Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681209.html
Timestamp: 2019-02-23 12:39:11
Document Index: 110804960

Matched Legal Cases: ['§ 6', 'Art. 35', 'Art. 89', '§ 6', 'Art. 35', 'Art. 9', '§ 2', '§ 2', '§ 5', '§ 6', '§ 6', '§ 2', '§ 2', '§ 6', '§ 2', '§ 6', '§ 2', 'Art. 9', 'Art. 89', '§ 6', '§ 6', '§ 2', '§ 6', '§ 6', '§ 6', '§ 6', 'Art. 89', '§ 6', 'Art. 89', '§ 6', '§ 6', '§ 5', '§ 6', '§ 6', '§ 6', '§ 6', '§ 2', '§ 6', '§ 6', 'Art. 89', '§ 6', '§ 5', '§ 6', '§ 6', '§ 6', 'Art. 89', '§ 5', '§ 2', '§ 2', '§ 6', '§ 2', '§ 2', 'Art. 35', '§ 6', '§ 6', '§ 5', '§ 6', 'Art. 25', 'Art. 32', 'Art. 83', '§ 302', '§ 310', 'Art. 32', 'Art. 83', '§ 6', '§ 6', '§ 6', 'Art. 32', 'Art. 83', '§ 6', 'Art. 35', 'Art. 32']

Anhang 9: Datenschutz-Folgenabschätzung zu § 6 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die datenschutzrechtliche Bestimmung zum Qualitätsmanagement im Anwendungsbereich des Art. 89 DSGVO (§ 6 des Forschungsorganisationsgesetzes [FOG], BGBl. Nr. 341/1981). Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann.
Zur Feststellung ihrer mittel- und langfristigen Wirkungen dürfen
– wissenschaftliche Einrichtungen (§ 2 Z 14 FOG) und
– Abwicklungsstellen (§ 2 Z 1 FOG)
Daten direkt personenbezogen verarbeiten aber nur gemäß § 5 Abs. 1 Z 1 FOG veröffentlichen (§ 6 Abs. 2 und 4 FOG).
Gemäß § 6 Abs. 3 iVm Abs. 4 haben wissenschaftliche Einrichtungen und Abwicklungsstellen und die allenfalls zuständige Bundesministerinnen und Bundesminister den Anspruch einer
– Ausstattung mit bereichsspezifischen Personenkennzeichen (Z 1)
– Übermittlung der Daten von öffentlichen Stellen (§ 2 Z 8 FOG) und
Abwicklungsstellen (§ 2 Z 1 FOG).
Gemäß § 6 Abs. 5 FOG sind der Bundesministerin oder dem Bundesminister für Bildung, Wissenschaft und Forschung bestimmte Daten von den wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) zu übermitteln.
hinsichtlich wissenschaftlicher Mitarbeiterinnen und Mitarbeiterinnen (§ 6 Abs. 2 Z 1 FOG):
– den vollständigen Namen,
– den Geburtsort,
– die Staatsbürgerschaft,
– das bereichsspezifische Personenkennzeichen für den
Tätigkeitsbereich „Bildung und Forschung“ (bPK-BF) oder
andere Personenkennzeichen, soweit die eindeutige Zuordnung zu
betroffenen Personen sichergestellt ist,
– Angaben zur elektronischen Erreichbarkeit,
– soziobiografische und sozioökonomische Angaben,
– die folgenden qualitativen Daten:
– Relevanz des Studiums für die Beschäftigung,
– berufliches Fortkommen und Zufriedenheit,
– Wahrnehmung der Qualität und Relevanz ihrer Bildungs- und
Ausbildungserfahrung,
– die folgenden quantitativen Daten:
– Einstieg ins Berufsleben und weitere (Aus-)Bildung,
– Art des Vertrages,
– Beschäftigungsstatus,
– Beruf, Berufsstatus und Tätigkeit (im Verlauf),
– Angaben zu geografischen und sektoralen Mobilitäten (§ 2 Z 7
FOG) sowie
hinsichtlich Studierende:
– die unter Z 1 genannten Angaben,
– die Anschrift sowie
– folgende quantitative Daten:
– Studienintensität,
– Studienmethode,
– Qualifikation(en),
– erhaltene Leistungspunkte sowie
– Studienfach.
