Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681204.html
Timestamp: 2019-02-18 09:57:42+00:00

Document:
Anhang 5: Datenschutz-Folgenabschätzung zu § 5 Abs. 3 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Bestimmung, die die Einführung eines Widerspruchsregisters für die Verarbeitung personenbezogener Daten (§ 2 Z 4 des Forschungsorganisationsgesetzes [FOG], BGBl. Nr. 341/1981) vorsieht (§ 5 Abs. 3 FOG). Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Gemäß § 5 Abs. 3 FOG darf die Stammzahlenregisterbehörde, zur Wahrung der Opt-out-Möglichkeit, jene Daten verarbeiten, die eine Prüfung der eindeutigen Identität der Person und der Authentizität der Mitteilung ermöglichen. Der vorgeschlagene § 5 Abs. 3 FOG umfasst eine Widerspruchsmöglichkeit (Opt-out). Dieser kann schriftlich oder elektronisch gegenüber der Stammzahlenregisterbehörde erfolgen. Der Widerspruch wird mit den Angaben zu seinem Umfang in ein Widerspruchregister eingetragen und bis zu seinem Widerruf oder dem Ableben der betroffenen Person gespeichert.
Die von § 5 Abs. 3 FOG gedeckten Verarbeitungen umfassen Daten im Sinne des § 2 Z 4 FOG. § 5 Abs. 3 FOG ist nur dann anzuwenden, wenn die Verarbeitung personenbezogener Daten für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke (Zwecke gemäß Art. 89 DSGVO) nicht gesetzlich verboten oder vorgesehen ist.
Da die in Anspruch genommene Öffnungsklausel Art. 9 Abs. 2 Buchstabe j DSGVO ist, ist nicht nur die Verarbeitung personenbezogener Daten, sondern sogar die Verarbeitung sensibler Daten umfasst. Es werden Daten nur von jenen Personen verarbeitet, die sich im Widerspruchsregister eintragen lassen. Der Widerspruch enthält Daten, die
– eine eindeutige Identität der Person, die nicht an Projekten des
zu Zwecken des Art. 89 DSGVO teilnehmen möchte und
– die Prüfung der Authentizität der Mitteilung
Der Widerspruch ist mit bereichsspezifischem Personenkennzeichen einzutragen.
Die Verarbeitung erfolgt im Kontext der Zwecke des Art. 89 DSGVO. Mit dem vorgeschlagenen § 5 Abs. 3 FOG soll ein österreichweites Widerspruchsregister eingeführt werden. Der Fortschritt in der wissenschaftlichen Forschung, insbesondere in der biomedizinischen Forschung, soll dadurch gewährleistet werden. Ähnliche Regelungen existieren bereits in § 44 letzter Satz Krankenanstalten- und Kuranstaltengesetz (KAKuG), BGBl. Nr. 1/1957, und die §§ 5 ff des Organtransplantationsgesetzes (OPTG), BGBl. I Nr. 108/2012. Die §§ 5 ff OPTG sehen vor, dass, um eine Organspende zu verhindern, dagegen widersprochen werden muss. Auch § 44 letzter Satz KAKuG geht in eine ähnliche Richtung: „die Heranziehung zu Unterrichtszwecken [hat] zu unterbleiben, sofern ein diesbezüglicher Widerspruch des Pfleglings vorliegt“. Als Vorbild kann auch die Robinsonliste gemäß § 151 Abs. 9 der Gewerbeordnung 1994, BGBl. Nr. 194/1994, die eine Möglichkeit für Konsumentinnen und Konsumenten vorsieht, kein persönlich adressiertes Werbematerial zu erhalten.
Die Regelung soll dazu führen, dass wissenschaftsfreundliche Menschen und Wissenschaftlerinnen und Wissenschaftler nicht durch bürokratischen Aufwand belastet werden. Dies schafft auch Rechtssicherheit bezüglich der Verarbeitung von Daten. Voraussetzung für die Zulässigkeit dieses Einsatzes, ist lediglich, dass keine direkt personenbezogenen Daten als Ergebnis offengelegt werden.
