Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681215.html
Timestamp: 2018-04-23 04:10:31+00:00

Document:
Anhang 15: Datenschutz-Folgenabschätzung zu § 10 Abs. 1 Z 2 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Veröffentlichung von Förderungsnehmerinnen und -nehmern gemäß § 10 Abs. 1 Z 2 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und diese auch Personen betreffen können, die besonders schutzwürdig sind – nämlich Förderungsnehmerinnen und –nehmer bzw. Auftragswerberinnen und -werber.
Abwicklungsstellen (§ 2 Z 1 FOG) dürfen u.a. Namen und Foto von Förderungsnehmerinnen und -nehmern veröffentlichen.
Diese Verarbeitung kann
– im Internet oder
– im Rahmen sonst öffentlich zugänglicher Berichte
Die Veröffentlichung darf für „zehn Jahre ab Zuerkennung der beantragten Förderung erfolgen“ (vgl. § 10 Abs. 1 Z 2 FOG).
Gemäß § 10 Abs. 1 Z 2 FOG dürfen folgende Daten von
– Förderungsnehmerinnen und -nehmern,
– Projektleiterinnen und -leitern sowie
– Projektpartnerinnen und -partnern
– Vorname(n),
– akademische Titel,
– Fotosowie
– gegebenenfalls die Herkunfts- und Zielinstitution.
Bei nicht-natürlichen Personen:
– Anschrift und
– Sitz.
Diese Daten dürfen gemäß § 10 Abs. 1 Z 2 FOG mit
– dem Titel,
– der Beschreibung,
– der Laufzeit und
– weiteren Angaben zum geförderten Projekt
Weitere Angaben sind z.B. die Zusammenfassung des Projektinhalts. Die Fördersumme darf angesichts der Urteile des EuGHs vom 09.11.2010, Rs. C-92/09 (Schecke) bzw. C‑93/09 (Eifert) nicht unter „weitere Angaben“ subsumiert werden dürfen.
Eine Verarbeitung hat gemäß § 10 Abs. 2 Z 2 FOG dann zu unterbleiben, wenn die Veröffentlichung geeignet ist,
– berechtigte private oder geschäftliche Interessen
Bei berechtigten privaten Interessen handelt es sich zum Beispiel um zu erwartende Bedrohungen, die wegen der Veröffentlichungen eintreten. Berechtigte geschäftliche Interessen sind eng auszulegen.
Mit der vorgeschlagenen Regelung, soll eine Rechtsgrundlage geschaffen werden, damit Abwicklungsstellen ihre Fördertätigkeit öffentlichkeits- und medienwirksame präsentieren können.
Dies kann gemäß § 10 Abs. 1 FOG zur
– Geltendmachung, Ausübung und Verteidigung von
Eine Veröffentlichung muss dann unterlassen werden, wenn berechtigte Interessen, die im § 10 Abs. 1 Z 2 FOG aufgezählt werden, gefährdet sind. Diese Abwägungsklausel hat ihren Ursprung in § 18 Abs. 1 des Informationsordnungsgesetzes. Sie ist eng auszulegen. § 10 Abs. 1 FOG geht über § 15 FOG hinaus, weil § 15 FOG nur die „Vergabe von Förderungen aus Bundesmitteln“ betrifft. Während § 10 Abs. 1 FOG iVm § 2 Z 6 lit. b FOG auch die Förderung durch Private umfasst. Im Verhältnis zu § 16 FOG hat § 10 Abs. 1 FOG einen weiteren Anwendungsbereich, denn § 16 FOG stellt auf „Vereinbarungen des Bundes mit vom Bund verschiedene Rechtsträgern“ ab, während § 10 Abs. 1 Z 1 FOG anwendbar ist, unabhängig davon, von wem der Auftrag gegeben wurde.
Die Förderung der Entwicklung und Erschließung der Künste beruht auf der Öffnungsklausel des Art. 85 Abs. 2 DSGVO, die wie folgt lautet:
Der Zweck der Verarbeitung ist es, Berichte über
– Förderungsnehmerinnen und -nehmer,
– Projektleiterinnen und -leiter sowie
– Projektpartnerinnen und -partner
zu veröffentlichen. Dies ermöglicht den Abwicklungsstellen, Öffentlichkeitsarbeit zu leisten und so die „die Gewinnung, Erweiterung und Vertiefung wissenschaftlicher Erkenntnisse“ iSd § 1 Abs. 2 Z 1 FOG zu fördern.
