Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681220.html
Timestamp: 2019-02-22 20:17:44
Document Index: 229629878

Matched Legal Cases: ['§ 12', 'Art. 35', '§ 12', 'Art. 35', '§ 12', '§ 12', '§ 2', 'Art. 9', '§ 12', '§ 2', '§ 2', '§ 2', '§ 12', 'Art. 4', '§ 2', '§ 2', '§ 12', 'Art. 4', '§ 12', '§ 12', 'Art. 17', '§ 12', '§ 2', '§ 2', '§ 2', '§ 12', 'Art. 4', '§ 2', '§ 2', '§ 12', '§ 1', '§ 2', '§ 2', '§ 12', '§ 12', '§ 5', '§ 12', '§ 2', '§ 1', '§ 12', '§ 1', '§ 12', '§ 12', '§ 12', '§ 5', '§ 12', '§ 12', 'Art. 83', '§ 50', '§ 1', '§ 12', 'Art. 4', '§ 12', '§ 12', '§ 12', '§ 12', 'Art. 25', 'Art. 32', 'Art. 83', '§ 302', '§ 310', '§ 12', 'Art. 25', 'Art. 32', 'Art. 7', '§ 12', '§ 12', '§ 12', '§ 5', '§ 5', '§ 5', 'Art. 89', 'Art. 9', '§ 12']

Anhang 20: Datenschutz-Folgenabschätzung zu § 12 Abs. 4 und 5 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Klarstellung zu Open Science- und Citizen Science-Projekten gemäß § 12 Abs. 4 und 5 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und die Verarbeitung auch vertrauliche oder höchst persönliche Daten umfassen kann.
Gemäß § 12 Abs. 4 und 5 FOG dürfen Verantwortliche im Rahmen von Open Science oder Citizen Science-Projekten sämtliche eigene personenbezogene Daten, wenn diese freiwillig zur Verfügung gestellt wurden (Abs. 4 leg. cit.) und personenbezogene Daten Dritter, die zur Verfügung gestellt wurden, unter besonderen Bedingungen verarbeiten (Abs. 5 leg. cit.). Die Verarbeitung ist dahingehend beschränkt, als die Verarbeitung in beiden Fällen nur „für die zu Beginn des Projekts ausdrücklich kommunizierte Dauer zulässig“ ist.
Die von § 12 Abs. 4 und 5 FOG gedeckten Verarbeitungen erstrecken sich auf Daten im Sinne des § 2 Z 4 FOG. Da die in Anspruch genommene Öffnungsklausel Art. 9 Abs. 2 Buchstabe j DSGVO ist, ist nicht nur die Verarbeitung personenbezogener Daten, sondern sogar die Verarbeitung sensibler Daten umfasst. Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht.
Der Umfang der Verarbeitungen gemäß § 12 Abs. 4 FOG ist auf jene Fälle,
– im Zuge von Open Science (§ 2 Z 12 FOG) und Citizen Science
Projekten (§ 2 Z 3 FOG),
– an insbesondere wissenschaftliche Einrichtungen (§ 2 Z 14 FOG)
Der Umfang der Verarbeitungen gemäß § 12 Abs. 5 FOG ist auf – personenbezogene Daten Dritter (Art. 4 Nr. 10 DSGVO),
– die im Rahmen von Open Science (§ 2 Z 12 FOG) und Citizen
Science-Projekten (§ 2 Z 3 FOG) zur Verfügung gestellt werden und
– auf Beobachtungen oder Messungen im öffentlichen Raum beruhen
(§ 12 Abs. 5 Z 1 FOG) oder
– im Sinne des Art. 4 Nr. 5 DSGVO pseudonymisiert werden (§ 12
Abs. 5 Z 2 FOG)
In § 12 Abs. 4 und Abs. 5 FOG werden die Öffnungsklausel der Einschränkung des Rechts auf Löschung gemäß Art. 17 Abs. 3 Buchstabe b DSGVO verwendet. Das Recht auf Löschung ist nur dann gegeben, wenn weder Projektziele noch Anforderungen an wissenschaftliche Arbeiten beeinträchtigt werden.
