LegalizeBundesgesetz vom 1. Juli 1981 über die Forschungsorganisation in Österreich und über Änderungen des Forschungsförderungsgesetzes (Forschungsorganisationsgesetz - FOG)
natürliche Personen, Personengemeinschaften sowie juristische Personen, die Art 89-Mittel
seitens des Wissenschaftsfonds (§ 2 FTFG) oder
im Rahmen europäischer Rahmenprogramme für Forschung und Entwicklung
erhalten haben, für die vereinbarte Dauer, mindestens jedoch fünf Jahre ab Zuerkennung der Art89-Mittel,
die Österreichische Akademie der Wissenschaften,
die Österreichische Bibliothekenverbund und Service Gesellschaft mit beschränkter Haftung (§ 1 des Bundesgesetzes über die Österreichische Bibliothekenverbund und Service Gesellschaft mit beschränkter Haftung, BGBl. I Nr. 15/2002),
als Partner von der Österreichischen Forschungsförderungsgesellschaft mbH (§ 1 Abs. 1 FFGG) für die Einlösung des Innovationsschecks ausgewiesene Einrichtungen,
als Partner in der Forschungsinfrastrukturdatenbank des Bundesministeriums für Bildung, Wissenschaft und Forschung ausgewiesene Forschungseinrichtungen und Unternehmen, die ihre Forschungsinfrastruktur öffentlich anbieten,
Privatuniversitäten nach dem Privatuniversitätengesetz,
gemäß § 4a Abs. 3 oder Abs. 4 lit. a oder b des Einkommensteuergesetzes 1988, BGBl. Nr. 400/1988, spendenbegünstigte Einrichtungen,
die Universität für Weiterbildung Krems gemäß § 1 UWKG,
Universitäten nach dem Universitätsgesetz 2002,
wissenschaftliche Bibliotheken,
die Zentralanstalt für Meteorologie und Geodynamik (ZAMG) gemäß § 22,
das Institut des Bundes für Qualitätssicherung im österreichischen Schulwesen nach dem IQS-Gesetz, BGBl. I Nr. 50/2019,
die Gesundheit Österreich GmbH, nach dem Bundesgesetz über die Gesundheit Österreich GmbH, BGBl. I Nr. 132/2006, sowie
öffentliche Stellen (§ 2b Z 8), die gesetzlich mit Aufgaben gemäß Art. 89 DSGVO betraut sind.
(2) Die Bundesministerin oder der Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie hat auf begründeten, schriftlichen Antrag mit Bescheid für die Gültigkeitsdauer von maximal fünf Jahren zu bestätigen, dass die antragstellenden wissenschaftlichen Einrichtungen, die nicht in Abs. 1 angeführt sind, Tätigkeiten der Forschung und experimentellen Entwicklung (§ 2b Z 10) durchführen und daher berechtigt sind bereichsspezifische Personenkennzeichen im Sinne dieses Abschnitts zu erhalten und einzusetzen.
(3) Der Antrag gemäß Abs. 2 hat jedenfalls zu enthalten:
bei wissenschaftlichen Einrichtungen (§ 2b Z 12), die
natürliche Personen sind, die Namensangaben gemäß § 2g Abs. 2 Z 1 und
keine natürlichen Personen sind, die Angaben gemäß § 2f Abs. 1 Z 3 lit. a bis c
der antragstellenden wissenschaftlichen Einrichtung,
Beschreibung der Tätigkeiten gemäß § 2b Z 10 der antragstellenden wissenschaftlichen Einrichtung,
Begründung, samt allfälliger Unterlagen, warum die Tätigkeiten gemäß Z 2
neuartig,
schöpferisch,
ungewiss in Bezug auf das Endergebnis,
systematisch und
übertrag- oder reproduzierbar
sind,
Namensangaben (§ 2g Abs. 2 Z 1) und Personenmerkmale (§ 2g Abs. 2 Z 2) der natürlichen Person, die für die Tätigkeiten gemäß Z 2 verantwortlich ist,
eine von einer vertretungsbefugten Person unterfertigte Erklärung, dass gegenüber der antragstellenden wissenschaftlichen Einrichtung in den letzten drei Jahren vor Stellung des Antrags
keine Untersagung gemäß § 22 Abs. 4 DSG erfolgte und
keine Maßnahme gemäß Art. 58 Abs. 2 Buchstaben f bis j DSGVO gesetzt wurde,
in den Fällen des Abs. 1 Z 5, 8 und 9 einen Nachweis über das Vorliegen der jeweiligen Voraussetzung sowie
die maximale, fünf Jahre nicht übersteigende Dauer der Bestätigung.
(4) Die wissenschaftlichen Einrichtungen haben Umstände, die zur Entziehung der Bestätigung führen könnten, unverzüglich und möglichst binnen 72 Stunden, nachdem ihnen diese Umstände bekannt wurden, der Bundesministerin oder dem Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie zu melden. Erfolgt die Meldung nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.
(5) Die Verlängerung der Bestätigung ist mit Bescheid zu verweigern oder eine bestehende Bestätigung mit Bescheid zu entziehen, wenn die Voraussetzungen der Bestätigung nicht oder nicht mehr vorliegen oder die Bestätigung erschlichen wurde.
