Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681207.html
Timestamp: 2018-04-26 04:38:14+00:00

Document:
Anhang 7: Datenschutz-Folgenabschätzung zu § 5 Abs. 9 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Klarstellung zum automatisierten Bildabgleich gemäß § 5 Abs. 9 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es zu umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Es wird ein automatischer Abgleich von Bilddaten mit anderen personenbezogenen Daten für Zwecke gemäß Art. 89 DSGVO ermöglicht. Die Auswertung der personenbezogenen Daten nach besonderen Kategorien von personenbezogenen Daten (Art. 9 Abs. 1 DSGVO) wird ebenfalls zugelassen. Durch das Abstellen auf den „automationsunterstützten Abgleich“ richtet sich diese Bestimmung ganz klar nur an Verarbeitungen in automationsunterstützter Form.
Die von § 5 Abs. 9 FOG gedeckten Verarbeitungen umfassen personenbezogene Daten. Von der Verarbeitung sind auch besondere Kategorien von Daten umfasst, weil die Öffnungsklausel gemäß Art. 9 Abs. 2 Buchstabe j DSGVO in Anspruch genommen wird. Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht. Der vorgeschlagene § 5 Abs. 9 FOG ermöglicht es
– personenbezogene Daten, die mittels Bildaufnahmen gewonnen
– anderen personenbezogenen Daten
automationsunterstützt abzugleichen und Bilddaten nach besonderen Kategorien personenbezogener Daten auszuwerten.
Voraussetzungen dafür sind, dass:
– die Verarbeitung für Zwecke gemäß Art. 89 DSGVO erfolgt,
– die Verarbeitung durch eine wissenschaftliche Einrichtung (§ 5
Abs. 9 Z 1 FOG) vorgenommen wird und
– keine Veröffentlichung personenbezogener Daten (§ 5 Abs. 9 Z 2
FOG) stattfindet.
Die Verarbeitung erfolgt im Kontext der Zwecke des Art. 89 DSGVO.
Mit dem vorgeschlagenen § 5 Abs. 9 FOG soll Klarheit geschaffen werden, dass für Zwecke des Art. 89 DSGVO ein Abgleich von Bilddaten mit anderen personenbezogenen Daten und eine Auswertung der Bilddaten nach besonderen Kategorien personenbezogener Daten unter Einhaltung der Voraussetzungen zulässig sein soll. Diese Klarstellung ist notwendig, weil die Forschung mit Bilddaten sonst in einem Spannungsverhältnis zu anderen Vorschriften stehen. Gemäß § 12 Abs. 3 Z 3 DSG ist ein Abgleich von Bilddaten mit anderen personenbezogenen Daten unzulässig. Die Kategorisierung könnte nach den Regeln des DSG unzulässig sein.
Die Verarbeitung der Daten erfolgt zur Gewinnung, Erweiterung und Vertiefung wissenschaftlicher Erkenntnis (§ 1 Abs. 2 Z 1 FOG) sowie „zur Lösung sozialer, wirtschaftlicher, kultureller und wissenschaftlicher Problemstellungen […] vor allem zur Sicherung und Hebung der allgemeinen Lebensqualität“ (§ 1 Abs. 2 Z 2 FOG).
Die Empfängerinnen und Empfänger werden in § 5 Abs. 9 Z 1 und Z 2 FOG beschränkt, weil die Verarbeitung nur durch wissenschaftliche Einrichtungen erfolgt und keine Veröffentlichung personenbezogener vorgenommen werden darf.
Nach der allgemeinen Regel des § 5 Abs. 6 FOG, wonach personenbezogene Daten für Zwecke des 2. Abschnitts des Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die von § 5 Abs. 9 FOG betroffenen Daten unbeschränkt.
Aufgrund des § 5 Abs. 9 FOG ist der Abgleich zwischen Bilddaten und anderen personenbezogenen Daten sowie die Auswertung der Bilddaten nach besonderen Kategorien personenbezogener Daten zulässig.
§ 5 Abs. 9 FOG dient der Erreichung der Zwecke gemäß Art. 89 DSGVO.
Die Verarbeitung ist demnach insbesondere zulässig zu „wissenschaftlichen oder historischen Forschungszwecken“. Dies wird auch in § 1 Abs. 2 bekräftigt, indem als Ziel des FOG „die Gewinnung, Erweiterung und Vertiefung wissenschaftlicher Erkenntnisse“ genannt wird.
Die Angabe des Zwecks in § 5 Abs. 9 FOG ist eindeutig: die angeführten Daten dürfen nur verarbeitet werden, soweit dies die Erreichung der Zwecke gemäß Art. 89 DSGVO erforderlich ist.
Dass eine Verarbeitung mehrere Zwecke verfolgen darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke [Anm.: Plural!] der Verarbeitung notwendige Maß beschränkt sein“ müssen.
