SYSTEMATISCHE BESCHREIBUNG

der geplanten Verarbeitungsvorgänge, Zwecke sowie berechtigten Interessen

Die Beschreibung hat nach EG 90 sowie Art. 35 Abs. 7 Buchstabe a und Abs. 8 DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) zu enthalten:

Art der Verarbeitung:

^{(EG 90 DSGVO)}

§ 10 Abs. 1 Z 3 des Forschungsorganisationsgesetzes (FOG), BGBl. Nr. 341/1981, ermächtigt Abwicklungsstellen (§ 2 Z 1 FOG) bestimmt Daten von Fördernehmerinnen und -nehmern zu speichern und gegebenenfalls zu verarbeiten, sofern dies zum Zweck der Kontaktaufnahme erfolgt.

Umfang der Verarbeitung:

^{(EG 90 DSGVO)}

Abwicklungsstellen (§ 2 Z 1 FOG) dürfen, aufgrund der Ermächtigung in § 10 Abs. 1 Z 3 FOG, folgende Daten der Förderungsnehmerinnen und -nehmer für Zwecke der Kontaktaufnahme verarbeiten:

– Vorname(n), Familienname bzw. Bezeichnung, Geburtsname,

   akademischer Grad, Titel, Ansprache (§ 10 Abs. 1 Z 3 lit. a iVm

   § 10 Abs. 2 Z 1 FOG),

– Geburtsdatum, Geburtsort, Geschlecht, Staatsangehörigkeit

   (§ 10 Abs. 1 Z 3 lit. b iVm § 10 Abs. 2 Z 2 FOG),

– Adressdaten, Angaben zu elektronischen Erreichbarkeit (§ 10

   Abs. 1 Z 3 lit. c iVm § 10 Abs. 2 Z 5 FOG),

– die Angaben gemäß § 10 Abs. 1 Z 3 lit. a bis c FOG zu allfälligen

   Projektpartnerinnen und -partnern,

– Angaben zur Ausbildung gemäß § 10 Abs. 1 Z 3 lit. e iVm § 10

   Abs. 2 Z 7 FOG und

– Angaben zu erhaltenen Förderungen (§ 2 Z 6 FOG) und Mobilitäten

   gemäß § 10a Abs. 4 des OeAD-Gesetzes.

Kontext der Verarbeitung:

^{(Art-29-Datenschutzgruppe, WP 248, 21)}

Mit der vorgeschlagenen Regelung, soll es Abwicklungsstellen ermöglicht werden, allfällige Nachfolgeprogramme durchzuführen. Um den Erfolg von Nachfolgeprogrammen zu garantieren, ist es notwendig, dass Daten von Alumnis vorhanden sind. Deswegen wird mit dem vorgeschlagenen § 10 Abs. 1 Z 3 FOG eine Regelung geschaffen, die Verarbeitungen zulässt, um ehemalige Stipendienempfängerinnen und -empfänger in Evidenz zu halten.

§ 10 Abs. 1 FOG geht über § 15 FOG hinaus, weil § 15 FOG nur die „Vergabe von Förderungen aus Bundesmitteln“ betrifft. Während § 10 Abs. 1 FOG iVm § 2 Z 6 lit. b FOG auch die Förderung durch Private umfasst. Im Verhältnis zu § 16 FOG hat § 10 Abs. 1 FOG einen weiteren Anwendungsbereich, denn § 16 FOG stellt auf „Vereinbarungen des Bundes mit vom Bund verschiedene Rechtsträgern“ ab, während § 10 Abs. 1 Z 1 FOG anwendbar ist, unabhängig davon, von wem der Auftrag gegeben wurde.

Die Förderung der Entwicklung und Erschließung der Künste beruht auf der Öffnungsklausel des Art. 85 DSGVO. Im Besonderen auf den 2. Absatz, der wie folgt lautet:

„Für die Verarbeitung, die zu journalistischen Zwecken oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken erfolgt, sehen die Mitgliedstaaten Abweichungen oder Ausnahmen von Kapitel II (Grundsätze), Kapitel III (Rechte der betroffenen Person), Kapitel IV (Verantwortlicher und Auftragsverarbeiter), Kapitel V (Übermittlung personenbezogener Daten an Drittländer oder an internationale Organisationen), Kapitel VI (Unabhängige Aufsichtsbehörden), Kapitel VII (Zusammenarbeit und Kohärenz) und Kapitel IX (Vorschriften für besondere Verarbeitungssituationen) vor, wenn dies erforderlich ist, um das Recht auf Schutz der personenbezogenen Daten mit der Freiheit der Meinungsäußerung und der Informationsfreiheit in Einklang zu bringen.“

