Datenschutz betreffend Studierende und der Verarbeitung von (personenbezogenen) Daten von Studierenden

Allgemeine Datenschutzinformation gemäß Art. 12ff DSGVO im Rahmen der Verwaltung von Studierenden durch

die Bundesministerin oder den Bundesminister
die Leiterinnen und Leiter von postsekundären Bildungseinrichtungen (Universitäten, Pädagogische Hochschulen, Fachhochschulen, sowie Privathochschulen)

Verarbeitungstätigkeit
Verantwortlicher
Kontaktdaten der/des Datenschutzbeauftragten
Rechtsgrundlage und Zwecke der Datenverarbeitungen Datenverarbeitungen an postsekundären Bildungseinrichtungen (Art. 6 DSGVO)
Rechtsgrundlage und Zwecke der Datenverarbeitungen von Daten des Hochschulbereichs durch die Bundesministerin oder den Bundesminister (Art. 6 DSGVO)
Datenkategorien
Übermittlung und Empfänger
Übermittlung in Drittländer oder Internationale Organisationen
Speicherdauer
Rechte des Betroffenen
Automatisierte Entscheidungsfindung

Bei der Verarbeitung von (personenbezogenen) Daten von Studierenden hat ein verantwortungsbewusster Umgang mit personenbezogenen Daten hohe Priorität. Personenbezogene Daten werden daher ausschließlich auf Grundlage der Bestimmungen der EU-Datenschutz-Grundverordnung (DSGVO) sowie der österreichischen Rechtslage verarbeitet. Alle Mitarbeiterinnen und Mitarbeiter von postsekundären Bildungseinrichtungen und dem Bundesministerium für Bildung, Wissenschaft und Forschung werden dahingehend datenschutzrechtlich geschult. Zudem wurden technische und organisatorische Maßnahmen getroffen, die sicherstellen, dass die Vorschriften über den Datenschutz auch von benötigten externen Dienstleistern (zum Beispiel die Bundesrechenzentrum GmbH) beachtet werden. Schließlich möchten wir, dass Sie wissen, wann wir welche Daten erheben und wie wir sie verwenden. Im Folgenden wollen wir Sie über wichtige datenschutzrechtliche Grundlagen und Prozesse informieren:

Verarbeitungstätigkeit

Als öffentliche Einrichtungen handeln das Bundesministerium für Bildung, Wissenschaft und Forschung und die postsekundären Bildungseinrichtungen entsprechend dem verwaltungsrechtlichen Legalitätsprinzip, dies bedeutet, dass die Tätigkeit auf österreichischem und europäischem Recht beruht. Daher sind die geltenden Normen auch für die Verarbeitung personenbezogener Daten in der Regel die relevante Rechtsgrundlage (Artikel 6 beziehungsweise 9 DSGVO). Im konkreten Einzelfall kommt aber auch ein Vertrag oder eine sonstige rechtliche Verpflichtung in Betracht. Soweit Sie Ihre Einwilligung zur Verarbeitung Ihrer Daten erteilt haben, ist diese die Grundlage und gleichzeitig die Grenze dafür.

Auch die Dauer der Datenspeicherung ergibt sich grundsätzlich aus der jeweiligen Rechtsgrundlage des Einzelfalls (gesetzliche Vorgaben, Vertragsinhalt oder dergleichen).

Der Zweck der Verarbeitung von personenbezogenen Daten ist ebenso durch die österreichische und europäische Rechtslage bestimmt und orientiert sich an den gesetzlichen Aufgaben des Bundesministeriums für Bildung, Wissenschaft und Forschung und der postsekundären Bildungseinrichtungen.

Eine allgemeine rechtliche Grundlage bilden hierfür insbesondere das Universitätsgesetz 2002 - UG, BGBl. I Nr. 120/2002, das Hochschulgesetz 2005 - HG, BGBl. I Nr. 30/2006, das Fachhochschulgesetz - FHG, BGBl. Nr. 340/1993 und das Privathochschulgesetz – PrivHG, BGBl. I Nr. 77/2020.

