Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/I/I_00068/fnameorig_686464.html
Timestamp: 2019-01-16 04:01:06+00:00

Document:
Anhang 16: Datenschutz-Folgenabschätzung zu § 2g Abs. 1 Z 3 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Speicherung von Alumni-Daten durch Art 89-Förder- und Zuwendungsstellengemäß § 2g Abs. 1 Z 3 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und diese auch Personen betreffen können, die besonders schutzwürdig sind – nämlich Empfängerinnen und Empfänger von Art-89-Mittelnbzw. Auftragswerberinnen und -werber.
§ 2g Abs. 1 Z 3 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981, ermächtigt Art‑89-Förder- und Zuwendungsstellen(§ 2b Z 1 FOG) bestimmt Daten von Fördernehmerinnen und -nehmern zu speichern und gegebenenfalls zu verarbeiten, sofern dies zum Zweck der Kontaktaufnahme erfolgt.
Art‑89-Förder- und Zuwendungsstellen(§ 2b Z 1 FOG) dürfen, aufgrund der Ermächtigung in § 2g Abs. 1 Z 3 FOG, folgende Daten der Empfängerinnen und Empfängern von Art-89-Mittel für Zwecke der Kontaktaufnahme verarbeiten:
– Vorname(n), Familienname bzw. Bezeichnung, Geburtsname, akademischer Grad, Titel, Ansprache (§ 2g Abs. 1 Z 3 lit. a iVm § 2g Abs. 2 Z 1 FOG),
– Geburtsdatum, Geburtsort, Geschlecht, Staatsangehörigkeit (§ 2g Abs. 1 Z 3 lit. b iVm § 2g Abs. 2 Z 2 FOG),
– Adressdaten, Angaben zu elektronischen Erreichbarkeit (§ 2g Abs. 1 Z 3 lit. c iVm § 2g Abs. 2 Z 5 FOG),
– die Angaben gemäß § 2g Abs. 1 Z 3 lit. a bis c FOG zu allfälligen Projektpartnerinnen und -partnern,
– Angaben zur Ausbildung gemäß § 2g Abs. 1 Z 3 lit. e iVm § 2g Abs. 2 Z 7 FOG und
– Angaben zu erhaltenen Art-89-Mittel (§ 2b Z 2 FOG) und Mobilitäten gemäß § 10a Abs. 4 des OeAD-Gesetzes.
Mit der vorgeschlagenen Regelung, soll es Art‑89-Förder- und Zuwendungsstellenermöglicht werden, allfällige Nachfolgeprogramme durchzuführen. Um den Erfolg von Nachfolgeprogrammen zu garantieren, ist es notwendig, dass Daten von Alumnis vorhanden sind. Deswegen wird mit dem vorgeschlagenen § 2g Abs. 1 Z 3 FOG eine Regelung geschaffen, die Verarbeitungen zulässt, um ehemalige Stipendienempfängerinnen und -empfänger in Evidenz zu halten.
Die Förderung der Entwicklung und Erschließung der Künste beruht auf der Öffnungsklausel des Art. 85 DSGVO. Im Besonderen auf den 2. Absatz, der wie folgt lautet:
„Für die Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, sehen die Mitgliedstaaten Abweichungen oder Ausnahmen von Kapitel II (Grundsätze), Kapitel III (Rechte der betroffenen Person), Kapitel IV (Verantwortlicher und Auftragsverarbeiter), Kapitel V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), Kapitel VI (Unabhängige Aufsichtsbehörden), Kapitel VII (Zusammenarbeit und Kohärenz) und Kapitel IX (Vorschriften für besondere Verarbeitungssituationen) vor, wenn dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen.“
Diese Regelung steht im Zusammenhang mit dem Erwägungsgrund 153 der DSGVO. Demnach sollten „[d]ie Mitgliedstaaten […] Gesetzgebungsmaßnahmen zur Regelung der Abweichungen und Ausnahmen erlassen, die zum Zwecke der Abwägung zwischen diesen Grundrechten [Anm.: auf Datenschutz und Freiheit der Meinungsäußerung bzw. Informationsfreiheit] notwendig sind“.
Da für die meisten Empfängerinnen und Empfänger von Art-89-Mitteln gemäß § 24 Abs. 2 Z 4 ARR 2014 eine Aufbewahrungs- und Auskunftspflicht für die Dauer von 10 Jahren gegeben ist, sind die Angaben jedenfalls bis zu diesem Datum aufzubewahren.
Die Zwecke der Verarbeitung – die Kontaktaufnahme – wird in § 2g Abs. 1 Z 3 FOG festgelegt.
Die Kontaktaufnahme hat gemäß § 2g Abs. 10 FOG Folgendes zum Ziel:
– Förderung der Entwicklung und Erschließung der Künste,
– Förderung von Zwecken gemäß Art. 89 DSGVO und
– Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen.
Die Empfängerinnen und Empfänger der Daten sind die Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG).
Nach der allgemeinen Regel des § 2d Abs. 5 dürfen personenbezogene Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden. § 2g Abs. 1 Z 3 FOG geht von dieser allgemeinen Regel ab und lässt eine Speicherung von jedenfalls zehn Jahren zu.
