Research Organization Act (FOG)

§ 1. Gegenstand und Ziele 2. Abschnitt: Durchführung der Datenschutz-Grundverordnung und ergänzende Regelungen

§ 2a. Allgemeine Bestimmungen zur Durchführung

§ 2b. Begriffsbestimmungen

§ 2c. Zulässigkeit des Einsatzes bereichsspezifischer Personenkennzeichen

§ 2d. Grundlegende Bestimmungen zum Schutz personenbezogener Daten

§ 2e. Qualitätsmanagement

§ 2f. Datengrundlagen für Tätigkeiten zu Zwecken gemäß Art. 89 Abs. 1 DSGVO

§ 2g. Verarbeitungen durch Art 89-Förder- und Zuwendungsstellen

§ 2h. Erhöhung der Transparenz bei Verarbeitungen gemäß Art. 89 DSGVO

§ 2i. Wissens- und Technologietransfer

§ 2j. Internationalität von Verarbeitungen gemäß Art. 89 DSGVO

§ 2k. Organisatorische Aspekte und Rechtsschutz

§ 2l. Verwaltungsstrafbestimmung (Anm.: § 3 aufgehoben durch BGBl. I Nr. 47/2000 §§ 4 und 5 aufgehoben durch BGBl. Nr. 407/1991) www.ris.bka.gv.at Seite 1 von 242 Bundesrecht konsolidiert 3. Abschnitt: Berichtswesen

§ 6. Unverzüglicher Bericht an das Bundesministerium für Bildung, Wissenschaft und Forschung

§ 7. Jährlicher Bericht an das Bundesministerium für Bildung, Wissenschaft und Forschung

§ 8. Forschungs- und Technologiebericht

§ 9. Forschungsdatenbank 4. Abschnitt: Forschungsförderungen und -aufträge des Bundes

§ 10. Forschungsförderungen

§ 11. Förderung im Sinne der gesamtösterreichischen Forschungs- und Technologiepolitik § 12. Forschungsaufträge und Aufträge für sonstige wissenschaftliche Untersuchungen

§ 13. Entgelt für Forschungsaufträge 5. Abschnitt: Teilrechtsfähige wissenschaftliche Einrichtungen im Bereich des Bundesministeriums für Bildung, Wissenschaft und Forschung

§ 17. Anzuwendende Bestimmungen (Anm.: §§ 18 bis 23 aufgehoben durch BGBl. I Nr. 60/2022)

§ 31. Bundesmuseen

§ 31a. Teilrechtsfähigkeit der Bundesmuseen

§ 32. Museumsordnungen

§ 33. Bibliotheken der wissenschaftlichen Einrichtungen im Bereich des Bundesministeriums für Bildung, Wissenschaft und Forschung sowie der Bundesmuseen 6. Abschnitt: Sonstige wissenschaftliche Einrichtungen mit eigener Rechtspersönlichkeit

§ 36. Förderungsbeiträge 7. Abschnitt: Schlussbestimmungen

§ 37. Übergang des Vermögens des Österreichischen Bundesinstituts für den wissenschaftlichen Film

§ 37a. Gesamtrechtsnachfolge des Österreichischen Archäologischen Instituts

§ 37b. Gesamtrechtsnachfolge des Instituts für Österreichische Geschichtsforschung

§ 38. Inkraft- und Außerkrafttreten

§ 38a. Übergangsbestimmungen

§ 38b. Verordnungsermächtigungen

§ 39. Vollziehung Text 1. Abschnitt Allgemeines Gegenstand und Ziele

§ 1. (1) Die leitenden Grundsätze für die Förderung von Wissenschaft und Forschung durch den Bund sowie für die Organisation wissenschaftlicher Einrichtungen des Bundes sind insbesondere: 1. die Freiheit der Wissenschaft und ihrer Lehre (Art. 17 Staatsgrundgesetz über die allgemeinen Rechte der Staatsbürger, RGBl. Nr. 142/1867), 2. die Vielfalt wissenschaftlicher Meinungen und Methoden, 3. die Bedeutung von Wissenschaft und Forschung für die Gesellschaft, 4. die Kooperation zwischen universitärer und außeruniversitärer Forschung, 5. die Kooperation zwischen dem Bund, den Ländern und Gemeinden sowie sonstigen öffentlich- rechtlichen Einrichtungen, 6. die internationale, insbesondere europäische Forschungskooperation, 7. die Bereitstellung angemessener Mittel für Wissenschaft und Forschung, 8. die Gleichbehandlung von Frauen und Männern sowie die Gleichwertigkeit der Frauen- und Geschlechterforschung mit anderen Forschungsbereichen. (2) Die Ziele für die Förderung von Wissenschaft und Forschung durch den Bund sowie für die Organisation wissenschaftlicher Einrichtungen des Bundes sind insbesondere: www.ris.bka.gv.at Seite 2 von 242 Bundesrecht konsolidiert 1. die Erweiterung und Vertiefung der wissenschaftlichen Erkenntnisse, 2. zur Lösung sozialer, wirtschaftlicher, kultureller und wissenschaftlicher Problemstellungen verantwortlich beizutragen, vor allem zur Sicherung und Hebung der allgemeinen Lebensqualität und der wirtschaftlichen Entwicklung, 3. die rasche Verbreitung sowie die Verwertung der Ergebnisse von Wissenschaft und Forschung, 4. die Förderung des wissenschaftlichen Nachwuchses, insbesondere die Erhöhung des Frauenanteils im Bereich des universitären und außeruniversitären wissenschaftlichen Nachwuchses. (3) Dieses Bundesgesetz regelt insbesondere 1. Rahmenbedingungen für Verarbeitungen (Art. 4 Nr. 2 der Verordnung [EU] 2016/679 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG [Datenschutz-Grundverordnung], ABl. Nr. L 119 vom 04.05.2016 S. 1, [im Folgenden: DSGVO]) zu im öffentlichen Interesse liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken sowie zu statistischen Zwecken im Sinne des Art. 89 Abs. 1 DSGVO, 2. die leitenden Grundsätze für die Förderung von Wissenschaft und Forschung durch den Bund sowie 3. die Organisation von wissenschaftlichen Einrichtungen des Bundes. (4) Soweit in diesem Bundesgesetz auf Bestimmungen anderer Bundesgesetze verwiesen wird, sind diese in ihrer jeweils geltenden Fassung anzuwenden. 2. Abschnitt Durchführung der Datenschutz-Grundverordnung und ergänzende Regelungen Allgemeine Bestimmungen zur Durchführung

§ 2a. Soweit in diesem Bundesgesetz keine besonderen Bestimmungen enthalten sind, bleiben andere Bestimmungen, insbesondere 1. des Allgemeinen Sozialversicherungsgesetzes, BGBl. Nr. 189/1955, 2. des Arzneimittelgesetzes (AMG), BGBl. Nr. 185/1983, 3. des Bauern-Sozialversicherungsgesetzes, BGBl. Nr. 559/1978, 4. des Beamten-Kranken- und Unfallversicherungsgesetzes, BGBl. Nr. 200/1967, 5. des Bildungsdokumentationsgesetzes, BGBl. I Nr. 12/2002, 6. des Blutsicherheitsgesetzes 1999, BGBl. I Nr. 44/1999, 7. des Bundesgesetzes über Krankenanstalten und Kuranstalten (KAKuG), BGBl. Nr. 1/1957, 8. des Bundesstatistikgesetzes 2000, BGBl. I Nr. 163/1999, 9. des Datenschutzgesetzes (DSG), BGBl. I Nr. 165/1999, 10. des Fachhochschul-Studiengesetzes, BGBl. Nr. 340/1993, 11. des Forschungs- und Technologieförderungsgesetzes (FTFG), BGBl. Nr. 434/1982, 12. des Forschungsförderungsgesellschaftsgesetzes (FFGG), BGBl. I Nr. 73/2004, 13. des FTE-Nationalstiftungsgesetzes (FTEG), BGBl. I Nr. 133/2003, 13a. des Bundesgesetzes über den Forschungs-, Wissenschafts-, Innovations- und Technologieentwicklungsrat (FWIT-Rat-Gesetz – FWITRG), BGBl. I Nr. 52/2023, 14. des Gentechnikgesetzes, BGBl. Nr. 510/1994, 14a. des GeoSphere Austria-Gesetzes (GSAG), BGBl. I Nr. 60/2022, 15. des Gesundheitstelematikgesetzes 2012, BGBl. I Nr. 111/2012, 16. des Gewebesicherheitsgesetzes, BGBl. I Nr. 49/2008, 17. des Gewerblichen Sozialversicherungsgesetzes, BGBl. Nr. 560/1978, 18. des Hochschul-Qualitätssicherungsgesetzes, BGBl. I Nr. 74/2011, 19. des Hochschülerinnen- und Hochschülerschaftsgesetzes 2014, BGBl. I Nr. 45/2014, 20. des Hochschulgesetzes 2005, BGBl. I Nr. 30/2006, 21. des Informationsweiterverwendungsgesetzes 2022, BGBl. I Nr. 116/2022,, 22. des Innovationsstiftung-Bildung-Gesetzes (ISBG), BGBl. I Nr. 28/2017, 23. des IST-Austria-Gesetzes (ISTAG), BGBl. I Nr. 69/2006, www.ris.bka.gv.at Seite 3 von 242 Bundesrecht konsolidiert 24. des Klima- und Energiefondsgesetzes, BGBl. I Nr. 40/2007, 25. des Medizinproduktegesetzes (MPG), BGBl. Nr. 657/1996, 26. des OeAD-Gesetzes (OeADG), BGBl. I Nr. 99/2008, 27. des ÖAW-Gesetzes, BGBl. Nr. 569/1921, 28. des Privatuniversitätengesetzes, BGBl. I Nr. 74/2011, 29. des Studienförderungsgesetzes 1992, BGBl. Nr. 305/1992, 30. des Tierversuchsgesetzes 2012, BGBl. I Nr. 114/2012, 31. des Universitätsgesetzes 2002 (UG), BGBl. I Nr. 120/2002 und 32. des UWK-Gesetzes (UWKG), BGBl. I Nr. 22/2004 unberührt. Begriffsbestimmungen

§ 2b. Im Sinne dieses Abschnitts bedeuten: 1. „Art-89-Förder- und Zuwendungsstellen“: natürliche oder juristische Personen, öffentliche Stellen, Behörden, Einrichtungen oder andere Stellen, die Art-89-Mittel zur Erreichung der Ziele gemäß § 1 Abs. 2 vergeben, wie insbesondere a) Abwicklungsstellen gemäß § 12 Abs. 1 FTFG oder b) Begünstigte gemäß § 3 Abs. 1 FTEG oder c) leistende Stellen gemäß § 16 des Transparenzdatenbankgesetzes 2012 (TDBG 2012), BGBl. I Nr. 99/2012, oder d) die OeAD-GmbH gemäß § 1 OeADG oder e) die Österreichisch-Amerikanische Erziehungskommission gemäß Art. 1 des Abkommens zwischen der österreichischen Bundesregierung und der Regierung der Vereinigten Staaten von Amerika, betreffend die Finanzierung gewisser Erziehungs- und Kulturaustauschprogramme, BGBl. Nr. 213/1963, oder f) Privatstiftungen gemäß § 1 Abs. 1 des Privatstiftungsgesetzes, BGBl. Nr. 694/1993, oder g) Stiftungen gemäß § 2 Abs. 1 des Bundes-Stiftungs- und Fondsgesetzes 2015, BGBl. I Nr. 160/2015, oder h) Substiftungen gemäß § 4 Abs. 5 ISBG; 2. „Art-89-Mittel“: geldwerte Vorteile, die für Zwecke gemäß Art. 89 Abs. 1 DSGVO wissenschaftlichen Einrichtungen (Z 12) zukommen, wie insbesondere a) Förderungen des Bundes gemäß § 30 Abs. 5 des Bundeshaushaltsgesetzes 2013 (BHG 2013), BGBl. I Nr. 130/2009, oder b) zins- oder amortisationsbegünstigte Gelddarlehen, Annuitäten-, Zinsen- oder Kreditkostenzuschüsse sowie sonstige Geldzuwendungen von Ländern, Gemeinden oder Privaten oder c) Forschungsaufträge und Aufträge des Bundes gemäß § 12 oder d) nach den Bestimmungen des Privatrechtes zu beurteilende Vereinbarungen von Ländern, Gemeinden oder Privaten mit von diesen verschiedenen Rechtsträgern im Bereich gemäß Art. 89 Abs. 1 DSGVO gegen eine bestimmte oder bestimmbare Gegenleistung; 3. „Big Data“: die Verarbeitung großer Mengen von wenig oder nicht strukturierten Daten (Z 5); 4. „Citizen Science“: Open Science (Z 9), die auch andere Personen als Wissenschaftlerinnen oder Wissenschaftler einbindet; 5. „Daten“: personenbezogene Daten im Sinne des Art. 4 Nr. 1 DSGVO sowie sonstige Informationen; 6. „Forschungsmaterial“: körperliche Sachen, die für Zwecke gemäß Art. 89 Abs. 1 DSGVO von Bedeutung sein können, wie insbesondere: a) biologische, genetische, geologische oder sonstige Proben oder b) Bild-, Film-, Ton- oder Videomaterial oder c) Schriftgut gemäß § 25 Abs. 2 des Denkmalschutzgesetzes (DMSG), BGBl. Nr. 533/1923; 7. „Mobilität“: einen zu Zwecken von Bildung, Wissenschaft oder Forschung erfolgenden, grenzüberschreitenden Wechsel des Ausbildungs- bzw. Arbeitsortes von a) Studierenden im Sinne des § 2 Abs. 1 Z 4 des Bildungsdokumentationsgesetzes oder b) Schülerinnen und Schülern im Sinne des § 2 Abs. 1 Z 3 des Bildungsdokumentationsgesetzes oder www.ris.bka.gv.at Seite 4 von 242 Bundesrecht konsolidiert c) Lehrlingen im Sinne des § 1 des Berufsausbildungsgesetzes, BGBl. Nr. 142/1969 oder d) Personen, die in einem Arbeits- oder Auftragsverhältnis zu aa) einer Fachhochschule oder bb) dem Institute of Science and Technology – Austria oder cc) der Österreichischen Akademie für Wissenschaften oder dd) einer Pädagogischen Hochschule oder ee) einer Privatuniversität oder ff) einer sonstigen außeruniversitären Forschungseinrichtung oder gg) einer Universität stehen oder e) Bezieherinnen und Bezieher von Stipendien, die von öffentlichen Stellen (Z 8) ausbezahlt werden; 8. „öffentliche Stelle“: eine öffentliche Stelle gemäß §4 Z1 des Informationsweiterverwendungsgesetzes 2022 (IWG 2022), BGBl. I Nr. 116/2022, wobei a) ausländische und internationale öffentliche Stellen und b) internationale Organisationen gemäß Art. 4 Nr. 26 DSGVO, die die Kriterien des § 4 Z 1 lit. b sublit. cc IWG 2022 erfüllen, jedenfalls als öffentliche Stellen im Sinne des § 4 Z 1 IWG 2022 anzusehen sind; 9. „Open Science“: Strategien und Verfahren, die darauf abzielen, die Chancen der Digitalisierung konsequent zu nutzen, um alle Bestandteile des wissenschaftlichen Prozesses über das Internet offen zugänglich, nachvollziehbar und nachnutzbar zu machen; 10. „Tätigkeiten der Forschung und experimentellen Entwicklung“: Aktivitäten, die a) neuartig, b) schöpferisch, c) ungewiss in Bezug auf das Endergebnis, d) systematisch und e) übertrag- oder reproduzierbar sind. 11. „Technologietransfer“: die Bereitstellung von technischem Wissen durch wissenschaftliche Einrichtungen zur wirtschaftlichen Anwendung bzw. Verwertung; 12. „wissenschaftliche Einrichtungen“: natürliche Personen, Personengemeinschaften sowie juristische Personen, die Zwecke gemäß Art. 89 Abs. 1 DSGVO verfolgen, d.h. insbesondere Tätigkeiten der Forschung und experimentellen Entwicklung (Z 10) vornehmen, ungeachtet dessen, ob dies a) zu gemeinnützigen Zwecken (§§ 34 ff der Bundesabgabenordnung, BGBl. Nr. 194/1961) oder nicht oder b) im universitären, betrieblichen oder außeruniversitären Rahmen erfolgt; 13. „Wissenstransfer“: die Bereitstellung von Wissen durch Teile der Gesellschaft an andere Teile der Gesellschaft. Zulässigkeit des Einsatzes bereichsspezifischer Personenkennzeichen

§ 2c. (1) Die folgenden wissenschaftlichen Einrichtungen sind jedenfalls berechtigt bereichsspezifische Personenkennzeichen im Sinne dieses Abschnitts zu erhalten und einzusetzen: 1. Bundesmuseen nach dem Bundesmuseen-Gesetz 2002, BGBl. I Nr. 14/2002, 2. Fachhochschulen nach dem Fachhochschul-Studiengesetz, 3. die GeoSphere Austria gemäß § 1 GSAG, 4. das Institute of Science and Technology – Austria gemäß § 1 ISTAG, 5. natürliche Personen, Personengemeinschaften sowie juristische Personen, die Art-89-Mittel a) seitens des Wissenschaftsfonds (§ 2 FTFG) oder b) im Rahmen europäischer Rahmenprogramme für Forschung und Entwicklung erhalten haben, für die vereinbarte Dauer, mindestens jedoch fünf Jahre ab Zuerkennung der Art-89-Mittel, 6. die Österreichische Akademie der Wissenschaften, www.ris.bka.gv.at Seite 5 von 242 Bundesrecht konsolidiert 7. die Österreichische Bibliothekenverbund und Service Gesellschaft mit beschränkter Haftung (§ 1 des Bundesgesetzes über die Österreichische Bibliothekenverbund und Service Gesellschaft mit beschränkter Haftung, BGBl. I Nr. 15/2002), 8. als Partner von der Österreichischen Forschungsförderungsgesellschaft mbH (§ 1 Abs. 1 FFGG) für die Einlösung des Innovationsschecks ausgewiesene Einrichtungen, 9. als Partner in der Forschungsinfrastrukturdatenbank des Bundesministeriums für Bildung, Wissenschaft und Forschung ausgewiesene Forschungseinrichtungen und Unternehmen, die ihre Forschungsinfrastruktur öffentlich anbieten, 10. Privatuniversitäten nach dem Privatuniversitätengesetz, 11. gemäß § 4a Abs. 3 oder Abs. 4 lit. a oder b des Einkommensteuergesetzes 1988, BGBl. Nr. 400/1988, spendenbegünstigte Einrichtungen, 12. die Universität für Weiterbildung Krems gemäß § 1 UWKG, 13. Universitäten nach dem Universitätsgesetz 2002, 14. wissenschaftliche Bibliotheken, (Anm.: Z 15 aufgehoben durch Art. 5 Z 5, BGBl. I Nr. 60/2022) 16. das Institut des Bundes für Qualitätssicherung im österreichischen Schulwesen nach dem IQS- Gesetz, BGBl. I Nr. 50/2019, 17. die Gesundheit Österreich GmbH, nach dem Bundesgesetz über die Gesundheit Österreich GmbH, BGBl. I Nr. 132/2006, sowie 18. öffentliche Stellen (§ 2b Z 8), die gesetzlich mit Aufgaben gemäß Art. 89 DSGVO betraut sind. (2) Die Bundesministerin oder der Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie hat auf begründeten, schriftlichen Antrag mit Bescheid für die Gültigkeitsdauer von maximal fünf Jahren zu bestätigen, dass die antragstellenden wissenschaftlichen Einrichtungen, die nicht in Abs. 1 angeführt sind, Tätigkeiten der Forschung und experimentellen Entwicklung (§ 2b Z 10) durchführen und daher berechtigt sind bereichsspezifische Personenkennzeichen im Sinne dieses Abschnitts zu erhalten und einzusetzen. (3) Der Antrag gemäß Abs. 2 hat jedenfalls zu enthalten: 1. bei wissenschaftlichen Einrichtungen (§ 2b Z 12), die a) natürliche Personen sind, die Namensangaben gemäß § 2g Abs. 2 Z 1 und b) keine natürlichen Personen sind, die Angaben gemäß § 2f Abs. 1 Z 3 lit. a bis c der antragstellenden wissenschaftlichen Einrichtung, 2. Beschreibung der Tätigkeiten gemäß § 2b Z 10 der antragstellenden wissenschaftlichen Einrichtung, 3. Begründung, samt allfälliger Unterlagen, warum die Tätigkeiten gemäß Z 2 a) neuartig, b) schöpferisch, c) ungewiss in Bezug auf das Endergebnis, d) systematisch und e) übertrag- oder reproduzierbar sind, 4. Namensangaben (§ 2g Abs. 2 Z 1) und Personenmerkmale (§ 2g Abs. 2 Z 2) der natürlichen Person, die für die Tätigkeiten gemäß Z 2 verantwortlich ist, 5. eine von einer vertretungsbefugten Person unterfertigte Erklärung, dass gegenüber der antragstellenden wissenschaftlichen Einrichtung in den letzten drei Jahren vor Stellung des Antrags a) keine Untersagung gemäß § 22 Abs. 4 DSG erfolgte und b) keine Maßnahme gemäß Art. 58 Abs. 2 Buchstaben f bis j DSGVO gesetzt wurde, 6. in den Fällen des Abs. 1 Z 5, 8 und 9 einen Nachweis über das Vorliegen der jeweiligen Voraussetzung sowie 7. die maximale, fünf Jahre nicht übersteigende Dauer der Bestätigung. (4) Die wissenschaftlichen Einrichtungen haben Umstände, die zur Entziehung der Bestätigung führen könnten, unverzüglich und möglichst binnen 72 Stunden, nachdem ihnen diese Umstände bekannt wurden, der Bundesministerin oder dem Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, www.ris.bka.gv.at Seite 6 von 242 Bundesrecht konsolidiert Innovation und Technologie zu melden. Erfolgt die Meldung nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen. (5) Die Verlängerung der Bestätigung ist mit Bescheid zu verweigern oder eine bestehende Bestätigung mit Bescheid zu entziehen, wenn die Voraussetzungen der Bestätigung nicht oder nicht mehr vorliegen oder die Bestätigung erschlichen wurde. (6) Die Verlängerung der Bestätigung kann mit Bescheid verweigert oder eine bestehende Bestätigung mit Bescheid entzogen werden, wenn in den letzten drei Jahren 1. eine Untersagung gemäß § 22 Abs. 4 DSG erfolgte oder 2. eine Maßnahme gemäß Art. 58 Abs. 2 DSGVO gesetzt wurde. (7) Die Bundesministerin oder der Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie hat wissenschaftliche Einrichtungen, denen eine Bestätigung gemäß Abs. 2 ausgestellt wurde, mindestens einmal jährlich in geeigneter Weise, insbesondere im Internet, zu veröffentlichen. Grundlegende Bestimmungen zum Schutz personenbezogener Daten

§ 2d. (1) Für Verarbeitungen nach diesem Abschnitt sind insbesondere folgende angemessene Maßnahmen, wie sie insbesondere in Art. 9 Abs. 2 Buchstabe j sowie Art. 89 Abs. 1 DSGVO vorgesehen sind, einzuhalten: 1. über Zugriffe auf personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, ist Protokoll zu führen, damit tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, im Hinblick auf ihre Zulässigkeit im notwendigen Ausmaß nachvollzogen werden können. 2. Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten auf Grundlage dieses Abschnitts verarbeiten und ihre Mitarbeiterinnen und Mitarbeiter – das sind Arbeitnehmerinnen und Arbeitnehmer (Dienstnehmerinnen und Dienstnehmer) und Personen in einem arbeitnehmerähnlichen (dienstnehmerähnlichen) Verhältnis – haben personenbezogene Daten, die ihnen ausschließlich auf Grundlage dieses Abschnitts anvertraut wurden oder zugänglich geworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen personenbezogenen Daten besteht (Datengeheimnis). 3. Personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, dürfen ausschließlich für Zwecke dieses Bundesgesetzes verarbeitet werden. 4. Natürliche Personen, deren personenbezogene Daten auf Grundlage dieses Abschnitts verarbeitet werden, dürfen keine Nachteile aus der Verarbeitung erleiden, wobei die Verarbeitung in Übereinstimmung mit diesem Abschnitt keinen Nachteil darstellt. 5. Verantwortliche, die Verarbeitungen auf Grundlage des Abs. 2 durchführen, haben a) im Internet öffentlich einsehbar auf die Inanspruchnahme dieser Rechtsgrundlage hinzuweisen, b) bei Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen die Namensangaben sowie andere Personenkennzeichen gemäß Art. 87 DSGVO abgesehen von den bereichsspezifischen Personenkennzeichen „Forschung“ (bPK-BF-FO) und bereichsspezifischen Personenkennzeichen in verschlüsselter Form (vbPK) jedenfalls zu löschen, c) vor Heranziehung von Registern gemäß Abs. 2 Z 3 jedenfalls einen Datenschutzbeauftragten (Art. 37 DSGVO) zu bestellen, d) die Aufgabenverteilung bei der Verarbeitung der Daten (§ 2b Z 5) zwischen den Organisationseinheiten und zwischen den Mitarbeiterinnen und Mitarbeitern ausdrücklich festzulegen, e) die Verarbeitung von Daten an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbeiter zu binden, f) jede Mitarbeiterin und jeden Mitarbeiter über ihre oder seine nach diesem Bundesgesetz und nach innerorganisatorischen Datenschutzvorschriften einschließlich der Datensicherheitsvorschriften bestehenden Pflichten zu belehren, g) die Zutrittsberechtigung zu den Räumlichkeiten, in denen die Verarbeitung der Daten (§ 2b Z 5) tatsächlich erfolgt, zu regeln, www.ris.bka.gv.at Seite 7 von 242 Bundesrecht konsolidiert h) die Zugriffsberechtigung auf Daten (§ 2b Z 5) und Programme und den Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln, i) die Berechtigung zum Betrieb der Datenverarbeitungsgeräte festzulegen und jedes Gerät durch Vorkehrungen bei den eingesetzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abzusichern, j) eine Dokumentation über die nach den lit. d bis i getroffenen Maßnahmen zu führen, um die Kontrolle und Beweissicherung zu erleichtern, k) in ihrem Antrag auf Zugang zu Daten gemäß § 2d Abs. 2 Z 3 anzugeben: aa) die Gründe, warum das Forschungsvorhaben nur mittels des in § 2d Abs. 2 Z 3 vorgesehenen Zugangs durchgeführt werden kann, bb) die natürlichen Personen, die Zugang zu Daten gemäß § 2d Abs. 2 Z 3 erhalten sollen, cc) die Datensätze, zu denen Zugang benötigt wird, und die Methoden ihrer Analyse sowie dd) die angestrebten Ergebnisse des Forschungsvorhabens, l) bei Verarbeitung von Daten, zu denen gemäß § 2d Abs. 2 Z 3 Zugang gewährt wurde, vorzusehen, dass nur die im Antrag genannten natürlichen Personen auf diese Daten zugreifen dürfen. m) bei Übermittlung von Namensangaben gemäß Abs. 2 Z 3 sind diese nach Erreichung der Zwecke gemäß Art. 89 Abs. 1 DSGVO zu löschen. 6. Die Veröffentlichung von Personenkennzeichen darf unter keinen Umständen erfolgen. 6a. Bei Gewährung des Zugangs zu Daten (§ 2b Z 5) gemäß Abs. 2 Z 3 haben Verantwortliche, die bundesgesetzlich vorgesehene Register führen a) die §§ 31a und 31b des Bundesstatistikgesetzes 2000, BGBl. I Nr. 163/1999, einzuhalten und b) andere Personenkennzeichen gemäß Art. 87 DSGVO als bereichsspezifische Personenkennzeichen zu entfernen. 7. Die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung hat nach Anhörung a) von Vertreterinnen oder Vertretern, die von den zuständigen Bundesministerinnen und Bundesminister ernannt wurden, wobei jede Bundesministerin oder jeder Bundesminister eine Vertreterin oder einen Vertreter zu ernennen hat, und b) der Mitglieder der Delegiertenversammlung gemäß § 5a Abs. 1 und 2 Z 1 und 2 FTFG dem Datenschutzrat (§ 14 DSG) in Abständen von fünf Jahren bis zum 1. Juni des jeweiligen Jahres einen Bericht über die Anwendung dieses Abschnitts vorzulegen. 8. Soweit keine abweichenden Bestimmungen getroffen werden, haben Verarbeitungen nach diesem Abschnitt den Anforderungen des Abs. 2 Z 1 zu entsprechen. (2) Zur Erleichterung der Identifikation im Tätigkeitsbereich „Forschung“ (BF-FO) gemäß § 9 Abs. 1 des E-Government-Gesetzes (E-GovG), BGBl. I Nr. 10/2004, sind die §§ 14 und 15 E-GovG im privaten Bereich nicht anzuwenden. Stattdessen sind die Bestimmungen des E-GovG, die für Verantwortliche des öffentlichen Bereichs gelten, wie insbesondere die §§ 8 bis 13 E-GovG, anzuwenden. Für Zwecke dieses Bundesgesetzes dürfen wissenschaftliche Einrichtungen (§ 2b Z 12), insbesondere auf Grundlage des Art. 9 Abs. 2 Buchstabe g, i und j DSGVO, somit 1. sämtliche personenbezogene Daten jedenfalls verarbeiten, insbesondere im Rahmen von Big Data, personalisierter Medizin, biomedizinischer Forschung, Biobanken und der Übermittlung an andere wissenschaftliche Einrichtungen und Auftragsverarbeiter, wenn a) anstelle des Namens, bereichsspezifische Personenkennzeichen oder andere eindeutige Identifikatoren zur Zuordnung herangezogen werden oder b) die Verarbeitung in pseudonymisierter Form (Art. 4 Nr. 5 DSGVO) erfolgt oder c) Veröffentlichungen aa) nicht oder bb) nur in anonymisierter oder pseudonymisierter Form (Anm.: sublit. cc aufgehoben durch BGBl. I Nr. 205/2021) erfolgen oder d) die Verarbeitung ausschließlich zum Zweck der Anonymisierung oder Pseudonymisierung erfolgt und keine Offenlegung direkt personenbezogener Daten an Dritte (Art. 4 Nr. 10 DSGVO) damit verbunden ist, www.ris.bka.gv.at Seite 8 von 242 Bundesrecht konsolidiert 2. die Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen für den Tätigkeitsbereich „Forschung“ (bPK-BF-FO) sowie von verschlüsselten bPK gemäß § 13 Abs. 2 E-GovG innerhalb der in Art. 12 Abs. 3 DSGVO genannten Frist von der Stammzahlenregisterbehörde verlangen, wenn a) die Antragstellerin oder der Antragsteller eine wissenschaftliche Einrichtung gemäß § 2c Abs. 1 ist oder über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügt, b) die Kosten für die Ausstattung mit bereichsspezifischen Personenkennzeichen ersetzt werden und c) die Antragstellerin oder der Antragsteller zumindest Vorname, Familienname und Geburtsdatum für jeden auszustattenden Datensatz bereitstellt sowie 3. von Verantwortlichen, die bundesgesetzlich vorgesehene Register – mit Ausnahme der in den Bereichen der Gerichtsbarkeit sowie der Rechtsanwälte und Notare im Rahmen des jeweiligen gesetzlichen Wirkungsbereichs geführten Register und des Strafregisters – führen, sowie im Falle von ELGA von der ELGA-Ombudsstelle, den Zugang zu Daten (§ 2b Z 5), bei denen keine Identifizierung von betroffenen Personen oder Unternehmen durch Namen, Anschrift oder anhand einer öffentlich zugänglichen Identifikationsnummer möglich ist, innerhalb der in Art. 12 Abs. 3 DSGVO genannten Frist aus diesen Registern in elektronischer Form verlangen, wenn a) die Verarbeitung aa) ausschließlich für Zwecke der Lebens- und Sozialwissenschaften erfolgt und bb) auch einem öffentlichen Interesse dient, insbesondere eine Zielsetzung gemäß Art. 23 Abs. 1 DSGVO erfüllt, b) das Register in einer Verordnung gemäß § 38b angeführt ist, c) die Antragstellerin oder der Antragsteller eine wissenschaftliche Einrichtung gemäß § 2c Abs. 1 ist oder über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügt, d) die Kosten für die Gewährung des Zugangs zu Daten (§ 2b Z 5) ersetzt werden und e) falls ein Abgleich mit vorhandenen Daten beantragt wird, beim Antrag auf Gewährung des Zugangs zu Daten (§ 2b Z 5) die entsprechenden bPK gemäß § 13 Abs. 2 E-GovG der betroffenen Personen zur Verfügung gestellt werden. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 2 siehe Anlage 1) (3) Im Anwendungsbereich dieses Bundesgesetzes ist die Verarbeitung von Daten (§ 2b Z 5) gemäß Art. 9 Abs. 2 Buchstabe j DSGVO zulässig, wenn die betroffene Person freiwillig, in informierter Weise und unmissverständlich ihren Willen in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung bekundet, mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden zu sein, wobei die Angabe eines Zweckes durch die Angabe 1. eines Forschungsbereiches oder 2. mehrerer Forschungsbereiche oder 3. von Forschungsprojekten oder 4. von Teilen von Forschungsprojekten erfolgen darf („broad consent“). (Anm.: Datenschutz-Folgenabschätzung zu Abs. 3 siehe Anlage 2) (4) Hinsichtlich der Weiterverarbeitung gemäß Art. 5 Abs. 1 Buchstabe b DSGVO zu Zwecken gemäß Art. 89 Abs. 1 DSGVO stellen diese keine unzulässigen Zwecke im Sinne des § 62 Abs. 1 Z 2 DSG dar. (5) Gemäß Art. 5 Abs. 1 Buchstabe e DSGVO dürfen personenbezogene Daten für Zwecke gemäß Art. 89 Abs. 1 DSGVO unbeschränkt gespeichert und gegebenenfalls sonst verarbeitet werden, soweit gesetzlich keine zeitlichen Begrenzungen vorgesehen sind. (6) Die folgenden Rechte finden insoweit keine Anwendung, als dadurch die Erreichung von Zwecken gemäß Art. 89 Abs. 1 DSGVO voraussichtlich unmöglich gemacht oder ernsthaft beeinträchtigt wird: 1. Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), 2. Recht auf Berichtigung (Art. 16 DSGVO), 3. Recht auf Löschung bzw. Recht auf Vergessenwerden (Art. 17 DSGVO), 4. Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO), www.ris.bka.gv.at Seite 9 von 242 Bundesrecht konsolidiert 5. Recht auf Datenübertragbarkeit (Art. 20 DSGVO) sowie 6. Widerspruchsrecht (Art. 21 DSGVO). (Anm.: Datenschutz-Folgenabschätzung zu Abs. 6 siehe Anlage 3) (7) Auf Grundlage des Art. 9 Abs. 2 Buchstabe j DSGVO ist im Sinne des § 7 Abs. 2 Z 1 DSG die Einholung einer Genehmigung der Datenschutzbehörde gemäß § 7 Abs. 2 Z 3 DSG nicht erforderlich, wenn die Verarbeitung in Übereinstimmung mit diesem Abschnitt erfolgt. (8) Abweichend von § 12 Abs. 4 Z 3 und 4 DSG ist im Anwendungsbereich dieses Bundesgesetzes und des § 44 KAKuG sowohl der automationsunterstützte Abgleich von mittels Bildaufnahmen gewonnenen personenbezogenen Daten mit anderen personenbezogenen Daten als auch die Auswertung von mittels Bildaufnahmen gewonnen personenbezogenen Daten anhand von besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) als Auswahlkriterium für Zwecke gemäß Art. 89 Abs. 1 DSGVO zulässig, vorausgesetzt 1. die Verarbeitung erfolgt durch wissenschaftliche Einrichtungen und 2. durch die Verarbeitung erfolgt keine Veröffentlichung personenbezogener Daten. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 8 siehe Anlage 4) (9) Bereichsspezifische Personenkennzeichen (§ 9 E-GovG) dürfen für Zwecke dieses Bundesgesetzes in maschinenlesbarer Form an Forschungsmaterial (§ 2b Z 6) angebracht werden. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 9 siehe Anlage 5) Qualitätsmanagement

§ 2e. (1) Die Feststellung der mittel- und langfristigen Wirkungen dient 1. dem optimalen Mitteleinsatz von öffentlichen Stellen zur Förderung von Zwecken gemäß Art. 89 Abs. 1 DSGVO sowie 2. der bestmöglichen Entwicklung des Wissensstandes in den in Art. 89 Abs. 1 DSGVO genannten Disziplinen durch Veröffentlichung, Anwendung und Verwertung des aktuellen Forschungsstandes sowie Beobachtung und Evaluierung von Tätigkeiten der Forschung und experimentellen Entwicklung (§ 2b Z 10). (2) Zur Feststellung der Wirkungen gemäß Abs. 1, die von der Tätigkeit von wissenschaftlichen Einrichtungen (§ 2b Z 12) ausgelöst werden, dürfen diese insbesondere die folgenden Daten direkt personenbezogen verarbeiten, jedoch nur in pseudonymisierter oder anonymisierter Form veröffentlichen: 1. hinsichtlich der Personen, die im Rahmen von Lehre bzw. Forschung tätig waren bzw. sind: a) sämtliche Daten gemäß § 2g Abs. 1 bis 4, b) soziobiografische und sozioökonomische Angaben, c) qualitative Daten, wie insbesondere betreffend aa) Relevanz des Studiums für die Beschäftigung, bb) berufliches Fortkommen und Zufriedenheit, cc) Wahrnehmung der Qualität und Relevanz ihrer Bildungs- und Ausbildungserfahrung sowie d) quantitative Daten, wie insbesondere betreffend aa) Einstieg ins Berufsleben und weitere (Aus-)Bildung, bb) Einkommen, cc) Art des Vertrags, dd) Beschäftigungsstatus, ee) Beruf, Berufsstatus und Tätigkeit (im Verlauf), ff) Angaben zu geografischen und sektoralen Mobilitäten (§ 2b Z 7) sowie gg) sämtliche akademische Funktionen, Publikationen, Drittmitteleinwerbungen und Aktivitäten betreffend Technologietransfer sowie 2. hinsichtlich der Personen, die im Rahmen der Lehre betreut wurden bzw. werden, die unter Z 1 genannten Angaben sowie quantitativen Daten, wie insbesondere betreffend a) Studienintensität, b) Studienmethode, c) Qualifikation(en), d) erhaltene Leistungspunkte sowie e) Studienfach. www.ris.bka.gv.at Seite 10 von 242 Bundesrecht konsolidiert (3) Zur Feststellung der Wirkungen gemäß Abs. 1, die von der Tätigkeit von wissenschaftlichen Einrichtungen gemäß § 2c Abs. 1 oder von wissenschaftlichen Einrichtungen, die über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügen, ausgelöst werden, dürfen diese sowie die allenfalls zuständigen Bundesministerinnen und Bundesminister 1. von der Stammzahlenregisterbehörde eine kostenlose Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen Amtliche Statistik wie Verantwortliche des öffentlichen Bereichs gemäß § 10 Abs. 2 E-GovG sowie 2. die Übermittlung von in Abs. 2 angeführten Daten von öffentlichen Stellen (§ 2b Z 8) und Art- 89-Förder- und Zuwendungsstellen (§ 2b Z 1) verlangen. (4) Zur Feststellung der Wirkungen gemäß Abs. 1 der Tätigkeit von Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1) sind die Abs. 2 und 3 auf diese sowie die allenfalls zuständigen Bundesministerinnen und Bundesminister mit der Maßgabe anzuwenden, dass 1. an die Stelle der natürlichen Personen gemäß Abs. 2 die natürlichen Personen und sonstigen Betroffenen (§ 6 Abs. 4 E-GovG) treten, die Art-89-Mittel beantragt oder erhalten haben, sowie 2. bei sonstigen Betroffenen (Z 1) an die Stelle der bereichsspezifischen Personenkennzeichen deren Stammzahl tritt. (Anm.: Datenschutz-Folgenabschätzung siehe Anlage 6) Datengrundlagen für Tätigkeiten zu Zwecken gemäß Art. 89 Abs. 1 DSGVO

§ 2f. (1) Wissenschaftliche Einrichtungen (§ 2b Z 12) dürfen Forschungsmaterial (§ 2b Z 6) für Zwecke gemäß Art. 89 Abs. 1 DSGVO insbesondere sammeln, archivieren und systematisch erfassen und dazu sämtliche Daten (§ 2b Z 5) verarbeiten, die erforderlich sind, um einen optimalen Zugang zu Daten (§ 2b Z 5) und Forschungsmaterial für Zwecke gemäß Art. 89 Abs. 1 DSGVO („Repositories“) zu gewährleisten, wie insbesondere: 1. Namensangaben gemäß § 2g Abs. 2 Z 1, 2. Personenmerkmale gemäß § 2g Abs. 2 Z 2, sowie insbesondere: a) Zugehörigkeit zu einer sozialen, ethnischen oder kulturellen Gruppe, b) soziale Stellung, c) Beruf, d) Sprachkenntnisse und sonstige, besondere Kenntnisse, e) die Angaben gemäß lit. a bis d hinsichtlich der Vorfahren, f) Personenkennung, insbesondere durch bereichsspezifisches Personenkennzeichen des Tätigkeitsbereichs „Bildung und Forschung“, 3. soweit verfügbar, Angaben zu sonstigen Betroffenen gemäß § 6 Abs. 4 E-GovG, die in Beziehung zu den natürlichen Personen stehen, deren Daten verarbeitet werden sollen: a) Bezeichnung, b) Rechtsform, c) elektronische Kennung gemäß § 6 Abs. 3 E-GovG, d) Angaben zur Beziehung zwischen den sonstigen Betroffenen und den natürlichen Personen, deren Daten verarbeitet werden sollen, e) Gründungsdatum, 4. Adress- und Kontaktdaten gemäß § 2g Abs. 2 Z 5, 5. sonstige Daten, die für die Archivierung und Klassifikation erforderlich sind, wie etwa Fundortdaten oder Angaben gemäß § 2g Abs. 2 Z 1 und 2 zu Personen, die das Forschungsmaterial zur Verfügung gestellt haben, sowie 6. weitere Angaben, wie insbesondere: a) politische Hintergrundinformationen, b) religiöse Hintergrundinformationen, c) rechtliche Hintergrundinformationen, d) traditionelle Hintergrundinformationen, e) Hintergrundinformationen betreffend die Gesundheit, Gesundheitsdaten oder genetische Daten oder f) andere gruppenspezifische Hintergrundinformationen. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 1 siehe Anlage 7) www.ris.bka.gv.at Seite 11 von 242 Bundesrecht konsolidiert (2) Abweichend von § 2d Abs. 1 Z 8 und Abs. 2 Z 1 dürfen wissenschaftliche Einrichtungen, die Verantwortliche der Repositories gemäß Abs. 1 sind, anderen wissenschaftlichen Einrichtungen direkt personenbezogene Daten bereitstellen, wenn 1. sie die anderen wissenschaftlichen Einrichtungen über deren Pflichten nach diesem Abschnitt und der Datenschutz-Grundverordnung nachweislich aufgeklärt haben, 2. sie Vorkehrungen dafür getroffen haben, dass die anderen wissenschaftlichen Einrichtungen ihre Pflichten nach diesem Abschnitt einhalten, und 3. eine von einer vertretungsbefugten Person der anderen wissenschaftlichen Einrichtung unterfertigte Erklärung vorliegt, dass gegenüber der anderen wissenschaftlichen Einrichtung in den letzten drei Jahren a) keine Untersagung gemäß § 22 Abs. 4 DSG erfolgte und b) keine Maßnahme gemäß Art. 58 Abs. 2 Buchstaben f bis j DSGVO gesetzt wurde. (3) Ungeachtet des Abs. 1 dürfen Daten und Forschungsmaterial, die als Grundlage für Tätigkeiten zu Zwecken gemäß Art. 89 Abs. 1 DSGVO verarbeitet wurden („Rohdaten“), ab Veröffentlichung der Ergebnisse dieser Tätigkeiten 1. zum Nachweis der Einhaltung guter wissenschaftlicher Praxis mindestens 10 Jahre sowie 2. zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen bis zu 30 Jahre gespeichert und gegebenenfalls sonst verarbeitet werden. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 3 siehe Anlage 8) (4) Verarbeitungen im Rahmen von biologischen Proben- und Datensammlungen aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, stellen zulässige Verarbeitungen im Sinne des Art. 9 Abs. 2 Buchstaben h, i und j DSGVO dar. Die Verantwortlichen haben jedenfalls die folgenden, angemessenen und spezifischen Maßnahmen vorzusehen: 1. die schnellstmögliche Pseudonymisierung, wenn dennoch die Zwecke der Verarbeitungen erfüllt werden können, sowie 2. die Einhaltung der gemäß Art. 32 DSGVO erforderlichen Datensicherheitsmaßnahmen. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 4 siehe Anlage 9) (5) Für Zwecke der Lehre, insbesondere das Verfassen schriftlicher Seminar- und Prüfungsarbeiten, Bachelorarbeiten sowie wissenschaftlicher und künstlerischer Arbeiten durch Studierende, dürfen sämtliche personenbezogene Daten verarbeitet werden, wenn sichergestellt ist, dass – außer zulässigen Verarbeitungen – keine Übermittlung an Empfängerinnen oder Empfänger zu anderen Zwecken als gemäß Art. 89 Abs. 1 DSGVO erfolgt. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 5 siehe Anlage 10) (6) Für Zwecke der medizinischen Forschung und sterbefallbezogener Analysen darf die Bundesanstalt Statistik Österreich wissenschaftlichen Einrichtungen nach Vereinbarung der konkreten Anwendungsbereiche und eines angemessenen Kostenersatzes das Sterbedatum und die Todesursache von Betroffenen übermitteln. Die wissenschaftlichen Einrichtungen und deren Angehörige unterliegen hinsichtlich dieser Daten der Geheimhaltungspflicht gemäß § 17 Abs. 3 des Bundesstatistikgesetzes 2000 und dürfen diese Daten ausschließlich für wissenschaftliche Zwecke verwenden. (7) An Medizinischen Universitäten bzw. Universitäten, an denen eine Medizinische Fakultät eingerichtet ist, ist vor Übermittlung gemäß Abs. 6 die Ethikkommission gemäß § 30 UG zu befassen. An anderen wissenschaftlichen Einrichtungen (§ 2b Z 12) ist – sofern eingerichtet – eine Ethikkommission gemäß § 8c KAKuG oder eine vergleichbare Ethikkommission zu befassen. Verarbeitungen durch Art-89-Förder- und Zuwendungsstellen

§ 2g. (1) Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1) dürfen zur Vergabe von Art-89-Mitteln für die Entwicklung und Erschließung der Künste und Zwecken gemäß Art. 89 Abs. 1 DSGVO sowie der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen insbesondere 1. Anträge, Anbote, Verträge, Gutachten sowie sonstige Daten im Sinne des § 2b Z 5 („Förderunterlagen“) verarbeiten, d.h. insbesondere an andere Art 89-Förder- und Zuwendungsstellen, öffentliche Stellen, Gutachterinnen und Gutachter sowie Auftragsverarbeiter übermitteln, wobei Förderunterlagen jedenfalls für die Dauer von zehn Jahren, und zwar www.ris.bka.gv.at Seite 12 von 242 Bundesrecht konsolidiert a) im Falle der Zurücknahme oder Nichtweiterverfolgung des Antrags oder Anbots oder einer negativen Entscheidung ab dem letzten Kontakt und b) im Falle einer positiven Entscheidung ab dem Ende des Jahres der Auszahlung der gesamten Art-89-Mittel (§ 2b Z 2) oder des gesamten Entgelts, gespeichert und gegebenenfalls sonst verarbeitet werden dürfen, oder (Anm.: Datenschutz-Folgenabschätzung zu Abs. 1 Z 1 siehe Anlage 11) 2. im Internet oder im Rahmen sonst öffentlich zugänglicher Berichte a) bei natürlichen Personen aa) Vornamen, bb) Familiennamen, cc) akademische Titel, dd) Geschlecht, ee) Foto sowie ff) gegebenenfalls die Herkunfts- und Zielinstitution und b) sonst Bezeichnung, Anschrift und Sitz von Empfängerinnen und Empfängern von Art-89-Mitteln, Auftragswerberinnen und -werbern, Projektleiterinnen und -leitern sowie Projektpartnerinnen und -partnern jedenfalls zehn Jahre ab Zuerkennung der beantragten Art-89-Mittel oder Beauftragung, danach bis auf Widerruf, gemeinsam mit dem Titel, der Beschreibung, der Laufzeit und weiteren Angaben zum geförderten Projekt veröffentlichen, es sei denn, die Veröffentlichung ist geeignet, die öffentliche Sicherheit, die Strafrechtspflege, die umfassende Landesverteidigung, die auswärtigen Beziehungen oder berechtigte private oder geschäftliche Interessen zu verletzen, oder (Anm.: Datenschutz-Folgenabschätzung zu Abs. 1 Z 2 siehe Anlage 12) 3. die folgenden Daten von Empfängerinnen und Empfängern von Art-89-Mitteln oder Auftragswerberinnen und -werbern für Zwecke der Kontaktaufnahme jedenfalls für die Dauer von zehn Jahren ab dem in Z 1 lit. a oder b angeführten Zeitpunkt speichern und gegebenenfalls sonst verarbeiten: a) die Namensangaben gemäß Abs. 2 Z 1, b) die Personenmerkmale gemäß Abs. 2 Z 2, c) die Adress- und Kontaktdaten gemäß Abs. 2 Z 5, d) die Angaben gemäß lit. a bis c zu allfälligen Projektpartnerinnen und -partnern, e) soweit verfügbar, Angaben zur Ausbildung gemäß Abs. 2 Z 7, f) soweit verfügbar, Angaben zu aa) erhaltenen Art-89-Mitteln (§ 2b Z 2), insbesondere Angaben zu geförderten Projekten, sowie bb) Mobilitäten gemäß § 10a Abs. 4 OeADG. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 1 Z 3 siehe Anlage 13) (2) Anträge, Anbote und Verträge (Abs. 1 Z 1) dürfen insbesondere folgende Daten umfassen: 1. Namensangaben: a) Vorname(n), Familienname bzw. Bezeichnung, b) Geburtsname, c) akademischer Grad, d) Titel, Ansprache, 2. Personenmerkmale: a) Geburtsdatum, b) Geburtsort, soweit verfügbar, c) Geschlecht, d) Staatsangehörigkeit, 3. Angaben zur Identifikation, wie insbesondere a) Nummer, ausstellende Behörde und Ausstellungsdatum der zur Identifikation verwendeten amtlichen Lichtbildausweise oder b) nationale Personenkennungen in Form bereichsspezifischer Personenkennzeichen, wie insbesondere des Tätigkeitsbereichs „Bildung und Forschung“, oder www.ris.bka.gv.at Seite 13 von 242 Bundesrecht konsolidiert c) interne oder internationale Personenkennungen, 4. soweit verfügbar, Angaben zur Institution der antragstellenden Person(en): a) Bezeichnung, b) Rechtsform, c) elektronische Kennung gemäß § 6 Abs. 3 E-GovG, d) Adress- und Kontaktdaten der Institution gemäß Z 5, e) Kontaktperson mit den Angaben gemäß Z 1 und 5, 5. Adress- und Kontaktdaten: a) Adressdaten, b) Angaben zur elektronischen Erreichbarkeit, 6. Angaben gemäß Z 1, 2, 4 und 5 sowie Abs. 4 Z 3 zu Projektpartnerinnen und -partnern, 7. Angaben zur Ausbildung und wissenschaftlichen Karriere, wie insbesondere a) Beginn, Dauer und Erfolg von absolvierten Ausbildungen, b) besuchte Bildungseinrichtungen, wenn möglich unter Angabe von Studienkennzahl und Studienrichtung, c) Angaben zu Mobilitäten gemäß § 10a OeADG, d) Hauptforschungsbereiche, e) bisherige Publikationen, f) akademische Anerkennungen, g) bisherige Projekte, h) bisherige Kooperationspartnerinnen und -partner, i) bisherige akademische Funktionen und wissenschaftlicher Werdegang, j) andere beantragte und bewilligte Art-89-Mittel (§ 2b Z 2) sowie 8. Fotos aller am Projekt beteiligten natürlichen Personen, 9. sonstige Angaben, wie insbesondere a) zu unterhaltspflichtigen Kindern und Partnerinnen und Partnern, b) zur Bankverbindung, c) zur beruflichen Position, d) Daten (§ 2b Z 5), die für die sachgemäße Abwicklung und Evaluierung von Anträgen, Anboten und Verträgen erforderlich sind sowie e) Daten (§ 2b Z 5) betreffend die Einstellung und Rückforderung von Art-89-Mitteln (§ 2b Z 2). (3) Aus Gründen der öffentlichen Sicherheit, der Strafrechtspflege, der umfassenden Landesverteidigung, der auswärtigen Beziehungen oder berechtigter privater Interessen dürfen Anträge und Anbote über Abs. 2 hinaus auch 1. Gesundheitsdaten und 2. personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten umfassen. (4) Empfängerinnen und Empfängern von Art-89-Mitteln, Beauftragte sowie Art-89-Förder- und Zuwendungsstellen dürfen für Zwecke der Abwicklung, der Dokumentation und Beweissicherung, des Monitorings und der Revision von Art-89-Mitteln (§ 2b Z 2) sowie Beauftragungen über Abs. 2 hinaus insbesondere folgende Daten verarbeiten: 1. Angaben zur näheren Beschreibung des Projekts, wie etwa Titel, Laufzeit, Thema und Klassifikation, 2. Angaben zu allen im Rahmen des Projekts beschäftigten Personen, wie insbesondere a) Arbeitsverträge, b) nähere Angaben zum Arbeitsverhältnis, c) Arbeitszeitaufzeichnungen, d) Abwesenheiten, e) Gehaltsbelege, f) Qualifizierungs- und Karriereschritte sowie g) Angaben zu Reise- und Vortragstätigkeiten sowie www.ris.bka.gv.at Seite 14 von 242 Bundesrecht konsolidiert 3. Angaben zur wirtschaftlichen und unternehmerischen Tätigkeit vor und nach der Auszahlung der gesamten Art-89-Mittel (§ 2b Z 2) oder des gesamten Entgelts, wie insbesondere a) Unternehmensdaten, b) Strukturdaten und c) Leistungsdaten sowie 4. sonstige Kostennachweise. (5) Für die Verarbeitungen gemäß Abs. 1 Z 1 und 2 sowie Abs. 4 sind das Recht auf Löschung gemäß Art. 17 Abs. 3 Buchstabe b DSGVO und das Widerspruchsrecht gemäß Art. 21 Abs. 6 DSGVO ab dem Zeitpunkt der Zuerkennung von Art-89-Mitteln ausgeschlossen. (6) Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1) haben über geplante Verarbeitungen gemäß Abs. 1 öffentlich einsehbar im Internet zu informieren. (7) Die Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1) sind Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO der Verarbeitungen gemäß Abs. 1. Erhöhung der Transparenz bei Verarbeitungen gemäß Art. 89 DSGVO

§ 2h. (1) Wissenschaftliche Einrichtungen (§ 2b Z 12) dürfen 1. wissenschaftliche Mitarbeiterinnen und Mitarbeiter, die sich in einem aufrechten Arbeitsverhältnis zur jeweiligen wissenschaftlichen Einrichtung befinden, namentlich mit Foto und einer Liste ihrer Publikationen a) auf einer Website der wissenschaftlichen Einrichtung oder b) im Rahmen öffentlich zugänglicher Berichte der wissenschaftlichen Einrichtung anführen, es sei denn, die Veröffentlichung ist geeignet, die öffentliche Sicherheit, die Strafrechtspflege, die umfassende Landesverteidigung, die auswärtigen Beziehungen oder ein berechtigtes privates oder geschäftliches Interesse zu verletzen, wobei der Veröffentlichung eines Fotos gemäß lit. a jederzeit widersprochen werden kann, oder 2. wissenschaftliche Mitarbeiterinnen und Mitarbeiter, die sich nicht mehr in einem aufrechten Arbeitsverhältnis zur jeweiligen wissenschaftlichen Einrichtung befinden, sowie Studierende namentlich a) auf einer Website der wissenschaftlichen Einrichtung oder b) im Rahmen öffentlich zugänglicher Berichte der wissenschaftlichen Einrichtung anführen, es sei denn, die Veröffentlichung ist geeignet, die öffentliche Sicherheit, die Strafrechtspflege, die umfassende Landesverteidigung, die auswärtigen Beziehungen oder ein berechtigtes privates oder geschäftliches Interesse zu verletzen, oder 3. über die Daten gemäß § 2g Abs. 1 Z 3 hinaus die folgenden Daten von ehemaligen wissenschaftlichen Mitarbeiterinnen und Mitarbeitern (Z 2) sowie von ehemaligen Studierenden verarbeiten und mit anderen öffentlich zugänglichen Informationen verknüpfen: a) Forschungsschwerpunkte sowie b) Angaben zu Publikationen oder 4. Angaben zu natürlichen Personen, wie insbesondere a) Namenangaben gemäß § 2g Abs. 2 Z 1, b) Personenmerkmale gemäß § 2g Abs. 2 Z 2 sowie c) Angaben zum Lebenslauf von Wissenschaftlerinnen oder Wissenschaftlern sowie ihnen nahestehenden Personen verarbeiten. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 1 siehe Anlage 14) (2) Zum Zwecke der Wahrnehmung der Aufsichtspflicht haben wissenschaftliche Einrichtungen (§ 2b Z 12) sowie Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1), die öffentliche Stellen im Sinne des

§ 2b Z 8 sind, der jeweils zuständigen Bundesministerin oder dem jeweils zuständigen Bundesminister auf Anfrage – auch personenbezogene – Auswertungen zu den zumindest teilweise aus öffentlichen Mitteln finanzierten Art-89-Mitteln zu übermitteln. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 2 siehe Anlage 15) www.ris.bka.gv.at Seite 15 von 242 Bundesrecht konsolidiert Wissens- und Technologietransfer

§ 2i. (1) Ungeachtet allfälliger patentrechtlicher Bestimmungen ist die Verarbeitung, insbesondere im Sinne des § 2d Abs. 8 oder der Übermittlung personenbezogener Daten, für Technologietransfer zulässig, wenn 1. diese Verarbeitung erforderlich ist, um die Funktionalität der zu transferierenden Technologie zu erhalten, und 2. insbesondere durch Technikgestaltung gemäß Art. 25 DSGVO sichergestellt ist, dass Dritte (Art. 4 Nr. 10 DSGVO) keine tatsächliche Kenntnis der übermittelten Daten erlangen. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 1 siehe Anlage 16) (2) Unter den Voraussetzungen des Abs. 1 finden 1. die Pflichten und Rechte gemäß den Art. 12 bis 22 und Art. 34 DSGVO sowie 2. Art. 5 DSGVO, insofern dessen Bestimmungen den in den Art. 12 bis 22 DSGVO vorgesehenen Rechten und Pflichten entsprechen, keine Anwendung auf Technologietransfer. (3) Wissenstransfer ist unter den Voraussetzungen des § 2d Abs. 2 Z 1 zulässig. (4) Werden im Rahmen von Open-Science- und Citizen-Science-Projekten eigene personenbezogene Daten freiwillig zur Verfügung gestellt, ist ihre Verarbeitung für die zu Beginn des Projekts ausdrücklich kommunizierte Art, Umfang und Dauer zulässig. Die Löschung ist nur zulässig, wenn dadurch 1. die Projektziele und 2. die methodischen, insbesondere statistischen, Anforderungen an wissenschaftliches Arbeiten nicht beeinträchtigt werden. (5) Werden im Rahmen von Open-Science- und Citizen-Science-Projekten personenbezogene Daten Dritter (Art. 4 Nr. 10 DSGVO) zur Verfügung gestellt, ist ihre Verarbeitung für die zu Beginn des Projekts ausdrücklich kommunizierte Art, Umfang und Dauer jedenfalls zulässig, wenn 1. die Daten auf Beobachtungen oder Messungen im öffentlichen Raum beruhen oder 2. die Daten im Sinne des Art. 4 Nr. 5 DSGVO pseudonymisiert werden. Die Löschung ist nur unter den Voraussetzungen des Abs. 4 zulässig. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 4 und 5 siehe Anlage 17) Internationalität von Verarbeitungen gemäß Art. 89 DSGVO