Nähere (ausführlichere) Bestimmungen zur Verarbeitung von personenbezogenen Daten von Studierenden finden sich hauptsächlich in folgenden Rechtsnormen:

Bildungsdokumentationsgesetz 2020 - BilDokG 2020, BGBl. I Nr. 20/2021.
- durch die postsekundären Bildungseinrichtungen: Verarbeitung von personenbezogenen Daten von Studierenden für die Vollziehung der gesetzlichen Aufgaben.
- durch die Bundesministerin oder den Bundesminister:
  - Verarbeitung von pseudonymisierten Daten von Studierenden für die Gesamtevidenzen der Studierenden,
  - Verarbeitung von Kontaktdaten von Studienwerberinnen und -werbern, Studierenden, Studienabbrecherinnen und -abbrechern, Absolventinnen und Absolventen sowie des Personals zum Zwecke der Durchführung von Vorhaben im öffentlichen Interesse,
  - Verarbeitung von Daten betreffend den Personal-, Betriebs- und Erhaltungsaufwand jener postsekundären Bildungseinrichtungen, bei denen dieser Aufwand zur Gänze oder zum Teil aus Bundesmitteln getragen wird.
Universitäts- und Hochschulstatistik- und Bildungsdokumentationsverordnung - UHSBV, BGBl. II Nr. 216/2019, welche die Bestimmungen des BilDokG 2020 näher ausführt.

Verantwortlicher

Bei der Verarbeitung von personenbezogenen Daten an den postsekundären Bildungseinrichtungen: die Leiterinnen und Leiter (das für die Zulassung von Studierenden zuständige Organ, an Pädagogischen Hochschulen die Rektorin oder der Rektor) und bei Fachhochschulen der Erhalter.
Bei der Verarbeitung von pseudonymisierten Daten für die Gesamtevidenzen der Studierenden und von Kontaktdaten von Studienwerberinnen und -werbern, Studierenden, Studienabbrecherinnen und -abbrechern, Absolventinnen und Absolventen sowie des Personals zum Zwecke der Durchführung von Vorhaben im öffentlichen Interesse: die Bundesministerin oder den Bundesminister.

Kontaktdaten der/des Datenschutzbeauftragten

Bei Verarbeitung von personenbezogenen Daten an den postsekundären Bildungseinrichtungen: die entsprechenden Kontaktdaten finden Sie auf dem jeweiligen Internetauftritt der postsekundären Bildungseinrichtung.
Bei der Verarbeitung von pseudonymisierten Daten für die Gesamtevidenzen der Studierenden und von Kontaktdaten von Studienwerberinnen und -werbern, Studierenden, Studienabbrecherinnen und -abbrechern, Absolventinnen und Absolventen sowie des Personals zum Zwecke der Durchführung von Vorhaben im öffentlichen Interesse: Link zum Datenschutzbeauftragten

Rechtsgrundlage und Zwecke der Datenverarbeitungen an postsekundären Bildungseinrichtungen (Art. 6 DSGVO)

Alle hochschulrechtlichen Verpflichtungen, die für die Wahrnehmung von Aufgaben erforderlich sind, die im öffentlichen Interesse liegen bzw. die zur Erfüllung einer rechtlichen Verpflichtung im Zuge der Hochschulwaltung erforderlich sind. Hier besteht auf Grund des Hochschulrechts die gesetzliche Verpflichtung zur Bereitstellung der erforderlichen personenbezogenen Daten.

Die wichtigsten Rechtsnormen stellen dafür dar:

§ 9 BilDokG 2020: Verarbeitung von personenbezogenen Daten von Studierenden für die Verwaltung der Studierenden an den postsekundären Bildungseinrichtungen.
§ 10 BilDokG 2020 und § 18 UHSBV: Datenverbund der Universitäten und Hochschulen zur Verarbeitung von personenbezogenen Daten von Studierenden zur Vollziehung hochschulrechtlicher, studienrechtlicher, studienförderungsrechtlicher und hochschülerinnen- und hochschülerschaftsrechtlicher Vorschriften.
§ 11 BilDokG 2020: Austrian Higher Education Systems Network zur Verarbeitung von personenbezogenen Daten von Studierenden zum Zweck der Gewährleistung der ordentlichen Verwaltung und Durchführung von gemeinsamen Studienprogrammen und gemeinsam eingerichteten Studien durch die postsekundären Bildungseinrichtungen.