Anders als beispielsweise in dem der Entscheidung VfSlg. 11.499/1987 zugrundeliegenden Fall, in dem eine nicht näher determinierte hoheitliche Befugnis zur Geschwindigkeitsbeschränkung vorgesehen war, erfolgt eine nähere Determinierung durch die Bestimmungen des Forschungsorganisationsgesetzes, insofern als
– auf eine wissenschaftliche Methode nach anerkannten,
internationalen Standards (sogenannte Frascati-Definition)
abgestellt wird (siehe Erläuterungen zu § 2 Z 14 FOG),
– für die Zwecke auf Art. 89 DSGVO verwiesen wird,
– nur wissenschaftliche Einrichtungen (§ 2 Z 14 FOG) Daten
verarbeiten dürfen und
– keine Veröffentlichung personenbezogener Daten ermöglicht wird.
Der in § 5 Abs. 9 FOG angegebene Zweck ist legitim, weil er von den Öffnungsklauseln
– des Art. 9 Abs. 2 Buchstabe j (Zwecke des Art. 89 DSGVO)
gedeckt und in § 5 Abs. 9 FOG vorgesehen ist.
Ein Vergleich der deutschen und englischen Sprachfassung des Art. 8 Abs. 4 der Datenschutz-Richtlinie 95/46/EG (DS-RL) sowie des Art. 9 Abs. 2 Buchstabe g DSGVO zeigt, dass in den englischen Sprachfassungen jeweils vom „substantial public interest“ und in den deutschen Sprachfassungen einmal vom „erheblichen öffentlichen Interesse“ (Art. 9 Abs. 2 Buchstabe g DSGVO) und einmal vom wichtigen öffentlichen Interesse (Art. 8 Abs. 4 DS-RL) gesprochen wird, die Begriffe „erhebliches öffentliches Interesse“ und „wichtiges öffentliches Interesse“ somit Synonyme sein müssen.
Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Buchstabe e iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstaben g und j DSGVO, wonach die Verarbeitung aufgrund eines erheblichen öffentlichen Interesses an Wissenschaft und Forschung erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden.
In Bezug auf die Speicherdauer gibt es keine Einschränkungen. Die Datenarten werden dahingehend beschränkt, als nur folgende Verarbeitungen zulässig sind:
– ein Abgleich von Bilddaten mit anderen personenbezogenen Daten
– die Auswertung personenbezogener Daten nach bestimmten
Die Angemessenheit der Verarbeitung ergibt sich auch dadurch, dass:
– gemäß § 5 Abs. 9 Z 1 FOG eine Verarbeitung nur durch
wissenschaftliche Einrichtungen zulässig ist und
– gemäß § 5 Abs. 9 Z 2 FOG keine Veröffentlichung
personenbezogener Daten vorgenommen werden darf.
Die Verarbeitung der Daten ist erheblich, da Roboter im Operationssaal unter Umständen einen automatisierten Bildabgleich benötigen, damit sie operieren können. Im Mai entnahm erstmals ein Roboter eine Lebendspende-Niere (https://www.akhwien.at/default.aspx?pid=99&mid=18300&rid=3240 [30.01.2018]). Die Entnahme erfolgte im Rahmen des Lebendspende-Transplantations-Programms im AKH Wien. Die Roboter bieten den Spendern noch mehr Sicherheit und dank der Roboter können auch krankhaft fettleibige, aber sonst gesunde Menschen, Nieren spenden.
Eine Auswertung der Bilddaten nach besonderen Kategorien ist z.B. erforderlich, um Schlafstörungen berührungslos, etwa mittels Bildaufnahmegeräten, erforschen zu können (https://www.meduniwien.ac.at/web/ueber-uns/news/detailseite/2016/news-im-november-2016/schlafstoerungen-3d-videoueberwachung-mit-intelligenter-software-als-neue-analyse-option/ [07.02.2018]). Nach Angaben der Österreichischen Gesellschaft für Schlafmedizin und Schlafforschung ÖGSM leiden in Österreich ca. 25 Prozent aller Einwohnerinnen und Einwohner unter Schlafstörungen (http://www.schlafmedizin.at/patientinneninfo.html [30.01.2018]). Die ökonomischen Folgen des Schlafmangels wurden in einer Studie der Rand Corporation ermittelt (Why sleep matters – the economic costs of insufficient sleep, https://www.rand.org/pubs/research_reports/RR1791.html [30.01.2018]). Demnach belaufen sich die Kosten des Zu-wenig-Schlafens alleine in Deutschland auf bis zu 60 Milliarden USD (Why sleep matters, xii). Umgelegt auf Österreich wären das ca. 5 Mrd. Euro pro Jahr.
Der Abgleich von Bilddaten mit anderen automationsunterstützten Daten ist z.B. für Systeme zur Steigerung der Verkehrssicherheit notwendig. Das dies wichtig ist, zeigt die Unfallstatistik, demnach sind im Jahr 2017 413 Menschen durch in Verkehrsunfällen ums Leben gekommen (http://www.bmi.gv.at/202/Verkehrsangelegenheiten/
unfallstatistik_vorjahr.aspx [30.01.2018]). Durch die Systeme zur Steigerung von Verkehrssicherheit kann die Zahl jener Personen, die durch einen Verkehrsunfall sterben, verringert werden.