(6) Die Verlängerung der Bestätigung kann mit Bescheid verweigert oder eine bestehende Bestätigung mit Bescheid entzogen werden, wenn in den letzten drei Jahren
eine Untersagung gemäß § 22 Abs. 4 DSG erfolgte oder
eine Maßnahme gemäß Art. 58 Abs. 2 DSGVO gesetzt wurde.
(7) Die Bundesministerin oder der Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie hat wissenschaftliche Einrichtungen, denen eine Bestätigung gemäß Abs. 2 ausgestellt wurde, mindestens einmal jährlich in geeigneter Weise, insbesondere im Internet, zu veröffentlichen.
Abkürzung
FOG
Zulässigkeit des Einsatzes bereichsspezifischer Personenkennzeichen
§ 2c. (1) Die folgenden wissenschaftlichen Einrichtungen sind jedenfalls berechtigt bereichsspezifische Personenkennzeichen im Sinne dieses Abschnitts zu erhalten und einzusetzen:
Bundesmuseen nach dem Bundesmuseen-Gesetz 2002, BGBl. I Nr. 14/2002,
Fachhochschulen nach dem Fachhochschul-Studiengesetz,
die GeoSphere Austria gemäß § 1 GSAG,
das Institute of Science and Technology – Austria gemäß § 1 ISTAG,
natürliche Personen, Personengemeinschaften sowie juristische Personen, die Art 89-Mittel
seitens des Wissenschaftsfonds (§ 2 FTFG) oder
im Rahmen europäischer Rahmenprogramme für Forschung und Entwicklung
erhalten haben, für die vereinbarte Dauer, mindestens jedoch fünf Jahre ab Zuerkennung der Art89-Mittel,
die Österreichische Akademie der Wissenschaften,
die Österreichische Bibliothekenverbund und Service Gesellschaft mit beschränkter Haftung (§ 1 des Bundesgesetzes über die Österreichische Bibliothekenverbund und Service Gesellschaft mit beschränkter Haftung, BGBl. I Nr. 15/2002),
als Partner von der Österreichischen Forschungsförderungsgesellschaft mbH (§ 1 Abs. 1 FFGG) für die Einlösung des Innovationsschecks ausgewiesene Einrichtungen,
als Partner in der Forschungsinfrastrukturdatenbank des Bundesministeriums für Bildung, Wissenschaft und Forschung ausgewiesene Forschungseinrichtungen und Unternehmen, die ihre Forschungsinfrastruktur öffentlich anbieten,
Privatuniversitäten nach dem Privatuniversitätengesetz,
gemäß § 4a Abs. 3 oder Abs. 4 lit. a oder b des Einkommensteuergesetzes 1988, BGBl. Nr. 400/1988, spendenbegünstigte Einrichtungen,
die Universität für Weiterbildung Krems gemäß § 1 UWKG,
Universitäten nach dem Universitätsgesetz 2002,
wissenschaftliche Bibliotheken,
die Zentralanstalt für Meteorologie und Geodynamik (ZAMG) gemäß § 22,
das Institut des Bundes für Qualitätssicherung im österreichischen Schulwesen nach dem IQS-Gesetz, BGBl. I Nr. 50/2019,
die Gesundheit Österreich GmbH, nach dem Bundesgesetz über die Gesundheit Österreich GmbH, BGBl. I Nr. 132/2006, sowie
öffentliche Stellen (§ 2b Z 8), die gesetzlich mit Aufgaben gemäß Art. 89 DSGVO betraut sind.
(2) Die Bundesministerin oder der Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie hat auf begründeten, schriftlichen Antrag mit Bescheid für die Gültigkeitsdauer von maximal fünf Jahren zu bestätigen, dass die antragstellenden wissenschaftlichen Einrichtungen, die nicht in Abs. 1 angeführt sind, Tätigkeiten der Forschung und experimentellen Entwicklung (§ 2b Z 10) durchführen und daher berechtigt sind bereichsspezifische Personenkennzeichen im Sinne dieses Abschnitts zu erhalten und einzusetzen.
(3) Der Antrag gemäß Abs. 2 hat jedenfalls zu enthalten:
bei wissenschaftlichen Einrichtungen (§ 2b Z 12), die
natürliche Personen sind, die Namensangaben gemäß § 2g Abs. 2 Z 1 und
keine natürlichen Personen sind, die Angaben gemäß § 2f Abs. 1 Z 3 lit. a bis c
der antragstellenden wissenschaftlichen Einrichtung,
Beschreibung der Tätigkeiten gemäß § 2b Z 10 der antragstellenden wissenschaftlichen Einrichtung,
Begründung, samt allfälliger Unterlagen, warum die Tätigkeiten gemäß Z 2
neuartig,
schöpferisch,
ungewiss in Bezug auf das Endergebnis,
systematisch und
übertrag- oder reproduzierbar
sind,
Namensangaben (§ 2g Abs. 2 Z 1) und Personenmerkmale (§ 2g Abs. 2 Z 2) der natürlichen Person, die für die Tätigkeiten gemäß Z 2 verantwortlich ist,
eine von einer vertretungsbefugten Person unterfertigte Erklärung, dass gegenüber der antragstellenden wissenschaftlichen Einrichtung in den letzten drei Jahren vor Stellung des Antrags
keine Untersagung gemäß § 22 Abs. 4 DSG erfolgte und
keine Maßnahme gemäß Art. 58 Abs. 2 Buchstaben f bis j DSGVO gesetzt wurde,
in den Fällen des Abs. 1 Z 5, 8 und 9 einen Nachweis über das Vorliegen der jeweiligen Voraussetzung sowie
die maximale, fünf Jahre nicht übersteigende Dauer der Bestätigung.