Diese Regelung steht im Zusammenhang mit dem Erwägungsgrund 153 der DSGVO. Demnach sollten „[d]ie Mitgliedstaaten […] Gesetzgebungsmaßnahmen zur Regelung der Abweichungen und Ausnahmen erlassen, die zum Zwecke der Abwägung zwischen diesen Grundrechten [Anm.: auf Datenschutz und Freiheit der Meinungsäußerung bzw. Informationsfreiheit] notwendig sind“.

Da für die meisten Förderungsnehmerinnen und -nehmer gemäß § 24 Abs. 2 Z 4 ARR 2014 eine Aufbewahrungs- und Auskunftspflicht für die Dauer von 10 Jahren gegeben ist, sind die Angaben jedenfalls bis zu diesem Datum aufzubewahren.

Zweck der Verarbeitung:

^{(Art. 35 Abs. 7 Buchstabe a DSGVO)}

Die Zwecke der Verarbeitung – die Kontaktaufnahme –  wird in § 10 Abs. 1 Z 3 FOG festgelegt.

Die Kontaktaufnahme hat gemäß § 10 Abs. 10 FOG Folgendes zum Ziel:

– Förderung der Entwicklung und Erschließung der Künste,

– Förderung von Zwecken gemäß Art. 89 DSGVO und

– Geltendmachung, Ausübung und Verteidigung von

   Rechtsansprüchen.

Empfängerinnen und Empfänger:

^{(Art-29-Datenschutzgruppe, WP 248, 21)}

Die Empfängerinnen und Empfänger der Daten sind die Abwicklungsstellen (§ 2 Z 1 FOG).

Speicherdauer:

^{(Art-29-Datenschutzgruppe, WP 248, 21)}

Nach der allgemeinen Regel des § 5 Abs. 6 dürfen personenbezogene Daten für Zwecke des 2. Abschnitts zeitlich unbeschränkt gespeichert und gegebenenfalls verarbeitet werden. § 10 Abs. 1 Z 3 FOG geht von dieser allgemeinen Regel ab und lässt eine Speicherung von jedenfalls zehn Jahren zu.

Funktionelle Beschreibung der Verarbeitung:

^{(Art. 35 Abs. 7 Buchstabe a DSGVO)}

Die Speicherung und die Verarbeitung von bestimmten Daten der Förderungsnehmerinnen und -nehmern wird zugelassen, um eine Kontaktaufnahme zu ermöglichen.

Beschreibung der Anlagen (Hard- und Software bzw. sonstige Infrastruktur):

^{(Art-29-Datenschutzgruppe, WP 248, 21)}

Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz kommende Infrastruktur typischerweise nicht gesetzlich geregelt ist, ist an dieser Stelle ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 25 und 32 DSGVO als ausreichend anzusehen.

Eingehaltene, gemäß Art. 40 DSGVO genehmigte Verhaltensregeln:

^{(Art-29-Datenschutzgruppe, WP 248, 21)}

BEWERTUNG

der Notwendigkeit und Verhältnismäßigkeit

Die Bewertung hat nach EGen 90 und 96, Art. 35 Abs. 7 Buchstaben b und d DSGVO sowie den Guidelines on Data Protection Impact Assessment (DPIA) and determining whether processing is “likely to result in a high risk” for the purposes of Regulation 2016/679 der Artikel-29-Datenschutzgruppe (WP 248) auf Maßnahmen

– betreffend Notwendigkeit und Verhältnismäßigkeit (Art. 5 und 6 DSGVO) sowie

– zur Stärkung der Rechte der betroffenen Personen (Art. 12 bis 21, 28, 36 und Kapitel V DSGVO)

abzustellen.

Festgelegter Zweck:

^{(Art. 5 Abs. 1 Buchstabe b DSGVO)}

Der Zweck der Verarbeitung wird in § 10 Abs. 1 Z 3 FOG festgelegt. Er besteht darin, dass die vorgeschlagene Regelung eine Kontaktaufnahme zu Förderungsnehmerinnen und -nehmern ermöglicht. Dies erfolgt insbesondere zur Förderung von Zwecken gemäß Art. 89 DSGVO (vgl. § 10 Abs. 1 FOG).

