Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/I/I_00068/fnameorig_686458.html
Timestamp: 2018-04-24 23:15:03+00:00

Document:
Anhang 10: Datenschutz-Folgenabschätzung zu § 2f Abs. 1 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Sammlung, Archivierung und systematische Erfassung von Daten (§ 2b Z 5 des Forschungsorganisationsgesetzes [FOG], BGBl. Nr. 341/1981) zu Zwecken gemäß Art. 89 DSGVO. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Die Art der Verarbeitung wird nicht eingeschränkt. Nach dem vorgeschlagenen § 2f Abs. 1 FOG darf Forschungsmaterial (§ 2b Z 6 FOG), d.h. körperliche Sachen, die für Zwecke gemäß Art. 89 DSGVO von Bedeutung sein können, wie insbesondere (biologische) Proben, Bild-, Film-, Ton-, Videomaterial oder Schriftgut, insbesondere gesammelt, archiviert und systematisch erfasst werden.
Die Verarbeitung, welche durch § 2f Abs. 1 FOG gestattet wird, umfasst grundsätzlich alle Daten gemäß § 2b Z 5 FOG. Da die vorgeschlagene Regelung auf der Öffnungsklausel gemäß Art. 9 Abs. 2 Buchstabe j DSGVO beruht, ist neben der Verarbeitung personenbezogener Daten auch die Verarbeitung sensibler Daten gestattet. Insbesondere sind nach dem vorgeschlagenen § 2f Abs. 1 FOG folgende Daten umfasst:
– Personenkennung, insbesondere durch bereichsspezifisches Personenkennzeichen des Tätigkeitsbereichs „Bildung und Forschung“,
– Angaben zu sonstigen Betroffenen gemäß § 6 Abs. 4 des E-Government-Gesetzes, sofern diese in Beziehung zu den betroffenen natürlichen Personen stehen:
– Angaben zur Beziehung zwischen den sonstigen Betroffenen und den natürlichen Personen,
Die Verarbeitung erfolgt durch wissenschaftliche Einrichtungen. Im Rahmen der Schaffung eines optimalen Zugangs zum Forschungsmaterial zu Zwecken des Art. 89 DSGVO (§ 9 Abs. 1 FOG). Der vorgeschlagene § 2f Abs. 1 FOG ist im Vergleich zu spezielleren Rechtsvorschriften betreffend Archivierungspflichten nachrangig. Er gilt für die Verarbeitung von Daten zur Schaffung der Datengrundlagen zu Zwecken des Art. 89 DSGVO.
Außerdem ist durch den vorgeschlagenen § 2f Abs. 1 iVm § 2j FOG eine Teilnahme an internationalen Forschungsprojekten möglich, in denen die Einrichtung sogenannter Repositories verlangt wird.
Durch die Datenarten, die in den Ziffern des § 2f Abs. 1 FOG angegeben sind, wird eine rechtliche Basis für die eingerichteten Archive bei der Österreichischen Akademie geschaffen. Darunter fällt z.B. das Phonogrammarchiv.
Die Erlaubnis in § 2f Abs. 1 Z 6 FOG zur Verarbeitung politischer, religiöser, rechtlicher, traditioneller oder gruppenspezifischer Hintergrundinformationen ist insbesondere im Rahmen sozialwissenschaftlicher Aspekte von großer Bedeutung.
Empfängerinnen und Empfänger der Daten sind grundsätzlich wissenschaftliche Einrichtungen (§ 2b Z 12 FOG). In pseudonymisierter Form stehen, vor allem durch Publikationen der wissenschaftlichen Erkenntnisse, die Daten der gesamten Gesellschaft zur Verfügung.
Die Speicherdauer wird in § 2d Abs. 5 FOG angegeben. Diese Bestimmung besagt, dass personenbezogene Daten für Zwecke des des Forschungsorganisationsgesetzes unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden. Da keine speziellere Regelung in § 2f Abs. 1 FOG getroffen wird, ist die Speicherdauer unbeschränkt.
