Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681212.html
Timestamp: 2019-02-21 20:18:19
Document Index: 280930255

Matched Legal Cases: ['§ 9', 'Art. 35', '§ 9', 'Art. 35', 'Art. 9', '§ 9', '§ 2', 'Art. 9', 'Art. 9', '§ 9', '§ 9', 'Art. 9', 'Art. 9', 'Art. 9', 'Art. 9', 'Art. 9', 'Art. 9', '§ 2', '§ 9', '§ 5', '§ 9', '§ 9', 'Art. 9', 'Art. 9', '§ 9', 'Art. 9', 'Art. 9', 'Art. 9', 'Art. 9', '§ 9', '§ 2', '§ 9', '§ 9', '§ 9', 'Art. 9', '§ 9', 'Art. 9', '§ 9', '§ 9', 'Art. 32', '§ 9', '§ 2', '§ 2', '§ 9', '§ 9', '§ 5', '§ 9', '§ 5', 'Art. 15', 'Art. 35', '§ 13', '§ 13', '§ 9', 'Art. 25', '§ 9', 'Art. 25', 'Art. 32', 'Art. 83', '§ 9', '§ 9', '§ 9', 'Art. 83', '§ 9', 'Art. 89', '§ 9', 'Art. 12', '§ 5']

Anhang 12: Datenschutz-Folgenabschätzung zu § 9 Abs. 4 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Klarstellung zu Biobanken gemäß § 9 Abs. 4 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Die Verarbeitung, welche durch § 9 Abs. 4 FOG gestattet wird, umfasst grundsätzlich alle Daten gemäß § 2 Z 4 FOG. Allerdings wird dieser Umfang durch die Zweckbestimmung, das ist das Führen „biologischer Proben- und Datensammlungen [… zu Zwecken] des Art. 9 Abs. 2 Buchstaben i und j DSGVO“ entscheidend konkretisiert. Da die vorgeschlagene Regelung auf den Öffnungsklauseln gemäß Art. 9 Abs. 2 Buchstaben h, i und j DSGVO beruht, ist neben der Verarbeitung personenbezogener Daten auch die Verarbeitung sensibler Daten gestattet. Hinsichtlich der betroffenen Personen, bestehen keine Einschränkungen.
Zum Schutz der betroffenen Personen müssen folgende Maßnahmen ergriffen werden (§ 9 Abs. 4 Z 1 und 2 FOG):
– schnellstmögliche Pseudonymisierung, sofern Zweckerfüllung weiter
Die durch § 9 Abs. 4 FOG legitimierten Verarbeitungen erfolgt zu Zwecken
– der medizinischen Diagnostik oder Behandlung im Gesundheitsbereich
(Art. 9 Abs. 2 Buchstabe h DSGVO),
– des öffentlichen Interesses im Bereich der öffentlichen Gesundheit
(Art. 9 Abs. 2 Buchstabe i DSGVO) sowie
Da es sich um eine Verarbeitung sowohl zu medizinischen (Art. 9 Abs. 2 Buchstabe h DSGVO) als auch wissenschaftlichen Zwecken (Art. 9 Abs. 2 Buchstabe j DSGVO) handelt, sind die Empfängerinnen und Empfänger entweder das in Art. 9 Abs. 2 Buchstabe h iVm Abs. 3 DSGVO genannte Gesundheits- und Fachpersonal oder für Zwecke des Art. 9 Abs. 2 Buchstabe j DSGVO, wissenschaftliche Einrichtungen gemäß § 2 Z 14 FOG.
Mangels spezieller bzw. gegenteiliger Regelung in § 9 Abs. 4 FOG, richtet sich die zulässige Speicherdauer nach der allgemeinen Zweifelsregel des § 5 Abs. 6 FOG. Diese Bestimmung besagt, dass personenbezogene Daten für Zwecke des 2. Abschnittes unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden. Da keine speziellere Regelung in § 9 Abs. 4 FOG getroffen wird, ist die Speicherdauer unbeschränkt.
Gemäß § 9 Abs. 4 FOG dürfen Daten im Rahmen von biologischen Proben- und Datensammlungen („Biobanken“) verarbeitet werden. Diese Verarbeitung darf nur dann erfolgen, wenn sie Zwecken
(Art. 9 Abs. 2 Buchstabe h DSGVO) oder
(Art. 9 Abs. 2 Buchstabe i DSGVO) oder
Der verfolgte Zweck ist in § 9 Abs. 4 FOG festgelegt und besteht in der Schaffung einer Rechtsgrundlage für Datenverarbeitungen im Rahmen biologischer Proben- und Datensammlungen. Durch den Verweis auf Art. 9 Abs. 2 Buchstaben i und j DSGVO wird bereits im Gesetzestext festgelegt, dass die Verarbeitung im Rahmen von Biobanken nicht alleine wissenschaftlichen Zwecken (Art. 9 Abs. 2 Buchstabe j DSGVO), sondern auch Gesundheitszwecken dient und zwar nicht nur auf allgemeiner Ebene (Art. 9 Abs. 2 Buchstabe i DSGVO), sondern auch auf individueller Ebene (Art. 9 Abs. 2 Buchstabe h DSGVO), insbesondere wenn es darum geht, die persönliche Behandlung durch Vergleich von Tumorgewebe mit bestehenden (und bereits behandelten) Tumorgeweben zu verbessern.