Eindeutiger Zweck:

^{(Art. 5 Abs. 1 Buchstabe b DSGVO)}

Die Angabe des Zwecks in § 10 Abs. 1 Z 3 FOG ist eindeutig: Die angeführten Daten dürfen nur verarbeitet werden, soweit dies zur Kontaktaufnahme erforderlich ist.

Legitimer Zweck:

^{(Art. 5 Abs. 1 Buchstabe b DSGVO)}

Der in § 10 Abs. 1 Z 3 FOG angegebene Zweck ist legitim, weil er

– einerseits von den Öffnungsklauseln des Art. 6 Abs. 1 Buchstabe e

   („öffentliches Interesse“) und Art. 9 Abs. 2 Buchstabe j

   („Zwecke gemäß Art. 89 DSGVO“) DSGVO umfasst ist und

– andererseits in § 10 Abs. 1 Z 3 FOG vorgesehen ist.

Die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung zeigt sich bereits auf allerhöchster, rechtlicher Ebene, nämlich im Primärrecht: Gemäß Art. 3 Abs. 3 EUV hat die Europäische Union den wissenschaftlichen und technischen Fortschritt zu fördern. Gemäß Art. 114 Abs. 3 AEUV hat die Kommission bei ihren Vorschlägen im Rahmen der Binnenmarktkompetenz auf wissenschaftliche Ergebnisse gestützte neue Entwicklungen zu berücksichtigen. Gemäß Art. 168 Abs. 1 AEUV ist die Erforschung weit verbreiteter, schwerer Krankheiten zu fördern. Mit Titel XIX ist schließlich ein gesamter Titel des AEUV der Forschung gewidmet.

Hinsichtlich der besonderen Berücksichtigung von Wissenschaft und Forschung wird auf Punkt I des Allgemeinen Teils der Erläuterungen zum vorliegenden Entwurf verwiesen.

Auch auf nationaler Ebene ist die Wichtigkeit des öffentlichen Interesses an Wissenschaft und Forschung in der Judikatur des Verfassungsgerichtshofes fest verankert (vgl. zuletzt: VfGH vom 14.03.2017, G 164/2016). Verstöße gegen faktenbasiertes Vorgehen können sogar zur Aufhebung genereller Bestimmungen vor dem VfGH führen (VfSlg. 17.161/2004; 11.972/1989; 11.918/1988; 11.757/1988; 11.756/1988).

Rechtmäßigkeit der Verarbeitung:

^{(Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 6 DSGVO)}

Die Rechtmäßigkeit der Verarbeitung ergibt sich aus Art. 6 Abs. 1 Buchstabe e iVm Abs. 3 sowie Art. 9 Abs. 2 Buchstabe j DSGVO, wonach die Verarbeitung aufgrund eines öffentlichen Interesses erfolgt. Hinsichtlich dieses wichtigen öffentlichen Interesses darf auf die Ausführungen oben zu Bewertung / Legitimer Zweck verwiesen werden.

Angemessenheit der Verarbeitung:

^{(Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO)}

Die Angemessenheit der Verarbeitung ergibt sich unter anderem dadurch, dass die Datenarten, die verarbeitet werden dürfen eingeschränkt werden – es darf an dieser Stelle auf die Ausführungen zu Umfang der Verarbeitung verwiesen werden. Es werden nur jene Daten verarbeiten, die für den Zweck der Kontaktaufnahme notwendig sind. Eine Speicherung bzw. Verarbeitung erfolgt nur durch die Abwicklungsstellen (§ 2 Z 1 FOG). Die Verarbeitung erfolgt daher in angemessener Art und Weise.

Erheblichkeit der Verarbeitung:

^{(Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO)}

Durch die zugelassene Verarbeitung soll die Wissenschaft und die Forschung dadurch gefördert werden, dass Nachfolgeprogramme erfolgreicher werden. Die Erheblichkeit der Verarbeitung lässt sich unter anderen anhand des EU-Austauschprogramms „Erasmus“ zeigen. Die Wirkung dieses Programmes wurde von der Europäischen Kommission im Rahmen einer Studie erhoben (The Erasmus Impact Study: http://ec.europa.eu/dgs/education_culture/repository