Gemäß § 2f Abs. 1 FOG dürfen wissenschaftliche Einrichtungen Forschungsmaterial für Zwecke des Art. 89 DSGVO insbesondere sammeln, archivieren und systematischen erfassen und in diesem Rahmen sämtliche Daten (§ 2b Z 5 FOG), die den Zwecken des Art. 89 DSGVO dienen, verarbeiten.
Der verfolgte Zweck ist in § 2f Abs. 1 FOG festgelegt. Er besteht in der Schaffung eines optimalen Zuganges zum Forschungsmaterial zu Zwecken des Art. 89 DSGVO.
Die Angabe des Zwecks in § 2f Abs. 1 FOG ist eindeutig: Die angeführten Daten dürfen nur verarbeitet werden, soweit dies zu Zwecken des Art. 89 DSGVO erforderlich ist.
– eines Verweises auf wissenschaftliche Methoden, die internationalen Standards entspricht (sogenannte Frascati-Definition; vgl. Erläuterungen zu § 2b Z 12 FOG) und
Der in § 2f Abs. 1 FOG angegebene Zweck ist legitim, weil er von der Öffnungsklausel des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO gedeckt und in § 2f Abs. 1 FOG ausdrücklich vorgesehen ist.
In Bezug auf die Datenarten und die Speicherdauer gibt es keine Einschränkungen. Allerdings sind die in § 2f Abs. 1 und 2 FOG angeführten Voraussetzungen so hoch, dass die Angemessenheit der Verarbeitung jedenfalls gewährleistet ist. Die genannten Anforderungen gemäß § 2f Abs. 2 sind:
– die Empfängerin oder der Empfänger von Übermittlungen muss eine Wissenschaftliche Einrichtung (§ 2 Z 15 FOG) sein, sonst ist nur eine Veröffentlichung unter den Auflagen des § 5 Abs. 2 Z 1 FOG zulässig;
– die übermittelnde wissenschaftliche Einrichtung hat die anderen (empfangenden) wissenschaftlichen Einrichtungen über deren Pflichten nach dem 2. Abschnitt des Forschungsorganisationsgesetzes und den Bestimmungen der Datenschutz-Grundverordnung nachweislich aufzuklären;
– die übermittelnde wissenschaftliche Einrichtung hat Vorkehrungen dafür zu treffen, dass die anderen wissenschaftlichen Einrichtungen ihre Pflichten nach dem 2. Abschnitt des Forschungsorganisationsgesetzes einhalten;
– außerdem eine von einer vertretungsbefugten Person unterfertigte Erklärung vorliegt, dass gegenüber der anderen wissenschaftlichen Einrichtung in den letzten drei Jahren
a) keine Untersagung gemäß § 22a Abs. 4 DSG erfolgte und
b) keine Maßnahme gemäß Art. 58 Abs. 2 Buchstaben f bis j DSGVO gesetzt wurde.
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) erst nach Durchlauf eines zweistufigen Verfahrens direkt personenbezogen zur Kenntnis gebracht werden dürfen (§ 2f Abs. 2 FOG).
In einem ersten Schritt dürfen durch die Repositories personenbezogene Daten nur gemäß § 2d Abs. 2 Z 1 veröffentlicht werden. Ist in einem zweiten Schritt die Übermittlung direkt personenbezogener Daten erforderlich, etwa um Interviews durchführen zu können, müssen folgende Anforderungen erfüllt sein:
– die Empfängerin oder der Empfänger von Übermittlungen muss eine Wissenschaftliche Einrichtung (§ 2b Z 12 FOG) sein, sonst ist nur eine Veröffentlichung unter den Auflagen des § 2d Abs. 2 Z 1 FOG zulässig;
– die übermittelnde wissenschaftliche Einrichtung hat die anderen (empfangenden) wissenschaftlichen Einrichtungen über deren Pflichten nach dem Forschungsorganisationsgesetz und den Bestimmungen der Datenschutz-Grundverordnung nachweislich aufzuklären;
– die übermittelnde wissenschaftliche Einrichtung hat Vorkehrungen dafür zu treffen, dass die anderen wissenschaftlichen Einrichtungen ihre Pflichten nach dem Forschungsorganisationsgesetz einhalten;
– außerdem dürfen keine offensichtlichen Gründe, die gegen die Bereitstellung personenbezogener Daten sprechen, vorliegen.
