Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681199.html
Timestamp: 2018-03-21 16:57:35
Document Index: 91470199

Matched Legal Cases: ['§ 13', 'Art. 35', '§ 13', 'Art. 35', 'Art. 9', '§ 13', '§ 53', 'Art. 5', '§ 53', '§ 3', '§ 5', '§ 7', '§ 13', '§ 53', '§ 3', '§ 5', '§ 8', '§ 9', '§ 13', '§ 53', '§ 53', '§ 13', '§ 53', '§ 3', '§ 13', '§ 3', '§ 3', '§ 13', '§ 13', '§ 52', 'Art. 25', 'Art. 5', 'Art. 25', '§ 53', '§ 53', '§ 53', 'Art. 35', '§ 13', '§ 13', '§ 1', '§ 5', '§ 5', '§ 13', '§ 5', '§ 13', '§ 53', 'Art. 25', 'Art. 32', '§ 7', '§ 302', '§ 310', '§ 53', 'Art. 89', '§ 13', 'Art. 23', 'Art. 32', 'Art. 35', 'Art. 32']

Anhang 2: Datenschutz-Folgenabschätzung zu § 13 Abs. 8 FHStG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Aufbewahrung von fachhochschulspezifischen Daten gemäß § 13 Abs. 8 des Fachhochschul-Studiengesetzes (FHStG), BGBl. Nr. 340/1993. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Die Erhalter von Fachhochschul-Studiengängen haben gemäß § 13 Abs. 8 FHStG iVm § 53 des Universitätsgesetzes 2002 [UG], BGBl. I Nr. 120/2002, fachhochschulspezifische Daten aufzubewahren. Mangels eindeutiger Anordnung zur Art der Verarbeitung darf diese sowohl in Papierform als auch in automationsunterstützter Form erfolgen. Besondere Formen, die aufgrund ihres Spannungsverhältnisses zu Bestimmungen der DSGVO, wie insbesondere Art. 5 DSGVO, einer gesetzlichen Regelung bedürften, wie etwa Big Data, sind nicht vorgesehen und damit nicht zulässig.
Die Aufbewahrung umfasst folgende Datenarten (§ 53 Z 1 bis 6 UG):
– die Bezeichnung von Prüfungen oder das Thema der
wissenschaftlichen oder künstlerischen Arbeiten,
– die vergebenen ECTS-Anrechnungspunkte,
– die Beurteilung,
– die Namen der Prüferinnen und Prüfer oder der Beurteilerinnen und
Beurteiler,
– das Datum der Prüfung oder der Beurteilung sowie
– den Namen und die Matrikelnummer der oder des Studierenden.
Die Verarbeitung erfolgt im Kontext der Erstellung von Evidenzen der Studierenden (§ 3 des Bildungsdokumentationsgesetzes). Anschließend übermittelt das Rektorat der Fachhochschule die Daten aus den Evidenzen der Studierenden an den zuständigen Bundesminister, damit dieser die Gesamtevidenzen der Studierenden erstellen kann. (§§ 5 Abs. 1 Z 1 iVm § 7 des Bildungsdokumentationsgesetzes).
Die Aufbewahrung der Daten erfolgt auch im Kontext der Durchführung von gemeinsam eingerichteten Studien – wie der Begründung zum Initiativantrag (IA 2235/A 25. GP 116) ausgeführt wird.
Das Rektorat von Fachhochschul-Studiengängen führt Evidenzen von Studierenden, dafür erfolgt die Datenverarbeitung (vgl. § 13 Abs. 8 FHStG iVm § 53 UG iVm § 3 des Bildungsdokumentationsgesetzes). Ein weiterer Zweck ist es, eine Datengrundlage für gemeinsame Studien zu schaffen.
Die zuständige Bundesministerin oder der zuständige Bundesminister erhält die Daten, um eine Gesamtevidenz der Studierenden zu errichten (§§ 5 ff des Bildungsdokumentationsgesetzes). Die zuständige Bundesministerin oder der zuständige Bundesminister hat gemäß § 8 des Bildungsdokumentationsgesetzes die Möglichkeit, Schulbehörden des Bundes, eine Abfrageberechtigung zu erteilen. Der Bundesanstalt „Statistik Austria“ sind zur Erstellung einer Bundesstatistik zum Bildungswesen Daten zu übermitteln (vgl. § 9 Abs. 2 des Bildungsdokumentationsgesetzes).
Die Speicherdauer beträgt mindestens 80 Jahre (§ 13 Abs. 8 FHStG iVm § 53 UG).
