Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681218.html
Timestamp: 2018-04-26 19:23:09+00:00

Document:
Anhang 18: Datenschutz-Folgenabschätzung zu § 11 Abs. 2 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Aufsichtspflicht von Bundesministerien gemäß § 11 Abs. 2 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann.
§ 11 Abs. 2 FOG besagt, dass jene Stellen, die der Aufsichtspflicht unterliegen, der jeweils zuständigen Bundesministerin oder dem jeweils zuständigen Bundesminister „Auswertungen zu den zumindest teilweise aus öffentlichen Mitteln finanzierten Förderungen zu übermitteln“ haben. Die Auswertungen können auch personenbezogen sein. Verpflichtet zur Übermittlung der Auswertungen sind:
– Abwicklungsstellen, die öffentliche Stelle im Sinne des § 2 Z 8
FOG sind.
Aufgrund der Ermächtigung in § 11 Abs. 2 FOG dürfen Ministerien Auswertungen – auch personenbezogene – verlangen, soweit dies zum Zweck der Erfüllung der Aufsichtspflicht notwendig ist. Auswertungen werden nur dann an die jeweils zuständige Bundesministerin oder den jeweils zuständigen Bundesminister übermittelt, wenn die erhaltenen Förderungen zumindest teilweise aus öffentlichen Mitteln finanziert wurden. Die Erfüllung der Aufsichtspflicht soll zur Erhöhung der Transparenz bei Verarbeitungen gemäß Art. 89 DSGVO führen.
Die Verarbeitung erfolgt im Kontext des Art. 89 DSGVO. Die Verarbeitungen sollen zu einer Erhöhung der Transparenz im Anwendungsbereich des Art. 89 DSGVO führen. Die vorgeschlagene Regelung orientiert sich an § 23 DSG. Es sollten Tätigkeitberichte an die entsprechenden Aufsichtsstellen übermittelt werden.
Mit dem vorgeschlagenen § 11 Abs. 2 FOG soll eine Klarstellung geschaffen werden, welche Verarbeitungen zur Wahrnehmung von Aufsichtspflichten zulässig sind. Es wird somit eine Rechtsgrundlage geschaffen, damit die jeweils zuständige Bundesministerin oder der jeweils zuständige Bundesminister ihren oder seinen Aufsichtspflichten nachkommen kann. Voraussetzung für die Verarbeitung ist lediglich, dass die erhaltenen Förderungen zumindest teilweise aus öffentlichen Mitteln finanziert wurden.
Der Zweck der Verarbeitung ist die Wahrnehmung der Aufsichtspflicht durch die zuständige Bundesministerin oder den zuständigen Bundesminister (§ 11 Abs. 2 FOG).
Empfängerin oder Empfänger der Daten ist die jeweils zuständige Bundesministerin oder der jeweils zuständige Bundesminister.
Nach der allgemeinen Regel des § 5 Abs. 6 FOG, wonach personenbezogene Daten für Zwecke des 2. Abschnitts des FOG zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die in § 11 Abs. 2 FOG angeführten Daten unbeschränkt.
Aufgrund des § 11 Abs. 2 FOG beschränken sich die Verarbeitungen auf personenbezogene Auswertungen „zu den zumindest teilweise aus öffentlichen Mitteln finanzierten Förderungen“.
Der Zweck dieser Regelung, der in § 11 Abs. 2 FOG angegeben ist, ist die Wahrnehmung der Aufsichtspflicht der jeweils zuständigen Bundesministerin oder des jeweils zuständigen Bundesministers über wissenschaftliche Einrichtungen (§ 2 Z 14 FOG) und Abwicklungsstellen (§ 2 Z 1 FOG), die öffentliche Stellen im Sinne des § 2 Z 8 FOG sind
Die Angabe des Zwecks, in § 11 Abs. 2 FOG ist klar. Es werden Auswertungen nur dann übermittelt, sofern dies dem Zweck der Wahrnehmung der Aufsichtspflichten entspricht. Nur dann ist die Verarbeitung der Daten notwendig und somit zulässig.
Der in § 11 Abs. 2 FOG angegebene Zweck ist legitim, weil er
– andererseits in § 11 Abs. 2 FOG vorgesehen ist.
Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Buchstabe c iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstabe j DSGVO, wonach die Verarbeitung aufgrund der Erreichung der Zwecke gemäß Art. 89 DSGVO erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden.
In Bezug auf die Datenarten gibt es keine Einschränkungen. Die Speicherdauer ist nicht beschränkt. Die Angemessenheit ergibt sich dadurch, dass der jeweils zuständigen Bundesministerin oder dem jeweils zuständigen Bundesminister das Recht, (personenbezogene) Auswertungen zu verlangen, nur unter der Bedingung, dass die erhaltenen Förderungen teilweise aus öffentlichen Mitteln finanziert wurden, einräumt wird. Der Kreis der Verpflichteten wird beschränkt auf:
– Abwicklungsstellen (§ 2 Z 1 FOG), die öffentliche Stellen im Sinne
des § 2 Z 8 FOG sind.
Dass der effiziente Einsatz öffentlichen Mittel im öffentlichen Interesse liegt, lässt sich nicht nur anhand einiger Bestimmungen in der Bundesverfassung, nach denen der Rechnungshof eine umfassende Prüfkompetenz hinsichtlich der Sparsamkeit, Wirtschaftlichkeit und Zweckmäßigkeit auf Bundesebene hat, ableiten (vgl. Art. 126b, Art. 127 Abs. 1 und Art. 127a Abs. 1 B-VG). Daher schreibt die Verfassung schreibt vor, dass der Einsatz der Mittel an den Kriterien der Sparsamkeit, der Wirtschaftlichkeit und der Zweckmäßigkeit zu messen ist. Durch eine Kontrollmöglichkeit, wird ein der bestmögliche Einsatz der öffentlichen Mittel gewährleistet. Dadurch kann die Fördervergabe verbessert werden.
Die Verarbeitung der Daten ist erheblich, weil es zu Effizienzsteigerungen im öffentlichen Bereich kommen soll. Durch die Aufsichtsmöglichkeit wird der zuständigen Bundesministerin oder dem zuständigen Bundesminister ein Werkzeug in die Hand gegeben, um Förderungen, die zumindest teilweise aus öffentlichen Mitteln finanziert werden, optimal zu verteilen. Dass in diesem Bereich sehr viel Potential besteht zeigen der Global Innovation Index 2017 und der Forschungs- und Technologiebericht 2017.
Beide Berichte stellen Österreich ein verbesserungswürdiges Zeugnis aus, was die Transformation von Bildungsarbeit in Wertschöpfung betrifft. Dies zeigt sich z.B. daran, dass in Österreich zwar gute Bildungsarbeit geleistet wird, diese dann aber nur mangelhaft in Wertschöpfung umgewandelt wird. Laut Global Innovation Index 2017 belegt Österreich eine Spitzenposition, was die Ausgaben im Bereich R&D („Gross expenditure on R&D, % GDP“) betrifft. Im Gegensatz dazu nimmt Österreich nur den 40. Platz – unter 127 Staaten – ein, was die Wirkungen des Wissens („FDI net inflows, % GDP“) anbelangt. Ein weiterer Indikator für das schlechte internationale Abschneiden Österreichs in Bezug auf die Umwandlung von Wissen in Wertschöpfung, ist der Forschungs- und Technologiebericht 2017. Dieser zeigt auf Seite 28 ebenfalls großes Verbesserungspotential bei der wirtschaftlichen Verwertung („business sophistication“) und der Nutzung des Wissens („knowledge & technology outputs“) auf. (https://www.bmvit.gv.at/innovation/publikationen/technologie
berichte /downloads/ftb_2017.pdf#page=29). Eine ausdrückliche und klare Rechtsgrundlage ermöglicht genauere Daten, genauere Daten ermöglichen eine bessere Einschätzung und somit neue Lösungsansätze.
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten, nur der jeweils zuständigen Bundesministerin oder dem jeweils zuständigen Bundesminister übermittelt werden. Dritten (Art. 4 Nr. 10 DSGVO) gegenüber werden die Daten nicht, insbesondere nicht direkt personenbezogen offengelegt.