Die Speicherung und die Verarbeitung von bestimmten Daten der Empfängerinnen und Empfänger von Art-89-Mitteln wird zugelassen, um eine Kontaktaufnahme zu ermöglichen.
Der Zweck der Verarbeitung wird in § 2g Abs. 1 Z 3 FOG festgelegt. Er besteht darin, dass die vorgeschlagene Regelung eine Kontaktaufnahme zu Empfängerinnen und Empfängern von Art-89-Mitteln ermöglicht. Dies erfolgt insbesondere zur Förderung von Zwecken gemäß Art. 89 DSGVO (vgl. § 2g Abs. 1 FOG).
Die Angabe des Zwecks in § 2g Abs. 1 Z 3 FOG ist eindeutig: Die angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Kontaktaufnahme erforderlich ist.
Der in § 2g Abs. 1 Z 3 FOG angegebene Zweck ist legitim, weil er
– einerseits von den Öffnungsklauseln des Art. 6 Abs. 1 Buchstabe e („öffentliches Interesse“) und Art. 9 Abs. 2 Buchstabe j („Zwecke gemäß Art. 89 DSGVO“) DSGVO umfasst ist und
– andererseits in § 2g Abs. 1 Z 3 FOG vorgesehen ist.
Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Buchstabe e iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstabe j DSGVO, wonach die Verarbeitung aufgrund eines öffentlichen Interesses erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden.
Die Angemessenheit der Verarbeitung ergibt sich unter anderem dadurch, dass die Datenarten, die verarbeitet werden dürfen eingeschränkt werden – es darf an dieser Stelle auf die Ausführungen zu Umfang der Verarbeitung verwiesen werden. Es werden nur jene Daten verarbeiten, die für den Zweck der Kontaktaufnahme notwendig sind. Eine Speicherung bzw. Verarbeitung erfolgt nur durch die Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG). Die Verarbeitung erfolgt daher in angemessener Art und Weise.
Durch die zugelassene Verarbeitung soll die Wissenschaft und die Forschung dadurch gefördert werden, dass Nachfolgeprogramme erfolgreicher werden. Die Erheblichkeit der Verarbeitung lässt sich unter anderen anhand des EU-Austauschprogramms „Erasmus“ zeigen. Die Wirkung dieses Programmes wurde von der Europäischen Kommission im Rahmen einer Studie erhoben (The Erasmus Impact Study: http://ec.europa.eu/dgs/education_culture/repository
/education/library/study/2014/erasmus-impact_en.pdf [28.01.2018]). Die Studie wurde basierend auf fast 80.000 Rückmeldungen, u. a. von Studierenden und Unternehmen, erstellt und zeigt, dass Hochschulabgängerinnen und -abgänger mit internationaler Erfahrung wesentlich leichter am Arbeitsmarkt Fuß fassen können. Die Gefahr der Arbeitslosigkeit trifft Erasmus-Absolventinnen und -Absolventen nur halb so oft, wie Absolventinnen und Absolventen, die an keinem Austauschprogramm teilgenommen haben. Fünf Jahre nach dem Abschluss haben 61 Prozent der Erasmus-Alumni eine Managementposition, während es bei jenen, die nicht an Erasmus teilgenommen haben, nur 53 Prozent sind. Damit haben Mobilitäts-Teilnehmer eine um 15 Prozent höhere Chance, nach 5 Jahren einen Management-Posten inne zu haben. Es zeigt sich, dass eine Teilnahme am Mobilitätsprogramm nicht nur eine Verbesserung der Arbeitsmarktchancen mit sich bringt, sondern auch die Chancen auf eine höhere Position erhöht. Um Programme auch auf nationaler Ebene evaluieren und verbessern zu können, wird eine Rechtsgrundlage dafür geschaffen, um die erforderlichen Daten speichern und gegebenenfalls verarbeiten zu dürfen.
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls direkt personenbezogen zur Kenntnis gebracht werden dürfen (§ 2g Abs. 1 Z 3 FOG).
Gemäß § 2d Abs. 5 FOG ist die Speicherdauer grundsätzlich unbeschränkt. Jedoch wird in § 2g Abs. 1 Z 3 FOG eine speziellere Regelung getroffen. Demnach ist die Speicherdauer jedenfalls für zehn Jahre zulässig.
Unter der Voraussetzung, dass die Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
– die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2g Abs. 1 Z 3 iVm § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt;
– die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2g Abs. 1 Z 3 FOG als Bundesgesetz im Bundesgesetzblatt
Unter der Voraussetzung, dass die Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) ihre Prozesse so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Eine Übermittlung in Drittländer wäre nach §§ 2j iVm 38a Abs. 4 FOG grundsätzlich zulässig, allerdings nur an die in § 2j FOG genannten Empfängerinnen und Empfänger, d.h.:
– wissenschaftliche Einrichtungen (§ 2b Z 12 FOG),
– Art‑89-Förder- und Zuwendungsstellen(§ 2b Z 1 FOG),
– österreichische öffentliche Stellen (§ 2b Z 8 FOG).