Die Verarbeitung erfolgt im Kontext von Wissenstransfers. Mit dem vorgeschlagenen § 12 Abs. 4 FOG soll eine Klarstellung geschaffen werden, wenn Bürgerinnen und Bürger im Rahmen von Open Science (§ 2 Z 12 FOG) und Citizen Science-Projekten (§ 2 Z 3 FOG) wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) Daten überlassen.
Voraussetzung für die Zulässigkeit dieses Einsatzes, ist lediglich, dass keine direkt personenbezogenen Daten als Ergebnis offengelegt werden. Mit dem vorgeschlagenen § 12 Abs. 5 FOG soll eine Rechtsgrundlage geschaffen werden, damit auch personenbezogene Daten Dritter (Art. 4 Nr. 10 DSGVO) an wissenschaftliche Einrichtungen im Rahmen von Open Science (§ 2 Z 12 FOG) und Citizen Science (§ 2 Z 3 FOG) übermittelt werden können. Voraussetzung für die Verarbeitung gemäß § 12 Abs. 5 ist, dass die Daten:
Ziele der Verarbeitungen sind „die rasche Verarbeitung sowie die Verwertung der Ergebnisse von Wissenschaft und Forschung“ (§ 1 Abs. 2 Z 3 FOG).
Grundsätzlich werden die Daten zuerst wissenschaftlichen Einrichtungen zur Verfügung gestellt. Anschließend werden die Daten im Rahmen von Open Science (§ 2 Z 12 FOG) an die Öffentlichkeit übermittelt. Hinsichtlich der Projekte von Citizen Science (§ 2 Z 3 FOG) sind Empfängerinnen und Empfänger jene Personen, die sich in den jeweiligen wissenschaftlichen Projekten einbinden.
Gemäß § 12 Abs. 4 und 5 FOG muss die Speicherdauer zu Beginn des Projektes ausdrücklich kommuniziert werden.
Daten dürfen aufgrund des § 12 Abs. 4 FOG auf jede Art und Weise verarbeitet werden. Dabei müssen die Voraussetzungen des § 5 Abs. 1 Z 1 FOG beachtet werden. Gemäß § 12 Abs. 5 FOG ist eine Verarbeitung nur dann möglich, wenn die Daten
– auf Beobachtungen oder Messungen im
öffentlichen Raum beruhen oder
Der Zweck dieser Regelung ist eine Klarstellung für Wissenstransfers im Rahmen von Open Science und Citizen Science-Projekten. Dies ist dafür wichtig, dass viele Bürgerinnen und Bürger an wissenschaftlichen Projekten teilnehmen (Open Science) und dass Denkanstöße der nichtwissenschaftlichen Welt an die wissenschaftliche Welt gegeben werden (Citizen Science). Was unter Wissenstransfers zu verstehen ist, wird in § 2 Z 15 FOG geregelt: „Bereitstellung von Wissen durch wissenschaftliche Einrichtungen an andere Teile der Gesellschaft, wie insbesondere Unternehmen.“ Demnach dient die vorliegende Regelung insbesondere dem Austausch zwischen Wissenschaft und Gesellschaft. Deshalb kann auf das in § 1 Abs. 2 Z 3 FOG definierte Ziel verwiesen werden. Demnach ist das Ziel dieser Regelung: „die rasche Verbreitung sowie Verwertung der Ergebnisse von Wissenschaft und Forschung“.
Die Angabe des Zwecks, die Förderung von Open Science und Citizen Science-Projekten, ist in § 12 Abs. 4 und 5 FOG eindeutig festgelegt: Die angeführten Daten dürfen nur in Zusammenhang mit Open Science- oder Citizen Science Projekten verarbeitet werden. Solche Projekte ermöglichen die Erreichung des in § 1 Abs. 2 Z 3 FOG definierten Zieles. Daher ist die Verarbeitung der Daten notwendig.