§ 2j. Zu den in diesem Abschnitt genannten Zwecken und unter den in diesem Abschnitt genannten Voraussetzungen sind 1. Übermittlungen an a) wissenschaftliche Einrichtungen (§ 2b Z 12), b) Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1), c) Gutachterinnen und Gutachter, d) österreichische öffentliche Stellen (§ 2b Z 8) und 2. Wissens- und Technologietransfer in Mitgliedstaaten der Europäischen Union zulässig. Organisatorische Aspekte und Rechtsschutz

§ 2k. (1) Abweichend von § 5 Abs. 4 DSG müssen die Datenschutzbeauftragten im Ressortbereich des Bundesministeriums für Bildung, Wissenschaft und Forschung – außer in der Zentralstelle – weder dem Bundesministerium noch der jeweiligen nachgeordneten Dienststelle noch einer sonstigen öffentlichen Stelle oder Behörde angehören. (2) Im Anwendungsbereich dieses Bundesgesetzes 1. ist § 30 Abs. 1 und 2 DSG mit der Maßgabe anzuwenden, dass nur Verstöße gegen Bestimmungen der DSGVO, nicht aber gegen § 1 oder Artikel 2 1. Hauptstück des Datenschutzgesetzes zu Geldbußen führen können, 2. erstreckt sich die Straffreiheit gemäß § 30 Abs. 5 DSG nicht nur auf öffentliche Stellen (§ 2b Z 8) und Behörden, sondern – im Rahmen des konkreten Auftrages – jedenfalls auch auf die Auftragsverarbeiter von öffentlichen Stellen (§ 2b Z 8) und Behörden. (3) Die Identifikation von Arbeitnehmerinnen und Arbeitnehmern von wissenschaftlichen Einrichtungen gemäß § 2c Abs. 1 sowie von wissenschaftlichen Einrichtungen, die über eine gültige www.ris.bka.gv.at Seite 16 von 242 Bundesrecht konsolidiert Bestätigung gemäß § 2c Abs. 2 verfügen, darf in den Datenverarbeitungen dieser wissenschaftlichen Einrichtungen mittels bereichsspezifischer Personenkennzeichen erfolgen. Die wissenschaftlichen Einrichtungen dürfen zu diesem Zweck die kostenlose Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen für den Tätigkeitsbereich „Personalverwaltung“ (bPK-PV) von der Stammzahlenregisterbehörde wie Verantwortliche des öffentlichen Bereichs verlangen. (Anm.: Datenschutz-Folgenabschätzung zu Abs. 3 siehe Anlage 18) (4) Soweit keine personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO verarbeitet werden, erfüllen die aufgrund des § 2d Abs. 2, 3, 6, 8 und 9, des § 2e Abs. 2 bis 5, des § 2f Abs. 1 bis 5, des § 2g Abs. 1 bis 4, des § 2h Abs. 1 bis 3, des § 2i Abs. 1, 4 und 5 sowie des Abs. 3 vorgenommenen Datenverarbeitungen die Voraussetzungen des Art. 35 Abs. 10 DSGVO für einen Entfall der Datenschutz-Folgenabschätzung, sodass insbesondere weder die in diesem Abschnitt genannten Art-89- Förder- und Zuwendungsstellen noch öffentlichen Stellen noch wissenschaftlichen Einrichtungen Datenschutz-Folgenabschätzungen durchführen müssen. (5) Das Bundesverwaltungsgericht ist zur Entscheidung über Anträge wegen Rechtswidrigkeit des Verhaltens von Verantwortlichen, die Register gemäß § 2d Abs. 2 Z 3 führen, sowie im Falle von ELGA von der ELGA-Ombudsstelle, in Angelegenheiten gemäß § 2d Abs. 2 Z 3, zuständig. Verwaltungsstrafbestimmung

§ 2l. Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 25 000 Euro zu ahnden ist, wer vorsätzlich 1. eine Bestätigung gemäß § 2c Abs. 2 erschleicht oder 2. der Meldepflicht gemäß § 2c Abs. 4 nicht nachkommt. 3. Abschnitt Berichtswesen Unverzüglicher Bericht an das Bundesministerium für Bildung, Wissenschaft und Forschung

§ 6. Jede Bundesministerin oder jeder Bundesminister, die oder der Mittel für die Errichtung und den Ausbau einer wissenschaftlichen Einrichtung, die ein vom Bund verschiedener Rechtsträger ist, oder zur Durchführung von Einzelforschungsvorhaben zur Verfügung stellt oder nachgeordnete Dienststellen ihres oder seines Ressorts mit der dauernden oder zeitweiligen Durchführung wissenschaftlicher Arbeiten betraut oder für diese Zwecke nachgeordnete Dienststellen einrichtet, hat der Bundesministerin oder dem Bundesminister für Bildung, Wissenschaft und Kultur darüber unverzüglich zu berichten, soweit nicht aus Gründen der Landesverteidigung eine Geheimhaltung geboten ist. Jährlicher Bericht an das Bundesministerium für Bildung, Wissenschaft und Forschung

§ 7. Jede Bundesministerin oder jeder Bundesminister hat vorzusorgen, dass von nachgeordneten Dienststellen ihres oder seines Bereiches, die mit der Durchführung wissenschaftlicher Arbeiten betraut sind, sowie von Rechtsträgern, die im Rahmen ihres oder seines Zuständigkeitsbereiches Mittel zu der Durchführung wissenschaftlicher Arbeiten erhalten, ein jährlicher Bericht vorgelegt wird. Diese Berichte haben die wissenschaftlichen Tätigkeiten und Ergebnisse, die Finanzierung, die Personalsituation, die apparative und räumliche Ausstattung sowie allfällige Bedarfsanalysen, hinsichtlich von vom Bund verschiedenen Rechtsträgern nur, soweit diese Angaben im Zusammenhang mit der vom Bund zur Verfügung gestellten Finanzierung stehen, zu enthalten und sind von der zuständigen Bundesministerin oder vom zuständigen Bundesminister der Bundesministerin oder dem Bundesminister für Bildung, Wissenschaft und Kultur zur Kenntnis zu bringen, soweit nicht aus Gründen der Landesverteidigung eine Geheimhaltung geboten ist. Forschungs- und Technologiebericht

§ 8. (1) Die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung hat im Einvernehmen mit der Bundesministerin oder dem Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie sowie der Bundesministerin oder dem Bundesminister für Digitalisierung und Wirtschaftsstandort dem Nationalrat bis zum 1. Juni eines jeden Jahres einen Lagebericht über die aus Bundesmitteln geförderte Forschung, Technologie und Innovation in Österreich vorzulegen. (2) Die Bundesregierung hat dem Nationalrat in Abständen von drei Jahren bis zum 1. Juni des betroffenen Jahres einen umfassenden Bericht über die Lage und Bedürfnisse von Forschung, Technologie und Innovation in Österreich vorzulegen. www.ris.bka.gv.at Seite 17 von 242 Bundesrecht konsolidiert Forschungsdatenbank

§ 9. Nachstehende Daten dürfen automationsunterstützt ermittelt, verarbeitet und übermittelt sowie veröffentlicht werden: 1. Empfängerinnen oder Empfänger von Forschungsförderungen des Bundes bzw. Auftragnehmerinnen oder Auftragnehmer bei Forschungsaufträgen des Bundes, 2. Bezeichnung und Kurzbeschreibung des Forschungsprojektes bzw. der Förderung, 3. Verantwortliche Projektleiterin oder verantwortlicher Projektleiter, 4. Fristigkeit, 5. Finanzierung durch den Bund, 6. Bezeichnung der Geräte, die innerhalb der Förderung oder des Auftrages angeschafft werden sollen bzw. wurden, 7. Angabe der Stelle, bei der der Abschlussbericht aufliegt, 8. Verwertungen, 4. Abschnitt Forschungsförderungen und -aufträge des Bundes Forschungsförderungen

§ 10. (1) Förderungen im Sinn dieses Bundesgesetzes sind Zuwendungen des Bundes, insbesondere Zuschüsse, Ausgaben für zins- und amortisationsbegünstigte Gelddarlehen sowie Annuitäten-, Zinsen- und Kreditkostenzuschüsse, die der Bund als Träger von Privatrechten (Art. 17 Abs. 1 des Bundes- Verfassungsgesetzes) einem von (Anm.: richtig: vom) Bund verschiedenen Rechtsträger aus Bundesmitteln 1. für eine förderungswürdige, bereits erbrachte oder beabsichtigte Leistung im Bereich der Wissenschaft und Forschung, 2. für eine förderungswürdige, bereits erbrachte oder beabsichtigte Leistung für wissenschaftliche Veranstaltungen, für wissenschaftliche Ausstellungen, für wissenschaftliche Publikationen und für wissenschaftliche Dokumentation und Information, 3. und für eine förderungswürdige, bereits erbrachte oder beabsichtigte Leistung zur Förderung des wissenschaftlichen Nachwuchses gewährt, ohne daß damit unmittelbar dem Bund gegenüber eine angemessene geldwerte Gegenleistung zu erbringen ist. (2) Auf förderungswürdige, bereits erbrachte und beabsichtigte Leistungen von jungen universitären und außeruniversitären Forscherinnen ist besonders Bedacht zu nehmen. Förderung im Sinne der gesamtösterreichischen Forschungs- und Technologiepolitik

§ 11. (1) Bei der Vergabe von Förderungen ist auf die Ziele und Prinzipien der gesamtösterreichischen Forschungs- und Technologiepolitik, insbesondere die Forschungsstrategien des Bundes, Bedacht zu nehmen. Die Gewährung von Förderbeiträgen oder Darlehen kann von Bedingungen abhängig gemacht werden. Bei Forschungsvorhaben von unmittelbarem Nutzen für die Förderungswerberin oder den Förderungswerber hat diese oder dieser einen angemessenen Beitrag zur Deckung der Kosten zu leisten. Die §§ 20 und 21 des Forschungs- und Technologieförderungsgesetzes, BGBl. Nr. 434/1982, zuletzt geändert durch BGBl. I Nr. 73/2004, gelten sinngemäß. (2) Die Bundesregierung hat zu Einzelheiten der Förderung und der Durchführung der Förderungsmaßnahmen Richtlinien zu erlassen. Diese Richtlinien sind dem Rechnungshof zur Kenntnis zu bringen und sodann im „Amtsblatt zur Wiener Zeitung“ zu veröffentlichen. Forschungsaufträge und Aufträge für sonstige wissenschaftliche Untersuchungen

§ 12. Forschungsaufträge und Aufträge für sonstige wissenschaftliche Untersuchungen (Expertengutachten) im Sinne dieses Bundesgesetzes sind nach den Bestimmungen des Privatrechtes zu beurteilende Vereinbarungen des Bundes mit vom Bund verschiedenen Rechtsträgern im Bereich von Wissenschaft und Forschung gegen eine bestimmte oder bestimmbare Gegenleistung gemäß § 13 Abs. 3. Entgelt für Forschungsaufträge

§ 13. (Anm.: Abs. 1 und 2 aufgehoben durch BGBl. I Nr. 74/2004) www.ris.bka.gv.at Seite 18 von 242 Bundesrecht konsolidiert (3) Die Gegenleistung des Bundes für Forschungsaufträge und für Aufträge über sonstige wissenschaftliche Untersuchungen ist auf Grundlage der erforderlichen Kosten zu vereinbaren. Ein darüber hinausgehendes Entgelt kann gewährt werden. Eine Pauschalierung kann vorgenommen werden. (Anm.: Abs. 4 aufgehoben durch BGBl. I Nr. 47/2000) 5. Abschnitt Teilrechtsfähige wissenschaftliche Einrichtungen im Bereich des Bundesministeriums für Bildung, Wissenschaft und Forschung Anzuwendende Bestimmungen

§ 17. Für die der Bundesministerin oder dem Bundesminister für Bildung, Wissenschaft und Forschung unterstehenden wissenschaftlichen Einrichtungen und die Bundesmuseen gelangen neben § 1 die nachstehenden Bestimmungen zur Anwendung. Bundesmuseen

§ 31. (1) Die Bundesmuseen, die nicht unter das Bundesmuseen-Gesetz 2002, BGBl. I Nr. 14/2002 fallen, sind Einrichtungen des Bundes. Sie unterstehen der zuständigen Bundesministerin oder dem zuständigen Bundesminister. (2) Ihre Aufgaben umfassen insbesondere: 1. Sammeln: Planmäßiger Aufbau der bereits bestehenden Sammlungen durch jedes Bundesmuseum auf seinem Fachgebiet, im Bedarfsfall Anlage neuer Sammlungen. 2. Bewahren: Prüfung der Sammlungen nach dem jeweiligen Stand der Wissenschaft auf ihren Erhaltungszustand und Setzung geeigneter Maßnahmen zur Restaurierung und Sicherung. 3. Erschließen: a) Darbietung ausgewählter Objekte der Sammlungen für die Öffentlichkeit durch ständige Schausammlungen sowie fallweise zusätzliche Ausstellungen, b) Bestimmung, Inventarisierung und Katalogisierung der Bestände des jeweiligen Museums, Herausgabe wissenschaftlicher Publikationen sowie die wissenschaftliche Begutachtung auch nicht musealer Bestände unter Ausschluß finanzieller Schätzungsgutachten, c) Forschung im Fachgebiet des betreffenden Museums, d) die Bundesmuseen haben auf Ersuchen museale Einrichtungen anderer Rechtsträger in ihrem Fachgebiet zu beraten. (3) Die Einnahmen aus Entgelten für Leistungen der Bundesmuseen sind, soweit sie nicht im Zusammenhang mit der Aufgabenstellung gemäß Abs. 2 Z 3 lit. a stehen oder nicht unter § 31a fallen, im Sinne des § 17 Abs. 5 des Bundeshaushaltsgesetzes als zweckgebundene Einnahmen zur Abdeckung der dadurch entstehenden Mehrausgaben sowie unter Bedachtnahme auf die Aufgaben des jeweiligen Bundesmuseums für Personalausgaben, für Aufwendungen für Geräte und Einrichtung sowie Betriebsmittel und für sonstige Aufwendungen zu verwenden. (4) Die Bundesmuseen gemäß Abs. 1 können die von ihnen genutzten Räumlichkeiten und Liegenschaften nach Maßgabe der einschlägigen haushaltsrechtlichen Bestimmungen des Bundes auch natürlichen und juristischen Personen außerhalb des Bundes zur Verfügung stellen, soweit sie hiedurch bei der Erfüllung ihrer Aufgaben nicht beeinträchtigt werden. Diesbezügliche Vereinbarungen bedürfen der Genehmigung durch die zuständige Bundesministerin oder den zuständigen Bundesminister. Diese oder dieser kann jedoch im Rahmen der haushaltsrechtlichen Bestimmungen der Leiterin oder dem Leiter eines Bundesmuseums gemäß Abs. 1 das Recht zur Entscheidung ohne Genehmigungsvorbehalt übertragen. Im übrigen ist Abs. 3 anzuwenden. Teilrechtsfähigkeit der Bundesmuseen

§ 31a. (1) Den Bundesmuseen kommt insofern Rechtspersönlichkeit zu, als sie berechtigt sind, 1. durch unentgeltliche Rechtsgeschäfte, gemischte Schenkungen (mit Ausnahme von Förderungen aus Bundesmitteln) oder Sponsorverträge Vermögen und Rechte zu erwerben oder Überschüsse zu erzielen, die in den jährlichen Rechnungsabschlüssen auszuweisen sind, und hievon mit Ausnahme der Veräußerung von Sammlungsobjekten im eigenen Namen zur Erfüllung ihrer Zwecke Gebrauch zu machen; 2. Verträge über die Durchführung von Arbeiten im Auftrag Dritter abzuschließen; www.ris.bka.gv.at Seite 19 von 242 Bundesrecht konsolidiert 3. außerbudgetäre Sonderausstellungen und sonstige Fachveranstaltungen auf der Grundlage vorausschauender Planung und im Einvernehmen mit der zuständigen Bundesministerin oder dem zuständigen Bundesminister durchzuführen; 4. Druckwerke, Ton- und Bildträger, Repliken, Andenkenartikel und ähnliche Gegenstände, die mit der Tätigkeit der Bundesmuseen in unmittelbarem Zusammenhang stehen, herzustellen bzw. zu verlegen und in Bundesmuseen sowie im Rahmen ihrer Ausstellungstätigkeit zu vertreiben. Soweit Rechte des Bundes dadurch berührt sind, ist deren Verwertung für die vorangeführten Zwecke unentgeltlich zu gestatten; 5. mit Genehmigung der zuständigen Bundesministerin oder des zuständigen Bundesministers die Mitgliedschaft zu Vereinen, anderen juristischen Personen und zwischenstaatlichen Organisationen zum Zweck der Förderung von Museumsaufgaben zu erwerben. (1a) Die Übernahme von wissenschaftlichen Arbeiten gemäß Abs. 1 Z 2 ist nur zulässig, wenn dadurch die ordnungsgemäße Erfüllung der Aufgaben des jeweiligen Bundesmuseums nicht beeinträchtigt wird. Ein schriftlicher Vertrag ist auszufertigen, der insbesondere den Ersatz der Kosten vorzusehen hat. Die Vereinbarung eines darüber hinausgehenden Entgeltes ist zulässig. Die Verträge sind vom Leiter oder der Leiterin des jeweiligen Bundesmuseums zu unterfertigen. Wenn die zu vereinbarende Tätigkeit voraussichtlich länger als ein Jahr dauern wird oder das zu vereinbarende Gesamtentgelt eines derartigen Vertrages 400 000 € übersteigt, bedarf der Vertragsabschluss der vorherigen Genehmigung der zuständigen Bundesministerin oder des zuständigen Bundesministers. Über die Erteilung dieser Genehmigung ist innerhalb eines Monats zu entscheiden. Erfolgt binnen eines Monats keine diesbezügliche Entscheidung der zuständigen Bundesministerin oder des zuständigen Bundesministers, gilt die Genehmigung als erteilt. Wenn es sich voraussichtlich um laufende, gleiche Arbeiten handelt und die zuständige Bundesministerin oder der zuständige Bundesminister die Leiterin oder den Leiter zum Abschluss solcher Verträge generell ermächtigt, entfällt die Vorlage des Vertragsentwurfs im Einzelfall. (1b) Die für die Durchführung von Arbeiten gemäß Abs. 1 sowie die für die Inanspruchnahme der Ressourcen des jeweiligen Bundesmuseums zu entrichtenden Kostenersätze sind im Sinne des § 36 BHG 2013 zweckgebunden für die Nutzung von Personal, Räumen, Geräten und Dienstleistungen des Bundesmuseums zu verwenden. (2) Auf Dienstverträge, die im Rahmen des Abs. 1 abgeschlossen werden, ist das privatrechtlich jeweils erforderliche Gesetz, beispielsweise das Angestelltengesetz, anzuwenden. (3) Ein Bundesmuseum wird im Rahmen seiner Tätigkeit nach Abs. 1 durch die Leiterin oder den Leiter oder nach Maßgabe der Museumsordnung durch deren oder dessen Stellvertreterin oder Stellvertreter nach außen vertreten. Über grundsätzliche und längerfristige Entscheidungen des jeweiligen Bundesmuseums, insofern ihm Rechtspersönlichkeit zukommt, sind die zuständigen Organe des Dienststellenausschusses durch die Leiterin oder den Leiter, durch deren oder dessen Stellvertreterin oder Stellvertreter, zu informieren. (4) Für Verbindlichkeiten, die aus Rechtsgeschäften gemäß Abs. 1 entstehen, trifft den Bund keine Haftung. (5) Soweit die Bundesmuseen im Rahmen des Abs. 1 tätig werden, haben sie nach den Grundsätzen eines ordentlichen Kaufmanns zu gebaren. Sie haben der zuständigen Bundesministerin oder dem zuständigen Bundesminister jährlich einen Gebarungsvorschlag sowie einen Rechnungsabschluss vorzulegen und jederzeit Einsicht in die Gebarungsunterlagen zu gewähren. Die Geschäftsabwicklung, die Buchführung sowie die sonstige Vermögens-, Personal- und Inventarverwaltung im Rahmen des Abs. 1 können die betreffenden Bundesmuseen selbst besorgen oder durch Dritte besorgen lassen; gegen Entgelt können auch Einrichtungen des Bundes damit beauftragt werden. (6) Soweit Bundesmuseen im Rahmen des Abs. 1 dem Bund Geldmittel zur Einstellung von Bundesbediensteten gemäß Vertragsbedienstetengesetz 1948, BGBl. Nr 86, zur Verfügung stellen, sind diese Geldmittel im Sinne des § 17 Abs. 5 des Bundeshaushaltsgesetzes zweckgebunden für die Personalkosten dieser Bundesbediensteten zu verwenden. (7) Die Tätigkeit der Bundesmuseen gemäß Abs. 1 wird frei von Weisungen der zuständigen Bundesministerin oder des zuständigen Bundesministers ausgeübt. (8) Die Tätigkeit der Bundesmuseen gemäß Abs. 1 unterliegt nach Maßgabe der folgenden Bestimmungen bei Besorgung ihrer Angelegenheiten der Aufsicht der zuständigen Bundesministerin oder des zuständigen Bundesministers sowie der Kontrolle des Rechnungshofes. Die Aufsicht erstreckt sich auf 1. die Einhaltung der Gesetze und Verordnungen sowie 2. die Erfüllung der dem jeweiligen Bundesmuseum obliegenden Aufgaben. www.ris.bka.gv.at Seite 20 von 242 Bundesrecht konsolidiert (9) Die zuständige Bundesministerin oder der zuständige Bundesminister ist berechtigt, sich über alle Angelegenheiten des jeweiligen Bundesmuseums zu informieren. Das jeweilige Bundesmuseum ist verpflichtet, der zuständigen Bundesministerin oder dem zuständigen Bundesminister Auskünfte über alle Angelegenheiten des jeweiligen Bundesmuseums zu erteilen, Geschäftsstücke und Unterlagen über die von ihr oder ihm bezeichneten Gegenstände vorzulegen, von ihr oder ihm angeordnete Erhebungen anzustellen und Überprüfungen an Ort und Stelle vornehmen zu lassen. (10) Die zuständige Bundesministerin oder der zuständige Bundesminister hat im Rahmen ihres oder seines Aufsichtsrechts den ihrem oder seinem Genehmigungsvorbehalt oder Untersagungsrecht unterliegenden Entscheidungen die Genehmigung zu verweigern oder die Durchführung von in Aussicht genommenen Maßnahmen zu untersagen, wenn die betreffende Entscheidung 1. von einem unzuständigen Organ herrührt oder 2. unter Außerachtlassung von Verfahrensvorschriften zustande gekommen ist, bei deren Einhaltung das Organ zu einer anderen Entscheidung hätte kommen können oder 3. im Widerspruch zu geltenden Gesetzen und Verordnungen steht, insbesondere auch wegen einer damit erfolgten Diskriminierung auf Grund des Geschlechts oder 4. wegen der finanziellen Auswirkungen nicht durchführbar ist oder 5. wegen der organisatorischen Auswirkungen das jeweilige Bundesmuseum oder einzelne Bereiche an der Erfüllung seiner Aufgaben hindert. (11) Das jeweilige Bundesmuseum ist im Fall des Abs. 10 verpflichtet, den der Rechtsanschauung der zuständigen Bundesministerin oder des zuständigen Bundesministers entsprechenden Rechtszustand mit den ihm rechtlich zu Gebote stehenden Mitteln bei sonstiger Ersatzvornahme durch die zuständige Bundesministerin oder den zuständigen Bundesminister unverzüglich herzustellen. Museumsordnungen

§ 32. (1) Für jedes Bundesmuseum ist von der zuständigen Bundesministerin oder vom zuständigen Bundesminister eine Museumsordnung zu erlassen. (2) Die Museumsordnung hat insbesondere nähere Bestimmungen zu enthalten über: 1. die organisatorische Gliederung des Museums, 2. die nähere Regelung für den Dienstbetrieb sowie für die Inanspruchnahme der Leistungen der Anstalt, 3. die Erstellung von Arbeitsprogrammen und Tätigkeitsberichten, 4. die Zusammenarbeit des Museums mit anderen Bundesdienststellen und mit fachverwandten Einrichtungen. Bibliotheken der wissenschaftlichen Einrichtungen im Bereich des Bundesministeriums für Bildung, Wissenschaft und Forschung sowie der Bundesmuseen

§ 33. (1) Die Bibliotheken der Einrichtungen gemäß §§ 17 bis 32 haben bei Wahrnehmung ihrer Aufgaben auf die Koordination und Zusammenarbeit mit anderen Bibliotheken unter Berücksichtigung der Bedürfnisse der Wissenschaft und Forschung sowie der Öffentlichkeit zu achten. (2) Für die in Abs. 1 genannten Bibliotheken ist von der Bundesministerin oder dem Bundesminister für Bildung, Wissenschaft und Forschung nach Anhörung der eine Bibliotheksordnung und von der Leiterin oder dem Leiter der Bibliothek eine Benützungsordnung zu erlassen. (3) Die Bibliotheksordnung hat insbesondere nähere Bestimmungen über folgende Angelegenheiten zu enthalten: a) Richtlinien für die Benützung einschließlich der Einrichtung wissenschaftlicher Handapparate, b) Die Ordnung und Sicherheit in der Bibliothek und ihre Sicherstellung durch Androhung beziehungsweise Verhängung von angemessenen Benützungsbeschränkungen beziehungsweise Benützungsverboten unter Begutachtung des Grundsatzes der Verhältnismäßigkeit der Mittel, c) Die Sicherstellung des Inventars und der Bestände der Bibliothek und die Leistung von Entschädigungen im Falle der Beschädigung, des Verlustes oder der Zerstörung durch den Benützer sowie der verspäteten Rückstellung entlehnter Werke, d) Richtlinien über Öffnungszeiten der Universitätsbibliothek. www.ris.bka.gv.at Seite 21 von 242 Bundesrecht konsolidiert 6. Abschnitt Sonstige wissenschaftliche Einrichtungen mit eigener Rechtspersönlichkeit Förderungsbeiträge

§ 36. (1) Insbesondere können nach den Bestimmungen dieses Bundesgesetzes 1. Dachorganisationen, innerhalb derer rechtlich selbständige wissenschaftliche Institutionen zusammengeschlossen sind, 2. Institutionen, die durch den Betrieb rechtlich unselbständiger Forschungseinrichtungen für die österreichische Wissenschaft und Wirtschaft, vor allem für kleine und mittlere Unternehmen, wesentliche Forschungsgebiete behandeln, 3. Einrichtungen privatrechtlicher Natur, an denen der Bund oder andere Gebietskörperschaften beteiligt sind, Förderungsbeiträge gemäß Abs. 2 gewährt werden. (2) Förderungsbeiträge gemäß Abs. 1 können insbesondere gewährt werden: 1. zur Verbreitung wissenschaftlicher Erkenntnisse, 2. für die Förderung der Zusammenarbeit und des Erfahrungsaustausches zwischen Forscherinnen und Forschern, 3. für die Abhaltung und Unterstützung wissenschaftlicher Tagungen, 4. für internationale wissenschaftliche Zusammenarbeit, 5. für die Durchführung von Forschungen und Studien, 6. für die Förderung des wissenschaftlichen Nachwuchses, 7. für die Unterstützung wissenschaftlicher Zeitschriften und anderer Veröffentlichungen, 8. für den Betrieb wissenschaftlicher Hilfsdienste. 7. Abschnitt Schlussbestimmungen Übergang des Vermögens des Österreichischen Bundesinstituts für den wissenschaftlichen Film

§ 37. Das vom Österreichischen Bundesinstitut für den wissenschaftlichen Film in der Teilrechtsfähigkeit erworbene Vermögen wird der Universitätsbibliothek Wien übertragen. Die Universitätsbibliothek Wien haftet jedoch nur bis zur Höhe des übernommenen Vermögens anteilsmäßig für noch offene, in Geld zu entrichtende Verbindlichkeiten des aufgelösten Instituts. Gesamtrechtsnachfolge des Österreichischen Archäologischen Instituts

§ 37a. (1) Die Österreichische Akademie der Wissenschaften gemäß dem Bundesgesetz betreffend die Akademie der Wissenschaften in Wien, BGBl. Nr. 569/1921, wird mit 1. Jänner 2016 (Stichtag) Gesamtrechtsnachfolgerin des Österreichischen Archäologischen Instituts gemäß § 24 in der Fassung des Bundesgesetzes BGBl. I Nr. 74/2004. (2) Beamtinnen und Beamte sowie Vertragsbedienstete des Bundes, die am Tag vor dem Stichtag gemäß Abs. 1 überwiegend am Österreichischen Archäologischen Institut verwendet werden, sind dem Österreichischen Archäologischen Institut der Österreichischen Akademie der Wissenschaften ab dem Stichtag gemäß Abs. 1 zur dauernden Dienstleistung zugewiesen. (3) Angestellte, die am Tag vor dem Stichtag gemäß Abs. 1 in einem Arbeitsverhältnis zum Österreichischen Archäologischen Institut als teilrechtsfähiger Einrichtung nach den Bestimmungen dieses Bundesgesetzes stehen, werden mit dem Stichtag gemäß Abs. 1 Arbeitnehmerinnen oder Arbeitnehmer der Österreichischen Akademie der Wissenschaften. Ab diesem Zeitpunkt setzt die Österreichische Akademie der Wissenschaften als Arbeitgeberin die Rechte und Pflichten des Österreichischen Archäologischen Instituts fort. Ein im Rahmen der Teilrechtsfähigkeit befristet abgeschlossenes Arbeitsverhältnis endet mit Zeitablauf. (4) Hinsichtlich der Rechtsstellung der Lehrlinge des Bundes, die am Tag vor dem Stichtag gemäß Abs. 1 am Österreichischen Archäologischen Institut in einem Ausbildungsverhältnis gemäß Berufsausbildungsgesetz, BGBl. Nr. 142/1969, stehen, tritt nach dem Stichtag gemäß Abs. 1 keine Änderung ein. Die Österreichische Akademie der Wissenschaften tritt in die Ausbildungsverpflichtung des Bundes ein. www.ris.bka.gv.at Seite 22 von 242 Bundesrecht konsolidiert (5) Hinsichtlich der Rechtsstellung der Verwaltungspraktikantinnen und -praktikanten des Bundes, die am Tag vor dem Stichtag gemäß Abs. 1 am Österreichischen Archäologischen Institut in einem Ausbildungsverhältnis gemäß § 36a des Vertragsbedienstetengesetzes 1948, BGBl. Nr. 86/1948, stehen, tritt nach dem Stichtag gemäß Abs. 1 keine Änderung ein. Die Österreichische Akademie der Wissenschaften tritt in die Ausbildungsverpflichtung des Bundes ein. (6) Die Mietrechte an den vom Bund für die Zwecke des Österreichischen Archäologischen Instituts oder von dem Österreichischen Archäologischen Institut als teilrechtsfähiger Einrichtung nach den Bestimmungen dieses Bundesgesetzes angemieteten Liegenschaften, Bauwerken und Räumlichkeiten gehen mit Ablauf des 31. Dezember 2015 unter Ausschluss der Rechtsfolgen der §§ 12a und 46a des Mietrechtsgesetzes im Wege der Gesamtrechtsnachfolge auf die Österreichische Akademie der Wissenschaften über. (7) Zum Stichtag gemäß Abs. 1 tritt die Österreichische Akademie der Wissenschaften als Verpächterin oder Leihgeberin an Stelle des Bundes in die bestehenden Pacht- und Leihverträge ein. (8) Das Eigentumsrecht an dem beweglichen Vermögen des Bundes, das am Tag vor dem Stichtag gemäß Abs. 1 dem Österreichischen Archäologischen Institut zur Nutzung überlassen ist, geht einschließlich aller zugehörenden Rechte und Rechtsverhältnisse mit dem Stichtag gemäß Abs. 1 im Wege der Gesamtrechtsnachfolge auf die Österreichische Akademie der Wissenschaften über. (9) Die zum Stichtag gemäß Abs. 1 bestehenden Eigentumsrechte am beweglichen und unbeweglichen Vermögen des Österreichischen Archäologischen Instituts als teilrechtsfähiger Einrichtung nach den Bestimmungen dieses Bundesgesetzes gehen, einschließlich aller zugehörigen Rechte und Rechtsverhältnisse, mit dem Stichtag gemäß Abs. 1 auf die Österreichische Akademie der Wissenschaften im Wege der Gesamtrechtsnachfolge über. Die Österreichische Akademie der Wissenschaften hat dafür zu sorgen, dass bestehenden Auflagen, Bedingungen und Widmungen bestmöglich entsprochen wird. (10) Die Österreichische Akademie der Wissenschaften hat die gemäß Abs. 1 übertragene Bibliothek des Österreichischen Archäologischen Instituts in ihrem Bestand fortzuführen. (11) Zivilrechtliche Vertragsverhältnisse zwischen der Österreichischen Akademie der Wissenschaften und dem Österreichischen Archäologischen Institut gemäß § 24 erlöschen mit Ablauf des 31. Dezember 2015. Gesamtrechtsnachfolge des Instituts für Österreichische Geschichtsforschung

§ 37b. (1) Die Universität Wien gemäß § 6 Abs. 1 Z 1 des Universitätsgesetzes 2002 – UG, BGBl. I Nr. 120/2002, wird mit 1. Jänner 2016 (Stichtag) Gesamtrechtsnachfolgerin des Instituts für Österreichische Geschichtsforschung gemäß § 26. Die §§ 137 bis 140 UG sind mit der Maßgabe anzuwenden, dass die Universität Wien als „nutzende Universität“ im Sinne dieser Bestimmungen gilt. (2) Beamtinnen und Beamte, die am Tag vor dem Stichtag gemäß Abs. 1 am Institut für Österreichische Geschichtsforschung im Personalplan des Bundes, Personalstellenverzeichnis 1a, Untergliederung 31:Wissenschaft und Forschung, ernannt und dem Institut für Österreichische Geschichtsforschung überwiegend zugeordnet sind, gehören ab dem Stichtag gemäß Abs. 1 für die Dauer ihres Dienststandes dem Amt der Universität Wien an und sind der Universität Wien zur dauernden Dienstleistung am Institut für Österreichische Geschichtsforschung zugewiesen, solange sie nicht zu einer anderen Bundesdienststelle versetzt werden. Im Übrigen ist § 125 UG sinngemäß anzuwenden. (3) Vertragsbedienstete des Bundes, die am Tag vor dem Stichtag gemäß Abs. 1 am Institut für Österreichische Geschichtsforschung zu Lasten einer Planstelle im Personalplan des Bundes, Personalstellenverzeichnis 1a, Untergliederung 31:Wissenschaft und Forschung in einem vertraglichen Dienstverhältnis stehen, werden mit dem Stichtag gemäß Abs. 1 Arbeitnehmerinnen und Arbeitnehmer der Universität Wien. Im Übrigen sind die §§ 126, 129 und 130 UG sinngemäß anzuwenden. (4) Angestellte, die am Tag vor dem Stichtag gemäß Abs. 1 in einem Arbeitsverhältnis zum Institut für Österreichische Geschichtsforschung als teilrechtsfähiger Einrichtung nach den Bestimmungen dieses Bundesgesetzes stehen, werden mit dem Stichtag gemäß Abs. 1 Arbeitnehmerinnen oder Arbeitnehmer der Universität Wien. Ab diesem Zeitpunkt setzt die Universität Wien als Arbeitgeberin die Rechte und Pflichten des Instituts für Österreichische Geschichtsforschung als teilrechtsfähige Einrichtung fort. Im Rahmen der Teilrechtsfähigkeit befristet abgeschlossene Arbeitsverhältnisse enden mit Zeitablauf. (5) Hinsichtlich der Rechtsstellung der Lehrlinge des Bundes, die am Tag vor dem Stichtag gemäß Abs. 1 am Institut für Österreichische Geschichtsforschung in einem Ausbildungsverhältnis stehen, tritt nach dem Stichtag gemäß Abs. 1 keine Änderung ein. Die Universität Wien tritt in die Ausbildungsverpflichtung des Bundes ein. www.ris.bka.gv.at Seite 23 von 242 Bundesrecht konsolidiert (6) Hinsichtlich der Rechtsstellung der Verwaltungspraktikantinnen und -praktikanten des Bundes, die am Tag vor dem Stichtag gemäß Abs. 1 am Institut für Österreichische Geschichtsforschung in einem Ausbildungsverhältnis stehen, tritt nach dem Stichtag gemäß Abs. 1 keine Änderung ein. Die Universität Wien tritt in die Ausbildungsverpflichtung des Bundes ein. (7) Die oder der am 31. Dezember 2015 amtierende Leiterin oder Leiter des Instituts für Österreichische Geschichtsforschung übt ab dem Stichtag gemäß Abs. 1 für die restliche Dauer ihrer oder seiner Bestellung die Funktion der Leiterin oder des Leiters des Instituts für Österreichische Geschichtsforschung gemäß § 40a Abs. 3 UG aus. (8) Abweichend von Abs. 1 verbleibt der am 31. Dezember 2015 vorhandene Bestand der Bibliothek und der Sammlungen des Instituts für Österreichische Geschichtsforschung im Eigentum des Bundes. (9) Zivilrechtliche Vertragsverhältnisse zwischen der Universität Wien und dem Institut für Österreichische Geschichtsforschung gemäß § 26 erlöschen mit Ablauf des 31. Dezember 2015. Dies gilt auch für die Vereinbarung zwischen der Universität Wien, dem Institut für Österreichische Geschichtsforschung und dem Bundesminister für Wissenschaft und Forschung vom 24. Februar 2011 über die Sicherung der bestehenden Zusammenarbeit zwischen der Universität Wien und dem Institut für Österreichische Geschichtsforschung. Inkraft- und Außerkrafttreten

§ 38. (1) § 30a und § 37 in der Fassung des Bundesgesetzes BGBl. I Nr. 49/1997 treten mit 1. Februar 1997 in Kraft. (2) § 1 Abs. 1 Z 7, § 1 Abs. 2 Z 4, die §§ 8, 10, 13, 18 und 18a, § 22 Abs. 1, § 22 Abs. 2 Z 9, § 22 Abs. 6, § 23, § 26 Abs. 2 und § 38 in der Fassung des Bundesgesetzes BGBl. I Nr. 47/2000 treten mit 1. Juli 2000 in Kraft und die §§ 2, 3, § 13 Abs. 4, § 14 und § 21 Abs. 2 mit 1. Juli 2000 außer Kraft. (3) § 15 Abs. 2 fünfter Satz in der Fassung des Bundesgesetzes BGBl. I Nr. 136/2001 tritt mit 1. Jänner 2002 in Kraft. (4) § 30a tritt mit Ablauf des 31. Dezember 2000 außer Kraft. (4a) Die Überschrift „Österreichische Nationalbibliothek“, die §§ 28, 29 und 30 in der Fassung des BGBl. I Nr. 14/2002 treten mit Ablauf des 31. Dezember 2001 außer Kraft. (5) Mit Ablauf des 31. Dezember 2015 treten 1. § 24 samt Überschrift und § 25 sowie 2. die Verordnung des Bundesministers für Wissenschaft und Forschung über die Organisationsstruktur des Österreichischen Archäologischen Instituts, BGBl. II Nr. 38/2008, außer Kraft. (6) Mit Ablauf des 31. Dezember 2015 treten 1. § 26 samt Überschrift und § 27, 2. die Verordnung des Bundesministers für Wissenschaft und Forschung über den Lehrgang des Instituts für Österreichische Geschichtsforschung in Wien, BGBl. Nr. 559/1993, sowie 3. die Verordnung des Bundesministers für Wissenschaft und Forschung über die Organisationsstruktur des Instituts für Österreichische Geschichtsforschung, BGBl. II Nr. 298/2009, außer Kraft. (7) Die Artikelbezeichnung „ARTIKEL I“ sowie die Art. II und III, soweit sie noch gelten, treten mit Ablauf des 24. Mai 2018 außer Kraft. (8) Der 2. Abschnitt samt Überschrift, die §§ 38a und 38b sowie § 39 Z 5 in der Fassung des Datenschutz-Anpassungsgesetzes 2018 – Wissenschaft und Forschung, BGBl. I Nr. 31/2018, treten mit 25. Mai 2018 in Kraft. (9) § 2c Abs. 2, 4 und 7, § 2d Abs. 2 Z 2 lit. c, § 2f Abs. 7, § 2e Abs. 3 Z 2 und Abs. 4, die Überschrift zu § 2g, § 2g Abs. 1, 4, 6 und 7, § 2h Abs. 2, § 2k Abs. 4, § 8 Abs. 1, § 38 Abs. 8 und § 39 Z 1 und 2 in der Fassung der Forschungsfinanzierungsnovelle 2020, BGBl. I Nr. 75/2020, treten mit 1. Jänner 2021 in Kraft. (10) § 2c Abs. 1 Z 14 bis 18 § 2d Abs. 1 Z 1, Z 5 lit. b, k und l, Z 6 und 6a, Abs. 2 Z 1 lit. a und lit. c, Z 3 und § 38b in der Fassung des Bundesgesetzes BGBl. I Nr. 205/2021, treten mit 1. Jänner 2022 in Kraft. www.ris.bka.gv.at Seite 24 von 242 Bundesrecht konsolidiert (10a) § 2a Z 21 und § 2b Z 8 in der Fassung des Bundesgesetzes BGBl. I Nr. 116/2022 treten mit Ablauf des Tages der Kundmachung in Kraft. (11) Das Inhaltsverzeichnis, § 2a Z 14a, § 2b Z 2 lit. a, § 31a Abs. 1 Z 2, Abs. 1a, 1b und Abs. 8 bis 11 sowie die Absatzbezeichnung des § 38 Abs. 4a in der Fassung des GeoSphere Austria- Errichtungsgesetzes, BGBl. I Nr. 60/2022, treten mit 1. Jänner 2023 in Kraft. Gleichzeitig treten die Einträge zu den §§ 18 bis 23 im Inhaltsverzeichnis, § 2c Abs. 1 Z 15 sowie die §§ 18 bis 23 samt Überschriften mit Ablauf des 31. Dezember 2022 außer Kraft. (12) § 2a Z 13a in der Fassung des FWIT-Rat-Errichtungsgesetzes, BGBl. I Nr. 52/2023, tritt mit Ablauf des Tages der Kundmachung dieses Bundesgesetzes im Bundesgesetzblatt in Kraft. Übergangsbestimmungen

§ 38a. (1) Der Bericht gemäß § 2d Abs. 1 Z 7 ist erstmals am 1. Juni 2023 dem Datenschutzrat (§ 14 DSG) vorzulegen. (2) Die Rechte gemäß § 2d Abs. 2 Z 2 und 3 dürfen nicht vor Ablauf des 31. Dezember 2018 geltend gemacht werden. (3) Für Projekte gemäß § 2i Abs. 4 und 5 die vor dem Zeitpunkt des Inkrafttretens des Datenschutz- Anpassungsgesetzes 2018 – Wissenschaft und Forschung, BGBl. I Nr. 31/2018, begonnen wurden, gelten die Rechtsfolgen des § 2i Abs. 4 und 5, wenn Art, Umfang und Dauer innerhalb von vier Wochen nach Inkrafttretens des Datenschutz-Anpassungsgesetzes 2018 – Wissenschaft und Forschung, BGBl. I Nr. 31/2018, ausdrücklich kommuniziert werden. (4) Verarbeitungen gemäß § 2j sind bis zur Publikation von Standarddatenschutzklauseln gemäß Art. 46 Abs. 2 Buchstaben c und d DSGVO auch in Bezug auf Drittstaaten zulässig. (5) Verarbeitungen gemäß § 9 sind in dem Umfang der erfolgten Meldung gemäß § 17 des Datenschutzgesetzes 2000, BGBl. I Nr. 165/1999, in der Fassung der DSG-Novelle 2014, BGBl. I Nr. 83/2013 weiterhin zulässig. (6) Zum Zeitpunkt des Inkrafttretens des Datenschutz-Anpassungsgesetzes 2018 – Wissenschaft und Forschung, BGBl. I Nr. 31/2018, bei der Datenschutzbehörde oder bei den ordentlichen Gerichten zum Datenschutzgesetz anhängige Strafverfahren sind nur fortzuführen, wenn eine Strafbarkeit auch nach dem Datenschutz-Anpassungsgesetz 2018 – Wissenschaft und Forschung, BGBl. I Nr. 31/2018, besteht. Verordnungsermächtigungen

§ 38b. (1) Die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung hat mit Verordnung 1. jene Register anzuführen, aus denen die Gewährung des Zugangs zu Daten (§ 2b Z 5) gemäß

§ 2d Abs. 2 Z 3 den Zielsetzungen des Art. 23 Abs. 1 DSGVO nicht zuwiderläuft sowie 2. die für die Gewährung des Zugangs zu Daten (§ 2b Z 5) gemäß § 2d Abs. 2 Z 3 zu ersetzenden Kosten näher zu regeln.“ (2) Verordnungen gemäß Abs. 1 sind, 1. wenn die Register (Abs. 1 Z 1) von Verantwortlichen (§ 2d Abs. 2 Z 3) geführt werden, die verfassungsgesetzlich weisungsfrei gestellt sind, im Einvernehmen mit diesen, 2. in allen anderen Fällen im Einvernehmen mit der jeweils zuständigen Bundesministerin oder dem jeweils zuständigen Bundesminister zu erlassen. Vollziehung

§ 39. Mit der Vollziehung ist 1. hinsichtlich des § 2c Abs. 2 bis 7 die Bundesministerin oder der Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie, 2. hinsichtlich des § 8 Abs. 1 die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung im Einvernehmen mit der Bundesministerin oder dem Bundesminister für Digitalisierung und Wirtschaftsstandort sowie der Bundesministerin oder dem Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie, 3. hinsichtlich des § 8 Abs. 2, § 11 Abs. 2 sowie des § 13 Abs. 2 die Bundesregierung, 4. hinsichtlich des 5. Abschnittes die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung, www.ris.bka.gv.at Seite 25 von 242 Bundesrecht konsolidiert 5. hinsichtlich des § 38b die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung im Einvernehmen mit der jeweils zuständigen Bundesministerin oder dem jeweils zuständigen Bundesminister sowie 6. hinsichtlich der übrigen Bestimmungen die zuständige Bundesministerin oder der zuständige Bundesminister betraut. www.ris.bka.gv.at Seite 26 von 242 Bundesrecht konsolidiert Anhang 4: Datenschutz-Folgenabschätzung zu § 2d Abs. 2 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 27 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 13

