Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/I/I_00068/fnameorig_686470.html
Timestamp: 2019-01-23 00:03:15+00:00

Document:
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Verarbeitung von Daten gemäß § 2b Z 5 FOG durch die Ombudsstelle gemäß § 31 des Hochschul-Qualitätssicherungsgesetzes (HS-QSG), BGBl. I Nr. 74/2011. Die Durchführung einer Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 1 DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten kommen kann.
Die Ombudsstelle darf zur Erfüllung ihrer Aufgaben Daten iSd § 2b Z 5 FOG verarbeiten (§ 31 Abs. 6 HS-QSG). Mangels eindeutiger Anordnung zur Art der Verarbeitung darf diese sowohl in Papierform als auch in automationsunterstützter Form erfolgen. Besondere Formen, die aufgrund ihres Spannungsverhältnisses zu Bestimmungen der DSGVO, wie insbesondere Art. 5 DSGVO, einer gesetzlichen Regelung bedürften, wie etwa Big Data, sind nicht vorgesehen und damit nicht zulässig.
– Angaben zum Schriftverkehr (§ 31 Abs. 6 Z 5 HS-QSG) sowie
– Angaben zum Prozess und zur Erledigung (§ 31 Abs. 6 Z 6 HS-QSG).
Die Verarbeitung erfolgt im Kontext der Information und Beratung von Studierenden im Hochschulwesen (§ 31 Abs. 2 und 3 HS-QSG). Eingerichtet ist die Ombudsstelle im Bundesministerium für Bildung, Wissenschaft und Forschung. Die §§ 2a bis 2j FOG sind nicht anzuwenden, weil die Ombudsstelle weder wissenschaftliche Einrichtung noch Art-89-Förder- und Zuwendungsstelle ist; einzige Ausnahme stellt § 2h Abs. 1 FOG dar, der sich auf öffentliche Stellen bezieht und eine solche ist die Ombudsstelle.
Der verfolgte Zweck – das ist die Erfüllung ihrer Aufgaben – ist in § 31 Abs. 6 HS-QSG festgelegt.
Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Buchstabe c iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstaben g und j DSGVO, wonach die Verarbeitung für Zwecke der Ombudsstelle aufgrund einer rechtlichen Verpflichtung erfolgt.
– Name und Kontaktdaten des Verantwortlichen: durch Veröffentlichung auf der Website des Hochschulombudsmanns unter http://www.hochschulombudsmann.at/ (10.01.2018);
– die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 31 Abs. 6 HS-QSG als Bundesgesetz im Bundesgesetzblatt;
– die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 31 Abs. 6 HS-QSG als Bundesgesetz im Bundesgesetzblatt
– die Aufzählung der Kategorien personenbezogener Daten, die verarbeitet werden: durch Publikation der Aufzählung gemäß § 31 Abs. 6 HS-QSG als Bundesgesetz im Bundesgesetzblatt sowie
– der Datenquellen: durch Publikation des vorliegenden Entwurfes, insbesondere des § 31 Abs. 4 HS-QSG als Bundesgesetz im Bundesgesetzblatt.
Eine Übermittlung in Drittländer wäre nach § 1 Abs. 4 HS-QSG iVm § 38a FOG grundsätzlich zulässig. Allerdings sind die Regelungen der §§ 2a ff FOG nur leges speciales gegenüber den allgemeinen Bestimmungen des DSG, sodass speziellere Bestimmungen, wie § 31 HS-QSG über die Ombudsstelle, den §§ 2a ff FOG vorgehen. Gemäß § 31 HS-QSG ist eine Übermittlung in Drittländer zwar nicht ausgeschlossen, aber sehr restriktiv zu sehen und nur dann zulässig, wenn dies für die Erfüllung der Aufgaben gemäß § 31 Abs. 6 HS-QSG erforderlich ist.
Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Verlusts der Kontrolle über personenbezogene Daten zudem wesentlich gesenkt.
Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung darüber hinaus erheblich gesenkt.
– strafrechtliche Sanktionierung (siehe oben: Physische, materielle oder immaterielle Schäden);
– Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen Profiling und Identitätsdiebstahl, bieten.
Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Identitätsdiebstahls oder -betruges darüber hinaus wesentlich gesenkt.
Unabhängig davon wird das Risiko finanzieller Verluste durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG zusätzlich wesentlich gesenkt.
– Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere vor Rufschädigung, bieten.
– Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere vor Verlust der Vertraulichkeit bei Berufsgeheimnissen, bieten.
– Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere vor erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen, bieten.
Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko erheblicher wirtschaftlicher oder gesellschaftlicher Nachteile zudem wesentlich gesenkt.
– ohne Namensangaben (§ 31 Abs. 6 Z 1 HS-QSG), ein Auffinden bestehender Akten für Personen, die sich nur mittels Namen identifizieren nicht möglich wäre;
– ohne Personenmerkmale (§ 31 Abs. 6 Z 2 HS-QSG), eine Ausstattung mit bereichsspezifischen Personenkennzeichen nicht möglich wäre;
– ohne Angaben zur Identifikation (§ 31 Abs. 6 Z 3 HS-QSG), die Eindeutigkeit der Identität der betroffenen Personen nicht überprüft werden kann;
– ohne Adress- und Kontaktdaten (§ 31 Abs. 6 Z 4 HS-QSG), mit den betroffenen Personen nicht in Kontakt getreten werden kann;
– ohne Angaben zum Schriftverkehr (§ 31 Abs. 6 Z 5 HS-QSG), die Eingaben der betroffenen Personen nicht verarbeitet werden können;
– ohne Angaben zum Prozess und zur Erledigung (§ 31 Abs. 6 Z 1 HS-QSG), Erledigungen weder ausgearbeitet noch – im Nachhinein – überprüft bzw. wiederverwendet werden können.
Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt schließlich eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes.

References: Art. 35
 § 2
 § 31
 Art. 35
 § 2
 Art. 5
 § 2
 § 31
 Art. 6
 Art. 9
 § 31
 § 31
 § 31
 § 31
 § 1
 § 38
 § 31
 § 31
 § 31
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2
 § 2