Der in § 12 Abs. 4 und 5 FOG angegebene Zweck ist legitim, weil er
– andererseits in § 12 Abs. 4 und 5 FOG vorgesehen ist.
In Bezug auf die Datenarten gibt es keine Einschränkungen. Die Speicherdauer ist zu Beginn des Projektes ausdrücklich zu kommunizieren. Für die Verarbeitungen im Rahmen des § 12 Abs. 4 FOG sind die Voraussetzungen des § 5 Abs. 1 Z 1 FOG einzuhalten. Diese Voraussetzungen sind so hoch, dass die Angemessenheit der Verarbeitung jedenfalls gewährleistet ist.
Die Verarbeitungen im Rahmen des § 12 Abs. 5 FOG sind nur unter den zwei dort angegebenen Voraussetzungen möglich. In § 12 Abs. 5 FOG wird durch die Formulierung „Beobachtungen oder Messungen“ festgelegt, dass keine Videoaufnahmen unter diese Bestimmungen fallen. Als Beobachtungen gelten gemäß den Erläuterungen des vorliegenden Entwurfes „zielgerichtete (menschliche) Wahrnehmungen“. Als Messungen gelten die „Zuordnung von Zahlen zu Objekten und Ereignissen“. Verarbeitungen von Daten aus der Videoüberwachung können nicht zugelassen werden, weil der Beweis, dass das Verhalten gesetzt wurde, um öffentlich wahrgenommen zu werden, in Anbetracht der Konsequenzen gemäß Art. 83 DSGVO fast unmöglich zu erbringen. Deswegen wurde ein objektives Kriterium des öffentlichen Raumes eingeführt. Das Kriterium des öffentlichen Raumes ist am Maßstab der Rechtsprechung des VfGH (VfSlg. 19.676/2012) zu messen. Es dürfen Beobachtungen nur unter der Bedingung durchgeführt werden, dass es sich dabei um keine „systematische, insbesondere fortlaufende Feststellung von Ereignissen [...] durch technische Bildaufnahme- oder Bildübertragungsgeräte“ (Videoüberwachung gemäß § 50a Abs. 1 DSG 2000) handelt (vgl. Erläuterungen zum vorliegenden Entwurf, 34). Dadurch ist die Angemessenheit der Datenverarbeitung gegeben.
Die Verarbeitung der Daten ist erheblich, da die Verfügbarkeit hochwertiger Daten wesentliche Voraussetzung für Wissenschaft und Forschung ist. Dadurch kann nicht nur die Wirtschaft, sondern die gesamte Gesellschaft profitieren. „Die rasche Verbreitung sowie die Verwertung der Ergebnisse von Wissenschaft und Forschung“ wird ausdrücklich im § 1 Abs. 2 Z 2 FOG als Ziel genannt.
Die Klarstellungen in § 12 Abs. 4 und 5 FOG erlauben es, dass Wissen von den Universitäten an die Wirtschaft in einem bestmöglichen Weg übermittelt werden kann. Verbesserungen in diesem Bereich zu schaffen sind für das Land Österreich von größter Bedeutung. Dies zeigt sich z.B. daran, dass in Österreich zwar gute Bildungsarbeit geleistet wird, diese kann aber nur mangelhaft in Wertschöpfung umgewandelt werden. Dieses Faktum wurde im Rahmen des Global Innovation Index 2017 aufgezeigt (Global Innovation Index 2017, 168; https://www.globalinnovationindex.org/gii-2017-report# [26.01.2018]). Laut Global Innovation Index 2017 belegt Österreich eine Spitzenposition, was die Ausgaben im Bereich R&D („Gross expenditure on R&D, % GDP“) betrifft. Im Gegensatz dazu nimmt Österreich allerdings nur den 40. Platz – unter 127 Staaten – ein, hinsichtlich der Wirkungen des Wissens („FDI net inflows, % GDP“). Mit Blick auf die ausländischen Investitionen liegt Österreich gar nur an 117. Stelle. Unter anderem anhand der Platzierungen im internationalen Vergleich lässt sich erkennen, dass entsprechende Maßnahmen gesetzt werden müssen, um den Wissenschafts- und Wirtschaftsstandort zu stärken. Ein weiterer Indikator für das schlechte internationale Abschneiden Österreichs in Bezug auf die Umwandlung von Wissen in Wertschöpfung, ist der Forschungs- und Technologiebericht 2017. Dieser zeigt auf Seite 28 ebenfalls großes Verbesserungspotential bei der wirtschaftlichen Verwertung („business sophistication“) und der Nutzung des Wissens („knowledge & technology outputs“) auf. (https://www.bmvit.gv.at/innovation/publikationen
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls direkt personenbezogen zur Kenntnis gebracht werden dürfen (§ 12 Abs. 4 und 5 FOG).