/education/library/study/2014/erasmus-impact_en.pdf [28.01.2018]). Die Studie wurde basierend auf fast 80.000 Rückmeldungen, u. a. von Studierenden und Unternehmen, erstellt und zeigt, dass Hochschulabgängerinnen und -abgänger mit internationaler Erfahrung wesentlich leichter am Arbeitsmarkt Fuß fassen können. Die Gefahr der Arbeitslosigkeit trifft Erasmus-Absolventinnen und -Absolventen nur halb so oft, wie Absolventinnen und Absolventen, die an keinem Austauschprogramm teilgenommen haben. Fünf Jahre nach dem Abschluss haben 61 Prozent der Erasmus-Alumni eine Managementposition, während es bei jenen, die nicht an Erasmus teilgenommen haben, nur 53 Prozent sind. Damit haben Mobilitäts-Teilnehmer eine um 15 Prozent höhere Chance, nach 5 Jahren einen Management-Posten inne zu haben. Es zeigt sich, dass eine Teilnahme am Mobilitätsprogramm nicht nur eine Verbesserung der Arbeitsmarktchancen mit sich bringt, sondern auch die Chancen auf eine höhere Position erhöht. Um Programme auch auf nationaler Ebene evaluieren und verbessern zu können, wird eine Rechtsgrundlage dafür geschaffen, um die erforderlichen Daten speichern und gegebenenfalls verarbeiten zu dürfen.

Beschränktheit der Verarbeitung auf das notwendige Maß:

^{(Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe c DSGVO)}

Die Verarbeitung ist auf das erforderliche Maß beschränkt, weil die bereitgestellten Daten, Dritten (Art. 4 Nr. 10 DSGVO) keinesfalls direkt personenbezogen zur Kenntnis gebracht werden dürfen (§ 10 Abs. 1 Z 3 FOG).

Speicherbegrenzung:

^{(Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 5 Abs. 1 Buchstabe e DSGVO)}

Gemäß § 5 Abs. 6 FOG ist die Speicherdauer grundsätzlich unbeschränkt. Jedoch wird in § 10 Abs. 1 Z 3 FOG eine speziellere Regelung getroffen. Demnach ist die Speicherdauer jedenfalls für zehn Jahre zulässig.

Generelle Information der betroffenen Personen:

^{(Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 12 DSGVO)}

Nach Ansicht der Art-29-Datenschutzgruppe (WP 248, 21) hat eine Datenschutz-Folgenabschätzung auch die transparente Information gemäß Art. 12 DSGVO zu behandeln. Die Informationen gemäß Art. 13 und 14 DSGVO werden in den folgenden beiden Zeilen behandelt, sodass die Mittelungen gemäß Artikel 15 bis 22 und 34 DSGVO verbleiben. Diese sind:

– die Mitteilung gemäß Art. 15 Abs. 2 DSGVO über die geeigneten

   Garantien bei Übermittlung in Drittländer oder an internationale

   Organisationen;

– gegebenenfalls die Mitteilung an die betroffene Person, dass eine

   Einschränkung aufgehoben wird (Art. 18 Abs. 3 DSGVO);

– gegebenenfalls die Information von Empfängerinnen und

   Empfängern gemäß Art. 19 DSGVO, dass eine betroffene Person

   die Berechtigung oder Löschung von personenbezogenen Daten

   oder eine Einschränkung der Verarbeitung verlangt, es sei denn,

   dies erweist sich als unmöglich oder ist mit einem

   unverhältnismäßigen Aufwand verbunden;

– die Information der betroffenen Personen über die

   Empfängerinnen und Empfänger ihrer personenbezogenen Daten,

   auf Verlangen der betroffenen Personen (Art. 19 DSGVO);

– der Hinweis, dass ein Widerspruchsrecht gemäß Art. 21 DSGVO

   nur im Rahmen des § 5 Abs. 6 FOG besteht;

– gegebenenfalls die Benachrichtigung über Verletzungen des

   Schutzes personenbezogener Daten gemäß Art. 34 Abs. 1

   DSGVO.

Unter der Voraussetzung, dass die Abwicklungsstellen (§ 2 Z 1 FOG) ihre Prozesse so angepasst haben, dass die genannten Mitteilungen tatsächlich erfolgen, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.