Die Empfängerinnen und Empfänger der Daten ist die Öffentlichkeit. Die Berichte können von jeder oder jedem eingesehen werden.
Nach der allgemeinen Regel des § 5 Abs. 6 FOG dürfen personenbezogene Daten für Zwecke des 2. Abschnitts des Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden, allerdings nur soweit die folgenden Bestimmungen – wie etwa § 10 Abs. 1 Z 2 FOG – keine abweichenden Bestimmungen vorsehen. § 10 Abs. 1 Z 2 FOG schränkt nämlich die Dauer der Veröffentlichung mit zehn Jahren ab Zuerkennung der beantragen Förderung ein.
Die Veröffentlichung wird ermöglicht, damit Abwicklungsstellen (§ 2 Z 1 FOG) Öffentlichkeitsarbeit iSd § 3 Z 9 FOG leisten können.
Der Zweck wird in § 10 Abs. 1 Z 2 FOG festgelegt. Die vorgeschlagene Regelung soll es Abwicklungsstellen ermöglichen, bestimmte Daten öffentlichkeitswirksam zu präsentieren. Dies erfolgt für Zwecke der Bewusstseinsbildung.
Die Angabe des Zwecks in § 10 Abs. 1 Z 2 FOG ist eindeutig: Die angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Öffentlichkeitsarbeit erforderlich ist.
Der in § 10 Abs. 1 Z 3 FOG angegebene Zweck ist legitim, weil er
(„Zwecke gemäß Art. 89 DSGVO“) DSGVO umfasst ist und
– andererseits in § 10 Abs. 1 Z 2 FOG vorgesehen ist.
Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016).
Die Verarbeitung zu Zwecken der „Förderung der Entwicklung und Erschließung der Künste“ basiert auf der Öffnungsklausel des Art. 85 DSGVO, insbesondere dessen 2. Absatz.
Die Rechtmäßigkeit der Verarbeitung ergibt sich insbesondere aus Art. 6 Abs. 1 Buchstabe e iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstaben j DSGVO, wonach die Verarbeitung aufgrund eines öffentlichen Interesses erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden.
Die Angemessenheit der Verarbeitung ergibt sich unter anderem dadurch, dass die Datenarten, die verarbeitet werden dürfen, eingeschränkt werden: es darf an dieser Stelle auf die Ausführungen zu Umfang der Verarbeitung verwiesen werden. Es werden nur Daten verarbeitet, die für die Öffentlichkeitsarbeit erforderlich sind. Daher erfolgt die Datenverarbeitung in angemessener Art und Weise.
Die Förderung der Öffentlichkeitsarbeit von Abwicklungsstellen (§ 2 Z 1 FOG) wird für Zwecke der Bewusstseinsbildung im Sinne des § 3 Z 9 FOG durchgeführt. Es soll auf die gesellschaftliche Relevanz von Forschung und Forschungsinvestitionen hingewiesen werden und die Anerkennung der Forschung in der Gesellschaft soll erhöht werden.
Wie wichtig „die Förderung des Verständnisses für Wissenschaft und Forschung“ (§ 3 Z 9 FOG) ist, zeigt sich unter anderem an der Entwicklung der Bruttoinlandsausgaben für Forschung und Entwicklung (vgl. http://www.statistik.at/web_de/statistiken
/energie_umwelt_innovation_mobilitaet/forschung_und_innovation/
globalschaetzung_forschungsquote_jaehrlich/index.html, [29.01.2018]). Der Statistik zu Folge gab es von 1981 bis 2017 einen Anstieg der Forschungsquote, der fast dem Faktor drei entspricht. Dass das Bewusstsein für die Bedeutung von Forschung leider nicht im selben Ausmaß gestiegen ist, zeigt eine Studie der Europäischen Kommission mit dem Titel „Public perceptions of science, research and innovation“ (Eurobarometer 419; http://ec.europa.eu/commfrontoffice/publicopinion/archives/ebs /ebs_419_en.pdf [29.01.2018]). Hier besteht großes Verbesserungspotential. So liegt Österreich beispielsweise iZm Frage nach dem Einfluss von Wissenschaft und technologischer Innovation auf die Entstehung von Arbeitsplätzen EU-weit den letzten Platz ein (Eurobarometer 419, 41).