– ehemalige Mitarbeiterinnen oder Mitarbeiter und
– ehemalige Studierende.
Da die unionsrechtliche Grundlage Art. 9 Abs. 2 Buchstabe j DSGVO ist, ist auch eine Verarbeitung sensibler Daten möglich.
Die vorgeschlagene Regelung soll das Qualitätsmanagement für wissenschaftliche Einrichtungen und Abwicklungsstellen ermöglichen. Des Weiteren wird eine Rechtsgrundlage für eine Begleitung der Aktivitäten im Anwendungsbereichs des Art. 89 Abs. 1 DSGVO geschaffen. § 6 Abs. 2 FOG ist die Rechtsgrundlage für die Verarbeitung von wissenschaftlichen Einrichtungen. Im § 6 Abs. 3 FOG soll eine Rechtsgrundlage geschaffen werden, damit wissenschaftliche Einrichtungen (§ 2 Z 14 FOG) zur Feststellung ihrer Tätigkeiten
– eine Ausstattung mit bereichsspezifischen Personenkennzeichen
(Z 1) sowie
– die Übermittlung von pseudonymisierten Daten von natürlichen Personen
sowie sonstigen Betroffenen iSd § 6 Abs. 4 E-Government-Gesetz (Z 2)
verlangen dürfen.
§ 6 Abs. 4 FOG dehnt den Anwendungsbereich des Qualitätsmanagements gemäß Abs. 2 und 3 leg. cit. auch auf Abwicklungsstellen aus.
In § 6 Abs. 5 FOG wird der Bundesministerin oder dem Bundesminister das Recht eingeräumt, eine Übermittlung bestimmter Daten zu verlangen.
Der Zweck der Verarbeitung ist die Feststellung der mittel- und langfristigen Wirkungen (§ 6 Abs. 1 FOG). Dies dient der
– Feststellung des „optimalen Mitteleinsatz[es] von öffentlichen
Stellen zur Förderung von Zwecken gemäß Art. 89 DSGVO“ (§ 6
Abs. 1 Z 1 FOG) und
– „bestmöglichen Entwicklung des Wissensstandes in den in
Art. 89 DSGVO genannten Disziplinen durch Veröffentlichung
des aktuellen Forschungsstandes“ (§ 6 Abs. 1 Z 2 FOG).
Die Empfängerinnen und Empfänger sind wissenschaftliche Einrichtungen, Abwicklungsstellen, die allenfalls zuständigen Bundesministerinnen und Bundesminister und hinsichtlich des § 6 Abs. 5 FOG die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung.
Nach der allgemeinen Regel des § 5 Abs. 6 FOG, wonach personenbezogene Daten für Zwecke des 2. Abschnitts des Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die von § 6 FOG betroffenen Daten unbeschränkt.
Wissenschaftlichen Einrichtungen und Abwicklungsstellen wird durch die vorgeschlagene Bestimmung die Möglichkeit des Qualitätsmanagements eingeräumt.
§ 6 FOG zielt auf die Feststellung der mittel- und langfristigen Wirkungen ab: Dies dient gemäß § 6 Abs. 1 FOG der
Die Angabe des Zwecks in § 6 FOG ist eindeutig: die angeführten Daten dürfen nur verarbeitet werden, soweit dies für die angegebenen Zwecke erforderlich ist.
– nur wissenschaftliche Einrichtungen (§ 2 Z 14 FOG) und
Abwicklungsstellen Daten verarbeiten dürfen und
Der in § 6 Abs. 1 FOG angegebene Zweck ist legitim, weil er von den Öffnungsklauseln
gedeckt ist und in § 6 Abs. 1 FOG ausdrücklich vorgesehen ist.
In Bezug auf die Speicherdauer gibt es keine Einschränkungen.
