Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681210.html
Timestamp: 2018-04-27 09:15:33+00:00

Document:
Anhang 10: Datenschutz-Folgenabschätzung zu § 9 Abs. 1 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Sammlung, Archivierung und systematische Erfassung von Daten (§ 2 Z 4 des Forschungsorganisationsgesetzes [FOG], BGBl. Nr. 341/1981) zu Zwecken gemäß Art. 89 DSGVO. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Die Art der Verarbeitung wird nicht eingeschränkt. Nach dem vorgeschlagenen § 9 Abs. 1 FOG darf Forschungsmaterial (§ 2 Z 5 FOG), d.h. körperliche Sachen, die für Zwecke gemäß Art. 89 DSGVO von Bedeutung sein können, wie insbesondere (biologische) Proben, Bild-, Film-, Ton-, Videomaterial oder Schriftgut, insbesondere gesammelt, archiviert und systematisch erfasst werden.
Die Verarbeitung, welche durch § 9 Abs. 1 FOG gestattet wird, umfasst grundsätzlich alle Daten gemäß § 2 Z 4 FOG. Da die vorgeschlagene Regelung auf der Öffnungsklausel gemäß Art. 9 Abs. 2 Buchstabe j DSGVO beruht, ist neben der Verarbeitung personenbezogener Daten auch die Verarbeitung sensibler Daten gestattet. Insbesondere sind nach dem vorgeschlagenen § 9 Abs. 1 FOG folgende Daten umfasst:
– Namensangaben:
– Vorname(n), Familienname bzw. Bezeichnung,
– Geburtsname,
– akademischer Grad,
– Titel, Ansprache,
– Personenmerkmale:
– Geburtsort, soweit verfügbar,
– Staatsangehörigkeit,
– Personenkennung, insbesondere durch bereichsspezifisches
Personenkennzeichen des Tätigkeitsbereichs „Bildung und
Forschung“,
– Angaben zu sonstigen Betroffenen gemäß § 6 Abs. 4 des
E-Government-Gesetzes, sofern diese in Beziehung zu den
betroffenen natürlichen Personen stehen:
– Rechtsform,
– elektronische Kennung gemäß § 6 Abs. 3 E-GovG,
– Angaben zur Beziehung zwischen den sonstigen Betroffenen
und den natürlichen Personen,
– Adress- und Kontaktdaten:
– Angaben zur elektronischen Erreichbarkeit sowie
– weitere Angaben, wie insbesondere:
– politische Hintergrundinformationen,
– religiöse Hintergrundinformationen,
– rechtliche Hintergrundinformationen,
– traditionelle Hintergrundinformationen oder
– andere gruppenspezifische Hintergrundinformationen.
Hinsichtlich der betroffenen Personen bestehen keine Einschränkungen.
Die Verarbeitung erfolgt durch wissenschaftliche Einrichtungen. Im Rahmen der Schaffung eines optimalen Zugangs zum Forschungsmaterial zu Zwecken des Art. 89 DSGVO (§ 9 Abs. 1 FOG). Der vorgeschlagene § 9 Abs. 1 FOG ist im Vergleich zu spezielleren Rechtsvorschriften betreffend Archivierungspflichten nachrangig. Er gilt für die Verarbeitung von Daten zur Schaffung der Datengrundlagen zu Zwecken des Art. 89 DSGVO.
Die vorgeschlagene Regelung soll gewährleisten, dass wissenschaftliche Projekte auch nach Weggang von Forscherinnen und Forschern oder Jahrzehnte später fortgeführt werden können. Dadurch können Kosten gesenkt werden und der mehrfachen Datenerhebung wird entgegnet.
Außerdem ist durch den vorgeschlagenen § 9 Abs. 1 iVm § 13 FOG eine Teilnahme an internationalen Forschungsprojekten möglich, in denen die Einrichtung sogenannter Repositories verlangt wird.
Durch die Datenarten, die in den Ziffern des § 9 Abs. 1 FOG angegeben sind, wird eine rechtliche Basis für die eingerichteten Archive bei der Österreichischen Akademie geschaffen. Darunter fällt z.B. das Phonogrammarchiv.
Die Erlaubnis in § 9 Abs. 1 Z 6 FOG zur Verarbeitung politischer, religiöser, rechtlicher, traditioneller oder gruppenspezifischer Hintergrundinformationen ist insbesondere im Rahmen sozialwissenschaftlicher Aspekte von großer Bedeutung.
Die Verarbeitung der Daten wird zur Erreichung der Zwecke gemäß Art. 89 DSGVO durchgeführt.
Empfängerinnen und Empfänger der Daten sind grundsätzlich wissenschaftliche Einrichtungen (§ 2 Z 14 FOG). In pseudonymisierter Form stehen, vor allem durch Publikationen der wissenschaftlichen Erkenntnisse, die Daten der gesamten Gesellschaft zur Verfügung.
Die Speicherdauer wird in § 5 Abs. 6 FOG angegeben. Diese Bestimmung besagt, dass personenbezogene Daten für Zwecke des 2. Abschnittes des Forschungsorganisationsgesetzes unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden. Da keine speziellere Regelung in § 9 Abs. 1 FOG getroffen wird, ist die Speicherdauer unbeschränkt.
