Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681208.html
Timestamp: 2018-03-20 06:26:06
Document Index: 386462057

Matched Legal Cases: ['§ 5', 'Art. 35', '§ 5', 'Art. 35', '§ 5', '§ 9', '§ 2', '§ 5', '§ 5', '§ 9', '§ 2', 'Art. 89', '§ 5', '§ 1', 'Art. 4', '§ 5', '§ 5', '§ 5', '§ 9', '§ 2', '§ 2', '§ 2', '§ 5', '§ 1', '§ 5', '§ 1', 'Art. 5', '§ 1', '§ 5', '§ 5', 'Art. 9', '§ 5', 'Art. 9', 'Art. 89', '§ 5', 'Art. 4', '§ 5', '§ 5', '§ 5', 'Art. 35', '§ 5', '§ 5', 'Art. 15', 'Art. 35', '§ 1', '§ 5', '§ 9', '§ 2', '§ 5', 'Art. 89', '§ 5', 'Art. 32', 'Art. 35', 'Art. 32']

Anhang 8: Datenschutz-Folgenabschätzung zu § 5 Abs. 10 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Markierung von Forschungsmaterial durch bereichsspezifische Personenkennzeichen gemäß § 5 Abs. 10 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und diese auch Personen betreffen können, die besonders schutzwürdig sind – nämlich Studienteilnehmerinnen und Studienteilnehmer.
Gemäß § 5 Abs. 10 FOG dürfen bereichsspezifische Personenkennzeichen (§ 9 E-GovG) in maschinenlesbarer Form an Forschungsmaterial (§ 2 Z 5 FOG) angebracht werden.
Die von § 5 Abs. 10 FOG gedeckten Verarbeitungen umfassen bloß das Verwenden von – in maschinenlesbarer Form (ausgedruckten) – bereichsspezifischen Personenkennzeichen. Andere Datenarten sind von der vorgeschlagenen Ermächtigung nicht umfasst.
Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht.
Der vorgeschlagene § 5 Abs. 10 FOG erlaubt das Anbringen von – in maschinenlesbarer Form (ausgedruckten) – bereichsspezifischen Personenkennzeichen (§ 9 E-GovG) an Forschungsmaterial (§ 2 Z 5 FOG).
Die Verarbeitung erfolgt im Kontext des Art. 89 DSGVO.
Mit dem vorgeschlagenen § 5 Abs. 10 FOG soll Rechtssicherheit geschaffen werden, dass Bestimmungen des E-Government-Gesetzes, BGBl. I Nr. 10/2004, die einem Aufdrucken von bereichsspezifischen Personenkennzeichen entgegenstehen, nicht anwendbar sind.
Hintergrund ist, dass beispielsweise vollautomatisierte Biobanken, ermöglicht werden und trotzdem die Identifikation der betroffenen Personen mit höchster Qualität und höchstem Datenschutz erfolgen kann.
Die Verarbeitung der Daten erfolgt insbesondere um die organisatorischen Grundlagen zur Gewinnung, Erweiterung und Vertiefung wissenschaftlicher Erkenntnis (§ 1 Abs. 2 Z 1 FOG) schaffen zu können.
Die Verarbeitung ist nur für den internen Gebrauch in wissenschaftlichen Einrichtungen vorgesehen – eine Übermittlung an Dritte (Art. 4 Nr. 10 DSGVO) soll nicht erfolgen.
Nach der allgemeinen Regel des § 5 Abs. 6 FOG, wonach personenbezogene Daten für Zwecke des 2. Abschnitts des Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die von § 5 Abs. 10 FOG betroffenen Daten unbeschränkt.
Aufgrund des § 5 Abs. 10 FOG dürfen bereichsspezifische Personenkennzeichen (§ 9 E-GovG) an Forschungsmaterial (§ 2 Z 5 FOG) angebracht werden. Dies erfolgt einerseits im Sinne guter, wissenschaftlicher Praxis, um schnell und leicht auf die der wissenschaftlichen Forschung zugrundeliegenden Daten (§ 2 Z 4 FOG) bzw. Forschungsmaterial (§ 2 Z 5 FOG) zugreifen zu können und andererseits um effiziente Arbeitsweisen zu ermöglichen.
§ 5 Abs. 10 FOG verweist auf die verfolgen Zwecke durch die Formulierung „Für Zwecke dieses Bundesgesetzes“. Diese sind in § 1 Abs. 2 FOG wie folgt festgelegt:
– die Gewinnung, Erweiterung und Vertiefung wissenschaftlicher
– der verantwortliche Beitrag zur Lösung sozialer, wirtschaftlicher,
kultureller und wissenschaftlicher Problemstellungen, vor allem zur
Sicherung und Hebung der allgemeinen Lebensqualität und der
– die rasche Verbreitung sowie die Verwertung der Ergebnisse von
– die Förderung des wissenschaftlichen Nachwuchses, insbesondere
die Erhöhung des Frauenanteils im Bereich des universitären und
außeruniversitären wissenschaftlichen Nachwuchses sowie
– die Schaffung der für eine positive Entwicklung von Wissenschaft
und Forschung notwendigen Rechtssicherheit.
