Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681202.html
Timestamp: 2019-02-21 10:12:44
Document Index: 110035969

Matched Legal Cases: ['§ 23', 'Art. 35', '§ 23', 'Art. 35', 'Art. 9', '§ 23', '§ 3', '§ 6', '§ 6', '§ 6', '§ 6', '§ 6', '§ 6', '§ 6', '§ 6', '§ 6', '§ 6', '§ 23', 'Art. 4', '§ 30', '§ 23', '§ 23', '§ 1', '§ 5', 'Art. 5', '§ 23', '§ 23', '§ 23', '§ 23', '§ 23', '§ 23', '§ 23', 'Art. 5', '§ 23', '§ 2', '§ 23', 'Art. 9', 'Art. 6', 'Art. 9', 'Art. 25', 'Art. 5', 'Art. 25', '§ 23', '§ 23', 'Art. 35', '§ 23', 'Art. 13', 'Art. 14', '§ 23', '§ 23', 'Art. 15', 'Art. 35', '§ 1', '§ 5', '§ 5', '§ 23', '§ 5', '§ 23', '§ 3', 'Art. 25', 'Art. 32', '§ 302', '§ 310', '§ 7', '§ 302', '§ 310', 'Art. 32', '§ 7', '§ 310', '§ 23', 'Art. 89', '§ 23', 'Art. 32', 'Art. 35', 'Art. 32']

Anhang 3: Datenschutz-Folgenabschätzung zu § 23 FHStG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft das Berichtswesen der Erhalter von Fachhochschul-Studiengängen an die Agentur für Qualitätssicherung gemäß § 23 des Fachhochschul-Studiengesetzes (FHStG), BGBl. Nr. 340/1993. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Gemäß § 23 Fachhochschul-Studiengesetzes (FHStG), BGBl. Nr. 340/1993, ist eine Berichtspflicht von den Erhaltern der Fachhochschul-Studiengänge an die Agentur für Qualitätssicherung und Akkreditierung Austria (AQ Austria) vorgesehen. Diese Übermittlungspflichten sind erforderlich, damit die AQ Austria ihre (folgenden) Aufgaben (§ 3 Abs. 3 des Hochschul-Qualitätssicherungsgesetz, BGBl. I Nr. 74/2011) erfüllen kann:
– Entwicklung und Durchführung externer
Qualitätssicherungsverfahren, jedenfalls Audit- und
Akkreditierungsverfahren, nach nationalen und internationalen
– Akkreditierung von hochschulischen Bildungseinrichtungen und
– Berichte an den Nationalrat im Wege der zuständigen
Bundesministerin oder des zuständigen Bundesministers;
– Veröffentlichung der Ergebnisberichte der
Qualitätssicherungsverfahren;
– kontinuierliche begleitende Aufsicht akkreditierter hochschulischer
Bildungseinrichtungen und Studien hinsichtlich der
Akkreditierungsvoraussetzungen;
– Aufgaben gemäß den Bestimmungen des FHStG und des PUG;
– Zertifizierung von Bildungseinrichtungen nach Audit;
– Durchführung von Studien und Systemanalysen, Evaluierungen und
– Information und Beratung zu Fragen der Qualitätssicherung und
Qualitätsentwicklung;
– Internationale Zusammenarbeit im Bereich der Qualitätssicherung.
In Bezug auf die heranzuziehenden Daten ergibt sich der Verarbeitungsumfang aus der Fachhochschul-Jahresberichtsverordnung der AQ Austria vom 14.05.2013 (https://www.aq.ac.at/de/ueber-uns/dokumente-ueber-uns/FH-Jahresberichtsverordnung_14.06.2013.pdf?m=1446129127 [07.02.2018]), die folgenden Datenumfang vorsieht:
– Entwicklungskonzept (§ 6 Abs. 1 Z 1 leg. cit.);
– Studien und Lehre (§ 6 Abs. 1 Z 2 leg. cit.);
– Angewandte Forschung und Entwicklung (§ 6 Abs. 1 Z 3 leg. cit.);
– Finanzierung und Ressourcen (§ 6 Abs. 1 Z 4 leg. cit.);
– Nationale und internationale Kooperationen (§ 6 Abs. 1 Z 5 leg. cit.);
– Qualitätsmanagementsystem (§ 6 Abs. 1 Z 6 leg. cit.);
– Ziele und Profil der Institution (§ 6 Abs. 2 lit. a leg. cit.);
– Entwicklungsplan (§ 6 Abs. 2 lit. b leg. cit.);
– Organisation (§ 6 Abs. 2 lit. c leg. cit.);
– Studiengänge (§ 6 Abs. 2 lit. d leg. cit.).