Gemäß § 9 Abs. 1 FOG dürfen wissenschaftliche Einrichtungen Forschungsmaterial für Zwecke des Art. 89 DSGVO insbesondere sammeln, archivieren und systematischen erfassen und in diesem Rahmen sämtliche Daten (§ 2 Z 4 FOG), die den Zwecken des Art. 89 DSGVO dienen, verarbeiten.
Der verfolgte Zweck ist in § 9 Abs. 1 FOG festgelegt. Er besteht in der Schaffung eines optimalen Zuganges zum Forschungsmaterial zu Zwecken des Art. 89 DSGVO. Die Verarbeitung dient der Zwecke des Art. 89 DSGVO. Diese sind Verarbeiten zu:
– wissenschaftlichen oder historischen Forschungszwecken oder
Die Angabe des Zwecks in § 9 Abs. 1 FOG ist eindeutig: Die angeführten Daten dürfen nur verarbeitet werden, soweit dies zu Zwecken des Art. 89 DSGVO erforderlich ist.
Art. 5 Abs. 1 Buchstabe d DSGVO lässt die Verarbeitung von Daten für mehrere Zwecke zu. Dies ergibt sich auch aus der Formulierung des Art. 5 Abs. 1 Buchstabe c DSGVO.
– eines Verweises auf wissenschaftliche Methoden, die
internationalen Standards entspricht (sogenannte Frascati-Definition;
vgl. Erläuterungen zu § 2 Z 14 FOG) und
– einer Definition der Zwecke mittels Verweis auf Art. 89 DSGVO.
Der in § 9 Abs. 1 FOG angegebene Zweck ist legitim, weil er von der Öffnungsklausel des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO gedeckt und in § 9 Abs. 1 FOG ausdrücklich vorgesehen ist.
In Bezug auf die Datenarten und die Speicherdauer gibt es keine Einschränkungen. Allerdings sind die in § 9 Abs. 1 und 2 FOG angeführten Voraussetzungen so hoch, dass die Angemessenheit der Verarbeitung jedenfalls gewährleistet ist. Die genannten Anforderungen gemäß § 9 Abs. 2 sind:
– die Empfängerin oder der Empfänger von Übermittlungen muss eine
Wissenschaftliche Einrichtung (§ 2 Z 14 FOG) sein, sonst ist nur eine
Veröffentlichung unter den Auflagen des § 5 Abs. 1 Z 1 FOG zulässig;
– die übermittelnde wissenschaftliche Einrichtung hat die anderen
(empfangenden) wissenschaftlichen Einrichtungen über deren Pflichten
nach dem 2. Abschnitt des Forschungsorganisationsgesetzes und den
Bestimmungen der Datenschutz-Grundverordnung nachweislich
aufzuklären;
– die übermittelnde wissenschaftliche Einrichtung hat Vorkehrungen
dafür zu treffen, dass die anderen wissenschaftlichen Einrichtungen ihre
Pflichten nach dem 2. Abschnitt des Forschungsorganisationsgesetzes
– außerdem dürfen keine offensichtlichen Gründe, die gegen die
Bereitstellung personenbezogener Daten sprechen, vorliegen.
Die Erheblichkeit der Verarbeitung zeigt sich darin, dass der optimale Zugang zu Forschungsmaterial von großer Bedeutung für die Erreichung der Zwecke des Art. 89 DSGVO ist.
Durch das Schaffen von Datengrundlagen über einen längeren Zeitraum können im schlimmsten Fall sogar Menschenleben gerettet werden. So hätte beispielsweise im Jahr 1999 das Lawinenunglück von Galtür, das 38 Menschenleben forderte, besser prognostiziert werden können, wären mehr Daten vorgelegen.
Des Weiteren soll durch diese Regelung sichergestellt werden, dass wissenschaftliche Projekte auch nach Weggang von Forscherinnen und Forschern oder Jahrzehnte später fortgeführt werden können. Damit können wissenschaftliche Einrichtungen nicht nur effektiver, sondern auch effizienter arbeiten.
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) erst nach Durchlauf eines zweistufigen Verfahrens direkt personenbezogen zur Kenntnis gebracht werden dürfen (§ 9 Abs. 2 FOG).
In einem ersten Schritt dürfen durch die Repositories personenbezogene Daten nur gemäß § 5 Abs. 1 Z 1 veröffentlicht werden (§ 5 Abs. 2 FOG). Ist in einem zweiten Schritt die Übermittlung direkt personenbezogener Daten erforderlich, etwa um Interviews durchführen zu können, müssen folgende Anforderungen erfüllt sein:
Eine zeitliche Beschränkung der Speicherdauer ist nicht möglich, weil die erforderliche Speicherdauer im Vorhinein völlig unbekannt ist, insbesondere weil nicht bekannt ist, wann welche Ergebnisse bzw. Daten (§ 2 Z 4 FOG) von welchen wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) in Zukunft gebraucht werden.
werden sollen: durch Publikation des § 9 Abs. 1 FOG als
werden: durch Publikation des § 9 Abs. 1 iVm § 5 Abs. 6 FOG als
– ein Hinweis auf das allfällige Bestehen anderer / restlicher Rechte
der betroffenen Personen,
Unter der Voraussetzung, dass die Verantwortlichen gemäß § 9 Abs. 1 FOG ihre Prozesse – außer in den Fällen des § 5 Abs. 7 FOG – so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
– österreichische öffentliche Stellen (§ 2 Z 8 FOG)
sowie unter den Voraussetzungen gemäß § 9 Abs. 2 FOG.
