Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681203.html
Timestamp: 2018-11-19 03:41:27+00:00

Document:
Anhang 4: Datenschutz-Folgenabschätzung zu § 5 Abs. 1 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die allgemeine Klausel zur Verarbeitung von Daten (§ 2 Z 4 des Forschungsorganisationsgesetzes [FOG], BGBl. Nr. 341/1981) für Zwecke des § 1 Abs. 2 FOG in pseudonymisierter Form (§ 5 Abs. 1 FOG). Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und auch besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO unter die Verarbeitung fallen können.
Gemäß § 5 Abs. 1 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981, dürfen Verantwortliche sämtliche personenbezogene Daten verarbeiten, wenn die Daten (§ 2 Z 4 FOG) nur indirekt (EG 26 bzw. Art. 4 Nr. 1 DSGVO) personenbezogen verarbeitet werden oder das Ergebnis der Verarbeitung nur indirekt personenbezogen ist.
Die von § 5 Abs. 1 FOG gedeckten Verarbeitungen umfassen Daten im Sinne des § 2 Z 4 FOG. Da die in Anspruch genommene Öffnungsklausel Art. 9 Abs. 2 Buchstabe j DSGVO ist, ist nicht nur die Verarbeitung personenbezogener Daten, sondern sogar die Verarbeitung sensibler Daten umfasst. Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht. Der vorgeschlagene § 5 Abs. 1 FOG umfasst:
– in Z 1 eine Generalklausel für sämtliche Verarbeitungen, die in
pseudonymisierter Form erfolgen oder nur indirekt
personenbezogene Daten zum Ergebnis haben;
– in Z 2 ein Recht auf Ausstattung bestehender (direkt
personenbezogener Daten) mit bereichsspezifischen
Personenkennzeichen (§ 9 E-GovG) für den Tätigkeitsbereich
„Bildung und Forschung“ (bPK-BF);
– in Z 3 ein Recht auf Bereitstellung indirekt personenbezogener
Daten aus Registern, die von öffentlichen Stellen (§ 2 Z 8 FOG) und
Behörden geführt werden.
Die Verarbeitung erfolgt im Kontext des Art. 89 DSGVO. Mit dem vorgeschlagenen § 5 Abs. 1 Z 1 FOG soll Rechtssicherheit geschaffen werden, falls moderne Technologien, wie etwa Big Data (§ 2 Z 2 FOG) von wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) für Zwecke des Art. 89 DSGVO eingesetzt werden sollen. Voraussetzung für die Zulässigkeit dieses Einsatzes, ist lediglich, dass keine direkt personenbezogenen Daten als Ergebnis offengelegt werden.
Mit dem vorgeschlagenen § 5 Abs. 1 Z 2 FOG soll eine Rechtsgrundlage für die Ausstattung von Daten (§ 2 Z 4 FOG) wissenschaftlicher Einrichtungen (§ 2 Z 14 FOG), die auch Verantwortliche des privaten Bereichs (§ 26 Abs. 4 DSG) sein können, geschaffen werden. Es wird somit das bPK-System auch auf den Bereich „Wissenschaft und Bildung“ ausgedehnt, womit sowohl die Einhaltung der wissenschaftlichen Qualität als auch des datenschutzrechtlichen Richtigkeitsgrundsatzes (Art. 5 Abs. 1 Buchstabe d DSGVO) vereinfacht werden soll.
Durch § 5 Abs. 1 Z 3 FOG soll die registerbasierte Forschung, die in Erwägungsgrund 157 von der Datenschutz-Grundverordnung ausdrücklich angeführt wird, auch innerstaatlich auf eine gesicherte Rechtsgrundlage gestellt werden. Die vorgeschlagene Bestimmung orientiert sich an § 10 des Bundesstatistikgesetzes 2000, BGBl. I Nr. 163/1999, wonach Stellen, die öffentliche Register (§ 3 Z 18 des Bundesstatistikgesetzes 2000) führen, sowie die Inhaber von Verwaltungsdaten und Statistikdaten verpflichtet sind der Bundesanstalt „Statistik Österreich“ die erforderlichen Daten zu übermitteln.