(4) Die wissenschaftlichen Einrichtungen haben Umstände, die zur Entziehung der Bestätigung führen könnten, unverzüglich und möglichst binnen 72 Stunden, nachdem ihnen diese Umstände bekannt wurden, der Bundesministerin oder dem Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie zu melden. Erfolgt die Meldung nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.
(5) Die Verlängerung der Bestätigung ist mit Bescheid zu verweigern oder eine bestehende Bestätigung mit Bescheid zu entziehen, wenn die Voraussetzungen der Bestätigung nicht oder nicht mehr vorliegen oder die Bestätigung erschlichen wurde.
(6) Die Verlängerung der Bestätigung kann mit Bescheid verweigert oder eine bestehende Bestätigung mit Bescheid entzogen werden, wenn in den letzten drei Jahren
eine Untersagung gemäß § 22 Abs. 4 DSG erfolgte oder
eine Maßnahme gemäß Art. 58 Abs. 2 DSGVO gesetzt wurde.
(7) Die Bundesministerin oder der Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie hat wissenschaftliche Einrichtungen, denen eine Bestätigung gemäß Abs. 2 ausgestellt wurde, mindestens einmal jährlich in geeigneter Weise, insbesondere im Internet, zu veröffentlichen.
Abkürzung
FOG
Zulässigkeit des Einsatzes bereichsspezifischer Personenkennzeichen
§ 2c. (1) Die folgenden wissenschaftlichen Einrichtungen sind jedenfalls berechtigt bereichsspezifische Personenkennzeichen im Sinne dieses Abschnitts zu erhalten und einzusetzen:
Bundesmuseen nach dem Bundesmuseen-Gesetz 2002, BGBl. I Nr. 14/2002,
Fachhochschulen nach dem Fachhochschul-Studiengesetz,
die GeoSphere Austria gemäß § 1 GSAG,
das Institute of Science and Technology – Austria gemäß § 1 ISTAG,
natürliche Personen, Personengemeinschaften sowie juristische Personen, die Art 89-Mittel
seitens des Wissenschaftsfonds (§ 2 FTFG) oder
im Rahmen europäischer Rahmenprogramme für Forschung und Entwicklung
erhalten haben, für die vereinbarte Dauer, mindestens jedoch fünf Jahre ab Zuerkennung der Art89-Mittel,
die Österreichische Akademie der Wissenschaften,
die Österreichische Bibliothekenverbund und Service Gesellschaft mit beschränkter Haftung (§ 1 des Bundesgesetzes über die Österreichische Bibliothekenverbund und Service Gesellschaft mit beschränkter Haftung, BGBl. I Nr. 15/2002),
als Partner von der Österreichischen Forschungsförderungsgesellschaft mbH (§ 1 Abs. 1 FFGG) für die Einlösung des Innovationsschecks ausgewiesene Einrichtungen,
als Partner in der Forschungsinfrastrukturdatenbank des Bundesministeriums für Bildung, Wissenschaft und Forschung ausgewiesene Forschungseinrichtungen und Unternehmen, die ihre Forschungsinfrastruktur öffentlich anbieten,
Privatuniversitäten nach dem Privatuniversitätengesetz,
gemäß § 4a Abs. 3 oder Abs. 4 lit. a oder b des Einkommensteuergesetzes 1988, BGBl. Nr. 400/1988, spendenbegünstigte Einrichtungen,
die Universität für Weiterbildung Krems gemäß § 1 UWKG,
Universitäten nach dem Universitätsgesetz 2002,
wissenschaftliche Bibliotheken,
(Anm.: Z 15 aufgehoben durch Art. 5 Z 5, BGBl. I Nr. 60/2022)
das Institut des Bundes für Qualitätssicherung im österreichischen Schulwesen nach dem IQS-Gesetz, BGBl. I Nr. 50/2019,
die Gesundheit Österreich GmbH, nach dem Bundesgesetz über die Gesundheit Österreich GmbH, BGBl. I Nr. 132/2006, sowie
öffentliche Stellen (§ 2b Z 8), die gesetzlich mit Aufgaben gemäß Art. 89 DSGVO betraut sind.
(2) Die Bundesministerin oder der Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie hat auf begründeten, schriftlichen Antrag mit Bescheid für die Gültigkeitsdauer von maximal fünf Jahren zu bestätigen, dass die antragstellenden wissenschaftlichen Einrichtungen, die nicht in Abs. 1 angeführt sind, Tätigkeiten der Forschung und experimentellen Entwicklung (§ 2b Z 10) durchführen und daher berechtigt sind bereichsspezifische Personenkennzeichen im Sinne dieses Abschnitts zu erhalten und einzusetzen.
