesse des Mitgliedstaates Österreich handelt. Die Beschränkung ist erforderlich, weil damit eine Vergabe von Matrikelnummern an Fachhochschulen gewährleistet werden kann.
Gemäß Art. 32 DSGVO sind Datensicherheitsmaßnahmen auch bei der Vergabe von Matrikelnummern zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.

References: § 4
 Art. 35
 § 4
 Art. 35
 Art. 9
 § 7
 § 7
 § 4
 § 7
 § 7
 § 4
 § 7
 § 7
 § 4
 § 4
 § 4
 § 4
 § 7
 Art. 12
 Art. 13
 § 5
 § 4
 Art. 15
 Art. 35
 § 7
 § 1
 § 4
 § 4
 Art. 25
 Art. 32
 § 7
 § 7
 § 4
 Art. 23
 Art. 32
 Art. 35
 Art. 32