Rechtsgrundlage und Zwecke der Datenverarbeitungen von Daten des Hochschulbereichs durch die Bundesministerin oder den Bundesminister (Art. 6 DSGVO)

§ 9 BilDokG 2020 und § 19 UHSBV: Gesamtevidenzen der Studierenden für die Zwecke der Planung, der Steuerung, der Wahrung der gesetzlichen Aufsichtspflichten, der Bundesstatistik und der Verwaltungsstatistik durch die Bundesministerin oder den Bundesminister.
§ 13 BilDokG 2020: Vorhaben im öffentlichen Interesse: „Die zuständige Bundesministerin oder der zuständige Bundesminister ist zum Zwecke der Durchführung von Vorhaben im öffentlichen Interesse nach Information der Universitäten, der Pädagogischen Hochschulen, der Fachhochschulen und Fachhochschul-Studiengänge sowie der Privathochschulen und Privatuniversitäten berechtigt, Kontaktdaten (die für Studierende bzw. das Personal eingerichtete bzw. die bekanntgegebene E-Mail-Adresse und die Anschrift am Heimatort und die Zustelladresse) von Studienwerberinnen und -werbern, Studierenden, Studienabbrecherinnen und -abbrechern, Absolventinnen und Absolventen sowie des Personals zu verarbeiten.“ Vorhaben im öffentlichen Interesse sind insbesondere Studien, Erhebungen, Befragungen und Forschungs- und Evaluierungsprojekte.
§ 14 BilDokG 2020 und § 21 UHSBV: Evidenz über den Aufwand für Bildungseinrichtungen betrifft die Verarbeitung von Daten durch die Bundesministerin oder den Bundesminister betreffend Personal-, Betriebs- und Erhaltungsaufwand jener postsekundären Bildungseinrichtungen, bei denen dieser Aufwand zur Gänze oder zum Teil aus Bundesmitteln getragen wird.
§ 22 ff UHSBV: Statistische Auswertungen von Studierendendaten für die Bundesministerin oder den Bundesminister

Datenkategorien

Eine Aufzählung von Datenkategorien findet sich in den oben zitierten Bestimmungen des BilDokG 2020 und der UHSBV und den Anlagen zu diesen Rechtsnormen:

Übermittlung und Empfänger

Übersicht über die wichtigsten Datenströme:

Von den postsekundären Bildungseinrichtungen an die Bundesministerin oder den Bundesminister zur Führung der Gesamtevidenzen der Studierenden und der Evidenzen über den Personal-, Betriebs- und Erhaltungsaufwand der postsekundären Bildungseinrichtungen und für die Durchführung von Vorhaben im öffentlichen Interesse.
Von den postsekundären Bildungseinrichtungen an die Bundesanstalt „Statistik Österreich“ zur Erstellung der Bundesstatistik.

Eine genaue Auflistung der Datenströme findet sich in der UHSBV:

Datenströme an postsekundären Bildungseinrichtungen:

§ 14 UHSBV: Übersicht zur Übermittlung von Daten bei Universitäten.
§ 15 UHSBV: Übersicht zur Übermittlung von Daten bei Pädagogischen Hochschulen.
§ 16 UHSBV: Übersicht zur Übermittlung von Daten im Fachhochschulbereich.
§ 17 UHSBV: Übersicht zur Übermittlung von Daten bei Privathochschulen.
§ 18 UHSBV: Übermittlung von Daten an den Datenverbund der Universitäten und Hochschulen.

Datenströme von postsekundären Bildungseinrichtungen an die Bundesministerin oder den Bundesminister:

§ 19 UHSBV: Übermittlung von Studierendendaten der Universitäten und der Pädagogischen Hochschulen und der Fachhochschul-Studiengänge und Fachhochschulen an die Bundesministerin oder den Bundesminister.
§ 20 UHSBV: Übermittlung von Studierendendaten der Privatuniversitäten an die Bundesministerin oder den Bundesminister.
§ 21 UHSBV: Übermittlung von Personaldaten der Universitäten, der Fachhochschul-Studiengänge und Fachhochschulen und der Privatuniversitäten an die Bundesministerin oder den Bundesminister.