Die Verarbeitung der Daten erfolgt zur Gewinnung, Erweiterung und Vertiefung wissenschaftlicher Erkenntnis (§ 1 Abs. 2 Z 1 FOG).
Hinsichtlich des § 5 Abs. 1 Z 1 FOG soll iSd § 1 Abs. 2 Z FOG die gesamte Gesellschaft Empfängerin und Empfänger der gewonnen, erweiterten oder vertieften Erkenntnisse in pseudonymisierter Form sein.
Hinsichtlich des § 5 Abs. 1 Z 2 und 3 FOG sind die wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) Empfängerinnen und Empfänger.
Nach der allgemeinen Regel des § 5 Abs. 5 FOG, wonach personenbezogene Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die in § 5 Abs. 1 FOG angeführten Daten unbeschränkt.
Aufgrund des § 5 Abs. 1 Z 1 FOG ist jede Form der Verarbeitung zulässig, solange mindestens eine der Voraussetzungen der § 5 Abs. 1 Z 1 lit. a bis d FOG eingehalten werden.
§ 5 Abs. 1 Z 2 und 3 FOG berechtigen die wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) zum Empfang der bereichsspezifischen Personenkennzeichen (Z 2) bzw. der in den Registern enthaltenen Daten in pseudonymisierter Form (Z 3).
§ 5 Abs. 1 FOG verweist auf die verfolgten Zwecke durch die Formulierung „Für Zwecke dieses Bundesgesetzes“. Diese sind in § 1 Abs. 2 FOG wie folgt festgelegt:
Erkenntnisse (Z 1 leg. cit.);
wirtschaftlichen Entwicklung (Z 2 leg. cit.);
Wissenschaft und Forschung (Z 3 leg. cit.);
außeruniversitären wissenschaftlichen Nachwuchses (Z 4 leg. cit.);
und Forschung notwendigen Rechtssicherheit (Z 5 leg. cit.).
Die Angabe des Zwecks in § 5 Abs. 1 FOG ist eindeutig: die angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Erreichung der in § 1 Abs. 2 FOG genannten Ziele des Forschungsorganisationsgesetzes erforderlich ist. Dass eine Verarbeitung mehrere Zwecke verfolgen darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke [Anm.: Plural!] der Verarbeitung notwendige Maß beschränkt sein“ müssen.
Der in § 5 Abs. 1 FOG angegebene Zweck ist legitim, weil er von den Öffnungsklauseln
gedeckt und in § 5 Abs. 1 FOG vorgesehen ist.
In Bezug auf die Datenarten und die Speicherdauer gibt es keine Einschränkungen. Allerdings sind die in § 5 Abs. 1 Z 1 lit. a bis d FOG angeführten Voraussetzungen so hoch, dass die Angemessenheit der Verarbeitung jedenfalls gewährleistet ist. Die genannten Anforderungen sind:
– Einsatz bereichsspezifischer Personenkennzeichen oder anderer
eindeutiger (freiwilliger) Identifikatoren zur Identifizierung,
anstelle eines direkten Personenbezugs oder
– Verarbeitung in – auf andere Art und Weise – pseudonymisierter
– Veröffentlichung nur in anonymisierter oder pseudonymisierter
– Zweck der Verarbeitung ist die Anonymisierung oder
Pseudonymisierung, wobei eine Offenlegung direkt
personenbezogener Daten an Dritte nicht erfolgt.
Mit § 5 Abs. 1 Z 2 FOG wird wissenschaftlichen Einrichtungen das Recht zugestanden, eine Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen für den Tätigkeitsbereich „Bildung und Forschung“ zu verlangen. Damit wird die rechtliche Grundlage dafür geschaffen, dass wissenschaftliche Einrichtung die „Pseudonymisierung [anwenden, weil] es möglich ist, diese Zwecke [Anm.: des Art. 89 Abs. 1 DSGVO] auf diese Weise zu erfüllen“ (Art 89 Abs. 1 DSGVO).
