Source: http://www.argedaten.at/php-generiert/Datenschutzrat_DSR_DSK_datenschutz_seminar_at_privacyday_at_Bildungsdokumentation_Sch%C3%BCler%C3%BCberwachung_nicht_datenschutzkonform.html
Timestamp: 2019-02-17 18:52:42
Document Index: 254501237

Matched Legal Cases: ['OGH', '§1', '§8', '§4', '§5', '§8', 'Art. 2', '§1', '§8', 'Art. 8', '§1', '§1', '§8', '§17', '§ 6', '§ 9', '§ 26', '§ 1', 'OGH', 'Art 2', '§4', '§10', 'Art. 8', '§1']

Bildungsdokumentation - Schülerüberwachung nicht datenschutzkonform
Das Bildungsdokumentationsgsetz (BilDokG2003) stellt einen "logischen" und schon vor zwanzig Jahren vorhergesagten Schritt bei der Entwicklung zum gläsernen Schüler dar. Durch die Einführung der Schulverwaltungsprogramme wurde ein wesentlicher Teil der schulinternen Verwaltung digitalisiert und Daten somit allgemein verfügbar gemacht. Mit dem BilDokG2003 wird ein erster Teil dieser Daten zentralisiert gesammelt. Es bedarf keiner besonderen prognostischen Fähigkeiten, dass auch weitere Teile der Schulverwaltung in Zukunft zentral gesammelt werden (unter dem Vorwand einer verbesserten Bildungsplanung) und dass auch die mittels edu.card (vergleichbar der eCard, derzeit ein Pilotprojekt des Unterrichtsministeriums) gesammelten Daten über den Schulalltag zentral gesammelt werden.
Seit drei Jahren Datenfriedhof
Die derzeit gesammelten Daten, insbesondere die Daten zu Staatsangehörigkeit, Muttersprache, Förderbedarf, Religionsunterricht, Nachmittagsbetreuung, vorzeitiger Schulabgang, Zahl der Nichtgenügend im Jahreszeugnis, Besuch von Sonderschulen und Schulwiederholungen stellen eine potentielle Belastung der persönlichen Entwicklung der Betroffenen dar. Der OGH hat (siehe 8ObA288/01p) schon mehrfach festgestellt, dass die Menschenwürde bereits dann berührt ist, wenn eine Kontrollmaßnahme [Datenaufzeichnung, Anm.] beim "davon betroffenen Arbeitnehmer das dauernde Gefühl einer Überwachung entstehen lasse." Bei einer Speicherung von Schuldaten über einen unübersehbar langen Zeitraum kann sehr wohl von demselben Sachverhalt ausgegangen werden.
Die meisten Daten sind sowieso bloß im Zusammenhang mit dem bestehenden Schulgesetz interpretierbar und verwendbar. Künftige schulpolitische Änderungen werden die Daten für Vergleichsstatistiken wertlos machen. Und wenn wir nicht viel über die Zukunft der österreichischen Bildungspolitik wissen- soviel ist sicher: Die Gesetze von heute werden in 20,30 oder 40 Jahren nicht mehr gültig sein.
Daten-Ausfälle von 50% in den ersten Jahren
Da seit nunmehr drei Jahren keine Bildungsstatistik mehr veröffentlicht wird und auch die Datenerhebung der letzten drei Jahre Ausfälle von bis zu 50% in verschiedenen Bereichen verursachte (siehe Standard 11.11.04, 650.000 von 1,2 Mio.), ist kein Nutzen des bestehenden BilDokG2003-Konzepts erkennbar. Auch in Zukunft ist nicht zu erwarten, dass die Daten wesentlich bessere statistische Ergebnisse liefern werden als eine methodische Erhebung aggregierter Daten.
Vermengung von Behördenzugriffen mit Statistik
Während in §1 BilDokG2003 allgemein von der Erstellung von Bildungsstatistiken als Zweck des Gesetzes gesprochen wird, werden in §8 Abs. 1 unter der Überschrift "Erteilung von Auskünften und Zugang zu Daten" eine Reihe von Behörden genannt, die personenbezogenen Zugang zu den Daten des BilDokG2003 erhalten sollen.