Datenströme von postsekundären Bildungseinrichtungen an die Bundesanstalt „Statistik Österreich“:

§ 27 UHSBV: Statistische Erhebung anlässlich der Aufnahme (Anmeldung bzw. Zulassung) Studierender.
§ 28 UHSBV: Statistische Erhebung anlässlich des Abganges (Abschlusses).
§ 29 UHSBV: Übermittlung von Studierendendaten für Zwecke der Bundesstatistik.
§ 30 UHSBV: Übermittlung von Personaldaten der Universitäten, der Fachhochschul-Studiengänge und Fachhochschulen und der Privatuniversitäten für Zwecke der Bundesstatistik.
§ 31 UHSBV: Übermittlung des Personal-, Betriebs- und Erhaltungsaufwandes der Pädagogischen Hochschulen für Zwecke der Bundesstatistik.
§ 32 UHSBV: Übermittlung von Daten zu Einnahmen und Ausgaben von Privatuniversitäten für Zwecke der Bundesstatistik.

Übermittlung in Drittländer oder Internationale Organisationen

Im Zuge der Hochschulverwaltung erfolgt grundsätzlich keine Datenübermittlung an Staaten außerhalb der EU.

Speicherdauer

Durch die jeweiligen gesetzlichen Materienbestimmungen vorgegeben und durch Regelungen der postsekundären Bildungseinrichtungen näher ausgeführt.

Beispiele sind:

§ 10 Abs. 10 BilDokG 2020 bezüglich einer Regelung betreffend Lösch- und Aufbewahrungsfristen von personenbezogenen Daten im Datenverbund der Universitäten und Hochschulen.
§ 4 Abs. 7 BilDokG 2020 bezüglich einer Regelung betreffend Löschverpflichtung der Sozialversicherungsnummern und des Ersatzkennzeichens.
§ 53 UG bezüglich einer Regelung betreffend Aufbewahrung von universitätsspezifischen Daten.

Rechte des Betroffenen

Die Rechte der/des Betroffenen können gegenüber dem Verantwortlichen geltend gemacht werden. Dies ist

bei Verarbeitung von personenbezogenen Daten an den postsekundären Bildungseinrichtungen: die Leiterinnen und Leiter (das für die Zulassung von Studierenden zuständige Organ, an Pädagogischen Hochschulen die Rektorin oder der Rektor) und bei Fachhochschul-Studiengängen und Fachhochschulen der Erhalter.
bei der Verarbeitung von pseudonymisierten Daten für die Gesamtevidenzen der Studierenden und von Kontaktdaten im Rahmen von Vorhaben im öffentlichen Interesse: die Bundesministerin oder den Bundesminister.

Weitere Betroffenenrechte (Art. 16 – 21 DSGVO)

Eine betroffene Person hat das Recht, unverzüglich die Berichtigung unrichtiger personenbezogener Daten oder deren Vervollständigung zu verlangen.
Eine betroffene Person hat das Recht, zu verlangen, dass die personenbezogenen Daten unverzüglich gelöscht werden, sofern die in Art 17 Abs 1 DSGVO genannten Gründe erfüllt sind.
Eine betroffene Person hat das Recht, zu verlangen, dass die Verarbeitung der personenbezogenen Daten eingeschränkt wird, sofern die in Art 18 Abs 1 DSGVO genannten Gründe erfüllt sind.
Eine betroffene Person hat das Recht, seine personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten, sofern die Datenverarbeitung auf einer Einwilligung oder einem Vertrag beruht und mithilfe automatisierter Verfahren erfolgt.
Eine betroffene Person hat das Recht, jederzeit gegen die Verarbeitung seiner personenbezogenen Daten Widerspruch einzulegen, sofern der Verantwortliche nicht zwingende schutzwürdige Gründe für die Verarbeitung nachweist (z.B. Gesetzesvollzug), die die Interessen, Rechte und Freiheiten der Betroffenen Person überwiegen.

Automatisierte Entscheidungsfindung

Im Bereich der Hochschulverwaltung finden keine automatisierten Entscheidungsfindungen einschließlich Profiling statt, die der/dem Betroffenen gegenüber rechtliche Wirkung entfaltet oder diesen in ähnlicher Weise erheblich beeinträchtigt.

Aufsichtsbehörde

Österreichische Datenschutzbehörde
www.dsb.gv.at
T +43 1 52152-0
dsb@dsb.gv.at

Beschwerderecht (Art 77 DSGVO)

Eine betroffene Person hat das Recht auf Beschwerde bei der Aufsichtsbehörde, wenn sie/er der Ansicht ist, dass die Verarbeitung der sie/ihn betreffenden personenbezogenen Daten gegen diese Verordnung verstößt.