Die Angemessenheit gibt sich durch:
– die Festlegung der Zwecke – unter Verweis auf Art. 89 DSGVO
in § 6 Abs. 1 FOG,
– die Beschränkung der Veröffentlichung durch den Verweis auf die
Anforderungen des § 5 Abs. 1 Z 1 FOG,
– die Beschränkung der Datenarten gemäß § 6 Abs. 2 FOG und
– die Verwendung bereichspezifischer Personenkennzeichen iSd § 6 Abs. 3
Die Erheblichkeit der Verarbeitung zum Zweck des § 6 Abs. 1 Z 1 FOG, dem optimalen Einsatz der vorhandenen Mittel von öffentlichen Stellen zur Förderung der Zwecke gemäß Art. 89 DSGVO, lässt sich an den Staatsschulden und an der Forschungsquote ablesen.
Der optimale Einsatz gewährleistet, dass keine Mittel öffentlicher Stellen verschwendet werden. Wie wichtig das ist zeigt die Entwicklung der öffentlichen Schuldenquote Österreichs. (https://www.statistik.at/web_de/statistiken/wirtschaft
/oeffentlicher_schuldenstand/index.html [24.01.2018]). Der öffentliche Schuldenstand hat sich seit dem Jahre 2000 in absoluten Zahlen fast verdoppelt.
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil personenbezogene Daten, wenn dann nur unter den Auflagen des § 5 Abs. 1 Z 1 FOG veröffentlicht werden. Die Verarbeitung ist nur für wissenschaftliche Einrichtungen (§ 2 Z 14 FOG) und Abwicklungsstellen (§ 2 Z 1 FOG) erlaubt. Zusätzlich werden die Daten, die verarbeitet werden dürfen, in § 6 Abs. 2 FOG demonstrativ aufgezählt.
Die Speicherdauer wird nicht beschränkt, weil im Vorhinein nicht definiert werden kann zu welchem Zeitpunkt welche Daten benötigt werden. Der Zweck ist die Feststellung der mittel- und langfristigen Wirkungen. Wann genau die mittel- und langfristigen Wirkungen eintreten, kann nicht vorhergesagt werden.
Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) und Abwicklungsstellen (§ 2 Z 1 FOG) ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
werden sollen: durch Publikation des § 6 FOG als
werden: durch Publikation des § 6 iVm § 5 Abs. 6 FOG als
Diese Risiken sind für Verarbeitungen im Rahmen des § 6 FOG vorstellbar, werden allerdings durch Art. 25 DSGVO gesenkt, weil „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, wonach „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten müssen. Die Nichteinhaltung ist – für wissenschaftliche Einrichtungen und Abwicklungsstellen, die keine öffentlichen Stellen sind – mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO).
Für wissenschaftliche Einrichtungen und Abwicklungsstellen, die öffentlichen Stellen sind, sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, Bestimmungen über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen vorgesehen, die wie § 302 (Amtsmissbrauch) oder § 310 („Verletzung des Amtsgeheimnisses“) Schäden vorbeugen (RIS-Justiz, RS0054100) und so für eine effektive Risikominimierung sorgen.
– für wissenschaftliche Einrichtungen und Abwicklungsstellen, die keine
öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32
DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4
– für wissenschaftliche Einrichtungen und Abwicklungsstellen, die
öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen
des 22. Abschnittes des Strafgesetzbuchs:
Eine Minimierung der Verarbeitung personenbezogener Daten ergibt sich dadurch, dass Daten nur zur Feststellung der Wirkung gemäß § 6 Abs. 1 FOG verarbeitet werden dürfen. Alle Daten, die verarbeitet werden dürfen, werden in § 6 Abs. 2 FOG aufgezählt und dienen dem angestrebten Zweck.
Durch die Publikation des § 6 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten unter Beschränkung der Betroffenenrechte von der Öffentlichkeit kostenlos nachvollzogen werden.
die Möglichkeit, die Verarbeitung ihrer Daten durch die wissenschaftlichen Einrichtungen und die Abwicklungsstellen zu überwachen.
Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Verarbeitungen im Rahmen von § 6 FOG zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.