Etwa dürfen folgende Institutionen die verwendeten Daten zu den entsprechenden Zwecken abfragen:
Die Schulbehörden des Bundes zum Zweck der Wahrnehmung der ihnen gesetzlich übertragenen Aufgaben (Planung, Steuerung und Wahrung der gesetzlichen Aufsichtspflichten),
das Bundesinstitut für Bildungsforschung, Innovation und Entwicklung des Bildungswesens zum Zweck der Wahrnehmung der diesem gesetzlich übertragenen Aufgaben,
die Organe des Bundes in Angelegenheiten des Familienlastenausgleichs sowie den Gerichten in gerichtlichen Unterhaltsverfahren und gerichtlichen Verfahren über die Gewährung von Unterhaltsvorschüssen,
die Gebietskörperschaften in Angelegenheiten ihrer Schulerhalterschaft,
der Hauptverband der österreichischen Sozialversicherungsträger bzw. die Sozialversicherungsträger in Angelegenheiten der Kranken-, Unfall- und Pensionsversicherung.
"Indirekt personenbezogene Daten" als österreichische Skurrilität
Sowohl das DSG 2000 (§4 Z1), als auch das BilDokG2003 (§5 Abs. 2, §8 Abs. 5) verwenden den Terminus "indirekt personenbezogene Daten". Dieser Terminus ist ein österreichisches Spezifikum, das keine Deckung in der EG-Richtlinie 95/46/EG findet.
Gemäß 95/46/EG Art. 2 sind '"personenbezogene Daten" alle Informationen über eine bestimmte oder bestimmbare natürliche Person ("betroffene Person"); als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann, insbesondere durch Zuordnung zu einer Kennnummer oder zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrerphysischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind;'
Österreich ist mit EG-Richtlinie 95/46/EG verpflichtet alle personenbezogenen Daten sachlich demselben Schutz zu unterziehen und dieselben Datenschutzbestimmungen anzuwenden.
Dies erfolgt jedoch im Fall der BilDokG2003 nicht. So werden die im DSG verfassungs- und einfachgesetzlich verankerten Betroffenenrechte (§§1,26,27,28 und 31 DSG 2000) geschmälert und durch wesentlich weniger engere Rechte (§8 Abs. 5 BilDokG2003) ersetzt.
Nach diesen Bestimmungen besteht nur ein beschränktes Auskunftsrecht und auch die Beschwerdemöglichkeiten vor der Datenschutzkommission sind ausgeschlossen (K210.481) und es besteht nur die Möglichkeit der unverbindlichen Anrufung der Datenschutzkommission als Kontrollstelle.
Überlange Speicherdauer
Als besonders problematischer Grundrechtseingriff ist die überlange Speicherdauer der BilDokG2003-Daten für die Zwecke der Bildungsstatistik anzusehen. Es lassen sich zwar grundsätzlich immer wissenschaftlich "interessante" Fragestellungen finden, die noch so umfassende Datenerhebungen, -verwertungen und -speicherungen rechtfertigen, doch wird ein gesetzlicher Eingriff, wie es das BilDokG2003 darstellt an den Bestimmungen der EMRK Art. 8 und dem DSG 2000 §1 (beides Verfassungsbestimmungen) zu messen sein.
Der durch die BilDokG2003 durchgeführte Grundrechtseingriff muss das gelindeste zum Ziel führende Mittel sein (§1 Abs. 2 DSG 2000).
Auch der Verfassungsgerichtshof hat festgehalten, dass eine Löschungsverpflichtung- unabhängig von einzelgesetzlichen Regelungen- dann besteht, wenn die Daten nicht mehr zur Verfolgung des gesetzlichen Zweckes nötig sind. (VfGH 16.3.2001, 16.150)
Bildungsdokumentation bisher ohne ausreichende Datenschutzregistrierung
Obwohl das BilDokG2003 in §8 personenbezogene Auskunftserteilung und für die Abfrageberechtigten einen entsprechenden Datenzugang vorsieht, fehlt eine entsprechende DSG - konforme Registrierung (§17 DSG 2000) der BilDokG2003-Datenanwendung, zumindest was die Daten der Schüler betrifft. Die Bildungsdokumentation wird somit im vierten Jahr ihres Bestehens immer noch entgegen den Datenschutzbestimmungen betrieben.
