BALLHAUSPLATZ 2, A-1014 WIEN

GZ ● BKA-817.416/0002-DSR/2010

Telefon ● (+43 1) 53115/2527

FAX ● (+43 1) 53115/2702

E-MAIL ● DSRPOST@BKA.GV.AT

DVR: 0000019

 

An das Bundesministerium für Wirtschaft, Jugend und Familie

Per Mail:

ingrid.nemec@bmwfj.gv.at

heinz.wittmann@bmwfj.gv.at

 

 

 

Betrifft: Änderung des Familienlastenausgleichsgesetzes (FLAG) im Rahmen                         des BBG

               Stellungnahme des Datenschutzrates

 

Der Datenschutzrat hat in seiner 200. Sitzung am 15. November 2010 einstimmig beschlossen, zu der im Betreff genannten Thematik folgende Stellungnahme abzugeben:

 

Zu Z 24 (§ 31c Abs. 3):

 

Nach dieser Norm soll Schulen die Pflicht zu Aufzeichnungen treffen, aus denen die Em­pfänger der Schulbücher hervorgehen. Daran knüpft eine Pflicht zur Auskunftserteilung der Schulen gegenüber dem das FLAG vollziehenden Bundesministerium und den gem. § 17a Abs. 4 AVOG örtlich zuständigen Finanzämtern sowie ein korrespondierendes Einsichtsrecht Letzterer. Dazu sei angemerkt, dass unklar bleibt, wie lange diese personenbezogenen Daten aufzubewahren sind. Im Sinne der Rechtsklarheit sollte eine ausdrückliche Höchstspeicherfrist angedacht werden.

 

Zu Z 29 (§ 46a Abs. 2):

 

Zufolge dieser Bestimmung soll durch Einfügung einer neuen Z 4 in § 46a Abs. 2 FLAG ein automationsunterstützter Datenverkehr mit den Abgabenbehörden eingerichtet wer­den, uzw. „mit den öffentlichen Universitäten als Auftraggeber über deren Daten­verbund“. In dessen Rahmen sollen dem Datenverbund von den Abgabenbehörden die Versicherungsnummern und die Namen der Kinder, für die die Familienbeihilfe bean­tragt wurde oder gewährt wurde bzw. wird, übermittelt werden. Zu diesen Angaben sol­len die öffentlichen Universitäten über deren Datenverbund den Abgabenbehörden über­mitteln: a) Bezeichnung, Beginndatum, Beendigungsdatum, Meldungen der Fortsetzung und Zulassungsstatus des Studiums bzw. der Studien, b) Art und Datum von Prüfungen, die ein Studium oder einen Studienabschnitt eines Diplomstudiums abschließen, sowie c) Stundenvolumen bzw. ECTS-Anrechnungspunkte abgelegter Prüfungen eines Semesters oder Studienjahres.

 

Mit dem „Datenverbund“ der öffentlichen Universitäten im vorstehenden Sinne ist das in § 7a Bildungsdokumentationsgesetz BGBl. I Nr. 12/2002, zuletzt geändert durch BGBl. I Nr. 48/2010, normierte Informationsverbundsystem der Universitäten und der Pädagogi­schen Hochschulen gemeint.

 