(3) Der Antrag gemäß Abs. 2 hat jedenfalls zu enthalten:
bei wissenschaftlichen Einrichtungen (§ 2b Z 12), die
natürliche Personen sind, die Namensangaben gemäß § 2g Abs. 2 Z 1 und
keine natürlichen Personen sind, die Angaben gemäß § 2f Abs. 1 Z 3 lit. a bis c
der antragstellenden wissenschaftlichen Einrichtung,
Beschreibung der Tätigkeiten gemäß § 2b Z 10 der antragstellenden wissenschaftlichen Einrichtung,
Begründung, samt allfälliger Unterlagen, warum die Tätigkeiten gemäß Z 2
neuartig,
schöpferisch,
ungewiss in Bezug auf das Endergebnis,
systematisch und
übertrag- oder reproduzierbar
sind,
Namensangaben (§ 2g Abs. 2 Z 1) und Personenmerkmale (§ 2g Abs. 2 Z 2) der natürlichen Person, die für die Tätigkeiten gemäß Z 2 verantwortlich ist,
eine von einer vertretungsbefugten Person unterfertigte Erklärung, dass gegenüber der antragstellenden wissenschaftlichen Einrichtung in den letzten drei Jahren vor Stellung des Antrags
keine Untersagung gemäß § 22 Abs. 4 DSG erfolgte und
keine Maßnahme gemäß Art. 58 Abs. 2 Buchstaben f bis j DSGVO gesetzt wurde,
in den Fällen des Abs. 1 Z 5, 8 und 9 einen Nachweis über das Vorliegen der jeweiligen Voraussetzung sowie
die maximale, fünf Jahre nicht übersteigende Dauer der Bestätigung.
(4) Die wissenschaftlichen Einrichtungen haben Umstände, die zur Entziehung der Bestätigung führen könnten, unverzüglich und möglichst binnen 72 Stunden, nachdem ihnen diese Umstände bekannt wurden, der Bundesministerin oder dem Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie zu melden. Erfolgt die Meldung nicht binnen 72 Stunden, so ist ihr eine Begründung für die Verzögerung beizufügen.
(5) Die Verlängerung der Bestätigung ist mit Bescheid zu verweigern oder eine bestehende Bestätigung mit Bescheid zu entziehen, wenn die Voraussetzungen der Bestätigung nicht oder nicht mehr vorliegen oder die Bestätigung erschlichen wurde.
(6) Die Verlängerung der Bestätigung kann mit Bescheid verweigert oder eine bestehende Bestätigung mit Bescheid entzogen werden, wenn in den letzten drei Jahren
eine Untersagung gemäß § 22 Abs. 4 DSG erfolgte oder
eine Maßnahme gemäß Art. 58 Abs. 2 DSGVO gesetzt wurde.
(7) Die Bundesministerin oder der Bundesminister für Klimaschutz, Umwelt, Energie, Mobilität, Innovation und Technologie hat wissenschaftliche Einrichtungen, denen eine Bestätigung gemäß Abs. 2 ausgestellt wurde, mindestens einmal jährlich in geeigneter Weise, insbesondere im Internet, zu veröffentlichen.
Abkürzung
FOG
Grundlegende Bestimmungen zum Schutz personenbezogener Daten
§ 2d. (1) Für Verarbeitungen nach diesem Abschnitt sind insbesondere folgende angemessene Maßnahmen, wie sie insbesondere in Art. 9 Abs. 2 Buchstabe j sowie Art. 89 Abs. 1 DSGVO vorgesehen sind, einzuhalten:
Zugriffe auf personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, sind lückenlos zu protokollieren.
Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten auf Grundlage dieses Abschnitts verarbeiten und ihre Mitarbeiterinnen und Mitarbeiter – das sind Arbeitnehmerinnen und Arbeitnehmer (Dienstnehmerinnen und Dienstnehmer) und Personen in einem arbeitnehmerähnlichen (dienstnehmerähnlichen) Verhältnis – haben personenbezogene Daten, die ihnen ausschließlich auf Grundlage dieses Abschnitts anvertraut wurden oder zugänglich geworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen personenbezogenen Daten besteht (Datengeheimnis).
Personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, dürfen ausschließlich für Zwecke dieses Bundesgesetzes verarbeitet werden.
Natürliche Personen, deren personenbezogene Daten auf Grundlage dieses Abschnitts verarbeitet werden, dürfen keine Nachteile aus der Verarbeitung erleiden, wobei die Verarbeitung in Übereinstimmung mit diesem Abschnitt keinen Nachteil darstellt.