Gemäß dem vorgeschlagenen § 23 Abs. 5 FHStG dürfen darüber hinaus:
– die AQ Austria,
– die zuständige Bundesministerin oder der zuständige
Bundesminister und
– von diesen beauftrage Auftragsverarbeiterinnen und -verarbeiter
zur Erfüllung ihrer Aufgaben personenbezogene Daten gemäß Art. 4 Nr. 1 DSGVO von Studierenden und dem Personal der Erhalter von Fachhochschul-Studiengängen, verarbeiten.
Die Aufgabe der zuständigen Bundesministerin oder des zuständigen Bundesministers ist gemäß § 30 Abs. 1 HS-QSG insbesondere die Aufsicht über die AQ Austria.
Die Verarbeitung erfolgt im Rahmen der Qualitätssicherung von Fachhochschulstudiengängen. Durch die Information der Entwicklungen der Prüfbereiche, soll der Agentur die Möglichkeit von Vergleichsprüfungen eingeräumt werden. Deshalb ist die AQ Austria ermächtigt, nach dem Zeitpunkt der Akkreditierung, die Bereitstellung von Informationen zu verlangen (ErläutRV 1222 d BlgNR 24. GP 35).
Der Zweck der Regelung ist das Berichtswesen. Es soll Information über die laufende Entwicklung der Fachhochschule an die AQ-Austria übermittelt werden. Dadurch wird es der AQ Austria ermöglicht, ihren Aufgaben nachzukommen. Das Berichtswesen soll die systematische Entwicklung und Sicherung der Qualität der Leistungen der Hochschulen sicherstellen. Die vorliegende Regelung betrifft die externe Qualitätssicherung. Die Angaben der Informationen, die in § 23 Abs. 4 FHStG geregelt werden, dienen der Gewährleistung der Berechnung der Fördersummen und damit der Feststellung der Rechtmäßigkeit der Fördergebarung seitens des Bundes (ErläutRV 1222 d BlgNR 24. GP 35).
Die Empfängerinnen und Empfänger ergeben sich aus den Aufgaben der AQ Austria. Demnach sind diese:
– der Nationalrat im Wege der zuständigen Bundesministerin oder
des zuständigen Bundesministers,
– die Öffentlichkeit und
– andere Bildungseinrichtungen im Rahmen der internationalen
Zusammenarbeit im Bereich der Qualitätssicherung.
In § 23 FHStG findet sich keine Regelung zur Speicherdauer, somit ist gemäß § 1 Abs. 2 FHStG iVm § 5 Abs. 6 FOG die Speicherdauer grundsätzlich nicht beschränkt. Jedoch müssen die Grundsätze für die Verarbeitung personenbezogener Daten gemäß Art. 5 DSGVO eingehalten werden. Danach dürfen die Daten nur solange gespeichert werden, wie sie dem Zweck angemessen sind.
Die verarbeiteten Daten der verschiedenen Prüfbereiche sind Voraussetzungen dafür, dass die Agentur für Qualitätssicherung und Akkreditierung Austria ihren Aufgaben nachkommen kann. Die Formen der Verarbeitung werden nicht eingeschränkt. Weitere Daten gemäß § 23 Abs. 4 FHStG sind zur Gewährleistung der Berechnung der Fördersummen notwendig.
Die Zwecke werden in § 23 FHStG festgelegt. Diese sind:
– gemäß § 23 Abs. 1 FHStG die Erfüllung der Aufgaben der Agentur
für Qualitätssicherung und Akkreditierung Austria (AQ Austria),
– gemäß § 23 Abs. 2 FHStG die Erstellung eines Jahresberichtes
durch die Erhalter,
– gemäß § 23 Abs. 3 FHStG Bereitstellung von Informationen für
– gemäß § 23 Abs. 4 FHStG Bereitstellung von Information zur
Gewährleistung der Berechnung der Fördersumme.
Die Angabe der Zwecke in § 23 FHStG ist eindeutig. Dass eine Verarbeitung mehrere Zwecke verfolgt werden darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein“ müssen.