Eine zeitliche Beschränkung der Speicherdauer ist nicht möglich, weil die erforderliche Speicherdauer im Vorhinein völlig unbekannt ist, insbesondere weil nicht bekannt ist, wann welche Ergebnisse bzw. Daten von welchen wissenschaftlichen Einrichtungen in Zukunft gebraucht werden.
– die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2f Abs. 1 FOG als Bundesgesetz im Bundesgesetzblatt;
– die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2f Abs. 1 iVm § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt
– gegebenenfalls die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheits-Beschlusses der Kommission,
automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie
Unter der Voraussetzung, dass die Verantwortlichen gemäß § 2f Abs. 1 FOG ihre Prozesse – außer in den Fällen des § 2d Abs. 6 FOG – so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Eine Übermittlung in Drittländer wäre nach den §§ 2d und 2j FOG grundsätzlich zulässig, allerdings nur an die in § 2j FOG genannten Empfängerinnen und Empfänger, d.h.:
– wissenschaftliche Einrichtungen,
– Art 89-Förder- und Zuwendungsstellen,
– österreichische öffentliche Stellen
sowie unter den Voraussetzungen gemäß § 2f Abs. 2 FOG.
Die einzuhaltende Garantie findet sich in § 2f Abs. 2 FOG und erlaubt eine Übermittlung nur, wenn
1) die Empfängerin oder der Empfänger eine wissenschaftliche Einrichtung ist;
2) die übermittelnde wissenschaftliche Einrichtung die anderen (empfangenden) wissenschaftlichen Einrichtungen über deren Pflichten nach dem Forschungsorganisationsgesetzes und der Bestimmungen der Datenschutz-Grundverordnung nachweislich aufgeklärt haben;
3) die übermittelnde wissenschaftliche Einrichtung Vorkehrungen dafür getroffen hat, dass die anderen wissenschaftlichen Einrichtungen ihre Pflichten nach dem Forschungsorganisationsgesetzes einhält und
4) keine offensichtlichen Gründe, die gegen die Bereitstellung personenbezogener Daten sprechen, vorliegen.
Diese Risiken sind für Verarbeitungen im Rahmen des FOG vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind – mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO).
– für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und
– für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs:
Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt
Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Identitätsdiebstahls oder -betrugs wesentlich gesenkt.
Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko finanzieller Verluste wesentlich gesenkt.
Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko betreffend erhebliche wirtschaftliche oder gesellschaftliche Nachteile wesentlich gesenkt.
– der Auflistung der Datenarten in § 2f Abs. 1 FOG;
– der Einschränkung der Verarbeitung nur für Zwecke gemäß Art. 89 DSGVO sowie
– der Übermittlungsbeschränkung gemäß § 2f Abs. 2 FOG.
Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes.
Durch die Publikation des § 2f Abs. 1 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei Wissenstransfers von der Öffentlichkeit kostenlos nachvollzogen werden.
– Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO).
Weiters zusätzlich die Möglichkeit, die Verarbeitung ihrer Daten durch die wissenschaftlichen Einrichtungen zu überwachen, soweit diese Rechte nicht gemäß § 2d Abs. 6 FOG beschränkt oder ausgeschlossen sind.

References: § 2
 Art. 35
 Art. 89
 Art. 35
 Art. 9
 § 2
 Art. 89
 § 2
 § 2
 Art. 9
 § 2
 § 6
 Art. 89
 § 2
 Art. 89
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 Art. 89
 Art. 89
 § 2
 Art. 89
 § 2
 Art. 89
 § 2
 § 2
 Art. 9
 § 2
 § 2
 § 2
 § 5
 § 22
 Art. 58
 § 2
 § 2
 § 2
 § 2
 § 2
 Art. 22
 § 2
 § 2
 Art. 15
 Art. 35
 § 2
 § 2
 § 2
 Art. 25
 Art. 32
 Art. 32
 Art. 83
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 Art. 89
 § 2
 § 2
 § 2
 § 2