Verantwortliche, die Verarbeitungen auf Grundlage des Abs. 2 durchführen, haben
im Internet öffentlich einsehbar auf die Inanspruchnahme dieser Rechtsgrundlage hinzuweisen,
bei Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen die Namensangaben jedenfalls zu löschen,
vor Heranziehung von Registern gemäß Abs. 2 Z 3 jedenfalls einen Datenschutzbeauftragten (Art. 37 DSGVO) zu bestellen,
die Aufgabenverteilung bei der Verarbeitung der Daten (§ 2b Z 5) zwischen den Organisationseinheiten und zwischen den Mitarbeiterinnen und Mitarbeitern ausdrücklich festzulegen,
die Verarbeitung von Daten an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbeiter zu binden,
jede Mitarbeiterin und jeden Mitarbeiter über ihre oder seine nach diesem Bundesgesetz und nach innerorganisatorischen Datenschutzvorschriften einschließlich der Datensicherheitsvorschriften bestehenden Pflichten zu belehren,
die Zutrittsberechtigung zu den Räumlichkeiten, in denen die Verarbeitung der Daten (§ 2b Z 5) tatsächlich erfolgt, zu regeln,
die Zugriffsberechtigung auf Daten (§ 2b Z 5) und Programme und den Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln,
die Berechtigung zum Betrieb der Datenverarbeitungsgeräte festzulegen und jedes Gerät durch Vorkehrungen bei den eingesetzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abzusichern,
eine Dokumentation über die nach den lit. d bis i getroffenen Maßnahmen zu führen, um die Kontrolle und Beweissicherung zu erleichtern,
ihrem Antrag auf Bereitstellung von Daten gemäß Abs. 2 Z 3 eine von der oder dem Verfügungsbefugten über die Datenbestände aus denen die personenbezogenen Daten ermittelt werden sollen, unterfertigte Erklärung anzuschließen, dass sie oder er dem Verantwortlichen die Datenbestände für die Untersuchung zur Verfügung stellt, wobei anstelle dieser Erklärung auch ein diese Erklärung ersetzender Exekutionstitel (§ 367 Abs. 1 der Exekutionsordnung, RGBl. Nr. 79/1896) vorgelegt werden kann,
bei Verarbeitung von gemäß Abs. 2 Z 3 bereitgestellten Daten (§ 2b Z 5) vorzusehen, dass nur die im Antrag genannten natürlichen Personen auf die gemäß Abs. 2 Z 3 bereitgestellten Daten zugreifen dürfen sowie
bei Übermittlung von Namensangaben gemäß Abs. 2 Z 3 sind diese nach Erreichung der Zwecke gemäß Art. 89 Abs. 1 DSGVO zu löschen.
Die Veröffentlichung von bereichsspezifischen Personenkennzeichen darf unter keinen Umständen erfolgen.
Die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung hat nach Anhörung
von Vertreterinnen oder Vertretern, die von den zuständigen Bundesministerinnen und Bundesminister ernannt wurden, wobei jede Bundesministerin oder jeder Bundesminister eine Vertreterin oder einen Vertreter zu ernennen hat, und
der Mitglieder der Delegiertenversammlung gemäß § 5a Abs. 1 und 2 Z 1 und 2 FTFG
dem Datenschutzrat (§ 14 DSG) in Abständen von fünf Jahren bis zum 1. Juni des jeweiligen Jahres einen Bericht über die Anwendung dieses Abschnitts vorzulegen.
Soweit keine abweichenden Bestimmungen getroffen werden, haben Verarbeitungen nach diesem Abschnitt den Anforderungen des Abs. 2 Z 1 zu entsprechen.
(2) Zur Erleichterung der Identifikation im Tätigkeitsbereich „Forschung“ (BF-FO) gemäß § 9 Abs. 1 des EGovernment-Gesetzes (E-GovG), BGBl. I Nr. 10/2004, sind die §§ 14 und 15 EGovG im privaten Bereich nicht anzuwenden. Stattdessen sind die Bestimmungen des EGovG, die für Verantwortliche des öffentlichen Bereichs gelten, wie insbesondere die §§ 8 bis 13 EGovG, anzuwenden. Für Zwecke dieses Bundesgesetzes dürfen wissenschaftliche Einrichtungen (§ 2b Z 12), insbesondere auf Grundlage des Art. 9 Abs. 2 Buchstabe g, i und j DSGVO, somit
sämtliche personenbezogene Daten jedenfalls verarbeiten, insbesondere im Rahmen von Big Data, personalisierter Medizin, biomedizinischer Forschung, Biobanken und der Übermittlung an andere wissenschaftliche Einrichtungen und Auftragsverarbeiter, wenn
anstelle des Namens, bereichsspezifische Personenkennzeichen für den Tätigkeitsbereich „Forschung“ (bPK-BF-FO) oder andere eindeutige Identifikatoren zur Zuordnung herangezogen werden oder
die Verarbeitung in pseudonymisierter Form (Art. 4 Nr. 5 DSGVO) erfolgt oder
Veröffentlichungen
aa) nicht oder
bb) nur in anonymisierter oder pseudonymisierter Form oder
cc) ohne Namen, Adressen oder Foto
erfolgen oder
die Verarbeitung ausschließlich zum Zweck der Anonymisierung oder Pseudonymisierung erfolgt und keine Offenlegung direkt personenbezogener Daten an Dritte (Art. 4 Nr. 10 DSGVO) damit verbunden ist,
die Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen für den Tätigkeitsbereich „Forschung“ (bPK-BF-FO) sowie von verschlüsselten bPK gemäß § 13 Abs. 2 E-GovG innerhalb der in Art. 12 Abs. 3 DSGVO genannten Frist von der Stammzahlenregisterbehörde verlangen, wenn
die Antragstellerin oder der Antragsteller eine wissenschaftliche Einrichtung gemäß § 2c Abs. 1 ist oder über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügt,