Anhang 4: Datenschutz-Folgenabschätzung zu § 2d Abs. 2 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die allgemeine Klausel zur Verarbeitung von Daten (§ 2b Z 5 des Forschungsorganisationsgesetzes [FOG], BGBl. Nr. 341/1981) für Zwecke des § 1 FOG in pseudonymisierter Form (§ 2d Abs. 2 FOG). Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und auch besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO unter die Verarbeitung fallen können. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Gemäß § 2d Abs. 2 des Forschungsorganisationsgesetzes (FOG), BGBl. (EG 90 DSGVO) Nr. 341/1981, dürfen Verantwortliche sämtliche personenbezogene Daten verarbeiten, wenn die Daten (§ 2b Z 5 FOG) nur indirekt (EG 26 bzw. Art. 4 Nr. 1 DSGVO) personenbezogen verarbeitet werden oder das Ergebnis der Verarbeitung nur indirekt personenbezogen ist. Mangels eindeutiger Anordnung zur Art der Verarbeitung darf diese sowohl in Papierform als auch in automationsunterstützter Form erfolgen. Besondere Formen, die aufgrund ihres Spannungsverhältnisses zu Bestimmungen der DSGVO, wie insbesondere Art. 5 DSGVO, einer gesetzlichen Regelung bedürften, wie etwa Big Data, sind nicht vorgesehen und damit nicht zulässig. Umfang der Verarbeitung: Die von § 2d Abs. 2 FOG gedeckten Verarbeitungen umfassen Daten (EG 90 DSGVO) im Sinne des § 2b Z 5 FOG. Da die in Anspruch genommene Öffnungsklausel Art. 9 Abs. 2 Buchstabe j DSGVO ist, ist nicht nur die Verarbeitung personenbezogener Daten, sondern sogar die Verarbeitung sensibler Daten umfasst. Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht. Der vorgeschlagene § 2d Abs. 2 FOG umfasst: – in Z 1 eine Generalklausel für sämtliche Verarbeitungen, die in pseudonymisierter Form erfolgen oder nur indirekt personenbezogene Daten zum Ergebnis haben; – in Z 2 ein Recht auf Ausstattung bestehender (direkt personenbezogener Daten) mit bereichsspezifischen Personenkennzeichen (E-GovG) für den Tätigkeitsbereich „Forschung“ (bPK-FO) sowie von verschlüsselten bPK; – in Z 3 ein Recht auf Bereitstellung indirekt personenbezogener Daten aus Registern, die von öffentlichen Stellen (§ 2b Z 8 FOG) und Behörden geführt werden. Kontext der Verarbeitung: Die Verarbeitung erfolgt im Kontext des Art. 89 DSGVO. Mit dem (Art-29-Datenschutzgruppe, WP 248, 21) vorgeschlagenen § 2b Abs. 2 Z 1 FOG soll Rechtssicherheit geschaffen werden, falls moderne Technologien, wie etwa Big Data (§ 2 Z 2 FOG) von wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) für Zwecke des Art. 89 DSGVO eingesetzt werden sollen. Voraussetzung für die Zulässigkeit dieses Einsatzes, ist lediglich, dass keine direkt personenbezogenen Daten als Ergebnis offengelegt werden. Mit dem vorgeschlagenen § 2b Abs. 2 Z 2 FOG soll eine Rechtsgrundlage für die Ausstattung von Daten (§ 2b Z 5 FOG) www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 13 wissenschaftlicher Einrichtungen (§ 2b Z 11 FOG), die auch Verantwortliche des privaten Bereichs (§ 26 Abs. 4 DSG) sein können, geschaffen werden. Es wird somit das bPK-System auch auf den Bereich „Wissenschaft und Bildung“ ausgedehnt, womit sowohl die Einhaltung der wissenschaftlichen Qualität als auch des datenschutzrechtlichen Richtigkeitsgrundsatzes (Art. 5 Abs. 1 Buchstabe d DSGVO) vereinfacht werden soll. Durch § 2b Abs. 2 Z 3 FOG soll die registerbasierte Forschung, die in Erwägungsgrund 157 von der Datenschutz-Grundverordnung ausdrücklich angeführt wird, auch innerstaatlich auf eine gesicherte Rechtsgrundlage gestellt werden. Die vorgeschlagene Bestimmung orientiert sich an § 10 des Bundesstatistikgesetzes 2000, BGBl. I Nr. 163/1999, wonach Stellen, die öffentliche Register (§ 3 Z 18 des Bundesstatistikgesetzes 2000) führen, sowie die Inhaber von Verwaltungsdaten und Statistikdaten verpflichtet sind der Bundesanstalt „Statistik Österreich“ die erforderlichen Daten zu übermitteln. Zweck der Verarbeitung: Die Verarbeitung der Daten erfolgt zur Gewinnung, Erweiterung und (Art. 35 Abs. 7 Buchstabe a DSGVO) Vertiefung wissenschaftlicher Erkenntnis (§ 1 FOG). Empfängerinnen und Hinsichtlich des § 2d Abs. 2 Z 1 FOG soll iSd § 1 FOG die gesamte Empfänger: Gesellschaft Empfängerin und Empfänger der gewonnen, erweiterten (Art-29-Datenschutzgruppe, WP 248, 21) oder vertieften Erkenntnisse in pseudonymisierter Form sein. Hinsichtlich des § 2d Abs. 1 Z 2 und 3 FOG sind die wissenschaftlichen Einrichtungen (§ 2 Z 14 FOG) Empfängerinnen und Empfänger. Speicherdauer: Nach der allgemeinen Regel des § 2d Abs. 5 FOG, wonach (Art-29-Datenschutzgruppe, WP 248, 21) personenbezogene Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die in § 2d Abs. 2 FOG angeführten Daten unbeschränkt. Funktionelle Beschreibung der Aufgrund des § 2d Abs. 2 Z 1 FOG ist jede Form der Verarbeitung Verarbeitung: zulässig, solange mindestens eine der Voraussetzungen des § 2d Abs. 1 (Art. 35 Abs. 7 Buchstabe a DSGVO) Z 1 FOG eingehalten wird. § 2d Abs. 2 Z 2 und 3 FOG berechtigen die wissenschaftlichen Einrichtungen (§ 2d Z 12 FOG) zum Empfang der bereichsspezifischen Personenkennzeichen (Z 2) bzw. der in den Registern enthaltenen Daten (Z 3). Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz sonstige Infrastruktur): kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist (Art-29-Datenschutzgruppe, WP 248, 21) an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 13 Festgelegter Zweck: § 2d Abs. 2 FOG verweist auf die verfolgten Zwecke durch die (Art. 5 Abs. 1 Buchstabe b DSGVO) Formulierung „Für Zwecke dieses Bundesgesetzes“. Diese sind in § 1 FOG festgelegt. Eindeutiger Zweck: Die Angabe des Zwecks in § 2d Abs. 2 FOG ist eindeutig: die (Art. 5 Abs. 1 Buchstabe b DSGVO) angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Erreichung der in §1 FOG genannten Ziele des Forschungsorganisationsgesetzes erforderlich ist. Dass eine Verarbeitung mehrere Zwecke verfolgen darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke [Anm.: Plural!] der Verarbeitung notwendige Maß beschränkt sein“ müssen. Anders als beispielsweise in dem der Entscheidung VfSlg. 11.499/1987 zugrundeliegenden Fall, in dem eine nicht näher determinierte hoheitliche Befugnis zur Geschwindigkeitsbeschränkung vorgesehen war, erfolgt eine nähere Determinierung durch die Bestimmungen des Forschungsorganisationsgesetzes, insofern als – auf eine wissenschaftliche Methode nach anerkannten, internationalen Standards (sogenannte Frascati-Definition) abgestellt wird, – die Zwecke in § 1 FOG abschließend definiert werden und – geeignete Maßnahmen zum Schutz der betroffenen Personen vorgesehen werden, wie insbesondere Pseudonymisierung (§ 2d Abs. 2 FOG). Legitimer Zweck: Der in § 2d Abs. 2 FOG angegebene Zweck ist legitim, weil er von den (Art. 5 Abs. 1 Buchstabe b DSGVO) Öffnungsklauseln – des Art. 9 Abs. 2 Buchstabe g („erhebliches öffentliches Interesse“) sowie – des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO gedeckt und in § 2d Abs. 2 FOG vorgesehen ist. Ein Vergleich der deutschen und englischen Sprachfassung des Art. 8 Abs. 4 der Datenschutz-Richtlinie 95/46/EG (DS-RL) sowie des Art. 9 Abs. 2 Buchstabe g DSGVO zeigt, dass in den englischen Sprachfassungen jeweils vom „substantial public interest“ und in den deutschen Sprachfassungen einmal vom „erheblichen öffentlichen Interesse“ (Art. 9 Abs. 2 Buchstabe g DSGVO) und einmal vom wichtigen öffentlichen Interesse (Art. 8 Abs. 4 DS-RL) gesprochen wird, die Begriffe „erhebliches öffentliches Interesse“ und „wichtiges öffentliches Interesse“ somit Synonyme sein müssen. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 13 Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988). Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 9 Abs. 2 Verarbeitung: Buchstaben g und j DSGVO, wonach die Verarbeitung aufgrund eines (Art-29-Datenschutzgruppe, WP 248, 21 iVm erheblichen öffentlichen Interesses an Wissenschaft und Forschung Art. 6 DSGVO) erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Angemessenheit der In Bezug auf die Datenarten und die Speicherdauer gibt es keine Verarbeitung: Einschränkungen. Allerdings sind die in § 2d Abs. 2 Z 1 FOG (Art-29-Datenschutzgruppe, WP 248, 21 iVm angeführten Voraussetzungen so hoch, dass die Angemessenheit der Art. 5 Abs. 1 Buchstabe c DSGVO) Verarbeitung jedenfalls gewährleistet ist. Die genannten Anforderungen sind: – Einsatz bereichsspezifischer Personenkennzeichen oder anderer eindeutiger (freiwilliger) Identifikatoren zur Identifizierung, anstelle eines direkten Personenbezugs oder – Verarbeitung in – auf andere Art und Weise – pseudonymisierter Form oder – Veröffentlichung nur in anonymisierter oder pseudonymisierter Form oder ohne Name, Wohnadresse und Foto, oder – Zweck der Verarbeitung ist die Anonymisierung oder Pseudonymisierung, wobei eine Offenlegung direkt personenbezogener Daten an Dritte nicht erfolgt. Mit § 2d Abs. 2 Z 2 FOG wird wissenschaftlichen Einrichtungen das Recht zugestanden, eine Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen für den Tätigkeitsbereich „Bildung und Forschung“ zu verlangen. Damit wird die rechtliche Grundlage dafür geschaffen, dass wissenschaftliche Einrichtung die „Pseudonymisierung [anwenden, weil] es möglich ist, diese Zwecke [Anm.: des Art. 89 Abs. 1 DSGVO] auf diese Weise zu erfüllen“ (Art 89 Abs. 1 DSGVO). Wissenschaftlichen Einrichtungen, die durch die Pseudonymisierung besonders zur Einhaltung des Datenschutzes beitragen, soll mit § 2d Abs. 2 Z 3 FOG das Recht zugestanden werden, die Bereitstellung von Daten (§ 2b Z 5) aus Registern von öffentlichen Stellen (§ 2b Z 8 FOG) oder Behörden zu verlangen, wenn dabei Namensangaben durch bereichsspezifische Personenkennzeichen ersetzt werden. Damit ist das Grundrecht auf Datenschutz (§ 1 DSG 2000 bzw. Art. 8 EU-Grundrechte-Charta) aktuell nicht berührt, wie § 8 Abs. 2 und § 9 Z2 DSG 2000 bestimmen. Durch die Definition der personenbezogenen Daten in Art. 4 Nr. 1 DSGVO, die indirekt personenbezogenen Daten ausdrücklich mitumfasst, und das Fehlen einer DSGVO-Regelung, die § 8 Abs. 2 oder § 9 Z 2 DSG 2000 entspricht, kommt es zu einer Verschärfung der Rechtslage. An der Gefährlichkeit, die mit der Verarbeitung indirekt personenbezogener Daten einhergeht, ändert sich nichts, da es sich bei der Beurteilung des damit verbundenen Risikos um eine faktische Frage handelt. Auf faktischer Ebene tritt am 25. Mai 2018 keine (sprunghafte) Änderung ein. Diese findet bloß auf rechtlicher Ebene statt. Wenn aber sich die faktische Gefährlichkeit nicht geändert hat, kann auch nach Verschärfung der Rechtslage (am 25. Mai 2018), die Verarbeitung www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 13 indirekt personenbezogener Daten nicht unangemessen sein, außer es gäbe Regelungen, die Argumente für die Unangemessenheit lieferten oder diese sogar ausdrücklich vorsähen. Das Gegenteil ist der Fall: EG 28 und 156, Art. 6 Abs. 4 Buchstabe d, Art. 25 Abs. 1, Art. 32 Abs. 1 Buchstabe a sowie Art. 89 Abs. 1 DSGVO sehen die Pseudonymisierung als geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen an. Wäre die Verarbeitung pseudonymisierter Daten unangemessen, könnte die Pseudonymisierung niemals als Instrument zur Senkung des Risikos für die betroffenen Personen („angemessene Garantie“) fungieren. Das Kriterium der Angemessenheit ist somit im höchsten Maße erfüllt. Erheblichkeit der Die Verarbeitung der Daten ist erheblich, da die Verfügbarkeit Verarbeitung: hochwertiger Daten wesentliche Voraussetzung zur Erfüllung der (Art-29-Datenschutzgruppe, WP 248, 21 iVm Zwecke gemäß Art. 89 DSGVO ist. Art. 5 Abs. 1 Buchstabe c DSGVO) Die Klarstellung in § 2d Abs. 2 Z 1 FOG, dass beispielsweise auch Big Data erlaubt ist, ist äußerst relevant für die weitere Entwicklung des Wissenschafts- und Forschungsstandortes: nach einem Bericht des Weltwirtschaftsforums wird bis zum Jahr 2030 alleine der Bereich der künstlichen Intelligenz die globale Wirtschaftsleistung um 14 Prozent steigern (Weltwirtschaftsforum, https://www.weforum.org/agenda/ 2017/06/the-global-economy-will-be-14-bigger-in-2030-because-of-ai [08.01.2018]) Umgelegt auf Österreich, das im Jahr 2016 ein Bruttoinlandsprodukt von 40.420,00 Euro pro Kopf hatte (Statistik Österreich, Das System der Volkswirtschaftlichen Gesamtrechnungen [VGR], http://www.statistik.at/web_de/statistiken/wirtschaft/ volkswirtschaftliche_gesamtrechnungen/index.html [14.01.2018]) würde ein Beibehalten der aktuellen Rechtslage das prognostizierte Pro- Kopf-Wachstum von etwas mehr als 5.600,00 Euro gefährden. Aber nicht nur wirtschaftliche Nachteile sind durch ein Beibehalten der aktuellen Rechtslage zu erwarten. Die Ziffern 1 und 3 des § 2d Abs. 2 FOG würden beispielsweise ein Verfahren mit dem Namen „homozygosity mapping“ ermöglichen, das beispielsweise bei der Therapie der RASGRP1-Defizienz, einer lebensbedrohlichen Infektion der Atemwege aufgrund einer gestörten Zusammensetzung der weißen Blutkörperchen (Salzer E et al, Nature Immunology 17, 1352–1360 [2016], https://www.nature.com/articles/ni.3575 [14.01.2018]), eine wesentliche Rolle spielte. Die Registerforschung gemäß § 2d Abs. 2 Z 3 FOG könnte zum Beispiel wesentliche Fortschritte für das Verständnis der Zusammenhänge von Krebs und Diabetes mellitus (Typ 2) bringen. Insgesamt leiden rund 600.000 Menschen in Österreich an Diabetes mellitus (Typ 2). Die Zusammenhänge zwischen Typ-2-Diabetes und Krebs sind komplex: einerseits haben Menschen, die an Diabetes mellitus erkrankt sind, grundsätzlich ein erhöhtes Risiko, an Krebs zu erkranken. Außerdem stehen einige Diabetes-Medikamente im Verdacht, das Krebsrisiko ebenfalls fallweise erhöhen zu können. Wissenschaftlerinnen und Wissenschaftler der Universitätsklinik für Innere Medizin III und dem Institut für die Wissenschaft Komplexer Systeme der MedUni Wien, d.h. wissenschaftlichen Einrichtungen iSd § 2b Z 12 FOG, konnten zeigen, dass man diese Risiken mit einer optimierten, personalisierten Therapie heutzutage praktisch ausschalten kann. Dazu wurden große Datenmengen analysiert: 1,85 Millionen Menschen, die zumindest einmal in Österreich stationär behandelt wurden, wurden statistisch erfasst. Rund 300.000 davon hatten Diabetes Typ 2 – diese wurden insgesamt mit rund 300 verschiedenen Kombinationen von Diabetes-Medikamenten behandelt (Inkretin- basierte Therapien und SGLT-2-Hemmer waren noch nicht involviert). Das Ergebnis der Studie: Primär insulinerhöhende Medikamente www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 13 (Sulfonylharnstoff und Insulin), zeigten gegenüber insulinhemmenden ein signifikant erhöhtes Krebsrisiko, vor allem für Bauchspeicheldrüsenkrebs (Pankreas) bei Männern und Frauen, sowie Leberkrebs bei Männern und Lymphdrüsenkrebs bei Frauen. Wenn aber gleichzeitig Statine eingenommen werden, ist dieses Risiko ganz massiv gesenkt (Kautzky-Willer A, Thurner S, Klimek P, Journal of Internal Medicine 2017; 281: 206-216, http://onlinelibrary.wiley.com/doi/10.1111/joim.12567/abstract [14.01.2018]; MedUni Wien, Personalisierte Therapie verringert Krebsrisiko für DiabetespatientInnen; https://www.meduniwien.ac.at/web/ueber- uns/news/detailseite/2016/news-im-november-2016/personalisierte- therapie-verringert-krebsrisiko-fuer-diabetespatientinnen/ [07.02.2018]). Aus der Analyse von großen Patientinnen- und Patientendatensätzen können gesundheitspolitische Maßnahmen abgeleitet werden und sehr individuelle Therapiemaßnahmen gesetzt werden, die Hunderttausenden von Patientinnen und Patienten zugutekommen. Durch die Verwendung von Registern können bessere Forschungsergebnisse erzielt werden, da sie auf einen größeren Bevölkerungsanteil gestützt sind. Patientenregister erlauben – wie bereits oben erwähnt – die Feststellung seltener Ereignisse sowie die Darstellung von Langzeitverläufen und Subgruppen unter Alltagsbedingungen ([Deutscher] Gesundheitsforschungsrat des Bundesministeriums für Bildung und Forschung, Diskussionsforum zur Nutzenbewertung im Gesundheitswesen 40; www.gesundheitsforschung-bmbf.de/_media/DLR_Nutzenbewert_07- 11-22_Druckversion.pdf [07.02.2018]). Beschränktheit der Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die Verarbeitung auf das bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls direkt notwendige Maß: personenbezogen zur Kenntnis gebracht werden dürfen (§ 2d Abs. 2 (Art-29-Datenschutzgruppe, WP 248, 21 iVm FOG). Diese Anforderung wird durch § 2d Abs. 2 FOG als Grundregel Art. 5 Abs. 1 Buchstabe c DSGVO) für alle weiteren in dem vorliegenden Entwurf geregelten Verarbeitungen vorgesehen. Speicherbegrenzung: Eine zeitliche Beschränkung der Speicherdauer ist nicht möglich, weil (Art-29-Datenschutzgruppe, WP 248, 21 iVm die erforderliche Speicherdauer im Vorhinein völlig unbekannt ist, Art. 5 Abs. 1 Buchstabe e DSGVO) insbesondere weil nicht bekannt ist, wann welche Ergebnisse bzw. Daten (§ 2b Z 5 FOG) von welchen wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) in Zukunft gebraucht werden. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 13 Art. 12 DSGVO) und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 13 unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 2d Abs. 6 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz- Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2d Abs. 2 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2d Abs. 2 iVm § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen – Name und Kontaktdaten der oder des Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheits- beschlusses der Kommission, – ein Hinweis auf das allfällige Bestehen anderer / restlicher Rechte der betroffenen Personen, – ein Hinweis auf das Bestehen des Rechts auf Beschwerde (Art. 77 DSGVO), – gegebenenfalls Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht werden, gilt die vorliegende Datenschutz- Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Siehe oben: Bewertung / Generelle Informationen der betroffenen Personen, wenn die Daten Personen. nicht bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 13 Art. 14 DSGVO) Auskunftsrecht der betroffenen Unter der Voraussetzung, dass die Verantwortlichen gemäß § 2d Abs. 2 Personen: FOG ihre Prozesse – außer in den Fällen des § 2d Abs. 6 FOG – so (Art-29-Datenschutzgruppe, WP 248, 21 iVm anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO) Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Datenübertragbarkeit: Buchstabe a DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt und außerdem die Öffnungsklausel gemäß Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen wird, die einen Ausschluss des Rechts auf Datenübertragbarkeit erlaubt. Zur näheren Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz (Art. 28 DSGVO) kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Eine Übermittlung in Drittländer wäre nach § 38a Abs. 4 FOG Übermittlung in Drittländer: grundsätzlich zulässig, allerdings nur an die in § 2j FOG genannten (Kapitel V DSGVO) Empfängerinnen und Empfänger, d.h.: – wissenschaftliche Einrichtungen (§ 2b Z 12), – Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1), – Gutachterinnen und Gutachter oder – österreichische öffentliche Stellen (§ 2b Z 8). Die einzuhaltende Garantie findet sich in § 2i Abs. 1 Z 2 FOG und sieht vor, dass „insbesondere durch Technikgestaltung gemäß Art. 25 DSGVO sichergestellt [sein muss], dass Dritte (Art. 4 Nr. 10 DSGVO) keine Kenntnis der übermittelten Daten erlangen“ können. Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil der (Art. 36 und EG 96 DSGVO) vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind bei Verarbeitungen im Rahmen des § 2d Abs. 2 immaterielle Schäden: FOG vorhanden, aber eingeschränkt, insbesondere weil Art. 25 (EG 90 iVm 85 DSGVO) DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 13 Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden ebenfalls ein. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Verlust der Kontrolle über Diesem Risiko wird durch die Einhaltung der (anwendbaren) Rechte personenbezogene Daten: der betroffenen Person gemäß Kapitel III der Datenschutz- (EG 90 iVm 85 DSGVO) Grundverordnung, das sind: – Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) Rechnung getragen. Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den jeweiligen Verantwortlichen einzuhalten. Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Verlusts der Kontrolle über personenbezogene Daten zudem wesentlich gesenkt. Diskriminierung: Die Diskriminierung im Rahmen der Verarbeitung gemäß § 2d Abs. 2 (EG 90 iVm 85 DSGVO) FOG ist aufgrund folgender Maßnahmen nahezu ausgeschlossen: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 13 Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung darüber hinaus erheblich gesenkt. Identitätsdiebstahl oder - Dieses Risiko wird insbesondere durch die unionsrechtliche betrug: Sanktionierung (siehe oben: Risiken / Physische, materielle oder (EG 90 iVm 85 DSGVO) immaterielle Schäden) effektiv gemindert. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Identitätsdiebstahls oder -betruges darüber hinaus wesentlich gesenkt. Finanzielle Verluste: Dieses Risiko wird insbesondere durch die unionsrechtliche (EG 90 iVm 85 DSGVO) Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert. Unabhängig davon wird das Risiko finanzieller Verluste durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG zusätzlich wesentlich gesenkt. Unbefugte Aufhebung der Dieses Risiko wird wie folgt minimiert: Pseudonymisierung: – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, (EG 90 iVm 85 DSGVO) materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die unbefugte Aufhebung der Pseudonymisierung, bieten. Insbesondere durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG wird das Risiko der unbefugten Aufhebung der Pseudonymisierung darüber hinaus wesentlich reduziert. Rufschädigung: Dieses Risiko wird wie folgt minimiert: (EG 90 iVm 85 DSGVO) – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen Rufschädigung, bieten. Verlust der Vertraulichkeit bei Dieses Risiko wird wie folgt minimiert: Berufsgeheimnissen: – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, (EG 90 iVm 85 DSGVO) materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 11 von 13 wesentlich höheren Schutz, insbesondere gegen den Verlust der Vertraulichkeit bei Berufsgeheimnissen, bieten. Erhebliche wirtschaftliche Dieses Risiko wird wie folgt minimiert: oder gesellschaftliche – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, Nachteile: materielle oder immaterielle Schäden); (EG 90 iVm 85 DSGVO) – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen erhebliche wirtschaftliche oder gesellschaftliche Nachteile, bieten. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko erheblicher wirtschaftlicher oder gesellschaftlicher Nachteile zudem wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Verarbeitung Eine Minimierung der Verarbeitung personenbezogener Daten kann personenbezogener Daten: nicht vorgeschrieben werden, weil im Vorhinein nicht bekannt ist, (EG 78 DSGVO) welche Daten überhaupt verarbeitet werden sollen. Dies ist allerdings auch nicht erforderlich, weil sämtliche Verarbeitungen gemäß § 2d Abs. 2 FOG nur zu Offenlegung indirekt personenbezogener Daten führen dürfen. Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt schließlich eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die Pseudonymisierung erfolgt schnellstmöglich. Die Ausstattung mit Pseudonymisierung bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 2 Z 2 FOG personenbezogener Daten: ist Voraussetzung für die Pseudonymisierung mittels (EG 28 und 78 DSGVO) bereichsspezifischer Personenkennzeichen gemäß § 2d Abs. 2 Z 1 und 3 FOG. Die Verwendung bereichsspezifischer Personenkennzeichen stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine Verarbeitung gemäß Art. 9 Abs. 2 Buchstaben i und j DSGVO. Durch die Formulierung etwa in § 5 Abs. 1 Z 3, dass „Namensangaben durch bereichsspezifische Personenkennzeichen zu ersetzen sind“ soll eine praxisnahe Regelung getroffen werden, indem die gesetzliche Vermutung aufgestellt wird, dass dieser Austausch von Namen durch bereichsspezifische Personenkennzeichen einer Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO entspricht. Die Normadressatinnen und -adressaten brauchen sich aufgrund dieser Formulierung keine Gedanken machen, ob nun eine tatsächliche Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO eingetreten ist oder nicht, sondern bloß die Namen durch bereichsspezifische Personenkennzeichen austauschen, womit die Rechtssicherheit wesentlich erhöht wird. Diese Vorgangsweise ist auch durch das Unionsrecht gedeckt, weil Art. 89 Abs. 1 DSGVO die Pseudonymisierung als bloß eine unter mehreren möglichen geeigneten Garantien anführt. Außerdem sollten gemäß EG 26 DSGVO „[b]ei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, […] alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 12 von 13 erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind“. Nach heutigem Stand der Technik ist davon auszugehen, dass der Austausch der Namen durch bereichsspezifische Personenkennzeichen einer Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO entspricht. Dies umso mehr als, die „zusätzliche[n] Informationen, mit denen die personenbezogenen Daten einer speziellen betroffenen Person zugeordnet werden können“ (EG 29 DSGVO) nur der Stammzahlenregisterbehörde bekannt und somit dem Zugriff des oder der Verantwortlichen entzogen sind. Transparenz in Bezug auf die Durch die Publikation des § 2i Abs. 1 und 2 sowie des § 2k Abs. 2 FOG Funktionen und die als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Verarbeitung Materialien im Zuge des Gesetzgebungsprozesses können die personenbezogener Daten: Hintergründe für die zulässige Verarbeitung personenbezogener Daten (EG 78 DSGVO) im Rahmen des § 2d Abs. 2 FOG von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß Verarbeitung Kapitel III der Datenschutz-Grundverordnung, das sind: personenbezogener Daten – Transparente Information, Kommunikation und Modalitäten für durch die betroffenen die Ausübung der Rechte der betroffenen Person (Art. 12 Personen: DSGVO), (EG 78 DSGVO) – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO), die Möglichkeit, die Verarbeitung ihrer Daten durch die wissenschaftlichen Einrichtungen zu überwachen. Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 (EG 78 und 83 DSGVO) DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Verarbeitungen im Rahmen des § 2d Abs. 2 FOG zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der Datenschutzbeauftragten der erlassenden Stelle im Rahmen des Begutachtungsverfahrens ergangen. www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 13 von 13 erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:46:01+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Signatur finden Sie unter: https://www.signaturpruefung.gv.at Prüfinformation Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. www.ris.bka.gv.at Bundesrecht konsolidiert Anhang 5: Datenschutz-Folgenabschätzung zu § 2d Abs. 3 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 41 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 11

Anhang 5: Datenschutz-Folgenabschätzung zu § 2d Abs. 3 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Bestimmung, mit der „broad consent“ auf nationaler Ebene für die Verarbeitung personenbezogener Daten (§ 2b Z 5 des Forschungsorganisationsgesetzes [FOG], BGBl. Nr. 341/1981) vorgesehen werden soll (§ 2d Abs. 3 FOG). Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Gemäß § 2d Abs. 3 FOG ist im Anwendungsbereich des (EG 90 DSGVO) Forschungsorganisationsgesetzes die Verarbeitung von Daten (§ 2b Z 5 FOG) zulässig, wenn die betroffene Person freiwillig, in informierter Weise und unmissverständlich ihren Willen in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung bekundet, mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden zu sein, wobei die Angabe eines Zwecks durch die Angabe – eines Forschungsbereiches oder – mehrerer Forschungsbereiche oder – von Forschungsprojekten oder – von Teilen von Forschungsprojekten erfolgen darf („broad consent“). Umfang der Die von § 2d Abs. 3 FOG gedeckten Verarbeitungen umfassen Daten im Verarbeitung: Sinne des § 2b Z 5 FOG. Da die in Anspruch genommene Öffnungsklausel (EG 90 DSGVO) Art. 9 Abs. 2 Buchstabe j DSGVO ist, ist nicht nur die Verarbeitung personenbezogener Daten, sondern sogar die Verarbeitung sensibler Daten umfasst. Allerdings dürfen nur Daten (§ 2b Z 5 FOG) von jenen Personen verarbeitet werden, die die Willenserklärung gemäß § 2d Abs. 3 FOG abgegeben haben. In inhaltlicher Sicht besteht keine Einschränkung, sodass sämtliche Arten sowohl von Daten als auch Verarbeitungen dem „broad consent“, d.h. einer nicht eng gefassten Zustimmung (Einwilligung), zugänglich sind. Kontext der Die Verarbeitung erfolgt im Kontext der Zwecke des Art. 89 DSGVO. Mit Verarbeitung: dem vorgeschlagenen § 2d Abs. 3 FOG soll die Möglichkeit geschaffen (Art-29-Datenschutzgruppe, WP 248, werden, forschungsrelevante Daten auch aufgrund eines sogenannten broad 21) oder open consent zu verarbeiten. Damit soll die prospektive Sammlung von Forschungsmaterial (§ 2b Z 6 FOG) erleichtert werden. Für die retrospektive Nutzung von Proben oder Altmaterialien ist es einfach für ein spezifisches Projekt nach entsprechender Aufklärung einzuwilligen. Für prospektive Projekte ist dies allerdings schwierig bis unmöglich: wenn man prospektiv sammelt, kann man den Patientinnen und Patienten noch nicht sagen, was mit ihren Daten (§ 2b Z 5 FOG) gemacht werden soll. Vor allem bei Biobanken, die von mehreren wissenschaftlichen Einrichtungen (§ 2 Z 12 FOG) gemeinsam betrieben werden (sollen), wird sich selbst die Einschränkung auf ein bestimmtes Indikationsgebiet zukünftig als sehr limitierend darstellen, da beispielsweise nicht ausgeschlossen werden kann, dass Herz-Kreislauf- BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 11 Erkrankungen iZm psychiatrischen Auffälligkeiten stehen. Der Fortschritt in der wissenschaftlichen Forschung, insbesondere in der biomedizinischen Forschung, soll durch die vorgeschlagene Regelung weiterhin ermöglicht werden. Die Regelung soll dazu führen, dass wissenschaftsfreundliche Menschen und Wissenschaftlerinnen und Wissenschaftler auch weiterhin ihrem Forschungsauftrag nachkommen können und nicht durch bürokratischen Aufwand belastet werden. Dies schafft auch Rechtssicherheit bezüglich der Verarbeitung von Daten. Voraussetzung für die Zulässigkeit dieses Einsatzes, ist allerdings, dass eine allfällige Veröffentlichung nur gemäß § 2d Abs. 2 Z 1 FOG erfolgt (§ 2d Abs. 1 Z 8 FOG). Aus Gründen der Rechtssicherheit soll in § 2d Abs. 3 FOG eine auf Art. 9 Abs. 2 Buchstabe j DSGVO gestützte und der Definition in EG 33 DSGVO entsprechende Rechtsgrundlage für die Zulässigkeit des sogenannten „broad consent“ vorgesehen werden. Diese Rechtsgrundlage ist der Einwilligung (Art. 4 Nr. 11 DSGVO) nachempfunden, stellt aber selbst keine Einwilligung (Art. 9 Abs. 2 Buchstabe a DSGVO) dar, sondern basiert auf Art. 9 Abs. 2 Buchstabe j DSGVO. Diese Vorgangsweise hat die Art-29- Datenschutzgruppe beispielsweise in ihrem Arbeitspapier WP 131 als Möglichkeit zur unionsrechtskonformen Begründung eines Opt-Outs bei elektronischen Gesundheitsakten genannt (Art-20-Datenschutzgruppe, Working Document on the processing of personal data relating to health in electronic health records [EHR] 13 f). Zweck der Verarbeitung: Die Verarbeitung der Daten erfolgt zu Zwecken des Art. 89 Abs. 1 DSGVO (Art. 35 Abs. 7 Buchstabe a DSGVO) und ermöglicht aufgrund weiter Zustimmungen („broad consent“), insbesondere die prospektive Forschung, was sich positiv vor allem im Bereich der Lebenswissenschaften auswirken wird. Empfängerinnen und Empfängerinnen und Empfänger der Angaben zum jeweiligen Umfang der Empfänger: Widersprüche sind wissenschaftliche Einrichtungen (§ 2b Z 12 FOG). (Art-29-Datenschutzgruppe, WP 248, 21) Speicherdauer: Die allgemeine Regel des § 2d Abs. 5 FOG, wonach personenbezogene (Art-29-Datenschutzgruppe, WP 248, Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und 21) gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch für die weite Zustimmung („broad consent“) anzuwenden. Funktionelle Gemäß § 2d Abs. 3 FOG dürfen wissenschaftliche Einrichtungen Daten für Beschreibung der Zwecke des Art. 89 Abs. 1 DSGVO verarbeiten. Verarbeitung: (Art. 35 Abs. 7 Buchstabe a DSGVO) Beschreibung der Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge Anlagen (Hard- und von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz kommende Software bzw. sonstige Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist an dieser Stelle Infrastruktur): ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 (Art-29-Datenschutzgruppe, WP 248, DSGVO als ausreichend anzusehen. 21) Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 11 Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: Der in § 2d Abs. 3 FOG festgelegte Zweck ist die Verarbeitung zu Zwecken (Art. 5 Abs. 1 Buchstabe b DSGVO) gemäß Art. 89 Abs. 1 DSGVO. Dies ergibt sich klar aus dem Verweis auf Art. 9 Abs. 2 Buchstabe j DSGVO, der seinerseits auf Art. 89 Abs. 1 DSGVO verweist. Wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) haben demnach das Recht, ihre Verarbeitungen auf Grundlage des § 2d Abs. 3 FOG durchzuführen. Eindeutiger Zweck: Die Angabe des Zwecks in § 2d Abs. 3 FOG ist eindeutig: die angeführten (Art. 5 Abs. 1 Buchstabe b DSGVO) Daten dürfen nur verarbeitet werden, soweit dies zur Erreichung von zwecken gemäß Art. 89 Abs. 1 DSGVO notwendig ist. Legitimer Zweck: Der in § 2d Abs. 3 FOG angegebene Zweck ist legitim, weil er von den (Art. 5 Abs. 1 Buchstabe b DSGVO) Öffnungsklauseln – des Art. 6 Abs. 1 Buchstabe c („rechtliche Verpflichtung“), – des Art. 9 Abs. 2 Buchstabe g („erhebliches öffentliches Interesse“) sowie – des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO gedeckt und in § 2d Abs. 3 FOG vorgesehen ist. Gemäß § 59b KAKuG ist bereits zu Zwecken „der Verwaltung von Systemen und Diensten im Gesundheit- oder Sozialbereich“ (Art.9 Abs. 2 Buchstabe h DSGVO) eine Verarbeitung ohne Mitwirkung der betroffenen Person nach nationalem Recht und Unionsrecht erlaubt. Die Zwecke des Art. 89 DSGVO stehen auf gleicher Ebene wie die Zwecke des Art. 9 Abs. 2 Buchstabe h DSGVO, weil sich die Zwecke des Art. 89 DSGVO in Art. 9 Abs. 2 Buchstabe j DSGVO befinden und diese auf gleicher Ebene wie Art. 9 Abs. 2 Buchstabe h DSGVO liegen. Ein Vergleich der deutschen und englischen Sprachfassung des Art. 8 Abs. 4 der Datenschutz-Richtlinie 95/46/EG sowie des Art. 9 Abs. 2 Buchstabe g DSGVO zeigt, dass in den englischen Sprachfassungen jeweils vom „substantial public interest“ und in den deutschen Sprachfassungen einmal vom „erheblichen öffentlichen Interesse“ (Art. 9 Abs. 2 Buchstabe g DSGVO) und einmal vom wichtigen öffentlichen Interesse (Art. 8 Abs. 4 DS-RL) gesprochen wird, die Begriffe „erhebliches öffentliches Interesse“ und „wichtiges öffentliches Interesse“ somit Synonyme sein müssen. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 11 fest verankert (vgl. zuletzt: VfGH 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988). Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Verarbeitung: Buchstabe c iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstaben g und j DSGVO, (Art-29-Datenschutzgruppe, WP 248, wonach die Verarbeitung aufgrund eines erheblichen öffentlichen Interesses 21 iVm Art. 6 DSGVO) erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Angemessenheit der In Bezug auf die Datenarten und die Speicherdauer gibt es keine Verarbeitung: Einschränkungen. Doch ist eine Pseudonymisierung gemäß Art. 89 DSGVO (Art-29-Datenschutzgruppe, WP 248, so schnell wie möglich durchzuführen. Nur wissenschaftliche Einrichtungen 21 iVm Art. 5 Abs. 1 Buchstabe c gemäß § 2b Z 12 FOG dürfen weite Zustimmungserklärungen („broad DSGVO) consent“). Dadurch wird die Angemessenheit der Verarbeitung sichergestellt. Erheblichkeit der Die Verarbeitung der Daten ist erheblich, insbesondere aus den folgenden Verarbeitung: Gründen: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO) – die Sammlung von Forschungsmaterial und den zugehörigen Daten, die mittels einer weiten Zustimmung („broad consent“) legitimiert ist, erlaubt beispielsweise bei Entdeckung neuer Biomarker, die Überprüfung der Qualität und Sensitivität dieser neuen Biomarker – dafür ist allerdings eine gewisse Flexibilität erforderlich, um den Wert zukünftiger Biomarker auch untersuchen zu können, weil zum heutigen Zeitpunkt noch nicht bekannt ist, welche Überprüfungen u.U. durchzuführen sind; – die Verfügbarkeit hochwertiger Daten ist wesentliche Voraussetzung für Wissenschaft und Forschung; – die ausdrückliche Regelung der weiten Zustimmung („broad consent“) erleichtert die Durchführung von klinischen Studien vor allem im Anfangsstadium (vgl. NÖ Landeskliniken-Holding, 48/SN-10/ME XXVI. GP). Die Absicherung der weiten Zustimmung („broad consent“) ist von großer Bedeutung für die weitere Entwicklung des Wissenschafts- und Forschungsstandortes. Beschränktheit der Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die Verarbeitung auf das bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) nur unter den notwendige Maß: Auflagen gemäß § 2d Abs. 1 FOG, insbesondere § 2d Abs. 2 Z 1 FOG zur (Art-29-Datenschutzgruppe, WP 248, Kenntnis gebracht werden dürfen. 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO) Speicherbegrenzung: Es erfolgt eine zeitliche Beschränkung der Speicherdauer mit Widerruf oder (Art-29-Datenschutzgruppe, WP 248, Ableben der betroffenen Person. Damit erfolgt eine Speicherung nur für die 21 iVm Art. 5 Abs. 1 Buchstabe e benötigte Dauer. Des Weiteren sind die Daten gemäß Art. 89 DSGVO DSGVO) schnellstmöglich zu pseudonymisieren. Generelle Information Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine der betroffenen Datenschutz-Folgenabschätzung auch die transparente Information gemäß Personen: Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 13 und 14 (Art-29-Datenschutzgruppe, WP 248, DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die 21 iVm Art. 12 DSGVO) Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 11 Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die Stammzahlenregisterbehörde ihre Prozesse so angepasst hat, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie folgt betroffenen Personen bei erbracht: Erhebung: – die Zwecke, für die die personenbezogenen Daten verarbeitet werden (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) sollen: durch Publikation des § 2d Abs. 3 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2d Abs. 3 iVm § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten des oder der Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls ihre Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission, – einen Hinweis auf das Bestehen eines Rechts auf – Auskunft (Art. 15 DSGVO), – Berichtigung (Art. 16 DSGVO), – Löschung (Art. 17 DSGVO), – Einschränkung (Art. 18 DSGVO) und – Beschwerde (Art. 77 DSGVO), – einen Hinweis auf die gesetzlichen Grundlagen der Verarbeitung, – gegebenenfalls das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht, gilt die vorliegende Datenschutz-Folgenabschätzung BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 11 hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der Siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. betroffenen Personen, wenn die Daten nicht bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der Unter der Voraussetzung, dass die Verantwortlichen gemäß § 2d Abs. 3 FOG betroffenen Personen: ihre Prozesse – außer in den Fällen des § 2d Abs. 6 FOG – so anpassen, dass (Art-29-Datenschutzgruppe, WP 248, das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO 21 iVm Art. 15 DSGVO) tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz- Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Buchstabe a Datenübertragbarkeit: DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt und außerdem die Öffnungsklausel gemäß Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen wird, die einen Ausschluss des Rechts auf Datenübertragbarkeit erlaubt. Zur näheren Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Auftragsverarbeiterinnen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge und Auftragsverarbeiter: von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz (Art. 28 DSGVO) kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei Übermittlungen an Drittländer sind nach der Übergangsbestimmung des der Übermittlung in § 38a Abs. 4 FOG zulässig. Die Übermittlungen sind nur soweit zulässig, als Drittländer: sie der Erreichung des Verarbeitungszweckes dienen. Kommt es zu einer (Kapitel V DSGVO) Übermittlung, müssen gemäß Art. 25 DSGVO „geeignete technische und organisatorische Maßnahmen“ getroffen werden, um „die Rechte der betroffenen Personen zu schützen“. Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil der (Art. 36 und EG 96 DSGVO) vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz- Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle Diese Risiken sind für Verarbeitungen aufgrund weiter oder immaterielle Zustimmungserklärungen vorhanden, allerdings nur sehr eingeschränkt, weil Schäden: Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen (EG 90 iVm 85 DSGVO) Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“. Zusätzlich ist Art. 32 DSGVO anwendbar, demzufolge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 11 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden ebenfalls ein. Diese sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen genormt. Es sind insbesondere die § 302 (Amtsmissbrauch) und § 310 („Verletzung des Amtsgeheimnisses“), die Schäden vorbeugen (RIS-Justiz, RS0054100). Verlust der Kontrolle Der Verlust der Kontrolle über personenbezogene Daten wird durch folgende über personenbezogene Maßnahmen vermieden: Daten: – Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen (EG 90 iVm 85 DSGVO) Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und - verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – insbesondere folgende Bestimmungen des 22. Abschnittes im Strafgesetzbuch: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Diskriminierung: Die Diskriminierung bei Verarbeitungen im Rahmen des (EG 90 iVm 85 DSGVO) Widerspruchregisters ist aufgrund folgender Maßnahmen nahezu ausgeschlossen: – Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung erheblich gesenkt. – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und - verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – insbesondere folgende Bestimmungen des 22. Abschnittes im Strafgesetzbuch: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Identitätsdiebstahl oder - Der Identitätsdiebstahl oder -betrug kann durch folgende Maßnahmen betrug: verhindert werden: (EG 90 iVm 85 DSGVO) – Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 11 die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Identitätsdiebstahls und -betrugs wesentlich gesenkt. – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und - verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – insbesondere folgende Bestimmungen des 22. Abschnittes im Strafgesetzbuch: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Finanzielle Verluste: Finanzielle Verluste werden durch folgende Regelungen verhindert: (EG 90 iVm 85 DSGVO) – Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko finanzieller Verluste wesentlich gesenkt. – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und - verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – insbesondere folgende Bestimmungen des 22. Abschnittes im Strafgesetzbuch: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Unbefugte Aufhebung Die unbefugte Aufhebung der Pseudonymisierung wird durch: der Pseudonymisierung: – Insbesondere durch das Recht zum Einsatz von bereichsspezifischen (EG 90 iVm 85 DSGVO) Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2 d Abs. 1 Z 6 FOG wird das Risiko der unbefugten Aufhebung der Pseudonymisierung wesentlich reduziert. – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und - verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – insbesondere folgende Bestimmungen des 22. Abschnittes im Strafgesetzbuch: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“) verhindert. Rufschädigung: Rufschädigungen werden durch folgende Maßnahmen verhindert: (EG 90 iVm 85 DSGVO) – Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Rufschädigung wesentlich gesenkt. – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 11 technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und - verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – insbesondere folgende Bestimmungen des 22. Abschnittes im Strafgesetzbuch: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Verlust der Die Vertraulichkeit bei Berufsgeheimnissen wird durch untenstehende Vertraulichkeit bei Maßnahmen gewährleistet: Berufsgeheimnissen: – Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen (EG 90 iVm 85 DSGVO) Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG wird das Risiko des Verlusts der Vertraulichkeit bei Berufsgeheimnissen wesentlich gesenkt. – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und - verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – insbesondere folgende Bestimmungen des 22. Abschnittes im Strafgesetzbuch: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Erhebliche Erhebliche wirtschaftliche oder gesellschaftliche Nachteile sind nicht zu wirtschaftliche oder erwarten, weil durch folgende Bestimmungen dem entgegnet wird: gesellschaftliche – Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Nachteile: Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 (EG 90 iVm 85 DSGVO) FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko erheblicher wirtschaftlicher oder gesellschaftlicher Nachteile wesentlich gesenkt, – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und - verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – insbesondere folgende Bestimmungen des 22. Abschnittes im Strafgesetzbuch: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Mit den angemessenen Maßnahmen gemäß § 2d Abs. 1 FOG, insbesondere Verarbeitung gemäß § 2d Abs. 1 Z 3 FOG erfolgt eine Beschränkung der zulässigen personenbezogener Verarbeitung ausschließlich auf Zwecke des Daten: Forschungsorganisationsgesetzes. (EG 78 DSGVO) Schnellstmögliche Die Pseudonymisierung ist gemäß Art. 89 DSGVO schnellstmöglich Pseudonymisierung durchzuführen. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 11 personenbezogener Die Verwendung bereichsspezifischer Personenkennzeichen stellt eine Daten: angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine (EG 28 und 78 DSGVO) Verarbeitung gemäß Art. 9 Abs. 2 Buchstaben i und j DSGVO. Durch das Recht auf Ausstattung mit bereichsspezifischen Personenkennzeichen etwa in § 2d Abs. 2 Z 2 FOG soll eine praxisnahe Regelung getroffen werden, die eine einfache Ausstattung mit hochqualitativen Zuordnungsmerkmalen erlaubt. Transparenz in Bezug Durch die Publikation des § 2d Abs. 3 FOG als Bundesgesetz im auf die Funktionen und Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des die Verarbeitung Gesetzgebungsprozesses können die Hintergründe für die zulässige personenbezogener Verarbeitung personenbezogener Daten im Rahmen weiter Daten: Zustimmungserklärungen („broad consent“) von der Öffentlichkeit kostenlos (EG 78 DSGVO) nachvollzogen werden. Der Verweis auf eines oder mehrere Forschungsgebiete ist eine Klarstellung im Sinne des EG 33 DSGVO, wonach „betroffene[…] Personen […] ihre Einwilligung für bestimmte Bereiche [Anm: Plural] wissenschaftlicher Forschung“ geben dürfen. Als Klassifikation für die Forschungsgebiete bietet sich die von der Statistik Österreich publizierte Österreichische Version der „Fields of Science and Technology (FOS) Classification” an (http://www.statistik.at/kdb/downloads/pdf/OEFOS2012_DE_CTI_20171007 _030441.pdf [25.01.2018]). Da die Unterschiede, etwa zwischen „Systematischer Anatomie (301 112)“ oder „Anatomie (301 102)“, für Laien nicht nachvollziehbar sind und in manchen Fällen auch unter Fachleuten umstritten sein werden, darf die Bezeichnung des Forschungsgebiets auch durch Elemente mit bloß einstelligem Code, wie etwa „Naturwissenschaften (1)“ oder „Humanmedizin, Gesundheitswissenschaften (3)“ erfolgen. Im Vergleich zur Einwilligung gemäß Art. 4 Nr. 11 DSGVO sind die Anforderungen an die Vorherbestimmtheit der Willenserklärung herabgesetzt, sodass insbesondere eine Angabe der Empfängerinnen und Empfänger nicht zwingend erforderlich ist. Überwachung der Der Wortlaut des § 2d Abs. 3 FOG schließt die Festlegung eines Verarbeitung Widerspruchsrechts gemäß Art. 23 Abs. 6 DSGVO grundsätzlich nicht aus. personenbezogener Allerdings werden – insbesondere bei biomedizinischer Forschung – nicht Daten durch die nur Zwecke gemäß Art. 89 Abs. 1 DSGVO verfolgt, sondern u.a. auch betroffenen Personen: erhebliche öffentliche Interessen iSd Art. 9 Abs. 2 Buchstabe g DSGVO. (EG 78 DSGVO) Datensicherheitsmaßnah Dem Art. 32 DSGVO entsprechende Datensicherheitsmaßnahmen sind auch men: bei Betrieb des Widerspruchsregisters zu treffen. Da es sich um eine zentrale (EG 78 und 83 DSGVO) Infrastruktur handelt, sind hier sogar noch höhere Anforderungen als sonst einzuhalten. Art. 35 Abs. 10 DSGVO lässt Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren, weshalb ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen ist. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der erlassenden Datenschutzbeauftragten Stelle im Rahmen des Begutachtungsverfahrens ergangen. der erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme Es ist keine Stellungnahme betroffener Personen im Rahmen des betroffener Personen: Begutachtungsverfahrens ergangen. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 11 von 11 (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:46:15+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Signatur finden Sie unter: https://www.signaturpruefung.gv.at Prüfinformation Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 6: Datenschutz-Folgenabschätzung zu § 2d Abs. 6 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 53 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 11

Anhang 6: Datenschutz-Folgenabschätzung zu § 2d Abs. 6 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Klarstellung zur Beschränkbarkeit der Rechte der betroffenen Personen (§ 2d Abs. 6 des Forschungsorganisationsgesetzes [FOG], BGBl. Nr. 341/1981). Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Gemäß § 2d Abs. 6 FOG dürfen Verantwortliche sämtliche (EG 90 DSGVO) personenbezogene Daten, unter Ausschluss oder Beschränkung (arg: „insoweit“) – des Auskunftsrechts, – des Rechts auf Berichtigung, – des Rechts auf Löschung bzw. Rechts auf Vergessenwerden, – des Rechts auf Einschränkung der Verarbeitung und – des Widerspruchsrechts der betroffenen Person verarbeiten, wenn dies zur „Erreichung von Zwecken gemäß Art. 89 (1) DSGVO“ erforderlich ist. Mangels eindeutiger Anordnung zur Art der Verarbeitung darf diese sowohl in Papierform als auch in automationsunterstützter Form erfolgen. Besondere Formen, die aufgrund ihres Spannungsverhältnisses zu Bestimmungen der DSGVO, wie insbesondere Art. 5 DSGVO, einer gesetzlichen Regelung bedürften, wie etwa Big Data, sind nicht vorgesehen und damit nicht zulässig. Umfang der Verarbeitung: Die von § 2d Abs. 6 FOG gedeckten Verarbeitungen umfassen Daten (EG 90 DSGVO) im Sinne des § 2b Z 5 FOG. Von der Verarbeitung können auch besondere Kategorien von Daten umfasst sein, weshalb auch die Öffnungsklausel gemäß Art. 9 Abs. 2 Buchstabe j DSGVO in Anspruch genommen wird. Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht. Der vorgeschlagene § 2d Abs. 6 FOG umfasst die Verarbeitung sämtlicher Daten unter Ausschluss oder Beschränkung (arg: „insoweit“) folgender Rechte: – Z 1 Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Z 2 Recht auf Berichtigung (Art. 16 DSGVO), – Z 3 Recht auf Löschung bzw. Recht auf Vergessenwerden (Art. 17 DSGVO), – Z 4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) – Z 5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO) sowie – Z 6 Widerspruchsrecht (Art. 21 DSGVO). Kontext der Verarbeitung: Die Verarbeitung erfolgt im Kontext der Zwecke des Art. 89 DSGVO. (Art-29-Datenschutzgruppe, WP 248, 21) Mit dem vorgeschlagenen § 2d Abs. 6 FOG soll Klarheit geschaffen werden, dass die Erreichung der Zwecke des Art. 89 (1) DSGVO nicht www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 11 durch die Anwendung der Rechte der betroffenen Person gemäß Kapitel III DSGVO beeinträchtigt werden dürfen. Zweck der Verarbeitung: Die Verarbeitung der Daten unter Ausschluss oder Beschränkung der (Art. 35 Abs. 7 Buchstabe a DSGVO) Rechte der betroffenen Personen erfolgt „zu im öffentlichen Interessen liegenden Archivzwecken, zu wissenschaftlichen oder historischen Forschungszwecken oder zu statistischen Zwecken“ gemäß Art. 89 Abs. 2 DSGVO. Empfängerinnen und Die Empfängerinnen und Empfänger werden in § 2d Abs. 6 nicht Empfänger: geregelt, sodass nach den Grundregeln des § 7 DSG sowie des § 2d (Art-29-Datenschutzgruppe, WP 248, 21) Abs. 2 FOG grundsätzlich die gesamte Gesellschaft als Empfängerin in Frage kommt, allerdings nicht in direkt personenbezogener Form (zur Ausnahme gemäß § 2f Abs. 2 FOG, siehe: Datenschutzfolgenabschätzung zu § 2f Abs. 1 FOG [Anhang 10]). Speicherdauer: Nach der allgemeinen Regel des § 2d Abs. 5 FOG, wonach (Art-29-Datenschutzgruppe, WP 248, 21) personenbezogene Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die von § 2d Abs. 6 FOG umfassten Daten unbeschränkt. Funktionelle Beschreibung der Von § 2d Abs. 6 FOG ist jede Form der Verarbeitung erfasst, die zu Verarbeitung: Zwecken gemäß Art. 89 DSGVO erfolgt. (Art. 35 Abs. 7 Buchstabe a DSGVO) Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz sonstige Infrastruktur): kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist (Art-29-Datenschutzgruppe, WP 248, 21) an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: § 2d Abs. 6 FOG soll sicherstellen, dass die Zwecke gemäß Art. 89 (Art. 5 Abs. 1 Buchstabe b DSGVO) Abs. 1 DSGVO erreicht werden können und nicht durch die Ausübung von Rechten der betroffenen Personen vereitelt werden können. Die Verarbeitung ist demnach zulässig für – im öffentlichen Interesse liegende Archivzwecke, – wissenschaftliche oder historische Forschungszwecke oder – statistische Zwecke. Eindeutiger Zweck: Die Angabe des Zwecks in § 2d Abs. 6 FOG ist eindeutig: der (Art. 5 Abs. 1 Buchstabe b DSGVO) Ausschluss oder die Einschränkung der Rechte der betroffenen Personen darf nur erfolgen, soweit dies zur Erreichung der Zwecke gemäß Art. 89 (1) DSGVO erforderlich ist. Bereits aufgrund der Regelung in Art. 89 (1) DSGVO, d.h. einer unmittelbar anwendbaren EU-Verordnung, kann im Sinne der VfGH- www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 11 Judikatur (vgl. VfSlg. 17.065/2003 in Folge von EuGH 20.05.2003, C- 465/00, ORF vs Rechnungshof, ECLI:EU:C:2003:294) aufgrund des Anwendungsvorrangs gar kein Verstoß gegen Art. 18 B-VG vorliegen. Außerdem ist davon auszugehen, dass Art. 89 (1) DSGVO den eigenen Anforderungen der Datenschutz-Grundverordnung hinsichtlich der Eindeutigkeit des Zwecks entspricht, sodass jedenfalls von einer Eindeutigkeit des Zwecks für Zwecke der vorliegenden Datenschutz- Folgenabschätzung auszugehen ist. Legitimer Zweck: Der in § 2d Abs. 6 FOG angegebene Zweck ist legitim, weil er von den (Art. 5 Abs. 1 Buchstabe b DSGVO) Öffnungsklauseln – des Art. 23 Abs. 1 Buchstabe e DSGVO („wichtige Ziele des allgemeinen öffentlichen Interesses“) und – des Art. 89 Abs. 2 DSGVO (Zwecke des Art. 89 DSGVO) gedeckt ist. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988). Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Verarbeitung: Buchstabe e iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstaben g und j (Art-29-Datenschutzgruppe, WP 248, 21 iVm DSGVO, wonach die Verarbeitung aufgrund eines erheblichen Art. 6 DSGVO) öffentlichen Interesses erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Angemessenheit der In Bezug auf die Datenarten und die Speicherdauer gibt es keine Verarbeitung: Einschränkungen. Allerdings sind die in § 2d Abs. 1 Z 1 bis 8 FOG (Art-29-Datenschutzgruppe, WP 248, 21 iVm angeführten Voraussetzungen so hoch, dass die Angemessenheit der Art. 5 Abs. 1 Buchstabe c DSGVO) Verarbeitung jedenfalls gewährleistet ist. Die genannten Anforderungen sind: – Zugriffe auf personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, sind lückenlos zu protokollieren. – Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten auf Grundlage dieses Abschnitts verarbeiten und ihre Mitarbeiterinnen und Mitarbeiter – das sind Arbeitnehmerinnen und Arbeitnehmer (Dienstnehmerinnen und Dienstnehmer) und Personen in einem arbeitnehmerähnlichen (dienstnehmerähnlichen) Verhältnis – haben personenbezogene Daten, die ihnen ausschließlich auf Grundlage dieses Abschnitts anvertraut wurden oder zugänglich geworden sind, unbeschadet www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 11 sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen personenbezogenen Daten besteht (Datengeheimnis). – Personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, dürfen ausschließlich für Zwecke dieses Bundesgesetzes verarbeitet werden. – Natürliche Personen, deren personenbezogene Daten auf Grundlage dieses Abschnitts verarbeitet werden, dürfen keine Nachteile erleiden, wobei die Verarbeitung in Übereinstimmung mit diesem Abschnitt keinen Nachteil darstellt. – Verantwortliche, die Verarbeitungen auf Grundlage des Abs. 2 durchführen, haben a) im Internet öffentlich einsehbar auf die Inanspruchnahme dieser Rechtsgrundlage hinzuweisen, b) bei Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen die Namensangaben jedenfalls zu löschen und c) vor Heranziehung von Registern gemäß Abs. 2 Z 3 jedenfalls aa) einen Datenschutzbeauftragten (Art. 37 DSGVO) zu bestellen sowie bb) eine von der oder dem Verfügungsbefugten über die Datenbestände aus denen die personenbezogenen Daten ermittelt werden sollen, unterfertigte Erklärung anzuschließen, dass sie oder er dem Verantwortlichen die Datenbestände für die Untersuchung zur Verfügung stellt. Anstelle dieser Erklärung kann auch ein diese Erklärung ersetzender Exekutionstitel (§ 367 Abs. 1 der Exekutionsordnung – EO, RGBl. Nr. 79/1896) vorgelegt werden. – Die Veröffentlichung von bereichsspezifischen Personenkennzeichen darf unter keinen Umständen erfolgen. – Die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung hat nach Anhörung a) von Vertreterinnen oder Vertretern, die von den zuständigen Bundesministerinnen und Bundesminister ernannt wurden, wobei jede Bundesministerin oder jeder Bundesminister eine Vertreterin oder einen Vertreter zu ernennen hat, und b) der Mitglieder der Delegiertenversammlung gemäß § 5a Abs. 1 und 2 Z 1 und 2 FTFG dem Datenschutzrat (§ 14 DSG) in Abständen von drei Jahren bis zum 1. Juni des jeweiligen Jahres einen Bericht über die Anwendung dieses Abschnitts vorzulegen. – Soweit keine abweichenden Bestimmungen getroffen werden, haben Verarbeitungen nach diesem Abschnitt den Anforderungen des Abs. 2 Z 1 zu entsprechen. Erheblichkeit der Verarbeitung: Die Verarbeitung der Daten ist erheblich, da die Verfügbarkeit (Art-29-Datenschutzgruppe, WP 248, 21 iVm hochwertiger Daten wesentliche Voraussetzung für Wissenschaft und Art. 5 Abs. 1 Buchstabe c DSGVO) Forschung ist. Die Wissenschaft und Forschung spielt für den Wohlstand in Österreich eine immer wichtigere Rolle, was sich anhand der Forschungsquote erkennen lässt (vgl. http://www.statistik.at/web_de/statistiken/energie_umwelt_ innovation_mobilitaet/ forschung_und_innovation/globalschaetzung_ forschungsquote_jaehrlich/023703.html [29.01.2018]). Die Ausgaben für F&E betrugen im Jahr 1981 1,1 Prozent des BIP, während diese im Jahr 2017 bereits 3,14 Prozent des BIP betrugen. www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 11 Mit der Beschränkung der Betroffenenrechte soll u.a. Rechtssicherheit für die Verarbeitung von Daten zu Zwecken der Arzneimittelsicherheit geschaffen werden. So bedarf die Teilnahme an klinischen Studien der Einwilligung (§ 38 AMG). Während der Durchführung klinischer Prüfungen können die Einwilligungen jederzeit widerrufen werden (§ 38 Abs. 2 AMG). Dies sollte für die bereits gewonnen Daten und v.a. nach Durchführung der klinischen Prüfungen aufgrund der vorgeschlagenen Bestimmung nicht gelten. Zur Bedeutung der Arzneimittelsicherheit darf auf eine Studie der Weltgesundheitsorganisation (WHO) verwiesen werden: http://www.euro.who.int/en/health-topics/Health-systems/patient- safety/data-and-statistics (03.02.2018). Demnach geben 23 Prozent der Bevölkerung innerhalb der EU an, direkt von einem medizinischen Fehler betroffen zu sein. 18 Prozent geben an, dass sie Opfer von Behandlungsfehlern wurden und 11 Prozent geben an, dass ihnen falsche Medikamente verschrieben wurden. Die Bedeutung der Pharmakovigilanz wird von der Österreichischen Agentur für Gesundheit und Ernährungssicherheit GmbH (vgl. https://www.ages.at/download/0/ 0/f09e372f81af2a04e58586310005818ba2d9c55d/ fileadmin/AGES2015/Service/AGES-Akademie/2016-10- 13_AGES_Gespr%C3%A4ch_Meldung_von_AM- Nebenwirkungen/05_Pharmakovigilanz_HCP-Freigegeben.pdf, 6 ff; [29.01.2018]) wie folgt zusammengefasst: – „2-6 % aller Hospitalisierungen durch NW bedingt“, – die Behandlungskosten pro Patient: knapp 2.000,00 Euro, – „4-häufigste Todesursache in den USA“ – „51 % aller zugelassenen Arzneimittel haben nicht bekannte schwerwiegende Nebenwirkungen“ Die Einschränkung der Betroffenenrechte ist aber für Citizen Science Projekte von großer Bedeutung. Die Erforschung von Bienen ist ein gutes Beispiel für gesellschaftlich bedeutende Citizen Science-Projekte (vgl. zum Beispiel das Projekt „Bienenstand“ der Karl-Franzens- Universität Graz: http://bienenstand.at/ [03.02.2018]). Bienen sind nach Informationen der Europäischen Kommission (vgl. https://ec.europa.eu/food/animals/live_animals/bees_en [03.02.2018]) für Wertschöpfung in der Höhe von mindestens 22 Milliarden Euro in der Europäischen Union verantwortlich. Außerdem bestäuben sie über 80 Prozent unserer Nutzpflanzen, weshalb ihr Erhalt von größter Bedeutung für die Menschheit ist. Können solche Studien, die oftmals unter Beteiligung der Bevölkerung zustande kommen, und damit notwendigerweise personenbezogene Daten über die Sammlerinnen und Sammler enthalten, durch die Ausübung beispielsweise des Löschungsrechts nachträglich beeinträchtigt werden, ist – je nach Bedeutung der betroffenen Studie – eine massive Beeinträchtigung öffentlicher Interessen zu befürchten. Beschränktheit der Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die Verarbeitung auf das bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls notwendige Maß: direkt personenbezogen zur Kenntnis gebracht werden dürfen (§ 2d (Art-29-Datenschutzgruppe, WP 248, 21 iVm Abs. 2 FOG). Art. 5 Abs. 1 Buchstabe c DSGVO) Speicherbegrenzung: Grundsätzlich ist die Speicherdauer nicht beschränkt (§ 2d Abs. 6 (Art-29-Datenschutzgruppe, WP 248, 21 iVm FOG), weil im Vorhinein nicht definiert werden kann, zu welchem Art. 5 Abs. 1 Buchstabe e DSGVO) Zeitpunkt welche Daten benötigt werden. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat sich betroffenen Personen: eine Datenschutz-Folgenabschätzung auch mit der transparenten (Art-29-Datenschutzgruppe, WP 248, 21 iVm Information gemäß Art. 12 DSGVO auseinanderzusetzen. Die www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 11 Art. 12 DSGVO) Informationen gemäß Art. 13 und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 2d Abs. 6 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die Verantwortlichen ihre Prozesse so anpasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation der geplanten Änderungen zum FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2d Abs. 6 iVm Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten der oder des Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheits- beschlusses der Kommission, – ein Hinweis auf das allfällige Bestehen anderer / restlicher Rechte der betroffenen Personen, – ein Hinweis auf das Bestehen des Rechts auf Beschwerde (Art. 77 DSGVO), – gegebenenfalls Informationen über das Bestehen einer www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 11 automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht werden, gilt die vorliegende Datenschutz- Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Siehe oben: Bewertung / Information der betroffenen Personen bei Personen, wenn die Daten nicht Erhebung. bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der betroffenen Die gemäß Art. 15 DSGVO vorgesehenen Informationen müssen Personen: aufgrund der Inanspruchnahme der Öffnungsklausel gemäß Art. 89 (Art-29-Datenschutzgruppe, WP 248, 21 iVm Abs. 2 bzw. Art. 23 Abs. 1 Buchstabe e DSGVO nicht angegeben Art. 15 DSGVO) werden. Zur näheren Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Datenübertragbarkeit: Buchstabe a DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt und außerdem die Öffnungsklausel gemäß Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen wird, die einen Ausschluss des Rechts auf Datenübertragbarkeit erlaubt. Zur näheren Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz (Art. 28 DSGVO) kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Übermittlungen an Drittländer sind nach § 38a (4) FOG zulässig. Die Übermittlung in Drittländer: Übermittlungen sind nur soweit zulässig, als sie der Erreichung des (Kapitel V DSGVO) Verarbeitungszweckes dienen. Kommt es zu einer Übermittlung, müssen gemäß Art. 25 DSGVO „geeignete technische und organisatorische“ getroffen werden, um „die Rechte der betroffenen Personen zu schützen.“ Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil (Art. 36 und EG 96 DSGVO) der vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind für Verarbeitungen im Rahmen des § 2d Abs. 6 immaterielle Schäden: FOG vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 11 (EG 90 iVm 85 DSGVO) dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, weshalb „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten müssen. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Verlust der Kontrolle über Der Verlust der Kontrolle über personenbezogene Daten wird durch personenbezogene Daten: folgende Maßnahmen vermieden: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Diskriminierung: Die Diskriminierung bei Verarbeitungen im Rahmen des § 2d Abs. 6 (EG 90 iVm 85 DSGVO) FOG ist aufgrund folgender Maßnahmen nahezu ausgeschlossen: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung erheblich gesenkt. Identitätsdiebstahl oder - Der Identitätsdiebstahl oder -betrug kann durch folgende Maßnahmen betrug: verhindert werden: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 11 DSGVO. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Finanzielle Verluste: Finanzielle Verluste werden durch folgende Regelungen verhindert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Unbefugte Aufhebung der Die unbefugte Aufhebung der Pseudonymisierung wird durch: Pseudonymisierung: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person (EG 90 iVm 85 DSGVO) „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Insbesondere durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG wird das Risiko der unbefugten Aufhebung der Pseudonymisierung wesentlich reduziert. Rufschädigung: Rufschädigungen werden durch folgende Maßnahmen verhindert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Verlust der Vertraulichkeit bei Die Vertraulichkeit bei Berufsgeheimnissen wird durch untenstehende Berufsgeheimnissen: Maßnahmen gewährleistet: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 11 – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Erhebliche wirtschaftliche oder Erhebliche wirtschaftliche oder gesellschaftliche Nachteile sind nicht gesellschaftliche Nachteile: zu erwarten, weil durch folgende Bestimmungen dem entgegnet wird: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen, – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Verarbeitung Eine Minimierung der Verarbeitung personenbezogener Daten kann personenbezogener Daten: nicht vorgeschrieben werden, weil im Vorhinein nicht bekannt ist, (EG 78 DSGVO) welche Daten überhaupt verarbeitet werden sollen. Dies ist allerdings auch nicht erforderlich, weil sämtliche Verarbeitungen gemäß § 2d Abs. 2 FOG nur zu Offenlegung indirekt personenbezogener Daten führen dürfen. Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Pseudonymisierung Voraussetzung für die Zulässigkeit der Verarbeitungen (§ 2d Abs. 2 personenbezogener Daten: Z1 FOG). Die Ausstattung mit bereichsspezifischen (EG 28 und 78 DSGVO) Personenkennzeichen gemäß § 2d Abs. 1 Z 2 FOG ist Voraussetzung für die Pseudonymisierung mittels bereichsspezifischer Personenkennzeichen gemäß § 2d Abs. 2 Z 1 FOG. Die Verwendung bereichsspezifischer Personenkennzeichen stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine Verarbeitung gemäß Art. 9 Abs. 2 Buchstaben i und j DSGVO. Durch die Formulierung etwa in § 2d Abs. 2 Z 3 FOG, dass „Namensangaben durch bereichsspezifische Personenkennzeichen „Forschung“ zu ersetzen sind“ soll eine praxisnahe Regelung getroffen werden, indem die gesetzliche Vermutung aufgestellt wird, dass dieser Austausch von Namen durch bereichsspezifische Personenkennzeichen einer Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO entspricht. Die Normadressatinnen und -adressaten brauchen sich aufgrund dieser Formulierung keine Gedanken machen, ob nun eine tatsächliche Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO eingetreten ist oder nicht, sondern bloß die Namen durch bereichsspezifische Personenkennzeichen austauschen, womit die Rechtssicherheit wesentlich erhöht wird. Diese Vorgangsweise ist auch durch das Unionsrecht gedeckt, weil Art. 89 Abs. 1 DSGVO die www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 11 von 11 Pseudonymisierung als bloß eine unter mehreren möglichen geeigneten Garantien anführt. Außerdem sollten gemäß EG 26 DSGVO „[b]ei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, […] alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind“. Nach heutigem Stand der Technik ist davon auszugehen, dass der Austausch der Namen durch bereichsspezifische Personenkennzeichen einer Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO entspricht. Dies umso mehr als, die „zusätzliche[n] Informationen, mit denen die personenbezogenen Daten einer speziellen betroffenen Person zugeordnet werden können“ (EG 29 DSGVO) nur der Stammzahlenregisterbehörde bekannt und somit dem Zugriff des oder der Verantwortlichen entzogen sind. Transparenz in Bezug auf die Durch die Publikation des § 2d Abs. 6 FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge Verarbeitung des Gesetzgebungsprozesses können die Hintergründe für die zulässige personenbezogener Daten: Verarbeitung personenbezogener Daten unter Beschränkung der (EG 78 DSGVO) Betroffenenrechte von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Verarbeitung Die entsprechenden Betroffenenrechte der Art. 12 ff DSGVO personenbezogener Daten ermöglichen eine Überwachung der Verarbeitung personenbezogener durch die betroffenen Daten durch die betroffene Person. Da in § 2d Abs. 6 FOG die Personen: Öffnungsklausel des Art. 17 Abs. 3 Buchstabe d, des Art. 23 Abs. 1 (EG 78 DSGVO) Buchstabe e und des Art. 89 Abs. 2 DSGVO in Anspruch genommen werden, bestehen diese Rechte nicht oder nur eingeschränkt. Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 (EG 78 und 83 DSGVO) DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Verarbeitungen im Rahmen von § 2d Abs. 6 FOG zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der Datenschutzbeauftragten der erlassenden Stelle im Rahmen des Begutachtungsverfahrens ergangen erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) www.ris.bka.gv.at BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:46:41+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Signatur finden Sie unter: https://www.signaturpruefung.gv.at Prüfinformation Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. www.ris.bka.gv.at Bundesrecht konsolidiert Anhang 7: Datenschutz-Folgenabschätzung zu § 2d Abs. 8 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 66 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 10