Information der betroffenen Personen bei Erhebung:

^{(Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 13 DSGVO)}

Die gemäß Art. 13 DSGVO erforderlichen Informationen werden wie folgt erbracht:

– die Zwecke, für die die personenbezogenen Daten verarbeitet

   werden sollen: durch Publikation des § 10 Abs. 1 Z 3 iVm § 5

   Abs. 6 FOG als Bundesgesetz im Bundesgesetzblatt;

– die Rechtsgrundlage für die Verarbeitung: durch Publikation des

   vorliegenden Entwurfes als Bundesgesetz im Bundesgesetzblatt;

– die Empfänger oder Kategorien von Empfängern: durch

   Publikation des vorliegenden Entwurfes als Bundesgesetz im

   Bundesgesetzblatt;

– die Dauer, für die die personenbezogenen Daten gespeichert

   werden: durch Publikation des § 10 Abs. 1 Z 3 FOG

   als Bundesgesetz im Bundesgesetzblatt

und müssen daher gemäß Art. 13 Abs. 4 DSGVO nicht mehr gesondert bei Erhebung bei den betroffenen Personen zur Verfügung gestellt werden.

Unter der Voraussetzung, dass

– Name und Kontaktdaten der oder des Verantwortlichen,

– die Kontaktdaten ihres Datenschutzbeauftragten,

– gegebenenfalls die Absicht die personenbezogenen Daten an ein

   Drittland oder eine internationale Organisation zu übermitteln sowie

   das Vorhandensein oder das Fehlen eines Angemessenheits-

   beschlusses der Kommission,

– ein Hinweis auf das allfällige Bestehen anderer / restlicher Rechte

   der betroffenen Personen,

– ein Hinweis auf das Bestehen des Rechts auf Beschwerde (Art. 77

   DSGVO),

– gegebenenfalls Informationen über das Bestehen einer

   automatisierten Entscheidungsfindung einschließlich Profiling

   gemäß Art. 22 Abs. 1 und 4 DSGVO sowie

– gegebenenfalls die über eine allfällige Weiterverarbeitung

   erforderlichen Informationen gemäß Art. 13 Abs. 3 DSGVO

veröffentlicht werden, gilt die vorliegende Datenschutz-Folgenabschätzung hinsichtlich der Information gemäß Art. 13 DSGVO als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.

Information der betroffenen Personen, wenn die Daten nicht bei ihnen erhoben werden:

^{(Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 14 DSGVO)}

Siehe oben: Bewertung / Information der betroffenen Personen bei Erhebung.

Auskunftsrecht der betroffenen Personen:

^{(Art-29-Datenschutzgruppe, WP 248, 21 iVm Art. 15 DSGVO)}

Unter der Voraussetzung, dass die Abwicklungsstellen (§ 2 Z 1 FOG) ihre Prozesse so anpassen, dass das Auskunftsrecht der betroffenen Personen gemäß Art. 15 DSGVO tatsächlich wahrgenommen werden kann, gilt die vorliegende Datenschutz-Folgenabschätzung als erfüllt im Sinne des Art. 35 Abs. 10 DSGVO.

Recht auf Datenübertragbarkeit:

^{(Art. 20 DSGVO)}

Das Recht auf Datenübertragbarkeit steht gemäß Art. 20 Abs. 1 Buchstabe a DSGVO nicht zu, weil die Verarbeitung

– weder aufgrund einer Einwilligung (Art. 6 Abs. 1 Buchstabe a

   oder Art. 9 Abs. 2 Buchstabe a DSGVO)

– noch aufgrund eines Vertrags (Art. 6 Abs. 1 Buchstabe b

   DSGVO)

erfolgt.

Auftragsverarbeiterinnen und Auftragsverarbeiter:

^{(Art. 28 DSGVO)}

Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt und die konkret zum Einsatz kommenden Auftragsverarbeiterinnen und -verarbeiter typischerweise nicht gesetzlich geregelt sind, ist ein Verweis auf die Einhaltung der Art. 28 f DSGVO als ausreichend anzusehen.

Schutzmaßnahmen bei der Übermittlung in Drittländer:

^{(Kapitel V DSGVO)}

Eine Übermittlung in Drittländer wäre nach § 13 FOG grundsätzlich zulässig, allerdings nur an die in § 13 FOG genannten Empfängerinnen und Empfänger, d.h.:

– wissenschaftliche Einrichtungen (§ 2 Z 14 FOG),

– Abwicklungsstellen (§ 2 Z 1 FOG),

– Gutachterinnen und Gutachter oder

– österreichische öffentliche Stellen (§ 2 Z 8 FOG).

