Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681206.html
Timestamp: 2018-11-20 23:53:47+00:00

Document:
Anhang 6: Datenschutz-Folgenabschätzung zu § 5 Abs. 7 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Klarstellung zur Beschränkbarkeit der Rechte der betroffenen Personen (§ 5 Abs. 7 des Forschungsorganisationsgesetzes [FOG], BGBl. Nr. 341/1981). Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Gemäß § 5 Abs. 7 FOG dürfen Verantwortliche sämtliche personenbezogene Daten, unter Ausschluss oder Beschränkung (arg: „insoweit“)
der betroffenen Person verarbeiten, wenn dies zur „Erreichung von Zwecken gemäß Art. 89 DSGVO“ erforderlich ist.
Die von § 5 Abs. 7 FOG gedeckten Verarbeitungen umfassen Daten im Sinne des § 2 Z 4 FOG. Von der Verarbeitung können auch besondere Kategorien von Daten umfasst sein, weshalb auch die Öffnungsklausel gemäß Art. 9 Abs. 2 Buchstabe j DSGVO in Anspruch genommen wird. Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht. Der vorgeschlagene § 5 Abs. 7 FOG umfasst die Verarbeitung sämtlicher Daten unter Ausschluss oder Beschränkung (arg: „insoweit“) folgender Rechte:
– Z 3 Recht auf Löschung bzw. Recht auf Vergessenwerden (Art. 17
Die Verarbeitung erfolgt im Kontext der Zwecke des Art. 89 DSGVO. Mit dem vorgeschlagenen § 5 Abs. 7 FOG soll Klarheit geschaffen werden, dass die Erreichung der Zwecke des Art. 89 DSGVO nicht durch die Anwendung der Rechte der betroffenen Person gemäß Kapitel III DSGVO beeinträchtigt werden dürfen.
Die Empfängerinnen und Empfänger werden in § 5 Abs. 7 nicht geregelt, sodass nach den Grundregeln des § 7 DSG sowie des § 5 Abs. 1 und 2 FOG grundsätzlich die gesamte Gesellschaft als Empfängerin in Frage kommt, allerdings nicht in direkt personenbezogener Form (zur Ausnahme gemäß § 9 Abs. 2 FOG, siehe: Datenschutzfolgenabschätzung zu § 9 Abs. 1 FOG [Anhang 10]).
Nach der allgemeinen Regel des § 5 Abs. 6 FOG, wonach personenbezogene Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die von § 5 Abs. 7 FOG umfassten Daten unbeschränkt.
Von § 5 Abs. 7 FOG ist jede Form der Verarbeitung erfasst, die zu Zwecken gemäß Art. 89 DSGVO erfolgt.
§ 5 Abs. 7 FOG soll sicherstellen, dass die Zwecke gemäß Art. 89 DSGVO erreicht werden können und nicht durch die Ausübung von Rechten der betroffenen Personen vereitelt werden können. Die Verarbeitung ist demnach zulässig für
Dies wird auch in § 1 Abs. 2 FOG bekräftigt, wonach als Ziel des FOG „die Gewinnung, Erweiterung und Vertiefung wissenschaftlicher Erkenntnisse“ genannt wird.
Die Angabe des Zwecks in § 5 Abs. 7 FOG ist eindeutig: der Ausschluss oder die Einschränkung der Rechte der betroffenen Personen darf nur erfolgen, soweit dies zur Erreichung der Zwecke gemäß Art. 89 DSGVO erforderlich ist.
Bereits aufgrund der Regelung in Art. 89 DSGVO, d.h. einer unmittelbar anwendbaren EU-Verordnung, kann im Sinne der VfGH-Judikatur (vgl. VfSlg. 17.065/2003 in Folge von EuGH 20.05.2003, C-465/00, ORF vs Rechnungshof, ECLI:EU:C:2003:294) aufgrund des Anwendungsvorrangs gar kein Verstoß gegen Art. 18 B‑VG vorliegen. Außerdem ist davon auszugehen, dass Art. 89 DSGVO den eigenen Anforderungen der Datenschutz-Grundverordnung hinsichtlich der Eindeutigkeit des Zwecks entspricht, sodass jedenfalls von einer Eindeutigkeit des Zwecks für Zwecke der vorliegenden Datenschutz-Folgenabschätzung auszugehen ist.