Wissenschaftlichen Einrichtungen, die durch die Pseudonymisierung besonders zur Einhaltung des Datenschutzes beitragen, soll mit § 5 Abs. 1 Z 3 FOG das Recht zugestanden werden, die Bereitstellung von Daten (§ 2 Z 4) aus Registern von öffentlichen Stellen (§ 2 Z 8 FOG) oder Behörden zu verlangen, wenn dabei Namensangaben durch bereichsspezifische Personenkennzeichen ersetzt werden.
Die Verarbeitung der Daten ist erheblich, da die Verfügbarkeit hochwertiger Daten wesentliche Voraussetzung zur Erfüllung der Zwecke gemäß Art. 89 DSGVO ist.
Die Klarstellung in § 5 Abs. 1 Z 1 FOG, dass beispielsweise auch Big Data erlaubt ist, ist äußerst relevant für die weitere Entwicklung des Wissenschafts- und Forschungsstandortes: nach einem Bericht des Weltwirtschaftsforums wird bis zum Jahr 2030 alleine der Bereich der künstlichen Intelligenz die globale Wirtschaftsleistung um 14 Prozent steigern (Weltwirtschaftsforum, https://www.weforum.org/agenda/
2017/06/the-global-economy-will-be-14-bigger-in-2030-because-of-ai [08.01.2018]) Umgelegt auf Österreich, das im Jahr 2016 ein Bruttoinlandsprodukt von 40.420,00 Euro pro Kopf hatte (Statistik Österreich, Das System der Volkswirtschaftlichen Gesamtrechnungen [VGR], http://www.statistik.at/web_de/statistiken/wirtschaft/ volkswirtschaftliche_gesamtrechnungen/index.html [14.01.2018]) würde ein Beibehalten der aktuellen Rechtslage das prognostizierte Pro-Kopf-Wachstum von etwas mehr als 5.600,00 Euro gefährden.
Aber nicht nur wirtschaftliche Nachteile sind durch ein Beibehalten der aktuellen Rechtslage zu erwarten. Die Ziffern 1 und 3 des § 5 Abs. 1 FOG würden beispielsweise ein Verfahren mit dem Namen „homozygosity mapping“ ermöglichen, das beispielsweise bei der Therapie der RASGRP1-Defizienz, einer lebensbedrohlichen Infektion der Atemwege aufgrund einer gestörten Zusammensetzung der weißen Blutkörperchen (Salzer E et al, Nature Immunology 17, 1352–1360 [2016], https://www.nature.com/articles/ni.3575 [14.01.2018]), eine wesentliche Rolle spielte.
