Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681211.html
Timestamp: 2019-02-21 23:56:53
Document Index: 46980448

Matched Legal Cases: ['§ 9', 'Art. 35', '§ 9', 'Art. 35', 'Art. 9', '§ 9', '§ 2', '§ 2', '§ 9', '§ 2', 'Art. 9', '§ 9', 'Art. 89', '§ 9', '§ 5', '§ 14', 'Art. 4', '§ 9', '§ 9', '§ 13', '§ 9', '§ 9', 'Art. 9', '§ 5', '§ 9', '§ 9', '§ 9', '§ 9', '§ 9', '§ 9', '§ 9', '§ 9', 'Art. 5', '§ 9', 'Art. 9', 'Art. 9', '§ 9', '§ 9', '§ 9', '§ 9', '§ 9', '§ 2', 'Art. 35', '§ 9', '§ 9', '§ 13', '§ 12', 'Art. 25', 'Art. 4', '§ 5', 'Art. 25', 'Art. 32', 'Art. 83', 'Art. 25', 'Art. 32', 'Art. 83', '§ 9', '§ 9', 'Art. 23', '§ 9', 'Art. 23', 'Art. 32', 'Art. 83', 'Art. 35', 'Art. 32']

Anhang 11: Datenschutz-Folgenabschätzung zu § 9 Abs. 3 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Speicherung von Rohdaten gemäß § 9 Abs. 3 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Nach § 9 Abs. 3 FOG dürfen Verantwortliche Daten (§ 2 Z 4 FOG) und Forschungsmaterial (§ 2 Z 5 FOG), die als Grundlage wissenschaftlicher Arbeiten verarbeitet wurden („Rohdaten“), speichern und verarbeiten.
Die Verarbeitungen, die unter § 9 Abs. 3 FOG fallen, umfassen Daten im Sinne des § 2 Z 4 FOG. Da die in Anspruch genommene Öffnungsklausel Art. 9 Abs. 2 Buchstabe j DSGVO ist, ist nicht nur die Verarbeitung personenbezogener Daten, sondern sogar die Verarbeitung sensibler Daten umfasst. Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht. Der vorgeschlagene § 9 Abs. 3 FOG umfasst:
– in Z 1 eine Erlaubnis für die Speicherung und Verarbeitung von Rohdaten zum Nachweis der Einhaltung guter wissenschaftlicher Praxis und
– in Z 2 eine Ermächtigung zur Speicherung und Verarbeitung von Rohdaten zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen.
Die Verarbeitung erfolgt im Kontext der Zwecke gemäß Art. 89 DSGVO. Mit dem vorgeschlagenen § 9 Abs. 3 FOG soll eine längere Speicherdauer sowie gegebenenfalls eine Rechtsgrundlage für die Verarbeitung der länger gespeicherten Rohdaten geschaffen werden. Da die grundlegenden Bestimmungen zum Schutz personenbezogener Daten anzuwenden sind (§ 5 Abs. 2 FOG), dürfen keine direkt personenbezogenen Daten als Ergebnis offengelegt werden. In Verbindung mit § 14 Abs. 2 Z 1 FOG, dass im Anwendungsbereich des vorliegenden Bundesgesetzes nur juristische Personen Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO sein können, wird die „Institution“ zur Speicherung von Rohdaten verpflichtet.
Die Verarbeitung erfolgt zum Nachweis der Einhaltung guter wissenschaftlicher Praxis und zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen. (§ 9 Abs. 3 Z 1 und 2 FOG).
Die Empfängerinnen und Empfänger von Daten gemäß § 9 Abs. 3 Z 1 FOG sind insbesondere wissenschaftliche Fachzeitschriften, Ombudsstellen der Universitäten oder die Agentur für wissenschaftliche Integrität, denen die Daten auf Grund einer gesetzlichen oder vertraglichen Verpflichtung übermittelt wurden. In Verbindung mit § 13 FOG können auch internationale wissenschaftliche Fachzeitschriften Empfängerinnen und Empfänger sein. Empfänger der Rohdaten gemäß § 9 Abs. 3 Z 2 FOG sind Akteure, die im Zusammenhang mit der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen tätig werden. Der Abstraktionsgrad des § 9 Abs. 3 Z 2 FOG richtet sich nach Art. 9 Abs. 2 Buchstabe f DSGVO.
Die allgemeine Regel des § 5 Abs. 6 FOG greift nicht, weil eine spezielle, abweichende Regelung in § 9 Abs. 3 FOG geschaffen wird. Die Speicherung ist für Daten gemäß § 9 Abs. 3 Z 1 FOG auf 10 Jahre und für Daten gemäß § 9 Abs. 3 Z 2 FOG auf bis zu 30 Jahre beschränkt.
Aufgrund des § 9 Abs. 3 FOG ist jede Form der Verarbeitung zulässig, solange diese gemäß § 9 Abs. 3 Z 1 FOG im Rahmen des Nachweises der Einhaltung guter wissenschaftlicher Praxis oder von Rechtssachen gemäß § 9 Abs. 3 Z 2 FOG erfolgt.
§ 9 Abs. 3 FOG sieht die Speicherung und Verarbeitung von Rohdaten für
– Z 1: den Nachweis der Einhaltung guter wissenschaftlicher Praxis
– Z 2: die Geltendmachung, Ausübung und Verteidigung von
Die Angabe der Zwecke in § 9 Abs. 3 FOG ist eindeutig. Dass eine Verarbeitung mehrere Zwecke verfolgt werden darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke [Anm.: Plural!] der Verarbeitung notwendige Maß beschränkt sein“ müssen.