Der in Aussicht genommene automationsunterstützte Datenverkehr zwischen Abgaben­behörden und Universitäten soll zufolge den Erläuterungen zum Entwurf als Beitrag zur Verwaltungsvereinfachung verstanden werden. Tatsächlich würde es für die betroffenen  Antragsteller (Studierende) eine Erleichterung bedeuten, wenn diese keine Nachweise im Sinne des § 2 Abs. 1 lit. b. letzter Satz FLAG mehr zu erbringen hätten, sondern sich auf die Stellung eines „unbegründeten“ Antrages gemäß § 10 FLAG beschränken könnten. Einen Entfall der Pflicht zur Erbringung solcher Nachweise durch die Antrag­steller etwa beginnend mit dem Zeitpunkt der technischen Umsetzung sieht der Entwurf allerdings nicht vor. Ob eine stichprobenartige Überprüfung vorgelegter Unterlagen im Einzelfall als Zweck schon ausreicht, um einen „Online-Zugriff“ durch die Abgaben­behörden auf die hier interessierenden Daten zu rechtfertigen, erscheint diskus­sionswürdig. Kein Zweifel besteht jedenfalls dahin, dass ein solcher auto­mati­sierter Zugriff kein Fall des § 8 Abs. 3 Z 2 DSG 2000 wäre. Das Wesen der Amtshilfe liegt nämlich darin, dass aufgrund einer Einzelfallbeurteilung insbesondere zu ent­scheiden ist, ob die empfangende Behörde über eine entsprechende Eigen­zuständigkeit verfügt bzw. die Übermittlung in concreto erforderlich ist. Die Einräumung eines Online-Zugriffs schließt eine solche Einzelfallprüfung durch die angefragte Stelle (hier: Universitäten) jedoch aus. Insofern ist es unzutreffend, wenn die Erläuterungen davon sprechen, dass hier eine „automationsunterstützte Form von Amtshilfe“ vorliege und (des­halb) schutz­würdige Geheimhaltungsinteressen nach § 8 Abs. 3 Z 2 des Daten­schutz­ge­setzes 2000 nicht verletzt werden.

 

Die Nichtverletzung schutzwürdiger Geheimhaltungsinteressen durch die Etablierung einer automationsunterstützten Abfragemöglichkeit (Online-Zugriff) durch die Abgaben­behörden im Datenverbund der Universitäten und der Pädagogischen Hochschulen kann daher nicht bloß mit dem Verweis auf § 8 Abs. 3 Z 2 DSG 2000 gerechtfertigt werden. Es bedarf vor allem eines entsprechenden plausiblen Zwecks. Letzterer ist aber derzeit aus dem Entwurf nicht klar ersichtlich.

 

Eine mögliche Lösung könnte allenfalls darin bestehen, die Zulässigkeit der Inan­spruch­nahme der Onlineabfrage davon abhängig zu machen, dass ein Antragsteller dieser zu­stimmt und im Gegenzug von der Pflicht zur Vorlage entsprechender Nachweise befreit wird (Wahlmöglichkeit zwischen konventionellem begründeten Antrag samt Nachweisen und „schlichtem“ Antrag iVm Zustimmung zur Onlineabfrage). 

 

Im Übrigen hat sich der Daten­schutzrat wiederholt ablehnend zur auch hier vorgesehenen Verwendung der Sozialversicherungsnummer für Bereiche, die nicht der Ingerenz der Sozialversicherung unterliegen, – quasi als „Per­sonen­kennzeichen“ – ausgesprochen (vgl. zuletzt GZ BKA-817.246/0004-DSR/2010). In seiner Stellungnahme zur Untersuchung von Alternativen zur Sozialversicherungsnummer in der Bildungsdokumentation von 25. Februar 2010 hat der Datenschutzrat – wie auch schon zuvor in seiner Stellungnahme vom 27. Juni 2007 – kritisch angemerkt, dass für diesen Bereich weiterhin die Sozialversicherungsnummer verwendet wird. Der Datenschutzrat verwies darauf, dass in Österreich E-Government-Lösungen entwickelt wurden, um die Sozialversicherungsnummer nicht als universelles „Personenkennzeichen“ für Bereiche zu verwenden, welche keinen Bezug zu den Sozialversicherungsagenden aufweisen. Genau zu diesem Zweck wurde das bereichsspezifische Personenkennzeichen im E-Government-Gesetz (E-GovG) vorgesehen. Die Verwendung der Sozialversicherungsnummer als universelles „Personenkennzeichen“ widerspricht daher klar der E-Government-Strategie des Bundes.

