9.18

Abgeordnete Claudia Gamon, MSc (WU) (NEOS): Sehr geehrter Herr Präsident! Hohes Haus! Ich möchte – um jetzt einen anderen Teil dieser Debatte anzusprechen –zum Datenschutz-Anpassungsgesetz – Wissenschaft und Forschung übergehen. Es ist mir wichtig, zu betonen, dass wir den Grundgedanken dieser Regierungsvorlage, nämlich die Erweiterung und Erleichterung des Zugangs zu Daten für Forscherinnen und Forscher, vollinhaltlich teilen.

Gerade im Gesundheitsbereich ist es enorm wichtig, auch personenbezogene Daten ver­wenden zu können. Damit kann man wahnsinnige Fortschritte in der Weiter­entwick­lung medizinischer Standards machen. Es geht uns aber auch um das Thema Rechts­sicherheit für Forscherinnen und Forscher, und es war ja eigentlich der Grund­gedanke dieses Gesetzes, dass sich niemand, auch ohne es zu wissen, in einem unsicheren Bereich bewegt.

Es geht auch darum, ein hohes Datenschutzniveau für alle Bürgerinnen und Bürger zu garantieren; auch das war hoffentlich ein wesentlicher Grundgedanke, vor allem der DSGVO. Diesem Ziel wird man aber mit diesem Gesetz nicht gerecht. Es gab zahl­reiche Stellungnahmen mit Kritikpunkten der Datenschutzbehörde, des Daten­schutz­rates, zivilgesellschaftlicher Organisationen, wie Epicenter Works, die gar nicht oder nur teilweise, in sehr geringem Ausmaß in der Regierungsvorlage berücksichtigt wor­den sind. Darunter fallen unter anderem auch die Bestimmungen zu der Verwendung von personenbezogenen Daten. Wir haben noch viele andere Kritikpunkte zu diesem Gesetz, aber ich möchte mich heute auf zwei wesentliche Punkte konzentrieren, bei denen es nämlich darum geht, ob dieses Gesetz überhaupt DSGVO-konform ist. Es gibt viele Menschen, die das bezweifeln. Sollte es nicht konform sein, wäre das eigentlich eine Katastrophe.

Die Regierungsvorlage geht davon aus, dass das Ersetzen von Namen durch bereichs­spezifische Personenkennzeichen einer Pseudonymisierung gemäß DSGVO gleich­kommt. – Das ist aber nicht der Fall. Es ist im Ausschuss gesagt worden: Na ja, die DSGVO ist irgendwie immer mitgemeint. – Das reicht aber nicht aus. Die DSGVO sieht die Pseudonymisierung nämlich so vor, dass sie auch das Ziel erreicht, dass nämlich mit dem Wegfall der Namen Personen ohne Hinzufügen zusätzlicher Informationen nicht mehr identifiziert werden können. Das ist quasi ein Datenschutzziel. Dieses Ziel wird mit diesem Gesetz aber nicht erreicht, denn es wird gesagt: Entweder verwendet ihr ein bereichsspezifisches Personenkennzeichen oder eine Pseudonymisierung. Es wird aber nicht definiert, welches Ziel damit erreicht werden soll, es wird nicht definiert, dass die Schlüssel zum Entschlüsseln eines Datensatzes zur Identifizierung von Per­sonen auch gesondert, getrennt aufbewahrt werden müssen, was auch ein wichtiger Punkt in der DSGVO, bei der Pseudonymisierung ist.