Die Angabe des Zwecks in § 9 Abs. 4 FOG ist eindeutig: Die angeführten Daten dürfen nur verarbeitet werden, soweit dies für Zwecke
vgl. Erläuterungen zu § 2 Z 14 FOG),
– einer Definition der Zwecke in § 9 Abs. 4 FOG und
– dem Vorsehen angemessener und spezifischer Maßnahmen (§ 9 Abs. 4
Z 1 und 2 FOG).
Der in § 9 Abs. 4 FOG angegebene Zweck ist legitim, weil er von den Öffnungsklauseln
– des Art. 9 Abs. 2 Buchstabe i („öffentliches Interesse im Bereich der
der öffentlichen Gesundheit“) und
gedeckt und in § 9 Abs. 4 FOG gesetzlich vorgesehen ist.
Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 9 Abs. 2 Buchstaben h, i und j DSGVO sowie der Festlegung der Verarbeitung in § 9 Abs. 4 FOG.
§ 9 Abs. 4 FOG stellt eine Ermächtigung zur Verarbeitung von Daten im Rahmen biologischer Proben- und Datensammlungen dar, wodurch grundsätzlich in die Datenschutzrechte der betroffenen Personen eingegriffen wird. Solche Eingriffe sind jedoch gerechtfertigt sein, wenn sie zur Wahrung wichtiger öffentlicher Interessen vorgenommen werden und gleichzeitig angemessene Garantien für den Schutz der betroffenen Personen festgelegt werden (vgl.: VfGH 08.10.2015, G 20/2015 ua).
– das Einhalten der erforderlichen Datensicherheitsmaßnahmen gemäß
Art. 32 DSGVO.
Angesichts dieser Beschränkungen und Maßnahmen ist die Angemessenheit der Verarbeitungen gemäß § 9 Abs. 4 FOG als gegeben anzusehen.
Eine zeitliche Begrenzung der Speicherdauer ist nicht möglich, weil damit langfristige Studien nicht durchgeführt werden könnten. Es ist im Vorhinein nämlich nicht bekannt, wann welche wissenschaftlichen Daten (§ 2 Z 4 FOG) von wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) so kombiniert werden sollten, dass damit neuer Nutzen generiert werden kann. Dieser Zeitpunkt kann in sehr naher aber auch in sehr ferner Zukunft liegen.
werden sollen: durch Publikation des § 9 Abs. 4 FOG als
werden: durch Publikation des § 9 Abs. 4 iVm § 5 Abs. 6 FOG als
Unter der Voraussetzung, dass die Verantwortlichen gemäß § 9 Abs. 4 FOG ihre Prozesse – außer in den Fällen des § 5 Abs. 7 FOG – so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Übermittlungen an Drittländer sind nach § 13 FOG grundsätzlich zulässig. Die Übermittlungen sind nur soweit zulässig, als sie der Erreichung des Verarbeitungszweckes dienen. Kommt es zu einer Übermittlung, müssen gemäß § 13 FOG die Voraussetzungen des § 9 Abs. 4 FOG eingehalten werden und gemäß Art. 25 DSGVO „geeignete technische und organisatorische“ getroffen werden, um „die Rechte der betroffenen Personen zu schützen.“
Diese Risiken sind für Verarbeitungen im Rahmen des § 9 Abs. 4 FOG vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Diese Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden jedenfalls ein.
Die Diskriminierung im Rahmen der Verarbeitung gemäß § 9 Abs. 4 FOG ist aufgrund folgender Maßnahmen nahezu ausgeschlossen:
Identitätsdiebstahl und -betrug im Rahmen der Verarbeitung gemäß § 9 Abs. 4 FOG sind aufgrund folgender Maßnahmen nahezu ausgeschlossen:
Finanzielle Verluste im Rahmen der Verarbeitung gemäß § 9 Abs. 4 FOG sind aufgrund folgender Maßnahmen nahezu ausgeschlossen:
einer Geldbuße bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4.
Die schnellstmögliche Pseudonymisierung personenbezogener Daten wird durch § 9 Abs. 4 Z 1 FOG sowie Art. 89 DSGVO sichergestellt, wonach „technische und organisatorische Maßnahmen [zu] bestehen [haben], mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören“. Diese hat schnellstmöglich zu erfolgen.
Durch die Publikation des § 9 Abs. 4 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei Verarbeitungen im Rahmen von biologischen Proben- und Datensammlungen („Biobanken“) von der Öffentlichkeit kostenlos nachvollzogen werden.
Die entsprechenden Betroffenenrechte der Art. 12 ff DSGVO ermöglichen eine Überwachung der Verarbeitung personenbezogener Daten durch die betroffene Person, soweit nicht § 5 Abs. 7 FOG Anwendung findet.