Vernichtendes grundrechtliches Resumee
1. Das Bildungsdokumentationsgesetz enthält keinerlei geeignete gesetzliche Zielbestimmung, widerspricht somit den Vorgaben des § 6 DSG.
2. Das Bildungsdokumentationsgesetz sieht die Verwendung sensibler Daten vor, ohne, dass hierzu ein Ausnahmetatbestand nach § 9 DSG gegeben wäre.
3. Die Beschränkung, welche das Bildungsdokumentationsgesetz in Hinblick auf das Auskunftsrecht gegenüber § 26 DSG vorsieht, ist sowohl verfassungs -als auch europarechtlich betrachtet problematisch.
4. Die überlange Speicherdauer von Daten widerspricht-im Zusammenhalt mit der mangelnden gesetzlichen Zielbestimmung- dem im Verfassungsrang stehenden § 1 DSG.
Verschlüsselung, Pseudonymisierung, Anonymisierung
Im Zusammenhang mit dem BilDokG2003 tauchen mehrfach die Begriffe Verschlüsselung, Pseudonymisierung und Anonymisierung auf. Wobei von vielen Beteiligten - bewusst oder unbewusst - diese Begriffe vertauscht oder irreführend eingesetzt werden.
Unbestritten ist, dass die dem Unterrichtsministerium/Statistik Austria gemeldeten BilDokG2003-Daten nicht nach einer statistischen Auswertung aggregiert werden, sondern als individuelle Datensätze erhalten bleiben und zumindest sechzig Jahre gespeichert werden.
Verschlüsselung liegt nur dann vor, wenn zwischen zwei Stellen durch ein gemeinsames Geheimnis die Rekonstruktion bzw. Kenntnisnahme von Daten durch Dritte nicht möglich ist.
Verschlüsselung ist ein höchst individueller Vorgang. Ein typisches Merkmal wirksamer Verschlüsselung ist, dass dieselbe Information nach verschiedenen Verschlüsselungsvorgängen nicht dasselbe Aussehen hat. Typische Anwendungen für die Verschlüsselung sind Mailübertragungen oder Webseitenübertragungen mittels SSL- oder TLS-Standard.
Von Kodierung spricht man in der Informationstechnik, wenn Daten aus einem Format in ein anderes Format umzuwandeln sind. Der vorliegende Text wird in einem für Menschen nicht (nur erschwert) lesbaren propriäteren MSWord-Format kodiert und gespeichert und durch Programme wie MSWord wieder zurückgewandelt. Für seine Übertragung kann es zusätzlich erforderlich sein ihn auch BASE64-kodiert zu speichern.
Im Unterschied zur Verschlüsselung handelt es sich bei der Kodierung um einen Mechanismus, der für alle Fälle (im konkreten Fall für die eingegebene Sozialversicherungsnummer) dasselbe Endergebnis liefert und von einer breiten Zahl von Personen und Stellen verwendet werden kann.
Pseudonymisierung (auch Einwegkodierung) ist als Sonderfall der Kodierung zu verstehen und wird dann angewandt, wenn in Zukunft eine Personalisierung der Daten offengehalten und/oder erwünscht ist.
Pseudonymisierung stellt somit nur einen adhoc-Schutz gegen technische Angriffe unbefugter Personen dar, nicht jedoch einen langfristigen Schutz gegen das Decodieren der Daten oder gegen eine spätere Personalisierung der Daten (aus welchen gesellschaftspolitischen Erwägungen heraus auch immer). Wird heute die Entscheidung getroffen, Daten sechzig Jahre lang pseudonymisiert aufzubewahren, nimmt der Gesetzgeber in Kauf, dass diese Daten unter völlig veränderten politischen Gegebenheiten und zu völlig anderen Zwecken als sie ursprünglich gesammelt wurden, personenbezogen verwertet werden können. Es kann auf diesen Weg nicht wirksam ausgeschlossen werden, dass die Daten zwar nach den dann geltenden gesetzlichen Bestimmungen verwendet werden, diese Bestimmungen aber den ursprünglichen Zwecken entgegenstehen.