Es gibt auch eine unverhältnismäßige Einschränkung der Betroffenenrechte gemäß Artikel 15 bis 21 DSGVO und diese Einschränkung ist unionsrechtlich nicht gültig. Stellen Sie sich folgendes Beispiel vor, ich habe das im Ausschuss schon vorgebracht: Sie haben eine seltene Krankheit, es gibt nur ganz wenige Personen, die diese Krankheit haben, und jemand macht eine Studie darüber. Nur, weil ihr Name im Krankenakt nicht mehr drinnen ist, heißt das nicht, dass Sie nicht identifiziert werden können. Vielleicht gibt es in der ganzen Gegend nur eine Person, die diese seltene Krankheit hat und in die jeweilige Alterskohorte hineinfällt, dann kann man relativ schnell sagen, das ist Hubert aus dem nächsten Ort. Das betrifft vielleicht sogar eine Person öffentlichen Interesses, die ein ganz spezielles, persönliches Interesse daran hat, dass diese Daten gelöscht werden. Laut DSGVO hätte sie ein Löschungsrecht, wenn sie aus einem ganz speziellen Grund diese Daten löschen lassen möchte. Die­ses Gesetz sieht so etwas aber nicht mehr vor. Wenn der Forschungszweck dadurch beeinträchtigt wird, kann man immer noch sagen: Sorry Hubert, deine Daten können wir nicht löschen! – Das ist eines der vielen theoretischen Beispiele, bei dem die von der DSGVO geforderte Verhältnismäßigkeit auch im Einzelfall nicht mehr berücksichtigt wird.

Das ist der Grund, warum wir sagen, dass es bei diesem Gesetz noch großen Ände­rungsbedarf gibt. Es sollte ja im Sinne der Forscherinnen und Forscher sein, dass es unionsrechtlich auch hält. Man stelle sich vor: Man arbeitet an einem For­schungsprojekt, das fünf Jahre läuft; man verwendet die Daten gemäß dem jetzt geänderten Forschungsorganisationsgesetz. Währenddessen ergeht eine Beschwerde an den EuGH, der dann sagt: Hm, das wird wohl nichts, wieder zurück!

Was bedeutet das für ein Forschungsprojekt, wenn jahrelang Daten unionswidrig ver­wendet worden sind? – Ich glaube, das wäre das, was man als eine mittlere Ka­tastro­phe für Forscherinnen und Forscher bezeichnen könnte.

Worst Case: EU-Fördergelder für Forscherinnen und Forscher werden natürlich auch unter der Prämisse vergeben, dass die Forscherinnen und Forscher nach EU-Recht handeln. Was bedeutet das dann im Worst Case, wenn man draufkommt, dass man jahrelang nicht so geforscht und die Daten nicht so verwendet hat? – Auch das wäre eine Katastrophe.

Wir sind der Meinung, dass es bei diesem Gesetz noch substanzielle Änderungen braucht. Uns geht es wirklich nicht darum, grundsätzlich böse Absichten zu unter­stellen, dass bewusst Unionsrecht umgangen wird. Ganz im Gegenteil: Wir sind ein­fach der Meinung, dass auf gewisse Punkte nicht Rücksicht genommen worden ist.

Mit dem vorliegenden Entwurf ist es nur eine Frage der Zeit, bis das Gesetz vor dem EuGH landet. Das kann dann ein paar Jahre dauern und hätte verheerende Konse­quenzen für die österreichische Forschungscommunity.

Das ist der Punkt, warum wir denken, dass man diesem Gesetzentwurf in dieser Fas­sung nicht zustimmen kann. Wir sind aber sehr wohl bereit, in einen konstruktiven Dia­log zu treten, um Änderungen herbeizuführen, die diesen Gesetzentwurf DSGVO-konform machen.

Einen weiteren Punkt muss man betonen: Die DSGVO ist nicht dazu da, um irgend­jemanden in seiner Arbeit zu behindern, schon gar nicht Forscherinnen und Forscher und auch nicht die Medien. Sie ist dazu da, um unterschiedliche Interessen in Einklang zu bringen, nämlich einerseits die Freiheit der Forschung und andererseits das individuelle Interesse der Bürgerinnen und Bürger betreffend ein hohes Datenschutz­niveau, ein neues Grundrecht auf europäischer Ebene. Wir sind der Meinung, dass es sehr wohl möglich ist, diese Interessen in Einklang miteinander zu bringen und vor allem auch diesen Gesetzentwurf in Einklang mit der DSGVO zu bringen. Das ist unser Ansinnen. – Danke schön. (Beifall bei den NEOS und bei Abgeordneten der SPÖ.)

9.24

Präsident Mag. Wolfgang Sobotka: Herr Abgeordneter Herbert ist zu Wort gemel­det. – Bitte.