Vorherige Konsultation:

^{(Art. 36 und EG 96 DSGVO)}

Eine vorherige Konsultation im Einzelfall ist nicht erforderlich, weil der vorliegende Entwurf gemäß Art. 36 Abs. 4 DSGVO durch Publikation auf der Website des Parlaments und Einbindung bzw. Konsultation (EG 96 DSGVO) der Datenschutzbehörde im Begutachtungsverfahren aktiv an der Gestaltung des vorliegenden Entwurfes mitwirken kann, um die Vereinbarkeit der geplanten Verarbeitungen mit der Datenschutz-Grundverordnung sicherzustellen.

RISIKEN

Die Risiken sind nach ihrer Ursache, Art, Besonderheit, Schwere und Eintrittswahrscheinlichkeit zu bewerten (Erwägungsgründe 76, 77, 84 und 90 DSGVO). Als Risiken werden in den Erwägungsgründen 75 und 85 DSGVO unter anderem genannt:

Physische, materielle oder immaterielle Schäden:

^{(EG 90 iVm 85 DSGVO)}

Diese Risiken sind bei Verarbeitungen im Rahmen des § 10 Abs. 1 Z 3 FOG vorhanden, aber eingeschränkt, insbesondere weil Art. 25 DSGVO verordnet, dass „auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen“ getroffen werden müssen, um „die Rechte der betroffenen Personen zu schützen“. Zusätzlich ist Art. 32 DSGVO anwendbar, dem zu Folge müssen „der Verantwortliche und der Auftragsverarbeiter […] ein dem Risiko angemessenes Schutzniveau“ gewährleisten. Die Nichteinhaltung ist mit 10 Millionen Euro sanktioniert (Art. 83 Abs. 4 Buchstabe a DSGVO) – sofern keine Strafbefreiung vorgesehen ist.

Für Abwicklungsstellen, die öffentliche Stellen sind, sind die unionsrechtlichen Strafen gemäß § 30 Abs. 5 DSG bzw. § 14 Abs. 2 Z 3 FOG ausgeschlossen. In diesem Fall können die Bestimmungen des 22. Abschnitts des Strafgesetzbuchs, BGBl. Nr. 60/1974, über die strafbaren Verletzungen der Amtspflicht, Korruption und verwandte strafbare Handlungen einschlägig sein.

Zusammengefasst sind die Konsequenzen, die bei einem Verstoß drohen, jedenfalls geeignet die Risiken von physischen, materiellen oder immateriellen Schäden wirkungsvoll einzudämmen.

Verlust der Kontrolle über personenbezogene Daten:

^{(EG 90 iVm 85 DSGVO)}

Diesem Risiko wird durch die Einhaltung der (anwendbaren) Rechte der betroffenen Person gemäß Kapitel III der Datenschutz-Grundverordnung, das sind:

– Transparente Information, Kommunikation und Modalitäten für

   die Ausübung der Rechte der betroffenen Person (Art. 12

   DSGVO),

– Informationspflicht bei Erhebung von personenbezogenen Daten

   bei der betroffenen Person (Art. 13 DSGVO),

– Informationspflicht, wenn die personenbezogenen Daten nicht bei

   der betroffenen Person erhoben wurden (Art. 14 DSGVO),

– Auskunftsrecht der betroffenen Person (Art. 15 DSGVO),

– Recht auf Berichtigung (Art. 16 DSGVO),

– Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17

   DSGVO),

– Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

   sowie

– Mitteilungspflicht im Zusammenhang mit der Berichtigung oder

   Löschung personenbezogener Daten oder der Einschränkung der

   Verarbeitung (Art. 19 DSGVO)

Rechnung getragen.

Außerdem sind die Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO von den Abwicklungsstellen einzuhalten. Damit wird die Wahrscheinlichkeit eines Verlustes der Kontrolle über personenbezogene Daten effektiv gemindert.

Diskriminierung:

^{(EG 90 iVm 85 DSGVO)}

Dieses Risiko bei der Verarbeitung gemäß § 10 Abs. 1 Z 3 FOG ist minimal, insbesondere weil die Verantwortlichen im Zuge der Verarbeitung dafür zu sorgen haben, dass „geeignete technische und organisatorische Maßnahmen“ (Art. 25 DSGVO) getroffen werden, um die gegebenen Risiken zu minimieren. Auch müssen die Abwicklungsstellen die in Art. 32 DSGVO konkretisierten Datensicherheitsmaßnahmen einhalten, da sonst mit Geldstrafen bis 10 Millionen Euro zu rechnen ist (Art. 83 Abs. 4 Buchstabe a DSGVO). Damit wird die Wahrscheinlichkeit der Diskriminierung aufgrund der unzulässigen Verarbeitung personenbezogener Daten effektiv gemindert.