Der Widerspruch ist mit bereichsspezifischen Personenkennzeichen (bPK) sowie den Angaben zu seinem Umfang im Widerspruchsregister einzutragen. Dies garantiert die wissenschaftliche Qualität und den datenschutzrechtlichen Richtigkeitsgrundsatz.
Des Weiteren ist geregelt, dass die Bundesanstalt Statistik Österreich der Stammzahlenregisterbehörde mindestens einmal monatlich die Todesdaten samt bPK übermitteln muss. Dies erfolgt zur Sicherung der Datenqualität, denn dadurch werden die Daten bereinigt und aktualisiert. Im letzten Satz des § 5 Abs. 3 FOG findet sich eine Regelung, dass wissenschaftliche Einrichtungen, gegen Bereitstellung der bPK, einen Anspruch auf die Angaben zum jeweiligen Umfang der Widersprüche haben.
Die Verarbeitung der Daten erfolgt zur Führung eines Widerspruchsregisters (§ 5 Abs. 3 FOG).
Empfängerinnen und Empfänger der Angaben zum jeweiligen Umfang der Widersprüche sind wissenschaftliche Einrichtungen (§ 2 Z 14 FOG).
Die allgemeine Regel des § 5 Abs. 6 FOG, wonach personenbezogene Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, greift nicht. Die Angaben im Rahmen des Widerspruches bleiben im Widerspruchsregister bis zu seinem Widerruf oder bis zum Ableben der betroffenen Person gespeichert.
Aufgrund des § 5 Abs. 3 FOG ist die Speicherung zulässig, solange die Person keinen Widerruf eingelegt hat oder verstorben ist.
§ 5 Abs. 3 FOG ermächtigt die Stammzahlenregisterbehörde zur Feststellung des Zeitpunkts des Ablebens von betroffenen Personen zum Erhalt der Todesdaten samt bereichsspezifischer Personenkennzeichen.
Der in § 5 Abs. 3 FOG festgelegte Zweck ist die Führung eines Widerspruchregisters. Wissenschaftliche Einrichtungen haben das Recht, Angaben zum jeweiligen Umfang der Widersprüche zu verlangen.
Die Angabe des Zwecks in § 5 Abs. 3 FOG ist eindeutig: die angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Führung des Widerspruchregisters notwendig ist.
Der in § 5 Abs. 3 FOG angegebene Zweck ist legitim, weil er von den Öffnungsklauseln
gedeckt und in § 5 Abs. 3 FOG vorgesehen ist.
Gemäß § 59b KAKuG ist bereits zu Zwecken „der Verwaltung von Systemen und Diensten im Gesundheit- oder Sozialbereich“ (Art.9 Abs. 2 Buchstabe h DSGVO) eine Verarbeitung ohne Mitwirkung der betroffenen Person nach nationalem Recht und Unionsrecht erlaubt. Die Zwecke des Art. 89 DSGVO stehen auf gleicher Ebene wie die Zwecke des Art. 9 Abs. 2 Buchstabe h DSGVO, weil sich die Zwecke des Art. 89 DSGVO in Art. 9 Abs. 2 Buchstabe j DSGVO befinden und diese auf gleicher Ebene wie Art. 9 Abs. 2 Buchstabe h DSGVO liegen.
Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988).
In Bezug auf die Datenarten und die Speicherdauer gibt es keine Einschränkungen. Doch ist eine Pseudonymisierung gemäß Art. 89 DSGVO so schnell wie möglich durchzuführen. Die Verarbeitung der Daten wird darauf beschränkt, dass sie notwendig sind, um ein Widerspruchsregister zu führen. Es wird nur der Umfang des Widerspruches und das bereichsspezifische Personenkennzeichen im Widerspruchsregister eingetragen. Nur wissenschaftliche Einrichtungen haben gegen Bereitstellung der betreffenden bereichsspezifischen Personenkennzeichen einen Anspruch auf die Angaben zum jeweiligen Umfang des Widerspruches. Dadurch wird die Angemessenheit der Verarbeitung sichergestellt.
Die Verarbeitung der Daten ist erheblich, da die Verfügbarkeit hochwertiger Daten wesentliche Voraussetzung für Wissenschaft und Forschung ist.
