Source: https://www.parlament.gv.at/PAKT/VHG/XXVI/I/I_00068/fnameorig_686466.html
Timestamp: 2018-04-25 09:32:32
Document Index: 319109404

Matched Legal Cases: ['§ 2', 'Art. 35', '§ 2', 'Art. 35', '§ 2', 'Art 89', '§ 2', 'Art 89', '§ 2', '§ 2', 'Art‑89', 'Art. 89', '§ 2', 'Art‑89', '§ 2', '§ 2', '§ 2', '§ 2', 'Art‑89', '§ 2', '§ 2', 'Art 89', '§ 2', '§ 2', '§ 2', '§ 2', '§ 2', 'Art‑89', 'Art 89', '§ 2', '§ 2', 'Art‑89', 'Art. 5', '§ 2', 'Art. 89', 'Art. 21', '§2', '§ 2', '§ 2', '§ 2', '§ 2', 'Art‑89', '§ 2', '§ 2', 'Art. 15', 'Art. 35', '§ 2', '§ 2', 'Art‑89', '§ 2', '§ 2', 'Art. 25', 'Art. 32', 'Art. 83', '§ 302', '§ 310', '§ 2', '§ 2', '§ 2', '§ 2', 'Art. 32', '§ 2', '§ 2', '§ 2', '§ 2', 'Art 89', '§ 2', '§ 2', '§ 2', 'Art. 32', '§ 2', 'Art 89', '§ 2', '§ 2', 'Art. 32', 'Art. 35', 'Art. 32']

Anhang 18: Datenschutz-Folgenabschätzung zu § 2 h Abs. 2 FOG
Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Aufsichtspflicht von Bundesministerien gemäß § 2h Abs. 2 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann.
§ 2h Abs. 2 FOG besagt, dass jene Stellen, die der Aufsichtspflicht unterliegen, der jeweils zuständigen Bundesministerin oder dem jeweils zuständigen Bundesminister „Auswertungen zu den zumindest teilweise aus öffentlichen Mitteln finanzierten Art 89-Mitteln zu übermitteln“ haben. Die Auswertungen können auch personenbezogen sein. Verpflichtet zur Übermittlung der Auswertungen sind:
– wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) und
– Art 89-Förder- und Zuwendungsstellen, die öffentliche Stelle im Sinne des § 2b Z 8 FOG sind.
Aufgrund der Ermächtigung in § 2h Abs. 2 FOG dürfen Ministerien Auswertungen – auch personenbezogene – verlangen, soweit dies zum Zweck der Erfüllung der Aufsichtspflicht notwendig ist. Auswertungen werden nur dann an die jeweils zuständige Bundesministerin oder den jeweils zuständigen Bundesminister übermittelt, wenn die erhaltenen Art‑89-Mitteln zumindest teilweise aus öffentlichen Mitteln finanziert wurden. Die Erfüllung der Aufsichtspflicht soll zur Erhöhung der Transparenz bei Verarbeitungen gemäß Art. 89 DSGVO führen.
Mit dem vorgeschlagenen § 2h Abs. 2 FOG soll eine Klarstellung geschaffen werden, welche Verarbeitungen zur Wahrnehmung von Aufsichtspflichten zulässig sind. Es wird somit eine Rechtsgrundlage geschaffen, damit die jeweils zuständige Bundesministerin oder der jeweils zuständige Bundesminister ihren oder seinen Aufsichtspflichten nachkommen kann. Voraussetzung für die Verarbeitung ist lediglich, dass die erhaltenen Art‑89-Mitteln zumindest teilweise aus öffentlichen Mitteln finanziert wurden.
Der Zweck der Verarbeitung ist die Wahrnehmung der Aufsichtspflicht durch die zuständige Bundesministerin oder den zuständigen Bundesminister (§ 2h Abs. 2 FOG).
Nach der allgemeinen Regel des § 2d Abs. 5 FOG, wonach personenbezogene Daten für Zwecke des 2. Abschnitts des FOG zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die in § 2h Abs. 2 FOG angeführten Daten unbeschränkt.
Aufgrund des § 2h Abs. 2 FOG beschränken sich die Verarbeitungen auf personenbezogene Auswertungen „zu den zumindest teilweise aus öffentlichen Mitteln finanzierten Art‑89-Mitteln“.