Anhang 7: Datenschutz-Folgenabschätzung zu § 2d Abs. 8 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Klarstellung zum automatisierten Bildabgleich gemäß § 2d Abs. 8 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es zu umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Es wird ein automatischer Abgleich von Bilddaten mit anderen (EG 90 DSGVO) personenbezogenen Daten für Zwecke gemäß Art. 89 DSGVO ermöglicht. Die Auswertung der personenbezogenen Daten nach besonderen Kategorien von personenbezogenen Daten (Art. 9 Abs. 1 DSGVO) wird ebenfalls zugelassen. Durch das Abstellen auf den „automationsunterstützten Abgleich“ richtet sich diese Bestimmung ganz klar nur an Verarbeitungen in automationsunterstützter Form. Umfang der Verarbeitung: Die von § 2d Abs. 8 FOG gedeckten Verarbeitungen umfassen (EG 90 DSGVO) personenbezogene Daten. Von der Verarbeitung sind auch besondere Kategorien von Daten umfasst, weil die Öffnungsklausel gemäß Art. 9 Abs. 2 Buchstabe j DSGVO in Anspruch genommen wird. Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht. Der vorgeschlagene § 2d Abs. 8 FOG ermöglicht es – personenbezogene Daten, die mittels Bildaufnahmen gewonnen wurden mit – anderen personenbezogenen Daten automationsunterstützt abzugleichen und Bilddaten nach besonderen Kategorien personenbezogener Daten auszuwerten. Voraussetzungen dafür sind, dass: – die Verarbeitung für Zwecke gemäß Art. 89 DSGVO erfolgt, – die Verarbeitung durch eine wissenschaftliche Einrichtung vorgenommen wird und – keine Veröffentlichung personenbezogener Daten stattfindet. Kontext der Verarbeitung: Die Verarbeitung erfolgt im Kontext der Zwecke des Art. 89 DSGVO. (Art-29-Datenschutzgruppe, WP 248, 21) Mit dem vorgeschlagenen § 2d Abs. 8 FOG soll Klarheit geschaffen werden, dass für Zwecke des Art. 89 DSGVO ein Abgleich von Bilddaten mit anderen personenbezogenen Daten und eine Auswertung der Bilddaten nach besonderen Kategorien personenbezogener Daten unter Einhaltung der Voraussetzungen zulässig sein soll. Diese Klarstellung ist notwendig, weil die Forschung mit Bilddaten sonst in einem Spannungsverhältnis zu anderen Vorschriften steht. Gemäß § 12 Abs. 3 Z 3 DSG ist ein Abgleich von Bilddaten mit anderen personenbezogenen Daten unzulässig. Die Kategorisierung könnte nach den Regeln des DSG unzulässig sein. Zweck der Verarbeitung: Die Verarbeitung der Daten erfolgt zur Gewinnung, Erweiterung und (Art. 35 Abs. 7 Buchstabe a DSGVO) Vertiefung wissenschaftlicher Erkenntnis (§ 1 Abs. 2 Z 1 FOG) sowie „zur Lösung sozialer, wirtschaftlicher, kultureller und wissenschaftlicher BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 10 Problemstellungen […] vor allem zur Sicherung und Hebung der allgemeinen Lebensqualität“ (§ 1 Abs. 2 Z 2 FOG). Empfängerinnen und Die Empfängerinnen und Empfänger werden in § 2d Abs. 8 Z 1 und Z 2 Empfänger: FOG beschränkt, weil die Verarbeitung nur durch wissenschaftliche (Art-29-Datenschutzgruppe, WP 248, 21) Einrichtungen erfolgt und keine Veröffentlichung personenbezogener vorgenommen werden darf. Speicherdauer: Nach der allgemeinen Regel des § 2d Abs. 5 FOG, wonach (Art-29-Datenschutzgruppe, WP 248, 21) personenbezogene Daten für Zwecke des 2. Abschnitts des Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die von § 2d Abs. 8 FOG betroffenen Daten unbeschränkt. Funktionelle Beschreibung Aufgrund des § 2d Abs. 8 FOG ist der Abgleich zwischen Bilddaten und der Verarbeitung: anderen personenbezogenen Daten sowie die Auswertung der Bilddaten (Art. 35 Abs. 7 Buchstabe a DSGVO) nach besonderen Kategorien personenbezogener Daten zulässig. Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz sonstige Infrastruktur): kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist (Art-29-Datenschutzgruppe, WP 248, 21) an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: § 2d Abs. 8 FOG dient der Erreichung der Zwecke gemäß Art. 89 (Art. 5 Abs. 1 Buchstabe b DSGVO) DSGVO. Die Verarbeitung ist demnach insbesondere zulässig zu „wissenschaftlichen oder historischen Forschungszwecken“. Dies wird auch in § 1 Abs. 2 bekräftigt, indem als Ziel des FOG „die Gewinnung, Erweiterung und Vertiefung wissenschaftlicher Erkenntnisse“ genannt wird. Eindeutiger Zweck: Die Angabe des Zwecks in § 2d Abs. 8 FOG ist eindeutig: die (Art. 5 Abs. 1 Buchstabe b DSGVO) angeführten Daten dürfen nur verarbeitet werden, soweit dies die Erreichung der Zwecke gemäß Art. 89 DSGVO erforderlich ist. Dass eine Verarbeitung mehrere Zwecke verfolgen darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke [Anm.: Plural!] der Verarbeitung notwendige Maß beschränkt sein“ müssen. Anders als beispielsweise in dem der Entscheidung VfSlg. 11.499/1987 zugrundeliegenden Fall, in dem eine nicht näher determinierte hoheitliche Befugnis zur Geschwindigkeitsbeschränkung vorgesehen war, erfolgt eine nähere Determinierung durch die Bestimmungen des BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 10 Forschungsorganisationsgesetzes, insofern als – auf eine wissenschaftliche Methode nach anerkannten, internationalen Standards (sogenannte Frascati-Definition) abgestellt wird (siehe Erläuterungen zu § 2 Z 14 FOG), – für die Zwecke auf Art. 89 DSGVO verwiesen wird, – nur wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) Daten verarbeiten dürfen und – keine Veröffentlichung personenbezogener Daten ermöglicht wird. Legitimer Zweck: Der in § 2d Abs. 8 FOG angegebene Zweck ist legitim, weil er von den (Art. 5 Abs. 1 Buchstabe b DSGVO) Öffnungsklauseln – des Art. 9 Abs. 2 Buchstabe g („erhebliches öffentliches Interesse“) sowie – des Art. 9 Abs. 2 Buchstabe j (Zwecke des Art. 89 DSGVO) DSGVO gedeckt und in § 2d Abs. 8 FOG vorgesehen ist. Ein Vergleich der deutschen und englischen Sprachfassung des Art. 8 Abs. 4 der Datenschutz-Richtlinie 95/46/EG (DS-RL) sowie des Art. 9 Abs. 2 Buchstabe g DSGVO zeigt, dass in den englischen Sprachfassungen jeweils vom „substantial public interest“ und in den deutschen Sprachfassungen einmal vom „erheblichen öffentlichen Interesse“ (Art. 9 Abs. 2 Buchstabe g DSGVO) und einmal vom wichtigen öffentlichen Interesse (Art. 8 Abs. 4 DS-RL) gesprochen wird, die Begriffe „erhebliches öffentliches Interesse“ und „wichtiges öffentliches Interesse“ somit Synonyme sein müssen. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988). Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Verarbeitung: Buchstabe e iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstaben g und j (Art-29-Datenschutzgruppe, WP 248, 21 iVm DSGVO, wonach die Verarbeitung aufgrund eines erheblichen Art. 6 DSGVO) öffentlichen Interesses an Wissenschaft und Forschung erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Angemessenheit der In Bezug auf die Speicherdauer gibt es keine Einschränkungen. Die Verarbeitung: Datenarten werden dahingehend beschränkt, als nur folgende (Art-29-Datenschutzgruppe, WP 248, 21 iVm Verarbeitungen zulässig sind: Art. 5 Abs. 1 Buchstabe c DSGVO) – ein Abgleich von Bilddaten mit anderen personenbezogenen Daten BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 10 und – die Auswertung personenbezogener Daten nach bestimmten Kategorien. Die Angemessenheit der Verarbeitung ergibt sich auch dadurch, dass: – gemäß § 2d Abs. 8 Z 1 FOG eine Verarbeitung nur durch wissenschaftliche Einrichtungen zulässig ist und – gemäß § 2d Abs. 8 Z 2 FOG keine Veröffentlichung personenbezogener Daten vorgenommen werden darf. Erheblichkeit der Die Verarbeitung der Daten ist erheblich, da Roboter im Operationssaal Verarbeitung: unter Umständen einen automatisierten Bildabgleich benötigen, damit (Art-29-Datenschutzgruppe, WP 248, 21 iVm sie operieren können. Im Mai entnahm erstmals ein Roboter eine Art. 5 Abs. 1 Buchstabe c DSGVO) Lebendspende-Niere (https://www.akhwien.at/default.aspx?pid=99&mid=18300&rid=3240 [30.01.2018]). Die Entnahme erfolgte im Rahmen des Lebendspende- Transplantations-Programms im AKH Wien. Die Roboter bieten den Spendern noch mehr Sicherheit und dank der Roboter können auch krankhaft fettleibige, aber sonst gesunde Menschen, Nieren spenden. Eine Auswertung der Bilddaten nach besonderen Kategorien ist z.B. erforderlich, um Schlafstörungen berührungslos, etwa mittels Bildaufnahmegeräten, erforschen zu können (https://www.meduniwien.ac.at/web/ueber- uns/news/detailseite/2016/news-im-november-2016/schlafstoerungen- 3d-videoueberwachung-mit-intelligenter-software-als-neue-analyse- option/ [07.02.2018]). Nach Angaben der Österreichischen Gesellschaft für Schlafmedizin und Schlafforschung ÖGSM leiden in Österreich ca. 25 Prozent aller Einwohnerinnen und Einwohner unter Schlafstörungen (http://www.schlafmedizin.at/patientinneninfo.html [30.01.2018]). Die ökonomischen Folgen des Schlafmangels wurden in einer Studie der Rand Corporation ermittelt (Why sleep matters – the economic costs of insufficient sleep, https://www.rand.org/pubs/research_reports/RR1791.html [30.01.2018]). Demnach belaufen sich die Kosten des Zu-wenig-Schlafens alleine in Deutschland auf bis zu 60 Milliarden USD (Why sleep matters, xii). Umgelegt auf Österreich wären das ca. 5 Mrd. Euro pro Jahr. Der Abgleich von Bilddaten mit anderen automationsunterstützten Daten ist z.B. für Systeme zur Steigerung der Verkehrssicherheit notwendig. Das dies wichtig ist, zeigt die Unfallstatistik, demnach sind im Jahr 2017 413 Menschen durch in Verkehrsunfällen ums Leben gekommen (http://www.bmi.gv.at/202/Verkehrsangelegenheiten/ unfallstatistik_vorjahr.aspx [30.01.2018]). Durch die Systeme zur Steigerung von Verkehrssicherheit kann die Zahl jener Personen, die durch einen Verkehrsunfall sterben, verringert werden. Beschränktheit der Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil es zu Verarbeitung auf das keiner Veröffentlichung personenbezogener Daten kommt (§ 2d Abs. 8 notwendige Maß: Z 2 FOG). (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO) Speicherbegrenzung: Die Speicherdauer wird nicht beschränkt, weil im Vorhinein nicht (Art-29-Datenschutzgruppe, WP 248, 21 iVm definiert werden kann zu welchem Zeitpunkt welche Daten benötigt Art. 5 Abs. 1 Buchstabe e DSGVO) werden. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 13 Art. 12 DSGVO) und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 10 verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 2d Abs. 6 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz- Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2d Abs. 8 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2d Abs. 8 iVm § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten des oder der Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls ihre Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission, – einen Hinweis auf das Bestehen eines Rechts auf – Auskunft (Art. 15 DSGVO), – Berichtigung (Art. 16 DSGVO), – Löschung (Art. 17 DSGVO), – Einschränkung (Art. 18 DSGVO) und – Beschwerde (Art. 77 DSGVO), – einen Hinweis auf die gesetzlichen Grundlagen der Verarbeitung, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 10 – gegebenenfalls das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht, gilt die vorliegende Datenschutz-Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Siehe oben: Bewertung / Generelle Informationen der betroffenen Personen, wenn die Daten Personen. nicht bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der Unter der Voraussetzung, dass die Verantwortlichen gemäß § 2d Abs. 8 betroffenen Personen: FOG ihre Prozesse so anpassen, dass das Auskunftsrecht der betroffenen (Art-29-Datenschutzgruppe, WP 248, 21 iVm Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden Art. 15 DSGVO) kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Datenübertragbarkeit: Buchstabe a DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt und außerdem die Öffnungsklausel gemäß Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen wird, die einen Ausschluss des Rechts auf Datenübertragbarkeit erlaubt. Zur näheren Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz (Art. 28 DSGVO) kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Übermittlungen an Drittländer sind nach § 38a Abs. 4 FOG zulässig. Die Übermittlung in Drittländer: Übermittlungen sind nur soweit zulässig, als sie der Erreichung des (Kapitel V DSGVO) Verarbeitungszweckes dienen. Kommt es zu einer Übermittlung, müssen gemäß Art. 25 DSGVO „geeignete technische und organisatorische“ getroffen werden, um „die Rechte der betroffenen Personen zu schützen.“ Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil der (Art. 36 und EG 96 DSGVO) vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz- Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 10 Physische, materielle oder Diese Risiken sind für Verarbeitungen im Rahmen des § 2d Abs. 8 FOG immaterielle Schäden: vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass (EG 90 iVm 85 DSGVO) „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden ebenfalls ein. Verlust der Kontrolle über Diesem Risiko wird durch die Einhaltung der (anwendbaren) Rechte der personenbezogene Daten: betroffenen Person gemäß Kapitel III der Datenschutz- (EG 90 iVm 85 DSGVO) Grundverordnung, das sind: – Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) Rechnung getragen. Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den jeweiligen Verantwortlichen einzuhalten, deren Nichteinhaltung mit 10 Millionen Euro sanktioniert ist (Art. 83 Abs. 4 Buchstabe a DSGVO). Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert. Diskriminierung: Die Diskriminierung im Rahmen der Verarbeitung gemäß § 2d Abs. 8 (EG 90 iVm 85 DSGVO) FOG ist aufgrund folgender Maßnahmen nahezu ausgeschlossen: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Identitätsdiebstahl oder - Der Identitätsdiebstahl oder -betrug kann durch folgende Maßnahmen betrug: verhindert werden: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortlicher/Auftragsverarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 10 DSGVO. Finanzielle Verluste: Dieses Risiko wird insbesondere durch die unionsrechtliche (EG 90 iVm 85 DSGVO) Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert. Unbefugte Aufhebung der Dieses Risiko wird wie folgt minimiert: Pseudonymisierung: – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, (EG 90 iVm 85 DSGVO) materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die unbefugte Aufhebung der Pseudonymisierung, bieten. Rufschädigung: Dieses Risiko wird wie folgt minimiert: (EG 90 iVm 85 DSGVO) – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die unbefugte Aufhebung der Pseudonymisierung, bieten. Verlust der Vertraulichkeit Dieses Risiko wird wie folgt minimiert: bei Berufsgeheimnissen: – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, (EG 90 iVm 85 DSGVO) materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die unbefugte Aufhebung der Pseudonymisierung, bieten. Erhebliche wirtschaftliche Dieses Risiko wird wie folgt minimiert: oder gesellschaftliche – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, Nachteile: materielle oder immaterielle Schäden); (EG 90 iVm 85 DSGVO) – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die unbefugte Aufhebung der Pseudonymisierung, bieten. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Eine Minimierung der Verarbeitung ist dahingehend vorgesehen als nur Verarbeitung der Abgleich von Bilddaten mit anderen personenbezogenen Daten und personenbezogener Daten: die Auswertung der Bilddaten erlaubt wird. Nur wissenschaftliche (EG 78 DSGVO) Einrichtungen dürfen die Verarbeitungen durchführen und nur für Zwecke des Art. 89 DSGVO. Durch diese Maßnahmen wird der Minimierung der Verarbeitung personenbezogener Daten entsprochen. Schnellstmögliche Die schnellstmögliche Pseudonymisierung personenbezogener Daten Pseudonymisierung wird durch Art. 89 DSGVO sichergestellt. Er besagt, dass „technische personenbezogener Daten: und organisatorische Maßnahmen [zu] bestehen [haben], mit denen (EG 28 und 78 DSGVO) insbesondere die Achtung des Grundsatzes der Datenminimierung BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 10 gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören“. Diese hat schnellstmöglich zu erfolgen. Transparenz in Bezug auf die Durch die Publikation des § 2d Abs. 8 FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Verarbeitung Gesetzgebungsprozesses können die Hintergründe für die zulässige personenbezogener Daten: Verarbeitung personenbezogener Daten unter Beschränkung der (EG 78 DSGVO) Betroffenenrechte von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß Verarbeitung Kapitel III der Datenschutz-Grundverordnung, das sind: personenbezogener Daten – Transparente Information, Kommunikation und Modalitäten für die durch die betroffenen Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), Personen: (EG 78 DSGVO) – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) grundsätzlich – soweit nicht beispielsweise eine Einschränkung gemäß § 2d Abs. 6 FOG erforderlich ist – die Möglichkeit, die Verarbeitung ihrer Daten durch die wissenschaftlichen Einrichtungen zu überwachen. Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 (EG 78 und 83 DSGVO) DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Verarbeitungen im Rahmen von § 2d Abs. 8 FOG zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der In den Erläuterungen zur Regierungsvorlage wird an dieser Stelle die Datenschutzbehörde: Stellungnahme der Datenschutzbehörde zu dieser Datenschutz- (Art. 36 Abs. 4 DSGVO) Folgenabschätzung im Begutachtungsverfahren abgedruckt werden. Stellungnahme des In den Erläuterungen zur Regierungsvorlage wird an dieser Stelle die Datenschutzbeauftragten der Stellungnahme des Datenschutzbeauftragten des Bundesministeriums für erlassenden Stelle: Bildung, Wissenschaft und Forschung zu dieser Datenschutz- (Art. 35 Abs. 2 DSGVO) Folgenabschätzung im Begutachtungsverfahren abgedruckt werden. Stellungnahme betroffener In den Erläuterungen zur Regierungsvorlage werden an dieser Stelle die Personen: Stellungnahmen aller betroffenen Personen im Begutachtungsverfahren (Art. 35 Abs. 9 DSGVO) zu dieser Datenschutz-Folgenabschätzung ergangenen Stellungnahmen abgedruckt. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 10 Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:46:54+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Signatur finden Sie unter: https://www.signaturpruefung.gv.at Prüfinformation Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 8: Datenschutz-Folgenabschätzung zu § 2d Abs. 9 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 77 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 10

Anhang 8: Datenschutz-Folgenabschätzung zu § 2d Abs. 9 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Markierung von Forschungsmaterial durch bereichsspezifische Personenkennzeichen gemäß § 2d Abs. 9 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und diese auch Personen betreffen können, die besonders schutzwürdig sind – nämlich Studienteilnehmerinnen und Studienteilnehmer. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Gemäß § 2d Abs. 9 FOG dürfen bereichsspezifische (EG 90 DSGVO) Personenkennzeichen (§ 9 E-GovG) in maschinenlesbarer Form an Forschungsmaterial (§ 2b Z 6 FOG) angebracht werden. Umfang der Verarbeitung: Die von § 2d Abs. 9 FOG gedeckten Verarbeitungen umfassen bloß das (EG 90 DSGVO) Verwenden von – in maschinenlesbarer Form (ausgedruckten) – bereichsspezifischen Personenkennzeichen. Andere Datenarten sind von der vorgeschlagenen Ermächtigung nicht umfasst. Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht. Der vorgeschlagene § 2d Abs. 9 FOG erlaubt das Anbringen von – in maschinenlesbarer Form (ausgedruckten) – bereichsspezifischen Personenkennzeichen (§ 9 E-GovG) an Forschungsmaterial (§ 2b Z 6 FOG). Kontext der Verarbeitung: Die Verarbeitung erfolgt im Kontext des Art. 89 DSGVO. (Art-29-Datenschutzgruppe, WP 248, 21) Mit dem vorgeschlagenen § 2d Abs. 9 FOG soll Rechtssicherheit geschaffen werden, dass Bestimmungen des E-Government-Gesetzes, BGBl. I Nr. 10/2004, die einem Aufdrucken von bereichsspezifischen Personenkennzeichen entgegenstehen, nicht anwendbar sind. Hintergrund ist, dass beispielsweise vollautomatisierte Biobanken, ermöglicht werden und trotzdem die Identifikation der betroffenen Personen mit höchster Qualität und höchstem Datenschutz erfolgen kann. Zweck der Verarbeitung: Die Verarbeitung der Daten erfolgt insbesondere um die (Art. 35 Abs. 7 Buchstabe a DSGVO) organisatorischen Grundlagen zur Gewinnung, Erweiterung und Vertiefung wissenschaftlicher Erkenntnis schaffen zu können. Empfängerinnen und Die Verarbeitung ist nur für den internen Gebrauch in Empfänger: wissenschaftlichen Einrichtungen vorgesehen – eine Übermittlung an (Art-29-Datenschutzgruppe, WP 248, 21) Dritte (Art. 4 Nr. 10 DSGVO) soll nicht erfolgen. Speicherdauer: Nach der allgemeinen Regel des § 2d Abs. 5 FOG, wonach (Art-29-Datenschutzgruppe, WP 248, 21) personenbezogene Daten für Zwecke des 2. Abschnitts des Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 10 gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die von § 2d Abs. 9 FOG betroffenen Daten unbeschränkt. Funktionelle Beschreibung der Aufgrund des § 2d Abs. 9 FOG dürfen bereichsspezifische Verarbeitung: Personenkennzeichen (§ 9 E-GovG) an Forschungsmaterial (§ 2b Z 6 (Art. 35 Abs. 7 Buchstabe a DSGVO) FOG) angebracht werden. Dies erfolgt einerseits im Sinne guter, wissenschaftlicher Praxis, um schnell und leicht auf die der wissenschaftlichen Forschung zugrundeliegenden Daten (§ 2b Z 5 FOG) bzw. Forschungsmaterial (§ 2b Z 6 FOG) zugreifen zu können und andererseits um effiziente Arbeitsweisen zu ermöglichen. Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz sonstige Infrastruktur): kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist (Art-29-Datenschutzgruppe, WP 248, 21) an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: § 2d Abs. 9 FOG verweist auf die verfolgen Zwecke durch die (Art. 5 Abs. 1 Buchstabe b DSGVO) Formulierung „Für Zwecke dieses Bundesgesetzes“. Diese sind in § 1 FOG festgelegt. Eindeutiger Zweck: Die Angabe des Zwecks in § 2d Abs. 9 FOG ist eindeutig: die (Art. 5 Abs. 1 Buchstabe b DSGVO) angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Erreichung der in §1 FOG genannten Ziele des Forschungsorganisationsgesetzes erforderlich ist. Dass eine Verarbeitung mehrere Zwecke verfolgen darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke [Anm.: Plural!] der Verarbeitung notwendige Maß beschränkt sein“ müssen. Anders als beispielsweise in dem der Entscheidung VfSlg. 11.499/1987 zugrundeliegenden Fall, in dem eine nicht näher determinierte hoheitliche Befugnis zur Geschwindigkeitsbeschränkung vorgesehen war, erfolgt eine nähere Determinierung durch die Bestimmungen des Forschungsorganisationsgesetzes, insofern als – auf eine wissenschaftliche Methode nach anerkannten, internationalen Standards (sogenannte Frascati-Definition) abgestellt wird (siehe Erläuterungen zu § 2b Z 12 FOG), – die Zwecke in § 1 FOG abschließend definiert werden und – geeignete Maßnahmen zum Schutz der betroffenen Personen vorgesehen werden, wie insbesondere Pseudonymisierung (§ 2d Abs. 2 FOG). BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 10 Legitimer Zweck: Der in § 2d Abs. 9 FOG angegebene Zweck ist legitim, weil er von der (Art. 5 Abs. 1 Buchstabe b DSGVO) Öffnungsklausel des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO gedeckt und ausdrücklich angeführt ist. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988). Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 9 Abs. 2 Verarbeitung: Buchstabe j DSGVO, wonach die Verarbeitung zu Zwecken gemäß (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 89 DSGVO erfolgt. Art. 6 DSGVO) Angemessenheit der Die Verarbeitung soll nur im internen Bereich der wissenschaftlichen Verarbeitung: Einrichtungen erfolgen. Eine Übermittlung ist nicht vorgesehen. (Art-29-Datenschutzgruppe, WP 248, 21 iVm Außerdem dürfen die bereichsspezifischen Personenkennzeichen nur in Art. 5 Abs. 1 Buchstabe c DSGVO) maschinenlesbarer Form angebracht werden. Ein Rückschluss auf die dahinterstehende natürliche Person ist somit nicht (zwangsweise) möglich. Erheblichkeit der Die Klarstellung in § 2d Abs. 9 FOG ist erforderlich damit mittels Verarbeitung: Barcodes, QR-Codes oder RFID-Transpondern bereichsspezifische (Art-29-Datenschutzgruppe, WP 248, 21 iVm Personenkennzeichen an Forschungsmaterial angebracht werden dürfen. Art. 5 Abs. 1 Buchstabe c DSGVO) Dadurch wird Folgendes ermöglicht (vgl. Bundesamt für Sicherheit in der Informationstechnik, Risiken und Chancen des Einsatzes von RFID- Systemen, 62; [https://www.bsi.bund.de/SharedDocs/Downloads /DE/BSI/ElekAusweise/RFID/RIKCHA_barrierefrei_pdf.pdf?_ _blob=publicationFile [05.02.2018]): – Kennzeichnung von Objekten, – Reduktion von Verlustmengen und – Prozessoptimierung. Unter Kennzeichnung von Objekten fällt im Bereich der Forschung zum Beispiel die Identifikation von Proben. Durch den Einsatz von RFID-Technologien können Proben schnell, automatisiert und elektronisch verwaltet und lokalisiert werden. Dadurch werden sich die Probengrößen verringern. Behälter, die toxische Substanzen enthalten, können eindeutig beschriftet werden. Es kann auch zur Kostensenkung, unter Wahrung der Qualitätsstandards und Verbesserung der Serviceleistung, kommen (vgl. Risiken und Chancen des Einsatzes von RFID-Systemen, 66). Labore verwenden bereits die RFID-Technologie, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 10 um Gewebe- oder Blutproben zu kennzeichnen und zu verwalten. So können Transponder, die an Blutproben angebracht werden, Temperaturschwankungen identifizieren, um Effizienzsteigerungen sicherzustellen (vgl. http://www.rfid-basis.de/article-002.html; [05.02.2018]). Die Effizienzsteigerungen führen dazu, dass es zu einem bestmöglichen Einsatz der aufgewendeten, insbesondere öffentlicher, Mittel kommt. Beschränktheit der Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die Verarbeitung auf das bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls direkt notwendige Maß: personenbezogen zur Kenntnis gebracht werden dürfen (§ 2d Abs. 2 (Art-29-Datenschutzgruppe, WP 248, 21 iVm FOG). Art. 5 Abs. 1 Buchstabe c DSGVO) Speicherbegrenzung: Da in § 2d Abs. 9 FOG keine ausdrückliche Speicherdauer vorgesehen (Art-29-Datenschutzgruppe, WP 248, 21 iVm ist, gilt die Zweifelsregel des § 2d Abs. 5 FOG, wonach die Art. 5 Abs. 1 Buchstabe e DSGVO) Speicherdauer der verarbeiteten Daten nicht beschränkt wird. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 13 Art. 12 DSGVO) und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nicht besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die jeweiligen wissenschaftlichen Einrichtungen ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz- Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2d Abs. 9 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 10 werden: durch Publikation des § 2d Abs. 9 iVm Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten der oder des Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheits- beschlusses der Kommission, – ein Hinweis auf das allfällige Bestehen anderer / restlicher Rechte der betroffenen Personen, – ein Hinweis auf das Bestehen des Rechts auf Beschwerde (Art. 77 DSGVO), – gegebenenfalls Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht werden, gilt die vorliegende Datenschutz- Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Siehe oben: Bewertung / Information der betroffenen Personen bei Personen, wenn die Daten Erhebung. nicht bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen betroffenen Personen: ihre Prozesse so anpassen, dass das Auskunftsrecht der betroffenen (Art-29-Datenschutzgruppe, WP 248, 21 iVm Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden Art. 15 DSGVO) kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Datenübertragbarkeit: Buchstabe a DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz (Art. 28 DSGVO) kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Eine Übermittlung in Drittländer wäre nach § 1 Abs. 4 TVG 2012 iVm Übermittlung in Drittländer: den §§ 38a FOG grundsätzlich zulässig, allerdings ergibt sich aus dem (Kapitel V DSGVO) Sinn der Regelung – das ist die verbesserte interne Organisation – dass eine Übermittlung (und schon gar nicht in Drittländer) niemals angedacht war. Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil der BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 10 (Art. 36 und EG 96 DSGVO) vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind für Verarbeitungen im Rahmen des § 2d FOG immaterielle Schäden: vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass (EG 90 iVm 85 DSGVO) „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind – mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, Bestimmungen über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen vorgesehen, die wie § 302 (Amtsmissbrauch) oder § 310 („Verletzung des Amtsgeheimnisses“) Schäden vorbeugen (RIS-Justiz, RS0054100) und so für eine effektive Risikominimierung sorgen. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Verlust der Kontrolle über Der Verlust der Kontrolle über personenbezogene Daten wird durch personenbezogene Daten: folgende Maßnahmen vermieden: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 10 des Verlusts der Kontrolle über personenbezogene Daten zudem wesentlich gesenkt. Diskriminierung: Das Risiko der Diskriminierung wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung darüber hinaus erheblich gesenkt. Identitätsdiebstahl oder - Das Risiko des Identitätsdiebstahls und -betrugs wird insbesondere betrug: durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Identitätsdiebstahls oder -betruges darüber hinaus wesentlich gesenkt. Finanzielle Verluste: Das Risiko finanzieller Verluste wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 10 Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Unabhängig davon wird das Risiko finanzieller Verluste durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG zusätzlich wesentlich gesenkt. Unbefugte Aufhebung der Das Risiko der unbefugten Aufhebung der Pseudonymisierung wird Pseudonymisierung: insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Insbesondere durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG wird das Risiko der unbefugten Aufhebung der Pseudonymisierung darüber hinaus wesentlich reduziert. Rufschädigung: Das Risiko der Rufschädigung wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 10 – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Verlust der Vertraulichkeit bei Das Risiko des Verlusts der Vertraulichkeit bei Berufsgeheimnissen Berufsgeheimnissen: wird insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Erhebliche wirtschaftliche Das Risiko erheblicher wirtschaftlicher und gesellschaftlicher Nachteile oder gesellschaftliche wird insbesondere durch folgende Maßnahmen minimiert: Nachteile: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person (EG 90 iVm 85 DSGVO) „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko erheblicher wirtschaftlicher oder gesellschaftlicher Nachteile zudem wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Verarbeitung Eine Minimierung der Verarbeitung personenbezogener Daten ist personenbezogener Daten: dahingehend vorgesehen, dass nur bereichsspezifische (EG 78 DSGVO) Personenkennzeichen (§ 9 E-GovG) in maschinenlesbarer Form und nur an Forschungsmaterial (§ 2 Z 6 FOG) angebracht werden dürfen. Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt schließlich eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 10 Schnellstmögliche Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Pseudonymisierung Voraussetzung für die Zulässigkeit der Verarbeitungen gemäß § 2d personenbezogener Daten: Abs. 9 FOG. Die Verwendung bereichsspezifischer (EG 28 und 78 DSGVO) Personenkennzeichen stellt nicht nur eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar, sondern ist selbst bereits die Pseudonymisierung. Transparenz in Bezug auf die Durch die Publikation des § 2d Abs. 9 FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge Verarbeitung des Gesetzgebungsprozesses können die Hintergründe für die zulässige personenbezogener Daten: Verarbeitung personenbezogener Daten bei der Markierung von (EG 78 DSGVO) Forschungsmaterial durch bereichsspezifische Personenkennzeichen nachvollzogen werden. Überwachung der Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß Verarbeitung Kapitel III der Datenschutz-Grundverordnung, das sind: personenbezogener Daten – Transparente Information, Kommunikation und Modalitäten durch die betroffenen für die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), Personen: – Informationspflicht bei Erhebung von personenbezogenen (EG 78 DSGVO) Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) die Möglichkeit, die Verarbeitung ihrer Daten durch die Verantwortliche oder den Verantwortlichen zu überwachen. Datensicherheitsmaßnahmen: Die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO sind von dem (EG 78 und 83 DSGVO) oder der Verantwortlichen zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der Datenschutzbeauftragten der erlassenden Stelle im Rahmen des Begutachtungsverfahrens ergangen. erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:47:10+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Signatur finden Sie unter: https://www.signaturpruefung.gv.at Prüfinformation Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 9: Datenschutz-Folgenabschätzung zu § 2e FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 89 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 12

Anhang 9: Datenschutz-Folgenabschätzung zu § 2e FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die datenschutzrechtliche Bestimmung zum Qualitätsmanagement im Anwendungsbereich des Art. 89 DSGVO (§ 2e des Forschungsorganisationsgesetzes [FOG], BGBl. Nr. 341/1981). Eine Datenschutz- Folgenabschätzung ist gemäß Art. 35 DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Zur Feststellung ihrer mittel- und langfristigen Wirkungen dürfen (EG 90 DSGVO) – wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) und – Art-89-Förder- und Zuwendungsstelle (§ 2b Z 1 FOG) Daten direkt personenbezogen verarbeiten, jedoch nur in pseudonymisierter oder anonymisierter Form veröffentlichen (§ 2e Abs. 2 und 4 FOG). Gemäß § 2e Abs. 3 iVm Abs. 4 haben wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) und Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) und die allenfalls zuständige Bundesministerinnen und Bundesminister den Anspruch einer – Ausstattung mit bereichsspezifischen Personenkennzeichen (Z 1) und – Übermittlung der Daten von öffentlichen Stellen (§ 2b Z 8 FOG) und Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG). Umfang der Verarbeitung: Die Verarbeitung umfasst folgende Datenarten: (EG 90 DSGVO) hinsichtlich wissenschaftlicher Mitarbeiterinnen und Mitarbeiterinnen (§ 2e Abs. 2 Z 1 FOG): – den vollständigen Namen, – das Geburtsdatum, – den Geburtsort, – die Staatsbürgerschaft, – das bereichsspezifische Personenkennzeichen für den Tätigkeitsbereich „Bildung und Forschung“ (bPK-BF) oder andere Personenkennzeichen, soweit die eindeutige Zuordnung zu betroffenen Personen sichergestellt ist, – Angaben zur elektronischen Erreichbarkeit, – soziobiografische und sozioökonomische Angaben, – die folgenden qualitativen Daten: – Relevanz des Studiums für die Beschäftigung, – berufliches Fortkommen und Zufriedenheit, – Wahrnehmung der Qualität und Relevanz ihrer Bildungs- und Ausbildungserfahrung, – die folgenden quantitativen Daten: BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 12 – Einstieg ins Berufsleben und weitere (Aus-)Bildung, – Einkommen, – Art des Vertrages, – Beschäftigungsstatus, – Beruf, Berufsstatus und Tätigkeit (im Verlauf), – Angaben zu geografischen und sektoralen Mobilitäten (§ 2b Z 7 FOG) sowie hinsichtlich Studierende: – die unter Z 1 genannten Angaben, – die Anschrift sowie – folgende quantitative Daten: – Studienintensität, – Studienmethode, – Qualifikation(en), – erhaltene Leistungspunkte sowie – Studienfach. Von der Verarbeitung betroffene Personen sind: – ehemalige Mitarbeiterinnen oder Mitarbeiter und – ehemalige Studierende. Da die unionsrechtliche Grundlage Art. 9 Abs. 2 Buchstabe j DSGVO ist, ist auch eine Verarbeitung sensibler Daten möglich. Kontext der Verarbeitung: Die vorgeschlagene Regelung soll das Qualitätsmanagement für (Art-29-Datenschutzgruppe, WP 248, 21) wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen ermöglichen. Des Weiteren wird eine Rechtsgrundlage für eine Begleitung der Aktivitäten im Anwendungsbereichs des Art. 89 Abs. 1 DSGVO geschaffen. § 2e Abs. 2 FOG ist die Rechtsgrundlage für die Verarbeitung von wissenschaftlichen Einrichtungen. Im § 2e Abs. 3 FOG soll eine Rechtsgrundlage geschaffen werden, damit wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) zur Feststellung ihrer Tätigkeiten – eine Ausstattung mit bereichsspezifischen Personenkennzeichen (Z 1) sowie – die Übermittlung von pseudonymisierten Daten von natürlichen Personen sowie sonstigen Betroffenen iSd § 6 Abs. 4 E- Government-Gesetz (Z 2) verlangen dürfen. § 2e Abs. 4 FOG dehnt den Anwendungsbereich des Qualitätsmanagements gemäß Abs. 2 und 3 leg. cit. auch auf Art-89- Förder- und Zuwendungsstellen (§ 2b Z 1 FOG). aus. Zweck der Verarbeitung: Der Zweck der Verarbeitung ist die Feststellung der mittel- und (Art. 35 Abs. 7 Buchstabe a DSGVO) langfristigen Wirkungen (§ 2e Abs. 1 FOG). Dies dient der – Feststellung des „optimalen Mitteleinsatz[es] von öffentlichen Stellen zur Förderung von Zwecken gemäß Art. 89 DSGVO“ (§ 2e Abs. 1 Z 1 FOG) und – „bestmöglichen Entwicklung des Wissensstandes in den in Art. 89 DSGVO genannten Disziplinen durch Veröffentlichung des aktuellen Forschungsstandes“ (§ 2e Abs. 1 Z 2 FOG). Empfängerinnen und Die Empfängerinnen und Empfänger sind wissenschaftliche Empfänger: Einrichtungen, Art-89-Förder- und Zuwendungsstellen, und die (Art-29-Datenschutzgruppe, WP 248, 21) allenfalls zuständigen Bundesministerinnen und Bundesminister. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 12 Speicherdauer: Nach der allgemeinen Regel des § 2d Abs. 5 FOG, wonach (Art-29-Datenschutzgruppe, WP 248, 21) personenbezogene Daten für Zwecke des 2. Abschnitts des Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die von § 2e FOG betroffenen Daten unbeschränkt. Funktionelle Beschreibung der Wissenschaftlichen Einrichtungen und Art-89-Förder- und Verarbeitung: Zuwendungsstellen wird durch die vorgeschlagene Bestimmung die (Art. 35 Abs. 7 Buchstabe a DSGVO) Möglichkeit des Qualitätsmanagements eingeräumt. Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum sonstige Infrastruktur): Einsatz kommende Infrastruktur typischerweise nicht gesetzlich (Art-29-Datenschutzgruppe, WP 248, 21) geregelt ist, ist an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: § 2e FOG zielt auf die Feststellung der mittel- und langfristigen (Art. 5 Abs. 1 Buchstabe b DSGVO) Wirkungen ab: Dies dient gemäß §2e Abs. 1 FOG der – Feststellung des „optimalen Mitteleinsatz[es] von öffentlichen Stellen zur Förderung von Zwecken gemäß Art. 89 DSGVO“ (§ 2e Abs. 1 Z 1 FOG) und – „bestmöglichen Entwicklung des Wissensstandes in den in Art. 89 DSGVO genannten Disziplinen durch Veröffentlichung des aktuellen Forschungsstandes“ (§ 2e Abs. 1 Z 2 FOG). Eindeutiger Zweck: Die Angabe des Zwecks in § 2e FOG ist eindeutig: die angeführten (Art. 5 Abs. 1 Buchstabe b DSGVO) Daten dürfen nur verarbeitet werden, soweit dies für die angegebenen Zwecke erforderlich ist. Dass eine Verarbeitung mehrere Zwecke verfolgen darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke [Anm.: Plural!] der Verarbeitung notwendige Maß beschränkt sein“ müssen. Anders als beispielsweise in dem der Entscheidung VfSlg. 11.499/1987 zugrundeliegenden Fall, in dem eine nicht näher determinierte hoheitliche Befugnis zur Geschwindigkeitsbeschränkung vorgesehen war, erfolgt eine nähere Determinierung durch die Bestimmungen des Forschungsorganisationsgesetzes, insofern als – auf eine wissenschaftliche Methode nach anerkannten, internationalen Standards (sogenannte Frascati-Definition) abgestellt wird (siehe Erläuterungen zu § 2b Z 12 FOG), BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 12 – für die Zwecke auf Art. 89 DSGVO verwiesen wird, – nur wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) und Art- 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) Daten verarbeiten dürfen und – keine Veröffentlichung personenbezogener Daten ermöglicht wird. Legitimer Zweck: Der in § 2e Abs. 1 FOG angegebene Zweck ist legitim, weil er von (Art. 5 Abs. 1 Buchstabe b DSGVO) den Öffnungsklauseln – des Art. 6 Abs. 1 Buchstabe c („rechtliche Verpflichtung“), – des Art. 9 Abs. 2 Buchstabe g („erhebliches öffentliches Interesse“) sowie – des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO gedeckt ist und in § 2e Abs. 1 FOG ausdrücklich vorgesehen ist. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988). Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 2e Abs. 1 Verarbeitung: Buchstabe c iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstaben g und j (Art-29-Datenschutzgruppe, WP 248, 21 iVm DSGVO, wonach die Verarbeitung aufgrund eines erheblichen Art. 6 DSGVO) öffentlichen Interesses erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Angemessenheit der In Bezug auf die Speicherdauer gibt es keine Einschränkungen. Verarbeitung: Die Angemessenheit gibt sich durch: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO) – die Festlegung der Zwecke – unter Verweis auf Art. 89 DSGVO in § 2e Abs. 1 FOG, – die Beschränkung der Veröffentlichung durch den Verweis auf die Anforderungen des § 2d Abs. 2 Z 1 FOG, – die Beschränkung der Datenarten gemäß § 2e Abs. 2 FOG und – die Verwendung bereichsspezifischer Personenkennzeichen iSd § 2e Abs. 3 FOG. Erheblichkeit der Verarbeitung: Die Erheblichkeit der Verarbeitung zum Zweck des § 2e Abs. 1 Z 1 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 12 (Art-29-Datenschutzgruppe, WP 248, 21 iVm FOG, dem optimalen Einsatz der vorhandenen Mittel von öffentlichen Art. 5 Abs. 1 Buchstabe c DSGVO) Stellen zur Förderung der Zwecke gemäß Art. 89 DSGVO, lässt sich an den Staatsschulden und an der Forschungsquote ablesen. Der optimale Einsatz gewährleistet, dass keine Mittel öffentlicher Stellen verschwendet werden. Wie wichtig das ist zeigt die Entwicklung der öffentlichen Schuldenquote Österreichs. (https://www.statistik.at/web_de/statistiken/wirtschaft /oeffentliche_finanzen_und_steuern/maastricht-indikatoren /oeffentlicher_schuldenstand/index.html [24.01.2018]). Der öffentliche Schuldenstand hat sich seit dem Jahre 2000 in absoluten Zahlen fast verdoppelt. Beschränktheit der Verarbeitung Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil auf das notwendige Maß: personenbezogene Daten, wenn dann nur unter den Auflagen des § 2d (Art-29-Datenschutzgruppe, WP 248, 21 iVm Abs. 2 Z 1 FOG veröffentlicht werden. Die Verarbeitung ist nur für Art. 5 Abs. 1 Buchstabe c DSGVO) wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) und Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG). erlaubt. Zusätzlich werden die Daten, die verarbeitet werden dürfen, in § 2e Abs. 2 FOG demonstrativ aufgezählt. Speicherbegrenzung: Die Speicherdauer wird nicht beschränkt, weil im Vorhinein nicht (Art-29-Datenschutzgruppe, WP 248, 21 iVm definiert werden kann zu welchem Zeitpunkt welche Daten benötigt Art. 5 Abs. 1 Buchstabe e DSGVO) werden. Der Zweck ist die Feststellung der mittel- und langfristigen Wirkungen. Wann genau die mittel- und langfristigen Wirkungen eintreten, kann nicht vorhergesagt werden. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 12 DSGVO) Art. 13 und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des §2d Abs.6 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) und Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz- Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 12 Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2e FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des §2e iVm § 2e Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten des oder der Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls ihre Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission, – einen Hinweis auf das Bestehen eines Rechts auf – Auskunft (Art. 15 DSGVO), – Berichtigung (Art. 16 DSGVO), – Löschung (Art. 17 DSGVO), – Einschränkung (Art. 18 DSGVO) und – Beschwerde (Art. 77 DSGVO), – einen Hinweis auf die gesetzlichen Grundlagen der Verarbeitung, – gegebenenfalls das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht, gilt die vorliegende Datenschutz-Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 14 DSGVO vorgesehenen Informationen müssen Personen, wenn die Daten nicht aufgrund der Inanspruchnahme der Öffnungsklausel gemäß Art. 23 bei ihnen erhoben werden: Abs. 1 Buchstabe e DSGVO nicht angegeben werden. Zur näheren (Art-29-Datenschutzgruppe, WP 248, 21 iVm Begründung siehe oben: Bewertung / Generelle Informationen der Art. 14 DSGVO) betroffenen Personen. Auskunftsrecht der betroffenen Die gemäß Art. 15 DSGVO vorgesehenen Informationen müssen Personen: aufgrund der Inanspruchnahme der Öffnungsklausel gemäß Art. 89 (Art-29-Datenschutzgruppe, WP 248, 21 iVm Abs. 2 bzw. Art. 23 Abs. 1 Buchstabe e DSGVO nicht angegeben Art. 15 DSGVO) werden. Zur näheren Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Recht auf Datenübertragbarkeit: Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 (Art. 20 DSGVO) Buchstabe a DSGVO nicht zu, weil die Verarbeitung – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 12 DSGVO) erfolgt und außerdem die Öffnungsklausel gemäß Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen wird, die einen Ausschluss des Rechts auf Datenübertragbarkeit erlaubt. Zur näheren Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum (Art. 28 DSGVO) Einsatz kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Übermittlungen an Drittländer sind nach § 38a Abs. 4 FOG zulässig. Übermittlung in Drittländer: Die Übermittlungen sind nur soweit zulässig, als sie der Erreichung (Kapitel V DSGVO) des Verarbeitungszweckes dienen. Kommt es zu einer Übermittlung, müssen gemäß Art. 25 DSGVO „geeignete technische und organisatorische“ getroffen werden, um „die Rechte der betroffenen Personen zu schützen.“ Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil (Art. 36 und EG 96 DSGVO) der vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind für Verarbeitungen im Rahmen des § 2e FOG immaterielle Schäden: vorstellbar, werden allerdings durch Art. 25 DSGVO gesenkt, weil (EG 90 iVm 85 DSGVO) „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, wonach „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten müssen. Die Nichteinhaltung ist – für wissenschaftliche Einrichtungen und Art-89- Förder- und Zuwendungsstellen, die keine öffentlichen Stellen sind – mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die öffentlichen Stellen sind, sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, Bestimmungen über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen vorgesehen, die wie § 302 (Amtsmissbrauch) oder § 310 („Verletzung des Amtsgeheimnisses“) Schäden vorbeugen (RIS-Justiz, RS0054100) und so für eine effektive Risikominimierung sorgen. Zudem wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 12 Schäden wesentlich gesenkt. Verlust der Kontrolle über Der Verlust der Kontrolle über personenbezogene Daten wird durch personenbezogene Daten: folgende Maßnahmen vermieden: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Darüber hinaus wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Diskriminierung: Das Risiko der Diskriminierung wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung erheblich gesenkt. Identitätsdiebstahl oder -betrug: Das Risiko des Identitätsdiebstahls und -betrugs wird insbesondere (EG 90 iVm 85 DSGVO) durch folgende Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 12 – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Überdies wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Finanzielle Verluste: Das Risiko finanzieller Verluste wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Zudem wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Unbefugte Aufhebung der Das Risiko der unbefugten Aufhebung der Pseudonymisierung wird Pseudonymisierung: insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die keine öffentlichen Stellen sind: BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 12 Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Darüber hinaus wird durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG das Risiko der unbefugten Aufhebung der Pseudonymisierung wesentlich reduziert. Rufschädigung: Das Risiko der Rufschädigung wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Verlust der Vertraulichkeit bei Das Risiko des Verlusts der Vertraulichkeit bei Berufsgeheimnissen Berufsgeheimnissen: wird insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 11 von 12 Erhebliche wirtschaftliche oder Das Risiko erheblicher wirtschaftlicher und gesellschaftlicher gesellschaftliche Nachteile: Nachteile wird insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen und Art-89-Förder- und Zuwendungsstellen, die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Überdies wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Verarbeitung Eine Minimierung der Verarbeitung personenbezogener Daten ergibt personenbezogener Daten: sich dadurch, dass Daten nur zur Feststellung der Wirkung gemäß § 2e (EG 78 DSGVO) Abs. 1 FOG verarbeitet werden dürfen. Alle Daten, die verarbeitet werden dürfen, werden in § 2e Abs. 2 FOG aufgezählt und dienen dem angestrebten Zweck. Zudem erfolgt mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die schnellstmögliche Pseudonymisierung personenbezogener Daten Pseudonymisierung wird durch Art. 89 DSGVO sichergestellt, wonach „technische und personenbezogener Daten: organisatorische Maßnahmen [zu] bestehen [haben], mit denen (EG 28 und 78 DSGVO) insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören“. Diese hat schnellstmöglich zu erfolgen. Transparenz in Bezug auf die Durch die Publikation des § 2e FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge Verarbeitung des Gesetzgebungsprozesses können die Hintergründe für die personenbezogener Daten: zulässige Verarbeitung personenbezogener Daten unter Beschränkung (EG 78 DSGVO) der Betroffenenrechte von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Verarbeitung Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß personenbezogener Daten durch Kapitel III der Datenschutz-Grundverordnung, das sind: die betroffenen Personen: – Transparente Information, Kommunikation und Modalitäten für (EG 78 DSGVO) die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 12 von 12 – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) die Möglichkeit, die Verarbeitung ihrer Daten durch die wissenschaftlichen Einrichtungen und die Art-89-Förder- und Zuwendungsstellen zu überwachen. Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 (EG 78 und 83 DSGVO) DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Verarbeitungen im Rahmen von §2e FOG zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der Datenschutzbeauftragten der erlassenden Stelle im Rahmen des Begutachtungsverfahrens ergangen. erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:47:30+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Signatur finden Sie unter: https://www.signaturpruefung.gv.at Prüfinformation Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 10: Datenschutz-Folgenabschätzung zu § 2f Abs. 1 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 102 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 12