Eine zeitliche Beschränkung der Speicherdauer ist nicht zielführend, weil, um ein Forschungsprojekt langfristig zu bewerten, oft Daten aus verschiedensten Jahren benötigt werden. Gemäß Art. 5 Abs. 1 Buchstabe e DSGVO ist eine zeitlich unbeschränkte Speicherung zulässig und in § 5 Abs. 6 des vorliegenden Entwurfes im Zweifel im Anwendungsbereich des Art. 89 DSGVO auch vorgesehen.
Unter der Voraussetzung, dass die Bundesministerien ihre Prozesse so anpassen, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
werden sollen: durch Publikation des § 11 Abs. 2 FOG als
werden: durch Publikation des § 11 Abs. 2 und § 5 Abs. 6 FOG als
Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) und Abwicklungsstellen (§ 2 Z 1 FOG), die öffentliche Stellen im Sinne des § 2 Z 8 FOG sind, ihre Prozesse so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Eine Übermittlung in Drittländer wäre nach § 13 FOG nur an die in § 13 FOG genannten Empfängerinnen und Empfänger zulässig, d.h.:
Diese Risiken sind bei Verarbeitungen im Rahmen des § 11 Abs. 2 FOG vorhanden, aber eingeschränkt, insbesondere weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO) – sofern keine Strafbefreiung vorgesehen ist. Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden ebenfalls ein. Diese sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen genormt. Es sind insbesondere § 302 (Amtsmissbrauch) und § 310 („Verletzung des Amtsgeheimnisses“), die Schäden vorbeugen (RIS-Justiz, RS0054100).
Dieses Risiko bei der Verarbeitung im Rahmen der Aufsichtspflicht von Bundesministerien ist minimal, insbesondere weil die Verantwortlichen im Zuge der Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Auch müssen die zuständigen Bundesministerinnen und Bundesminister, die in Art. 32 DSGVO konkretisierten Datensicherheitsmaßnahmen einhalten und dürfen natürliche Personen – gemäß Art. 7 B‑VG – nicht diskriminieren. Damit wird die Wahrscheinlichkeit der Diskriminierung aufgrund der unzulässigen Verarbeitung personenbezogener Daten effektiv gemindert.
– unions- (sofern keine Strafbefreiung einschlägig ist) und
strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle
strafrechtliche Sanktionierung (siehe oben: Risiken / Physische,
wesentlich höheren Schutz, insbesondere gegen die Rufschädigung,
wesentlich höheren Schutz, insbesondere gegen den Verlust
der Vertraulichkeit bei Berufsgeheimnissen.
Eine Minimierung der Verarbeitung personenbezogener Daten wird vorgenommen, indem die Datenempfänger auf die zuständigen Bundesministerien beschränkt werden bzw. die Datenübermittler auf wissenschaftliche Einrichtungen und Abwicklungsstellen, die öffentliche Stellen im des § 2 Z 8 FOG sind, beschränkt sind.
Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Voraussetzung für die Zulässigkeit der Verarbeitungen gemäß § 5 Abs. 1 FOG.
Durch die Publikation des § 11 Abs. 2 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten im Rahmen der Aufsichtspflicht von der Öffentlichkeit kostenlos nachvollzogen werden.
Die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO sind von den wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) und Abwicklungsstellen (§ 2 Z 1 FOG), die öffentliche Stellen im Sinne des § 2 Z 8 FOG sind, einzuhalten. Falls keine Strafbefreiung einschlägig ist, wird die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO mit Geldbußen von bis zu 10 Millionen Euro sanktioniert. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.

References: § 11
 Art. 35
 § 11
 Art. 35

§ 11
 § 2
 § 11
 Art. 89
 Art. 89
 Art. 89
 § 23
 § 11
 § 5
 § 11
 § 11
 § 11
 § 2
 § 11
 § 11
 § 11
 Art. 6
 Art. 9
 Art. 89
 § 2
 Art. 126
 Art. 127
 Art. 127
 Art. 5
 § 5
 Art. 89
 Art. 35
 § 11
 § 11
 § 5
 § 2
 Art. 15
 Art. 35
 § 13
 § 13
 § 11
 Art. 25
 Art. 32
 § 302
 § 310
 Art. 32
 Art. 7
 § 2
 § 5
 § 11
 Art. 32
 § 2
 Art. 32
 Art. 35
 Art. 32