Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681214.html
Timestamp: 2018-05-25 21:01:40
Document Index: 310976238

Matched Legal Cases: ['§ 10', 'Art. 35', '§ 10', 'Art. 35', '§ 10', '§ 2', '§ 2', '§ 10', '§ 2', '§ 10', '§ 10', '§ 10', '§ 10', '§ 2', '§ 10', '§ 15', '§ 15', '§ 10', '§ 2', '§ 16', '§ 10', '§ 16', '§ 10', 'Art. 9', '§ 10', '§ 5', '§ 10', '§ 10', 'Art. 4', '§ 10', '§ 2', '§ 10', 'Art. 89', '§ 10', 'Art. 89', 'Art. 5', '§ 10', '§ 10', '§ 10', 'Art. 85', 'Art. 6', 'Art. 9', 'Art. 85', '§ 2', '§ 2', '§ 10', '§ 10', 'Art. 4', '§ 10', '§ 10', '§ 13', '§ 13', '§ 2', 'Art. 89', '§ 10', '§ 10', 'Art. 32', 'Art. 83', '§ 10', 'Art. 35', 'Art. 32']

Anhang 14: Datenschutz-Folgenabschätzung zu § 10 Abs. 1 Z 1 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft Verarbeitung von (nicht) abgeschlossenen Förderungsanträgen gemäß § 10 Abs. 1 Z 1 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und diese auch Personen betreffen können, die besonders schutzwürdig sind – nämlich Förderungsnehmerinnen und -nehmer bzw. Auftragswerberinnen und -werber.
Gemäß § 10 Abs. 1 Z 1 FOG dürfen Abwicklungsstellen Anträge, Verträge sowie sonstige Daten (§ 2 Z 4 FOG) verarbeiten.
Insbesondere umfasst ist davon die Übermittlung von Anträgen, Verträgen und sonstigen Daten an
– andere Abwicklungsstellen,
– Gutachterinnen und Gutachter sowie
– sonstige Auftragsverarbeiter.
Es werden sowohl Anträge, Verträge und sonstige Daten (§ 2 Z 4 FOG), die zu keiner Förderung geführt haben (§ 10 Abs. 1 Z 1 lit. a FOG) als auch Anträge, Verträge und sonstige Daten (§ 2 Z 4 FOG), die zu einer Förderung geführt haben (§ 10 Abs. 1 Z 1 lit. b FOG) verarbeitet.
Weitere Förderungsunterlagen gemäß § 10 Abs. 1 Z 1 FOG sind z.B.:
– Anbote für Beauftragungen,
– Daten aus dem Berichtswesen,
– Interims- und Endevaluierungen sowie
– Daten, die im Rahmen der Abwicklung mit diesen Daten verknüpft
werden (z.B. Publikationen oder Gutachten).
Die Datenarten werden nicht eingeschränkt. Durch die Verarbeitungsvorgänge sind sowohl personenbezogene Daten als auch sonstige Informationen umfasst.
Welche Daten in Rahmen von Anträgen, Anboten und Verträgen insbesondere verarbeiten werden dürfen, wird in § 10 Abs. 2 FOG präzisiert. Demnach sind folgende Daten davon umfasst:
– Namenangaben (Z 1 leg. cit.),
– Personenmerkmale (Z 2 leg. cit.),
– Angaben zur Identifikation (Z 3 leg. cit.),
– Angaben zur Institution der antragsstellenden Person (Z 4 leg. cit.),
– Adress- und Kontaktdaten (Z 5 leg. cit.),
– Angaben gemäß Z 1, 2, 4 und 5 zu Kooperationspartnerinnen und
-partnern (Z 6 leg. cit.),
– Angaben zur Ausbildung und wissenschaftlichen Karriere (Z 7 leg.
– Fotos aller am Projekt beteiligten natürlichen Personen (Z 8 leg. cit.)
– sonstige Angaben (Z 9 leg. cit.).
Gemäß § 10 Abs. 3 FOG dürfen Anträge und Anbote aus Gründen
– der öffentlichen Sicherheit,
– der Strafrechtspflege,
– der umfassenden Landesverteidigung,
– der auswärtigen Beziehungen oder
– berechtigter privater Interesse
– Gesundheitsdaten und
– personenbezogene Daten überstrafrechtliche Verurteilungen und
Die personenbezogenen Daten werden im Rahmen der Abwicklung von Förderungen (§ 2 Z 6 FOG) und Beauftragungen verarbeitet.