Anhang 10: Datenschutz-Folgenabschätzung zu § 2f Abs. 1 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Sammlung, Archivierung und systematische Erfassung von Daten (§ 2b Z 5 des Forschungsorganisationsgesetzes [FOG], BGBl. Nr. 341/1981) zu Zwecken gemäß Art. 89 DSGVO. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Die Art der Verarbeitung wird nicht eingeschränkt. Nach dem (EG 90 DSGVO) vorgeschlagenen § 2f Abs. 1 FOG darf Forschungsmaterial (§ 2b Z 6 FOG), d.h. körperliche Sachen, die für Zwecke gemäß Art. 89 DSGVO von Bedeutung sein können, wie insbesondere (biologische) Proben, Bild-, Film-, Ton-, Videomaterial oder Schriftgut, insbesondere gesammelt, archiviert und systematisch erfasst werden. Umfang der Verarbeitung: Die Verarbeitung, welche durch § 2f Abs. 1 FOG gestattet wird, (EG 90 DSGVO) umfasst grundsätzlich alle Daten gemäß § 2b Z 5 FOG. Da die vorgeschlagene Regelung auf der Öffnungsklausel gemäß Art. 9 Abs. 2 Buchstabe j DSGVO beruht, ist neben der Verarbeitung personenbezogener Daten auch die Verarbeitung sensibler Daten gestattet. Insbesondere sind nach dem vorgeschlagenen § 2f Abs. 1 FOG folgende Daten umfasst: – Namensangaben: – Vorname(n), Familienname bzw. Bezeichnung, – Geburtsname, – akademischer Grad, – Titel, Ansprache, – Personenmerkmale: – Geburtsdatum, – Geburtsort, soweit verfügbar, – Geschlecht, – Staatsangehörigkeit, – Personenkennung, insbesondere durch bereichsspezifisches Personenkennzeichen des Tätigkeitsbereichs „Bildung und Forschung“, – Angaben zu sonstigen Betroffenen gemäß § 6 Abs. 4 des E- Government-Gesetzes, sofern diese in Beziehung zu den betroffenen natürlichen Personen stehen: – Bezeichnung, – Rechtsform, – elektronische Kennung gemäß § 6 Abs. 3 E-GovG, – Angaben zur Beziehung zwischen den sonstigen Betroffenen und den natürlichen Personen, – Adress- und Kontaktdaten: – Adressdaten, – Angaben zur elektronischen Erreichbarkeit sowie BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 12 – weitere Angaben, wie insbesondere: – politische Hintergrundinformationen, – religiöse Hintergrundinformationen, – rechtliche Hintergrundinformationen, – traditionelle Hintergrundinformationen oder – andere gruppenspezifische Hintergrundinformationen. Hinsichtlich der betroffenen Personen bestehen keine Einschränkungen. Kontext der Verarbeitung: Die Verarbeitung erfolgt durch wissenschaftliche Einrichtungen. Im (Art-29-Datenschutzgruppe, WP 248, 21) Rahmen der Schaffung eines optimalen Zugangs zum Forschungsmaterial zu Zwecken des Art. 89 DSGVO (§ 9 Abs. 1 FOG). Der vorgeschlagene § 2f Abs. 1 FOG ist im Vergleich zu spezielleren Rechtsvorschriften betreffend Archivierungspflichten nachrangig. Er gilt für die Verarbeitung von Daten zur Schaffung der Datengrundlagen zu Zwecken des Art. 89 DSGVO. Die vorgeschlagene Regelung soll gewährleisten, dass wissenschaftliche Projekte auch nach Weggang von Forscherinnen und Forschern oder Jahrzehnte später fortgeführt werden können. Dadurch können Kosten gesenkt werden und der mehrfachen Datenerhebung wird entgegnet. Außerdem ist durch den vorgeschlagenen § 2f Abs. 1 iVm § 2j FOG eine Teilnahme an internationalen Forschungsprojekten möglich, in denen die Einrichtung sogenannter Repositories verlangt wird. Durch die Datenarten, die in den Ziffern des § 2f Abs. 1 FOG angegeben sind, wird eine rechtliche Basis für die eingerichteten Archive bei der Österreichischen Akademie geschaffen. Darunter fällt z.B. das Phonogrammarchiv. Die Erlaubnis in § 2f Abs. 1 Z 6 FOG zur Verarbeitung politischer, religiöser, rechtlicher, traditioneller oder gruppenspezifischer Hintergrundinformationen ist insbesondere im Rahmen sozialwissenschaftlicher Aspekte von großer Bedeutung. Zweck der Verarbeitung: Die Verarbeitung der Daten wird zur Erreichung der Zwecke gemäß (Art. 35 Abs. 7 Buchstabe a DSGVO) Art. 89 DSGVO durchgeführt. Empfängerinnen und Empfänger: Empfängerinnen und Empfänger der Daten sind grundsätzlich (Art-29-Datenschutzgruppe, WP 248, 21) wissenschaftliche Einrichtungen (§ 2b Z 12 FOG). In pseudonymisierter Form stehen, vor allem durch Publikationen der wissenschaftlichen Erkenntnisse, die Daten der gesamten Gesellschaft zur Verfügung. Speicherdauer: Die Speicherdauer wird in § 2d Abs. 5 FOG angegeben. Diese (Art-29-Datenschutzgruppe, WP 248, 21) Bestimmung besagt, dass personenbezogene Daten für Zwecke des des Forschungsorganisationsgesetzes unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden. Da keine speziellere Regelung in § 2f Abs. 1 FOG getroffen wird, ist die Speicherdauer unbeschränkt. Funktionelle Beschreibung der Gemäß § 2f Abs. 1 FOG dürfen wissenschaftliche Einrichtungen Verarbeitung: Forschungsmaterial für Zwecke des Art. 89 DSGVO insbesondere (Art. 35 Abs. 7 Buchstabe a DSGVO) sammeln, archivieren und systematischen erfassen und in diesem Rahmen sämtliche Daten (§ 2b Z 5 FOG), die den Zwecken des Art. 89 DSGVO dienen, verarbeiten. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 12 Beschreibung der Anlagen (Hard- Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch und Software bzw. sonstige im Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Infrastruktur): Einsatz kommende Infrastruktur typischerweise nicht gesetzlich (Art-29-Datenschutzgruppe, WP 248, 21) geregelt ist, ist an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: Der verfolgte Zweck ist in § 2f Abs. 1 FOG festgelegt. Er besteht in (Art. 5 Abs. 1 Buchstabe b DSGVO) der Schaffung eines optimalen Zuganges zum Forschungsmaterial zu Zwecken des Art. 89 DSGVO. Eindeutiger Zweck: Die Angabe des Zwecks in § 2f Abs. 1 FOG ist eindeutig: Die (Art. 5 Abs. 1 Buchstabe b DSGVO) angeführten Daten dürfen nur verarbeitet werden, soweit dies zu Zwecken des Art. 89 DSGVO erforderlich ist. Art. 5 Abs. 1 Buchstabe d DSGVO lässt die Verarbeitung von Daten für mehrere Zwecke zu. Dies ergibt sich auch aus der Formulierung des Art. 5 Abs. 1 Buchstabe c DSGVO. Anders als beispielsweise in dem der Entscheidung VfSlg. 11.499/1987 zugrundeliegenden Fall, in dem eine nicht näher determinierte hoheitliche Befugnis zur Geschwindigkeitsbeschränkung vorgesehen war, erfolgt eine nähere Determinierung mittels: – eines Verweises auf wissenschaftliche Methoden, die internationalen Standards entspricht (sogenannte Frascati- Definition; vgl. Erläuterungen zu § 2b Z 12 FOG) und – einer Definition der Zwecke mittels Verweis auf Art. 89 DSGVO. Legitimer Zweck: Der in § 2f Abs. 1 FOG angegebene Zweck ist legitim, weil er von (Art. 5 Abs. 1 Buchstabe b DSGVO) der Öffnungsklausel des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO gedeckt und in § 2f Abs. 1 FOG ausdrücklich vorgesehen ist. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 12 AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988). Rechtmäßigkeit der Verarbeitung: Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 9 Abs. 2 (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 6 Buchstaben g und j DSGVO, wonach die Verarbeitung aufgrund DSGVO) eines erheblichen öffentlichen Interesses an Wissenschaft und Forschung erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Angemessenheit der In Bezug auf die Datenarten und die Speicherdauer gibt es keine Verarbeitung: Einschränkungen. Allerdings sind die in § 2f Abs. 1 und 2 FOG (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 angeführten Voraussetzungen so hoch, dass die Angemessenheit der Abs. 1 Buchstabe c DSGVO) Verarbeitung jedenfalls gewährleistet ist. Die genannten Anforderungen gemäß § 2f Abs. 2 sind: – die Empfängerin oder der Empfänger von Übermittlungen muss eine Wissenschaftliche Einrichtung (§ 2 Z 15 FOG) sein, sonst ist nur eine Veröffentlichung unter den Auflagen des § 5 Abs. 2 Z 1 FOG zulässig; – die übermittelnde wissenschaftliche Einrichtung hat die anderen (empfangenden) wissenschaftlichen Einrichtungen über deren Pflichten nach dem 2. Abschnitt des Forschungsorganisationsgesetzes und den Bestimmungen der Datenschutz-Grundverordnung nachweislich aufzuklären; – die übermittelnde wissenschaftliche Einrichtung hat Vorkehrungen dafür zu treffen, dass die anderen wissenschaftlichen Einrichtungen ihre Pflichten nach dem 2. Abschnitt des Forschungsorganisationsgesetzes einhalten; – außerdem eine von einer vertretungsbefugten Person unterfertigte Erklärung vorliegt, dass gegenüber der anderen wissenschaftlichen Einrichtung in den letzten drei Jahren a) keine Untersagung gemäß § 22a Abs. 4 DSG erfolgte und b) keine Maßnahme gemäß Art. 58 Abs. 2 Buchstaben f bis j DSGVO gesetzt wurde. Erheblichkeit der Verarbeitung: Die Erheblichkeit der Verarbeitung zeigt sich darin, dass der (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 optimale Zugang zu Forschungsmaterial von großer Bedeutung für Abs. 1 Buchstabe c DSGVO) die Erreichung der Zwecke des Art. 89 DSGVO ist. Durch das Schaffen von Datengrundlagen über einen längeren Zeitraum können im schlimmsten Fall sogar Menschenleben gerettet werden. So hätte beispielsweise im Jahr 1999 das Lawinenunglück von Galtür, das 38 Menschenleben forderte, besser prognostiziert werden können, wären mehr Daten vorgelegen. Des Weiteren soll durch diese Regelung sichergestellt werden, dass wissenschaftliche Projekte auch nach Weggang von Forscherinnen und Forschern oder Jahrzehnte später fortgeführt werden können. Damit können wissenschaftliche Einrichtungen nicht nur effektiver, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 12 sondern auch effizienter arbeiten. Beschränktheit der Verarbeitung Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die auf das notwendige Maß: bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) erst nach (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Durchlauf eines zweistufigen Verfahrens direkt personenbezogen zur Abs. 1 Buchstabe c DSGVO) Kenntnis gebracht werden dürfen (§ 2f Abs. 2 FOG). In einem ersten Schritt dürfen durch die Repositories personenbezogene Daten nur gemäß § 2d Abs. 2 Z 1 veröffentlicht werden. Ist in einem zweiten Schritt die Übermittlung direkt personenbezogener Daten erforderlich, etwa um Interviews durchführen zu können, müssen folgende Anforderungen erfüllt sein: – die Empfängerin oder der Empfänger von Übermittlungen muss eine Wissenschaftliche Einrichtung (§ 2b Z 12 FOG) sein, sonst ist nur eine Veröffentlichung unter den Auflagen des § 2d Abs. 2 Z 1 FOG zulässig; – die übermittelnde wissenschaftliche Einrichtung hat die anderen (empfangenden) wissenschaftlichen Einrichtungen über deren Pflichten nach dem Forschungsorganisationsgesetz und den Bestimmungen der Datenschutz-Grundverordnung nachweislich aufzuklären; – die übermittelnde wissenschaftliche Einrichtung hat Vorkehrungen dafür zu treffen, dass die anderen wissenschaftlichen Einrichtungen ihre Pflichten nach dem Forschungsorganisationsgesetz einhalten; – außerdem dürfen keine offensichtlichen Gründe, die gegen die Bereitstellung personenbezogener Daten sprechen, vorliegen. Speicherbegrenzung: Eine zeitliche Beschränkung der Speicherdauer ist nicht möglich, (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 weil die erforderliche Speicherdauer im Vorhinein völlig unbekannt Abs. 1 Buchstabe e DSGVO) ist, insbesondere weil nicht bekannt ist, wann welche Ergebnisse bzw. Daten von welchen wissenschaftlichen Einrichtungen in Zukunft gebraucht werden. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 12 DSGVO) Art. 13 und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 12 DSGVO nur im Rahmen des § 2d Abs. 5 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden Personen bei Erhebung: wie folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2f Abs. 1 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2f Abs. 1 iVm § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen – Name und Kontaktdaten der oder des Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheits-Beschlusses der Kommission, – ein Hinweis auf das allfällige Bestehen anderer / restlicher Rechte der betroffenen Personen, – ein Hinweis auf das Bestehen des Rechts auf Beschwerde (Art. 77 DSGVO), – gegebenenfalls Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht werden, gilt die vorliegende Datenschutz- Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Siehe oben: Bewertung / Generelle Informationen der betroffenen Personen, wenn die Daten nicht Personen. bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der betroffenen Unter der Voraussetzung, dass die Verantwortlichen gemäß § 2f Personen: Abs. 1 FOG ihre Prozesse – außer in den Fällen des § 2d Abs. 6 (Art-29-Datenschutzgruppe, WP 248, 21 iVm FOG – so anpassen, dass das Auskunftsrecht der betroffenen BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 12 Art. 15 DSGVO) Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Recht auf Datenübertragbarkeit: Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 (Art. 20 DSGVO) Buchstabe a DSGVO nicht zu, weil die Verarbeitung – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt und außerdem die Öffnungsklausel gemäß Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen wird, die einen Ausschluss des Rechts auf Datenübertragbarkeit erlaubt. Zur näheren Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch Auftragsverarbeiter: im Zuge von Gesetzgebungsverfahren zulässt und die konkret zum (Art. 28 DSGVO) Einsatz kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Eine Übermittlung in Drittländer wäre nach den §§ 2d und 2j FOG Übermittlung in Drittländer: grundsätzlich zulässig, allerdings nur an die in § 2j FOG genannten (Kapitel V DSGVO) Empfängerinnen und Empfänger, d.h.: – wissenschaftliche Einrichtungen, – Art 89-Förder- und Zuwendungsstellen, – Gutachterinnen und Gutachter oder – österreichische öffentliche Stellen sowie unter den Voraussetzungen gemäß § 2f Abs. 2 FOG. Die einzuhaltende Garantie findet sich in § 2f Abs. 2 FOG und erlaubt eine Übermittlung nur, wenn 1) die Empfängerin oder der Empfänger eine wissenschaftliche Einrichtung ist; 2) die übermittelnde wissenschaftliche Einrichtung die anderen (empfangenden) wissenschaftlichen Einrichtungen über deren Pflichten nach dem Forschungsorganisationsgesetzes und der Bestimmungen der Datenschutz-Grundverordnung nachweislich aufgeklärt haben; 3) die übermittelnde wissenschaftliche Einrichtung Vorkehrungen dafür getroffen hat, dass die anderen wissenschaftlichen Einrichtungen ihre Pflichten nach dem Forschungsorganisationsgesetzes einhält und 4) keine offensichtlichen Gründe, die gegen die Bereitstellung personenbezogener Daten sprechen, vorliegen. Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil (Art. 36 und EG 96 DSGVO) der vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde dieser die Möglichkeit gibt, sich im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes zu beteiligen, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz- Grundverordnung sicherzustellen. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 12 RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind für Verarbeitungen im Rahmen des FOG immaterielle Schäden: vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass (EG 90 iVm 85 DSGVO) „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind – mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, Bestimmungen über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen vorgesehen, die wie § 302 (Amtsmissbrauch) oder § 310 („Verletzung des Amtsgeheimnisses“) Schäden vorbeugen (RIS-Justiz, RS0054100) und so für eine effektive Risikominimierung sorgen. Verlust der Kontrolle über Der Verlust der Kontrolle über personenbezogene Daten wird durch personenbezogene Daten: folgende Maßnahmen vermieden: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt Diskriminierung: Das Risiko der Diskriminierung wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 12 – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung erheblich gesenkt. Identitätsdiebstahl oder -betrug: Das Risiko des Identitätsdiebstahls und -betrugs wird insbesondere (EG 90 iVm 85 DSGVO) durch folgende Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Identitätsdiebstahls oder -betrugs wesentlich gesenkt. Finanzielle Verluste: Das Risiko finanzieller Verluste wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 12 – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko finanzieller Verluste wesentlich gesenkt. Unbefugte Aufhebung der Das Risiko der unbefugten Aufhebung der Pseudonymisierung wird Pseudonymisierung: insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Insbesondere durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG wird das Risiko der unbefugten Aufhebung der Pseudonymisierung wesentlich reduziert. Rufschädigung: Das Risiko der Rufschädigung wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Verlust der Vertraulichkeit bei Das Risiko des Verlusts der Vertraulichkeit bei Berufsgeheimnissen Berufsgeheimnissen: wird insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 11 von 12 und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Erhebliche wirtschaftliche oder Das Risiko erheblicher wirtschaftlicher und gesellschaftlicher gesellschaftliche Nachteile: Nachteile wird insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko betreffend erhebliche wirtschaftliche oder gesellschaftliche Nachteile wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Verarbeitung Die Minimierung der Verarbeitung personenbezogener Daten ergibt personenbezogener Daten: sich aus (EG 78 DSGVO) – der Auflistung der Datenarten in § 2f Abs. 1 FOG; – der Einschränkung der Verarbeitung nur für Zwecke gemäß Art. 89 DSGVO sowie – der Übermittlungsbeschränkung gemäß § 2f Abs. 2 FOG. Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die schnellstmögliche Pseudonymisierung personenbezogener Daten Pseudonymisierung wird durch Art. 89 DSGVO sichergestellt, wonach „technische und personenbezogener Daten: organisatorische Maßnahmen [zu] bestehen [haben], mit denen (EG 28 und 78 DSGVO) insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören“. Diese hat schnellstmöglich zu BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 12 von 12 erfolgen. Transparenz in Bezug auf die Durch die Publikation des § 2f Abs. 1 FOG als Bundesgesetz im Funktionen und die Verarbeitung Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge personenbezogener Daten: des Gesetzgebungsprozesses können die Hintergründe für die (EG 78 DSGVO) zulässige Verarbeitung personenbezogener Daten bei Wissenstransfers von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Verarbeitung Die betroffenen Personen haben durch Ausübung ihrer Rechte personenbezogener Daten durch gemäß Kapitel III der Datenschutz-Grundverordnung, das sind: die betroffenen Personen: – Transparente Information, Kommunikation und Modalitäten für (EG 78 DSGVO) die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO). Weiters zusätzlich die Möglichkeit, die Verarbeitung ihrer Daten durch die wissenschaftlichen Einrichtungen zu überwachen, soweit diese Rechte nicht gemäß § 2d Abs. 6 FOG beschränkt oder ausgeschlossen sind. Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 (EG 78 und 83 DSGVO) DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist. Entsprechende Datensicherheitsmaßnahmen sind daher auch beim Betrieb sogenannter Repositories zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der Datenschutzbeauftragten der erlassenden Stelle im Rahmen des Begutachtungsverfahrens erlassenden Stelle: ergangen. (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:47:46+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Signatur finden Sie unter: https://www.signaturpruefung.gv.at Prüfinformation Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 11: Datenschutz-Folgenabschätzung zu § 2f Abs. 3 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 116 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 9

Anhang 11: Datenschutz-Folgenabschätzung zu § 2f Abs. 3 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Speicherung von Rohdaten gemäß § 2f Abs. 3 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Nach § 2f Abs. 3 FOG dürfen Verantwortliche Daten und (EG 90 DSGVO) Forschungsmaterial, die als Grundlage wissenschaftlicher Arbeiten verarbeitet wurden („Rohdaten“), speichern und verarbeiten. Umfang der Verarbeitung: Die Verarbeitungen, die unter § 2f Abs. 3 FOG fallen, umfassen (EG 90 DSGVO) Daten im Sinne des § 2b Z 5 FOG. Da die in Anspruch genommene Öffnungsklausel Art. 9 Abs. 2 Buchstabe j DSGVO ist, ist nicht nur die Verarbeitung personenbezogener Daten, sondern sogar die Verarbeitung sensibler Daten umfasst. Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht. Der vorgeschlagene § 2f Abs. 3 FOG umfasst: – in Z 1 eine Erlaubnis für die Speicherung und Verarbeitung von Rohdaten zum Nachweis der Einhaltung guter wissenschaftlicher Praxis und – in Z 2 eine Ermächtigung zur Speicherung und Verarbeitung von Rohdaten zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen. Kontext der Verarbeitung: Die Verarbeitung erfolgt im Kontext der Zwecke gemäß Art. 89 (Art-29-Datenschutzgruppe, WP 248, 21) DSGVO. Mit dem vorgeschlagenen § 2f Abs. 3 FOG soll eine längere Speicherdauer sowie gegebenenfalls eine Rechtsgrundlage für die Verarbeitung der länger gespeicherten Rohdaten geschaffen werden. Da die grundlegenden Bestimmungen zum Schutz personenbezogener Daten anzuwenden sind (§ 2d Abs. 1 Z 8 FOG), dürfen keine direkt personenbezogenen Daten als Ergebnis offengelegt werden. Zweck der Verarbeitung: Die Verarbeitung erfolgt zum Nachweis der Einhaltung guter (Art. 35 Abs. 7 Buchstabe a DSGVO) wissenschaftlicher Praxis und zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen. (§ 2f Abs. 3 Z 1 und 2 FOG). Empfängerinnen und Empfänger: Die Empfängerinnen und Empfänger von Daten gemäß § 2f Abs. 3 (Art-29-Datenschutzgruppe, WP 248, 21) Z 1 FOG sind insbesondere wissenschaftliche Fachzeitschriften, Ombudsstellen der Universitäten oder die Agentur für wissenschaftliche Integrität, denen die Daten auf Grund einer gesetzlichen oder vertraglichen Verpflichtung übermittelt wurden. In Verbindung mit § 2j FOG können auch internationale wissenschaftliche Fachzeitschriften Empfängerinnen und Empfänger sein. Empfänger der Rohdaten gemäß § 2f Abs. 3 Z 2 FOG sind Akteure, die im Zusammenhang mit der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen tätig werden. Der Abstraktionsgrad des § 2f BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 9 Abs. 3 Z 2 FOG richtet sich nach Art. 9 Abs. 2 Buchstabe f DSGVO. Speicherdauer: Die allgemeine Regel des § 2d Abs. 4 FOG greift nicht, weil eine (Art-29-Datenschutzgruppe, WP 248, 21) spezielle, abweichende Regelung in § 2f Abs. 3 FOG geschaffen wird. Die Speicherung ist für Daten gemäß § 2f Abs. 3 Z 1 FOG auf 10 Jahre und für Daten gemäß § 2f Abs. 3 Z 2 FOG auf bis zu 30 Jahre beschränkt. Funktionelle Beschreibung der Aufgrund des § 2f Abs. 3 FOG ist jede Form der Verarbeitung Verarbeitung: zulässig, solange diese gemäß § 2f Abs. 3 Z 1 FOG im Rahmen des (Art. 35 Abs. 7 Buchstabe a DSGVO) Nachweises der Einhaltung guter wissenschaftlicher Praxis oder von Rechtssachen gemäß § 2f Abs. 3 Z 2 FOG erfolgt. Beschreibung der Anlagen (Hard- Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch und Software bzw. sonstige im Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Infrastruktur): Einsatz kommende Infrastruktur typischerweise nicht gesetzlich (Art-29-Datenschutzgruppe, WP 248, 21) geregelt ist, ist an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: § 2f Abs. 3 FOG sieht die Speicherung und Verarbeitung von (Art. 5 Abs. 1 Buchstabe b DSGVO) Rohdaten für – Z 1: den Nachweis der Einhaltung guter wissenschaftlicher Praxis und – Z 2: die Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen. Eindeutiger Zweck: Die Angabe der Zwecke in § 2f Abs. 3 FOG ist eindeutig. Dass eine (Art. 5 Abs. 1 Buchstabe b DSGVO) Verarbeitung mehrere Zwecke verfolgt werden darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke [Anm.: Plural!] der Verarbeitung notwendige Maß beschränkt sein“ müssen. Legitimer Zweck: Der in § 2f Abs. 3 FOG angegebene Zweck ist legitim, weil er von (Art. 5 Abs. 1 Buchstabe b DSGVO) der Öffnungsklausel des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO gedeckt ist. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 9 Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988). Rechtmäßigkeit der Verarbeitung: Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 9 Abs. 2 (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 6 Buchstaben g und j DSGVO, wonach die Verarbeitung aufgrund DSGVO) eines erheblichen öffentlichen Interesses an Wissenschaft und Forschung erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Angemessenheit der Verarbeitung: In Bezug auf die Datenarten gibt es die Einschränkung, dass nur (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Daten und Forschungsmaterial, die als Grundlage Abs. 1 Buchstabe c DSGVO) wissenschaftlicher Arbeiten verarbeitet wurden gespeichert und gegebenenfalls verarbeitet werden dürfen. Die Speicherung nach § 2f Abs. 3 FOG stellt eine zusätzliche Rechtsgrundlage zu § 2f Abs. 1 FOG dar und ist insbesondere gedacht für die direkte Speicherung bei der Wissenschaftlerin oder dem Wissenschaftler. Die Speicherdauer ist auf 10 bzw. 30 Jahre beschränkt. Erheblichkeit der Verarbeitung: Die zugelassene Verarbeitung der Daten ist erheblich, da die (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 rechtlichen Voraussetzungen dafür geschaffen werden müssen, dass Abs. 1 Buchstabe c DSGVO) Wissenschaftlerinnen oder Wissenschaftler sich freibeweisen oder ihre Reputation verteidigen können. Wie wichtig diese Möglichkeit ist, stellt der Jahresbericht der Kommission für wissenschaftliche Integrität dar (http://www.oeawi.at/downloads/ Jahresbericht%202016_final.pdf; [31.01.2018]). Demnach hat die Kommission im Jahr 2016 14 Anfragen erhalten. Im Zuge dieser Anfragen werden Anschuldigungen geprüft. Durch Anschuldigungen können wissenschaftliche Karrieren zerstört werden, deswegen muss Wissenschaftlerinnen und Wissenschaftlern auch die Rechtssicherheit gegeben werden, dass sie die dafür erforderlichen Daten speicher dürfen. Das ist vor allem dann notwendig, wenn der Vorwurf ungerechtfertigt ist. Damit wird Rechtssicherheit für die Wissenschaftlerinnen und Wissenschaftler geschaffen. Beschränktheit der Verarbeitung Die Verarbeitung ist nur für Rohdaten zulässig. Die Beschränktheit auf das notwendige Maß: ergibt sich auch aus der Tatsache, dass die Zwecke der (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Verarbeitung in § 2f Abs. 3 FOG abschließend definiert sind. Des Abs. 1 Buchstabe c DSGVO) Weiteren wird die Dauer, für die die Daten gespeichert und gegebenenfalls verarbeitet werden dürfen, mit 10 bzw. 30 Jahren limitiert. Speicherbegrenzung: Die zeitliche Beschränkung beträgt (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe e DSGVO) – 10 Jahre (§ 2f Abs. 3 Z 1 FOG) oder BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 9 – 30 Jahre (§ 2f Abs. 3 Z 2 FOG). Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 12 gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß DSGVO) Art. 13 und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 5 Abs. 5 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen gem. FOG ihre Prozesse so anpasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden Personen bei Erhebung: wie folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2f Abs. 3 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2f Abs. 3 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten des oder der Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 9 – gegebenenfalls ihre Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission, – einen Hinweis auf das Bestehen eines Rechts auf – Auskunft (Art. 15 DSGVO), – Berichtigung (Art. 16 DSGVO), – Löschung (Art. 17 DSGVO), – Einschränkung (Art. 18 DSGVO) und – Beschwerde (Art. 77 DSGVO), – einen Hinweis auf die gesetzlichen Grundlagen der Verarbeitung, – gegebenenfalls das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht, gilt die vorliegende Datenschutz-Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 14 DSGVO vorgesehenen Informationen müssen Personen, wenn die Daten nicht bei aufgrund der Inanspruchnahme der Öffnungsklausel gemäß Art. 23 ihnen erhoben werden: Abs. 1 Buchstabe e DSGVO nicht angegeben werden. Zur näheren (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 Begründung siehe oben: Bewertung / Generelle Informationen der DSGVO) betroffenen Personen. Auskunftsrecht der betroffenen Die gemäß Art. 15 DSGVO vorgesehenen Informationen müssen Personen: aufgrund der Inanspruchnahme der Öffnungsklausel gemäß Art. 23 (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 15 Abs. 1 Buchstabe e DSGVO nicht angegeben werden. Zur näheren DSGVO) Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Recht auf Datenübertragbarkeit: Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 (Art. 20 DSGVO) Buchstabe a DSGVO nicht zu, weil die Verarbeitung – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt und außerdem die Öffnungsklausel gemäß Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen wird, die einen Ausschluss des Rechts auf Datenübertragbarkeit erlaubt. Zur näheren Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch Auftragsverarbeiter: im Zuge von Gesetzgebungsverfahren zulässt und die konkret zum (Art. 28 DSGVO) Einsatz kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Wissenstransfers in Drittländer sind nach § 2j FOG iVm der Übermittlung in Drittländer: Übergangsbestimmung § 38a Abs. 4 FOG zulässig, wobei die (Kapitel V DSGVO) Garantie in § 2i Abs. 1 Z 1 FOG zu finden ist und vorsieht, dass „insbesondere durch Technikgestaltung gemäß Art. 25 DSGVO sichergestellt [sein muss], dass Dritte (Art. 4 Nr. 10 DSGVO) keine Kenntnis der übermittelten Daten erlangen“ können. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 9 Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, (Art. 36 und EG 96 DSGVO) weil der vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind bei der Verarbeitung von Daten entsprechend immaterielle Schäden: § 2d Abs. 8 FOG minimal, insbesondere weil die (EG 90 iVm 85 DSGVO) wissenschaftlichen Einrichtungen im Zuge der Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Die Datensicherheitsmaßnahmen werden in Art. 32 DSGVO konkretisiert und sind von den wissenschaftlichen Einrichtungen einzuhalten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden jedenfalls ein. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Verlust der Kontrolle über Diesem Risiko wird durch die Einhaltung der (anwendbaren) personenbezogene Daten: Rechte der betroffenen Person gemäß Kapitel III der Datenschutz- (EG 90 iVm 85 DSGVO) Grundverordnung, das sind: – Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) Rechnung getragen. Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den wissenschaftlichen Einrichtungen einzuhalten. Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 9 über personenbezogene Daten effektiv gemindert. Weiters wird das Risiko des Verlusts der Kontrolle über personenbezogene Daten durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wesentlich gesenkt. Diskriminierung: Dieses Risiko bei der Verarbeitung im Zusammenhang mit der (EG 90 iVm 85 DSGVO) Markierung von Forschungsmaterial durch bereichsspezifische Personenkennzeichen ist minimal, insbesondere weil wissenschaftliche Einrichtungen im Zuge der (sonstigen) Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Auch müssen die wissenschaftlichen Einrichtungen die in Art. 32 DSGVO konkretisierten Datensicherheitsmaßnahmen einhalten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Damit wird die Wahrscheinlichkeit der Diskriminierung aufgrund der unzulässigen Verarbeitung personenbezogener Daten effektiv gemindert. Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung erheblich gesenkt. Identitätsdiebstahl oder -betrug: Dieses Risiko wird insbesondere durch die unionsrechtliche (EG 90 iVm 85 DSGVO) Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert. Weiters wird das Risiko des Identitätsdiebstahls oder -betrugs durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wesentlich gesenkt. Finanzielle Verluste: Dieses Risiko wird insbesondere durch die unionsrechtliche (EG 90 iVm 85 DSGVO) Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko betreffend finanzielle Verluste wesentlich gesenkt Unbefugte Aufhebung der Dieses Risiko wird wie folgt minimiert: Pseudonymisierung: – unionsrechtliche Sanktionierung (siehe oben: Risiken / (EG 90 iVm 85 DSGVO) Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E- GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die unbefugte Aufhebung der Pseudonymisierung, bieten. Insbesondere durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 9 FOG wird das Risiko der unbefugten Aufhebung der Pseudonymisierung wesentlich reduziert. Rufschädigung: Dieses Risiko wird wie folgt minimiert: (EG 90 iVm 85 DSGVO) – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E- GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen Rufschädigung, bieten. Verlust der Vertraulichkeit bei Dieses Risiko wird wie folgt minimiert: Berufsgeheimnissen: Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen (EG 90 iVm 85 DSGVO) Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko betreffend erhebliche wirtschaftliche oder gesellschaftliche Nachteile wesentlich gesenkt. Weiters durch: – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E- GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen den Verlust der Vertraulichkeit bei Berufsgeheimnissen, bieten. Erhebliche wirtschaftliche oder Dieses Risiko wird wie folgt minimiert: gesellschaftliche Nachteile: – unionsrechtliche Sanktionierung (siehe oben: Risiken / (EG 90 iVm 85 DSGVO) Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E- GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen den Verlust der Vertraulichkeit bei Berufsgeheimnissen, bieten. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko betreffend erhebliche wirtschaftliche oder gesellschaftliche Nachteile wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Verarbeitung Eine Minimierung der Verarbeitung personenbezogener Daten kann personenbezogener Daten: nicht vorgeschrieben werden, weil im Vorhinein nicht bekannt ist, (EG 78 DSGVO) welche Rohdaten benötigt werden. Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt jedoch eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die schnellstmögliche Pseudonymisierung personenbezogener Pseudonymisierung Daten wird durch Art. 89 DSGVO sichergestellt. Er besagt, dass personenbezogener Daten: „technische und organisatorische Maßnahmen [zu] bestehen BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 9 (EG 28 und 78 DSGVO) [haben], mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören“. Diese hat schnellstmöglich zu erfolgen. Transparenz in Bezug auf die Durch die Publikation des § 2f Abs. 3 FOG als Bundesgesetz im Funktionen und die Verarbeitung Bundesgesetzblatt sowie der parlamentarischen Materialien im personenbezogener Daten: Zuge des Gesetzgebungsprozesses können die Hintergründe für die (EG 78 DSGVO) zulässige Verarbeitung personenbezogener Daten bei Wissenstransfers von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Verarbeitung Mit § 2f Abs. 3 FOG wird die Öffnungsklausel des Art. 23 Abs. 1 personenbezogener Daten durch Buchstabe e DSGVO in Anspruch genommen, wonach die Rechte die betroffenen Personen: der betroffenen Personen durch nationales Recht eingeschränkt (EG 78 DSGVO) werden dürfen, wenn dies eine notwendige und verhältnismäßige Maßnahme im wichtigen wirtschaftlichen Interesse eines Mitgliedstaates darstellt. Die Maßnahme ist erforderlich, weil die Einhaltung der angeführten Pflichten – einerseits aufgrund der einzuhaltenden Voraussetzungen gemäß § 2f Abs. 3 FOG und – andererseits aufgrund der Beschaffenheit der Technologie, insbesondere bei Anwendung von neuronalen Netzen, ausgeschlossen ist. Würde die Möglichkeit zur Beschränkung gemäß Art. 23 Abs. 1 Buchstabe e DSGVO nicht wahrgenommen, könnten sich Wissenschaftlerinnen und Wissenschaftler gegen Anschuldigungen nicht angemessen wehren können. Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß (EG 78 und 83 DSGVO) Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Wissenstransfers zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen Datenschutzbehörde: des Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der Datenschutzbeauftragten der erlassenden Stelle im Rahmen des Begutachtungsverfahrens erlassenden Stelle: ergangen. (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:47:59+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Signatur finden Sie unter: https://www.signaturpruefung.gv.at Prüfinformation Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 12: Datenschutz-Folgenabschätzung zu § 2f Abs. 4 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 126 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 11

Anhang 12: Datenschutz-Folgenabschätzung zu § 2f Abs. 4 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Klarstellung zu Biobanken gemäß § 2f Abs. 4 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Die vorliegende Bestimmung trifft keine Entscheidung zur Frage, ob die (EG 90 DSGVO) Verarbeitung in Papierform oder elektronischer Form erfolgen soll. Mangels eindeutiger Anordnung ist damit von der Zulässigkeit beider Verarbeitungsarten auszugehen. Die Kombination aus Proben- und Datensammlung ist als besondere Verarbeitungsart ausdrücklich, gesetzlich vorgesehen. Im Vergleich zu Big Data, läuft diese Verarbeitungsart aber nicht Gefahr, in einem Spannungsverhältnis zu den Grundsätzen des Art. 5 DSGVO zu stehen. Aufgrund der Wichtigkeit, insbesondere von Biobanken im Bereich der Krebsbehandlung, soll durch eine gesetzliche Regelung jegliche Rechtsunsicherheit jedenfalls beseitigt werden. Biobanken sind Sammlungen von Proben menschlicher Körpersubstanzen (z.B. Gewebe, Zellen, DNA, Proteine, Blut oder andere Körperflüssigkeiten) als materielle Träger von Informationen, die typischerweise mit Daten und Informationen (ihrer Spenderinnen und Spender) verknüpft sind oder verknüpft werden können (Bundeskanzleramt-Bioethikkommission, Biobanken für die wissenschaftliche Forschung 6). Umfang der Verarbeitung: Die Verarbeitung, welche durch § 2f Abs. 4 FOG gestattet wird, umfasst (EG 90 DSGVO) grundsätzlich alle Daten gemäß § 2b Z 5 FOG. Allerdings wird dieser Umfang durch die Zweckbestimmung, das ist das Führen „biologischer Proben- und Datensammlungen [… zu Zwecken] des Art. 9 Abs. 2 Buchstaben i und j DSGVO“ entscheidend konkretisiert. Da die vorgeschlagene Regelung auf den Öffnungsklauseln gemäß Art. 9 Abs. 2 Buchstaben h, i und j DSGVO beruht, ist neben der Verarbeitung personenbezogener Daten auch die Verarbeitung sensibler Daten gestattet. Hinsichtlich der betroffenen Personen, bestehen keine Einschränkungen. Zum Schutz der betroffenen Personen müssen folgende Maßnahmen ergriffen werden (§ 2f Abs. 4 Z 1 und 2 FOG): – schnellstmögliche Pseudonymisierung, sofern Zweckerfüllung weiter möglich und – Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO. Festgehalten wird an dieser Stelle, dass die Begriffe „genetische Daten“ und „Proben“ in der DSGVO unterschieden werden und die DSGVO daher auf Proben nicht anzuwenden ist (vgl. EG 34 und 35 sowie Art. 4 Nr. 13 DSGVO). D.h. nur der die Verarbeitung von Daten betreffende Teil von Biobanken, ist DSGVO-relevant und somit auch für Zwecke der BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 11 vorliegenden Datenschutz-Folgenabschätzung von Bedeutung. Kontext der Verarbeitung: Die Verarbeitungen werden immer im Kontext des Gesundheitswesens (Art-29-Datenschutzgruppe, WP 248, 21) erfolgen. Dabei kann einmal der individuelle Nutzen für die Patientinnen und Patienten durch Rückgriff auf einen großen Erfahrungsschatz in Form einer umfangreichen Behandlungsdatenbank im Vordergrund stehen und ein andermal die Erforschung und Bekämpfung von Krankheiten auf übergeordneter, abstrakter Ebene. Die im Bundeskanzleramt eingerichtete Bioethikkommission hat „Biobanken [...] als eine der wichtigsten Grundlagen für Erkenntnisse über die Entstehung von Krankheiten und für die Weiterentwicklung diagnostischer und therapeutischer Methoden“ identifiziert (Bundeskanzleramt-Bioethikkommission, Biobanken für die wissenschaftliche Forschung – Ergänzungen zum Bericht der Bioethikkommission vom Mai 2007, 4; http://archiv.bundeskanzleramt.at/DocView.axd?CobId=42719 [07.02.2018]). Zweck der Verarbeitung: Die durch § 2f Abs. 4 FOG legitimierten Verarbeitungen erfolgt zu (Art. 35 Abs. 7 Buchstabe a DSGVO) Zwecken – der medizinischen Diagnostik oder Behandlung im Gesundheitsbereich (Art. 9 Abs. 2 Buchstabe h DSGVO), – des öffentlichen Interesses im Bereich der öffentlichen Gesundheit (Art. 9 Abs. 2 Buchstabe i DSGVO) sowie – von Wissenschaft und Forschung (Art. 9 Abs. 2 Buchstabe j DSGVO). Empfängerinnen und Da es sich um eine Verarbeitung sowohl zu medizinischen (Art. 9 Abs. 2 Empfänger: Buchstabe h DSGVO) als auch wissenschaftlichen Zwecken (Art. 9 (Art-29-Datenschutzgruppe, WP 248, 21) Abs. 2 Buchstabe j DSGVO) handelt, sind die Empfängerinnen und Empfänger entweder das in Art. 9 Abs. 2 Buchstabe h iVm Abs. 3 DSGVO genannte Gesundheits- und Fachpersonal oder für Zwecke des Art. 9 Abs. 2 Buchstabe j DSGVO, wissenschaftliche Einrichtungen gemäß § 2b Z 12 FOG. Speicherdauer: Mangels spezieller bzw. gegenteiliger Regelung in § 2f Abs. 4 FOG, (Art-29-Datenschutzgruppe, WP 248, 21) richtet sich die zulässige Speicherdauer nach der allgemeinen Zweifelsregel des § 2d Abs. 5 FOG. Diese Bestimmung besagt, dass personenbezogene Daten für Zwecke des 2. Abschnittes unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden. Da keine speziellere Regelung in § 2f Abs. 4 FOG getroffen wird, ist die Speicherdauer unbeschränkt. Funktionelle Beschreibung Gemäß § 2f Abs. 4 FOG dürfen Daten im Rahmen von biologischen der Verarbeitung: Proben- und Datensammlungen („Biobanken“) verarbeitet werden. Diese (Art. 35 Abs. 7 Buchstabe a DSGVO) Verarbeitung darf nur dann erfolgen, wenn sie Zwecken – der medizinischen Diagnostik oder Behandlung im Gesundheitsbereich (Art. 9 Abs. 2 Buchstabe h DSGVO) oder – des öffentlichen Interesses im Bereich der öffentlichen Gesundheit (Art. 9 Abs. 2 Buchstabe i DSGVO) oder – von Wissenschaft und Forschung (Art. 9 Abs. 2 Buchstabe j DSGVO) erfolgt. Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 11 sonstige Infrastruktur): kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist (Art-29-Datenschutzgruppe, WP 248, 21) an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: Der verfolgte Zweck ist in § 2f Abs. 4 FOG festgelegt und besteht in der (Art. 5 Abs. 1 Buchstabe b DSGVO) Schaffung einer Rechtsgrundlage für Datenverarbeitungen im Rahmen biologischer Proben- und Datensammlungen. Durch den Verweis auf Art. 9 Abs. 2 Buchstaben i und j DSGVO wird bereits im Gesetzestext festgelegt, dass die Verarbeitung im Rahmen von Biobanken nicht alleine wissenschaftlichen Zwecken (Art. 9 Abs. 2 Buchstabe j DSGVO), sondern auch Gesundheitszwecken dient und zwar nicht nur auf allgemeiner Ebene (Art. 9 Abs. 2 Buchstabe i DSGVO), sondern auch auf individueller Ebene (Art. 9 Abs. 2 Buchstabe h DSGVO), insbesondere wenn es darum geht, die persönliche Behandlung durch Vergleich von Tumorgewebe mit bestehenden (und bereits behandelten) Tumorgeweben zu verbessern. Eindeutiger Zweck: Die Angabe des Zwecks in § 2f Abs. 4 FOG ist eindeutig: Die (Art. 5 Abs. 1 Buchstabe b DSGVO) angeführten Daten dürfen nur verarbeitet werden, soweit dies für Zwecke – der medizinischen Diagnostik oder Behandlung im Gesundheitsbereich (Art. 9 Abs. 2 Buchstabe h DSGVO) oder – des öffentlichen Interesses im Bereich der öffentlichen Gesundheit (Art. 9 Abs. 2 Buchstabe i DSGVO) oder – von Wissenschaft und Forschung (Art. 9 Abs. 2 Buchstabe j DSGVO) erfolgt. Anders als beispielsweise in dem der Entscheidung VfSlg. 11.499/1987 zugrundeliegenden Fall, in dem eine nicht näher determinierte hoheitliche Befugnis zur Geschwindigkeitsbeschränkung vorgesehen war, erfolgt eine nähere Determinierung mittels: – eines Verweises auf wissenschaftliche Methoden, die internationalen Standards entspricht (sogenannte Frascati- Definition; vgl. Erläuterungen zu § 2b Z 12 FOG), – einer Definition der Zwecke in § 2f Abs. 4 FOG und – dem Vorsehen angemessener und spezifischer Maßnahmen (§ 2f Abs. 4 Z 1 und 2 FOG). Legitimer Zweck: Der in § 2f Abs. 4 FOG angegebene Zweck ist legitim, weil er von den (Art. 5 Abs. 1 Buchstabe b DSGVO) Öffnungsklauseln – des Art. 9 Abs. 2 Buchstabe h („Behandlung im Gesundheitsbereich“), – des Art. 9 Abs. 2 Buchstabe i („öffentliches Interesse im Bereich der BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 11 der öffentlichen Gesundheit“) und – des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO gedeckt und in § 2f Abs. 4 FOG gesetzlich vorgesehen ist. Durch die angedachte Regelung erfolgt auch eine Klarstellung hinsichtlich der Rechtsgrundlage für bestehende Sammlungen, insbesondere Biobanken sowie die Festlegung, dass eine gesonderte Einwilligung im Sinne des Art. 9 Abs. 2 DSGVO nicht erforderlich ist. Die Bedeutung des öffentlichen Interesses im Bereich der öffentlichen Gesundheit zeigt z.B. an Art. 168 AEUV. Der erste Absatz dieses Artikels lautet: „Bei der Festlegung und Durchführung aller Unionspolitiken und – maßnahmen wird ein hohes Gesundheitsschutzniveau sichergestellt.“ In Art. 168 Abs. 1 AEUV wird als Ziel die „Bekämpfung schwerwiegender grenzüberschreitender Gesundheitsgefahren“ genannt. Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 9 Abs. 2 Verarbeitung: Buchstaben h, i und j DSGVO sowie der Festlegung der Verarbeitung in (Art-29-Datenschutzgruppe, WP 248, 21 iVm § 2f Abs. 4 FOG. Art. 6 DSGVO) Angemessenheit der § 2f Abs. 4 FOG stellt eine Ermächtigung zur Verarbeitung von Daten im Verarbeitung: Rahmen biologischer Proben- und Datensammlungen dar, wodurch (Art-29-Datenschutzgruppe, WP 248, 21 iVm grundsätzlich in die Datenschutzrechte der betroffenen Personen Art. 5 Abs. 1 Buchstabe c DSGVO) eingegriffen wird. Solche Eingriffe sind jedoch gerechtfertigt sein, wenn sie zur Wahrung wichtiger öffentlicher Interessen vorgenommen werden und gleichzeitig angemessene Garantien für den Schutz der betroffenen Personen festgelegt werden (vgl.: VfGH 08.10.2015, G 20/2015 ua). Beide Voraussetzungen sind durch die vorliegende Bestimmung erfüllt: das wichtige öffentliche Interesse ergibt sich insbesondere aus der Verarbeitung für Zwecke des Art. 9 Abs. 2 Buchstabe i („öffentliches Interesse im Bereich der öffentlichen Gesundheit“) DSGVO. Die im Bundeskanzleramt eingerichtete Bioethikkommission hat die „Biobanken [...] als eine der wichtigsten Grundlagen für Erkenntnisse über die Entstehung von Krankheiten und für die Weiterentwicklung diagnostischer und therapeutischer Methoden“ identifiziert, weshalb ein erhebliches öffentliches Interesse an der Einrichtung und dem Betrieb von Biobanken besteht (Bundeskanzleramt-Bioethikkommission, Biobanken für die wissenschaftliche Forschung – Ergänzungen zum Bericht der Bioethikkommission vom Mai 2007, 4; http://archiv.bundeskanzleramt.at/DocView.axd?CobId=42719 [07.02.2018]). Die Angemessenheit ergibt sich auch dadurch, dass angemessene Garantien für den Schutz der betroffenen Person festgelegt werden, wie insbesondere: – die schnellstmögliche Pseudonymisierung und – das Einhalten der erforderlichen Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO. Angesichts dieser Beschränkungen und Maßnahmen ist die Angemessenheit der Verarbeitungen gemäß § 2f Abs. 4 FOG als gegeben anzusehen. Erheblichkeit der Die Erheblichkeit der Verarbeitung zeigt sich darin, dass Biobanken für Verarbeitung: die medizinische Forschung von großem Nutzen sind. Insbesondere (Art-29-Datenschutzgruppe, WP 248, 21 iVm erhofft man sich, dadurch folgende Krankheiten bekämpfen zu können: Art. 5 Abs. 1 Buchstabe c DSGVO) BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 11 – Herz-Kreislauf-Erkrankungen – Stoffwechselstörungen, – Hormonerkrankungen – Krebs, – Erkrankungen des Nervensystems und – Infektions- und Immunerkrankungen (vgl. Biobanken für die Forschung, Stellungnahme des Nationaler Ethikrat; http://www.ethikrat.org/dateien /pdf/biobanken-fuer-die- forschung.pdf, 26; [01.02.2018]). Auf Seite 27 der Stellungnahme wird den Biobanken großes Potential für die Entwicklung individueller Medikamente für Patienten zugeschrieben. Das Schaffen einer Rechtsgrundlage für die Verwendung von Biobanken ist für Österreich von wesentlicher Bedeutung, da sich mit BBMRI-ERIC eine der größten Biobanken weltweit in Graz befindet. Dass der Beitrag der Biobanken zur Krebsforschung erheblich ist, zeigt sich daran, dass im Jahr 2015 fast 350.000 Personen in Österreich an Krebs erkrankt waren (http://www.statistik.at/web_de/statistiken/menschen_und_gesellschaft/ gesundheit/krebserkrankungen/index.html [01.02.2018]). Biobanken sind, wie oben erwähnt, auch für die Bekämpfung von Herz- und Kreislauferkrankungen von Bedeutung. Ein Blick auf die Todesursachenstatistik erklärt auch in diesem Fall die Relevanz der vorgeschlagenen Bestimmung: demnach starben von 80.669 Menschen 33.248 Menschen aufgrund einer Herz- und Kreislauferkrankung. (http://www.statistik.at/web_de/statistiken/ menschen_und_gesellschaft/gesundheit/todesursachen/ todesursachen_im_ueberblick/021985.html; [01.02.2018]). Diese Krankheiten stellen somit die häufigste Todesursache in Österreich dar. Diese Beispiele zeigen die enorme Bedeutung von Biobanken für das Gesundheitswesen in Österreich und somit die Erheblichkeit der erforderlichen Verarbeitung personenbezogener (Gesundheits-)Daten. Beschränktheit der Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die Verarbeitung auf das Verarbeitungen nur im Rahmen von biologischen Proben- und notwendige Maß: Datensammlungen erfolgen dürfen. (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO) Speicherbegrenzung: Eine zeitliche Begrenzung der Speicherdauer ist nicht möglich, weil (Art-29-Datenschutzgruppe, WP 248, 21 iVm damit langfristige Studien nicht durchgeführt werden könnten. Es ist im Art. 5 Abs. 1 Buchstabe e DSGVO) Vorhinein nämlich nicht bekannt, wann welche wissenschaftlichen Daten (§ 2b Z 5 FOG) von wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) so kombiniert werden sollten, dass damit neuer Nutzen generiert werden kann. Dieser Zeitpunkt kann in sehr naher aber auch in sehr ferner Zukunft liegen. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 13 Art. 12 DSGVO) und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 11 Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 2d Abs. 5 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen ihre Prozesse so anpassen, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2f Abs. 4 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2f Abs. 4 iVm § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen – Name und Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls ihre Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission, – einen Hinweis auf das Bestehen eines Rechts auf – Auskunft (Art. 15 DSGVO), – Berichtigung (Art. 16 DSGVO), – Löschung (Art. 17 DSGVO), – Einschränkung (Art. 18 DSGVO) und – Beschwerde (Art. 77 DSGVO), – einen Hinweis auf die gesetzlichen Grundlagen der Verarbeitung, – gegebenenfalls das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlichen, gilt die vorliegende Datenschutz-Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 11 Information der betroffenen Siehe oben: Bewertung / Generelle Informationen der betroffenen Personen, wenn die Daten Personen. nicht bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der Unter der Voraussetzung, dass die Verantwortlichen gemäß § 2f Abs. 4 betroffenen Personen: FOG ihre Prozesse – außer in den Fällen des § 2d Abs. 6 FOG – so (Art-29-Datenschutzgruppe, WP 248, 21 iVm anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO) Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Datenübertragbarkeit: Buchstabe a DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt und außerdem die Öffnungsklausel gemäß Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen wird, die einen Ausschluss des Rechts auf Datenübertragbarkeit erlaubt. Zur näheren Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz (Art. 28 DSGVO) kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Übermittlungen an Drittländer sind nach § 38a (4) FOG grundsätzlich Übermittlung in Drittländer: zulässig. Die Übermittlungen sind nur soweit zulässig, als sie der (Kapitel V DSGVO) Erreichung des Verarbeitungszweckes dienen. Kommt es zu einer Übermittlung, müssen gemäß § 38a FOG die Voraussetzungen des § 2f Abs. 4 FOG eingehalten werden und gemäß Art. 25 DSGVO „geeignete technische und organisatorische“ getroffen werden, um „die Rechte der betroffenen Personen zu schützen.“ Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil der (Art. 36 und EG 96 DSGVO) vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde dieser die Möglichkeit gibt, sich im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes zu beteiligen, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind für Verarbeitungen im Rahmen des § 2f Abs. 4 FOG immaterielle Schäden: vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass (EG 90 iVm 85 DSGVO) „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 11 Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Diese Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden jedenfalls ein. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Verlust der Kontrolle über Der Verlust der Kontrolle über personenbezogene Daten wird durch personenbezogene Daten: folgende Maßnahmen vermieden: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu Treffen; – Art. 32 DSGVO: Verantwortlicher/Auftragsverarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Weiters wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Diskriminierung: Die Diskriminierung im Rahmen der Verarbeitung gemäß § 2f Abs. 4 (EG 90 iVm 85 DSGVO) FOG ist aufgrund folgender Maßnahmen nahezu ausgeschlossen: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Darüber hinaus wird durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko der Diskriminierung erheblich gesenkt. Identitätsdiebstahl oder - Identitätsdiebstahl und -betrug im Rahmen der Verarbeitung gemäß § 2f betrug: Abs. 4 FOG sind aufgrund folgender Maßnahmen nahezu (EG 90 iVm 85 DSGVO) ausgeschlossen: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Weiters wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 11 wesentlich gesenkt. Finanzielle Verluste: Finanzielle Verluste im Rahmen der Verarbeitung gemäß § 2f Abs. 4 (EG 90 iVm 85 DSGVO) FOG sind aufgrund folgender Maßnahmen nahezu ausgeschlossen: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Unbefugte Aufhebung der Das Risiko der unbefugten Aufhebung der Pseudonymisierung wird wie Pseudonymisierung: folgt minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortlicher/Auftragsverarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Zudem wird durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG das Risiko der unbefugten Aufhebung der Pseudonymisierung wesentlich reduziert. Rufschädigung: Rufschädigungen werden durch folgende Maßnahmen bestmöglich (EG 90 iVm 85 DSGVO) verhindert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortlicher/Auftragsverarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Verlust der Vertraulichkeit Die Vertraulichkeit von Berufsgeheimnissen soll durch untenstehende bei Berufsgeheimnissen: Maßnahmen gewährleistet werden: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortlicher/Auftragsverarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro in Art. 83 Abs. 4 Buchstabe a DSGVO. Erhebliche wirtschaftliche Erhebliche wirtschaftliche oder gesellschaftliche Nachteile sind aufgrund oder gesellschaftliche der folgenden Bestimmungen nicht zu erwarten: Nachteile: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 11 (EG 90 iVm 85 DSGVO) „geeignete technische und organisatorische Maßnahmen“ zu treffen; – Art. 32 DSGVO: Verantwortlicher/Auftragsverarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit einer Geldbuße bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Die Minimierung der Verarbeitung personenbezogener Daten ergibt sich Verarbeitung aus der Tatsache, dass nur Datenverarbeitungen im Rahmen von personenbezogener Daten: biologischen Proben- und Datensammlungen und nur aus Gründen (EG 78 DSGVO) – der medizinischen Diagnostik oder Behandlung im Gesundheitsbereich (Art. 9 Abs. 2 Buchstabe h DSGVO) oder – des öffentlichen Interesses im Bereich der öffentlichen Gesundheit (Art. 9 Abs. 2 Buchstabe i DSGVO) oder – von Wissenschaft und Forschung (Art. 9 Abs. 2 Buchstabe j DSGVO) erfolgt. Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die schnellstmögliche Pseudonymisierung personenbezogener Daten Pseudonymisierung wird durch § 2f Abs. 4 Z 1 FOG sowie Art. 89 DSGVO sichergestellt, personenbezogener Daten: wonach „technische und organisatorische Maßnahmen [zu] bestehen (EG 28 und 78 DSGVO) [haben], mit denen insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören“. Diese hat schnellstmöglich zu erfolgen. Transparenz in Bezug auf die Durch die Publikation des § 2f Abs. 4 FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Verarbeitung Gesetzgebungsprozesses können die Hintergründe für die zulässige personenbezogener Daten: Verarbeitung personenbezogener Daten bei Verarbeitungen im Rahmen (EG 78 DSGVO) von biologischen Proben- und Datensammlungen („Biobanken“) von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Die entsprechenden Betroffenenrechte der Art. 12 ff DSGVO Verarbeitung ermöglichen eine Überwachung der Verarbeitung personenbezogener personenbezogener Daten Daten durch die betroffene Person, soweit nicht § 2d Abs. 6 FOG durch die betroffenen Anwendung findet. Personen: (EG 78 DSGVO) Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 (EG 78 und 83 DSGVO) DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Verarbeitungen im Rahmen von biologischen Proben- und Datensammlungen („Biobanken“) zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 11 von 11 BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der erlassenden Datenschutzbeauftragten der Stelle im Rahmen des Begutachtungsverfahrens ergangen erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:48:17+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Prüfinformation Signatur finden Sie unter: https://www.signaturpruefung.gv.at Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 13: Datenschutz-Folgenabschätzung zu § 2f Abs. 5 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 138 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 11

Anhang 13: Datenschutz-Folgenabschätzung zu § 2f Abs. 5 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Klarstellung für Verarbeitungen im Rahmen der Lehre gemäß § 2f Abs. 5 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 DSGVO erforderlich, weil es potentiell auch zu einer umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Art. 9 Abs. 1 DSGVO kommen kann. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Die Art der Verarbeitung wird nicht eingeschränkt, solange Daten für (EG 90 DSGVO) Zwecke der Lehre verarbeitet werden. Insbesondere Verarbeitungen im Rahmen des Verfassens – schriftlicher Seminar- und Prüfungsarbeiten – von Bachelorarbeiten und – wissenschaftlicher und künstlerischer Arbeiten durch Studierende sind vom § 2f Abs. 5 FOG umfasst. Umfang der Verarbeitung: Die Verarbeitung, die durch § 2f Abs. 5 FOG legitimiert wird, umfasst (EG 90 DSGVO) grundsätzlich alle Daten gemäß § 2b Z 5 FOG. Da die vorgeschlagene Regelung auf der Öffnungsklausel gemäß Art. 9 Abs. 2 Buchstabe j DSGVO beruht, ist neben der Verarbeitung personenbezogener Daten auch die Verarbeitung sensibler Daten zulässig. Voraussetzung der Verarbeitungen ist, dass – die Verarbeitung für Zwecke der Lehre und – keine Übermittlung an Empfängerinnen oder Empfänger zu anderen Zwecken als gemäß Art. 89 Abs. 1 DSGVO erfolgt. Hinsichtlich der betroffenen Personen bestehen keine Einschränkungen. Kontext der Verarbeitung: Die Regelung schafft eine Rechtsgrundlage für Verarbeitungen im (Art-29-Datenschutzgruppe, WP 248, 21) Kontext wissenschaftlicher und schriftlicher Arbeiten. Von der Regelung sind aber auch Beurteilungsunterlagen umfasst. Verpflichtende Veröffentlichungen ergeben sich u.a. aus § 19 des Fachhochschul-Studiengesetzes, § 49 des Hochschulgesetzes 2005, § 3 des Privatuniversitätengesetz oder § 86 des Universitätengesetzes zu verstehen. Zweck der Verarbeitung: Die Verarbeitung der Daten erfolgt für Zwecke der Lehre. (Art. 35 Abs. 7 Buchstabe a DSGVO) Empfängerinnen und Empfängerinnen und Empfänger der Daten werden nicht beschränkt, Empfänger: jedoch ist eine Übermittlung nur (Art-29-Datenschutzgruppe, WP 248, 21) – wegen Erfüllung gesetzlicher Verpflichtungen und – zu Zwecken gemäß Art. 89 DSGVO erlaubt. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 11 Speicherdauer: Die Speicherdauer wird in § 2d Abs. 5 FOG angegeben. Diese (Art-29-Datenschutzgruppe, WP 248, 21) Bestimmung besagt, dass personenbezogene Daten für Zwecke des 2. Abschnittes unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit gesetzlich keine zeitlichen Bestimmungen getroffen werden. Funktionelle Beschreibung der Gemäß § 2f Abs. 5 FOG dürfen Daten für Zwecke der Lehre Verarbeitung: verarbeitet werden. Davon umfasst ist auch die Verwendung von (Art. 35 Abs. 7 Buchstabe a DSGVO) „Beurteilungsunterlagen“ wie sie in § 44 Hochschulgesetz 2005 oder in § 79 des Universitätengesetzes 2002 vorgeschrieben sind. Auch ermöglicht die Regelung die Verarbeitung von Daten im Zuge von Angaben auf Prüfungsbögen. Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz sonstige Infrastruktur): kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist (Art-29-Datenschutzgruppe, WP 248, 21) an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: Der verfolgte Zweck ist in § 2f Abs. 5 FOG festgelegt. Die (Art. 5 Abs. 1 Buchstabe b DSGVO) Formulierung für „Zwecke der Lehre“ soll insbesondere Rechtssicherheit für Studierende im Bereich ihrer wissenschaftlichen und schriftlichen Arbeiten erzeugen. Eindeutiger Zweck: Die Angabe des Zwecks in § 2f Abs. 5 FOG ist eindeutig: Die (Art. 5 Abs. 1 Buchstabe b DSGVO) angeführten Daten dürfen nur verarbeitet werden, soweit die für Zwecke der Lehre erfolgt. Anders als beispielsweise in dem der Entscheidung VfSlg. 11.499/1987 zugrundeliegenden Fall, in dem eine nicht näher determinierte hoheitliche Befugnis zur Geschwindigkeitsbeschränkung vorgesehen war, erfolgt eine nähere Determinierung mittels: – einer Definition des Zwecks in § 2f Abs. 5 FOG und – dem Ausschluss der Übermittlung zu anderen als den in Art. 89 Abs. 1 DSGVO genannten Zwecken. Legitimer Zweck: Der in § 2f Abs. 5 FOG angegebene Zweck ist legitim, weil er (Art. 5 Abs. 1 Buchstabe b DSGVO) – einerseits von den Öffnungsklauseln des Art. 6 Abs. 1 Buchstabe c („rechtliche Verpflichtung“) und Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO umfasst ist und – andererseits in § 2f Abs. 5 FOG vorgesehen ist. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 11 nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988). Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Verarbeitung: Buchstabe c iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstabe j DSGVO, (Art-29-Datenschutzgruppe, WP 248, 21 iVm wonach die Verarbeitung aufgrund einer rechtlichen Verpflichtung Art. 6 DSGVO) erfolgt. Siehe dazu näher: oben Bewertung / Legitimer Zweck. Angemessenheit der Die vorliegende Norm stellt einen Eingriff ins das Recht des Verarbeitung: Datenschutzes der betroffenen Person dar. Dies kann jedoch dann (Art-29-Datenschutzgruppe, WP 248, 21 iVm gerechtfertigt sein, sofern es zur Wahrung wichtiger öffentlicher Art. 5 Abs. 1 Buchstabe c DSGVO) Interessen passiert und gleichzeitig angemessene Garantien für den Schutz der betroffenen Person festgelegt werden (vgl. VfGH vom 08.10.2015, G 20/2015 ua). § 2f Abs. 5 FOG stellt eine Ermächtigung zur Verarbeitung von Daten nur im Rahmen der Lehre an wissenschaftlichen Einrichtungen dar. Zur Begründung warum der Zweck legitim ist, darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Die Angemessenheit ergibt sich aus den angemessene Garantien, die für den Schutz der betroffenen Person festgelegt werden. In § 2f Abs. 5 FOG wird etwa vorgesehen, dass „keine Übermittlung an Empfängerinnen oder Empfänger zu anderen Zwecken als gemäß Art. 89 Abs. 1 DSGVO erfolgt“. Aufgrund dieser Beschränkungen und Maßnahmen ist die Angemessenheit der Verarbeitung gegeben. Erheblichkeit der Verarbeitung: Die Regelung schafft Rechtssicherheit für Studierende. Die (Art-29-Datenschutzgruppe, WP 248, 21 iVm Erheblichkeit davon zeigt sich, dass sich die Studentenzahlen in den Art. 5 Abs. 1 Buchstabe c DSGVO) letzten 30 Jahren stetig erhöht haben. In den letzten 15 Jahren hat sich die Zahl der Studierenden um ca. 100.000 auf 280.783 Studierende erhöht (https://www.statistik.at/web_de/statistiken/ menschen_und_gesellschaft/bildung_und_kultur/formales_ bildungswesen/universitaeten_studium/021631.html; [02.02.2018]). Der Zugang zu einer Hochschule ermöglicht bessere Chancen auf dem Arbeitsmarkt. Die Gefahr von Arbeitslosigkeit ist unter Akademiker und Akademikerinnen am geringsten. Demnach ist das Arbeitslosigkeitsrisikos eines Absolventen einer Universität/FH die geringste unter allen abgeschlossenen Ausbildungen. Die BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 11 Arbeitslosenquote liegt bei Akademikerinnen bei 2,7 Prozent, während sie z.B. bei einer Lehrausbildung bei 6,5 Prozent liegt (vgl. http://www.ams.at/b_info/download/stunifhph.pdf, 39ff; [02.02.2018]). Gemäß dem Bericht „Bildung in Zahlen 2015/2016“ der Statistik Austria (https://uniko.ac.at/modules/download.php?key=13584_ DE_O&cs=4BAE, 95; [24.01.2018]) haben 16,2 Prozent der 25- bis 64-jährigen einen Hochschul- oder Akademieabschluss. Personen mit einem Hochschul- oder Akademieabschluss haben ein, im Vergleich zum allgemeinen Medianeinkommen, um 34,5 Prozent höheres Einkommen (vgl. Bildung in Zahlen 2015/2016, 104 ff). Die Erheblichkeit zeigt sich auch an dem Faktum, dass in Österreich im internationalen Vergleich wenig Akademiker und Akademikerinnen hat. In Deutschland beläuft sich der Anteil, jener 25- bis 64-Jähriger, die zumindest einen Bachelorabschluss haben, auf 27 Prozent. In Österreich sind es 16 Prozent. Der OECD-Durchschnitt liegt bei 29 Prozent. Der EU22-Durchschnitt liegt bei 28 Prozent (vgl. OECD, Bildung auf einen Blick 59; [http://www.oecd- ilibrary.org/docserver/download/ 9617045e.pdf?expires= 1517563608&id=id&accname=guest &checksum=00D2BBB3583763 D12AE31AFA8A26A009, 59; [02.02.2018]). Diese Werte zeigen, dass Österreich starken Aufholbedarf hat. Beschränktheit der Die Verarbeitung ist auf das notwendige Maß beschränkt, weil sie nur Verarbeitung auf das für Zwecke der Lehre zugelassen werden. Es wird klargestellt, dass notwendige Maß: Übermittlungen nur – außer die Verarbeitung ist gesetzlich vorgesehen (Art-29-Datenschutzgruppe, WP 248, 21 iVm – zu Zwecken des Art. 89 Abs. 1 DSGVO erfolgen. Art. 5 Abs. 1 Buchstabe c DSGVO) Speicherbegrenzung: Eine zeitliche Begrenzung der Speicherdauer ist nicht möglich, weil es (Art-29-Datenschutzgruppe, WP 248, 21 iVm die Zwecke der Lehre erfordern, die Daten lange aufzubewahren. Art. 5 Abs. 1 Buchstabe e DSGVO) Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 12 DSGVO) Art. 13 und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 2d Abs. 6 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen ihre Prozesse so anpassen, dass die genannten Mitteilungen tatsächlich BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 11 erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2f Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2f Abs. 5 iVm § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls ihre Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheitsbeschlusses der Kommission, – einen Hinweis auf das Bestehen eines Rechts auf – Auskunft (Art. 15 DSGVO), – Berichtigung (Art. 16 DSGVO), – Löschung (Art. 17 DSGVO), – Einschränkung (Art. 18 DSGVO) und – Beschwerde (Art. 77 DSGVO), – einen Hinweis auf die gesetzlichen Grundlagen der Verarbeitung, – gegebenenfalls das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlichen, gilt die vorliegende Datenschutz-Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 14 DSGVO vorgesehenen Informationen müssen Personen, wenn die Daten nicht aufgrund der Inanspruchnahme der Öffnungsklausel gemäß Art. 23 bei ihnen erhoben werden: Abs. 1 Buchstabe e DSGVO nicht angegeben werden. Zur näheren (Art-29-Datenschutzgruppe, WP 248, 21 iVm Begründung siehe oben: Bewertung / Generelle Informationen der Art. 14 DSGVO) betroffenen Personen. Auskunftsrecht der betroffenen Die gemäß Art. 15 DSGVO vorgesehenen Informationen müssen Personen: aufgrund der Inanspruchnahme der Öffnungsklausel gemäß Art. 23 (Art-29-Datenschutzgruppe, WP 248, 21 iVm Abs. 1 Buchstabe e DSGVO nicht angegeben werden. Zur näheren Art. 15 DSGVO) Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Datenübertragbarkeit: Buchstabe a DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 11 oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt und außerdem die Öffnungsklausel gemäß Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen wird, die einen Ausschluss des Rechts auf Datenübertragbarkeit erlaubt. Zur näheren Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz (Art. 28 DSGVO) kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Übermittlungen an Drittländer sind nach § 38 a Abs. 4 FOG zulässig. Übermittlung in Drittländer: Die Übermittlungen sind nur soweit zulässig, als sie der Erreichung des (Kapitel V DSGVO) Verarbeitungszweckes dienen, was wohl selten der Fall sein wird. Kommt es zu einer Übermittlung, müssen die Voraussetzungen des § 2f Abs. 5 FOG eingehalten werden und gemäß Art. 25 DSGVO „geeignete technische und organisatorische“ getroffen werden, um „die Rechte der betroffenen Personen zu schützen.“ Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil (Art. 36 und EG 96 DSGVO) der vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde dieser die Möglichkeit gibt, sich im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes zu beteiligen, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz- Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind für Verarbeitungen im Rahmen des § 2e FOG immaterielle Schäden: vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass (EG 90 iVm 85 DSGVO) „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind – mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, Bestimmungen über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen vorgesehen, die wie § 302 (Amtsmissbrauch) oder § 310 („Verletzung des Amtsgeheimnisses“) StGB Schäden vorbeugen (RIS-Justiz, RS0054100) und so für eine effektive Risikominimierung sorgen. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 11 wesentlich gesenkt. Verlust der Kontrolle über Der Verlust der Kontrolle über personenbezogene Daten wird durch personenbezogene Daten: folgende Maßnahmen vermieden: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Weiters wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Diskriminierung: Das Risiko der Diskriminierung wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Darüber hinaus wird durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko der Diskriminierung erheblich gesenkt. Identitätsdiebstahl oder - Das Risiko des Identitätsdiebstahls und -betrugs wird insbesondere betrug: durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 11 Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Weiters wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Finanzielle Verluste: Das Risiko finanzieller Verluste wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Unbefugte Aufhebung der Das Risiko der unbefugten Aufhebung der Pseudonymisierung wird Pseudonymisierung: insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Zudem wird durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 11 der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG das Risiko der unbefugten Aufhebung der Pseudonymisierung wesentlich reduziert. Rufschädigung: Das Risiko der Rufschädigung wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Verlust der Vertraulichkeit bei Das Risiko des Verlusts der Vertraulichkeit bei Berufsgeheimnissen Berufsgeheimnissen: wird insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Erhebliche wirtschaftliche oder Das Risiko erheblicher wirtschaftlicher und gesellschaftlicher gesellschaftliche Nachteile: Nachteile wird insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für wissenschaftliche Einrichtungen, die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für wissenschaftliche Einrichtungen, die öffentlichen Stellen sind: Insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 11 Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Verarbeitung Die Minimierung der Verarbeitung personenbezogener Daten ergibt personenbezogener Daten: sich aus der Tatsache, dass nur Datenverarbeitungen im Rahmen der (EG 78 DSGVO) Lehre an wissenschaftlichen Einrichtungen durchgeführt werden dürfen. Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die schnellstmögliche Pseudonymisierung personenbezogener Daten Pseudonymisierung wird durch Art. 89 DSGVO sichergestellt, wonach „technische und personenbezogener Daten: organisatorische Maßnahmen [zu] bestehen [haben], mit denen (EG 28 und 78 DSGVO) insbesondere die Achtung des Grundsatzes der Datenminimierung gewährleistet wird. Zu diesen Maßnahmen kann die Pseudonymisierung gehören“. Diese hat schnellstmöglich zu erfolgen. Transparenz in Bezug auf die Durch die Publikation des § 2f Abs. 5 FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge Verarbeitung des Gesetzgebungsprozesses können die Hintergründe für die zulässige personenbezogener Daten: Verarbeitung personenbezogener Daten bei Wissenstransfers von der (EG 78 DSGVO) Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Verarbeitung Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß personenbezogener Daten Kapitel III der Datenschutz-Grundverordnung, das sind: durch die betroffenen – Transparente Information, Kommunikation und Modalitäten für Personen: die Ausübung der Rechte der betroffenen Person (Art. 12 (EG 78 DSGVO) DSGVO), – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) die Möglichkeit, die Verarbeitung ihrer Daten durch die wissenschaftlichen Einrichtungen zu überwachen. Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 (EG 78 und 83 DSGVO) DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Wissenstransfers zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 11 von 11 die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der Datenschutzbeauftragten der erlassenden Stelle im Rahmen des Begutachtungsverfahrens ergangen. erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:48:32+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Signatur finden Sie unter: https://www.signaturpruefung.gv.at Prüfinformation Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 14: Datenschutz-Folgenabschätzung zu § 2g Abs. 1 Z 1 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 150 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 12