Identitätsdiebstahl oder -betrug:

^{(EG 90 iVm 85 DSGVO)}

Dieses Risiko wird insbesondere durch die unions- (sofern keine Strafbefreiung einschlägig ist) und strafrechtliche Sanktionierung (siehe oben: Risiken / Physische, materielle oder immaterielle Schäden) effektiv gemindert.

Finanzielle Verluste:

^{(EG 90 iVm 85 DSGVO)}

Dieses Risiko wird insbesondere durch die unions- (sofern keine Strafbefreiung einschlägig ist) und strafrechtliche Sanktionierung (siehe oben: Physische, materielle oder immaterielle Schäden) effektiv gemindert. Außerdem werden keine Finanzdaten verarbeitet, womit die Wahrscheinlichkeit für den Eintritt dieses Risikos sehr gering ist.

Unbefugte Aufhebung der Pseudonymisierung:

^{(EG 90 iVm 85 DSGVO)}

Dieses Risiko wird wie folgt minimiert:

– unions- (sofern keine Strafbefreiung einschlägig ist) und

   strafrechtliche Sanktionierung (siehe oben: Risiken / Physische,

   materielle oder immaterielle Schäden);

– Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG),

   die – anders als die Sozialversicherungsnummer – nur in

   Teilbereichen des täglichen Lebens gelten und somit einen

   wesentlich höheren Schutz, insbesondere gegen die unbefugte

   Aufhebung der Pseudonymisierung, bieten.

Rufschädigung:

^{(EG 90 iVm 85 DSGVO)}

Dieses Risiko wird wie folgt minimiert:

– unions- (sofern keine Strafbefreiung einschlägig ist) und

   strafrechtliche Sanktionierung (siehe oben: Risiken / Physische,

   materielle oder immaterielle Schäden);

– Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG),

   die – anders als die Sozialversicherungsnummer – nur in

   Teilbereichen des täglichen Lebens gelten und somit einen

   wesentlich höheren Schutz, insbesondere gegen die Rufschädigung,

   bieten.

Verlust der Vertraulichkeit bei Berufsgeheimnissen:

^{(EG 90 iVm 85 DSGVO)}

Dieses Risiko wird wie folgt minimiert:

– unions- (sofern keine Strafbefreiung einschlägig ist) und

   strafrechtliche Sanktionierung (siehe oben: Risiken / Physische,

   materielle oder immaterielle Schäden);

– Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG),

   die – anders als die Sozialversicherungsnummer – nur in

   Teilbereichen des täglichen Lebens gelten und somit einen

   wesentlich höheren Schutz, insbesondere gegen den Verlust

   der Vertraulichkeit bei Berufsgeheimnissen.

Erhebliche wirtschaftliche oder gesellschaftliche Nachteile:

^{(EG 90 iVm 85 DSGVO)}

Dieses Risiko wird wie folgt minimiert:

– unions- (sofern keine Strafbefreiung einschlägig ist) und

   strafrechtliche Sanktionierung (siehe oben: Risiken / Physische,

   materielle oder immaterielle Schäden);

– Einsatz bereichsspezifischer Personenkennzeichen (§ 9 E-GovG),

   die – anders als die Sozialversicherungsnummer – nur in

   Teilbereichen des täglichen Lebens gelten und somit einen

   wesentlich höheren Schutz, insbesondere gegen erhebliche

   wirtschaftliche oder gesellschaftliche Nachteile, bieten.

ABHILFEMASSNAHMEN

Als Maßnahmen, Garantien und Verfahren zur Eindämmung von Risiken werden insbesondere in den Erwägungsgründen 28, 78 und 83 DSGVO genannt:

Minimierung der Verarbeitung personenbezogener Daten:

^{(EG 78 DSGVO)}

Jene personenbezogenen Daten, die verarbeitet werden dürfen, werden in§ 10 Abs. 1 Z 3 FOG aufgezählt. Die aufgezählten Daten entsprechen der Minimierung der Verarbeitung personenbezogener Daten, weil alle Daten notwendig sind, um bisherige Förderungsnehmerinnen und -nehmern in Evidenz zu halten und zu bei Bedarf kontaktieren zu können.