Die Einführung eines Widerspruchsregisters schafft die Voraussetzung, damit auch die personenbezogene wissenschaftliche Forschung ermöglicht wird. Dies ist von großer Bedeutung für die weitere Entwicklung des Wissenschafts- und Forschungsstandortes: nach einem Bericht des Weltwirtschaftsforums wird bis zum Jahr 2030 alleine der Bereich der künstlichen Intelligenz die globale Wirtschaftsleistung um 14 Prozent steigern (Weltwirtschaftsforum, https://www.weforum.org/agenda/2017/06/the-global-economy-will-be-14-bigger-in-2030-because-of-ai [08.01.2018]) Umgelegt auf Österreich, das im Jahr 2016 ein Bruttoinlandsprodukt von 40.420,00 Euro pro Kopf hatte (Statistik Österreich, Das System der Volkswirtschaftlichen Gesamtrechnungen [VGR], http://www.statistik.at/web_de/statistiken/wirtschaft/ volkswirtschaftliche_gesamtrechnungen/index.html [14.01.2018]) würde ein Beibehalten der aktuellen Rechtslage jeden Menschen in Österreich bis 2030 mehr als 5.600,00 Euro kosten.
Ein Vergleich von Österreich mit Deutschland zu postmortalen Transplantationen zeigt, dass die deutsche Quote bei nur 42,6 Prozent der österreichischen Quote liegt. In Österreich gibt es eine Widerspruchsregelung, während es in Deutschland eine Zustimmungsregelung gibt (vgl. Transplant-Jahresbericht 2016, 11; https://transplant.goeg.at/sites/transplant.goeg.at/files/2017-06/TX-Jahresbericht%202016_0.pdf; [29.01.2018]). Der Vergleich der Transplantationszahlen zeigt, dass es in Österreich im Jahr 2015 in Relation fast doppelt so viele Transplantationen wie in Deutschland gab. Dies zeigt die Wirkung des Widerspruchsregisters. Kann diese Wirkung nun auf die Verfügbarkeit von Daten umgelegt werden, ist davon auszugehen, dass sich die Verfügbarkeit von Daten um den Faktor 2,5 bis 3 erhöhen wird.
Das Opt-out führt zu einer Stärkung der Forschung. Dies kann auch dafür notwendig sein, um beispielsweise der Gefahr von multiresistenten Keimen entgegenwirken zu können. Der immer stärker zunehmende Einsatz von Antibiotika in der Landwirtschaft führt zu immer größeren Gefahren für die Menschen. Dabei können auch multiresistente Keime entstehen, die besonders gefährlich für immunschwache Menschen sind. Solche Keime können ihrerseits wiederum dazu führen, dass Antibiotika unwirksam werden (vgl. http://journals.plos.org/plosone/article?id=10.1371/
journal.pone.0165820 [22.01.2018]).
Aufgrund des – durch das vorgeschlagene Opt-Out – leichteren Zugangs zu forschungsrelevanten Daten können mehr und bessere wissenschaftliche Erkenntnisse getroffen sowie Maßnahmen erarbeitet werden, die Auswirkungen auf viele Menschen in Österreich haben können.
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls direkt personenbezogen zur Kenntnis gebracht werden dürfen.
Es erfolgt eine zeitliche Beschränkung der Speicherdauer mit Widerruf oder Ableben der betroffenen Person. Damit erfolgt eine Speicherung nur für die benötigte Dauer. Des Weiteren sind die Daten gemäß Art. 89 DSGVO schnellstmöglich zu pseudonymisieren.
Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO.
Unter der Voraussetzung, dass die Stammzahlenregisterbehörde ihre Prozesse so angepasst hat, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
werden sollen: durch Publikation des § 5 Abs. 3 FOG als
werden: durch Publikation des § 5 Abs. 3 iVm § 5 Abs. 5 FOG als
Diese Risiken sind für Verarbeitungen im Rahmen des Widerspruchregisters vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO).