Anders als beispielsweise in dem der Entscheidung VfSlg. 11.499/1987 zugrundeliegenden Fall, in dem eine nicht näher determinierte hoheitliche Befugnis zur Geschwindigkeitsbeschränkung vorgesehen war, erfolgt eine nähere Determinierung durch die Bestimmungen des Fachhochschul-Studiengesetz, insofern als
– die Zwecke in § 23 FHStG eindeutig und
– die Ziele und leitenden Grundsätze des Fachhochschul-
Studiengesetzes in § 2 FHStG
Die in § 23 FHStG angegebene Zwecke sind legitim, weil sie von den Öffnungsklauseln
– des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“)
Externe Audits durch die AQ Austria und damit die Möglichkeit einer Qualitätsverbesserung im Hochschulsektors sind nur dann möglich, wenn entsprechende Daten zur Verfügung stehen.
Dass die Qualitätssteigerung im Hochschulsektor ein besonders wichtiges Interesse darstellt, spiegelt sich nicht nur im Index der menschlichen Entwicklung der UNO wider (http://hdr.undp.org/en/content/human-development-index-hdi; [29.01.2018]). Demnach sind für die Entwicklung eines Landes drei Dimensionen entscheidend:
– langes und gesundes Leben („long and healthy life“)
– Wissen („Knowledge“) und
– ein angemessener Lebensstandard („a decent standard of living“).
Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Buchstabe c iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstaben g und j DSGVO, wonach die Verarbeitung aufgrund eines erheblichen öffentlichen Interesses erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden.
Die Angemessenheit ergibt sich dadurch, dass nur jene Daten verwendet werden, die benötigt werden, um die angegebenen Zwecke zu erreichen. Die Verarbeitung ist, da die Bildung ein wichtiges öffentliches Interesse ist, von wesentlicher Bedeutung. Die Datenarten und die Speicherdauer sind grundsätzlich nicht beschränkt. Die Verarbeitung der Daten ist angemessen, weil der Zweck der Verarbeitung nicht in zumutbarer Weise durch andere Mittel erreicht werden kann (vgl. EG 39 DSGVO). Die Angemessenheit ergibt sich auch dadurch, dass gemäß Art. 25 DSGVO „der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ setzt, damit die Datenschutzgrundsätze gemäß Art. 5 DSGVO eingehalten werden. Beispielhaft wird in Art. 25 Abs. 1 DSGVO die Pseudonymisierung genannt. Werden solche Maßnahmen implementiert, ist die Verarbeitung der Daten als angemessen zu erachten.
Die Verarbeitung der Daten ist erheblich, da die Verbesserung des Hochschulwesens für den Wohlstand entscheidend ist. Der Standortfaktor Wissen gewinnt zunehmend an Bedeutung. Bildung ist auch entscheidend für die Chancen am Arbeitsmarkt. Durch die im Rahmen dieser Studien erworbenen Abschlüsse, haben junge Menschen bessere Jobaussichten. Im Bericht Bildung in Zahlen 2015/2016 der Statistik Austria wird ausgeführt, dass für 25- bis 34-Jährige ohne weiterführenden Schulabschluss eine ca. sechs Mal höhere Wahrscheinlichkeit – im Vergleich zu Gleichaltrigen mit Hochschul- oder Akademieabschluss – besteht, arbeitslos zu sein (Statistik Austria, Bildung in Zahlen 2015/2016, 95; http://www.statistik.at/web_de/services/publikationen
/5/index.html?includePage=detailedView&section
Name=Bildung%2C+Kultur&pubId=462 [29.01.2018]).
Wie wichtig die Qualitätssteigerung im Bereich der Fachhochschule ist, zeigt auch die Entwicklung der ordentlichen Studierenden an Fachhochschulen. Waren es im Jahr 2000/2001 noch 11.743 Studierende an Fachhochschulen, betrug diese Zahl im Jahr 2016/2017 bereits 50.009 (vgl. https://www.statistik.at/web_de/ statistiken/menschen_und_gesellschaft/bildung_und_kultur/ formales_bildungswesen/universitaeten_studium/021633.html [29.01.2018]). Die Erheblichkeit der Verarbeitung ergibt sich auch dadurch, dass der Staat der tertiären Ausbildung immer mehr Mittel zur Verfügung stellt (vgl. Bildungsausgabenstatistik,
https://www.statistik.at/web_de/statistiken/menschen_und_ gesellschaft/bildung_und_kultur/formales_bildungswesen/ bildungsausgaben/081128.html [29.01.2018]).
Die Verarbeitung ist auf das notwendige Maß beschränkt, weil die Daten nur im Rahmen der im Gesetz definierten Zwecke verarbeitet werden dürfen.
