Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/ME/ME_00010/fnameorig_681216.html
Timestamp: 2018-03-24 20:02:50
Document Index: 173245547

Matched Legal Cases: ['§ 10', 'Art. 35', '§ 10', 'Art. 35', '§ 10', '§ 2', '§ 2', '§ 10', '§ 10', '§ 10', '§ 10', '§ 10', '§ 10', '§ 10', '§ 10', '§ 10', '§ 10', '§ 2', '§ 10', '§ 10', '§ 10', '§ 15', '§ 15', '§ 10', '§ 2', '§ 16', '§ 10', '§ 16', '§ 10', '§ 24', '§ 10', '§ 10', '§ 2', '§ 5', '§ 10', '§ 10', 'Art. 89', '§ 10', '§ 10', '§ 10', '§ 2', 'Art. 4', '§ 10', '§ 5', '§ 10', '§ 10', '§ 5', '§ 10', '§ 2', 'Art. 15', 'Art. 35', '§ 10', 'Art. 25', 'Art. 32', 'Art. 83', '§ 30', '§ 14', 'Art. 32', '§ 10', 'Art. 25', 'Art. 32', 'Art. 83', '§ 10', '§ 5', 'Art. 89', 'Art. 9', '§ 10']

Anhang 16: Datenschutz-Folgenabschätzung zu § 10 Abs. 1 Z 3 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Speicherung von Alumni-Daten durch Abwicklungsstellen gemäß § 10 Abs. 1 Z 3 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und diese auch Personen betreffen können, die besonders schutzwürdig sind – nämlich Förderungsnehmerinnen und –nehmer bzw. Auftragswerberinnen und -werber.
§ 10 Abs. 1 Z 3 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981, ermächtigt Abwicklungsstellen (§ 2 Z 1 FOG) bestimmt Daten von Fördernehmerinnen und -nehmern zu speichern und gegebenenfalls zu verarbeiten, sofern dies zum Zweck der Kontaktaufnahme erfolgt.
Abwicklungsstellen (§ 2 Z 1 FOG) dürfen, aufgrund der Ermächtigung in § 10 Abs. 1 Z 3 FOG, folgende Daten der Förderungsnehmerinnen und -nehmer für Zwecke der Kontaktaufnahme verarbeiten:
– Vorname(n), Familienname bzw. Bezeichnung, Geburtsname,
akademischer Grad, Titel, Ansprache (§ 10 Abs. 1 Z 3 lit. a iVm
§ 10 Abs. 2 Z 1 FOG),
– Geburtsdatum, Geburtsort, Geschlecht, Staatsangehörigkeit
(§ 10 Abs. 1 Z 3 lit. b iVm § 10 Abs. 2 Z 2 FOG),
– Adressdaten, Angaben zu elektronischen Erreichbarkeit (§ 10
Abs. 1 Z 3 lit. c iVm § 10 Abs. 2 Z 5 FOG),
– die Angaben gemäß § 10 Abs. 1 Z 3 lit. a bis c FOG zu allfälligen
Projektpartnerinnen und -partnern,
– Angaben zur Ausbildung gemäß § 10 Abs. 1 Z 3 lit. e iVm § 10
Abs. 2 Z 7 FOG und
– Angaben zu erhaltenen Förderungen (§ 2 Z 6 FOG) und Mobilitäten
gemäß § 10a Abs. 4 des OeAD-Gesetzes.
Mit der vorgeschlagenen Regelung, soll es Abwicklungsstellen ermöglicht werden, allfällige Nachfolgeprogramme durchzuführen. Um den Erfolg von Nachfolgeprogrammen zu garantieren, ist es notwendig, dass Daten von Alumnis vorhanden sind. Deswegen wird mit dem vorgeschlagenen § 10 Abs. 1 Z 3 FOG eine Regelung geschaffen, die Verarbeitungen zulässt, um ehemalige Stipendienempfängerinnen und -empfänger in Evidenz zu halten.
§ 10 Abs. 1 FOG geht über § 15 FOG hinaus, weil § 15 FOG nur die „Vergabe von Förderungen aus Bundesmitteln“ betrifft. Während § 10 Abs. 1 FOG iVm § 2 Z 6 lit. b FOG auch die Förderung durch Private umfasst. Im Verhältnis zu § 16 FOG hat § 10 Abs. 1 FOG einen weiteren Anwendungsbereich, denn § 16 FOG stellt auf „Vereinbarungen des Bundes mit vom Bund verschiedene Rechtsträgern“ ab, während § 10 Abs. 1 Z 1 FOG anwendbar ist, unabhängig davon, von wem der Auftrag gegeben wurde.
Da für die meisten Förderungsnehmerinnen und -nehmer gemäß § 24 Abs. 2 Z 4 ARR 2014 eine Aufbewahrungs- und Auskunftspflicht für die Dauer von 10 Jahren gegeben ist, sind die Angaben jedenfalls bis zu diesem Datum aufzubewahren.
Die Zwecke der Verarbeitung – die Kontaktaufnahme – wird in § 10 Abs. 1 Z 3 FOG festgelegt.