Der in § 5 Abs. 7 FOG angegebene Zweck ist legitim, weil er von den Öffnungsklauseln
– keine Veröffentlichung oder
Die Angemessenheit der Verarbeitung ergibt sich auch dadurch, dass es nur dann zu einem Ausschluss der Rechte von betroffenen Personen kommt, wenn die Zweck-Verfolgung gemäß Art. 89 DSGVO „voraussichtlich unmöglich gemacht oder ernsthaft beeinträchtigt“ wird.
Die Verarbeitung der Daten ist erheblich, da die Verfügbarkeit hochwertiger Daten wesentliche Voraussetzung für Wissenschaft und Forschung ist. Die Wissenschaft und Forschung spielt für den Wohlstand in Österreich eine immer wichtigere Rolle, was sich anhand der Forschungsquote erkennen lässt (vgl.
http://www.statistik.at/web_de/statistiken/energie_umwelt_
Mit der Beschränkung der Betroffenenrechte soll u.a. Rechtssicherheit für die Verarbeitung von Daten zu Zwecken der Arzneimittelsicherheit geschaffen werden. So bedarf die Teilnahme an klinischen Studien der Einwilligung (§ 38 AMG). Während der Durchführung klinischer Prüfungen können die Einwilligungen jederzeit widerrufen werden (§ 38 Abs. 2 AMG). Dies sollte für die bereits gewonnen Daten und v.a. nach Durchführung der klinischen Prüfungen aufgrund der vorgeschlagenen Bestimmung nicht gelten. Zur Bedeutung der Arzneimittelsicherheit darf auf eine Studie der Weltgesundheitsorganisation (WHO) verwiesen werden: http://www.euro.who.int/en/health-topics/Health-systems/patient-safety/data-and-statistics (03.02.2018). Demnach geben 23 Prozent der Bevölkerung innerhalb der EU an, direkt von einem medizinischen Fehler betroffen zu sein. 18 Prozent geben an, dass sie Opfer von Behandlungsfehlern wurden und 11 Prozent geben an, dass ihnen falsche Medikamente verschrieben wurden. Die Bedeutung der Pharmakovigilanz wird von der Österreichischen Agentur für Gesundheit und Ernährungssicherheit GmbH (vgl.
https://www.ages.at/download/0/ 0/f09e372f81af2a04e58586310005818ba2d9c55d/ fileadmin/AGES2015/Service/AGES-Akademie/2016-10-13_AGES_Gespr%C3%A4ch_Meldung_von_AM-Nebenwirkungen/05_Pharmakovigilanz_HCP-Freigegeben.pdf, 6 ff; [29.01.2018]) wie folgt zusammengefasst:
– „51 % aller zugelassenen Arzneimittel haben nicht bekannte
schwerwiegende Nebenwirkungen“
Grundsätzlich ist die Speicherdauer nicht beschränkt (§ 5 Abs. 6 FOG), weil im Vorhinein nicht definiert werden kann, zu welchem Zeitpunkt welche Daten benötigt werden.
werden sollen: durch Publikation der geplanten Änderungen zum
FOG als Bundesgesetz im Bundesgesetzblatt;
werden: durch Publikation des § 5 Abs. 7 iVm Abs. 6 FOG als
Diese Risiken sind für Verarbeitungen im Rahmen des § 5 Abs. 7 FOG vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, weshalb „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten müssen. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO).
einer Geldbuße bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4
Die Diskriminierung bei Verarbeitungen im Rahmen des § 5 Abs. 7 FOG ist aufgrund folgender Maßnahmen nahezu ausgeschlossen:
Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Voraussetzung für die Zulässigkeit der Verarbeitungen (§ 5 Abs. 1 Z 1 FOG). Die Ausstattung mit bereichsspezifischen Personenkennzeichen gemäß § 5 Abs. 1 Z 2 FOG ist Voraussetzung für die Pseudonymisierung mittels bereichsspezifischer Personenkennzeichen gemäß § 5 Abs. 1 Z 1 und 3 FOG.