Gemäß § 53 UG sollen die hochschulspezifischen Daten aufbewahrt werden. Dies ermöglicht die Führung von Studierendenevidenzen und die Einrichtung gemeinsamer Studien. Die abschließend aufgezählten Prüfungsdaten werden mindestens 80 Jahre in geeigneter Form aufbewahrt.
Der Zweck ist in § 13 Abs. 8 FHStG iVm § 53 UG iVm § 3 Abs. 3 Z 9 des Bildungsdokumentationsgesetzes festgelegt. Er liegt in der Führung der Evidenzen der Studierenden.
Die Angabe des Zwecks in § 13 Abs. 8 FHStG ist eindeutig: Die Daten dürfen nur gemäß § 3 Abs. 3 Z 9 des Bildungsdokumentationsgesetzes aufbewahrt werden. Dies erfolgt gemäß § 3 Abs. 1 des Bildungsdokumentationsgesetzes für Evidenzen der Studierenden, die eine Vollziehung aller schul- und hochschulrechtlichen Vorschriften ermöglichen.
Der in § 13 Abs. 8 FHStG angegebene Zweck ist legitim, weil er von den Öffnungsklauseln
gedeckt und in § 13 Abs. 8 FHStG vorgesehen ist.
Das Entstehen von Studiengängen, die gemeinsam von einer Fachhochschule mit einer Universität oder Pädagogischen Hochschule betrieben werden, kann nur dadurch gewährleistet werden, dass erforderliche Daten zur Verfügung stehen. Die Datenbasis ermöglicht „eine ordnungsgemäße Verwaltung der Studierendendaten“ – wie auf Seite 116 der Begründung zum Initiativantrag 2235/A (IA 2235/A 25. GP 116) ausgeführt wird.
Durch diese Regelung wird eine Durchführung von gemeinsam eingerichteten Studien ermöglicht (IA 2235/A 25. GP 116) und eine Rechtsgrundlage für die Durchführung gemeinsam eingerichteter Studien geschaffen. Die Norm führt zu einer Durchlässigkeit des Systems, was dazu führen soll, junge Menschen zu motivieren, ein Studium zu beginnen.
Ein Ziel der EU-Bildungspolitik 2017 ist die Modernisierung der Schul- und Hochschulbildung (vgl. https://www.parlament.gv.at/
PAKT/PR/JAHR_2017/PK0117/ [29.01.2018]). Die vorgeschlagene Änderung kann auch im Rahmen der Modernisierung der Hochschulbildung gesehen werden.
Dass Bildung ein besonders wichtiges Interesse darstellt, spiegelt sich nicht nur im Index der menschlichen Entwicklung der UNO wider (http://hdr.undp.org/en/content/human-development-index-hdi; [29.01.2018]). Demnach sind für die Entwicklung eines Landes drei Dimensionen entscheidend:
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil § 52 UG eine zeitliche Beschränkung der Aufbewahrung (80 Jahre) vorsieht und weil die Aufbewahrung in „geeigneter Form“ stattzufinden hat. Da nicht definiert wird, was unter einer „geeigneter Form“ zu verstehen ist, ist auf Art. 25 DSGVO zu verweisen, wonach „der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ setzt, damit die Datenschutzgrundsätze gemäß Art. 5 DSGVO eingehalten werden. Beispielhaft wird in Art. 25 Abs. 1 DSGVO die Pseudonymisierung genannt. Werden solche Maßnahmen implementiert, ist die Aufbewahrung der Daten als angemessen zu erachten.
Die Verarbeitung der Daten ist erheblich, da die Verbesserung des Hochschulwesens für den Wohlstand entscheidend ist. Der Standortfaktor Wissen gewinnt zunehmend an Bedeutung. Bildung ist auch entscheidend für die Chancen am Arbeitsmarkt. Durch die im Rahmen dieser Studien erworbenen Abschlüsse, haben junge Menschen bessere Jobaussichten. Im Bericht Bildung in Zahlen 2015/2016 von der Statistik Austria
(http://www.statistik.at/web_de/services/publikationen
Name=Bildung%2C+Kultur&pubId=462; [29.01.2018]) wird auf Seite 95 ausgeführt, dass für 25- bis 34-Jährige ohne weiterführenden Schulabschluss eine ca. sechs Mal höhere Wahrscheinlichkeit, im Vergleich zu Gleichaltrigen mit Hochschul- oder Akademieabschluss, besteht, arbeitslos zu sein. Die Bildungsbeteiligung der 20- bis 29-Jährigen ist in Österreich unter dem EU-Schnitt (vgl. Bildung in Zahlen 2015/2016, Statistik Austria, 39). Auf Seite 42 der Studie wird ausgeführt, dass die Zahl der Hochschulstudienabschlüsse von 13.800 im Studienjahr 1994/95 auf 34.539 im Studienjahr 2014/2015 gestiegen ist und das bereits jeder vierte Hochschulabschluss an einer Fachhochschule erworben wird. Um das Angebot und die Attraktivität der Studien weiter zu erhöhen, um dadurch auch eine höhere Bildungsbeteiligung zu erreichen, wird eine Rechtsgrundlage für die Administration von gemeinsam eingerichteten Studien geschaffen.