Eine zeitliche Beschränkung der Speicherdauer wird in § 23 FHStG nicht vorgesehen. Eine zeitliche Beschränkung würde zu einer Verhinderung der langfristigen Vergleichbarkeit der jährlichen Berichte gemäß § 23 Abs. 2 FHStG führen. Der Speicherbegrenzung wirkt sich dadurch aus, dass die Daten nur für die Zweckerreichung verarbeitet werden. Sobald die Zweckerreichung nicht mehr gegeben ist, werden die Daten gelöscht.
Unter der Voraussetzung, dass die Erhalter von Fachhochschul-Studiengängen ihre Prozesse so anpassen, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
– Name und Kontaktdaten des Verantwortlichen: durch
Veröffentlichung z.B. auf der Website der AQ Austria (10.01.2018);
werden sollen: durch Publikation des § 23 FHStG als
werden: durch Publikation des vorliegenden Entwurfes als
Unter der Voraussetzung, dass die AQ Austria
Zusätzlich zu den gemäß Art. 13 DSGVO erforderlichen Informationen verlangt Art. 14 DSGVO die folgenden Informationen, die wie folgt erbracht werden:
– die Aufzählung der Kategorien personenbezogener Daten, die
verarbeitet werden: durch Publikation des § 23 FHStG als
Bundesgesetz im Bundesgesetzblatt sowie
– der Datenquellen: durch Publikation des vorliegenden Entwurfes,
insbesondere des § 23 FHStG als Bundesgesetz im
Unter der Voraussetzung, dass die AQ Austria ihre Prozesse gegebenenfalls so anpasst, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Eine Übermittlung in Drittländer wäre nach § 1 Abs. 2 FHStG iVm den §§ 5 und 13 FOG grundsätzlich zulässig. Allerdings sind die Regelungen der §§ 5 ff FOG nur leges speciales gegenüber den allgemeinen Bestimmungen des DSG, sodass speziellere Bestimmungen, wie § 23 FHStG über das Berichtswesen, den §§ 5 ff FOG vorgehen. Gemäß § 23 FHStG ist eine Übermittlung in Drittländer zwar nicht ausgeschlossen, aber sehr restriktiv zu sehen und nur dann zulässig, wenn dies für die Erfüllung der Aufgaben gemäß § 3 Abs. 3 HS-QSG erforderlich ist.
Diese Risiken sind für Verarbeitungen im Rahmen des Berichtswesens der Erhalter von Fachhochschul-Studiengängen an die AQ Austria vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten.
Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden ebenfalls ein. Diese sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen genormt.
Es sind insbesondere § 302 (Amtsmissbrauch) und § 310 („Verletzung des Amtsgeheimnisses“), die Schäden vorbeugen (RIS-Justiz, RS0054100).
Schutzniveau“ sorgen,
– § 7a Abs. 11 des Bildungsdokumentationsgesetzes: es sind
entsprechende Datensicherheitsmaßnahmen zu setzen und
– insbesondere folgende Bestimmungen des 22. Abschnittes im
– § 302 (Amtsmissbrauch) und
– § 310 („Verletzung des Amtsgeheimnisses“).
Die Diskriminierung im Rahmen der Verarbeitung für das Berichtswesen an die Agentur für Qualitätssicherung ist aufgrund folgender Maßnahmen nahezu ausgeschlossen:
– der Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit
Buchstabe a DSGVO,
– § 7a Abs. 11 Bildungsdokumentationsgesetz: es sind entsprechende
Datensicherheitsmaßnahmen zu setzen und
– § 310 („Verletzung des Amtsgeheimnisses“)
– insbesondere folgender Bestimmungen des 22. Abschnittes im
Die Vertraulichkeit bei Berufsgeheimnisse wird durch untenstehende Maßnahmen gewährleistet:
Eine Minimierung der Verarbeitung personenbezogener Daten wird dadurch sichergestellt, dass die Daten nur für die Dauer der Erreichung des Zweckes verarbeitet werden. Wie lange das genau sein wird, kann im Vorhinein nicht gesagt werden.
Eine Pseudonymisierung ist in § 23 FHStG nicht vorgesehen. Die schnellstmögliche Pseudonymisierung personenbezogener Daten wird durch Art. 89 DSGVO sichergestellt. Er besagt, dass „technische und organisatorische Maßnahmen [zu] bestehen [haben], mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören [.]“ Diese hat schnellstmöglich zu erfolgen.
Durch die Publikation des § 23 FHStG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten im Zuge des Berichtswesens der Erhalter von Fachhochschul-Studiengängen an die AQ Austria von der Öffentlichkeit kostenlos nachvollzogen werden.
die Möglichkeit, die Verarbeitung ihrer Daten durch die AQ Austria zu überwachen.
Die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO sind auch von der AQ Austria zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.