Die Verwendung bereichsspezifischer Personenkennzeichen stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine Verarbeitung gemäß Art. 9 Abs. 2 Buchstaben i und j DSGVO. Durch die Formulierung etwa in § 5 Abs. 1 Z 3 FOG, dass „Namensangaben durch bereichsspezifische Personenkennzeichen zu ersetzen sind“ soll eine praxisnahe Regelung getroffen werden, indem die gesetzliche Vermutung aufgestellt wird, dass dieser Austausch von Namen durch bereichsspezifische Personenkennzeichen einer Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO entspricht. Die Normadressatinnen und -adressaten brauchen sich aufgrund dieser Formulierung keine Gedanken machen, ob nun eine tatsächliche Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO eingetreten ist oder nicht, sondern bloß die Namen durch bereichsspezifische Personenkennzeichen austauschen, womit die Rechtssicherheit wesentlich erhöht wird. Diese Vorgangsweise ist auch durch das Unionsrecht gedeckt, weil Art. 89 Abs. 1 DSGVO die Pseudonymisierung als bloß eine unter mehreren möglichen geeigneten Garantien anführt. Außerdem sollten gemäß EG 26 DSGVO „[b]ei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, […] alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind“. Nach heutigem Stand der Technik ist davon auszugehen, dass der Austausch der Namen durch bereichsspezifische Personenkennzeichen einer Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO entspricht. Dies umso mehr als, die „zusätzliche[n] Informationen, mit denen die personenbezogenen Daten einer speziellen betroffenen Person zugeordnet werden können“ (EG 29 DSGVO) nur der Stammzahlenregisterbehörde bekannt und somit dem Zugriff des oder der Verantwortlichen entzogen sind.
Durch die Publikation des § 5 Abs. 7 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten unter Beschränkung der Betroffenenrechte von der Öffentlichkeit kostenlos nachvollzogen werden.
Die entsprechenden Betroffenenrechte der Art. 12 ff DSGVO ermöglichen eine Überwachung der Verarbeitung personenbezogener Daten durch die betroffene Person. Da in § 5 Abs. 7 FOG die Öffnungsklausel des Art. 17 Abs. 3 Buchstabe d, des Art. 23 Abs. 1 Buchstabe e und des Art. 89 Abs. 2 DSGVO in Anspruch genommen werden, bestehen diese Rechte nicht oder nur eingeschränkt.
Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Verarbeitungen im Rahmen von § 5 Abs. 7 FOG zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.
In den Erläuterungen zur Regierungsvorlage werden an dieser Stelle die Stellungnahmen aller betroffenen Personen, die im Begutachtungsverfahren zu dieser Datenschutz-Folgenabschätzung ergangen sind, abgedruckt.

References: § 5
 Art. 35
 Art. 35
 Art. 9
 § 5
 Art. 89
 § 5
 § 2
 Art. 9
 § 5
 Art. 89
 § 5
 Art. 89
 § 5
 § 7
 § 5
 § 9
 § 9
 § 5
 § 5
 § 5
 Art. 89

§ 5
 Art. 89
 § 1
 § 5
 Art. 89
 Art. 89
 EuGH 
 Art. 18
 Art. 89
 § 5
 Art. 89
 § 5
 § 5
 Art. 25
 Art. 32
 Art. 83
 § 5
 § 5
 § 5
 Art. 89
 Art. 9
 § 5
 Art. 4
 Art. 4
 Art. 89
 Art. 4
 § 5
 Art. 12
 § 5
 Art. 17
 Art. 23
 Art. 89
 Art. 32
 Art. 83
 § 5
 Art. 35
 Art. 32