Diese Risiken sind bei Verarbeitungen im Rahmen des § 2g Abs. 1 Z 3 FOG vorhanden, aber eingeschränkt, insbesondere weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“. Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO) – sofern keine Strafbefreiung vorgesehen ist.
Für Art‑89-Förder- und Zuwendungsstellen, die öffentliche Stellen sind, sind die unionsrechtlichen Strafen gemäß § 30 Abs. 5 DSG bzw. § 2k Abs. 2 Z 2 FOG ausgeschlossen. In diesem Fall können die Bestimmungen des 22. Abschnitts des Strafgesetzbuchs, BGBl. Nr. 60/1974, über die strafbaren Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen einschlägig sein.
Zusammengefasst sind die Konsequenzen, die bei einem Verstoß drohen, jedenfalls geeignet die Risiken von physischen, materiellen oder immateriellen Schäden wirkungsvoll einzudämmen.
Darüber hinaus wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt.
– Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO),
– Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO),
– Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO),
– Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO),
– Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie
Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den Art 89-Förder- und Zuwendungsstelleneinzuhalten. Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert.
Zudem wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt.
Dieses Risiko bei der Verarbeitung gemäß § 2g Abs. 1 Z 3 FOG ist minimal, insbesondere weil die Verantwortlichen im Zuge der Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Auch müssen die Art 89-Förder- und Zuwendungsstellen die in Art. 32 DSGVO konkretisierten Datensicherheitsmaßnahmen einhalten, da sonst mit Geldstrafen bis 10 Millionen Euro zu rechnen ist (Art. 83 Abs. 4 Buchstabe a DSGVO). Damit wird die Wahrscheinlichkeit der Diskriminierung aufgrund der unzulässigen Verarbeitung personenbezogener Daten effektiv gemindert.
Dieses Risiko wird insbesondere durch die unions- (sofern keine Strafbefreiung einschlägig ist) und strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert.
Überdies wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt.
Dieses Risiko wird insbesondere durch die unions- (sofern keine Strafbefreiung einschlägig ist) und strafrechtliche Sanktionierung (siehe oben: Physische, materielle oder immaterielle Schäden) effektiv gemindert. Außerdem werden keine Finanzdaten verarbeitet, womit die Wahrscheinlichkeit für den Eintritt dieses Risikos sehr gering ist.
Zudem wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt.
– unions- (sofern keine Strafbefreiung einschlägig ist) und strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden);
– Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die unbefugte Aufhebung der Pseudonymisierung, bieten.
– Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die Rufschädigung, bieten.
– Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen den Verlust der Vertraulichkeit bei Berufsgeheimnissen.
– Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen erhebliche wirtschaftliche oder gesellschaftliche Nachteile, bieten.
Darüber hinaus wird die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt.
Jene personenbezogenen Daten, die verarbeitet werden dürfen, werden in§ 2g Abs. 1 Z 3 FOG aufgezählt. Die aufgezählten Daten entsprechen der Minimierung der Verarbeitung personenbezogener Daten, weil alle Daten notwendig sind, um bisherige Empfängerinnen und Empfänger von Art-89-Mitteln in Evidenz zu halten und zu bei Bedarf kontaktieren zu können.
Zudem erfolgt mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes.
Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Voraussetzung für die Zulässigkeit der Verarbeitungen gemäß § 2d FOG. Die Verwendung bereichsspezifischer Personenkennzeichen stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine Verarbeitung gemäß Art. 9 Abs. 2 Buchstabe j DSGVO.
Durch die Publikation des § 2g Abs. 1 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei der Speicherung von Alumni-Daten durch Art 89-Förder- und Zuwendungsstellen von der Öffentlichkeit kostenlos nachvollzogen werden.
die Möglichkeit, die Verarbeitung ihrer Daten im Rahmen des § 2h Abs. 2 FOG zu überwachen.
Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist (sofern keine Ausnahmen bestehen). Entsprechende Datensicherheitsmaßnahmen sind daher von den Art 89-Förder- und Zuwendungsstellen zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.
Es ist keine Stellungnahme des Datenschutzbeauftragten der erlassenden Stelle im Rahmen des Begutachtungsverfahrens ergangen.

References: § 2
 Art. 35
 § 2
 Art. 35

§ 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 10
 § 2
 Art. 85
 § 24
 § 2
 § 2
 Art. 89
 § 2
 § 2
 § 2
 Art. 89
 § 2
 § 2
 § 2
 Art. 6
 Art. 9
 Art. 89
 § 2
 Art. 6
 Art. 9
 § 2
 § 2
 Art. 35
 § 2
 § 2
 § 2
 Art. 15
 Art. 35
 § 2
 § 2
 Art. 25
 Art. 32
 § 30
 § 2
 § 2
 § 2
 § 2
 § 2
 Art. 32
 § 2
 § 2
 § 2
 § 2
 § 2
 Art. 32
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 Art. 89
 Art. 9
 § 2
 § 2
 Art. 32
 Art. 83
 Art. 35
 Art. 32