Anhang 14: Datenschutz-Folgenabschätzung zu § 2g Abs. 1 Z 1 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft Verarbeitung von (nicht) abgeschlossenen Anträgen gemäß § 2g Abs. 1 Z 1 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und diese auch Personen betreffen können, die besonders schutzwürdig sind – nämlich Empfängerinnen bzw. Empfänger von Art- 89-Mittel (§ 2b Z 2 FOG) bzw. Auftragswerberinnen und -werber. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Gemäß § 2g Abs. 1 Z 1 FOG dürfen Art-89-Förder- und (EG 90 DSGVO) Zuwendungsstellen (§ 2b Z 1 FOG) Anträge, Verträge sowie sonstige Daten (§ 2 Z 4 FOG) verarbeiten. Insbesondere umfasst ist davon die Übermittlung von Anträgen, Verträgen und sonstigen Daten an – andere Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), – öffentliche Stellen, – Gutachterinnen und Gutachter sowie – sonstige Auftragsverarbeiter. Umfang der Verarbeitung: Es werden sowohl Anträge, Verträge und sonstige Daten (§ 2b Z 5 (EG 90 DSGVO) FOG), die zu keinen Art-89-Mittel (§ 2b Z 2 FOG) geführt haben (§ 2g Abs. 1 Z 1 lit. a FOG) als auch Anträge, Verträge und sonstige Daten (§ 2b Z 5 FOG), die zu Art-89-Mittel (§ 2b Z 2 FOG) geführt haben (§ 2g Abs. 1 Z 1 lit. b FOG) verarbeitet. Weitere Art-89-Mittel (§ 2b Z 2 FOG) Erlangungen gemäß § 2g Abs. 1 Z 1 FOG sind z.B.: – Anbote für Beauftragungen, – Daten aus dem Berichtswesen, – Interims- und Endevaluierungen sowie – Daten, die im Rahmen der Abwicklung mit diesen Daten verknüpft werden (z.B. Publikationen oder Gutachten). Die Datenarten werden nicht eingeschränkt. Durch die Verarbeitungsvorgänge sind sowohl personenbezogene Daten als auch sonstige Informationen umfasst. Welche Daten in Rahmen von Anträgen, Anboten und Verträgen insbesondere verarbeiten werden dürfen, wird in § 2g Abs. 2 FOG präzisiert. Demnach sind folgende Daten davon umfasst: – Namensangaben (Z 1 leg. cit.), – Personenmerkmale (Z 2 leg. cit.), – Angaben zur Identifikation (Z 3 leg. cit.), – Angaben zur Institution der antragsstellenden Person (Z 4 leg. cit.), BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 12 – Adress- und Kontaktdaten (Z 5 leg. cit.), – Angaben gemäß Z 1, 2, 4 und 5 sowie Abs. 4 Z 3 zu Projektpartnerinnen- und partnern (Z 6 leg. cit.), – Angaben zur Ausbildung und wissenschaftlichen Karriere (Z 7 leg. cit.), – Fotos aller am Projekt beteiligten natürlichen Personen (Z 8 leg. cit.) und – sonstige Angaben (Z 9 leg. cit.). Gemäß § 2g Abs. 3 FOG dürfen Anträge und Anbote aus Gründen – der öffentlichen Sicherheit, – der Strafrechtspflege, – der umfassenden Landesverteidigung, – der auswärtigen Beziehungen oder – berechtigter privater Interesse auch – Gesundheitsdaten und – personenbezogene Daten überstrafrechtliche Verurteilungen und Straftaten beinhalten. Die personenbezogenen Daten werden im Rahmen der Abwicklung von Art-89-Mittel (§ 2b Z 2 FOG) und Beauftragungen verarbeitet. Kontext der Verarbeitung: Mit der vorgeschlagenen Regelung, soll eine Rechtsgrundlage (Art-29-Datenschutzgruppe, WP 248, 21) geschaffen werden, damit personenbezogene Daten im Rahmen der – Förderung der Entwicklung und Erschließung der Künste, – Förderung von Zwecken gemäß Art. 89 DSGVO und – Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen verarbeitet werden dürfen. Die Förderung der Entwicklung und Erschließung der Künste beruht auf der Öffnungsklausel des Art. 85 Abs. 2 DSGVO, die wie folgt lautet: „Für die Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, sehen die Mitgliedstaaten Abweichungen oder Ausnahmen von Kapitel II (Grundsätze), Kapitel III (Rechte der betroffenen Person), Kapitel IV (Verantwortlicher und Auftragsverarbeiter), Kapitel V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), Kapitel VI (Unabhängige Aufsichtsbehörden), Kapitel VII (Zusammenarbeit und Kohärenz) und Kapitel IX (Vorschriften für besondere Verarbeitungssituationen) vor, wenn dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen.“ Diese Regelung steht im Zusammenhang mit dem Erwägungsgrund 153 der DSGVO. Demnach sollten „[d]ie Mitgliedstaaten […] Gesetzgebungsmaßnahmen zur Regelung der Abweichungen und Ausnahmen erlassen, die zum Zwecke der Abwägung zwischen diesen Grundrechten [Anm.: auf Datenschutz und Freiheit der Meinungsäußerung bzw. Informationsfreiheit] notwendig sind“. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 12 Gleichartige Verarbeitungen, die auf anderen Rechtsgrundlagen gestützt sind (z.B. Einwilligungen), werden durch die vorgeschlagene Bestimmung nicht ausgeschlossen. Einwilligungen im Sinne des Art. 9 Abs. 2 Buchstabe a DSGVO sind weiterhin möglich. Um Rechtssicherheit zu schaffen, werden Übermittlungen an Auftragsverarbeiter ausdrücklich zugelassen. Zweck der Verarbeitung: Die Verarbeitung der Daten erfolgt zur Sicherstellung des Wesens der (Art. 35 Abs. 7 Buchstabe a DSGVO) Art-89-Mittel. Empfängerinnen und Die Empfängerinnen und Empfänger der Daten sind insbesondere Empfänger: andere Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), (Art-29-Datenschutzgruppe, WP 248, 21) öffentliche Stellen, Gutachterinnen und Gutachter sowie Auftragsverarbeiter (§ 2g Abs. 1 Z 1 FOG). Speicherdauer: Nach der allgemeinen Regel des § 2d Abs. 6 FOG dürfen (Art-29-Datenschutzgruppe, WP 248, 21) personenbezogene Daten für Zwecke des 2. Abschnitts des Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden. Doch ist diese Befristung nicht beachtlich, weil § 2g Abs. 1 Z 1 FOG eine speziellere Bestimmung zur Speicherdauer enthält. In § 2g Abs. 1 Z1 FOG wird eine differenzierte Bewertung der Speicherdauer vorgenommen. Das Unterscheidungskriterium ist, ob der Antrag bzw. das Anbot abgelehnt bzw. nicht weiterverfolgt oder angenommen wird. Im ersten Fall beträgt die Speicherdauer jedenfalls zehn Jahre nach dem letzten Kontakt mit der Person. Das Wort „jedenfalls“ drückt die Mindestdauer und die Möglichkeit der Verlängerung der Frist (durch vertragliche oder gesetzliche Aufbewahrungspflichten) aus. Im Falle der Annahme beträgt die Speicherdauer bis zu zehn Jahre ab dem Ende des Jahres der Auszahlung der gesamten Art-89-Mittel (§ 2b Z 2 FOG) bzw. des Entgelts. Da die Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) Verantwortliche (Art. 4 Nr. 7 DSGVO) sind, haben sie auch das Recht, die Daten früher zu löschen. Funktionelle Beschreibung Aufgrund des § 2g Abs. 1 Z 1 FOG soll es Art-89-Förder- und der Verarbeitung: Zuwendungsstellen (§ 2b Z 1 FOG) ermöglicht werden, (Art. 35 Abs. 7 Buchstabe a DSGVO) personenbezogene Daten bei der Abwicklung von Art-89-Mittel (§ 2b Z 2 FOG) und Beauftragungen zu verarbeiten. Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz sonstige Infrastruktur): kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist (Art-29-Datenschutzgruppe, WP 248, 21) an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 12 – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: Die Angabe des Zwecks erfolgt in § 2g Abs. 1 FOG: die angeführten (Art. 5 Abs. 1 Buchstabe b DSGVO) Daten dürfen nur verarbeitet werden, soweit dies „zur Förderung der Entwicklung und Erschließung der Künste sowie von Zwecken, gemäß Art. 89 DSGVO sowie der Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen“ erforderlich ist. Eindeutiger Zweck: Die Angabe des Zwecks in § 2g Abs. 1 FOG ist eindeutig: die (Art. 5 Abs. 1 Buchstabe b DSGVO) angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Förderung und Erschließung der Künste, der Erreichung der Zwecke gemäß Art. 89 DSGVO oder zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen notwendig ist. Dass eine Verarbeitung mehrere Zwecke verfolgen darf, ergibt sich bereits aus der Formulierung des Art. 5 Abs. 1 Buchstabe d DSGVO, wonach „personenbezogene Daten […] auf das für die Zwecke [Anm.: Plural!] der Verarbeitung notwendige Maß beschränkt sein“ müssen. Anders als beispielsweise in dem der Entscheidung VfSlg. 11.499/1987 zugrundeliegenden Fall, in dem eine nicht näher determinierte hoheitliche Befugnis zur Geschwindigkeitsbeschränkung vorgesehen war, erfolgt eine nähere Determinierung durch die Bestimmungen des Forschungsorganisationsgesetzes, insofern als – auf eine wissenschaftliche Methode nach anerkannten, internationalen Standards (sogenannte Frascati-Definition) abgestellt wird (siehe Erläuterungen zu § 2 Z 15 FOG), – die Zwecke in § 2g Abs. 1 FOG definiert werden und – die Speicherdauer beschränkt wird. Legitimer Zweck: Der in § 2g Abs. 1 Z 1 FOG angegebene Zweck ist legitim, weil er (Art. 5 Abs. 1 Buchstabe b DSGVO) – einerseits von den Öffnungsklauseln des Art. 6 Abs. 1 Buchstabe c („rechtliche Verpflichtung“) und Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO umfasst ist und – andererseits in § 2g Abs. 1 Z 1 FOG vorgesehen ist. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Die Verarbeitung zu Zwecken der „Förderung der Entwicklung und Erschließung der Künste“ basiert auf der Öffnungsklausel des Art. 85 Abs. 2 DSGVO. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 12 Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Verarbeitung: Buchstabe c iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstabe j DSGVO, (Art-29-Datenschutzgruppe, WP 248, 21 iVm wonach die Verarbeitung aufgrund eines öffentlichen Interesses erfolgt. Art. 6 DSGVO) Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Die Rechtsmäßigkeit der Verarbeitungen zu Zwecken der „Entwicklung und Erschließung der Künste“ ergibt sich aus Art. 85 Abs. 2 DSGVO. Angemessenheit der Die Angemessenheit der Verarbeitung ergibt sich unter anderem Verarbeitung: dadurch, dass (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO) – eine Verarbeitung nur für die festgelegten Zwecke erlaubt ist, – die Empfänger der Daten angegeben und limitiert sind und – keine Übermittlung personenbezogener Daten an Dritte. Erheblichkeit der Das Klarstellen für die Verarbeitung von personenbezogenen Daten im Verarbeitung: Rahmen der Art-89-Mittel (§ 2b Z 2 FOG) schafft Rechtssicherheit. (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO) Die Bedeutung Art-89-Mittel (§ 2b Z 2 FOG) insbesondere im Rahmen der Forschung zeigt sich am Steigen der Bruttoinlandsausgaben für Forschung und Entwicklung (vgl. http://www.statistik.at/web_de/statistiken /energie_umwelt_innovation_mobilitaet/forschung_und_innovation/ globalschaetzung_forschungsquote_jaehrlich/023703.html [29.01.2018]). Der Statistik zufolge gab es von 1981 bis 2017 ein Wachstum der Forschungsquote, das fast dem Faktor drei entspricht. Beschränktheit der Die Verarbeitung durch die Art-89-Förder- und Zuwendungsstellen (§ Verarbeitung auf das 2b Z 1 FOG) ist auf das erforderliche Maß beschränkt, weil die notwendige Maß: bereitgestellten Daten begrenzt werden. Art-89-Förder- und (Art-29-Datenschutzgruppe, WP 248, 21 iVm Zuwendungsstellen (§ 2b Z 1 FOG) dürfen Anträge, Anbote, Vertrage, Art. 5 Abs. 1 Buchstabe c DSGVO) Gutachten sowie sonstige Daten im Sinne des § 2b Z 5 FOG verarbeiten. Die Empfängerinnen und Empfänger der Daten werden beschränkt. Diese sind gemäß § 2g Abs. 1 Z 1 FOG andere Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), öffentliche Stellen, Gutachterinnen und Gutachter sowie Auftragsverarbeiter. Die Speicherdauer wird ebenfalls limitiert. Speicherbegrenzung: Die Speicherdauer wird zeitlich begrenzt. In § 2g Abs. 1 Z1 FOG wird (Art-29-Datenschutzgruppe, WP 248, 21 iVm eine differenzierte Bewertung der Speicherdauer vorgenommen. Das Art. 5 Abs. 1 Buchstabe e DSGVO) Unterscheidungskriterium ist, ob der Antrag bzw. die Anbote abgelehnt bzw. nicht weiterverfolgt oder angenommen werden. Im ersten Fall beträgt die Speicherdauer jedenfalls zehn Jahre nach dem letzten Kontakt mit der Person. Das Wort „jedenfalls“ drückt die Mindestdauer und die Möglichkeit der Verlängerung der Frist (durch vertragliche oder gesetzliche Aufbewahrungspflichten) aus. Im Falle der Annahme beträgt die Speicherdauer bis zu zehn Jahre ab dem Ende des Jahres der Auszahlung der gesamten Art-89-Mittel (§ 2b Z 2 FOG) bzw. des Entgelts. Da Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) Verantwortliche (Art. 4 Nr. 7 DSGVO) sind, haben sie das Recht, die Daten auch früher zu löschen. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 13 Art. 12 DSGVO) und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 12 Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 2d Abs. 5 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2g Abs. 1 Z 1 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2g Abs. 1 Z 1 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten der oder des Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheits- beschlusses der Kommission, – ein Hinweis auf das allfällige Bestehen anderer / restlicher Rechte der betroffenen Personen, – ein Hinweis auf das Bestehen des Rechts auf Beschwerde (Art. 77 DSGVO), – gegebenenfalls Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 12 veröffentlicht werden, gilt die vorliegende Datenschutz- Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Siehe oben: Bewertung / Generelle Informationen der betroffenen Personen, wenn die Daten Personen. nicht bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der Die gemäß Art. 15 DSGVO vorgesehenen Informationen müssen betroffenen Personen: aufgrund der Inanspruchnahme der Öffnungsklausel gemäß Art. 23 (Art-29-Datenschutzgruppe, WP 248, 21 iVm Abs. 1 Buchstabe e DSGVO nicht angegeben werden. Zur näheren Art. 15 DSGVO) Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Datenübertragbarkeit: Buchstabe a DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz (Art. 28 DSGVO) kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Eine Übermittlung in Drittländer wäre nach § 38 a (4) FOG Übermittlung in Drittländer: grundsätzlich zulässig, allerdings nur an die in § 38 a FOG genannten (Kapitel V DSGVO) Empfängerinnen und Empfänger, d.h.: – wissenschaftliche Einrichtungen (§ 2b Z 12 FOG), – Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), – Gutachterinnen und Gutachter oder – österreichische öffentliche Stellen (§ 2b Z 8 FOG). Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil der (Art. 36 und EG 96 DSGVO) vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz- Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind für Verarbeitungen im Rahmen des § 2e FOG immaterielle Schäden: vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass (EG 90 iVm 85 DSGVO) „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 12 Schutzniveau“ gewährleisten. Die Nichteinhaltung ist – für Art-89- Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind – mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, Bestimmungen über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen vorgesehen, die wie § 302 (Amtsmissbrauch) oder § 310 („Verletzung des Amtsgeheimnisses“) Schäden vorbeugen (RIS-Justiz, RS0054100) und so für eine effektive Risikominimierung sorgen. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Verlust der Kontrolle über Der Verlust der Kontrolle über personenbezogene Daten wird durch personenbezogene Daten: folgende Maßnahmen vermieden: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Weiters wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Diskriminierung: Das Risiko der Diskriminierung wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 12 – § 310 („Verletzung des Amtsgeheimnisses“). Darüber hinaus wird durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko der Diskriminierung erheblich gesenkt. Identitätsdiebstahl oder - Das Risiko des Identitätsdiebstahls und -betrugs wird insbesondere betrug: durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Weiters wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Finanzielle Verluste: Das Risiko finanzieller Verluste wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Unbefugte Aufhebung der Das Risiko der unbefugten Aufhebung der Pseudonymisierung wird Pseudonymisierung: insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 12 und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Zudem wird durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG das Risiko der unbefugten Aufhebung der Pseudonymisierung wesentlich reduziert. Rufschädigung: Das Risiko der Rufschädigung wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Verlust der Vertraulichkeit Das Risiko des Verlusts der Vertraulichkeit bei Berufsgeheimnissen bei Berufsgeheimnissen: wird insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Erhebliche wirtschaftliche Das Risiko erheblicher wirtschaftlicher und gesellschaftlicher Nachteile oder gesellschaftliche wird insbesondere durch folgende Maßnahmen minimiert: Nachteile: BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 11 von 12 (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Der Minimierung der Verarbeitung personenbezogener Daten wird Verarbeitung dadurch entsprochen, dass nur Anträge, Anbote, Verträge, Gutachten personenbezogener Daten: sowie sonstige Daten im Sinne des § 2b Z 5 FOG (Erlangung von Art- (EG 78 DSGVO) 89-Mittel) verarbeitet werden dürfen. Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die Verwendung bereichsspezifischer Personenkennzeichen stellt eine Pseudonymisierung angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar. personenbezogener Daten: (EG 28 und 78 DSGVO) Transparenz in Bezug auf die Durch die Publikation des § 2g Abs. 1 Z 1 FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Verarbeitung Gesetzgebungsprozesses können die Hintergründe für die zulässige personenbezogener Daten: Verarbeitung personenbezogener Daten bei Veröffentlichung von (EG 78 DSGVO) Empfängerinnen und Empfängern von Art-89-Mittel (§ 2b Z 2 FOG) durch Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß Verarbeitung Kapitel III der Datenschutz-Grundverordnung, das sind: personenbezogener Daten – Transparente Information, Kommunikation und Modalitäten für die durch die betroffenen Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), Personen: (EG 78 DSGVO) – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 12 von 12 – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) die Möglichkeit, die Verarbeitung ihrer Daten im Rahmen des § 2g Abs. 1 Z 1 FOG zu überwachen. Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 (EG 78 und 83 DSGVO) DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO gegenüber Art- 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind, mit Geldbußen bis zu 10 Millionen Euro sanktioniert. Entsprechende Datensicherheitsmaßnahmen sind daher auch im Anwendungsbereich des § 2g Abs. 1 Z 1 FOG zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der erlassenden Datenschutzbeauftragten der Stelle im Rahmen des Begutachtungsverfahrens ergangen. erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:49:00+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Prüfinformation Signatur finden Sie unter: https://www.signaturpruefung.gv.at Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 15: Datenschutz-Folgenabschätzung zu § 2g Abs. 1 Z 2 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 163 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 12

Anhang 15: Datenschutz-Folgenabschätzung zu § 2g Abs. 1 Z 2 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Veröffentlichung von Empfängerinnen und Empfängern von Art-89-Mittel § 2g Abs. 1 Z 2 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und diese auch Personen betreffen können, die besonders schutzwürdig sind – Empfängerinnen und Empfänger von Art-89-Mittel (§ 2b Z 2 FOG) bzw. Auftragswerberinnen und -werber. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) dürfen u.a. (EG 90 DSGVO) Namen und Foto von Empfängerinnen und Empfängern von Art-89- Mittel (§ 2b Z 2 FOG) veröffentlichen. Diese Verarbeitung kann – im Internet oder – im Rahmen sonst öffentlich zugänglicher Berichte erfolgen. Die Veröffentlichung darf für „zehn Jahre ab Zuerkennung der beantragten Art-89-Mittel (§ 2b Z 2 FOG) erfolgen“ (vgl. § 2g Abs. 1 Z 2 FOG). Umfang der Verarbeitung: Gemäß § 2g Abs. 1 Z 2 FOG dürfen folgende Daten von (EG 90 DSGVO) – Empfängerinnen und Empfängern von Art-89-Mittel (§ 2b Z 2 FOG), – Projektleiterinnen und -leitern sowie – Projektpartnerinnen und -partnern veröffentlicht werden: Bei natürlichen Personen – Vorname(n), – Familienname, – akademische Titel, – Geschlecht, – Foto sowie – gegebenenfalls die Herkunfts- und Zielinstitution. Bei nicht-natürlichen Personen: – Bezeichnung, – Anschrift und – Sitz. Diese Daten dürfen gemäß § 2g Abs. 1 Z 2 FOG mit – dem Titel, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 12 – der Beschreibung, – der Laufzeit und – weiteren Angaben zum geförderten Projekt veröffentlicht werden. Weitere Angaben sind z.B. die Zusammenfassung des Projektinhalts. Die Fördersumme darf angesichts der Urteile des EuGHs vom 09.11.2010, Rs. C-92/09 (Schecke) bzw. C‑93/09 (Eifert) nicht unter „weitere Angaben“ subsumiert werden dürfen. Eine Verarbeitung hat gemäß § 2g Abs. 1 Z 2 FOG dann zu unterbleiben, wenn die Veröffentlichung geeignet ist, – die öffentliche Sicherheit, – die Strafrechtspflege, – die umfassende Landesverteidigung, – die auswärtigen Beziehungen oder – berechtigte private oder geschäftliche Interessen zu verletzen. Bei berechtigten privaten Interessen handelt es sich zum Beispiel um zu erwartende Bedrohungen, die wegen der Veröffentlichungen eintreten. Berechtigte geschäftliche Interessen sind eng auszulegen. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 12 Kontext der Verarbeitung: Mit der vorgeschlagenen Regelung, soll eine Rechtsgrundlage (Art-29-Datenschutzgruppe, WP 248, 21) geschaffen werden, damit Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) ihre Fördertätigkeit öffentlichkeits- und medienwirksame präsentieren können. Dies kann gemäß § 2g Abs. 1 FOG zur – Förderung der Entwicklung und Erschließung der Künste, – Förderung von Zwecken gemäß Art. 89 DSGVO und – Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen erfolgen. Eine Veröffentlichung muss dann unterlassen werden, wenn berechtigte Interessen, die im § 2g Abs. 1 Z 2 FOG aufgezählt werden, gefährdet sind. Diese Abwägungsklausel hat ihren Ursprung in § 18 Abs. 1 des Informationsordnungsgesetzes. Die Förderung der Entwicklung und Erschließung der Künste beruht auf der Öffnungsklausel des Art. 85 Abs. 2 DSGVO, die wie folgt lautet: „Für die Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, sehen die Mitgliedstaaten Abweichungen oder Ausnahmen von Kapitel II (Grundsätze), Kapitel III (Rechte der betroffenen Person), Kapitel IV (Verantwortlicher und Auftragsverarbeiter), Kapitel V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), Kapitel VI (Unabhängige Aufsichtsbehörden), Kapitel VII (Zusammenarbeit und Kohärenz) und Kapitel IX (Vorschriften für besondere Verarbeitungssituationen) vor, wenn dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen.“ Diese Regelung steht im Zusammenhang mit dem Erwägungsgrund 153 der DSGVO. Demnach sollten „[d]ie Mitgliedstaaten […] Gesetzgebungsmaßnahmen zur Regelung der Abweichungen und Ausnahmen erlassen, die zum Zwecke der Abwägung zwischen diesen Grundrechten [Anm.: auf Datenschutz und Freiheit der Meinungsäußerung bzw. Informationsfreiheit] notwendig sind“. Zweck der Verarbeitung: Der Zweck der Verarbeitung ist es, Berichte über (Art. 35 Abs. 7 Buchstabe a DSGVO) – Empfängerinnen und Empfänger von Art-89-Mittel (§ 2b Z 2 FOG), – Projektleiterinnen und -leiter sowie – Projektpartnerinnen und -partner zu veröffentlichen. Empfängerinnen und Die Empfängerinnen und Empfänger der Daten ist die Öffentlichkeit. Empfänger: Die Berichte können von jeder oder jedem eingesehen werden. (Art-29-Datenschutzgruppe, WP 248, 21) Speicherdauer: Nach der allgemeinen Regel des § 2d Abs. 5 FOG dürfen (Art-29-Datenschutzgruppe, WP 248, 21) personenbezogene Daten für Zwecke des 2. Abschnitts des Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden, allerdings nur soweit die folgenden BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 12 Bestimmungen – wie etwa § 2g Abs. 1 Z 2 FOG – keine abweichenden Bestimmungen vorsehen. § 2g Abs. 1 Z 2 FOG schränkt nämlich die Dauer der Veröffentlichung mit zehn Jahren ab Zuerkennung der beantragen Art-89-Mittel (§ 2b Z 2 FOG) ein. Funktionelle Beschreibung Die Veröffentlichung wird ermöglicht, damit Art-89-Förder- und der Verarbeitung: Zuwendungsstellen (§ 2b Z 1 FOG) Öffentlichkeitsarbeit für Zwecke des (Art. 35 Abs. 7 Buchstabe a DSGVO) Art 89 DSGVO leisten können. Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz sonstige Infrastruktur): kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist (Art-29-Datenschutzgruppe, WP 248, 21) an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: Der Zweck wird in § 2g Abs. 1 Z 2 FOG festgelegt. Die vorgeschlagene (Art. 5 Abs. 1 Buchstabe b DSGVO) Regelung soll es Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) ermöglichen, bestimmte Daten öffentlichkeitswirksam zu präsentieren. Dies erfolgt für Zwecke der Bewusstseinsbildung. Eindeutiger Zweck: Die Angabe des Zwecks in § 2g Abs. 1 Z 2 FOG ist eindeutig: Die (Art. 5 Abs. 1 Buchstabe b DSGVO) angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Öffentlichkeitsarbeit erforderlich ist. Legitimer Zweck: Der in § 2g Abs. 1 Z 3 FOG angegebene Zweck ist legitim, weil er (Art. 5 Abs. 1 Buchstabe b DSGVO) – einerseits von den Öffnungsklauseln des Art. 6 Abs. 1 Buchstabe e („öffentliches Interesse“) und Art. 9 Abs. 2 Buchstabe j („Zwecke gemäß Art. 89 DSGVO“) DSGVO umfasst ist und – andererseits in § 2g Abs. 1 Z 2 FOG vorgesehen ist, gedeckt ist. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 12 an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Die Verarbeitung zu Zwecken der „Förderung der Entwicklung und Erschließung der Künste“ basiert auf der Öffnungsklausel des Art. 85 DSGVO, insbesondere dessen 2. Absatz. Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich insbesondere aus Art. 6 Verarbeitung: Abs. 1 Buchstabe e iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstaben j (Art-29-Datenschutzgruppe, WP 248, 21 iVm DSGVO, wonach die Verarbeitung aufgrund eines öffentlichen Art. 6 DSGVO) Interesses erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Angemessenheit der Die Angemessenheit der Verarbeitung ergibt sich unter anderem Verarbeitung: dadurch, dass die Datenarten, die verarbeitet werden dürfen, (Art-29-Datenschutzgruppe, WP 248, 21 iVm eingeschränkt werden: es darf an dieser Stelle auf die Ausführungen zu Art. 5 Abs. 1 Buchstabe c DSGVO) Umfang der Verarbeitung verwiesen werden. Es werden nur Daten verarbeitet, die für die Öffentlichkeitsarbeit erforderlich sind. Daher erfolgt die Datenverarbeitung in angemessener Art und Weise. Erheblichkeit der Die Förderung der Öffentlichkeitsarbeit von Art-89-Förder- und Verarbeitung: Zuwendungsstellen (§ 2b Z 1 FOG)) wird für Zwecke der (Art-29-Datenschutzgruppe, WP 248, 21 iVm Bewusstseinsbildung durchgeführt. Es soll auf die gesellschaftliche Art. 5 Abs. 1 Buchstabe c DSGVO) Relevanz von Forschung und Forschungsinvestitionen hingewiesen werden und die Anerkennung der Forschung in der Gesellschaft erhöht werden. Wie wichtig die Förderung des Verständnisses für Wissenschaft und Forschung ist, zeigt sich unter anderem an der Entwicklung der Bruttoinlandsausgaben für Forschung und Entwicklung (vgl. http://www.statistik.at/web_de/statistiken /energie_umwelt_innovation_mobilitaet/forschung_und_innovation/ globalschaetzung_forschungsquote_jaehrlich/index.html, [29.01.2018]). Dieser Statistik zufolge gab es von 1981 bis 2017 einen Anstieg der Forschungsquote, der fast dem Faktor drei entsprochen. Dass das Bewusstsein für die Bedeutung von Forschung leider nicht im selben Ausmaß gestiegen ist, zeigt eine Studie der Europäischen Kommission mit dem Titel „Public perceptions of science, research and innovation“ (Eurobarometer 419; http://ec.europa.eu/commfrontoffice/publicopinion/archives/ebs /ebs_419_en.pdf [29.01.2018]). Hier besteht großes Verbesserungspotential. So nimmt Österreich beispielsweise iZm Frage nach dem Einfluss von Wissenschaft und technologischer Innovation auf die Entstehung von Arbeitsplätzen EU-weit den letzten Platz ein (Eurobarometer 419, 41). Beschränktheit der Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die Verarbeitung auf das bereitgestellten Daten begrenzt sind. Des Weiteren ist eine notwendige Maß: Veröffentlichung nur für zehn Jahre ab Zuerkennung der beantragten (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art-89-Mittel (§ 2b Z 2 FOG) zulässig. Art. 5 Abs. 1 Buchstabe c DSGVO) Speicherbegrenzung: Nach der allgemeinen Regel des § 2d Abs. 5 FOG dürfen (Art-29-Datenschutzgruppe, WP 248, 21 iVm personenbezogene Daten für Zwecke des 2. Abschnitts des Art. 5 Abs. 1 Buchstabe e DSGVO) Forschungsorganisationsgesetzes zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden, allerdings nur soweit die folgenden Bestimmungen – wie etwa § 2g Abs. 1 Z 2 FOG – keine abweichenden Bestimmungen vorsehen. § 2g Abs. 1 Z 2 FOG schränkt allerdings die Dauer der Veröffentlichung auf zehn Jahre ab Zuerkennung der Art-89- BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 12 Mittel (§ 2b Z 2 FOG) ein. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 13 Art. 12 DSGVO) und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 2d Abs. 6 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2g Abs. 1 Z 2 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2g Abs. 1 Z 2 und § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass die Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) – Name und Kontaktdaten der oder des Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheits- beschlusses der Kommission, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 12 – ein Hinweis auf das allfällige Bestehen anderer / restlicher Rechte der betroffenen Personen, – ein Hinweis auf das Bestehen des Rechts auf Beschwerde (Art. 77 DSGVO), – gegebenenfalls Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht werden, gilt die vorliegende Datenschutz- Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Siehe oben: Bewertung / Generelle Informationen der betroffenen Personen, wenn die Daten Personen. nicht bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der Die gemäß Art. 15 DSGVO vorgesehenen Informationen müssen betroffenen Personen: aufgrund der Inanspruchnahme der Öffnungsklausel gemäß Art. 23 (Art-29-Datenschutzgruppe, WP 248, 21 iVm Abs. 1 Buchstabe e DSGVO nicht angegeben werden. Zur näheren Art. 15 DSGVO) Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Datenübertragbarkeit: Buchstabe a DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz (Art. 28 DSGVO) kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Die Veröffentlichung (im Internet) führt de facto zu einer Übermittlung Übermittlung in Drittländer: in Drittländer. Als Schutzmaßnahmen sind somit die bereits oben unter: (Kapitel V DSGVO) Bewertung / Beschränktheit der Verarbeitung auf das notwendige Maß oder Bewertung / Speicherbegrenzung genannten Beschränkungen anzuführen. Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil der (Art. 36 und EG 96 DSGVO) vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz- Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 12 Physische, materielle oder Diese Risiken sind für Verarbeitungen im Rahmen des § 2e FOG immaterielle Schäden: vorhanden, aber eingeschränkt, weil Art. 25 DSGVO verordnet, dass (EG 90 iVm 85 DSGVO) „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist – für Art-89- Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind – mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, Bestimmungen über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen vorgesehen, die wie § 302 (Amtsmissbrauch) oder § 310 („Verletzung des Amtsgeheimnisses“) Schäden vorbeugen (RIS-Justiz, RS0054100) und so für eine effektive Risikominimierung sorgen. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Verlust der Kontrolle über Der Verlust der Kontrolle über personenbezogene Daten wird durch personenbezogene Daten: folgende Maßnahmen vermieden: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Weiters wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Diskriminierung: Das Risiko der Diskriminierung wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 12 gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Darüber hinaus wird durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko der Diskriminierung erheblich gesenkt. Identitätsdiebstahl oder - Das Risiko des Identitätsdiebstahls und -betrugs wird insbesondere betrug: durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Weiters wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Finanzielle Verluste: Das Risiko finanzieller Verluste wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Unbefugte Aufhebung der Das Risiko der unbefugten Aufhebung der Pseudonymisierung wird BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 12 Pseudonymisierung: insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Rufschädigung: Das Risiko der Rufschädigung wird insbesondere durch folgende (EG 90 iVm 85 DSGVO) Maßnahmen minimiert: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Verlust der Vertraulichkeit Das Risiko des Verlusts der Vertraulichkeit bei Berufsgeheimnissen bei Berufsgeheimnissen: wird insbesondere durch folgende Maßnahmen minimiert: (EG 90 iVm 85 DSGVO) – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Erhebliche wirtschaftliche Das Risiko erheblicher wirtschaftlicher und gesellschaftlicher Nachteile oder gesellschaftliche wird insbesondere durch folgende Maßnahmen minimiert: Nachteile: – Art. 25 DSGVO: es sind zum Schutz der betroffenen Person BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 11 von 12 (EG 90 iVm 85 DSGVO) „geeignete technische und organisatorische Maßnahmen“ zu treffen, – Art. 32 DSGVO: Verantwortliche und Auftragsverarbeiterinnen und -verarbeiter müssen für „ein dem Risiko angemessenes Schutzniveau“ sorgen; – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die keine öffentlichen Stellen sind: Sanktionierung eines Verstoßes gegen Art. 32 DSGVO mit Geldbußen bis zu 10 Millionen Euro gemäß Art. 83 Abs. 4 Buchstabe a DSGVO und – für Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentlichen Stellen sind: insbesondere durch folgende Bestimmungen des 22. Abschnittes des Strafgesetzbuchs: – § 302 (Amtsmissbrauch) und – § 310 („Verletzung des Amtsgeheimnisses“). Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Jene personenbezogenen Daten, die verarbeitet werden dürfen, werden Verarbeitung in§ 2g Abs. 1 Z 2 FOG aufgezählt. Die aufgezählten Daten entsprechen personenbezogener Daten: der Minimierung der Verarbeitung personenbezogener Daten. Die (EG 78 DSGVO) Namensangaben, der akademische Titel, das Geschlecht, das Foto sowie Herkunfts- und Zielinstitution bzw. die Bezeichnung, Anschrift und Sitz von den betroffenen Personen sind notwendig, damit sich Interessentinnen und Interessenten ein genaues Bild über die Art-89- Mittel (§ 2b Z 2 FOG) und Projekte machen können. Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die Pseudonymisierung der personenbezogenen Daten wird nicht Pseudonymisierung vorgesehen, damit wäre eine möglichst öffentlichkeits- und personenbezogener Daten: medienwirksame Darstellung der Fördertätigkeiten nicht möglich. Die (EG 28 und 78 DSGVO) angegebenen Daten sind erforderlich, um ein möglichst großes Bewusstsein zu schaffen. Transparenz in Bezug auf die Durch die Publikation des § 2g Abs. 1 Z 2 FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Verarbeitung Gesetzgebungsprozesses können die Hintergründe für die zulässige personenbezogener Daten: Verarbeitung personenbezogener Daten bei Veröffentlichung von (EG 78 DSGVO) Empfängerinnen und Empfängern von Art-89-Mittel (§ 2b Z 2 FOG) durch Art-89-Förder- und Zuwendungsstelle (§ 2b Z 1 FOG) von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß Verarbeitung Kapitel III der Datenschutz-Grundverordnung, das sind: personenbezogener Daten – Transparente Information, Kommunikation und Modalitäten für die durch die betroffenen Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), Personen: (EG 78 DSGVO) – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 12 von 12 – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) die Möglichkeit, die Verarbeitung ihrer Daten im Rahmen des § 2h Abs. 1 FOG zu überwachen. Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 (EG 78 und 83 DSGVO) DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist (sofern keine Ausnahmen bestehen). Entsprechende Datensicherheitsmaßnahmen sind daher von den Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der erlassenden Datenschutzbeauftragten der Stelle im Rahmen des Begutachtungsverfahrens ergangen. erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:49:14+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Signatur finden Sie unter: https://www.signaturpruefung.gv.at Prüfinformation Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 16: Datenschutz-Folgenabschätzung zu § 2g Abs. 1 Z 3 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 176 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 10

Anhang 16: Datenschutz-Folgenabschätzung zu § 2g Abs. 1 Z 3 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Speicherung von Alumni-Daten durch Art 89-Förder- und Zuwendungsstellengemäß § 2g Abs. 1 Z 3 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und diese auch Personen betreffen können, die besonders schutzwürdig sind – nämlich Empfängerinnen und Empfänger von Art- 89-Mittelnbzw. Auftragswerberinnen und -werber. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: § 2g Abs. 1 Z 3 des Forschungsorganisationsgesetzes (FOG), BGBl. (EG 90 DSGVO) Nr. 341/1981, ermächtigt Art-89-Förder- und Zuwendungsstellen(§ 2b Z 1 FOG) bestimmt Daten von Fördernehmerinnen und -nehmern zu speichern und gegebenenfalls zu verarbeiten, sofern dies zum Zweck der Kontaktaufnahme erfolgt. Umfang der Verarbeitung: Art-89-Förder- und Zuwendungsstellen(§ 2b Z 1 FOG) dürfen, (EG 90 DSGVO) aufgrund der Ermächtigung in § 2g Abs. 1 Z 3 FOG, folgende Daten der Empfängerinnen und Empfängern von Art-89-Mittel für Zwecke der Kontaktaufnahme verarbeiten: – Vorname(n), Familienname bzw. Bezeichnung, Geburtsname, akademischer Grad, Titel, Ansprache (§ 2g Abs. 1 Z 3 lit. a iVm § 2g Abs. 2 Z 1 FOG), – Geburtsdatum, Geburtsort, Geschlecht, Staatsangehörigkeit (§ 2g Abs. 1 Z 3 lit. b iVm § 2g Abs. 2 Z 2 FOG), – Adressdaten, Angaben zu elektronischen Erreichbarkeit (§ 2g Abs. 1 Z 3 lit. c iVm § 2g Abs. 2 Z 5 FOG), – die Angaben gemäß § 2g Abs. 1 Z 3 lit. a bis c FOG zu allfälligen Projektpartnerinnen und -partnern, – Angaben zur Ausbildung gemäß § 2g Abs. 1 Z 3 lit. e iVm § 2g Abs. 2 Z 7 FOG und – Angaben zu erhaltenen Art-89-Mittel (§ 2b Z 2 FOG) und Mobilitäten gemäß § 10a Abs. 4 des OeAD-Gesetzes. Kontext der Verarbeitung: Mit der vorgeschlagenen Regelung, soll es Art-89-Förder- und (Art-29-Datenschutzgruppe, WP 248, 21) Zuwendungsstellenermöglicht werden, allfällige Nachfolgeprogramme durchzuführen. Um den Erfolg von Nachfolgeprogrammen zu garantieren, ist es notwendig, dass Daten von Alumnis vorhanden sind. Deswegen wird mit dem vorgeschlagenen § 2g Abs. 1 Z 3 FOG eine Regelung geschaffen, die Verarbeitungen zulässt, um ehemalige Stipendienempfängerinnen und -empfänger in Evidenz zu halten. Die Förderung der Entwicklung und Erschließung der Künste beruht auf der Öffnungsklausel des Art. 85 DSGVO. Im Besonderen auf den 2. Absatz, der wie folgt lautet: „Für die Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 10 sehen die Mitgliedstaaten Abweichungen oder Ausnahmen von Kapitel II (Grundsätze), Kapitel III (Rechte der betroffenen Person), Kapitel IV (Verantwortlicher und Auftragsverarbeiter), Kapitel V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), Kapitel VI (Unabhängige Aufsichtsbehörden), Kapitel VII (Zusammenarbeit und Kohärenz) und Kapitel IX (Vorschriften für besondere Verarbeitungssituationen) vor, wenn dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen.“ Diese Regelung steht im Zusammenhang mit dem Erwägungsgrund 153 der DSGVO. Demnach sollten „[d]ie Mitgliedstaaten […] Gesetzgebungsmaßnahmen zur Regelung der Abweichungen und Ausnahmen erlassen, die zum Zwecke der Abwägung zwischen diesen Grundrechten [Anm.: auf Datenschutz und Freiheit der Meinungsäußerung bzw. Informationsfreiheit] notwendig sind“. Da für die meisten Empfängerinnen und Empfänger von Art-89- Mitteln gemäß § 24 Abs. 2 Z 4 ARR 2014 eine Aufbewahrungs- und Auskunftspflicht für die Dauer von 10 Jahren gegeben ist, sind die Angaben jedenfalls bis zu diesem Datum aufzubewahren. Zweck der Verarbeitung: Die Zwecke der Verarbeitung – die Kontaktaufnahme – wird in § 2g (Art. 35 Abs. 7 Buchstabe a DSGVO) Abs. 1 Z 3 FOG festgelegt. Die Kontaktaufnahme hat gemäß § 2g Abs. 10 FOG Folgendes zum Ziel: – Förderung der Entwicklung und Erschließung der Künste, – Förderung von Zwecken gemäß Art. 89 DSGVO und – Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen. Empfängerinnen und Die Empfängerinnen und Empfänger der Daten sind die Art 89- Empfänger: Förder- und Zuwendungsstellen (§ 2b Z 1 FOG). (Art-29-Datenschutzgruppe, WP 248, 21) Speicherdauer: Nach der allgemeinen Regel des § 2d Abs. 5 dürfen (Art-29-Datenschutzgruppe, WP 248, 21) personenbezogene Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden. § 2g Abs. 1 Z 3 FOG geht von dieser allgemeinen Regel ab und lässt eine Speicherung von jedenfalls zehn Jahren zu. Funktionelle Beschreibung der Die Speicherung und die Verarbeitung von bestimmten Daten der Verarbeitung: Empfängerinnen und Empfänger von Art-89-Mitteln wird zugelassen, (Art. 35 Abs. 7 Buchstabe a DSGVO) um eine Kontaktaufnahme zu ermöglichen. Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch (Hard- und Software bzw. im Zuge von Gesetzgebungsverfahren zulässt und die konkret zum sonstige Infrastruktur): Einsatz kommende Infrastruktur typischerweise nicht gesetzlich (Art-29-Datenschutzgruppe, WP 248, 21) geregelt ist, ist an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 10 der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: Der Zweck der Verarbeitung wird in § 2g Abs. 1 Z 3 FOG festgelegt. (Art. 5 Abs. 1 Buchstabe b DSGVO) Er besteht darin, dass die vorgeschlagene Regelung eine Kontaktaufnahme zu Empfängerinnen und Empfängern von Art-89- Mitteln ermöglicht. Dies erfolgt insbesondere zur Förderung von Zwecken gemäß Art. 89 DSGVO (vgl. § 2g Abs. 1 FOG). Eindeutiger Zweck: Die Angabe des Zwecks in § 2g Abs. 1 Z 3 FOG ist eindeutig: Die (Art. 5 Abs. 1 Buchstabe b DSGVO) angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Kontaktaufnahme erforderlich ist. Legitimer Zweck: Der in § 2g Abs. 1 Z 3 FOG angegebene Zweck ist legitim, weil er (Art. 5 Abs. 1 Buchstabe b DSGVO) – einerseits von den Öffnungsklauseln des Art. 6 Abs. 1 Buchstabe e („öffentliches Interesse“) und Art. 9 Abs. 2 Buchstabe j („Zwecke gemäß Art. 89 DSGVO“) DSGVO umfasst ist und – andererseits in § 2g Abs. 1 Z 3 FOG vorgesehen ist. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988). Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Verarbeitung: Buchstabe e iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstabe j DSGVO, (Art-29-Datenschutzgruppe, WP 248, 21 iVm wonach die Verarbeitung aufgrund eines öffentlichen Interesses Art. 6 DSGVO) erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Angemessenheit der Die Angemessenheit der Verarbeitung ergibt sich unter anderem Verarbeitung: dadurch, dass die Datenarten, die verarbeitet werden dürfen (Art-29-Datenschutzgruppe, WP 248, 21 iVm eingeschränkt werden – es darf an dieser Stelle auf die Ausführungen Art. 5 Abs. 1 Buchstabe c DSGVO) zu Umfang der Verarbeitung verwiesen werden. Es werden nur jene Daten verarbeiten, die für den Zweck der Kontaktaufnahme notwendig sind. Eine Speicherung bzw. Verarbeitung erfolgt nur BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 10 durch die Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG). Die Verarbeitung erfolgt daher in angemessener Art und Weise. Erheblichkeit der Verarbeitung: Durch die zugelassene Verarbeitung soll die Wissenschaft und die (Art-29-Datenschutzgruppe, WP 248, 21 iVm Forschung dadurch gefördert werden, dass Nachfolgeprogramme Art. 5 Abs. 1 Buchstabe c DSGVO) erfolgreicher werden. Die Erheblichkeit der Verarbeitung lässt sich unter anderen anhand des EU-Austauschprogramms „Erasmus“ zeigen. Die Wirkung dieses Programmes wurde von der Europäischen Kommission im Rahmen einer Studie erhoben (The Erasmus Impact Study: http://ec.europa.eu/dgs/education_culture/repository /education/library/study/2014/erasmus-impact_en.pdf [28.01.2018]). Die Studie wurde basierend auf fast 80.000 Rückmeldungen, u. a. von Studierenden und Unternehmen, erstellt und zeigt, dass Hochschulabgängerinnen und -abgänger mit internationaler Erfahrung wesentlich leichter am Arbeitsmarkt Fuß fassen können. Die Gefahr der Arbeitslosigkeit trifft Erasmus-Absolventinnen und -Absolventen nur halb so oft, wie Absolventinnen und Absolventen, die an keinem Austauschprogramm teilgenommen haben. Fünf Jahre nach dem Abschluss haben 61 Prozent der Erasmus-Alumni eine Managementposition, während es bei jenen, die nicht an Erasmus teilgenommen haben, nur 53 Prozent sind. Damit haben Mobilitäts- Teilnehmer eine um 15 Prozent höhere Chance, nach 5 Jahren einen Management-Posten inne zu haben. Es zeigt sich, dass eine Teilnahme am Mobilitätsprogramm nicht nur eine Verbesserung der Arbeitsmarktchancen mit sich bringt, sondern auch die Chancen auf eine höhere Position erhöht. Um Programme auch auf nationaler Ebene evaluieren und verbessern zu können, wird eine Rechtsgrundlage dafür geschaffen, um die erforderlichen Daten speichern und gegebenenfalls verarbeiten zu dürfen. Beschränktheit der Verarbeitung Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die auf das notwendige Maß: bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls (Art-29-Datenschutzgruppe, WP 248, 21 iVm direkt personenbezogen zur Kenntnis gebracht werden dürfen (§ 2g Art. 5 Abs. 1 Buchstabe c DSGVO) Abs. 1 Z 3 FOG). Speicherbegrenzung: Gemäß § 2d Abs. 5 FOG ist die Speicherdauer grundsätzlich (Art-29-Datenschutzgruppe, WP 248, 21 iVm unbeschränkt. Jedoch wird in § 2g Abs. 1 Z 3 FOG eine speziellere Art. 5 Abs. 1 Buchstabe e DSGVO) Regelung getroffen. Demnach ist die Speicherdauer jedenfalls für zehn Jahre zulässig. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 12 DSGVO) Art. 13 und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 10 auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 2d Abs. 6 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG) ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2g Abs. 1 Z 3 iVm § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2g Abs. 1 Z 3 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten der oder des Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheits- beschlusses der Kommission, – ein Hinweis auf das allfällige Bestehen anderer / restlicher Rechte der betroffenen Personen, – ein Hinweis auf das Bestehen des Rechts auf Beschwerde (Art. 77 DSGVO), – gegebenenfalls Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht werden, gilt die vorliegende Datenschutz- Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Siehe oben: Bewertung / Information der betroffenen Personen bei Personen, wenn die Daten nicht Erhebung. bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der betroffenen Unter der Voraussetzung, dass die Art 89-Förder- und Personen: Zuwendungsstellen (§ 2b Z 1 FOG) ihre Prozesse so anpassen, dass (Art-29-Datenschutzgruppe, WP 248, 21 iVm das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 10 Art. 15 DSGVO) tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Recht auf Datenübertragbarkeit: Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 (Art. 20 DSGVO) Buchstabe a DSGVO nicht zu, weil die Verarbeitung – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch Auftragsverarbeiter: im Zuge von Gesetzgebungsverfahren zulässt und die konkret zum (Art. 28 DSGVO) Einsatz kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Eine Übermittlung in Drittländer wäre nach §§ 2j iVm 38a Abs. 4 Übermittlung in Drittländer: FOG grundsätzlich zulässig, allerdings nur an die in § 2j FOG (Kapitel V DSGVO) genannten Empfängerinnen und Empfänger, d.h.: – wissenschaftliche Einrichtungen (§ 2b Z 12 FOG), – Art-89-Förder- und Zuwendungsstellen(§ 2b Z 1 FOG), – Gutachterinnen und Gutachter oder – österreichische öffentliche Stellen (§ 2b Z 8 FOG). Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil (Art. 36 und EG 96 DSGVO) der vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind bei Verarbeitungen im Rahmen des § 2g Abs. 1 immaterielle Schäden: Z 3 FOG vorhanden, aber eingeschränkt, insbesondere weil Art. 25 (EG 90 iVm 85 DSGVO) DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“. Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO) – sofern keine Strafbefreiung vorgesehen ist. Für Art-89-Förder- und Zuwendungsstellen, die öffentliche Stellen sind, sind die unionsrechtlichen Strafen gemäß § 30 Abs. 5 DSG bzw. § 2k Abs. 2 Z 2 FOG ausgeschlossen. In diesem Fall können die Bestimmungen des 22. Abschnitts des Strafgesetzbuchs, BGBl. Nr. 60/1974, über die strafbaren Verletzungen der Amtspflicht, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 10 Korruption und verwandte strafbare Handlungen einschlägig sein. Zusammengefasst sind die Konsequenzen, die bei einem Verstoß drohen, jedenfalls geeignet die Risiken von physischen, materiellen oder immateriellen Schäden wirkungsvoll einzudämmen. Darüber hinaus wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Verlust der Kontrolle über Diesem Risiko wird durch die Einhaltung der (anwendbaren) Rechte personenbezogene Daten: der betroffenen Person gemäß Kapitel III der Datenschutz- (EG 90 iVm 85 DSGVO) Grundverordnung, das sind: – Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) Rechnung getragen. Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den Art 89-Förder- und Zuwendungsstelleneinzuhalten. Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert. Zudem wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Diskriminierung: Dieses Risiko bei der Verarbeitung gemäß § 2g Abs. 1 Z 3 FOG ist (EG 90 iVm 85 DSGVO) minimal, insbesondere weil die Verantwortlichen im Zuge der Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Auch müssen die Art 89- Förder- und Zuwendungsstellen die in Art. 32 DSGVO konkretisierten Datensicherheitsmaßnahmen einhalten, da sonst mit Geldstrafen bis 10 Millionen Euro zu rechnen ist (Art. 83 Abs. 4 Buchstabe a DSGVO). Damit wird die Wahrscheinlichkeit der Diskriminierung aufgrund der unzulässigen Verarbeitung personenbezogener Daten effektiv gemindert. Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung erheblich gesenkt. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 10 Identitätsdiebstahl oder -betrug: Dieses Risiko wird insbesondere durch die unions- (sofern keine (EG 90 iVm 85 DSGVO) Strafbefreiung einschlägig ist) und strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert. Überdies wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Finanzielle Verluste: Dieses Risiko wird insbesondere durch die unions- (sofern keine (EG 90 iVm 85 DSGVO) Strafbefreiung einschlägig ist) und strafrechtliche Sanktionierung (siehe oben: Physische, materielle oder immaterielle Schäden) effektiv gemindert. Außerdem werden keine Finanzdaten verarbeitet, womit die Wahrscheinlichkeit für den Eintritt dieses Risikos sehr gering ist. Zudem wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Unbefugte Aufhebung der Dieses Risiko wird wie folgt minimiert: Pseudonymisierung: – unions- (sofern keine Strafbefreiung einschlägig ist) und (EG 90 iVm 85 DSGVO) strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die unbefugte Aufhebung der Pseudonymisierung, bieten. Insbesondere durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG wird das Risiko der unbefugten Aufhebung der Pseudonymisierung wesentlich reduziert. Rufschädigung: Dieses Risiko wird wie folgt minimiert: (EG 90 iVm 85 DSGVO) – unions- (sofern keine Strafbefreiung einschlägig ist) und strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die Rufschädigung, bieten. Verlust der Vertraulichkeit bei Dieses Risiko wird wie folgt minimiert: Berufsgeheimnissen: – unions- (sofern keine Strafbefreiung einschlägig ist) und (EG 90 iVm 85 DSGVO) strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 10 wesentlich höheren Schutz, insbesondere gegen den Verlust der Vertraulichkeit bei Berufsgeheimnissen. Erhebliche wirtschaftliche oder Dieses Risiko wird wie folgt minimiert: gesellschaftliche Nachteile: – unions- (sofern keine Strafbefreiung einschlägig ist) und (EG 90 iVm 85 DSGVO) strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen erhebliche wirtschaftliche oder gesellschaftliche Nachteile, bieten. Darüber hinaus wird die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Verarbeitung Jene personenbezogenen Daten, die verarbeitet werden dürfen, personenbezogener Daten: werden in§ 2g Abs. 1 Z 3 FOG aufgezählt. Die aufgezählten Daten (EG 78 DSGVO) entsprechen der Minimierung der Verarbeitung personenbezogener Daten, weil alle Daten notwendig sind, um bisherige Empfängerinnen und Empfänger von Art-89-Mitteln in Evidenz zu halten und zu bei Bedarf kontaktieren zu können. Zudem erfolgt mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Pseudonymisierung Voraussetzung für die Zulässigkeit der Verarbeitungen gemäß § 2d personenbezogener Daten: FOG. Die Verwendung bereichsspezifischer Personenkennzeichen (EG 28 und 78 DSGVO) stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine Verarbeitung gemäß Art. 9 Abs. 2 Buchstabe j DSGVO. Transparenz in Bezug auf die Durch die Publikation des § 2g Abs. 1 FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge Verarbeitung des Gesetzgebungsprozesses können die Hintergründe für die personenbezogener Daten: zulässige Verarbeitung personenbezogener Daten bei der Speicherung (EG 78 DSGVO) von Alumni-Daten durch Art 89-Förder- und Zuwendungsstellen von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Verarbeitung Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß personenbezogener Daten durch Kapitel III der Datenschutz-Grundverordnung, das sind: die betroffenen Personen: – Transparente Information, Kommunikation und Modalitäten für (EG 78 DSGVO) die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 10 – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) die Möglichkeit, die Verarbeitung ihrer Daten im Rahmen des § 2h Abs. 2 FOG zu überwachen. Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 (EG 78 und 83 DSGVO) DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist (sofern keine Ausnahmen bestehen). Entsprechende Datensicherheitsmaßnahmen sind daher von den Art 89-Förder- und Zuwendungsstellen zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der Datenschutzbeauftragten der erlassenden Stelle im Rahmen des Begutachtungsverfahrens ergangen. erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:49:29+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Prüfinformation Signatur finden Sie unter: https://www.signaturpruefung.gv.at Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 17: Datenschutz-Folgenabschätzung zu § 2h Abs. 1 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 187 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 10

