Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/I/I_00068/fnameorig_686455.html
Timestamp: 2018-04-22 22:32:14+00:00

Document:
Anhang 7: Datenschutz-Folgenabschätzung zu § 2d Abs. 8 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Klarstellung zum automatisierten Bildabgleich gemäß § 2d Abs. 8 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es zu umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Die von § 2d Abs. 8 FOG gedeckten Verarbeitungen umfassen personenbezogene Daten. Von der Verarbeitung sind auch besondere Kategorien von Daten umfasst, weil die Öffnungsklausel gemäß Art. 9 Abs. 2 Buchstabe j DSGVO in Anspruch genommen wird. Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht. Der vorgeschlagene § 2d Abs. 8 FOG ermöglicht es
– personenbezogene Daten, die mittels Bildaufnahmen gewonnen wurden mit
– die Verarbeitung durch eine wissenschaftliche Einrichtung vorgenommen wird und
– keine Veröffentlichung personenbezogener Daten stattfindet.
Mit dem vorgeschlagenen § 2d Abs. 8 FOG soll Klarheit geschaffen werden, dass für Zwecke des Art. 89 DSGVO ein Abgleich von Bilddaten mit anderen personenbezogenen Daten und eine Auswertung der Bilddaten nach besonderen Kategorien personenbezogener Daten unter Einhaltung der Voraussetzungen zulässig sein soll. Diese Klarstellung ist notwendig, weil die Forschung mit Bilddaten sonst in einem Spannungsverhältnis zu anderen Vorschriften steht. Gemäß § 12 Abs. 3 Z 3 DSG ist ein Abgleich von Bilddaten mit anderen personenbezogenen Daten unzulässig. Die Kategorisierung könnte nach den Regeln des DSG unzulässig sein.
Die Empfängerinnen und Empfänger werden in § 2d Abs. 8 Z 1 und Z 2 FOG beschränkt, weil die Verarbeitung nur durch wissenschaftliche Einrichtungen erfolgt und keine Veröffentlichung personenbezogener vorgenommen werden darf.
Nach der allgemeinen Regel des § 2d Abs. 5 FOG, wonach personenbezogene Daten für Zwecke des 2. Abschnitts des Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die von § 2d Abs. 8 FOG betroffenen Daten unbeschränkt.
Aufgrund des § 2d Abs. 8 FOG ist der Abgleich zwischen Bilddaten und anderen personenbezogenen Daten sowie die Auswertung der Bilddaten nach besonderen Kategorien personenbezogener Daten zulässig.
§ 2d Abs. 8 FOG dient der Erreichung der Zwecke gemäß Art. 89 DSGVO.
Die Angabe des Zwecks in § 2d Abs. 8 FOG ist eindeutig: die angeführten Daten dürfen nur verarbeitet werden, soweit dies die Erreichung der Zwecke gemäß Art. 89 DSGVO erforderlich ist.
– auf eine wissenschaftliche Methode nach anerkannten, internationalen Standards (sogenannte Frascati-Definition) abgestellt wird (siehe Erläuterungen zu § 2 Z 14 FOG),
– nur wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) Daten verarbeiten dürfen und
Der in § 2d Abs. 8 FOG angegebene Zweck ist legitim, weil er von den Öffnungsklauseln
– des Art. 9 Abs. 2 Buchstabe j (Zwecke des Art. 89 DSGVO) DSGVO
gedeckt und in § 2d Abs. 8 FOG vorgesehen ist.
– ein Abgleich von Bilddaten mit anderen personenbezogenen Daten und
– die Auswertung personenbezogener Daten nach bestimmten Kategorien.
– gemäß § 2d Abs. 8 Z 1 FOG eine Verarbeitung nur durch wissenschaftliche Einrichtungen zulässig ist und
– gemäß § 2d Abs. 8 Z 2 FOG keine Veröffentlichung personenbezogener Daten vorgenommen werden darf.
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil es zu keiner Veröffentlichung personenbezogener Daten kommt (§ 2d Abs. 8 Z 2 FOG).
Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
– die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2d Abs. 8 FOG als Bundesgesetz im Bundesgesetzblatt;
– die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2d Abs. 8 iVm § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt
Unter der Voraussetzung, dass die Verantwortlichen gemäß § 2d Abs. 8 FOG ihre Prozesse so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Übermittlungen an Drittländer sind nach § 38a Abs. 4 FOG zulässig. Die Übermittlungen sind nur soweit zulässig, als sie der Erreichung des Verarbeitungszweckes dienen. Kommt es zu einer Übermittlung, müssen gemäß Art. 25 DSGVO „geeignete technische und organisatorische“ getroffen werden, um „die Rechte der betroffenen Personen zu schützen.“
Diese Risiken sind für Verarbeitungen im Rahmen des § 2d Abs. 8 FOG vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO).
Die Diskriminierung im Rahmen der Verarbeitung gemäß § 2d Abs. 8 FOG ist aufgrund folgender Maßnahmen nahezu ausgeschlossen:
– unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden);
Durch die Publikation des § 2d Abs. 8 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten unter Beschränkung der Betroffenenrechte von der Öffentlichkeit kostenlos nachvollzogen werden.
grundsätzlich – soweit nicht beispielsweise eine Einschränkung gemäß § 2d Abs. 6 FOG erforderlich ist – die Möglichkeit, die Verarbeitung ihrer Daten durch die wissenschaftlichen Einrichtungen zu überwachen.
Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Verarbeitungen im Rahmen von § 2d Abs. 8 FOG zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.

References: § 2
 Art. 35
 § 2
 Art. 35
 Art. 9
 § 2
 Art. 9
 § 2
 § 2
 Art. 89
 § 12
 § 2
 § 2
 § 2
 § 2

§ 2
 Art. 89
 § 2
 Art. 89
 § 2
 § 2
 Art. 9
 Art. 89
 § 2
 § 2
 § 2
 Art. 35
 § 2
 § 2
 § 2
 § 2
 Art. 15
 Art. 35
 § 38
 Art. 25
 § 2
 Art. 25
 Art. 32
 § 2
 § 2
 § 2
 Art. 32
 Art. 83
 § 2
 Art. 35
 Art. 32