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten begrenzt sind. Des Weiteren ist eine Veröffentlichung nur für zehn Jahre ab Zuerkennung der beantragten Förderung zulässig.
Nach der allgemeinen Regel des § 5 Abs. 6 FOG dürfen personenbezogene Daten für Zwecke des 2. Abschnitts des Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden, allerdings nur soweit die folgenden Bestimmungen – wie etwa § 10 Abs. 1 Z 2 FOG – keine abweichenden Bestimmungen vorsehen. § 10 Abs. 1 Z 2 FOG schränkt allerdings die Dauer der Veröffentlichung auf zehn Jahre ab Zuerkennung der beantragen Förderung ein.
Unter der Voraussetzung, dass die Abwicklungsstellen (§ 2 Z 1 FOG) ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
werden sollen: durch Publikation des § 10 Abs. 1 Z 2 FOG als
werden: durch Publikation des § 10 Abs. 1 Z 2 und § 5 Abs. 5 FOG
als Bundesgesetz im Bundesgesetzblatt
Unter der Voraussetzung, dass die Abwicklungsstellen
Die Veröffentlichung (im Internet) führt de facto zu einer Übermittlung in Drittländer. Als Schutzmaßnahmen sind somit die bereits oben unter: Bewertung / Beschränktheit der Verarbeitung auf das notwendige Maß oder Bewertung / Speicherbegrenzung genannten Beschränkungen anzuführen.
Diese Risiken sind für Verarbeitungen im Rahmen des § 6 FOG vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist – für Abwicklungsstellen, die keine öffentlichen Stellen sind – mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO).
Für Abwicklungsstellen, die öffentlichen Stellen sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, Bestimmungen über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen vorgesehen, die wie § 302 (Amtsmissbrauch) oder § 310 („Verletzung des Amtsgeheimnisses“) Schäden vorbeugen (RIS-Justiz, RS0054100) und so für eine effektive Risikominimierung sorgen.
– für Abwicklungsstellen, die keine öffentlichen Stellen sind:
Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit
– für Abwicklungsstellen, die öffentlichen Stellen sind: insbesondere
durch folgende Bestimmungen des 22. Abschnittes des
Jene personenbezogenen Daten, die verarbeitet werden dürfen, werden in§ 10 Abs. 1 Z 2 FOG aufgezählt. Die aufgezählten Daten entsprechen der Minimierung der Verarbeitung personenbezogener Daten. Die Namensangaben, der akademische Titel, das Geschlecht, das Foto sowie Herkunfts- und Zielinstitution bzw. die Bezeichnung, Anschrift und Sitz von den betroffenen Personen sind notwendig, damit sich Interessentinnen und Interessenten ein genaues Bild über die Förderungen und Projekte machen können.
Die Pseudonymisierung der personenbezogenen Daten wird nicht vorgesehen, damit wäre eine möglichst öffentlichkeits- und medienwirksame Darstellung der Fördertätigkeiten nicht möglich. Die angegebenen Daten sind erforderlich, um ein möglichst großes Bewusstsein zu schaffen.
Durch die Publikation des § 10 Abs. 1 Z 2 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei Veröffentlichung von Förderungsnehmerinnen und -nehmern durch Abwicklungsstellen von der Öffentlichkeit kostenlos nachvollzogen werden.
die Möglichkeit, die Verarbeitung ihrer Daten im Rahmen des § 11 Abs. 2 FOG zu überwachen.
Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist (sofern keine Ausnahmen bestehen). Entsprechende Datensicherheitsmaßnahmen sind daher von den Abwicklungsstellen zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.

References: § 10
 Art. 35
 § 10
 Art. 35
 § 10
 § 10
 § 10
 § 10
 § 10
 § 10
 § 18
 § 10
 § 15
 § 15
 § 10
 § 2
 § 16
 § 10
 § 16
 § 10
 Art. 85
 § 1
 § 5
 § 10
 § 10
 § 3
 § 10
 § 10
 § 10
 Art. 89
 § 10
 Art. 85
 Art. 6
 Art. 9
 § 3
 § 5
 § 10
 § 10
 Art. 35
 § 10
 § 10
 § 5
 § 6
 Art. 25
 Art. 32
 § 302
 § 310
 Art. 32
 § 10
 § 11
 Art. 32
 Art. 83
 Art. 35
 Art. 32