Die Diskriminierung bei Verarbeitungen im Rahmen des Widerspruchregisters ist aufgrund folgender Maßnahmen nahezu ausgeschlossen:
Eine Minimierung der Verarbeitung personenbezogener Daten wird dahingehend vorgeschrieben, dass nur jene Daten gespeichert werden, die die eindeutige Identität der Person und die Authentizität der Mitteilung festlegen. Die Stammzahlenregisterbehörde gibt nur an wissenschaftliche Einrichtungen (§ 2 Z 14 FOG) Daten zum Umfang der Widersprüche weiter.
Die Pseudonymisierung ist gemäß Art. 89 DSGVO schnellstmöglich durchzuführen.
Die Verwendung bereichsspezifischer Personenkennzeichen stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine Verarbeitung gemäß Art. 9 Abs. 2 Buchstaben i und j DSGVO. Durch die Formulierung etwa in § 5 Abs. 3 FOG, dass „der Widerspruch ist […] mit bereichspezifischem Personenkennzeichen […]“ eingetragen wird, soll eine praxisnahe Regelung getroffen werden, indem die gesetzliche Vermutung aufgestellt wird, dass dieser Austausch von Namen durch bereichsspezifische Personenkennzeichen einer Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO entspricht. Die Normadressatinnen und -adressaten brauchen sich aufgrund dieser Formulierung keine Gedanken machen, ob nun eine tatsächliche Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO eingetreten ist oder nicht, sondern bloß die Namen durch bereichsspezifische Personenkennzeichen austauschen, womit die Rechtssicherheit wesentlich erhöht wird. Diese Vorgangsweise ist auch durch das Unionsrecht gedeckt, weil Art. 89 Abs. 1 DSGVO die Pseudonymisierung als bloß eine unter mehreren möglichen geeigneten Garantien anführt. Außerdem sollten gemäß EG 26 DSGVO „[b]ei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, […] alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind“. Nach heutigem Stand der Technik ist davon auszugehen, dass der Austausch der Namen durch bereichsspezifische Personenkennzeichen einer Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO entspricht. Dies umso mehr als, die „zusätzliche[n] Informationen, mit denen die personenbezogenen Daten einer speziellen betroffenen Person zugeordnet werden können“ (EG 29 DSGVO) nur der Stammzahlenregisterbehörde bekannt und somit dem Zugriff des oder der Verantwortlichen entzogen sind.
Durch die Publikation des § 5 Abs. 3 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten beim Widerspruchsregister von der Öffentlichkeit kostenlos nachvollzogen werden.
Mit § 5 Abs. 3 FOG wird die Öffnungsklausel des Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen, wonach die Rechte der betroffenen Personen durch nationales Recht eingeschränkt werden dürfen, wenn dies eine notwendige und verhältnismäßige Maßnahme im wichtigen wirtschaftlichen Interesse eines Mitgliedstaates darstellt. Die Maßnahme ist erforderlich, um ein Widerspruchsregister führen zu können.
Dem Art. 32 DSGVO entsprechende Datensicherheitsmaßnahmen sind auch bei Betrieb des Widerspruchsregisters zu treffen. Da es sich um eine zentrale Infrastruktur handelt, sind hier sogar noch höhere Anforderungen als sonst einzuhalten. Art. 35 Abs. 10 DSGVO lässt Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren, weshalb ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen ist.

References: § 5
 Art. 35
 Art. 35
 Art. 9
 § 5
 § 5
 § 5
 § 2
 § 5
 Art. 89
 Art. 9
 Art. 89
 Art. 89
 § 5
 § 44
 § 44
 § 151
 § 5
 § 5
 § 5

§ 5
 § 5
 § 5
 § 5
 § 5
 § 59
 Art. 89
 Art. 9
 Art. 89
 Art. 9
 Art. 9
 Art. 89
 Art. 89
 Art. 34
 Art. 35
 § 5
 § 5
 § 5
 Art. 25
 Art. 32
 Art. 89
 Art. 89
 Art. 9
 § 5
 Art. 4
 Art. 4
 Art. 89
 Art. 4
 § 5
 § 5
 Art. 23
 Art. 32
 Art. 35
 Art. 32