die Kosten für die Ausstattung mit bereichsspezifischen Personenkennzeichen ersetzt werden und
die Antragstellerin oder der Antragsteller zumindest Vorname, Nachname und Geburtsdatum für jeden auszustattenden Datensatz bereitstellt
sowie
von Verantwortlichen, die bundesgesetzlich vorgesehene Register – mit Ausnahme der in den Bereichen der Gerichtsbarkeit sowie der Rechtsanwälte und Notare im Rahmen des jeweiligen gesetzlichen Wirkungsbereichs geführten Register und des Strafregisters – führen, sowie im Falle von ELGA von der ELGA-Ombudsstelle, die Bereitstellung von Daten (§ 2b Z 5) innerhalb der in Art. 12 Abs. 3 DSGVO genannten Frist aus diesen Registern in elektronischer Form verlangen, wobei Namensangaben durch bereichsspezifische Personenkennzeichen „Forschung“ (bPK-BF-FO) zu ersetzen sind, es sei denn die Namensangaben sind zur Erreichung von Zwecken gemäß Art. 89 Abs. 1 DSGVO erforderlich, wenn
die Verarbeitung ausschließlich für Zwecke der Lebens- und Sozialwissenschaften erfolgt,
das Register in einer Verordnung gemäß § 38b angeführt ist,
die Antragstellerin oder der Antragsteller eine wissenschaftliche Einrichtung gemäß § 2c Abs. 1 ist oder über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügt,
die Kosten für die Bereitstellung der Daten (§ 2b Z 5) ersetzt werden und
falls ein Abgleich mit vorhandenen Daten beantragt wird, beim Antrag auf Bereitstellung der Daten die entsprechenden bPK gemäß § 13 Abs. 2 E-GovG der betroffenen Personen zur Verfügung gestellt werden.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 2 siehe Anlage 1)
(3) Im Anwendungsbereich dieses Bundesgesetzes ist die Verarbeitung von Daten (§ 2b Z 5) gemäß Art. 9 Abs. 2 Buchstabe j DSGVO zulässig, wenn die betroffene Person freiwillig, in informierter Weise und unmissverständlich ihren Willen in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung bekundet, mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden zu sein, wobei die Angabe eines Zweckes durch die Angabe
eines Forschungsbereiches oder
mehrerer Forschungsbereiche oder
von Forschungsprojekten oder
von Teilen von Forschungsprojekten
erfolgen darf („broad consent“).
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 3 siehe Anlage 2)
(4) Hinsichtlich der Weiterverarbeitung gemäß Art. 5 Abs. 1 Buchstabe b DSGVO zu Zwecken gemäß Art. 89 Abs. 1 DSGVO stellen diese keine unzulässigen Zwecke im Sinne des § 62 Abs. 1 Z 2 DSG dar.
(5) Gemäß Art. 5 Abs. 1 Buchstabe e DSGVO dürfen personenbezogene Daten für Zwecke gemäß Art. 89 Abs. 1 DSGVO unbeschränkt gespeichert und gegebenenfalls sonst verarbeitet werden, soweit gesetzlich keine zeitlichen Begrenzungen vorgesehen sind.
(6) Die folgenden Rechte finden insoweit keine Anwendung, als dadurch die Erreichung von Zwecken gemäß Art. 89 Abs. 1 DSGVO voraussichtlich unmöglich gemacht oder ernsthaft beeinträchtigt wird:
Auskunftsrecht der betroffenen Person (Art. 15 DSGVO),
Recht auf Berichtigung (Art. 16 DSGVO),
Recht auf Löschung bzw. Recht auf Vergessenwerden (Art. 17 DSGVO),
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
Recht auf Datenübertragbarkeit (Art. 20 DSGVO) sowie
Widerspruchsrecht (Art. 21 DSGVO).
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 6 siehe Anlage 3)
(7) Auf Grundlage des Art. 9 Abs. 2 Buchstabe j DSGVO ist im Sinne des § 7 Abs. 2 Z 1 DSG die Einholung einer Genehmigung der Datenschutzbehörde gemäß § 7 Abs. 2 Z 3 DSG nicht erforderlich, wenn die Verarbeitung in Übereinstimmung mit diesem Abschnitt erfolgt.
(8) Abweichend von § 12 Abs. 4 Z 3 und 4 DSG ist im Anwendungsbereich dieses Bundesgesetzes und des § 44 KAKuG sowohl der automationsunterstützte Abgleich von mittels Bildaufnahmen gewonnenen personenbezogenen Daten mit anderen personenbezogenen Daten als auch die Auswertung von mittels Bildaufnahmen gewonnen personenbezogenen Daten anhand von besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) als Auswahlkriterium für Zwecke gemäß Art. 89 Abs. 1 DSGVO zulässig, vorausgesetzt
die Verarbeitung erfolgt durch wissenschaftliche Einrichtungen und
durch die Verarbeitung erfolgt keine Veröffentlichung personenbezogener Daten.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 8 siehe Anlage 4)
(9) Bereichsspezifische Personenkennzeichen (§ 9 E-GovG) dürfen für Zwecke dieses Bundesgesetzes in maschinenlesbarer Form an Forschungsmaterial (§ 2b Z 6) angebracht werden.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 9 siehe Anlage 5)
Abkürzung
FOG
Grundlegende Bestimmungen zum Schutz personenbezogener Daten
§ 2d. (1) Für Verarbeitungen nach diesem Abschnitt sind insbesondere folgende angemessene Maßnahmen, wie sie insbesondere in Art. 9 Abs. 2 Buchstabe j sowie Art. 89 Abs. 1 DSGVO vorgesehen sind, einzuhalten:
Zugriffe auf personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, sind lückenlos zu protokollieren.
Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten auf Grundlage dieses Abschnitts verarbeiten und ihre Mitarbeiterinnen und Mitarbeiter – das sind Arbeitnehmerinnen und Arbeitnehmer (Dienstnehmerinnen und Dienstnehmer) und Personen in einem arbeitnehmerähnlichen (dienstnehmerähnlichen) Verhältnis – haben personenbezogene Daten, die ihnen ausschließlich auf Grundlage dieses Abschnitts anvertraut wurden oder zugänglich geworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen personenbezogenen Daten besteht (Datengeheimnis).
Personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, dürfen ausschließlich für Zwecke dieses Bundesgesetzes verarbeitet werden.
Natürliche Personen, deren personenbezogene Daten auf Grundlage dieses Abschnitts verarbeitet werden, dürfen keine Nachteile aus der Verarbeitung erleiden, wobei die Verarbeitung in Übereinstimmung mit diesem Abschnitt keinen Nachteil darstellt.
Verantwortliche, die Verarbeitungen auf Grundlage des Abs. 2 durchführen, haben
im Internet öffentlich einsehbar auf die Inanspruchnahme dieser Rechtsgrundlage hinzuweisen,
bei Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen die Namensangaben jedenfalls zu löschen,
vor Heranziehung von Registern gemäß Abs. 2 Z 3 jedenfalls einen Datenschutzbeauftragten (Art. 37 DSGVO) zu bestellen,
die Aufgabenverteilung bei der Verarbeitung der Daten (§ 2b Z 5) zwischen den Organisationseinheiten und zwischen den Mitarbeiterinnen und Mitarbeitern ausdrücklich festzulegen,
die Verarbeitung von Daten an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbeiter zu binden,
jede Mitarbeiterin und jeden Mitarbeiter über ihre oder seine nach diesem Bundesgesetz und nach innerorganisatorischen Datenschutzvorschriften einschließlich der Datensicherheitsvorschriften bestehenden Pflichten zu belehren,
die Zutrittsberechtigung zu den Räumlichkeiten, in denen die Verarbeitung der Daten (§ 2b Z 5) tatsächlich erfolgt, zu regeln,
die Zugriffsberechtigung auf Daten (§ 2b Z 5) und Programme und den Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln,
die Berechtigung zum Betrieb der Datenverarbeitungsgeräte festzulegen und jedes Gerät durch Vorkehrungen bei den eingesetzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abzusichern,
eine Dokumentation über die nach den lit. d bis i getroffenen Maßnahmen zu führen, um die Kontrolle und Beweissicherung zu erleichtern,
ihrem Antrag auf Bereitstellung von Daten gemäß Abs. 2 Z 3 eine von der oder dem Verfügungsbefugten über die Datenbestände aus denen die personenbezogenen Daten ermittelt werden sollen, unterfertigte Erklärung anzuschließen, dass sie oder er dem Verantwortlichen die Datenbestände für die Untersuchung zur Verfügung stellt, wobei anstelle dieser Erklärung auch ein diese Erklärung ersetzender Exekutionstitel (§ 367 Abs. 1 der Exekutionsordnung, RGBl. Nr. 79/1896) vorgelegt werden kann,
bei Verarbeitung von gemäß Abs. 2 Z 3 bereitgestellten Daten (§ 2b Z 5) vorzusehen, dass nur die im Antrag genannten natürlichen Personen auf die gemäß Abs. 2 Z 3 bereitgestellten Daten zugreifen dürfen sowie
bei Übermittlung von Namensangaben gemäß Abs. 2 Z 3 sind diese nach Erreichung der Zwecke gemäß Art. 89 Abs. 1 DSGVO zu löschen.
Die Veröffentlichung von bereichsspezifischen Personenkennzeichen darf unter keinen Umständen erfolgen.
Die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung hat nach Anhörung
von Vertreterinnen oder Vertretern, die von den zuständigen Bundesministerinnen und Bundesminister ernannt wurden, wobei jede Bundesministerin oder jeder Bundesminister eine Vertreterin oder einen Vertreter zu ernennen hat, und
der Mitglieder der Delegiertenversammlung gemäß § 5a Abs. 1 und 2 Z 1 und 2 FTFG
dem Datenschutzrat (§ 14 DSG) in Abständen von fünf Jahren bis zum 1. Juni des jeweiligen Jahres einen Bericht über die Anwendung dieses Abschnitts vorzulegen.
Soweit keine abweichenden Bestimmungen getroffen werden, haben Verarbeitungen nach diesem Abschnitt den Anforderungen des Abs. 2 Z 1 zu entsprechen.