Mit der vorgeschlagenen Regelung, soll eine Rechtsgrundlage geschaffen werden, damit personenbezogene Daten im Rahmen der
§ 10 Abs. 1 FOG geht über § 15 FOG hinaus, weil § 15 FOG nur die „Vergabe von Förderungen aus Bundesmitteln“ betrifft, während § 10 Abs. 1 FOG iVm § 2 Z 6 lit. b FOG auch die Förderung durch Private umfasst. Im Verhältnis zu § 16 FOG hat § 10 Abs. 1 Z 1 FOG einen weiteren Anwendungsbereich, denn § 16 FOG stellt auf „Vereinbarungen des Bundes mit vom Bund verschiedene Rechtsträgern“ ab, während § 10 Abs. 1 Z 1 FOG anwendbar ist, unabhängig davon, von wem der Auftrag vergeben wurde.
Gleichartige Verarbeitungen, die auf anderen Rechtsgrundlagen gestützt sind (z.B. Einwilligungen), werden durch die vorgeschlagene Bestimmung nicht ausgeschlossen. Einwilligungen im Sinne des Art. 9 Abs. 2 Buchstabe a DSGVO sind weiterhin möglich.
Um Rechtssicherheit zu schaffen, werden Übermittlungen an Auftragsverarbeiter ausdrücklich zugelassen.
Die Verarbeitung der Daten erfolgt zur Sicherstellung des Förderwesens.
Die Empfängerinnen und Empfänger der Daten sind insbesondere andere Abwicklungsstellen, öffentliche Stellen, Gutachterinnen und Gutachter sowie Auftragsverarbeiter (§ 10 Abs. 1 Z 1 FOG).
Nach der allgemeinen Regel des § 5 Abs. 6 FOG dürfen personenbezogene Daten für Zwecke des 2. Abschnitts des Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden. Doch ist diese Befristung nicht beachtlich, weil § 10 Abs. 1 Z 1 FOG eine speziellere Bestimmung zur Speicherdauer enthält. In § 10 Abs. 1 Z1 FOG wird eine differenzierte Bewertung der Speicherdauer vorgenommen. Das Unterscheidungskriterium ist, ob der Antrag bzw. das Anbot abgelehnt bzw. nicht weiterverfolgt oder angenommen wird. Im ersten Fall beträgt die Speicherdauer jedenfalls zehn Jahre nach dem letzten Kontakt mit der Person. Das Wort „jedenfalls“ drückt die Mindestdauer und die Möglichkeit der Verlängerung der Frist (durch vertragliche oder gesetzliche Aufbewahrungspflichten) aus. Im Falle der Annahme beträgt die Speicherdauer bis zu zehn Jahre ab dem Ende des Jahres der Auszahlung der gesamten Förderung bzw. des Entgelts.
Da die Abwicklungsstellen Verantwortliche (Art. 4 Nr. 7 DSGVO) sind, haben sie auch das Recht, die Daten früher zu löschen.
Aufgrund des § 10 Abs. 1 Z 1 FOG soll es Abwicklungsstellen ermöglich werden, personenbezogene Daten bei der Abwicklung von Förderungen (§ 2 Z 6 FOG) und Beauftragungen zu verarbeiten.
Die Angabe des Zwecks erfolgt in § 10 Abs. 1 FOG: die angeführten Daten dürfen nur verarbeitet werden, soweit dies „zur Förderung der Entwicklung und Erschließung der Künste sowie von Zwecken, gemäß Art. 89 DSGVO sowie der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen“ erforderlich ist.
Die Angabe des Zwecks in § 10 Abs. 1 FOG ist eindeutig: die angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Förderung und Erschließung der Künste, der Erreichung der Zwecke gemäß Art. 89 DSGVO oder zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen notwendig ist. Dass eine Verarbeitung mehrere Zwecke verfolgen darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke [Anm.: Plural!] der Verarbeitung notwendige Maß beschränkt sein“ müssen.
– die Zwecke in § 10 Abs. 1 FOG definiert werden und
– die Speicherdauer beschränkt wird.
Der in § 10 Abs. 1 Z 1 FOG angegebene Zweck ist legitim, weil er
– andererseits in § 10 Abs. 1 Z 1 FOG vorgesehen ist.