Pseudonymisierung langfristig ungeeignet um Anonymität zu sichern
Pseudonymisierung ist daher keine langfristig geeignete Maßnahme zum Schutz der Privatsphäre, sondern nur ein kurzfristig wirksamer Mechanismus und wird üblicherweise nur als Zwischenschritt zwischen Personalisierung von Daten und - nach Abschluss der entsprechenden Studien oder Auswertungen - deren endgültigen Anonymisierung verwendet.
Interessant ist in diesem Zusammenhang die jüngst ergangene OGH-Entscheidung (9 ObA 109/06d), die im Zusammenhang mit der Erfassung von Fingerabdrücken zu folgendem Ergebnis gelangt: "Bei biometrischen Daten handelt es sich nach einhelliger Auffassung um personenbezogene Daten sowohl iSd Art 2 lita Datenschutz-Richtlinie 95/46/EG als auch iSd §4 Z1 DSG 2000. Der Begriff 'personenbezogene Daten' ist weit zu verstehen. Es handelt sich dabei um sämtliche Informationen über eine natürliche Person, unabhängig davon welchen Aspekt der Person sie betreffen (Brodil, ZAS 2004/28, 157 ua). Biometrische Verfahren speichern in der Regel nicht die biometrischen Rohdaten für spätere Identifikationsprozesse, sondern verwenden - wie auch im vorliegenden Fall - sog 'Templates' (Datensätze). Diese enthalten in komprimierter Form die wesentlichsten Informationen des biometrischen Merkmals und reichen in der Regel aus, um in der Folge über Ähnlichkeitsvergleiche Personen reidentifizieren zu können (s näheres Parziale/Riemer-Hofer, juridikum 2004, 79 ua). Im Normalfall lässt sich aus dem Template das biometrische Merkmal nicht rekonstruieren. Trotz der Einwegfunktion des Templates handelt es sich aber um ein personenbezogenes Datum, da die Identität des Betroffenen bestimmt oder bestimmbar ist."
"Verlaufsstatistik" führt zu lebenslanger Überwachung
Neben der Notwendigkeit Datensätze für die behördlichen personenbezogenen Abfragen identifizierbar zu halten, wird die Identifizierbarkeit der einzelnen Datensätze ausschließlich mit der Notwendigkeit Verlaufsstatistiken zu erstellen (§10 BilDokG2003), begründet.
Die Angemessenheit dieser Anforderung ist jedoch ebenfalls in Hinblick auf Bestimmungen der EMRK Art. 8 und dem DSG 2000 §1 (beides Verfassungsbestimmungen) zu prüfen. Wiewohl es grundsätzlich interessante wissenschaftliche Fragestellungen geben mag, zu deren Beantwortung komplexe Datenverknüpfungen erforderlich sind, muss jede Datenverwendung auch an ihrer bildungspolitischen Relevanz im Verhältnis zum Grundrechtseingriff gemessen werden.
So mag es eine spannende Frage darstellen, herauszufinden, welche vor 15 Jahren im ländlichen Raum geborenen Personen nach der Pflichtschule in die Stadt zogen und umgekehrt. Wesentliche bildungspolitische Maßnahmen oder Schlußfolgerungen sind angesichts der großen Zeitabstände nicht zu erwarten, es sei denn man gehe von einer seit Jahrzehnten im wesentlichen statischen Gesellschaft und einer statischen Bildungskonzeption aus.
Davon abgesehen wäre jedoch eine beliebig große Zahl von ebenso "interessanten" bildungspolitischen Fragen denkbar, die durch die derzeitige Datenerhebung nicht abgedeckt ist. Etwa der "Zusammenhang von Berufswahl und Schulerfolg in bestimmten Fächern (Fach Biologie, Beruf Mediziner, ....)" oder "Fremdsprachenkenntnis und Bereitschaft zu Emigration, berufliche Mobilität, ..." oder "Berufserfolg und Notendurchschnitt" usw.