Anhang 17: Datenschutz-Folgenabschätzung zu § 2h Abs. 1 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Öffentlichkeitsarbeit von wissenschaftlichen Einrichtungen gemäß § 2h Abs. 1 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und diese auch Personen betreffen, die besonders schutzwürdig sind – nämlich wissenschaftliche Mitarbeiterinnen und Mitarbeiter und Studenten. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: § 2h Abs. 1 des Forschungsorganisationsgesetzes (FOG), BGBl. (EG 90 DSGVO) Nr. 341/1981, ermächtigt wissenschaftliche Einrichtungen (§ 2b Z 12 FOG), bestimmte Daten – zu veröffentlichen (§ 2h Abs. 1 Z 1 und 2 FOG) sowie – sonst zu verarbeiten (§ 2h Abs. 1 Z 3 und 4 FOG). Diese Bestimmung sieht eine Verarbeitung sowohl in Papierform (§ 2h Abs. 1 Z 1 lit. b und Z 2 lit. b FOG) als auch in automationsunterstützter Form (§ 2h Abs. 1 Z 1 lit. a und Z 2 lit. a FOG) vor, wobei Berichte (§ 2h Abs. 1 Z 1 lit. b und Z 2 lit. b FOG) auch in elektronischer Form denkbar sind. Hinsichtlich der übrigen Bestimmungen darf – mangels eindeutiger Anordnung zur Art der Verarbeitung – diese sowohl in Papierform als auch in automationsunterstützter Form erfolgen. Besondere Formen, die aufgrund ihres Spannungsverhältnisses zu Bestimmungen der DSGVO, wie insbesondere Art. 5 DSGVO, einer gesetzlichen Regelung bedürften, wie etwa Big Data, sind nicht vorgesehen und damit nicht zulässig. Umfang der Verarbeitung: Gemäß § 2h Abs. 1 Z 1 FOG dürfen wissenschaftliche Einrichtungen: (EG 90 DSGVO) – ein Foto und eine Liste der Publikationen von wissenschaftlichen Mitarbeiterinnen und Mitarbeitern, die bei der wissenschaftlichen Einrichtung angestellt sind, – online auf einer Website der wissenschaftlichen Einrichtung (lit. a leg. cit.) oder – auf sonstigen öffentlich zugänglichen Berichten der wissenschaftlichen Einrichtung (lit. b leg. cit.) veröffentlichen. Gemäß § 2h Abs. 1 Z 2 FOG dürfen wissenschaftliche Einrichtungen: – den Namen von bereits ausgeschiedenen wissenschaftlichen Mitarbeiterinnen und Mitarbeitern und Studierenden – online auf einer Website der wissenschaftlichen Einrichtung (lit. a leg. cit.) oder – auf sonstigen öffentlich zugänglichen Berichten der wissenschaftlichen Einrichtung (lit. b leg. cit.) veröffentlichen. Gemäß § 2h Abs. 1 Z 3 FOG dürfen wissenschaftliche Einrichtungen BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 10 über § 2g Abs. 1 Z 3 FOG hinaus folgende Daten von ehemaligen wissenschaftlichen Mitarbeiterinnen und Mitarbeiter bzw. Studierenden verarbeiten und mit anderen öffentlich zugänglichen Informationen verknüpfen: – Forschungsschwerpunkte (§ 2h Abs. 1 Z 3 lit. a) und – Angaben zu Publikationen (§ 2h Abs. 1 Z 3 lit. b). Gemäß § 2h Abs. 1 Z 4 FOG dürfen wissenschaftliche Einrichtungen folgende Daten von Wissenschaftlerinnen oder Wissenschaftlern und deren nahestehenden Personen verarbeiten: – gemäß § 2h Abs. 1 Z 4 lit. a.: Namensangaben gemäß § 2g Abs. 2 Z 1 FOG, – gemäß § 2h Abs. 1 Z 4 lit. b.: Personenmerkmale gemäß § 2g Abs. 2 Z 2 FOG und – gemäß § 2h Abs. 1 Z 4 lit. c.: Angaben zum Lebenslauf. Betroffene Personen sind (ehemalige) wissenschaftliche Mitarbeiterinnen und Mitarbeiter, (ehemalige) Studierende und Wissenschaftlerinnen oder Wissenschaftler. Kontext der Verarbeitung: Die Verarbeitung erfolgt im Kontext der Zwecke gemäß Art. 89 (Art-29-Datenschutzgruppe, WP 248, 21) DSGVO, mit dem Ziel einer Erhöhung der Transparenz bei Verarbeitungen gemäß Art. 89 DSGVO. Es sollen Offenlegungen, die im Bereich Wissenschaft und Forschung erforderlich sind, geregelt werden. Mit dem vorgeschlagenen § 2h Abs. 1 FOG soll eine Klarstellung geschaffen werden, welche Verarbeitungen im Rahmen der Öffentlichkeitsarbeit von wissenschaftlichen Einrichtungen zulässig sind. Jene Daten, die gemäß § 2h Abs. 1 Z 3 FOG verarbeitet werden dürfen, gehen über die Daten gemäß § 2g Abs. 1 Z 3 FOG hinaus. Zweck der Verarbeitung: Der Zweck der Verarbeitung ist die Schaffung der erforderlichen (Art. 35 Abs. 7 Buchstabe a DSGVO) Datengrundlage für eine gute Öffentlichkeitsarbeit wissenschaftlicher Einrichtungen (§ 2b Z 12 FOG). Empfängerinnen und Empfängerin der Daten, die publiziert werden, ist die Öffentlichkeit. Empfänger: Empfängerinnen der Daten gemäß § 2h Abs. 1 Z 3 und 4 sind (Art-29-Datenschutzgruppe, WP 248, 21) wissenschaftliche Einrichtungen (§ 2b Z 12 FOG). Speicherdauer: Nach der allgemeinen Regel des § 2d Abs. 5 FOG, wonach (Art-29-Datenschutzgruppe, WP 248, 21) personenbezogene Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die in § 2h Abs. 1 FOG angeführten Daten unbeschränkt. Funktionelle Beschreibung der Aufgrund des § 2h Abs. 1 FOG sind Verarbeitungen und Verarbeitung: Veröffentlichungen zulässig. Eine Veröffentlichung ist nur dann (Art. 35 Abs. 7 Buchstabe a DSGVO) zulässig, wenn die Veröffentlichung nicht geeignet ist – die öffentliche Sicherheit, – die Strafrechtspflege, – die umfassende Landesverteidigung, – die auswärtigen Beziehungen oder – ein berechtigtes privates oder geschäftliches Interesse zu verletzen. Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz sonstige Infrastruktur): kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist (Art-29-Datenschutzgruppe, WP 248, 21) an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 10 Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: Der Zweck der Verarbeitung liegt gemäß § 2h Abs. 1 FOG in der (Art. 5 Abs. 1 Buchstabe b DSGVO) Schaffung einer rechtlichen Grundlage für die Öffentlichkeitsarbeit von wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG). Eindeutiger Zweck: Die Angabe des Zwecks in § 2h Abs. 1 FOG ist klar. Es werden (Art. 5 Abs. 1 Buchstabe b DSGVO) Auswertungen nur dann veröffentlicht oder verarbeitet, sofern dies für den öffentlichen Auftritt von wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) erforderlich ist. Legitimer Zweck: Der in § 2h Abs. 1 FOG angegebene Zweck ist legitim, weil er (Art. 5 Abs. 1 Buchstabe b DSGVO) – einerseits von den Öffnungsklauseln des Art. 6 Abs. 1 Buchstabe e („öffentliches Interesse“) und Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO umfasst ist und – andererseits in § 2h Abs. 1 FOG vorgesehen ist. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Verarbeitung: Buchstabe e iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstabe j DSGVO, (Art-29-Datenschutzgruppe, WP 248, 21 iVm wonach die Verarbeitung für Zwecke gemäß Art. 89 DSGVO erfolgt. Art. 6 DSGVO) Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Angemessenheit der In Bezug auf die Datenarten gibt es keine Einschränkungen. Die Verarbeitung: Speicherdauer ist nicht beschränkt. Die Angemessenheit ergibt sich (Art-29-Datenschutzgruppe, WP 248, 21 iVm dadurch, dass Art. 5 Abs. 1 Buchstabe c DSGVO) – die Verarbeitungen nur durch wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) durchgeführt werden dürfen; – von ehemaligen wissenschaftlichen Mitarbeiterinnen und Mitarbeitern nur eine Auflistung des Namens erlaubt ist – ein Veröffentlichen des Fotos oder der Publikationsliste ehemaliger Mitarbeiterinnen und Mitarbeiter setzt eine Einwilligung iSd Art. 4 Nr. 11 DSGVO voraus; – alle Daten, die veröffentlicht werden dürfen, im § 2h Abs. 1 FOG aufgelistet sind; BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 10 – alle Daten, die auf sonstige Weisen verarbeitet werden dürfen, aufgelistet werden; – jene Stellen, an denen die Daten publiziert werden dürfen, festgelegt werden und – wissenschaftliche Einrichtungen im Rahmen der Veröffentlichungen eine Interessenabwägung vornehmen müssen. Insbesondere die Interessenabwägung stellt sicher, dass die Verarbeitung angemessen ist. Demnach haben wissenschaftliche Einrichtungen eine gesetzliche Verpflichtung, eine Interessenabwägung vorzunehmen. Dies ergibt sich aus den Bestimmungen in § 2h Abs. 1 Z 1 und 2 FOG. Eine Veröffentlichung hat dann zu unterbleiben, wenn die Veröffentlichung geeignet ist – die öffentliche Sicherheit, – die Strafrechtspflege, – die umfassende Landesverteidigung, – die auswärtigen Beziehungen oder – ein berechtigtes privates oder geschäftliches Interesse zu verletzen. Insbesondere durch die Interessenabwägung wird das Kriterium der Angemessenheit erfüllt. Erheblichkeit der Die Verarbeitung der Daten ist erheblich, weil es durch die Verarbeitung: Veröffentlichungen zur Information der Allgemeinheit, insbesondere (Art-29-Datenschutzgruppe, WP 248, 21 iVm der Studierenden, kommt. Art. 5 Abs. 1 Buchstabe c DSGVO) Die Veröffentlichungen sollen insbesondere Studierenden der wissenschaftlichen Einrichtungen zu Gute kommen, damit sich diese über die wissenschaftliche Einrichtung, an der sie studieren, informieren können. Durch entsprechende Information können Studenten beispielsweise ihre Professoren-Auswahl im Rahmen von Lehrveranstaltungen oder im Rahmen des Abfassens wissenschaftlicher Arbeiten aufgrund von transparenten Kriterien treffen. Dies kann sich positiv auf die Entwicklung einer Studentin oder eines Studenten auswirken und zu Verbesserungen in der (Aus)Bildung führen. Wie wichtig eine Weiterentwicklung auf dem Gebiet der Öffentlichkeitsarbeit ist, zeigt der stetige Anstieg ordentlicher Studierender an öffentlichen Universitäten (https://www.statistik.at/web_de/statistiken/menschen_ und_gesellschaft/bildung_und_kultur/formales_bildungswesen/ universitaeten_studium/021631.html [05.02.2018]). Die Studentenzahl hat sich in den letzten 10 Jahren um ungefähr ein Drittel erhöht. Die Öffentlichkeitsarbeit soll aber auch potentiellen Studierenden zu Gute kommen. Die mediale Berichterstattung soll neben dem Universitäten- Ranking zu einer positiven Entscheidungsgrundlage für potentielle Studierende beitragen. Dadurch können insbesondere internationale (potentielle) Studierende motiviert werden, ein Studium in Österreich zu beginnen. Entsprechende Öffentlichkeitsarbeit ermöglicht Interessenten ebenfalls, einen Vergleich zwischen den einzelnen wissenschaftlichen Einrichtungen zu tätigen. Beschränktheit der Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die Verarbeitung auf das Daten, die veröffentlicht bzw. verarbeitet werden dürfen, abschließend notwendige Maß: in § 2h Abs. 1 FOG aufgelistet sind. (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO) Speicherbegrenzung: Die Speicherdauer der Daten ist gemäß § 2d Abs. 5 FOG nicht (Art-29-Datenschutzgruppe, WP 248, 21 iVm beschränkt. Gemäß Art. 5 Abs. 1 Buchstabe e DSGVO dürfen die Daten Art. 5 Abs. 1 Buchstabe e DSGVO) sogar über die Dauer des Zweckes der Datenverarbeitung hinaus BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 10 gespeichert werden. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 13 Art. 12 DSGVO) und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 2d Abs. 6 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz- Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2h Abs. 1 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2h Abs. 1 und § 2d Abs. 6 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten der oder des Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheits- beschlusses der Kommission, – einen Hinweis auf das Bestehen eines Rechts auf BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 10 – Auskunft (Art. 15 DSGVO), – Berichtigung (Art. 16 DSGVO), – Löschung (Art. 17 DSGVO), – Einschränkung (Art. 18 DSGVO) und – Beschwerde (Art. 77 DSGVO), – einen Hinweis das allfällige Bestehen anderer / restlicher Rechte der betroffenen Person, – ein Hinweis auf das Bestehen des Rechts auf Beschwerde (Art. 77 DSGVO), – gegebenenfalls Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht werden, gilt die vorliegende Datenschutz- Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Siehe oben: Bewertung / Generelle Informationen der betroffenen Personen, wenn die Daten Personen. nicht bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen betroffenen Personen: (§ 2b Z 12 FOG) ihre Prozesse so anpassen, dass das Auskunftsrecht (Art-29-Datenschutzgruppe, WP 248, 21 iVm der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich Art. 15 DSGVO) wahrgenommen werden kann, gilt die vorliegende Datenschutz- Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Datenübertragbarkeit: Buchstabe a DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz (Art. 28 DSGVO) kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Eine Übermittlung in Drittländer wäre nach den §§ 2d, 2j FOG i.V.m. Übermittlung in Drittländer: § 38a Abs. 4 FOG grundsätzlich zulässig, allerdings nur an die in § 2j (Kapitel V DSGVO) FOG genannten Empfängerinnen und Empfänger, d.h.: – wissenschaftliche Einrichtungen (§ 2b Z 12 FOG), – Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1), – Gutachterinnen und Gutachter oder – österreichische öffentliche Stellen (§ 2b Z 8 FOG). Da es zur Förderung der Öffentlichkeitsarbeit der jeweiligen wissenschaftlichen Einrichtung kommen soll, ist eine Übermittlung der Daten an die oben genannten Empfänger nicht anzunehmen. Dies gilt nicht, sofern es sich um die Durchführung gemeinsam eingerichteter Studien handelt. Hier kann es durchaus zu Übermittlung von Daten an andere wissenschaftliche Einrichtungen kommen. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 10 Allerdings stellt die Veröffentlichung im Internet auch eine Übermittlung in Drittländer dar, die gemäß § 2h Abs. 1 Z 1 und 2 FOG legitimiert ist. Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil der (Art. 36 und EG 96 DSGVO) vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind bei der Verarbeitung von nichttechnischen immaterielle Schäden: Projektzusammenfassungen entsprechend § 2h Abs. 1 FOG minimal, (EG 90 iVm 85 DSGVO) insbesondere weil die wissenschaftliche Einrichtung im Zuge der Veröffentlichungen sicherstellt, dass die Daten nur nach Vornehmen der Interessenabwägung veröffentlicht werden. Zusätzlich hat die Behörde im Zuge der Verarbeitung dafür zu sorgen, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Die Datensicherheitsmaßnahmen werden in Art. 32 DSGVO konkretisiert und sind von den wissenschaftlichen Einrichtungen einzuhalten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Verlust der Kontrolle über Diesem Risiko wird durch die Einhaltung der (anwendbaren) Rechte personenbezogene Daten: der betroffenen Person gemäß Kapitel III der Datenschutz- (EG 90 iVm 85 DSGVO) Grundverordnung, das sind: – Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) Rechnung getragen. Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den wissenschaftlichen Einrichtungen einzuhalten. Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert. Diskriminierung: Dieses Risiko ist bei der Verarbeitung im Rahmen der BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 10 (EG 90 iVm 85 DSGVO) Öffentlichkeitsarbeit wissenschaftlicher Einrichtungen (§ 2h Abs. 1 FOG) minimal, insbesondere weil die jeweilige wissenschaftliche Einrichtung im Zuge der Veröffentlichung eine Interessenabwägung vorzunehmen hat. Zusätzlich hat die wissenschaftliche Einrichtung im Zuge der (sonstigen) Verarbeitung dafür zu sorgen, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Auch müssen die wissenschaftlichen Einrichtungen die in Art. 32 DSGVO konkretisierten Datensicherheitsmaßnahmen einhalten, wobei die Nichteinhaltung mit 10 Millionen Euro sanktioniert ist (Art. 83 Abs. 4 Buchstabe a DSGVO). Mit diesen Maßnahmen wird die Wahrscheinlichkeit der Diskriminierung aufgrund der unzulässigen Verarbeitung personenbezogener Daten effektiv gemindert. Identitätsdiebstahl oder - Dieses Risiko wird insbesondere durch die unionsrechtliche- und betrug: strafrechtliche Sanktionierung (siehe oben: Physische, materielle oder (EG 90 iVm 85 DSGVO) immaterielle Schäden) effektiv gemindert. Finanzielle Verluste: Dieses Risiko wird insbesondere durch die unionsrechtliche (EG 90 iVm 85 DSGVO) Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert. Außerdem werden keine Finanzdaten verarbeitet, womit die Wahrscheinlichkeit für den Eintritt dieses Risikos sehr gering ist. Unbefugte Aufhebung der Die Gefahr der Aufhebung der Pseudonymisierung ergibt sich nur für Pseudonymisierung: die Datenverarbeitungen gemäß § 2h Abs. 1 Z 3 und 4. (EG 90 iVm 85 DSGVO) Dieses Risiko wird wie folgt minimiert: – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die unbefugte Aufhebung der Pseudonymisierung, bieten. Rufschädigung: Dieses Risiko wird wie folgt minimiert: (EG 90 iVm 85 DSGVO) – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen Rufschädigung, bieten. Verlust der Vertraulichkeit bei Dieses Risiko wird wie folgt minimiert: Berufsgeheimnissen: – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, (EG 90 iVm 85 DSGVO) materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen den Verlust der Vertraulichkeit bei Berufsgeheimnissen, bieten. Erhebliche wirtschaftliche Dieses Risiko wird wie folgt minimiert: oder gesellschaftliche – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, Nachteile: materielle oder immaterielle Schäden); (EG 90 iVm 85 DSGVO) BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 10 – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen erhebliche wirtschaftliche oder gesellschaftliche Nachteile, bieten. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Verarbeitung Eine Minimierung der Verarbeitung personenbezogener Daten wird personenbezogener Daten: vorgenommen, indem jene Daten, die veröffentlich bzw. verarbeitet (EG 78 DSGVO) werden dürfen, in § 2h Abs. 1 FOG aufgezählt werden. Schnellstmögliche Eine Pseudonymisierung für jene Daten, die veröffentlicht werden, ist Pseudonymisierung nicht vorgesehen, was auch nicht notwendig ist, da die starke personenbezogener Daten: Beschränkung der Datenarten bereits genügend Schutz für die (EG 28 und 78 DSGVO) betroffenen Personen bietet. Transparenz in Bezug auf die Durch die Publikation des § 2h Abs. 1 FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge Verarbeitung des Gesetzgebungsprozesses können die Hintergründe für die zulässige personenbezogener Daten: Verarbeitung personenbezogener Daten bei Wissenstransfers von der (EG 78 DSGVO) Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß Verarbeitung Kapitel III der Datenschutz-Grundverordnung, das sind: personenbezogener Daten – Transparente Information, Kommunikation und Modalitäten für durch die betroffenen die Ausübung der Rechte der betroffenen Person (Art. 12 Personen: DSGVO), (EG 78 DSGVO) – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) die Möglichkeit, die Verarbeitung ihrer Daten durch die wissenschaftlichen Einrichtungen zu überwachen. Datensicherheitsmaßnahmen: Die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO sind auch von (EG 78 und 83 DSGVO) den wissenschaftlichen Einrichtungen einzuhalten. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 10 Stellungnahme der In den Erläuterungen zur Regierungsvorlage wird an dieser Stelle die Datenschutzbehörde: Stellungnahme der Datenschutzbehörde zu dieser Datenschutz- (Art. 36 Abs. 4 DSGVO) Folgenabschätzung im Begutachtungsverfahren abgedruckt werden. Stellungnahme des In den Erläuterungen zur Regierungsvorlage wird an dieser Stelle die Datenschutzbeauftragten der Stellungnahme des Datenschutzbeauftragten des Bundesministeriums erlassenden Stelle: für Bildung, Wissenschaft und Forschung zu dieser Datenschutz- (Art. 35 Abs. 2 DSGVO) Folgenabschätzung im Begutachtungsverfahren abgedruckt werden. Stellungnahme betroffener In den Erläuterungen zur Regierungsvorlage werden an dieser Stelle die Personen: Stellungnahmen aller betroffenen Personen im Begutachtungsverfahren (Art. 35 Abs. 9 DSGVO) zu dieser Datenschutz-Folgenabschätzung ergangenen Stellungnahmen abgedruckt. Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:49:42+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Prüfinformation Signatur finden Sie unter: https://www.signaturpruefung.gv.at Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 18: Datenschutz-Folgenabschätzung zu § 2h Abs. 2 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 198 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 10

Anhang 18: Datenschutz-Folgenabschätzung zu § 2 h Abs. 2 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Aufsichtspflicht von Bundesministerien gemäß § 2h Abs. 2 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: § 2h Abs. 2 FOG besagt, dass jene Stellen, die der Aufsichtspflicht (EG 90 DSGVO) unterliegen, der jeweils zuständigen Bundesministerin oder dem jeweils zuständigen Bundesminister „Auswertungen zu den zumindest teilweise aus öffentlichen Mitteln finanzierten Art 89-Mitteln zu übermitteln“ haben. Die Auswertungen können auch personenbezogen sein. Verpflichtet zur Übermittlung der Auswertungen sind: – wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) und – Art 89-Förder- und Zuwendungsstellen, die öffentliche Stelle im Sinne des § 2b Z 8 FOG sind. Mangels eindeutiger Anordnung zur Art der Verarbeitung darf diese sowohl in Papierform als auch in automationsunterstützter Form erfolgen. Besondere Formen, die aufgrund ihres Spannungsverhältnisses zu Bestimmungen der DSGVO, wie insbesondere Art. 5 DSGVO, einer gesetzlichen Regelung bedürften, wie etwa Big Data, sind nicht vorgesehen und damit nicht zulässig. Umfang der Verarbeitung: Aufgrund der Ermächtigung in § 2h Abs. 2 FOG dürfen Ministerien (EG 90 DSGVO) Auswertungen – auch personenbezogene – verlangen, soweit dies zum Zweck der Erfüllung der Aufsichtspflicht notwendig ist. Auswertungen werden nur dann an die jeweils zuständige Bundesministerin oder den jeweils zuständigen Bundesminister übermittelt, wenn die erhaltenen Art-89-Mitteln zumindest teilweise aus öffentlichen Mitteln finanziert wurden. Die Erfüllung der Aufsichtspflicht soll zur Erhöhung der Transparenz bei Verarbeitungen gemäß Art. 89 DSGVO führen. Kontext der Verarbeitung: Die Verarbeitung erfolgt im Kontext des Art. 89 DSGVO. Die (Art-29-Datenschutzgruppe, WP 248, 21) Verarbeitungen sollen zu einer Erhöhung der Transparenz im Anwendungsbereich des Art. 89 DSGVO führen. Die vorgeschlagene Regelung orientiert sich an § 23 DSG. Es sollten Tätigkeitberichte an die entsprechenden Aufsichtsstellen übermittelt werden. Mit dem vorgeschlagenen § 2h Abs. 2 FOG soll eine Klarstellung geschaffen werden, welche Verarbeitungen zur Wahrnehmung von Aufsichtspflichten zulässig sind. Es wird somit eine Rechtsgrundlage geschaffen, damit die jeweils zuständige Bundesministerin oder der jeweils zuständige Bundesminister ihren oder seinen Aufsichtspflichten nachkommen kann. Voraussetzung für die Verarbeitung ist lediglich, dass die erhaltenen Art-89-Mitteln zumindest teilweise aus öffentlichen Mitteln finanziert wurden. Zweck der Verarbeitung: Der Zweck der Verarbeitung ist die Wahrnehmung der Aufsichtspflicht BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 10 (Art. 35 Abs. 7 Buchstabe a DSGVO) durch die zuständige Bundesministerin oder den zuständigen Bundesminister (§ 2h Abs. 2 FOG). Empfängerinnen und Empfängerin oder Empfänger der Daten ist die jeweils zuständige Empfänger: Bundesministerin oder der jeweils zuständige Bundesminister. (Art-29-Datenschutzgruppe, WP 248, 21) Speicherdauer: Nach der allgemeinen Regel des § 2d Abs. 5 FOG, wonach (Art-29-Datenschutzgruppe, WP 248, 21) personenbezogene Daten für Zwecke des 2. Abschnitts des FOG zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die in § 2h Abs. 2 FOG angeführten Daten unbeschränkt. Funktionelle Beschreibung der Aufgrund des § 2h Abs. 2 FOG beschränken sich die Verarbeitungen Verarbeitung: auf personenbezogene Auswertungen „zu den zumindest teilweise aus (Art. 35 Abs. 7 Buchstabe a DSGVO) öffentlichen Mitteln finanzierten Art-89-Mitteln“. Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz sonstige Infrastruktur): kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist (Art-29-Datenschutzgruppe, WP 248, 21) an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: Der Zweck dieser Regelung, der in § 2h Abs. 2 FOG angegeben ist, ist (Art. 5 Abs. 1 Buchstabe b DSGVO) die Wahrnehmung der Aufsichtspflicht der jeweils zuständigen Bundesministerin oder des jeweils zuständigen Bundesministers über wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) und Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentliche Stellen im Sinne des § 2b Z 8 FOG sind Eindeutiger Zweck: Die Angabe des Zwecks, in § 2h Abs. 2 FOG ist klar. Es werden (Art. 5 Abs. 1 Buchstabe b DSGVO) Auswertungen nur dann übermittelt, sofern dies dem Zweck der Wahrnehmung der Aufsichtspflichten entspricht. Nur dann ist die Verarbeitung der Daten notwendig und somit zulässig. Legitimer Zweck: Der in § 2h Abs. 2 FOG angegebene Zweck ist legitim, weil er (Art. 5 Abs. 1 Buchstabe b DSGVO) – einerseits von den Öffnungsklauseln des Art. 6 Abs. 1 Buchstabe c („rechtliche Verpflichtung“) und Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO umfasst ist und – andererseits in § 2h Abs. 2 FOG vorgesehen ist. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 10 Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988). Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Verarbeitung: Buchstabe c iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstabe j DSGVO, (Art-29-Datenschutzgruppe, WP 248, 21 iVm wonach die Verarbeitung aufgrund der Erreichung der Zwecke gemäß Art. 6 DSGVO) Art. 89 DSGVO erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Angemessenheit der In Bezug auf die Datenarten gibt es keine Einschränkungen. Die Verarbeitung: Speicherdauer ist nicht beschränkt. Die Angemessenheit ergibt sich (Art-29-Datenschutzgruppe, WP 248, 21 iVm dadurch, dass der jeweils zuständigen Bundesministerin oder dem Art. 5 Abs. 1 Buchstabe c DSGVO) jeweils zuständigen Bundesminister das Recht, (personenbezogene) Auswertungen zu verlangen, nur unter der Bedingung, dass die erhaltenen Art-89-Mitteln teilweise aus öffentlichen Mitteln finanziert wurden, einräumt wird. Der Kreis der Verpflichteten wird beschränkt auf: – wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) und – Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentliche Stellen im Sinne des § 2b Z 8 FOG sind. Dass der effiziente Einsatz öffentlichen Mittel im öffentlichen Interesse liegt, lässt sich nicht nur anhand einiger Bestimmungen in der Bundesverfassung, nach denen der Rechnungshof eine umfassende Prüfkompetenz hinsichtlich der Sparsamkeit, Wirtschaftlichkeit und Zweckmäßigkeit auf Bundesebene hat, ableiten (vgl. Art. 126b, Art. 127 Abs. 1 und Art. 127a Abs. 1 B-VG). Daher schreibt die Verfassung schreibt vor, dass der Einsatz der Mittel an den Kriterien der Sparsamkeit, der Wirtschaftlichkeit und der Zweckmäßigkeit zu messen ist. Durch eine Kontrollmöglichkeit, wird ein der bestmögliche Einsatz der öffentlichen Mittel gewährleistet. Dadurch kann die Fördervergabe verbessert werden. Erheblichkeit der Die Verarbeitung der Daten ist erheblich, weil es zu Verarbeitung: Effizienzsteigerungen im öffentlichen Bereich kommen soll. Durch die (Art-29-Datenschutzgruppe, WP 248, 21 iVm Aufsichtsmöglichkeit wird der zuständigen Bundesministerin oder dem Art. 5 Abs. 1 Buchstabe c DSGVO) zuständigen Bundesminister ein Werkzeug in die Hand gegeben, um Art-89-Mitteln, die zumindest teilweise aus öffentlichen Mitteln finanziert werden, optimal zu verteilen. Dass in diesem Bereich sehr viel Potential besteht zeigen der Global Innovation Index 2017 und der Forschungs- und Technologiebericht 2017. Beide Berichte stellen Österreich ein verbesserungswürdiges Zeugnis aus, was die Transformation von Bildungsarbeit in Wertschöpfung betrifft. Dies zeigt sich z.B. daran, dass in Österreich zwar gute BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 10 Bildungsarbeit geleistet wird, diese dann aber nur mangelhaft in Wertschöpfung umgewandelt wird. Laut Global Innovation Index 2017 belegt Österreich eine Spitzenposition, was die Ausgaben im Bereich R&D („Gross expenditure on R&D, % GDP“) betrifft. Im Gegensatz dazu nimmt Österreich nur den 40. Platz – unter 127 Staaten – ein, was die Wirkungen des Wissens („FDI net inflows, % GDP“) anbelangt. Ein weiterer Indikator für das schlechte internationale Abschneiden Österreichs in Bezug auf die Umwandlung von Wissen in Wertschöpfung, ist der Forschungs- und Technologiebericht 2017. Dieser zeigt auf Seite 28 ebenfalls großes Verbesserungspotential bei der wirtschaftlichen Verwertung („business sophistication“) und der Nutzung des Wissens („knowledge & technology outputs“) auf. (https://www.bmvit.gv.at/innovation/publikationen/technologie berichte /downloads/ftb_2017.pdf#page=29). Eine ausdrückliche und klare Rechtsgrundlage ermöglicht genauere Daten, genauere Daten ermöglichen eine bessere Einschätzung und somit neue Lösungsansätze. Beschränktheit der Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die Verarbeitung auf das bereitgestellten Daten, nur der jeweils zuständigen Bundesministerin notwendige Maß: oder dem jeweils zuständigen Bundesminister übermittelt werden. (Art-29-Datenschutzgruppe, WP 248, 21 iVm Dritten (Art. 4 Nr. 10 DSGVO) gegenüber werden die Daten nicht, Art. 5 Abs. 1 Buchstabe c DSGVO) insbesondere nicht direkt personenbezogen offengelegt. Speicherbegrenzung: Eine zeitliche Beschränkung der Speicherdauer ist nicht zielführend, (Art-29-Datenschutzgruppe, WP 248, 21 iVm weil, um ein Forschungsprojekt langfristig zu bewerten, oft Daten aus Art. 5 Abs. 1 Buchstabe e DSGVO) verschiedensten Jahren benötigt werden. Gemäß Art. 5 Abs. 1 Buchstabe e DSGVO ist eine zeitlich unbeschränkte Speicherung zulässig und in § 2d Abs. 5 des vorliegenden Entwurfes im Zweifel im Anwendungsbereich des Art. 89 DSGVO auch vorgesehen. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 13 Art. 12 DSGVO) und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des §2d Abs. 6 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die Bundesministerien ihre Prozesse so anpassen, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 10 Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm – die Zwecke, für die die personenbezogenen Daten verarbeitet Art. 13 DSGVO) werden sollen: durch Publikation des § 2h Abs. 2 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2h Abs. 2 und § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten der oder des Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheits- beschlusses der Kommission, – ein Hinweis auf das allfällige Bestehen anderer / restlicher Rechte der betroffenen Personen, – ein Hinweis auf das Bestehen des Rechts auf Beschwerde (Art. 77 DSGVO), – gegebenenfalls Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht werden, gilt die vorliegende Datenschutz- Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Siehe oben: Bewertung / Generelle Informationen der betroffenen Personen, wenn die Daten Personen. nicht bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen betroffenen Personen: (§ 2b Z 12 FOG) und Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 (Art-29-Datenschutzgruppe, WP 248, 21 iVm FOG), die öffentliche Stellen im Sinne des § 2b Z 8 FOG sind, ihre Art. 15 DSGVO) Prozesse so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Datenübertragbarkeit: Buchstabe a DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 10 – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz (Art. 28 DSGVO) kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Eine Übermittlung in Drittländer wäre nach §§ 2j iVm 38a Abs. 4 FOG Übermittlung in Drittländer: nur an die in § 2j FOG genannten Empfängerinnen und Empfänger (Kapitel V DSGVO) zulässig, d.h.: – wissenschaftliche Einrichtungen (§ 2b Z 12 FOG), – Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), – Gutachterinnen und Gutachter oder – österreichische öffentliche Stellen (§ 2b Z 8 FOG). Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil der (Art. 36 und EG 96 DSGVO) vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind bei Verarbeitungen im Rahmen des § 2h Abs. 2 immaterielle Schäden: FOG vorhanden, aber eingeschränkt, insbesondere weil Art. 25 (EG 90 iVm 85 DSGVO) DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“ Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO) – sofern keine Strafbefreiung vorgesehen ist. Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden ebenfalls ein. Diese sind im 22. Abschnitt des Strafgesetzbuches, BGBl. Nr. 60/1974, über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen genormt. Es sind insbesondere § 302 (Amtsmissbrauch) und § 310 („Verletzung des Amtsgeheimnisses“), die Schäden vorbeugen (RIS-Justiz, RS0054100).Darüber hinaus wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Verlust der Kontrolle über Diesem Risiko wird durch die Einhaltung der (anwendbaren) Rechte personenbezogene Daten: der betroffenen Person gemäß Kapitel III der Datenschutz- (EG 90 iVm 85 DSGVO) Grundverordnung, das sind: – Transparente Information, Kommunikation und Modalitäten für BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 10 die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) Rechnung getragen. Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den Verantwortlichen einzuhalten. Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert.Zudem wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Diskriminierung: Dieses Risiko bei der Verarbeitung im Rahmen der Aufsichtspflicht von (EG 90 iVm 85 DSGVO) Bundesministerien ist minimal, insbesondere weil die Verantwortlichen im Zuge der Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Auch müssen die zuständigen Bundesministerinnen und Bundesminister, die in Art. 32 DSGVO konkretisierten Datensicherheitsmaßnahmen einhalten und dürfen natürliche Personen – gemäß Art. 7 B-VG – nicht diskriminieren. Damit wird die Wahrscheinlichkeit der Diskriminierung aufgrund der unzulässigen Verarbeitung personenbezogener Daten effektiv gemindert. Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung erheblich gesenkt. Identitätsdiebstahl oder - Dieses Risiko wird insbesondere durch die unions- (sofern keine betrug: Strafbefreiung einschlägig ist) und strafrechtliche Sanktionierung (siehe (EG 90 iVm 85 DSGVO) oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert. Überdies wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Finanzielle Verluste: Dieses Risiko wird insbesondere durch die unions- (sofern keine (EG 90 iVm 85 DSGVO) Strafbefreiung einschlägig ist) und strafrechtliche Sanktionierung (siehe BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 10 oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert. Darüber hinaus wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Unbefugte Aufhebung der Dieses Risiko wird wie folgt minimiert: Pseudonymisierung: – unions- (sofern keine Strafbefreiung einschlägig ist) und (EG 90 iVm 85 DSGVO) strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die unbefugte Aufhebung der Pseudonymisierung, bieten. Insbesondere durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG wird das Risiko der unbefugten Aufhebung der Pseudonymisierung wesentlich reduziert. Rufschädigung: Dieses Risiko wird wie folgt minimiert: (EG 90 iVm 85 DSGVO) – unions- (sofern keine Strafbefreiung einschlägig ist) und strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die Rufschädigung, bieten. Verlust der Vertraulichkeit bei Dieses Risiko wird wie folgt minimiert: Berufsgeheimnissen: – unions- (sofern keine Strafbefreiung einschlägig ist) und (EG 90 iVm 85 DSGVO) strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen den Verlust der Vertraulichkeit bei Berufsgeheimnissen. Erhebliche wirtschaftliche Dieses Risiko wird wie folgt minimiert: oder gesellschaftliche – unions- (sofern keine Strafbefreiung einschlägig ist) und Nachteile: strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, (EG 90 iVm 85 DSGVO) materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen erhebliche wirtschaftliche oder gesellschaftliche Nachteile, bieten. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 10 Zudem wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Verarbeitung Eine Minimierung der Verarbeitung personenbezogener Daten wird personenbezogener Daten: vorgenommen, indem die Datenempfänger auf die zuständigen (EG 78 DSGVO) Bundesministerien beschränkt werden bzw. die Datenübermittler auf wissenschaftliche Einrichtungen und Art 89-Förder- und Zuwendungsstellen, die öffentliche Stellen im des § 2b Z 8 FOG sind, beschränkt sind.Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Pseudonymisierung Voraussetzung für die Zulässigkeit der Verarbeitungen gemäß § 5 personenbezogener Daten: Abs. 1 FOG. (EG 28 und 78 DSGVO) Transparenz in Bezug auf die Durch die Publikation des § 2h Abs. 2 FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge Verarbeitung des Gesetzgebungsprozesses können die Hintergründe für die zulässige personenbezogener Daten: Verarbeitung personenbezogener Daten im Rahmen der (EG 78 DSGVO) Aufsichtspflicht von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß Verarbeitung Kapitel III der Datenschutz-Grundverordnung, das sind: personenbezogener Daten – Transparente Information, Kommunikation und Modalitäten für durch die betroffenen die Ausübung der Rechte der betroffenen Person (Art. 12 Personen: DSGVO), (EG 78 DSGVO) – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) die Möglichkeit, die Verarbeitung ihrer Daten im Rahmen des § 2h Abs. 2 FOG zu überwachen. Datensicherheitsmaßnahmen: Die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO sind von den (EG 78 und 83 DSGVO) wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) und Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), die öffentliche Stellen im BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 10 Sinne des § 2b Z 8 FOG sind, einzuhalten. Falls keine Strafbefreiung einschlägig ist, wird die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO mit Geldbußen von bis zu 10 Millionen Euro sanktioniert. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der Datenschutzbeauftragten der erlassenden Stelle im Rahmen des Begutachtungsverfahrens ergangen. erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:42:26+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Prüfinformation Signatur finden Sie unter: https://www.signaturpruefung.gv.at Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 19: Datenschutz-Folgenabschätzung zu § 2i Abs. 1 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 209 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 10

Anhang 19: Datenschutz-Folgenabschätzung zu § 2i Abs. 1 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Verarbeitung von Daten gemäß § 2b Z5 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981, im Zuge von Technologietransfers gemäß § 2i Abs. 1 FOG. Die Durchführung einer Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 1 DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung besonderer Kategorien von personenbezogenen Daten kommen kann. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: § 2i Abs. 1 FOG stellt eine ausdrückliche Rechtsgrundlage für (EG 90 DSGVO) Verarbeitungen, insbesondere Übermittlungen, bei Technologietransfers dar. Mit der in diesem Entwurf vorgeschlagenen Rechtsgrundlage soll vermieden werden, dass Technologietransfers an datenschutzrechtlichen Vorgaben scheitern, obwohl die Übermittlung personenbezogener Daten eigentlich gar nicht beabsichtigt war, sondern bloß nicht vermeidbar (um die Funktionalität der zu transferierenden Technologie zu erhalten). Mangels eindeutiger Anordnung zur Art der Verarbeitung darf diese sowohl in Papierform als auch in automationsunterstützter Form erfolgen. Besondere Formen, die aufgrund ihres Spannungsverhältnisses zu Bestimmungen der DSGVO, wie insbesondere Art. 5 DSGVO, einer gesetzlichen Regelung bedürften, wie etwa Big Data, sind nicht vorgesehen und damit nicht zulässig. Umfang der Verarbeitung: Die von § 2i Abs. 1 FOG gedeckten Verarbeitungen umfassen (EG 90 DSGVO) Daten im Sinne des § 2b Z 5 FOG. Da die in Anspruch genommene Öffnungsklausel Art. 9 Abs. 2 Buchstabe j DSGVO ist, ist nicht nur die Verarbeitung personenbezogener Daten, sondern sogar die Verarbeitung sensibler Daten umfasst. Durch den Verweis auf § 2b Z 5 FOG sind sowohl personenbezogene Daten iSd Art. 4 Nr. 1 DSGVO, als auch sonstige – nichtpersonenbezogene – Informationen umfasst. Kontext der Verarbeitung: Die Verarbeitung erfolgt im Kontext des faktenbasierten (Art-29-Datenschutzgruppe, WP 248, 21) Erkenntnisgewinns. Mit dem vorgeschlagenen § 2i Abs. 1 FOG soll Rechtssicherheit geschaffen werden, falls Technologien beispielsweise von wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) entwickelt worden sind und durch Unternehmen bzw. Einzelunternehmerinnen und -unternehmer zur Marktreife oder in den Markt gebracht werden sollen. Für den Fall, dass technologische Entwicklungen auf personenbezogenen Daten basieren, wie etwa bei Anwendungen der künstlichen Intelligenz, die mit personenbezogenen Daten trainiert wurden, darf aufgrund der vorgeschlagenen Bestimmung, dennoch ein Transfer erfolgen, auch wenn sonst keine Rechtsgrundlage, wie etwa eine Einwilligung (Art. 9 Abs. 2 Buchstabe a DSGVO) vorliegt. Vorbild für die vorgeschlagene Bestimmung ist § 50a Abs. 4 Z 3 DSG 2000 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 10 in der Fassung der Kundmachung, BGBl. I Nr. 132/2015, wonach die „bloße[…] Echtzeitwiedergabe [im Rahmen von Videoüberwachung, bei der personenbezogene Daten] also weder gespeichert (aufgezeichnet) noch in sonst einer anderen Form weiterverarbeitet werden (Echtzeitüberwachung), und sie zum Zweck des Schutzes von Leib, Leben oder Eigentum des Auftraggebers erfolgt“ keine schutzwürdigen Geheimhaltungsinteressen im Sinne des § 1 DSG 2000 verletzt. Zweck der Verarbeitung: Die Verarbeitung der Daten ist grundsätzlich nicht beabsichtigt, (Art. 35 Abs. 7 Buchstabe a DSGVO) weil bei Technologietransfers nicht die Offenlegung, insbesondere Übermittlung, personenbezogener Daten im Vordergrund steht, sondern der Transfer von technischem Wissen (§ 2b Z 11 FOG). Aufgrund der Bauweise bzw. Funktionalität der zu transferierenden Technologie kann es allerdings sein, dass Technologie und personenbezogene Daten nicht getrennt werden können, ohne die Funktionalität der zu transferierenden Technologie zu gefährden. Zweck der vorliegenden Bestimmung – und somit der umfassten Verarbeitungen – ist auch in diesen Fällen die Funktionalität uneingeschränkt beibehalten zu können, ohne eine Verletzung der Datenschutz-Grundverordnung zu riskieren. Empfängerinnen und Empfänger: Aus der Definition des Technologietransfers in § 2b Z 11 FOG (Art-29-Datenschutzgruppe, WP 248, 21) ergibt sich, dass Empfängerinnen und Empfänger der gegenständlichen Verarbeitungen nur Unternehmen bzw. Einzelunternehmerinnen und -unternehmer sein können, weil andernfalls kein Technologietransfer iSd § 2b Z 11 FOG vorliegt. Speicherdauer: Nach der allgemeinen Regel des § 2d Abs. 5 FOG, wonach (Art-29-Datenschutzgruppe, WP 248, 21) personenbezogene Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für eine – potentielle – Verarbeitung personenbezogener Daten im Rahmen von Technologietransfers unbeschränkt. Funktionelle Beschreibung der Falls eine Verarbeitung – vorrangig wohl in der Form einer Verarbeitung: Übermittlung – erfolgt, geschieht sie durch die Weitergabe von (Art. 35 Abs. 7 Buchstabe a DSGVO) Technologie. Voraussetzung für die Zulässigkeit des Technologietransfers ist, dass ohne die Verarbeitung der – potentiell – personenbezogenen Daten die Funktionalität der zu transferierenden Technologie nicht gewährleistet ist und durch Technikgestaltung (Art. 25 DSGVO) sichergestellt wird, dass Dritte (Art. 4 Nr. 10 DSGVO) keine Kenntnis von den personenbezogenen Daten erlangen können. Dies kann beispielsweise durch eine Bauweise, bei der es keine oder nur eingeschränkte Schnittstellen, die keinen Zugriff auf die – potentiell – personenbezogenen Daten erlauben, erfolgen. Beschreibung der Anlagen (Hard- Die Technik ist ausreichend sicher gestaltet, wenn nur durch und Software bzw. sonstige nichtordnungsgemäße Verwendung, wie etwa (teilweise) Infrastruktur): Zerstörung oder Hacking, die – potentiell – personenbezogenen (Art-29-Datenschutzgruppe, WP 248, 21) Daten aus der zu transferierenden Technologie ausgelesen werden können. Da – Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt und die konkret zu transferierende Technologie typischerweise nicht gesetzlich geregelt ist und – eine Voraussetzung der Zulässigkeit des Technologietransfers BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 10 die Einhaltung des Art. 25 DSGVO zur Technikgestaltung ist, ist an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: Der verfolgte Zweck – das ist der Transfer von Technologie (arg: (Art. 5 Abs. 1 Buchstabe b DSGVO) „im Rahmen von Technologietransfers“) – ist in § 2i Abs. 1 FOG festgelegt. Eindeutiger Zweck: Die Angabe des Zwecks in § 2i Abs. 1 FOG ist eindeutig: die (Art. 5 Abs. 1 Buchstabe b DSGVO) angeführten Daten dürfen nur verarbeitet werden, soweit dies im Rahmen von Technologietransfers erforderlich ist, um die Funktionalität der zu transferierenden Technologie zu erhalten (§ 2i Abs. 1 Z 1 FOG). Legitimer Zweck: Der in § 2i Abs. 1 FOG angegebene Zweck ist legitim, weil er von (Art. 5 Abs. 1 Buchstabe b DSGVO) den Öffnungsklauseln – des Art. 6 Abs. 1 Buchstabe c („rechtliche Verpflichtung“), – des Art. 9 Abs. 2 Buchstabe g („erhebliches öffentliches Interesse“) sowie – des Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO gedeckt ist. Ein Vergleich der deutschen und englischen Sprachfassung des Art. 8 Abs. 4 der Datenschutz-Richtlinie 95/46/EG sowie des Art. 9 Abs. 2 Buchstabe g DSGVO zeigt, dass in den englischen Sprachfassungen jeweils vom „substantial public interest“ und in den deutschen Sprachfassungen einmal vom „erheblichen öffentlichen Interesse“ (Art. 9 Abs. 2 Buchstabe g DSGVO) und einmal vom wichtigen öffentlichen Interesse (Art. 8 Abs. 4 DS-RL) gesprochen wird, die Begriffe „erhebliches öffentliches Interesse“ und „wichtiges öffentliches Interesse“ somit Synonyme sein müssen. Auf nationaler Ebene wurde ein wichtiges öffentliches Interesse, beispielsweise an dem Erfordernis der hauptberuflichen Tätigkeit von Berufsanwärtern bei Wirtschaftstreuhändern, erkannt (VfSlg. 12.164/1989). Das öffentliche Interesse war anscheinend so wichtig (bzw. erheblich – siehe Begründung: oben), dass es sogar einen Eingriff in die Erwerbsausübungsfreiheit durch Verpflichtung zur mehrjährigen, hauptberuflichen Praxis rechtfertigen konnte. Rechtmäßigkeit der Verarbeitung: Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 6 Buchstabe c iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstaben g und j DSGVO) DSGVO, wonach die Verarbeitung für Zwecke des BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 10 Technologietransfers aufgrund eines erheblichen öffentlichen Interesses erfolgt. Dieses erhebliche öffentliche Interesse besteht in dem Interesse an einer Verbesserung des Forschungs- und Wissenschaftsstandortes Österreich hinsichtlich der Effektivität der eingesetzten öffentlichen Mittel. Angemessenheit der Verarbeitung: In Bezug auf die Datenarten und die Speicherdauer gibt es keine (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Einschränkungen. Allerdings sind die zwei in den Ziffern zu § 2i Abs. 1 Buchstabe c DSGVO) Abs. 1 FOG angeführten Voraussetzungen so hoch, dass die Angemessenheit der Verarbeitung jedenfalls gewährleistet ist. Die genannten Anforderungen sind: 1. die Erforderlichkeit der Verarbeitung sowie 2. die Sicherstellung, dass Dritte keine Kenntnis von den Daten erlangen dürfen. Damit ist das Grundrecht auf Datenschutz (§ 1 DSG 2000 bzw. Art. 8 EU-Grundrechte-Charta) eigentlich nicht berührt, wie der aktuelle § 50a Abs. 4 Z 3 DSG 2000 richtig festhält, weil (inhaltlich) gar keine Übermittlung und somit Verarbeitung stattfindet. Das Kriterium der Angemessenheit ist somit im höchsten Maße erfüllt. Erheblichkeit der Verarbeitung: Die Verarbeitung der Daten ist erheblich, da Technologietransfers (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 sonst u.U. unzulässig sind, weil keine klare bzw. gesicherte Abs. 1 Buchstabe c DSGVO) Rechtsgrundlage besteht (siehe näher dazu unten: Abhilfemaßnahmen / Minimierung der Verarbeitung personenbezogener Daten). Beschränktheit der Verarbeitung Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die auf das notwendige Maß: übermittelten Daten Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls zur (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Kenntnis gebracht werden dürfen (§ 2i Abs. 1 Z 2 FOG). Abs. 1 Buchstabe c DSGVO) Speicherbegrenzung: Eine zeitliche Beschränkung der Speicherdauer ist nicht möglich, (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 weil die erforderliche Speicherdauer von der „Lebensdauer“ der zu Abs. 1 Buchstabe e DSGVO) transferierenden Technologie abhängt und diese im Vorhinein völlig unbekannt ist. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 12 gemäß Art. 12 DSGVO zu behandeln. Mit § 2i Abs. 2 FOG wird DSGVO) die Öffnungsklausel des Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen, wonach die Rechte der betroffenen Personen durch nationales Recht eingeschränkt werden dürfen, wenn dies eine notwendige und verhältnismäßige Maßnahme im wichtigen wirtschaftlichen Interesse eines Mitgliedstaates darstellt. Die Maßnahme ist erforderlich, weil die Einhaltung der angeführten Pflichten – einerseits aufgrund der einzuhaltenden Voraussetzungen gemäß § 2i Abs. 1 Z 2 FOG, dass die Daten Dritten nicht zur Kenntnis gelangen dürfen, sowie – andererseits aufgrund der Beschaffenheit der Technologie, insbesondere bei Anwendung von neuronalen Netzen, ausgeschlossen ist. Würde die Möglichkeit zur Beschränkung gemäß Art. 23 Abs. 1 Buchstabe e DSGVO nicht wahrgenommen, käme dies einem rechtlichen Ausschluss von Technologietransfers gleich, weil auf rechtlicher Ebene etwas verlangt würde, was auf faktischer Ebene nicht geleistet werden kann. Die vorgeschlagene Bestimmung wäre in diesem Fall sinnlos. Die Beschränkung ist zudem verhältnismäßig in einer demokratischen Gesellschaft, weil § 2i Abs. 1 Z 2 FOG vorsieht, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 10 dass die Daten Dritten nicht zur Kenntnis gelangen dürfen. Gemäß Art. 23 Abs. 2 DSGVO müssen nationale Bestimmungen, die die Öffnungsklausel gemäß Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch nehmen, zumindest folgende Angaben enthalten: – die Zwecke der Verarbeitung oder die Verarbeitungskategorien, die durch die Wortfolge „im Rahmen von Technologietransfers“ in § 2i Abs. 1 FOG erfolgt; – die Kategorien personenbezogener Daten, die durch die Wortfolge „personenbezogener Daten“ in § 2i Abs. 1 FOG erfolgt; – den Umfang der vorgenommenen Beschränkungen, der durch die Wortfolge „die Pflichten und Rechte gemäß den Art. 12 bis 22 und Art. 34 sowie Art. 5 DSGVO, insofern dessen Bestimmungen den in den Art. 12 bis 22 DSGVO vorgesehenen Rechten und Pflichten entsprechen“ in § 2i Abs. 2 FOG erfolgt; – die Garantien gegen Missbrauch oder unrechtmäßigen Zugang oder unrechtmäßige Übermittlung, die durch die Wortfolge „wenn […] insbesondere durch Technikgestaltung gemäß Art. 25 DSGVO sichergestellt ist, dass Dritte (Art. 4 Nr. 10 DSGVO) keine Kenntnis der übermittelten Daten erlangen“ in § 2i Abs. 1 FOG erfolgt; – die Angaben zu dem Verantwortlichen oder den Kategorien von Verantwortlichen, die durch die Wortfolge „im Rahmen von Technologietransfers“ in § 2i Abs. 1 FOG erfolgt, weil damit nur jene Verantwortliche gemeint sein können, die Technologietransfers durchführen; – die jeweiligen Speicherfristen sowie die geltenden Garantien unter Berücksichtigung von Art, Umfang und Zwecken der Verarbeitung oder der Verarbeitungskategorien, die durch die Wortfolge „unbeschränkt gespeichert und gegebenenfalls verarbeitet werden“ in §2d Abs. 5 FOG erfolgt, wobei die Garantie in § 2i Abs. 1 Z 1 FOG zu finden ist und vorsieht, dass „insbesondere durch Technikgestaltung gemäß Art. 25 DSGVO sichergestellt ist, dass Dritte (Art. 4 Nr. 10 DSGVO) keine Kenntnis der übermittelten Daten erlangen“ können; – die Risiken für die Rechte und Freiheiten der betroffenen Personen, die durch den Verweis in § 2i Abs. 2 FOG auf die Wortfolge „insbesondere durch Technikgestaltung gemäß Art. 25 DSGVO sichergestellt ist, dass Dritte (Art. 4 Nr. 10 DSGVO) keine Kenntnis der übermittelten Daten erlangen“ in § 2i Abs. 1 Z 2 FOG erfolgt; – das Recht der betroffenen Personen auf Unterrichtung über die Beschränkung, sofern dies nicht dem Zweck der Beschränkung abträglich ist, was durch die Publikation des § 2i Abs. 1 und 2 FOG im Bundesgesetzblatt erfolgt. Information der betroffenen Die gemäß Art. 13 DSGVO vorgesehenen Informationen müssen Personen bei Erhebung: aufgrund der Inanspruchnahme der Öffnungsklausel gemäß Art. 23 (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 Abs. 1 Buchstabe e DSGVO nicht angegeben werden. Zur näheren DSGVO) Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Information der betroffenen Die gemäß Art. 14 DSGVO vorgesehenen Informationen müssen Personen, wenn die Daten nicht bei aufgrund der Inanspruchnahme der Öffnungsklausel gemäß Art. 23 ihnen erhoben werden: Abs. 1 Buchstabe e DSGVO nicht angegeben werden. Zur näheren (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 Begründung siehe oben: Bewertung / Generelle Informationen der BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 10 DSGVO) betroffenen Personen. Auskunftsrecht der betroffenen Die gemäß Art. 15 DSGVO vorgesehenen Informationen müssen Personen: aufgrund der Inanspruchnahme der Öffnungsklausel gemäß Art. 23 (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 15 Abs. 1 Buchstabe e DSGVO nicht angegeben werden. Zur näheren DSGVO) Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Recht auf Datenübertragbarkeit: Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 (Art. 20 DSGVO) Buchstabe a DSGVO nicht zu, weil die Verarbeitung – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt und außerdem die Öffnungsklausel gemäß Art. 23 Abs. 1 Buchstabe e DSGVO in Anspruch genommen wird, die einen Ausschluss des Rechts auf Datenübertragbarkeit erlaubt. Zur näheren Begründung siehe oben: Bewertung / Generelle Informationen der betroffenen Personen. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch Auftragsverarbeiter: im Zuge von Gesetzgebungsverfahren zulässt und die konkret zum (Art. 28 DSGVO) Einsatz kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Technologietransfers in Drittländer sind nach § 13 FOG zulässig, Übermittlung in Drittländer: wobei die Garantie in § 2i Abs. 1 Z 1 FOG zu finden ist und (Kapitel V DSGVO) vorsieht, dass „insbesondere durch Technikgestaltung gemäß Art. 25 DSGVO sichergestellt [sein muss], dass Dritte (Art. 4 Nr. 10 DSGVO) keine Kenntnis der übermittelten Daten erlangen“ können. Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, (Art. 36 und EG 96 DSGVO) weil der vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind für die Technologietransfers vorhanden, aber immaterielle Schäden: eingeschränkt, weil die Voraussetzung für die Rechtmäßigkeit von (EG 90 iVm 85 DSGVO) Technologietransfers gemäß § 2i Abs. 1 Z 2 FOG vorsieht, dass „insbesondere durch Technikgestaltung gemäß Art. 25 DSGVO sichergestellt [sein muss], dass Dritte (Art. 4 Nr. 10 DSGVO) keine Kenntnis der übermittelten Daten erlangen“ können. Überdies wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 10 Verlust der Kontrolle über Diesem Risiko wird durch die Garantie in § 2i Abs. 1 Z 2 FOG personenbezogene Daten: Rechnung getragen, wonach „insbesondere durch (EG 90 iVm 85 DSGVO) Technikgestaltung gemäß Art. 25 DSGVO sichergestellt [sein muss], dass Dritte (Art. 4 Nr. 10 DSGVO) keine Kenntnis der übermittelten Daten erlangen“ können. Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO einzuhalten und deren Nichteinhaltung mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert. Darüber hinaus wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Diskriminierung: Dieses Risiko ist für die Technologietransfers vorhanden, aber (EG 90 iVm 85 DSGVO) eingeschränkt, weil die Voraussetzung für die Rechtmäßigkeit von Technologietransfers gemäß § 2i Abs. 1 Z 2 FOG vorsieht, dass „insbesondere durch Technikgestaltung gemäß Art. 25 DSGVO sichergestellt [sein muss], dass Dritte (Art. 4 Nr. 10 DSGVO) keine Kenntnis der übermittelten Daten erlangen“ können. Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO einzuhalten und deren Nichteinhaltung mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Damit wird die Wahrscheinlichkeit einer Diskriminierung effektiv gemindert. Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung erheblich gesenkt. Identitätsdiebstahl oder -betrug: Dieses Risiko wird insbesondere durch die unionsrechtliche (EG 90 iVm 85 DSGVO) Sanktionierung aufgrund des Art. 32 DSGVO iVm Art. 83 Abs. 4 Buchstabe a DSGVO minimiert, wonach die Missachtung von Datensicherheitsmaßnahmen mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist und Regelungen über die Abfrageberechtigungen und den Schutz vor Einsicht und Verarbeitung der Daten durch Unbefugte vorzusehen sind („organisatorische Maßnahmen, um […] die Vertraulichkeit, Integrität […] sicherzustellen“ – Art. 32 Abs. 1 DSGVO). Ebenso wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Finanzielle Verluste: Dieses Risiko wird insbesondere durch die unionsrechtliche (EG 90 iVm 85 DSGVO) Sanktionierung aufgrund des Art. 32 DSGVO iVm Art. 83 Abs. 4 Buchstabe a DSGVO minimiert, wonach die Missachtung von Datensicherheitsmaßnahmen mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist und Regelungen über die Abfrageberechtigungen und den Schutz vor Einsicht und Verarbeitung der Daten durch Unbefugte vorzusehen sind („organisatorische Maßnahmen, um […] die Vertraulichkeit, Integrität […] sicherzustellen“ – Art. 32 Abs. 1 DSGVO). Darüber hinaus wird durch die in § 2d Abs. 1 FOG BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 10 vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Unbefugte Aufhebung der Dieses Risiko wird insbesondere durch die unionsrechtliche Pseudonymisierung: Sanktionierung aufgrund des Art. 32 DSGVO iVm Art. 83 Abs. 4 (EG 90 iVm 85 DSGVO) Buchstabe a DSGVO minimiert, wonach die Missachtung von Datensicherheitsmaßnahmen mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist und Regelungen über die Abfrageberechtigungen und den Schutz vor Einsicht und Verarbeitung der Daten durch Unbefugte vorzusehen sind („organisatorische Maßnahmen, um […] die Vertraulichkeit, Integrität […] sicherzustellen“ – Art. 32 Abs. 1 DSGVO). Überdies wird insbesondere durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG das Risiko der unbefugten Aufhebung der Pseudonymisierung wesentlich reduziert. Rufschädigung: Dieses Risiko wird insbesondere durch die unionsrechtliche (EG 90 iVm 85 DSGVO) Sanktionierung aufgrund des Art. 32 DSGVO iVm Art. 83 Abs. 4 Buchstabe a DSGVO minimiert, wonach die Missachtung von Datensicherheitsmaßnahmen mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist und Regelungen über die Abfrageberechtigungen und den Schutz vor Einsicht und Verarbeitung der Daten durch Unbefugte vorzusehen sind („organisatorische Maßnahmen, um […] die Vertraulichkeit, Integrität […] sicherzustellen“ – Art. 32 Abs. 1 DSGVO). Verlust der Vertraulichkeit bei Dieses Risiko wird insbesondere durch die unionsrechtliche Berufsgeheimnissen: Sanktionierung aufgrund des Art. 32 DSGVO iVm Art. 83 Abs. 4 (EG 90 iVm 85 DSGVO) Buchstabe a DSGVO minimiert, wonach die Missachtung von Datensicherheitsmaßnahmen mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist und Regelungen über die Abfrageberechtigungen und den Schutz vor Einsicht und Verarbeitung der Daten durch Unbefugte vorzusehen sind („organisatorische Maßnahmen, um […] die Vertraulichkeit, Integrität […] sicherzustellen“ – Art. 32 Abs. 1 DSGVO). Erhebliche wirtschaftliche oder Dieses Risiko wird insbesondere durch die unionsrechtliche gesellschaftliche Nachteile: Sanktionierung aufgrund des Art. 32 DSGVO iVm Art. 83 Abs. 4 (EG 90 iVm 85 DSGVO) Buchstabe a DSGVO minimiert, wonach die Missachtung von Datensicherheitsmaßnahmen mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist und Regelungen über die Abfrageberechtigungen und den Schutz vor Einsicht und Verarbeitung der Daten durch Unbefugte vorzusehen sind („organisatorische Maßnahmen, um […] die Vertraulichkeit, Integrität […] sicherzustellen“ – Art. 32 Abs. 1 DSGVO). Zusätzlich wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 10 ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Verarbeitung Eine Minimierung der Verarbeitung personenbezogener Daten kann personenbezogener Daten: nicht vorgeschrieben werden, weil im Vorhinein nicht bekannt ist, (EG 78 DSGVO) welche Daten überhaupt verarbeitet werden sollen. Aus diesem Grund wird in § 2i Abs. 1 Z 2 FOG vorgesehen, dass – potentielle – personenbezogene Daten Dritten nicht zur Kenntnis gelangen dürfen. Eine Pflicht zur Minimierung der Verarbeitung personenbezogener Daten besteht aber für die Verarbeitung, die vor dem Technologietransfer durchgeführt wird. Schnellstmögliche Die Pseudonymisierung der verarbeiteten personenbezogenen Pseudonymisierung Daten kann nicht vorgeschrieben werden, weil im Vorhinein nicht personenbezogener Daten: bekannt ist, welche Daten verarbeitet werden sollen und welche (EG 28 und 78 DSGVO) Funktion die Verarbeitung erfüllen sollen. Aus diesem Grund wird in § 2i Abs. 1 Z 2 FOG vorgesehen, dass – potentielle – personenbezogene Daten Dritten nicht zur Kenntnis gelangen dürfen. Auch wenn für den Transfer von Technologie keine Pflicht zur Pseudonymisierung vorgesehen ist, kommt die Pflicht gemäß § 2i Abs. 1 Z 2 FOG der Anonymisierung im Endeffekt sehr nahe. Transparenz in Bezug auf die Durch die Publikation des § 2i Abs. 1 und 2 FOG als Bundesgesetz Funktionen und die Verarbeitung im Bundesgesetzblatt sowie der parlamentarischen Materialien im personenbezogener Daten: Zuge des Gesetzgebungsprozesses können die Hintergründe für die (EG 78 DSGVO) zulässige Verarbeitung personenbezogener Daten bei Technologietransfers von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Verarbeitung Mit § 2i Abs. 2 FOG wird die Öffnungsklausel des Art. 23 Abs. 1 personenbezogener Daten durch Buchstabe e DSGVO in Anspruch genommen, wonach die Rechte die betroffenen Personen: der betroffenen Personen durch nationales Recht eingeschränkt (EG 78 DSGVO) werden dürfen, wenn dies eine notwendige und verhältnismäßige Maßnahme im wichtigen wirtschaftlichen Interesse eines Mitgliedstaates darstellt. Die Maßnahme ist erforderlich, weil die Einhaltung der angeführten Pflichten – einerseits aufgrund der einzuhaltenden Voraussetzungen gemäß § 2i Abs. 1 Z 2 FOG, dass die Daten Dritten nicht zur Kenntnis gelangen dürfen, sowie – andererseits aufgrund der Beschaffenheit der Technologie, insbesondere bei Anwendung von neuronalen Netzen, ausgeschlossen ist. Würde die Möglichkeit zur Beschränkung gemäß Art. 23 Abs. 1 Buchstabe e DSGVO nicht wahrgenommen, käme dies einem rechtlichen Ausschluss von Technologietransfers gleich, weil auf rechtlicher Ebene etwas verlangt würde, was auf faktischer Ebene nicht geleistet werden kann. Der vorgeschlagene § 2i Abs. 1 FOG wäre in diesem Fall sinnlos. Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß (EG 78 und 83 DSGVO) Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert. Entsprechende Datensicherheitsmaßnahmen sind daher auch bei Technologietransfers zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 10 der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen Datenschutzbehörde: des Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der Datenschutzbeauftragten der erlassenden Stelle im Rahmen des Begutachtungsverfahrens erlassenden Stelle: ergangen. (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:42:38+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Signatur finden Sie unter: https://www.signaturpruefung.gv.at Prüfinformation Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 20: Datenschutz-Folgenabschätzung zu § 2i Abs. 4 und 5 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 220 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 11