Der Zweck dieser Regelung, der in § 2h Abs. 2 FOG angegeben ist, ist die Wahrnehmung der Aufsichtspflicht der jeweils zuständigen Bundesministerin oder des jeweils zuständigen Bundesministers über wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) und Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentliche Stellen im Sinne des § 2b Z 8 FOG sind
Die Angabe des Zwecks, in § 2h Abs. 2 FOG ist klar. Es werden Auswertungen nur dann übermittelt, sofern dies dem Zweck der Wahrnehmung der Aufsichtspflichten entspricht. Nur dann ist die Verarbeitung der Daten notwendig und somit zulässig.
Der in § 2h Abs. 2 FOG angegebene Zweck ist legitim, weil er
– andererseits in § 2h Abs. 2 FOG vorgesehen ist.
In Bezug auf die Datenarten gibt es keine Einschränkungen. Die Speicherdauer ist nicht beschränkt. Die Angemessenheit ergibt sich dadurch, dass der jeweils zuständigen Bundesministerin oder dem jeweils zuständigen Bundesminister das Recht, (personenbezogene) Auswertungen zu verlangen, nur unter der Bedingung, dass die erhaltenen Art‑89-Mitteln teilweise aus öffentlichen Mitteln finanziert wurden, einräumt wird. Der Kreis der Verpflichteten wird beschränkt auf:
– Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentliche Stellen im Sinne des § 2b Z 8 FOG sind.
Die Verarbeitung der Daten ist erheblich, weil es zu Effizienzsteigerungen im öffentlichen Bereich kommen soll. Durch die Aufsichtsmöglichkeit wird der zuständigen Bundesministerin oder dem zuständigen Bundesminister ein Werkzeug in die Hand gegeben, um Art‑89-Mitteln, die zumindest teilweise aus öffentlichen Mitteln finanziert werden, optimal zu verteilen. Dass in diesem Bereich sehr viel Potential besteht zeigen der Global Innovation Index 2017 und der Forschungs- und Technologiebericht 2017.
Eine zeitliche Beschränkung der Speicherdauer ist nicht zielführend, weil, um ein Forschungsprojekt langfristig zu bewerten, oft Daten aus verschiedensten Jahren benötigt werden. Gemäß Art. 5 Abs. 1 Buchstabe e DSGVO ist eine zeitlich unbeschränkte Speicherung zulässig und in § 2d Abs. 5 des vorliegenden Entwurfes im Zweifel im Anwendungsbereich des Art. 89 DSGVO auch vorgesehen.
– der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des §2d Abs. 6 FOG besteht;
– die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2h Abs. 2 FOG als Bundesgesetz im Bundesgesetzblatt;
– die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2h Abs. 2 und § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt
Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) und Art‑89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentliche Stellen im Sinne des § 2b Z 8 FOG sind, ihre Prozesse so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.
Eine Übermittlung in Drittländer wäre nach §§ 2j iVm 38a Abs. 4 FOG nur an die in § 2j FOG genannten Empfängerinnen und Empfänger zulässig, d.h.:
– Art‑89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG),
Diese Risiken sind bei Verarbeitungen im Rahmen des § 2h Abs. 2 FOG vorhanden, aber eingeschränkt, insbesondere weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO) – sofern keine Strafbefreiung vorgesehen ist. Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden ebenfalls ein. Diese sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen genormt. Es sind insbesondere § 302 (Amtsmissbrauch) und § 310 („Verletzung des Amtsgeheimnisses“), die Schäden vorbeugen (RIS-Justiz, RS0054100).Darüber hinaus wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt.
Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den Verantwortlichen einzuhalten. Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert.Zudem wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt.
Eine Minimierung der Verarbeitung personenbezogener Daten wird vorgenommen, indem die Datenempfänger auf die zuständigen Bundesministerien beschränkt werden bzw. die Datenübermittler auf wissenschaftliche Einrichtungen und Art 89-Förder- und Zuwendungsstellen, die öffentliche Stellen im des § 2b Z 8 FOG sind, beschränkt sind.Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes.
Durch die Publikation des § 2h Abs. 2 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten im Rahmen der Aufsichtspflicht von der Öffentlichkeit kostenlos nachvollzogen werden.
Die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO sind von den wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) und Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentliche Stellen im Sinne des § 2b Z 8 FOG sind, einzuhalten. Falls keine Strafbefreiung einschlägig ist, wird die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO mit Geldbußen von bis zu 10 Millionen Euro sanktioniert. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.