Die Verarbeitung zu Zwecken der „Förderung der Entwicklung und Erschließung der Künste“ basiert auf der Öffnungsklausel des Art. 85 Abs. 2 DSGVO.
Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Buchstabe c iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstabe j DSGVO, wonach die Verarbeitung aufgrund eines öffentlichen Interesses erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Die Rechtsmäßigkeit der Verarbeitungen zu Zwecken der „Entwicklung und Erschließung der Künste“ ergibt sich aus Art. 85 Abs. 2 DSGVO.
Die Angemessenheit der Verarbeitung ergibt sich unter anderem dadurch, dass
– eine Verarbeitung nur für die festgelegten Zwecke erlaubt ist,
– die Empfänger der Daten angegeben und limitiert sind und
Das Klarstellen für die Verarbeitung von personenbezogenen Daten im Rahmen der Förderung schafft Rechtssicherheit.
Die Bedeutung der Förderungen insbesondere im Rahmen der Forschung zeigt sich am Steigen der Bruttoinlandsausgaben für Forschung und Entwicklung (vgl. http://www.statistik.at/web_de/statistiken
globalschaetzung_forschungsquote_jaehrlich/023703.html [29.01.2018]). Der Statistik zufolge gab es von 1981 bis 2017 ein Wachstum der Forschungsquote, das fast dem Faktor drei entspricht.
Die Verarbeitung durch die Abwicklungsstellen (§ 2 Z 1 FOG) ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten begrenzt werden. Abwicklungsstellen dürfen Anträge, Anbote, Vertrage, Gutachten sowie sonstige Daten im Sinne des § 2 Z 4 FOG verarbeiten. Die Empfängerinnen und Empfänger der Daten werden beschränkt. Diese sind gemäß § 10 Abs. 1 Z 1 FOG andere Abwicklungsstellen, öffentliche Stellen, Gutachterinnen und Gutachter sowie Auftragsverarbeiter. Die Speicherdauer wird ebenfalls limitiert.
Die Speicherdauer wird zeitlich begrenzt. In § 10 Abs. 1 Z1 FOG wird eine differenzierte Bewertung der Speicherdauer vorgenommen. Das Unterscheidungskriterium ist, ob der Antrag bzw. die Anbote abgelehnt bzw. nicht weiterverfolgt oder angenommen werden. Im ersten Fall beträgt die Speicherdauer jedenfalls zehn Jahre nach dem letzten Kontakt mit der Person. Das Wort „jedenfalls“ drückt die Mindestdauer und die Möglichkeit der Verlängerung der Frist (durch vertragliche oder gesetzliche Aufbewahrungspflichten) aus. Im Falle der Annahme beträgt die Speicherdauer bis zu zehn Jahre ab dem Ende des Jahres der Auszahlung der gesamten Förderung bzw. des Entgelts. Da Abwicklungsstellen Verantwortliche (Art. 4 Nr. 7 DSGVO) sind, haben sie das Recht, die Daten auch früher zu löschen.
werden sollen: durch Publikation des § 10 Abs. 1 Z 1 FOG als
werden: durch Publikation des § 10 Abs. 1 Z 1 FOG
Eine Übermittlung in Drittländer wäre nach § 13 FOG grundsätzlich zulässig, allerdings nur an die in § 13 FOG genannten Empfängerinnen und Empfänger, d.h.:
Der Minimierung der Verarbeitung personenbezogener Daten wird dadurch entsprochen, dass nur Anträge, Anbote, Verträge, Gutachten sowie sonstige Daten im Sinne des § 2 Z 4 FOG („Förderunterlagen“) verarbeitet werden dürfen.
Die Verwendung bereichsspezifischer Personenkennzeichen stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar.
Durch die Publikation des § 10 Abs. 1 Z 1 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei Veröffentlichung von Förderungsnehmerinnen und -nehmern durch Abwicklungsstellen von der Öffentlichkeit kostenlos nachvollzogen werden.
die Möglichkeit, die Verarbeitung ihrer Daten im Rahmen des § 10 Abs. 1 Z 1 FOG zu überwachen.
Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO gegenüber Abwicklungsstellen, die keine öffentlichen Stellen sind, mit Geldbußen bis zu 10 Millionen Euro sanktioniert. Entsprechende Datensicherheitsmaßnahmen sind daher auch im Anwendungsbereich des § 10 Abs. 1 Z 1 FOG zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.