Die einzuhaltende Garantie findet sich in § 9 Abs. 2 FOG und erlaubt eine Übermittlung nur, wenn
1) die Empfängerin oder der Empfänger eine wissenschaftliche
Einrichtung (§ 2 Z 14 FOG) ist;
2) die übermittelnde wissenschaftliche Einrichtung, die anderen
nach dem 2. Abschnitt des Forschungsorganisationsgesetzes und der
aufgeklärt haben;
3) die übermittelnde wissenschaftliche Einrichtung Vorkehrungen dafür
getroffen hat, dass die anderen wissenschaftlichen Einrichtungen ihre
4) keine offensichtlichen Gründe, die gegen die Bereitstellung
personenbezogener Daten sprechen, vorliegen.
Diese Risiken sind für Verarbeitungen im Rahmen des § 6 FOG vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind – mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO).
Für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, Bestimmungen über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen vorgesehen, die wie § 302 (Amtsmissbrauch) oder § 310 („Verletzung des Amtsgeheimnisses“) Schäden vorbeugen (RIS-Justiz, RS0054100) und so für eine effektive Risikominimierung sorgen.
„geeignete technische und organisatorische Maßnahmen“ zu treffen,
-verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“
– für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen
sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit
Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4
Buchstabe a DSGVO und
– für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind:
Insbesondere durch folgende Bestimmungen des 22. Abschnittes des
Strafgesetzbuchs:
Das Risiko der Diskriminierung wird insbesondere durch folgende Maßnahmen minimiert:
Das Risiko des Identitätsdiebstahls und -betrugs wird insbesondere durch folgende Maßnahmen minimiert:
Das Risiko finanzieller Verluste wird insbesondere durch folgende Maßnahmen minimiert:
Das Risiko der unbefugten Aufhebung der Pseudonymisierung wird insbesondere durch folgende Maßnahmen minimiert:
Das Risiko der Rufschädigung wird insbesondere durch folgende Maßnahmen minimiert:
Das Risiko des Verlusts der Vertraulichkeit bei Berufsgeheimnissen wird insbesondere durch folgende Maßnahmen minimiert:
Das Risiko erheblicher wirtschaftlicher und gesellschaftlicher Nachteile wird insbesondere durch folgende Maßnahmen minimiert:
Die Minimierung der Verarbeitung personenbezogener Daten ergibt sich aus
– der Auflistung der Datenarten in § 9 Abs. 1 FOG;
– der Einschränkung der Verarbeitung nur für Zwecke gemäß Art. 89
DSGVO sowie
– der Übermittlungsbeschränkung gemäß § 9 Abs. 2 FOG.
Die schnellstmögliche Pseudonymisierung personenbezogener Daten wird durch Art. 89 DSGVO sichergestellt, wonach „technische und organisatorische Maßnahmen [zu] bestehen [haben], mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören“. Diese hat schnellstmöglich zu erfolgen.
Durch die Publikation des § 9 Abs. 1 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei Wissenstransfers von der Öffentlichkeit kostenlos nachvollzogen werden.
die Möglichkeit, die Verarbeitung ihrer Daten durch die wissenschaftlichen Einrichtungen zu überwachen, soweit diese Rechte nicht gemäß § 5 Abs. 7 FOG beschränkt oder ausgeschlossen sind.
Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist. Entsprechende Datensicherheitsmaßnahmen sind daher auch beim Betrieb sogenannter Repositories zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.

References: § 9
 Art. 35
 Art. 89
 Art. 35
 Art. 9
 § 9
 Art. 89
 § 9
 § 2
 Art. 9
 § 9
 § 6
 § 6
 Art. 89
 § 9
 Art. 89
 § 9
 § 13
 § 9
 § 9
 Art. 89
 § 5
 § 9
 § 9
 Art. 89
 Art. 89
 § 9
 Art. 89
 Art. 89
 § 9
 Art. 89

Art. 5
 Art. 5
 § 2
 Art. 89
 § 9
 Art. 9
 § 9
 § 9
 § 9
 § 5
 Art. 89
 § 5
 § 9
 § 9
 § 5
 § 9
 § 5
 Art. 15
 Art. 35
 § 9
 § 9
 § 6
 Art. 25
 Art. 32
 § 302
 § 310
 Art. 32
 Art. 83
 § 9
 Art. 89
 § 9
 Art. 89
 § 9
 § 5
 Art. 32
 Art. 83
 Art. 35
 Art. 32