Die Kontaktaufnahme hat gemäß § 10 Abs. 10 FOG Folgendes zum Ziel:
Die Empfängerinnen und Empfänger der Daten sind die Abwicklungsstellen (§ 2 Z 1 FOG).
Nach der allgemeinen Regel des § 5 Abs. 6 dürfen personenbezogene Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden. § 10 Abs. 1 Z 3 FOG geht von dieser allgemeinen Regel ab und lässt eine Speicherung von jedenfalls zehn Jahren zu.
Die Speicherung und die Verarbeitung von bestimmten Daten der Förderungsnehmerinnen und -nehmern wird zugelassen, um eine Kontaktaufnahme zu ermöglichen.
Der Zweck der Verarbeitung wird in § 10 Abs. 1 Z 3 FOG festgelegt. Er besteht darin, dass die vorgeschlagene Regelung eine Kontaktaufnahme zu Förderungsnehmerinnen und -nehmern ermöglicht. Dies erfolgt insbesondere zur Förderung von Zwecken gemäß Art. 89 DSGVO (vgl. § 10 Abs. 1 FOG).
Die Angabe des Zwecks in § 10 Abs. 1 Z 3 FOG ist eindeutig: Die angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Kontaktaufnahme erforderlich ist.
– andererseits in § 10 Abs. 1 Z 3 FOG vorgesehen ist.
Die Angemessenheit der Verarbeitung ergibt sich unter anderem dadurch, dass die Datenarten, die verarbeitet werden dürfen eingeschränkt werden – es darf an dieser Stelle auf die Ausführungen zu Umfang der Verarbeitung verwiesen werden. Es werden nur jene Daten verarbeiten, die für den Zweck der Kontaktaufnahme notwendig sind. Eine Speicherung bzw. Verarbeitung erfolgt nur durch die Abwicklungsstellen (§ 2 Z 1 FOG). Die Verarbeitung erfolgt daher in angemessener Art und Weise.
Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls direkt personenbezogen zur Kenntnis gebracht werden dürfen (§ 10 Abs. 1 Z 3 FOG).
Gemäß § 5 Abs. 6 FOG ist die Speicherdauer grundsätzlich unbeschränkt. Jedoch wird in § 10 Abs. 1 Z 3 FOG eine speziellere Regelung getroffen. Demnach ist die Speicherdauer jedenfalls für zehn Jahre zulässig.
werden sollen: durch Publikation des § 10 Abs. 1 Z 3 iVm § 5
Abs. 6 FOG als Bundesgesetz im Bundesgesetzblatt;
werden: durch Publikation des § 10 Abs. 1 Z 3 FOG
Unter der Voraussetzung, dass die Abwicklungsstellen (§ 2 Z 1 FOG) ihre Prozesse so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Diese Risiken sind bei Verarbeitungen im Rahmen des § 10 Abs. 1 Z 3 FOG vorhanden, aber eingeschränkt, insbesondere weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“. Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO) – sofern keine Strafbefreiung vorgesehen ist.
Für Abwicklungsstellen, die öffentliche Stellen sind, sind die unionsrechtlichen Strafen gemäß § 30 Abs. 5 DSG bzw. § 14 Abs. 2 Z 3 FOG ausgeschlossen. In diesem Fall können die Bestimmungen des 22. Abschnitts des Strafgesetzbuchs, BGBl. Nr. 60/1974, über die strafbaren Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen einschlägig sein.
Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den Abwicklungsstellen einzuhalten. Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert.
Dieses Risiko bei der Verarbeitung gemäß § 10 Abs. 1 Z 3 FOG ist minimal, insbesondere weil die Verantwortlichen im Zuge der Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Auch müssen die Abwicklungsstellen die in Art. 32 DSGVO konkretisierten Datensicherheitsmaßnahmen einhalten, da sonst mit Geldstrafen bis 10 Millionen Euro zu rechnen ist (Art. 83 Abs. 4 Buchstabe a DSGVO). Damit wird die Wahrscheinlichkeit der Diskriminierung aufgrund der unzulässigen Verarbeitung personenbezogener Daten effektiv gemindert.
Jene personenbezogenen Daten, die verarbeitet werden dürfen, werden in§ 10 Abs. 1 Z 3 FOG aufgezählt. Die aufgezählten Daten entsprechen der Minimierung der Verarbeitung personenbezogener Daten, weil alle Daten notwendig sind, um bisherige Förderungsnehmerinnen und -nehmern in Evidenz zu halten und zu bei Bedarf kontaktieren zu können.
Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Voraussetzung für die Zulässigkeit der Verarbeitungen gemäß § 5 Abs. 1 FOG. Die Verwendung bereichsspezifischer Personenkennzeichen stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine Verarbeitung gemäß Art. 9 Abs. 2 Buchstabe j DSGVO.
Durch die Publikation des § 10 Abs. 1 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei der Speicherung von Alumni-Daten durch Abwicklungsstellen von der Öffentlichkeit kostenlos nachvollzogen werden.