Die Registerforschung gemäß § 5 Abs. 1 Z 3 FOG könnte zum Beispiel wesentliche Fortschritte für das Verständnis der Zusammenhänge von Krebs und Diabetes mellitus (Typ 2) bringen. Insgesamt leiden rund 600.000 Menschen in Österreich an Diabetes mellitus (Typ 2). Die Zusammenhänge zwischen Typ-2-Diabetes und Krebs sind komplex: einerseits haben Menschen, die an Diabetes mellitus erkrankt sind, grundsätzlich ein erhöhtes Risiko, an Krebs zu erkranken. Außerdem stehen einige Diabetes-Medikamente im Verdacht, das Krebsrisiko ebenfalls fallweise erhöhen zu können. Wissenschaftlerinnen und Wissenschaftler der Universitätsklinik für Innere Medizin III und dem Institut für die Wissenschaft Komplexer Systeme der MedUni Wien, d.h. wissenschaftlichen Einrichtungen iSd § 2 Z 14 FOG, konnten zeigen, dass man diese Risiken mit einer optimierten, personalisierten Therapie heutzutage praktisch ausschalten kann. Dazu wurden große Datenmengen analysiert: 1,85 Millionen Menschen, die zumindest einmal in Österreich stationär behandelt wurden, wurden statistisch erfasst. Rund 300.000 davon hatten Diabetes Typ 2 – diese wurden insgesamt mit rund 300 verschiedenen Kombinationen von Diabetes-Medikamenten behandelt (Inkretin-basierte Therapien und SGLT-2-Hemmer waren noch nicht involviert). Das Ergebnis der Studie: Primär insulinerhöhende Medikamente (Sulfonylharnstoff und Insulin), zeigten gegenüber insulinhemmenden ein signifikant erhöhtes Krebsrisiko, vor allem für Bauchspeicheldrüsenkrebs (Pankreas) bei Männern und Frauen, sowie Leberkrebs bei Männern und Lymphdrüsenkrebs bei Frauen. Wenn aber gleichzeitig Statine eingenommen werden, ist dieses Risiko ganz massiv gesenkt (Kautzky-Willer A, Thurner S, Klimek P, Journal of Internal Medicine 2017; 281: 206-216, http://onlinelibrary.wiley.com/doi/10.1111/joim.12567/abstract [14.01.2018]; MedUni Wien, Personalisierte Therapie verringert Krebsrisiko für DiabetespatientInnen; https://www.meduniwien.ac.at/web/ueber-uns/news/detailseite/2016/news-im-november-2016/personalisierte-therapie-verringert-krebsrisiko-fuer-diabetespatientinnen/ [07.02.2018]).
Aus der Analyse von großen Patientinnen- und Patientendatensätzen können gesundheitspolitische Maßnahmen abgeleitet werden und sehr individuelle Therapiemaßnahmen gesetzt werden, die Hunderttausenden von Patientinnen und Patienten zugutekommen.
Durch die Verwendung von Registern können bessere Forschungsergebnisse erzielt werden, da sie auf einen größeren Bevölkerungsanteil gestützt sind. Patientenregister erlauben – wie bereits oben erwähnt – die Feststellung seltener Ereignisse sowie die Darstellung von Langzeitverläufen und Subgruppen unter Alltagsbedingungen ([Deutscher] Gesundheitsforschungsrat des Bundesministeriums für Bildung und Forschung, Diskussionsforum zur Nutzenbewertung im Gesundheitswesen 40; www.gesundheitsforschung-bmbf.de/_media/DLR_Nutzenbewert_07-11-22_Druckversion.pdf [07.02.2018]).
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls direkt personenbezogen zur Kenntnis gebracht werden dürfen (§ 5 Abs. 1 FOG). Diese Anforderung wird durch § 5 Abs. 2 FOG als Grundregel für alle weiteren in dem vorliegenden Entwurf geregelten Verarbeitungen vorgesehen.
werden sollen: durch Publikation des § 5 Abs. 1 FOG als
werden: durch Publikation des § 5 Abs. 1 iVm § 5 Abs. 6 FOG als
Unter der Voraussetzung, dass die Verantwortlichen gemäß § 5 Abs. 1 FOG ihre Prozesse – außer in den Fällen des § 5 Abs. 7 FOG – so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Die einzuhaltende Garantie findet sich in § 12 Abs. 1 Z 1 FOG und sieht vor, dass „insbesondere durch Technikgestaltung gemäß Art. 25 DSGVO sichergestellt [sein muss], dass Dritte (Art. 4 Nr. 10 DSGVO) keine Kenntnis der übermittelten Daten erlangen“ können.
Diese Risiken sind bei Verarbeitungen im Rahmen des § 5 Abs. 1 FOG vorhanden, aber eingeschränkt, insbesondere weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden ebenfalls ein.
Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den jeweiligen Verantwortlichen einzuhalten. Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert.