Schnellstmögliche Pseudonymisierung personenbezogener Daten:

^{(EG 28 und 78 DSGVO)}

Die Pseudonymisierung erfolgt nicht nur schnellstmöglich, sondern ist Voraussetzung für die Zulässigkeit der Verarbeitungen gemäß § 5 Abs. 1 FOG. Die Verwendung bereichsspezifischer Personenkennzeichen stellt eine angemessene Garantie iSd Art. 89 Abs. 1 DSGVO dar und erlaubt somit eine Verarbeitung gemäß Art. 9 Abs. 2 Buchstabe j DSGVO.

Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten:

^{(EG 78 DSGVO)}

Durch die Publikation des § 10 Abs. 1 FOG als Bundesgesetz im Bundesgesetzblatt sowie der parlamentarischen Materialien im Zuge des Gesetzgebungsprozesses können die Hintergründe für die zulässige Verarbeitung personenbezogener Daten bei der Speicherung von Alumni-Daten durch Abwicklungsstellen von der Öffentlichkeit kostenlos nachvollzogen werden.

Überwachung der Verarbeitung personenbezogener Daten durch die betroffenen Personen:

^{(EG 78 DSGVO)}

Die betroffenen Personen haben durch Ausübung ihrer Rechte gemäß Kapitel III der Datenschutz-Grundverordnung, das sind:

– Transparente Information, Kommunikation und Modalitäten für

   die Ausübung der Rechte der betroffenen Person (Art. 12

   DSGVO),

– Informationspflicht bei Erhebung von personenbezogenen Daten

   bei der betroffenen Person (Art. 13 DSGVO),

– Informationspflicht, wenn die personenbezogenen Daten nicht bei

   der betroffenen Person erhoben wurden (Art. 14 DSGVO),

– Auskunftsrecht der betroffenen Person (Art. 15 DSGVO),

– Recht auf Berichtigung (Art. 16 DSGVO),

– Recht auf Löschung / „Recht auf Vergessenwerden“ (Art. 17

   DSGVO),

– Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

   sowie

– Mitteilungspflicht im Zusammenhang mit der Berichtigung oder

   Löschung personenbezogener Daten oder der Einschränkung der

   Verarbeitung (Art. 19 DSGVO)

die Möglichkeit, die Verarbeitung ihrer Daten im Rahmen des § 11 Abs. 2 FOG zu überwachen.

Datensicherheitsmaßnahmen:

^{(EG 78 und 83 DSGVO)}

Die Nichteinhaltung der Datensicherheitsmaßnahmen gemäß Art. 32 DSGVO ist gemäß Art. 83 Abs. 4 Buchstabe a DSGVO mit Geldbußen bis zu 10 Millionen Euro sanktioniert ist (sofern keine Ausnahmen bestehen). Entsprechende Datensicherheitsmaßnahmen sind daher von den Abwicklungsstellen zu treffen. Da Art. 35 Abs. 10 DSGVO Datenschutzfolgenabschätzungen auch im Zuge von Gesetzgebungsverfahren zulässt, ist ein Verweis auf die Einhaltung der Maßnahmen gemäß Art. 32 DSGVO als ausreichend anzusehen.

BERÜCKSICHTIGUNG VON DATENSCHUTZINTERESSEN

Gemäß Art. 35 Abs. 2 und 9 sowie Art. 36 Abs. 4 DSGVO ist – wenn möglich – der Rat des Datenschutzbeauftragten einzuholen und sind die betroffenen Personen anzuhören:

Stellungnahme der Datenschutzbehörde:

^{(Art. 36 Abs. 4 DSGVO)}

In den Erläuterungen zur Regierungsvorlage wird an dieser Stelle die Stellungnahme der Datenschutzbehörde zu dieser Datenschutz-Folgenabschätzung im Begutachtungsverfahren abgedruckt werden.

Stellungnahme des Datenschutzbeauftragten der erlassenden Stelle:

^{(Art. 35 Abs. 2 DSGVO)}

In den Erläuterungen zur Regierungsvorlage wird an dieser Stelle die Stellungnahme des Datenschutzbeauftragten des Bundesministeriums für Bildung, Wissenschaft und Forschung zu dieser Datenschutz-Folgenabschätzung im Begutachtungsverfahren abgedruckt werden.

Stellungnahme betroffener Personen:

^{(Art. 35 Abs. 9 DSGVO)}

In den Erläuterungen zur Regierungsvorlage werden an dieser Stelle die Stellungnahmen aller betroffenen Personen im Begutachtungsverfahren zu dieser Datenschutz-Folgenabschätzung ergangenen Stellungnahmen abgedruckt.