 

Bezogen auf den konkreten Fall wäre grundsätzlich anzustreben, sowohl auf Seite des Datenverbunds der Universitäten und der Päda­go­gischen Hochschulen als auch auf Seite der Abgabenbehörden mit sog. bereichs­spezifischen Personen­kenn­zeichen (bPK) bzw. – auf der Stufe des Daten­ab­gleiches – mit  verschlüsselten Per­sonen­kennzeichen zu arbeiten.

 

Kritisch angemerkt sei schließlich, dass die in Aussicht genommene legistische Vor­gangs­weise im FLAG (neuer Z 4 in § 46a Abs. 2) letztlich dem Ziel der transparenten, möglichst abschließenden Regelung von Datenverwendungszwecken im Rahmen von Informationsverbundsystemen zuwiderläuft. Der mittels Novelle des FLAG angestrebte Zweck findet sich nämlich nicht im den Zweck des Datenverbunds der Universitäten und der Pädagogischen Hochschulen zusammenfassend umschreibenden § 7a Abs. 3 Bildungsdokumentationsgesetz. Insofern erschiene eine abgestimmte Vorgangsweise in Bezug auf die Zweckregelungen in den beiden genannten Gesetzen zweckmäßig.

 

Weiters sind im Rahmen der Begutachtung datenschutzrechte Aspekte aufgefallen, die den derzeit geltenden Rechtsbestand (Änderung des FLAG im Zuge der Novelle BGBl. 284/1972, d.h. noch weit vor dem Inkraft­treten des seinerzeitigen DSG 1978) betreffen:

 

Zu Z 11 (§ 30f Abs. 5):

 

Gemäß § 30f Abs. 5 des Entwurfs hat sich der Bundesminister für Wirtschaft, Familie und Jugend (BMWFJ) in den Verträgen nach Abs. 1 und 3 (mit Verkehrs­unter­nehmen ab­schließbare Verträge über die Schülerbeförderung) auszubedingen, dass sich die Ver­kehrsunternehmen zur Rechnungslegung und Auskunftserteilung ver­pflichten und den Organen des Bundes die Überprüfung der Unterlagen gestatten, auf die sich der Fahrpreis oder Fahrpreisersatz gründet. Zufolge des letzten Satzes des § 30f Abs. 5 leg. cit. kann der Abschluss eines Vertrages nach Abs. 3 lit. a des § 30f leg. cit. überdies davon abhängig gemacht werden, dass der Schulerhalter die Notwendigkeit der Schü­ler­beförderung bestätigt und die Namen, die Staats­bürger­schaft und die An­schriften der zu befördernden Schüler sowie das in Frage kom­mende Verkehrsunternehmen bekannt gibt. Letztere Option wurde durch die Änderung des FLAG im Zuge der Novelle BGBl. 284/1972, d.h. noch weit vor Inkraft­treten des seinerzeitigen DSG 1978 eingeräumt.

 

Infolge der inzwischen ergangenen Datenschutzgesetzgebung iVm einschlägigen internationalen Verpflichtungen stellen sich zum zuletzt zitierten Passus des § 30f Abs. 5 leg. cit. nunmehr Fragen aus der aus der Perspektive der Erforder­lich­keit der Daten­ver­wendung (§ 1 Abs. 2, § 6 Abs. 1 Z 3 DSG 2000). Vor allem be­stehen Zweifel, ob anstelle einer (mög­lichen) Auferlegung der generellen Bekannt­gabepflicht der bezüglichen Schülerdaten an das BMWFJ nicht auch die Auf­erlegung der Pflicht zur Bekanntgabe auf Anfrage aus­reichend wäre.

Zutreffenden­falls regt der Datenschutzrat an, die Ermächtigung im Zuge einer der nächsten Novellen des FLAG in § 30f Abs. 5 leg. cit. ein­schränken­der zu formulieren.

 

 

16. November 2010

Für den Datenschutzrat

Der Vorsitzende:

MAIER

 

Elektronisch gefertigt