Der in § 9 Abs. 3 FOG angegebene Zweck ist legitim, weil er von der Öffnungsklausel des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO gedeckt ist.
Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 9 Abs. 2 Buchstaben g und j DSGVO, wonach die Verarbeitung aufgrund eines erheblichen öffentlichen Interesses an Wissenschaft und Forschung erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden.
In Bezug auf die Datenarten gibt es die Einschränkung, dass nur Daten und Forschungsmaterial, die als Grundlage wissenschaftlicher Arbeiten verarbeitet wurden gespeichert und gegebenenfalls verarbeitet werden dürfen. Die Speicherung nach § 9 Abs. 3 FOG stellt eine zusätzliche Rechtsgrundlage zu § 9 Abs. 1 FOG dar und ist insbesondere gedacht für die direkte Speicherung bei der Wissenschaftlerin oder dem Wissenschaftler. Die Speicherdauer ist auf 10 bzw. 30 Jahre beschränkt.
Die zugelassene Verarbeitung der Daten ist erheblich, da die rechtlichen Voraussetzungen dafür geschaffen werden müssen, dass Wissenschaftlerinnen oder Wissenschaftler sich freibeweisen oder ihre Reputation verteidigen können.
Wie wichtig diese Möglichkeit ist, stellt der Jahresbericht der Kommission für wissenschaftliche Integrität dar (http://www.oeawi.at/downloads/ Jahresbericht%202016_final.pdf; [31.01.2018]). Demnach hat die Kommission im Jahr 2016 14 Anfragen erhalten. Im Zuge dieser Anfragen werden Anschuldigungen geprüft. Durch Anschuldigungen können wissenschaftliche Karrieren zerstört werden, deswegen muss Wissenschaftlerinnen und Wissenschaftlern auch die Rechtssicherheit gegeben werden, dass sie die dafür erforderlichen Daten speicher dürfen. Das ist vor allem dann notwendig, wenn der Vorwurf ungerechtfertigt ist. Damit wird Rechtssicherheit für die Wissenschaftlerinnen und Wissenschaftler geschaffen.
Die Verarbeitung ist nur für Rohdaten zulässig. Die Beschränktheit ergibt sich auch aus der Tatsache, dass die Zwecke der Verarbeitung in § 9 Abs. 3 FOG abschließend definiert sind. Des Weiteren wird die Dauer, für die die Daten gespeichert und gegebenenfalls verarbeitet werden dürfen, mit 10 bzw. 30 Jahren limitiert.
Die zeitliche Beschränkung beträgt
– 10 Jahre (§ 9 Abs. 3 Z 1 FOG) oder
– 30 Jahre (§ 9 Abs. 3 Z 2 FOG).
Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) ihre Prozesse so anpasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
werden sollen: durch Publikation des § 9 Abs. 3 FOG als
werden: durch Publikation des § 9 Abs. 3 FOG als
Wissenstransfers in Drittländer sind nach § 13 FOG zulässig, wobei die Garantie in § 12 Abs. 1 Z 1 FOG zu finden ist und vorsieht, dass „insbesondere durch Technikgestaltung gemäß Art. 25 DSGVO sichergestellt [sein muss], dass Dritte (Art. 4 Nr. 10 DSGVO) keine Kenntnis der übermittelten Daten erlangen“ können.
Diese Risiken sind bei der Verarbeitung von Daten entsprechend § 5 Abs. 10 FOG minimal, insbesondere weil die wissenschaftlichen Einrichtungen im Zuge der Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Die Datensicherheitsmaßnahmen werden in Art. 32 DSGVO konkretisiert und sind von den wissenschaftlichen Einrichtungen einzuhalten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden jedenfalls ein.
Dieses Risiko bei der Verarbeitung im Zusammenhang mit der Markierung von Forschungsmaterial durch bereichsspezifische Personenkennzeichen ist minimal, insbesondere weil wissenschaftliche Einrichtungen im Zuge der (sonstigen) Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Auch müssen die wissenschaftlichen Einrichtungen die in Art. 32 DSGVO konkretisierten Datensicherheitsmaßnahmen einhalten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Damit wird die Wahrscheinlichkeit der Diskriminierung aufgrund der unzulässigen Verarbeitung personenbezogener Daten effektiv gemindert.
– unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle
Eine Minimierung der Verarbeitung personenbezogener Daten kann nicht vorgeschrieben werden, weil im Vorhinein nicht bekannt ist, welche Rohdaten benötigt werden.
Durch die Publikation des § 9 Abs. 3 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei Wissenstransfers von der Öffentlichkeit kostenlos nachvollzogen werden.
Mit § 9 Abs. 3 FOG wird die Öffnungsklausel des Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen, wonach die Rechte der betroffenen Personen durch nationales Recht eingeschränkt werden dürfen, wenn dies eine notwendige und verhältnismäßige Maßnahme im wichtigen wirtschaftlichen Interesse eines Mitgliedstaates darstellt. Die Maßnahme ist erforderlich, weil die Einhaltung der angeführten Pflichten
§ 9 Abs. 3 FOG und
ausgeschlossen ist. Würde die Möglichkeit zur Beschränkung gemäß Art. 23 Abs. 1 Buchstabe e DSGVO nicht wahrgenommen, könnten sich Wissenschaftlerinnen und Wissenschaftler gegen Anschuldigungen nicht angemessen wehren können.
Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Wissenstransfers zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.