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil es zu keiner Veröffentlichung personenbezogener Daten kommt (§ 5 Abs. 9 Z 2 FOG).
Die Speicherdauer wird nicht beschränkt, weil im Vorhinein nicht definiert werden kann zu welchem Zeitpunkt welche Daten benötigt werden.
Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
werden sollen: durch Publikation des § 5 Abs. 9 FOG als
werden: durch Publikation des § 5 Abs. 9 iVm § 5 Abs. 6 FOG als
– Name und Kontaktdaten des oder der Verantwortlichen,
– gegebenenfalls ihre Absicht die personenbezogenen Daten
an ein Drittland oder eine internationale Organisation zu
übermitteln sowie das Vorhandensein oder das Fehlen eines
Angemessenheitsbeschlusses der Kommission,
– einen Hinweis auf die gesetzlichen Grundlagen der Verarbeitung,
– gegebenenfalls das Bestehen einer automatisierten
Entscheidungsfindung einschließlich Profiling gemäß Art. 22
Abs. 1 und 4 DSGVO sowie
veröffentlicht, gilt die vorliegende Datenschutz-Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Unter der Voraussetzung, dass die Verantwortlichen gemäß § 5 Abs. 9 FOG ihre Prozesse so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Übermittlungen an Drittländer sind nach § 13 FOG zulässig. Die Übermittlungen sind nur soweit zulässig, als sie der Erreichung des Verarbeitungszweckes dienen. Kommt es zu einer Übermittlung, müssen gemäß Art. 25 DSGVO „geeignete technische und organisatorische“ getroffen werden, um „die Rechte der betroffenen Personen zu schützen.“
Diese Risiken sind für Verarbeitungen im Rahmen des § 5 Abs. 9 FOG vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO).
Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden ebenfalls ein.
Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den jeweiligen Verantwortlichen einzuhalten, deren Nichteinhaltung mit 10 Millionen Euro sanktioniert ist (Art. 83 Abs. 4 Buchstabe a DSGVO). Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert.
Die Diskriminierung im Rahmen der Verarbeitung gemäß § 5 Abs. 9 FOG ist aufgrund folgender Maßnahmen nahezu ausgeschlossen:
– Art. 25 DSGVO: es sind zum Schutz der betroffenen Person
„geeignete technische und organisatorische Maßnahmen“ zu
– Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und
-verarbeiter müssen für „ein dem Risiko angemessenes
Schutzniveau“ sorgen;
– Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit
einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4
Buchstabe a DSGVO.
Der Identitätsdiebstahl oder -betrug kann durch folgend Maßnahmen verhindert werden:
– Art. 32 DSGVO: Verantwortlicher/Auftragsverarbeiter müssen für
„ein dem Risiko angemessenes Schutzniveau“ sorgen;
Dieses Risiko wird insbesondere durch die unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert.
Eine Minimierung der Verarbeitung ist dahingehend vorgesehen als nur der Abgleich von Bilddaten mit anderen personenbezogenen Daten und die Auswertung der Bilddaten erlaubt wird. Nur wissenschaftliche Einrichtungen dürfen die Verarbeitungen durchführen und nur für Zwecke des Art. 89 DSGVO. Durch diese Maßnahmen wird der Minimierung der Verarbeitung personenbezogener Daten entsprochen.
Die schnellstmögliche Pseudonymisierung personenbezogener Daten wird durch Art. 89 DSGVO sichergestellt. Er besagt, dass „technische und organisatorische Maßnahmen [zu] bestehen [haben], mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören“. Diese hat schnellstmöglich zu erfolgen.
Durch die Publikation des § 5 Abs. 9 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten unter Beschränkung der Betroffenenrechte von der Öffentlichkeit kostenlos nachvollzogen werden.
grundsätzlich – soweit nicht beispielsweise eine Einschränkung gemäß § 5 Abs. 7 FOG erforderlich ist – die Möglichkeit, die Verarbeitung ihrer Daten durch die wissenschaftlichen Einrichtungen zu überwachen.
Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Verarbeitungen im Rahmen von § 5 Abs. 9 FOG zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.

References: § 5
 Art. 35
 § 5
 Art. 35
 Art. 9
 Art. 89
 § 5
 Art. 9
 § 5
 Art. 89
 Art. 89
 § 5
 Art. 89
 § 12
 § 5
 § 5
 § 5
 § 5

§ 5
 Art. 89
 § 1
 § 5
 Art. 89
 Art. 5
 § 2
 Art. 89
 § 5
 Art. 9
 Art. 89
 § 5
 Art. 8
 Art. 9
 Art. 6
 Art. 9
 § 5
 § 5
 Art. 35
 § 5
 § 5
 § 5
 Art. 22
 Art. 13
 Art. 35
 § 5
 Art. 15
 Art. 35
 § 13
 Art. 25
 § 5
 Art. 25
 Art. 32
 Art. 32
 § 5
 Art. 25
 Art. 32
 Art. 32
 Art. 83
 Art. 32
 Art. 89
 Art. 89
 § 5
 § 5
 Art. 32
 Art. 83
 § 5
 Art. 35
 Art. 32