Es ist daher das Gesamtkonzept der personenbezogenen Verlaufsstatistik als überschießender Grundrechtseingriff abzulehnen. Dies umso mehr, als genügend valide statistische Verfahren existieren, die derartige Strömungsanalysen auch mit anonymisierten Daten ermöglichen.
Dazu sei nur auf die gängigen Wählerstromanalysen nach geheimen Wahlen verwiesen. Auch hier wäre es interessant, individueller über die Motive der Nichtwähler, aber auch bestimmter Wähler informiert zu sein, auch warum sie von einer Partei zu einer anderen wechseln. Tatsächlich kommt jedoch niemand auf die Idee auf Grund dieser "interessanten" Fragestellungen das geheime Wahlrecht in Frage zu stellen und durch ein Pseudonymisierungs- oder Verschlüsselungsverfahren zu ersetzen.
Verknüpfungsmöglichkeit
Die Verwendung der Sozialversicherungsnummer erlaubt unabsehbare Verknüpfungsmöglichkeiten mit anderen Datenbeständen. Durch die Verknüpfung der SV-Nummer mit dem zentralen Melderegister könnten auch alle Datenbestände, die mit einer ZMR-Zahl, einer Stammzahl oder einem bereichsspezifischen Personenkennzeichen gemäß eGovernmentgesetz versehen sind, mit der Bildungsdokumentation verknüpft werden.
Kein Nutzungskonzept für Bildungsdokumentations-Daten
Zentrales operatives Problem des BilDokG2003 sind fehlende Zieldefinitionen und ein fehlendes Datennutzungskonzept. Es ist keine seriöse empirische sozialwissenschaftliche Studie vorstellbar, bei der vor einem Auswertungs- und Analyseplan mit der Datenerhebung begonnen wird. Es würde sich immer im Studienverlauf zeigen, dass bestimmte erhobene Daten nicht eindeutig sind und Differentialerhebungen und zusätzliche Datenerhebungen erforderlich sind.
Weder zum Zeitpunkt der Beschlussfassung, noch jetzt, fünf Jahre später, gibt es ein Konzept, welche bildungspolitischen Fragen man überhaupt mit den BilDokG2003-Daten beantworten möchte.
Datenschutzkonforme Alternative: lokale Archivierung
In Hinblick auf die modernen Informationstechnologien und die Tatsache, dass praktisch alle Schulen elektronische Schulverwaltungsprogramme einsetzen ist es ohne weiters zuzumuten jene Informationen, die zur Bestätigung eines Schulbesuchs erforderlich sind, in den Schulen aufzubewahren. Diese Schulbesuchsbestätigung, ist im wesentlichen durch das Jahresabschlusszeugnis zu erbringen. Ob derartige Schulbesuchsbestätigungen, abgesehen von Schulabgangszeugnissen derzeit überhaupt noch rechtliche Bedeutung haben, sollte einer genauen Evaluation unterzogen werden. Der vielfach genannte Nachweis für die Anrechnung von Pensionsversicherungszeiten für Schulbesuch dürfte in Hinblick auf die letzten pensionsrechtlichen Änderungen in dieser generellen Form nicht mehr zutreffen.
Selbst wenn man davon ausgehen würde, dass die Schulen durch die längerfristige elektronische Verwaltung von Daten überfordert sind, wozu es keinen Anlass gibt, wäre auch eine konventionelle Aufbewahrung leicht möglich und mit dem vorhanden Archivplatz machbar.
Laut der letzten verfügbaren Schulstatistik (2002/03)-verursacht durch das BilDokG2003 gibt es ja seither keine Statistiken mehr- bestehen in Österreich 6.694 öffentliche und private Schulen mit insgesamt 1.232.576 Schülern. Dies entspricht einem Durchschnitt von 185 Schülern pro Schule. Selbst wenn das Abschlusszeugnis als Kopie in Papierform aufbewahrt würde, wären dies im Schnitt 185 Blatt pro Jahr, was einem Umfang von 2 Zentimeter pro Jahr, was 1,2 Meter in einem Regal bei einer Aufbewahrungsdauer von 60 Jahren entspricht. Ein Dokumentations- und Platzaufwand, der ordentlich geführten Einrichtungen absolut zuzumuten ist.