werden sollen: durch Publikation des § 12 Abs. 4 und 5 FOG als
werden: durch Publikation des § 12 Abs. 4 und 5 FOG als
Diese Risiken sind bei der Verarbeitung im Rahmen von Open Science und Citizen Science-Projekten gemäß § 12 Abs. 4 und 5 minimal, insbesondere weil die Verantwortlichen „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) treffen müssen, um die gegebenen Risiken zu minimieren. Die Datensicherheitsmaßnahmen werden in Art. 32 DSGVO konkretisiert und sind von den Verantwortlichen einzuhalten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Außerdem treffen die Strafbestimmungen des 22. Abschnitts des Strafgesetzbuches (StGB), BGBl. Nr. 60/1974, über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen, insbesondere dessen § 302 (Amtsmissbrauch) und § 310 („Verletzung des Amtsgeheimnisses“) wirksame Vorkehrungen gegen die unrechtmäßige Verarbeitung und somit das Entstehen von physischen, materiellen oder immateriellen Schäden (RIS-Justiz, RS0054100), falls es sich bei den Verantwortlichen um öffentlichen Stellen handeln sollte.
Dieses Risiko bei Verarbeitungen gemäß § 12 Abs. 4 und 5 FOG ist minimal, insbesondere weil die Verantwortlichen im Zuge der Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Auch müssen die Verantwortlichen die in Art. 32 DSGVO konkretisierten Datensicherheitsmaßnahmen einhalten und dürfen natürliche Personen – gemäß Art. 7 B‑VG – nicht diskriminieren. Damit wird die Wahrscheinlichkeit der Diskriminierung aufgrund der unzulässigen Verarbeitung personenbezogener Daten effektiv gemindert.
– unions- und strafrechtliche Sanktionierung (siehe oben: Risiken /
Physische, materielle oder immaterielle Schäden);
wesentlich höheren Schutz, insbesondere gegen das Erleiden von
erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen.
Eine Minimierung der Verarbeitung personenbezogener Daten wird vorgenommen, indem nur freiwillig zu Verfügung gestellt Daten verarbeitet werden (gemäß § 12 Abs. 4 FOG) oder Daten nur unter strengen Voraussetzungen verarbeitet werden dürfen (gemäß § 12 Abs. 5 FOG).
Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Voraussetzung für die Zulässigkeit der Verarbeitungen gemäß § 12 Abs. 5 FOG. Gemäß § 5 Abs. 2 FOG sind die Voraussetzungen des § 5 Abs. 1 Z 1 FOG einzuhalten, wozu u.a. gemäß § 5 Abs. 1 Z 1 lit. a bereichsspezifische Personenkennzeichen verwendet werden können. Dies stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine Verarbeitung gemäß Art. 9 Abs. 2 Buchstabe j DSGVO.
Durch die Publikation des § 12 Abs. 4 und 5 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei Wissenstransfers von der Öffentlichkeit kostenlos nachvollzogen werden.