Die Verarbeitung ist auf das notwendige Maß beschränkt, weil § 53 UG nur die Aufbewahrung erlaubt. Des Weiteren werden in § 53 UG jene Daten, die verarbeitet werden dürfen, abschließend aufgezählt.
Eine zeitliche Beschränkung der Speicherdauer wird in § 53 UG vorgesehen, demnach sind die angegebenen Prüfungsdaten für mindestens 80 Jahre in geeigneter Form aufzubewahren.
Unter der Voraussetzung, dass die Einrichtungen zur Durchführung von Fachhochschul-Studiengängen ihre Prozesse so anpasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
werden sollen: durch Publikation des § 13 Abs. 8 FHStG als
werden: durch Publikation des § 13 Abs. 8 FHStG als Bundesgesetz im
Eine Übermittlung in Drittländer wäre nach § 1 Abs. 2 FHStG iVm den §§ 5 und 13 FOG grundsätzlich zulässig. Allerdings sind die Regelungen der §§ 5 ff FOG nur leges speciales gegenüber den allgemeinen Bestimmungen des DSG, sodass speziellere Bestimmungen, wie § 13 Abs. 8 FHStG über die Aufbewahrung von fachhochschulspezifischen Daten, den §§ 5 ff FOG vorgehen. Gemäß § 13 Abs. 8 FHStG iVm § 53 UG ist eine Übermittlung in Drittländer zwar nicht ausgeschlossen, aber sehr restriktiv zu sehen und nur dann zulässig, wenn dies zur Führung von Evidenzen notwendig ist.
Diese Risiken sind für Verarbeitungen im Rahmen der Aufbewahrung von fachhochschulspezifischen Daten vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“. Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten.
Des Weiteren hat der Betreiber des Datenverbundes gemäß § 7a Abs. 11 des Bildungsdokumentationsgesetzes dafür zu sorgen, dass entsprechende Datensicherheitsmaßnahmen gesetzt werden.
Es sind insbesondere die § 302 (Amtsmissbrauch) und § 310 („Verletzung des Amtsgeheimnisses“), die Schäden vorbeugen (RIS-Justiz, RS0054100).
Die Diskriminierung im Rahmen der Aufbewahrung von fachhochschulspezifischen Daten ist aufgrund folgender Maßnahmen nahezu ausgeschlossen:
Erhebliche wirtschaftliche oder gesellschaftliche Nachteile sind nicht zu erwarten, weil dies durch die folgenden Bestimmungen verhindert werden soll:
Eine Minimierung der Verarbeitung personenbezogener Daten wird dadurch vorgeschrieben, dass die Speicherung der Daten zeitlich begrenzt wird. Zusätzlich werden jene Daten, die verarbeitet werden, in § 53 UG abschließend aufgezählt.
Die schnellstmögliche Pseudonymisierung personenbezogener Daten wird durch Art. 89 DSGVO sichergestellt. Er besagt, dass „technische und organisatorische Maßnahmen [zu] bestehen [haben], mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören [.]“ Diese hat schnellstmöglich zu erfolgen.
Durch die Publikation des § 13 Abs. 8 FHStG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei hochschulspezifischen Daten von der Öffentlichkeit kostenlos nachvollzogen werden.
Die Öffnungsklausel des Art. 23 Abs. 1 DSGVO wird in Anspruch genommen. Dies ist gerechtfertigt, weil es sich um ein wichtiges Ziel des allgemeines öffentlichen Interesse des Mitgliedstaates Österreich handelt. Die Beschränkung ist erforderlich, weil damit eine die Aufbewahrung fachhochschulspezifischer Daten gewährleistet werden kann.
Entsprechende Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO sind auch bei der Aufbewahrung von fachhochschulspezifischen Daten vorzusehen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.