Immer öfter wird - auch von Befürwortern des BilDokG2003 - zugestanden, dass die Konzeption des BilDokG2003 und die derzeitige Datensammlung missglückt und in sich inkonsistent ist. Auf gut Wienerisch einen ziemlichen Pfusch darstellt Ja, das Gesetz ist nicht optimal. Ja, man wisse noch nicht, was man mit den Daten auswerten wolle. Ja, die Verknüpfung von Behördenabfrage und Statistik ist ein Problem. Ja, seit drei Jahren habe man keine Bildungsstatistik mehr. Ja, noch nie gab es zu einer statistischen Erhebung so großen Widerstand.
Aber, so wird traditionalistisch und formalistisch argumentiert, da man schon viel Aufwand und Mühe in die Datensammlung gesteckt habe und es sei doch schade, wenn diese Mühe vergeblich wäre. Es müsse daher weitergemacht werden und die Daten erhalten bleiben. Dies ist eine bloß psychologisierende und bürokratische Argumentation und kann nicht unverhältnismäßige Grundrechtseingriffe rechtfertigen.
Besser ein Ende mit Schrecken, als Chaos ohne Ende. Drei Jahre Lehrzeit sollten genug sein und den Spuk zu beenden.
Ein Neustart der Schulstatistik ist unbedingt notwendig und sollte in mehreren Schritten erfolgen:
- Welche bildungsplanerischen Fragen muss ein Ministerium vernünftigerweise beantworten können?
- Was sind die gelindesten Mittel um die erforderlichen Daten mit einer ausreichenden Genauigkeit zu erheben?
- Welche gesetzlichen Anpassungen sind dazu erforderlich?
Im Regelfall wird man zu den meisten Fragestellungen mit quell-anonymisierten Daten (d.h. die Schulen liefern aggregierte Daten auf Schul-, Jahrgangs- oder Klassenebene) auskommen, in den meisten anderen Fällen werden anlassbezogene Studien mit evaluierter Stichprobe genauere, tiefere und aktuellere Daten liefern, auskommen.
Lösungsmodell für die Schulstatistik
In Hinblick auf die vielfältigen rechtlichen, technischen und grundsätzlichen Probleme mit der bestehenden BilDokG2003-Lösung wird folgende Alternative vorgeschlagen:
- Erstellung eines Nutzungskonzepts
- Anonymisierung an der Quelle
- Bereitstellung geigneter Erfassungshilfsmittel
- Tiefenuntersuchungen
- Verlaufsstatistiken nur auf Grund aggregierter Daten
- personenbezogene Bildungsbiographien auf freiwilliger Basis
- Keine personenbezogene Behördenabfragen
Ein Konzept, dass auch Bildungsplaner und Bildungstheoretiker befriedigen sollte.
Was tut die Ministerin?
Wir haben ihr vor einigen Wochen einige wenige harmlose Fragen zur Bildungsdokumentation gestellt (23.1.2007). Antwort: knapp über Null. "Man habe die Fragen an die zuständigen Stellen zur Beantwortung weitergeleitet".
Offensichtlich hat eine Gruppe technikfixierter Beamter mittlerweile die Gesamtgestaltungskontrolle im Bildungsministerium übernommen.
Die ARGE DATEN hat auf Grund der jüngsten Diskussionen eine umfassende Stellungnahme zur Bildungsdokumentation erstellt. Neben den grundrechtlichen Analysen wurden auch statistisch-operative Fragen behandelt und ein Konzept für die zukünftige Bildungsplanung entwickelt. Download der kompletten Stellungnahme: http://ftp.freenet.at/bil/bildok-stellungnahme.pdf.
- Personendaten - Dienstleister - Datenschutzrat - Datenschutzkommission - Datenverarbeitungsregister - DVR - privacyday.at - Cloud Computing - Vorratsdatenspeicherung - datenschutz tag - Whistleblowing - Web2.0 - Österreichisches Datenschutzgesetz - DSG 2000 - e-commerce - phishing - privacy - data protection law - data protection officer - internet