Anhang 20: Datenschutz-Folgenabschätzung zu § 2i Abs. 4 und 5 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Klarstellung zu Open Science- und Citizen Science-Projekten gemäß § 2i Abs. 4 und 5 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und die Verarbeitung auch vertrauliche oder höchst persönliche Daten umfassen kann. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Gemäß § 2i Abs. 4 und 5 FOG dürfen Verantwortliche im Rahmen von (EG 90 DSGVO) Open Science oder Citizen Science-Projekten sämtliche eigene personenbezogene Daten, wenn diese freiwillig zur Verfügung gestellt wurden (Abs. 4 leg. cit.) und personenbezogene Daten Dritter, die zur Verfügung gestellt wurden, unter besonderen Bedingungen verarbeiten (Abs. 5 leg. cit.). Die Verarbeitung ist dahingehend beschränkt, als die Verarbeitung in beiden Fällen nur „für die zu Beginn des Projekts ausdrücklich kommunizierte Dauer zulässig“ ist. Mangels eindeutiger Anordnung zur Art der Verarbeitung darf diese sowohl in Papierform als auch in automationsunterstützter Form erfolgen. Besondere Formen, die aufgrund ihres Spannungsverhältnisses zu Bestimmungen der DSGVO, wie insbesondere Art. 5 DSGVO, einer gesetzlichen Regelung bedürften, wie etwa Big Data, sind nicht vorgesehen und damit nicht zulässig. Umfang der Verarbeitung: Die von § 2i Abs. 4 und 5 FOG gedeckten Verarbeitungen erstrecken (EG 90 DSGVO) sich auf Daten im Sinne des § 2b Z 5 FOG. Da die in Anspruch genommene Öffnungsklausel Art. 9 Abs. 2 Buchstabe j DSGVO ist, ist nicht nur die Verarbeitung personenbezogener Daten, sondern sogar die Verarbeitung sensibler Daten umfasst. Eine Einschränkung in Bezug auf die betroffenen Personen gibt es nicht. Der Umfang der Verarbeitungen gemäß § 2i Abs. 4 FOG ist auf jene Fälle, – in denen Bürgerinnen und Bürger, – im Zuge von Open Science (§ 2b Z 9 FOG) und Citizen Science Projekten (§ 2b Z 4 FOG), – personenbezogene Daten – an insbesondere wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) – auf freiwilliger Basis übermitteln, beschränkt. Der Umfang der Verarbeitungen gemäß § 2i Abs. 5 FOG ist auf – personenbezogene Daten Dritter (Art. 4 Nr. 10 DSGVO), – die im Rahmen von Open Science (§ 2b Z 9 FOG) und Citizen Science-Projekten (§ 2b Z 4 FOG) zur Verfügung gestellt werden und – auf Beobachtungen oder Messungen im öffentlichen Raum BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 11 beruhen (§ 2i Abs. 5 Z 1 FOG) oder – im Sinne des Art. 4 Nr. 5 DSGVO pseudonymisiert werden (§ 2i Abs. 5 Z 2 FOG) beschränkt. In § 2i Abs. 4 und Abs. 5 FOG werden die Öffnungsklausel der Einschränkung des Rechts auf Löschung gemäß Art. 17 Abs. 3 Buchstabe b DSGVO verwendet. Das Recht auf Löschung ist nur dann gegeben, wenn weder Projektziele noch Anforderungen an wissenschaftliche Arbeiten beeinträchtigt werden. Kontext der Verarbeitung: Die Verarbeitung erfolgt im Kontext von Wissenstransfers. Mit dem (Art-29-Datenschutzgruppe, WP 248, 21) vorgeschlagenen § 2i Abs. 4 FOG soll eine Klarstellung geschaffen werden, wenn Bürgerinnen und Bürger im Rahmen von Open Science (§ 2b Z 9 FOG) und Citizen Science-Projekten (§ 2b Z 4 FOG) wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) Daten überlassen. Voraussetzung für die Zulässigkeit dieses Einsatzes, ist lediglich, dass keine direkt personenbezogenen Daten als Ergebnis offengelegt werden. Mit dem vorgeschlagenen § 2i Abs. 5 FOG soll eine Rechtsgrundlage geschaffen werden, damit auch personenbezogene Daten Dritter (Art. 4 Nr. 10 DSGVO) an wissenschaftliche Einrichtungen im Rahmen von Open Science (§ 2b Z 9 FOG) und Citizen Science (§ 2b Z 4 FOG) übermittelt werden können. Voraussetzung für die Verarbeitung gemäß § 2i Abs. 5 ist, dass die Daten: – auf Beobachtungen/Messungen im öffentlichen Raum beruhen oder – pseudonymisiert (Art. 4 Nr. 5 DSGVO) werden. Zweck der Verarbeitung: Ziele der Verarbeitungen sind „die rasche Verarbeitung sowie die (Art. 35 Abs. 7 Buchstabe a DSGVO) Verwertung der Ergebnisse von Wissenschaft und Forschung“ (§ 1 FOG). Empfängerinnen und Grundsätzlich werden die Daten zuerst wissenschaftlichen Empfänger: Einrichtungen zur Verfügung gestellt. Anschließend werden die Daten (Art-29-Datenschutzgruppe, WP 248, 21) im Rahmen von Open Science (§ 2b Z 9 FOG) an die Öffentlichkeit übermittelt. Hinsichtlich der Projekte von Citizen Science (§ 2b Z 4 FOG) sind Empfängerinnen und Empfänger jene Personen, die sich in den jeweiligen wissenschaftlichen Projekten einbinden. Speicherdauer: Gemäß § 2i Abs. 4 und 5 FOG muss die Speicherdauer zu Beginn des (Art-29-Datenschutzgruppe, WP 248, 21) Projektes ausdrücklich kommuniziert werden. Funktionelle Beschreibung der Daten dürfen aufgrund des § 2i Abs. 4 FOG auf jede Art und Weise Verarbeitung: verarbeitet werden. Dabei müssen die Voraussetzungen des § 2d Abs. (Art. 35 Abs. 7 Buchstabe a DSGVO) 1 Z 1 FOG beachtet werden. Gemäß § 2i Abs. 5 FOG ist eine Verarbeitung nur dann möglich, wenn die Daten – auf Beobachtungen oder Messungen im öffentlichen Raum beruhen oder – pseudonymisiert werden (Art. 4 Nr. 5 DSGVO). Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum sonstige Infrastruktur): Einsatz kommende Infrastruktur typischerweise nicht gesetzlich (Art-29-Datenschutzgruppe, WP 248, 21) geregelt ist, ist an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 11 Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: Der Zweck dieser Regelung ist eine Klarstellung für Wissenstransfers (Art. 5 Abs. 1 Buchstabe b DSGVO) im Rahmen von Open Science und Citizen Science-Projekten. Dies ist dafür wichtig, dass viele Bürgerinnen und Bürger an wissenschaftlichen Projekten teilnehmen (Open Science) und dass Denkanstöße der nichtwissenschaftlichen Welt an die wissenschaftliche Welt gegeben werden (Citizen Science). Was unter Wissenstransfers zu verstehen ist, wird in § 2b Z 13 FOG geregelt: „Bereitstellung von Wissen durch wissenschaftliche Einrichtungen an andere Teile der Gesellschaft, wie insbesondere Unternehmen.“ Demnach dient die vorliegende Regelung insbesondere dem Austausch zwischen Wissenschaft und Gesellschaft. Deshalb kann auf das in § 1 FOG definierte Ziel verwiesen werden. Demnach ist das Ziel dieser Regelung: „die rasche Verbreitung sowie Verwertung der Ergebnisse von Wissenschaft und Forschung“. Eindeutiger Zweck: Die Angabe des Zwecks, die Förderung von Open Science und Citizen (Art. 5 Abs. 1 Buchstabe b DSGVO) Science-Projekten, ist in § 2i Abs. 4 und 5 FOG eindeutig festgelegt: Die angeführten Daten dürfen nur in Zusammenhang mit Open Science- oder Citizen Science Projekten verarbeitet werden. Solche Projekte ermöglichen die Erreichung des in § 1 FOG definierten Zieles. Daher ist die Verarbeitung der Daten notwendig. Legitimer Zweck: Der in § 2i Abs. 4 und 5 FOG angegebene Zweck ist legitim, weil er (Art. 5 Abs. 1 Buchstabe b DSGVO) – einerseits von den Öffnungsklauseln des Art. 6 Abs. 1 Buchstabe c („rechtliche Verpflichtung“) und Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO umfasst ist und – andererseits in § 2i Abs. 4 und 5 FOG vorgesehen ist. Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 11 11.756/1988). Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Verarbeitung: Buchstabe c iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstabe j DSGVO, (Art-29-Datenschutzgruppe, WP 248, 21 iVm wonach die Verarbeitung aufgrund einer rechtlichen Verpflichtung Art. 6 DSGVO) erfolgt. Siehe dazu näher: oben Bewertung / Legitimer Zweck. Angemessenheit der In Bezug auf die Datenarten gibt es keine Einschränkungen. Die Verarbeitung: Speicherdauer ist zu Beginn des Projektes ausdrücklich zu (Art-29-Datenschutzgruppe, WP 248, 21 iVm kommunizieren. Für die Verarbeitungen im Rahmen des § 2i Abs. 4 Art. 5 Abs. 1 Buchstabe c DSGVO) FOG sind die Voraussetzungen des § 2d Abs. 1 Z 1FOG einzuhalten. Diese Voraussetzungen sind so hoch, dass die Angemessenheit der Verarbeitung jedenfalls gewährleistet ist. Die Verarbeitungen im Rahmen des § 2i Abs. 5 FOG sind nur unter den zwei dort angegebenen Voraussetzungen möglich. In § 2i Abs. 5 FOG wird durch die Formulierung „Beobachtungen oder Messungen“ festgelegt, dass keine Videoaufnahmen unter diese Bestimmungen fallen. Als Beobachtungen gelten gemäß den Erläuterungen des vorliegenden Entwurfes „zielgerichtete (menschliche) Wahrnehmungen“. Als Messungen gelten die „Zuordnung von Zahlen zu Objekten und Ereignissen“. Verarbeitungen von Daten aus der Videoüberwachung können nicht zugelassen werden, weil der Beweis, dass das Verhalten gesetzt wurde, um öffentlich wahrgenommen zu werden, in Anbetracht der Konsequenzen gemäß Art. 83 DSGVO fast unmöglich zu erbringen. Deswegen wurde ein objektives Kriterium des öffentlichen Raumes eingeführt. Das Kriterium des öffentlichen Raumes ist am Maßstab der Rechtsprechung des VfGH (VfSlg. 19.676/2012) zu messen. Es dürfen Beobachtungen nur unter der Bedingung durchgeführt werden, dass es sich dabei um keine „systematische, insbesondere fortlaufende Feststellung von Ereignissen [...] durch technische Bildaufnahme- oder Bildübertragungsgeräte“ (Videoüberwachung gemäß § 50a Abs. 1 DSG 2000) handelt (vgl. Erläuterungen zum vorliegenden Entwurf, 34). Dadurch ist die Angemessenheit der Datenverarbeitung gegeben. Die Angemessenheit des Ausschlusses des Löschungsrechtes ergibt sich dadurch, dass dies nur unter zwei Voraussetzungen möglich ist. Zu einem muss das Projektziel weiterhin erreicht werden können und zum anderen dürfen die Anforderungen an wissenschaftliches Arbeiten durch die Löschung nicht beeinträchtigt werden. Das heißt, dass ein Ausschluss des Löschungsrechtes, das auf der Öffnungsklausel des Art. 17 Abs. 3 DSGVO beruht, nur unter strengen Kriterien möglich ist. Dadurch ergibt sich auch die Angemessenheit der Einschränkung Löschungsrechtes. Erheblichkeit der Verarbeitung: Die Verarbeitung der Daten ist erheblich, da die Verfügbarkeit (Art-29-Datenschutzgruppe, WP 248, 21 iVm hochwertiger Daten wesentliche Voraussetzung für Wissenschaft und Art. 5 Abs. 1 Buchstabe c DSGVO) Forschung ist. Dadurch kann nicht nur die Wirtschaft, sondern die gesamte Gesellschaft profitieren. „Die rasche Verbreitung sowie die Verwertung der Ergebnisse von Wissenschaft und Forschung“ wird ausdrücklich im § 1 FOG als Ziel genannt. Die Klarstellungen in § 2i Abs. 4 und 5 FOG erlauben es, dass Wissen von den Universitäten an die Wirtschaft in einem bestmöglichen Weg übermittelt werden kann. Verbesserungen in diesem Bereich zu schaffen sind für das Land Österreich von größter Bedeutung. Dies zeigt sich z.B. daran, dass in Österreich zwar gute Bildungsarbeit geleistet wird, diese kann aber nur mangelhaft in Wertschöpfung umgewandelt werden. Dieses Faktum wurde im Rahmen des Global Innovation Index 2017 aufgezeigt (Global Innovation Index 2017, 168; https://www.globalinnovationindex.org/gii-2017-report# [26.01.2018]). Laut Global Innovation Index 2017 belegt Österreich eine Spitzenposition, was die Ausgaben im Bereich R&D („Gross BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 11 expenditure on R&D, % GDP“) betrifft. Im Gegensatz dazu nimmt Österreich allerdings nur den 40. Platz – unter 127 Staaten – ein, hinsichtlich der Wirkungen des Wissens („FDI net inflows, % GDP“). Mit Blick auf die ausländischen Investitionen liegt Österreich gar nur an 117. Stelle. Unter anderem anhand der Platzierungen im internationalen Vergleich lässt sich erkennen, dass entsprechende Maßnahmen gesetzt werden müssen, um den Wissenschafts- und Wirtschaftsstandort zu stärken. Ein weiterer Indikator für das schlechte internationale Abschneiden Österreichs in Bezug auf die Umwandlung von Wissen in Wertschöpfung, ist der Forschungs- und Technologiebericht 2017. Dieser zeigt auf Seite 28 ebenfalls großes Verbesserungspotential bei der wirtschaftlichen Verwertung („business sophistication“) und der Nutzung des Wissens („knowledge & technology outputs“) auf. (https://www.bmvit.gv.at/innovation/publikationen /technologieberichte/downloads/ftb_2017.pdf#page=29). Beschränktheit der Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die Verarbeitung auf das bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls notwendige Maß: direkt personenbezogen zur Kenntnis gebracht werden dürfen (§ 2i (Art-29-Datenschutzgruppe, WP 248, 21 iVm Abs. 4 und 5 FOG). Art. 5 Abs. 1 Buchstabe c DSGVO) Speicherbegrenzung: Die Speicherdauer wird auf die zu Beginn des Projektes (Art-29-Datenschutzgruppe, WP 248, 21 iVm kommunizierte Speicherdauer beschränkt. Art. 5 Abs. 1 Buchstabe e DSGVO) Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 12 DSGVO) Art. 13 und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 5 Abs. 6 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die jeweiligen Einrichtungen ihre Prozesse so anpasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm – die Zwecke, für die die personenbezogenen Daten verarbeitet BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 11 Art. 13 DSGVO) werden sollen: durch Publikation des § 2i Abs. 4 und 5 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2i Abs. 4 und 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten der oder des Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheits- beschlusses der Kommission, – ein Hinweis auf das allfällige Bestehen anderer / restlicher Rechte der betroffenen Personen, – ein Hinweis auf das Bestehen des Rechts auf Beschwerde (Art. 77 DSGVO), – gegebenenfalls Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht werden, gilt die vorliegende Datenschutz- Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Siehe oben: Bewertung / Generelle Informationen der betroffenen Personen, wenn die Daten nicht Personen. bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der betroffenen Unter der Voraussetzung, dass die Verantwortlichen ihre Prozesse so Personen: anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die Art. 15 DSGVO) vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Datenübertragbarkeit: Buchstabe a DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum (Art. 28 DSGVO) Einsatz kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 11 Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. Schutzmaßnahmen bei der Eine Übermittlung in Drittländer wäre nach §§ 2j iVm 38a Abs. 4 Übermittlung in Drittländer: FOG grundsätzlich zulässig, allerdings nur an die in § 2j FOG (Kapitel V DSGVO) genannten Empfängerinnen und Empfänger, d.h.: – wissenschaftliche Einrichtungen (§ 2b Z 12 FOG), – Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1 FOG), – Gutachterinnen und Gutachter oder – österreichische öffentliche Stellen (§ 2b Z 8 FOG). Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil (Art. 36 und EG 96 DSGVO) der vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind bei der Verarbeitung im Rahmen von Open Science immaterielle Schäden: und Citizen Science-Projekten gemäß § 2i Abs. 4 und 5 minimal, (EG 90 iVm 85 DSGVO) insbesondere weil die Verantwortlichen „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) treffen müssen, um die gegebenen Risiken zu minimieren. Die Datensicherheitsmaßnahmen werden in Art. 32 DSGVO konkretisiert und sind von den Verantwortlichen einzuhalten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Außerdem treffen die Strafbestimmungen des 22. Abschnitts des Strafgesetzbuches (StGB), BGBl. Nr. 60/1974, über strafbare Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen, insbesondere dessen § 302 (Amtsmissbrauch) und § 310 („Verletzung des Amtsgeheimnisses“) wirksame Vorkehrungen gegen die unrechtmäßige Verarbeitung und somit das Entstehen von physischen, materiellen oder immateriellen Schäden (RIS-Justiz, RS0054100), falls es sich bei den Verantwortlichen um öffentlichen Stellen handeln sollte. Überdies wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt." Verlust der Kontrolle über Diesem Risiko wird durch die Einhaltung der (anwendbaren) Rechte personenbezogene Daten: der betroffenen Person gemäß Kapitel III der Datenschutz- (EG 90 iVm 85 DSGVO) Grundverordnung, das sind: – Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 11 der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) Rechnung getragen. Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den Verantwortlichen einzuhalten. Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert. Zudem wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Diskriminierung: Dieses Risiko bei Verarbeitungen gemäß § 2i Abs. 4 und 5 FOG ist (EG 90 iVm 85 DSGVO) minimal, insbesondere weil die Verantwortlichen im Zuge der Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Auch müssen die Verantwortlichen die in Art. 32 DSGVO konkretisierten Datensicherheitsmaßnahmen einhalten und dürfen natürliche Personen – gemäß Art. 7 B-VG – nicht diskriminieren. Damit wird die Wahrscheinlichkeit der Diskriminierung aufgrund der unzulässigen Verarbeitung personenbezogener Daten effektiv gemindert. Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung erheblich gesenkt. Identitätsdiebstahl oder -betrug: Dieses Risiko wird insbesondere durch die unions- und strafrechtliche (EG 90 iVm 85 DSGVO) Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert. Darüber hinaus wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG das Risiko des Verlusts der Kontrolle über personenbezogene Daten wesentlich gesenkt. Finanzielle Verluste: Dieses Risiko wird insbesondere durch die unions- und strafrechtliche (EG 90 iVm 85 DSGVO) Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert. Überdies wird durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 11 Schäden wesentlich gesenkt. Unbefugte Aufhebung der Dieses Risiko wird wie folgt minimiert: Pseudonymisierung: – unions- und strafrechtliche Sanktionierung (siehe oben: Risiken / (EG 90 iVm 85 DSGVO) Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die unbefugte Aufhebung der Pseudonymisierung, bieten. Zudem wird insbesondere durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG das Risiko der unbefugten Aufhebung der Pseudonymisierung wesentlich reduziert. Rufschädigung: Dieses Risiko wird wie folgt minimiert: (EG 90 iVm 85 DSGVO) – unions- und strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die Rufschädigung, bieten. Verlust der Vertraulichkeit bei Dieses Risiko wird wie folgt minimiert: Berufsgeheimnissen: – unions- und strafrechtliche Sanktionierung (siehe oben: Risiken / (EG 90 iVm 85 DSGVO) Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen den Verlust der Vertraulichkeit bei Berufsgeheimnissen, bieten. Erhebliche wirtschaftliche oder Dieses Risiko wird wie folgt minimiert: gesellschaftliche Nachteile: – unions- und strafrechtliche Sanktionierung (siehe oben: Risiken / (EG 90 iVm 85 DSGVO) Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen das Erleiden von erheblichen wirtschaftlichen oder gesellschaftlichen Nachteilen. Darüber hinaus wird die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 11 Minimierung der Verarbeitung Eine Minimierung der Verarbeitung personenbezogener Daten wird personenbezogener Daten: vorgenommen, indem nur freiwillig zu Verfügung gestellt Daten (EG 78 DSGVO) verarbeitet werden (gemäß § 2i Abs. 4 FOG) oder Daten nur unter strengen Voraussetzungen verarbeitet werden dürfen (gemäß § 2i Abs. 5 FOG). Zudem erfolgt mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Pseudonymisierung Voraussetzung für die Zulässigkeit der Verarbeitungen gemäß § 2i personenbezogener Daten: Abs. 5 FOG. Gemäß § 2d Abs. 2 FOG sind die Voraussetzungen des (EG 28 und 78 DSGVO) §2d Abs. 1 Z 1 FOG einzuhalten, wozu u.a. gemäß § 2d Abs. 1 Z 1 lit. a bereichsspezifische Personenkennzeichen verwendet werden können. Dies stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine Verarbeitung gemäß Art. 9 Abs. 2 Buchstabe j DSGVO. Transparenz in Bezug auf die Durch die Publikation des § 2i Abs. 4 und 5 FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge Verarbeitung des Gesetzgebungsprozesses können die Hintergründe für die zulässige personenbezogener Daten: Verarbeitung personenbezogener Daten bei Wissenstransfers von der (EG 78 DSGVO) Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Verarbeitung Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß personenbezogener Daten Kapitel III der Datenschutz-Grundverordnung, das sind: durch die betroffenen Personen: – Transparente Information, Kommunikation und Modalitäten für (EG 78 DSGVO) die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) die Möglichkeit, die Verarbeitung ihrer Daten durch die Verantwortlichen der Open Science- und Citizen Science-Projekte zu überwachen. Datensicherheitsmaßnahmen: Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 (EG 78 und 83 DSGVO) DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist. Entsprechende Datensicherheitsmaßnahmen sind daher zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 11 von 11 Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der Datenschutzbeauftragten der erlassenden Stelle im Rahmen des Begutachtungsverfahrens ergangen. erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:42:56+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Signatur finden Sie unter: https://www.signaturpruefung.gv.at Prüfinformation Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert. Bundesrecht konsolidiert Anhang 21: Datenschutz-Folgenabschätzung zu § 2k Abs. 3 FOG (Anm.: als PDF dokumentiert) www.ris.bka.gv.at Seite 232 von 242 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 1 von 10

Anhang 21: Datenschutz-Folgenabschätzung zu § 2k Abs. 3 FOG Nach Erwägungsgrund 92 und Art. 35 Abs. 10 DSGVO dürfen Datenschutz-Folgenabschätzungen auch auf abstrakter Ebene durchgeführt werden. Die folgende Datenschutz-Folgenabschätzung betrifft die Identifikation von Arbeitnehmerinnen und Arbeitnehmern gemäß § 2k Abs. 3 des Forschungsorganisationsgesetzes (FOG), BGBl. 341/1981. Eine Datenschutz-Folgenabschätzung ist gemäß Art. 35 Abs. 3 Buchstabe b DSGVO erforderlich, weil es potentiell auch zu einer (geographisch) umfangreichen Verarbeitung von personenbezogenen Daten kommen kann und dies auch Personen betreffen können, die besonders schutzwürdig sind – nämlich Arbeitnehmerinnen und Arbeitnehmern – weil sie in einem Machtungleichgewicht zu den Arbeitgeberinnen und Arbeitgebern stehen. SYSTEMATISCHE BESCHREIBUNG der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten: Art der Verarbeitung: Gemäß § 2k Abs. 3 FOG dürfen wissenschaftliche Einrichtungen gemäß (EG 90 DSGVO) § 2c Abs. 1 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981, sowie wissenschaftliche Einrichtungen, die über eine gültige Bestätigung gemäß § 2c Abs. 2 FOG verfügen, zur Identifikation von Arbeitnehmerinnen und Arbeitnehmern bereichsspezifische Personenkennzeichen für den Tätigkeitsbereich „Personalverwaltung“ (bPK-PV) verwenden. Diese dürfen sie von der Stammzahlenregisterbehörde verlangen. Im Rahmen der Identifikation können sämtliche personenbezogene Daten verarbeitet werden. Durch die Ausstattung mit bPK wird das Ergebnis der Verarbeitung indirekt personenbezogen. Mangels eindeutiger Anordnung zur Art der Verarbeitung darf diese sowohl in Papierform als auch in automationsunterstützter Form erfolgen. Besondere Formen, die aufgrund ihres Spannungsverhältnisses zu Bestimmungen der DSGVO, wie insbesondere Art. 5 DSGVO, einer gesetzlichen Regelung bedürften, wie etwa Big Data, sind nicht vorgesehen und damit nicht zulässig. Umfang der Verarbeitung: Die von § 2k Abs. 3 FOG gedeckten Verarbeitungen umfassen Daten im (EG 90 DSGVO) Sinne des § 2b Z 5 FOG. Da die in Anspruch genommene Öffnungsklausel Art. 9 Abs. 2 Buchstabe j DSGVO ist, ist nicht nur die Verarbeitung personenbezogener Daten, sondern sogar die Verarbeitung sensibler Daten umfasst. Der Kreis der betroffenen Personen ist auf die Arbeitnehmerinnen und Arbeitnehmer beschränkt. Der vorgeschlagene § 2k Abs. 3 FOG umfasst ein Recht auf Ausstattung bestehender (direkt personenbezogener Daten) mit bereichsspezifischen Personenkennzeichen (§ 9 E-GovG). Kontext der Verarbeitung: Mit dem vorgeschlagenen § 2k Abs. 3 FOG soll eine Rechtsgrundlage (Art-29-Datenschutzgruppe, WP 248, 21) für die Ausstattung von Daten (§ 2b Z 5 FOG) wissenschaftlicher Einrichtungen (§ 2b Z 12 FOG), die auch Verantwortliche des privaten Bereichs (§ 26 Abs. 4 DSG) sein können, im Rahmen der Identifikation von Angestellten geschaffen werden. Damit wird das bPK-System für die Identifikation von Angestellten in wissenschaftliche Einrichtungen gemäß § 2c Abs. 1 FOG sowie wissenschaftliche Einrichtungen, die über eine gültige Bestätigung gemäß § 2c Abs. 2 FOG verfügen, angewendet, was einer allgemeinen Lösung für wissenschaftliche Einrichtungen entspricht, um den Datenschutz zu wahren. § 108 Abs. 5 UG dient als Vorbild für die vorgeschlagene Bestimmung. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 2 von 10 Zweck der Verarbeitung: Die Verarbeitung der Daten erfolgt zur Identifikation von (Art. 35 Abs. 7 Buchstabe a DSGVO) Arbeitnehmerinnen und Arbeitnehmern (vgl. § 2k Abs. 3 FOG). Empfängerinnen und Wissenschaftliche Einrichtungen (§ 2b Z 12 FOG) sind Empfängerinnen Empfänger: der Daten. (Art-29-Datenschutzgruppe, WP 248, 21) Speicherdauer: Nach der allgemeinen Regel des § 2d Abs. 5 FOG, wonach (Art-29-Datenschutzgruppe, WP 248, 21) personenbezogene Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden dürfen, soweit keine speziellen, abweichenden Bestimmungen getroffen werden, ist auch die Speicherdauer für die von § 2k Abs. 3 FOG umfassten Daten unbeschränkt. Funktionelle Beschreibung Aufgrund des § 2k Abs. 3 FOG ist jede Form der Verarbeitung zulässig, der Verarbeitung: solange bereichsspezifische Personenkennzeichen verwendet werden. (Art. 35 Abs. 7 Buchstabe a DSGVO) Beschreibung der Anlagen Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im (Hard- und Software bzw. Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz sonstige Infrastruktur): kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist (Art-29-Datenschutzgruppe, WP 248, 21) an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen. Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln: (Art-29-Datenschutzgruppe, WP 248, 21) BEWERTUNG der Notwendigkeit und Verhältnismäßigkeit Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen – betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie – zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO) abzustellen. Festgelegter Zweck: § 2k Abs. 3 FOG sieht vor, dass die Verarbeitung zur Identifikation von (Art. 5 Abs. 1 Buchstabe b DSGVO) Arbeitnehmerinnen und Arbeitnehmern erfolgt. Eindeutiger Zweck: Die Angabe des Zwecks in § 2k Abs. 3 FOG ist eindeutig: Die (Art. 5 Abs. 1 Buchstabe b DSGVO) angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Identifikation von Arbeitnehmerinnen und Arbeitnehmern notwendig ist. Legitimer Zweck: Der in § 2k Abs. 3 FOG angegebene Zweck ist legitim, weil er (Art. 5 Abs. 1 Buchstabe b DSGVO) – einerseits von den Öffnungsklauseln des Art. 6 Abs. 1 Buchstabe c („rechtliche Verpflichtung“) und Art. 9 Abs. 2 Buchstabe j („Wissenschaft und Forschung“) DSGVO umfasst ist und – andererseits in § 2k Abs. 3 FOG vorgesehen ist. Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen. Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 3 von 10 führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988). Rechtmäßigkeit der Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Verarbeitung: Buchstabe e iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstabe j DSGVO, (Art-29-Datenschutzgruppe, WP 248, 21 iVm wonach die Verarbeitung aufgrund eines erheblichen öffentlichen Art. 6 DSGVO) Interesses erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden. Angemessenheit der In Bezug auf die Datenarten und die Speicherdauer gibt es keine Verarbeitung: Einschränkungen. Mit § 2k Abs. 3 FOG wird wissenschaftlichen (Art-29-Datenschutzgruppe, WP 248, 21 iVm Einrichtungen das Recht zugestanden, eine Ausstattung ihrer Daten mit Art. 5 Abs. 1 Buchstabe c DSGVO) bereichsspezifischen Personenkennzeichen für den Tätigkeitsbereich „Personalverwaltung“ zu verlangen. Damit wird die rechtliche Grundlage dafür geschaffen, dass wissenschaftliche Einrichtungen gemäß § 2c Abs. 1 FOG sowie wissenschaftliche Einrichtungen, die über eine gültige Bestätigung gemäß § 2c Abs. 2 FOG verfügen, die „Pseudonymisierung [anwenden, weil] es möglich ist, diese Zwecke [Anm.: des Art. 89 DSGVO] auf diese Weise zu erfüllen“ (Art 89 Abs. 1 DSGVO). Damit ist das Grundrecht auf Datenschutz (§ 1 DSG 2000 bzw. Art. 8 EU-Grundrechte-Charta) aktuell nicht berührt, wie § 8 Abs. 2 und § 9 Z 2 DSG 2000 bestimmen. Durch die Definition der personenbezogenen Daten in Art. 4 Nr. 1 DSGVO, die indirekt personenbezogenen Daten ausdrücklich mitumfasst, und das Fehlen einer DSGVO-Regelung, die § 8 Abs. 2 oder § 9 Z 2 DSG 2000 entspricht, kommt es zu einer Verschärfung der Rechtslage. An der Gefährlichkeit, die mit der Verarbeitung indirekt personenbezogener Daten einhergeht, ändert sich nichts, da es sich bei der Beurteilung des damit verbundenen Risikos um eine faktische Frage handelt. Auf faktischer Ebene tritt am 25. Mai 2018 keine (sprunghafte) Änderung ein. Diese findet bloß auf rechtlicher Ebene statt. Wenn aber sich die faktische Gefährlichkeit nicht geändert hat, kann auch nach Verschärfung der Rechtslage (am 25. Mai 2018), die Verarbeitung indirekt personenbezogener Daten nicht unangemessen sein, außer es gäbe Regelungen, die Argumente für die Unangemessenheit lieferten oder diese sogar ausdrücklich vorsähen. Das Gegenteil ist der Fall: EG 28 und 156, Art. 6 Abs. 4 Buchstabe d, Art. 25 Abs. 1, Art. 32 Abs. 1 Buchstabe a sowie Art. 89 Abs. 1 DSGVO sehen die Pseudonymisierung als geeignete Garantien für die Rechte und Freiheiten der betroffenen Personen an. Wäre die Verarbeitung pseudonymisierter Daten unangemessen, könnte die Pseudonymisierung niemals als Instrument zur Senkung des Risikos für die betroffenen Personen („angemessene Garantie“) fungieren. Das Kriterium der Angemessenheit ist somit im höchsten Maße erfüllt. Erheblichkeit der Die Klarstellung in § 2k Abs. 3 FOG schafft eine allgemeine Lösung für Verarbeitung: wissenschaftliche Einrichtungen gemäß § 2c Abs. 1 FOG sowie (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO) wissenschaftliche Einrichtungen, die über eine gültige Bestätigung gemäß § 2c Abs. 2 FOG verfügen, bereichsspezifische Personenkennzeichen für die Identifikation von Arbeitnehmerinnen und Arbeitnehmern einzuführen. Die eindeutige Identifikation dient der Vereinfachung der Personalverwaltung. Personalausgaben betragen einen großen Anteil an den Ausgaben für Forschung und experimenteller Entwicklung (http://www.statistik.at/ web_de/statistiken/energie_umwelt_innovation_mobilitaet/ forschung_und_innovation/f_und_e_in_allen_volkswirtschaftlichen_ sektoren/041534.html [05.02.2018]). In ganz Österreich wurden fast die Hälfte (49,59 Prozent) der Ausgaben für F&E für das Personal aufgewendet. In einigen Bundesländern (Burgenland, Niederösterreich, BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 4 von 10 Salzburg und Vorarlberg) wurde sogar mehr als die Hälfte der Ausgaben für das Personal verwendet. Dass Verbesserungen in diesem Bereich notwendig sind, zeigt insbesondere der Global Innovation Index 2017 (https://www.globalinnovationindex.org/gii-2017-report# [05.02.2018]). Österreich gibt im internationalen Vergleich viel Geld für Forschung und Entwicklung aus („Gross expenditure on R&D, % GDP“) und rangiert an 5. Position. Trotzdem befindet sich Österreich in der Kategorie „Wissensbildung“ („Knowledge creation“) nur an 18. Stelle. Dies zeigt, dass die finanziellen Mitteln vorhanden sind, jedoch nicht in effizienter Weise eingesetzt werden. Beschränktheit der Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die Verarbeitung auf das bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls direkt notwendige Maß: personenbezogen zur Kenntnis gebracht werden dürfen (§ 2d Abs. 2 (Art-29-Datenschutzgruppe, WP 248, 21 iVm FOG). Art. 5 Abs. 1 Buchstabe c DSGVO) Speicherbegrenzung: Eine zeitliche Beschränkung der Speicherdauer ist nicht möglich. Gemäß (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe e DSGVO dürfen die Daten sogar länger, als für Art. 5 Abs. 1 Buchstabe e DSGVO) die Zwecke, für die sie verarbeitet werden, gespeichert werden. Generelle Information der Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine betroffenen Personen: Datenschutz-Folgenabschätzung auch die transparente Information (Art-29-Datenschutzgruppe, WP 248, 21 iVm gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 13 Art. 12 DSGVO) und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind: – die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten Garantien bei Übermittlung in Drittländer oder an internationale Organisationen; – gegebenenfalls die Mitteilung an die betroffene Person, dass eine Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO); – gegebenenfalls die Information von Empfängerinnen und Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person die Berechtigung oder Löschung von personenbezogenen Daten oder eine Einschränkung der Verarbeitung verlangt, es sei denn, dies erweist sich als unmöglich oder ist mit einem unverhältnismäßigen Aufwand verbunden; – die Information der betroffenen Personen über die Empfängerinnen und Empfänger ihrer personenbezogenen Daten, auf Verlangen der betroffenen Personen (Art. 19 DSGVO); – der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO nur im Rahmen des § 2d Abs. 6 FOG besteht; – gegebenenfalls die Benachrichtigung über Verletzungen des Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1 DSGVO. Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen gemäß § 2c Abs. 1 FOG sowie die wissenschaftlichen Einrichtungen, die über eine gültige Bestätigung gemäß § 2c Abs. 2 FOG verfügen, ihre Prozesse so anpasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie Personen bei Erhebung: folgt erbracht: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO) – die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen: durch Publikation des § 2k Abs. 3 FOG als Bundesgesetz im Bundesgesetzblatt; – die Rechtsgrundlage für die Verarbeitung: durch Publikation des BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 5 von 10 vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Empfänger oder Kategorien von Empfängern: durch Publikation des vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt; – die Dauer, für die die personenbezogenen Daten gespeichert werden: durch Publikation des § 2k Abs. 3 iVm § 2d Abs. 5 FOG als Bundesgesetz im Bundesgesetzblatt und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden. Unter der Voraussetzung, dass – Name und Kontaktdaten der oder des Verantwortlichen, – die Kontaktdaten ihres Datenschutzbeauftragten, – gegebenenfalls die Absicht die personenbezogenen Daten an ein Drittland oder eine internationale Organisation zu übermitteln sowie das Vorhandensein oder das Fehlen eines Angemessenheits- beschlusses der Kommission, – ein Hinweis auf das allfällige Bestehen anderer / restlicher Rechte der betroffenen Personen, – ein Hinweis auf das Bestehen des Rechts auf Beschwerde (Art. 77 DSGVO), – gegebenenfalls Informationen über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 Abs. 1 und 4 DSGVO sowie – gegebenenfalls die über eine allfällige Weiterverarbeitung erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO veröffentlicht werden, gilt die vorliegende Datenschutz- Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Information der betroffenen Siehe oben: Bewertung / Information der betroffenen Personen bei Personen, wenn die Daten Erhebung. nicht bei ihnen erhoben werden: (Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO) Auskunftsrecht der Unter der Voraussetzung, dass die wissenschaftlichen Einrichtungen betroffenen Personen: gemäß § 2c Abs. 1 FOG sowie von wissenschaftlichen Einrichtungen, (Art-29-Datenschutzgruppe, WP 248, 21 iVm die über eine gültige Bestätigung gemäß § 2c Abs. 2 FOG verfügen, ihre Art. 15 DSGVO) Prozesse so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO. Recht auf Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Datenübertragbarkeit: Buchstabe a DSGVO nicht zu, weil die Verarbeitung (Art. 20 DSGVO) – weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a oder Art. 9 Abs. 2 Buchstabe a DSGVO) – noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b DSGVO) erfolgt. Auftragsverarbeiterinnen und Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Auftragsverarbeiter: Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz (Art. 28 DSGVO) kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen. BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 6 von 10 Schutzmaßnahmen bei der Eine Übermittlung in Drittländer wäre nach § 38a FOG grundsätzlich Übermittlung in Drittländer: zulässig, allerdings nur an die in § 2j FOG genannten Empfängerinnen (Kapitel V DSGVO) und Empfänger, d.h.: – wissenschaftliche Einrichtungen (§ 2b Z 12), – Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1), – Gutachterinnen und Gutachter oder – österreichische öffentliche Stellen (§ 2b Z 8). Vorherige Konsultation: Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil der (Art. 36 und EG 96 DSGVO) vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz- Grundverordnung sicherzustellen. RISIKEN Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt: Physische, materielle oder Diese Risiken sind bei der Verarbeitung im Rahmen von § 2k Abs. 3 immaterielle Schäden: FOG minimal, weil die wissenschaftlichen Einrichtungen gemäß § 2c (EG 90 iVm 85 DSGVO) Abs. 1 FOG sowie die wissenschaftlichen Einrichtungen, die über eine gültige Bestätigung gemäß § 2c Abs. 2 FOG verfügen, im Zuge der Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Die Datensicherheitsmaßnahmen werden in Art. 32 DSGVO konkretisiert und sind von den wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) einzuhalten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken von physischen, materiellen oder immateriellen Schäden ebenfalls ein. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko physischer, materieller oder immaterieller Schäden wesentlich gesenkt. Verlust der Kontrolle über Diesem Risiko wird durch die Einhaltung der (anwendbaren) Rechte der personenbezogene Daten: betroffenen Person gemäß Kapitel III der Datenschutz- (EG 90 iVm 85 DSGVO) Grundverordnung, das sind: – Transparente Information, Kommunikation und Modalitäten für die Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 DSGVO), BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 7 von 10 – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) Rechnung getragen. Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den wissenschaftlichen Einrichtungen gemäß § 2c Abs. 1 FOG sowie von wissenschaftlichen Einrichtungen, die über eine gültige Bestätigung gemäß § 2c Abs. 2 FOG verfügen, einzuhalten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Die Konsequenzen, die bei einem Verstoß drohen, dämmen die Risiken eines Verlustes der Kontrolle über personenbezogene Daten effektiv ein. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Verlusts der Kontrolle über personenbezogene Daten zudem wesentlich gesenkt. Diskriminierung: Dieses Risiko bei der Verarbeitung im Rahmen der Identifikation von (EG 90 iVm 85 DSGVO) Arbeitnehmerinnen und Arbeitnehmern gemäß § 2k Abs. 3 FOG ist minimal, insbesondere weil die wissenschaftlichen Einrichtungen gemäß § 2c Abs. 1 FOG sowie von wissenschaftlichen Einrichtungen, die über eine gültige Bestätigung gemäß § 2c Abs. 2 FOG verfügen, im Zuge der Verarbeitung dafür zu sorgen, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO). Damit wird die Wahrscheinlichkeit der Diskriminierung aufgrund der unzulässigen Verarbeitung personenbezogener Daten effektiv gemindert. Insbesondere durch das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und das ausdrückliche Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko der Diskriminierung darüber hinaus erheblich gesenkt. Identitätsdiebstahl oder - Dieses Risiko wird insbesondere durch die unionsrechtliche betrug: Sanktionierung (siehe oben: Risiken / Physische, materielle oder (EG 90 iVm 85 DSGVO) immaterielle Schäden) effektiv gemindert. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere die lückenlose Protokollierung gemäß § 2d Abs. 1 Z 1 FOG, das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG und die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG wird das Risiko des Identitätsdiebstahls oder -betruges darüber hinaus wesentlich gesenkt. Finanzielle Verluste: Dieses Risiko wird insbesondere durch die unionsrechtliche (EG 90 iVm 85 DSGVO) Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert. Unabhängig davon wird das Risiko finanzieller Verluste durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG zusätzlich wesentlich gesenkt. Insbesondere durch das Recht zum Einsatz von bereichsspezifischen Personenkennzeichen (§ 2d Abs. 2 FOG), die besonderen angemessenen Maßnahmen iZm Einsatz von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 5 FOG sowie das Verbot der Veröffentlichung von bereichsspezifischen Personenkennzeichen gemäß § 2d Abs. 1 Z 6 FOG BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 8 von 10 wird das Risiko der unbefugten Aufhebung der Pseudonymisierung darüber hinaus wesentlich reduziert. Unbefugte Aufhebung der Dieses Risiko wird wie folgt minimiert: Pseudonymisierung: – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, (EG 90 iVm 85 DSGVO) materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen die unbefugte Aufhebung der Pseudonymisierung, bieten. Rufschädigung: Dieses Risiko wird wie folgt minimiert: (EG 90 iVm 85 DSGVO) – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen Rufschädigung, bieten. Verlust der Vertraulichkeit Dieses Risiko wird wie folgt minimiert: bei Berufsgeheimnissen: – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, (EG 90 iVm 85 DSGVO) materielle oder immaterielle Schäden); – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen den Verlust der Vertraulichkeit bei Berufsgeheimnissen, bieten. Erhebliche wirtschaftliche Dieses Risiko wird wie folgt minimiert: oder gesellschaftliche – unionsrechtliche Sanktionierung (siehe oben: Risiken / Physische, Nachteile: materielle oder immaterielle Schäden); (EG 90 iVm 85 DSGVO) – Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG), die – anders als die Sozialversicherungsnummer – nur in Teilbereichen des täglichen Lebens gelten und somit einen wesentlich höheren Schutz, insbesondere gegen den Verlust der Vertraulichkeit bei Berufsgeheimnissen, bieten. Durch den vorliegenden Entwurf wird zudem auch der Datenschutz hinsichtlich der in der Tierversuchskommission des Bundes durchgeführten Beratungen (vgl. Änderung zu § 35 Abs. 4 TVG 2012) verbessert. Durch die in § 2d Abs. 1 FOG vorgeschlagenen angemessenen Maßnahmen, insbesondere das Datengeheimnis gemäß § 2d Abs. 1 Z 2 FOG, die strenge Zweckbindung gemäß § 2d Abs. 1 Z 3 FOG und vor allem das Diskriminierungsverbot gemäß § 2d Abs. 1 Z 4 FOG wird das Risiko erheblicher wirtschaftlicher oder gesellschaftlicher Nachteile zudem wesentlich gesenkt. ABHILFEMASSNAHMEN Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt: Minimierung der Eine Minimierung der Verarbeitung personenbezogener Daten ist Verarbeitung insoweit vorgesehen, als die Datenverarbeitung nur unter der personenbezogener Daten: Voraussetzung der Ausstattung der Daten mit bPK erfolgen darf. (EG 78 DSGVO) Mit der angemessenen Maßnahme gemäß § 2d Abs. 1 Z 3 FOG erfolgt BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 9 von 10 schließlich eine Beschränkung der zulässigen Verarbeitung ausschließlich auf Zwecke des Forschungsorganisationsgesetzes. Schnellstmögliche Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Pseudonymisierung Voraussetzung für die Zulässigkeit der Verarbeitungen gemäß § 2k personenbezogener Daten: Abs. 3 FOG. Die Ausstattung mit bereichsspezifischen (EG 28 und 78 DSGVO) Personenkennzeichen gemäß § 2k Abs. 3 FOG ist Voraussetzung für die Pseudonymisierung mittels bereichsspezifischer Personenkennzeichen gemäß § 2k Abs. 3 FOG. Die Verwendung bereichsspezifischer Personenkennzeichen stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine Verarbeitung gemäß Art. 9 Abs. 2 Buchstabe j DSGVO. Durch die Formulierung etwa in § 2d Abs. 2 Z 3 FOG, dass „Namensangaben durch bereichsspezifische Personenkennzeichen zu ersetzen sind“ soll eine praxisnahe Regelung getroffen werden, indem die gesetzliche Vermutung aufgestellt wird, dass dieser Austausch von Namen durch bereichsspezifische Personenkennzeichen einer Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO entspricht. Die Normadressatinnen und -adressaten brauchen sich aufgrund dieser Formulierung keine Gedanken machen, ob nun eine tatsächliche Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO eingetreten ist oder nicht, sondern bloß die Namen durch bereichsspezifische Personenkennzeichen austauschen, womit die Rechtssicherheit wesentlich erhöht wird. Diese Vorgangsweise ist auch durch das Unionsrecht gedeckt, weil Art. 89 Abs. 1 DSGVO die Pseudonymisierung als bloß eine unter mehreren möglichen geeigneten Garantien anführt. Außerdem sollten gemäß EG 26 DSGVO „[b]ei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, […] alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind“. Nach heutigem Stand der Technik ist davon auszugehen, dass der Austausch der Namen durch bereichsspezifische Personenkennzeichen einer Pseudonymisierung iSd Art. 4 Nr. 5 DSGVO entspricht. Dies umso mehr als, die „zusätzliche[n] Informationen, mit denen die personenbezogenen Daten einer speziellen betroffenen Person zugeordnet werden können“ (EG 29 DSGVO) nur der Stammzahlenregisterbehörde bekannt und somit dem Zugriff des oder der Verantwortlichen entzogen sind. Transparenz in Bezug auf die Durch die Publikation des § 2k Abs. 3 FOG als Bundesgesetz im Funktionen und die Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Verarbeitung Gesetzgebungsprozesses können die Hintergründe für die zulässige personenbezogener Daten: Verarbeitung personenbezogener Daten im Rahmen der Identifikation (EG 78 DSGVO) von Arbeitnehmerinnen und Arbeitnehmern von der Öffentlichkeit kostenlos nachvollzogen werden. Überwachung der Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß Verarbeitung Kapitel III der Datenschutz-Grundverordnung, das sind: personenbezogener Daten – Transparente Information, Kommunikation und Modalitäten für die durch die betroffenen Ausübung der Rechte der betroffenen Person (Art. 12 DSGVO), Personen: (EG 78 DSGVO) – Informationspflicht bei Erhebung von personenbezogenen Daten bei der betroffenen Person (Art. 13 DSGVO), – Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden (Art. 14 DSGVO), – Auskunftsrecht der betroffenen Person (Art. 15 DSGVO), – Recht auf Berichtigung (Art. 16 DSGVO), – Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17 BGBl. I - Ausgegeben am 16. Mai 2018 - Nr. 31 10 von 10 DSGVO), – Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie – Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder der Einschränkung der Verarbeitung (Art. 19 DSGVO) die Möglichkeit, die Verarbeitung ihrer Daten durch wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) zu überwachen. Datensicherheitsmaßnahmen: Die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO sind auch von (EG 78 und 83 DSGVO) den wissenschaftlichen Einrichtungen (§ 2b Z 12 FOG) zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen. BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören: Stellungnahme der Es ist keine Stellungnahme der Datenschutzbehörde im Rahmen des Datenschutzbehörde: Begutachtungsverfahrens ergangen. (Art. 36 Abs. 4 DSGVO) Stellungnahme des Es ist keine Stellungnahme des Datenschutzbeauftragten der erlassenden Datenschutzbeauftragten der Stelle im Rahmen des Begutachtungsverfahrens ergangen. erlassenden Stelle: (Art. 35 Abs. 2 DSGVO) Stellungnahme betroffener Es ist keine Stellungnahme betroffener Personen im Rahmen des Personen: Begutachtungsverfahrens ergangen. (Art. 35 Abs. 9 DSGVO) Unterzeichner serialNumber=1026761,CN=Bundeskanzleramt,C=AT Datum/Zeit 2018-05-16T16:43:12+02:00 Informationen zur Prüfung des elektronischen Siegels bzw. der elektronischen Prüfinformation Signatur finden Sie unter: https://www.signaturpruefung.gv.at Informationen zur Prüfung des Ausdrucks finden Sie unter: https://www.bka.gv.at/verifizierung Hinweis Dieses Dokument wurde amtssigniert.