Die Diskriminierung im Rahmen der Verarbeitung gemäß § 5 Abs. 1 FOG ist aufgrund folgender Maßnahmen nahezu ausgeschlossen:
Eine Minimierung der Verarbeitung personenbezogener Daten kann nicht vorgeschrieben werden, weil im Vorhinein nicht bekannt ist, welche Daten überhaupt verarbeitet werden sollen. Dies ist allerdings auch nicht erforderlich, weil sämtliche Verarbeitungen gemäß § 5 Abs. 1 FOG nur zu Offenlegung indirekt personenbezogener Daten führen dürfen.
Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Voraussetzung für die Zulässigkeit der Verarbeitungen gemäß § 5 Abs. 1 Z 1 und 3 FOG. Die Ausstattung mit bereichsspezifischen Personenkennzeichen gemäß § 5 Abs. 1 Z 2 FOG ist Voraussetzung für die Pseudonymisierung mittels bereichsspezifischer Personenkennzeichen gemäß § 5 Abs. 1 Z 1 und 3 FOG.
Die Verwendung bereichsspezifischer Personenkennzeichen stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine Verarbeitung gemäß Art. 9 Abs. 2 Buchstaben i und j DSGVO. Durch die Formulierung etwa in § 5 Abs. 1 Z 3, dass „Namensangaben durch bereichsspezifische Personenkennzeichen zu ersetzen sind“ soll eine praxisnahe Regelung getroffen werden, indem die gesetzliche Vermutung aufgestellt wird, dass dieser Austausch von Namen durch bereichsspezifische Personenkennzeichen einer Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO entspricht. Die Normadressatinnen und -adressaten brauchen sich aufgrund dieser Formulierung keine Gedanken machen, ob nun eine tatsächliche Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO eingetreten ist oder nicht, sondern bloß die Namen durch bereichsspezifische Personenkennzeichen austauschen, womit die Rechtssicherheit wesentlich erhöht wird. Diese Vorgangsweise ist auch durch das Unionsrecht gedeckt, weil Art. 89 Abs. 1 DSGVO die Pseudonymisierung als bloß eine unter mehreren möglichen geeigneten Garantien anführt. Außerdem sollten gemäß EG 26 DSGVO „[b]ei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, […] alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind“. Nach heutigem Stand der Technik ist davon auszugehen, dass der Austausch der Namen durch bereichsspezifische Personenkennzeichen einer Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO entspricht. Dies umso mehr als, die „zusätzliche[n] Informationen, mit denen die personenbezogenen Daten einer speziellen betroffenen Person zugeordnet werden können“ (EG 29 DSGVO) nur der Stammzahlenregisterbehörde bekannt und somit dem Zugriff des oder der Verantwortlichen entzogen sind.
Durch die Publikation des § 12 Abs. 1 und 2 sowie des § 14 Abs. 2 Z 3 lit. s FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten im Rahmen des § 5 Abs. 1 FOG von der Öffentlichkeit kostenlos nachvollzogen werden.
Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Verarbeitungen im Rahmen des § 5 Abs. 1 FOG zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.

References: § 5
 Art. 35
 § 1
 Art. 35
 Art. 9
 § 5
 Art. 4
 § 5
 § 2
 Art. 9
 § 5
 Art. 89
 § 5
 Art. 89
 § 5
 § 5
 § 10
 § 5
 § 1
 § 5
 § 5
 § 5
 § 5
 § 5

§ 5

§ 5
 § 1
 § 5
 § 1
 Art. 5
 § 5
 § 5
 § 5
 § 5
 Art. 89
 § 5
 Art. 89
 § 5
 § 5
 § 5
 § 2
 § 5
 § 5
 § 5
 § 5
 § 5
 § 5
 Art. 15
 Art. 35
 § 12
 Art. 25
 § 5
 Art. 25
 Art. 32
 Art. 32
 § 5
 § 5
 § 5
 § 5
 § 5
 Art. 89
 Art. 9
 § 5
 Art. 4
 Art. 4
 Art. 89
 Art. 4
 § 12
 § 14
 § 5
 Art. 32
 Art. 83
 § 5
 Art. 35
 Art. 32