Die Angabe des Zwecks in § 5 Abs. 10 FOG ist eindeutig: die angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Erreichung der in § 1 Abs. 2 FOG Ziele des Forschungsorganisationsgesetzes erforderlich ist. Dass eine Verarbeitung mehrere Zwecke verfolgen darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke [Anm.: Plural!] der Verarbeitung notwendige Maß beschränkt sein“ müssen.
– die Zwecke in § 1 Abs. 2 FOG abschließend definiert werden und
– geeignete Maßnahmen zum Schutz der betroffenen Personen
vorgesehen werden, wie insbesondere Pseudonymisierung (§ 5
Abs. 1 FOG).
Der in § 5 Abs. 10 FOG angegebene Zweck ist legitim, weil er von der Öffnungsklausel des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO gedeckt und in § 5 Abs. 10 ausdrücklich angeführt ist.
Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 9 Abs. 2 Buchstabe j DSGVO, wonach die Verarbeitung zu Zwecken gemäß Art. 89 DSGVO erfolgt.
Die Verarbeitung soll nur im internen Bereich der wissenschaftlichen Einrichtungen erfolgen. Eine Übermittlung ist nicht vorgesehen. Außerdem dürfen die bereichsspezifischen Personenkennzeichen nur in maschinenlesbarer Form angebracht werden. Ein Rückschluss auf die dahinterstehende natürliche Person ist somit nicht (zwangsweise) möglich.
Die Klarstellung in § 5 Abs. 10 FOG ist erforderlich damit mittels Barcodes, QR-Codes oder RFID-Transpondern bereichsspezifische Personenkennzeichen an Forschungsmaterial angebracht werden dürfen. Dadurch wird Folgendes ermöglicht (vgl. Bundesamt für Sicherheit in der Informationstechnik, Risiken und Chancen des Einsatzes von RFID-Systemen, 62; [https://www.bsi.bund.de/SharedDocs/Downloads /DE/BSI/ElekAusweise/RFID/RIKCHA_barrierefrei_pdf.pdf?_ _blob=publicationFile [05.02.2018]):
– Kennzeichnung von Objekten,
– Reduktion von Verlustmengen und
– Prozessoptimierung.
Unter Kennzeichnung von Objekten fällt im Bereich der Forschung zum Beispiel die Identifikation von Proben. Durch den Einsatz von RFID-Technologien können Proben schnell, automatisiert und elektronisch verwaltet und lokalisiert werden. Dadurch werden sich die Probengrößen verringern. Behälter, die toxische Substanzen enthalten, können eindeutig beschriftet werden. Es kann auch zur Kostensenkung, unter Wahrung der Qualitätsstandards und Verbesserung der Serviceleistung, kommen (vgl. Risiken und Chancen des Einsatzes von RFID-Systemen, 66). Labore verwenden bereits die RFID-Technologie, um Gewebe- oder Blutproben zu kennzeichnen und zu verwalten. So können Transponder, die an Blutproben angebracht werden, Temperaturschwankungen identifizieren, um Effizienzsteigerungen sicherzustellen (vgl. http://www.rfid-basis.de/article-002.html; [05.02.2018]). Die Effizienzsteigerungen führen dazu, dass es zu einem bestmöglichen Einsatz der aufgewendeten, insbesondere öffentlicher, Mittel kommt.
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls direkt personenbezogen zur Kenntnis gebracht werden dürfen (§ 5 Abs. 1 und 2 FOG).
Da in § 5 Abs. 10 FOG keine ausdrückliche Speicherdauer vorgesehen ist, gilt die Zweifelsregel des § 5 Abs. 6 FOG, wonach die Speicherdauer der verarbeiteten Daten nicht beschränkt wird.
Unter der Voraussetzung, dass die jeweiligen wissenschaftlichen Einrichtungen ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
werden sollen: durch Publikation des § 5 Abs. 10 FOG als
werden: durch Publikation des § 5 Abs. 10 iVm Abs. 6 FOG als
Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen ihre Prozesse so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Eine Übermittlung in Drittländer wäre nach § 1 Abs. 4 TVG 2012 iVm den §§ 5 und 13 FOG grundsätzlich zulässig, allerdings ergibt sich aus dem Sinn der Regelung – das ist die verbesserte interne Organisation – dass eine Übermittlung (und schon gar nicht in Drittländer) niemals angedacht war.
Eine Minimierung der Verarbeitung personenbezogener Daten ist dahingehend vorgesehen, dass nur bereichsspezifische Personenkennzeichen (§ 9 E-GovG) in maschinenlesbarer Form und nur an Forschungsmaterial (§ 2 Z 5 FOG) angebracht werden dürfen.
Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Voraussetzung für die Zulässigkeit der Verarbeitungen gemäß § 5 Abs. 10 FOG. Die Verwendung bereichsspezifischer Personenkennzeichen stellt nicht nur eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar, sondern ist selbst bereits die Pseudonymisierung.
Durch die Publikation des § 5Abs. 10 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei der Markierung von Forschungsmaterial durch bereichsspezifische Personenkennzeichen nachvollzogen werden.
die Möglichkeit, die Verarbeitung ihrer Daten durch die Verantwortliche oder den Verantwortlichen zu überwachen.
Die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO sind von dem oder der Verantwortlichen zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.