(2) Zur Erleichterung der Identifikation im Tätigkeitsbereich „Forschung“ (BF-FO) gemäß § 9 Abs. 1 des EGovernment-Gesetzes (E-GovG), BGBl. I Nr. 10/2004, sind die §§ 14 und 15 EGovG im privaten Bereich nicht anzuwenden. Stattdessen sind die Bestimmungen des EGovG, die für Verantwortliche des öffentlichen Bereichs gelten, wie insbesondere die §§ 8 bis 13 EGovG, anzuwenden. Für Zwecke dieses Bundesgesetzes dürfen wissenschaftliche Einrichtungen (§ 2b Z 12), insbesondere auf Grundlage des Art. 9 Abs. 2 Buchstabe g, i und j DSGVO, somit
sämtliche personenbezogene Daten jedenfalls verarbeiten, insbesondere im Rahmen von Big Data, personalisierter Medizin, biomedizinischer Forschung, Biobanken und der Übermittlung an andere wissenschaftliche Einrichtungen und Auftragsverarbeiter, wenn
anstelle des Namens, bereichsspezifische Personenkennzeichen für den Tätigkeitsbereich „Forschung“ (bPK-BF-FO) oder andere eindeutige Identifikatoren zur Zuordnung herangezogen werden oder
die Verarbeitung in pseudonymisierter Form (Art. 4 Nr. 5 DSGVO) erfolgt oder
Veröffentlichungen
aa) nicht oder
bb) nur in anonymisierter oder pseudonymisierter Form oder
cc) ohne Namen, Adressen oder Foto
erfolgen oder
die Verarbeitung ausschließlich zum Zweck der Anonymisierung oder Pseudonymisierung erfolgt und keine Offenlegung direkt personenbezogener Daten an Dritte (Art. 4 Nr. 10 DSGVO) damit verbunden ist,
die Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen für den Tätigkeitsbereich „Forschung“ (bPK-BF-FO) sowie von verschlüsselten bPK gemäß § 13 Abs. 2 E-GovG innerhalb der in Art. 12 Abs. 3 DSGVO genannten Frist von der Stammzahlenregisterbehörde verlangen, wenn
die Antragstellerin oder der Antragsteller eine wissenschaftliche Einrichtung gemäß § 2c Abs. 1 ist oder über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügt,
die Kosten für die Ausstattung mit bereichsspezifischen Personenkennzeichen ersetzt werden und
die Antragstellerin oder der Antragsteller zumindest Vorname, Familienname und Geburtsdatum für jeden auszustattenden Datensatz bereitstellt
sowie
von Verantwortlichen, die bundesgesetzlich vorgesehene Register – mit Ausnahme der in den Bereichen der Gerichtsbarkeit sowie der Rechtsanwälte und Notare im Rahmen des jeweiligen gesetzlichen Wirkungsbereichs geführten Register und des Strafregisters – führen, sowie im Falle von ELGA von der ELGA-Ombudsstelle, die Bereitstellung von Daten (§ 2b Z 5) innerhalb der in Art. 12 Abs. 3 DSGVO genannten Frist aus diesen Registern in elektronischer Form verlangen, wobei Namensangaben durch bereichsspezifische Personenkennzeichen „Forschung“ (bPK-BF-FO) zu ersetzen sind, es sei denn die Namensangaben sind zur Erreichung von Zwecken gemäß Art. 89 Abs. 1 DSGVO erforderlich, wenn
die Verarbeitung ausschließlich für Zwecke der Lebens- und Sozialwissenschaften erfolgt,
das Register in einer Verordnung gemäß § 38b angeführt ist,
die Antragstellerin oder der Antragsteller eine wissenschaftliche Einrichtung gemäß § 2c Abs. 1 ist oder über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügt,
die Kosten für die Bereitstellung der Daten (§ 2b Z 5) ersetzt werden und
falls ein Abgleich mit vorhandenen Daten beantragt wird, beim Antrag auf Bereitstellung der Daten die entsprechenden bPK gemäß § 13 Abs. 2 E-GovG der betroffenen Personen zur Verfügung gestellt werden.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 2 siehe Anlage 1)
(3) Im Anwendungsbereich dieses Bundesgesetzes ist die Verarbeitung von Daten (§ 2b Z 5) gemäß Art. 9 Abs. 2 Buchstabe j DSGVO zulässig, wenn die betroffene Person freiwillig, in informierter Weise und unmissverständlich ihren Willen in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung bekundet, mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden zu sein, wobei die Angabe eines Zweckes durch die Angabe
eines Forschungsbereiches oder
mehrerer Forschungsbereiche oder
von Forschungsprojekten oder
von Teilen von Forschungsprojekten
erfolgen darf („broad consent“).
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 3 siehe Anlage 2)
(4) Hinsichtlich der Weiterverarbeitung gemäß Art. 5 Abs. 1 Buchstabe b DSGVO zu Zwecken gemäß Art. 89 Abs. 1 DSGVO stellen diese keine unzulässigen Zwecke im Sinne des § 62 Abs. 1 Z 2 DSG dar.
(5) Gemäß Art. 5 Abs. 1 Buchstabe e DSGVO dürfen personenbezogene Daten für Zwecke gemäß Art. 89 Abs. 1 DSGVO unbeschränkt gespeichert und gegebenenfalls sonst verarbeitet werden, soweit gesetzlich keine zeitlichen Begrenzungen vorgesehen sind.
(6) Die folgenden Rechte finden insoweit keine Anwendung, als dadurch die Erreichung von Zwecken gemäß Art. 89 Abs. 1 DSGVO voraussichtlich unmöglich gemacht oder ernsthaft beeinträchtigt wird:
Auskunftsrecht der betroffenen Person (Art. 15 DSGVO),
Recht auf Berichtigung (Art. 16 DSGVO),
Recht auf Löschung bzw. Recht auf Vergessenwerden (Art. 17 DSGVO),
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
Recht auf Datenübertragbarkeit (Art. 20 DSGVO) sowie
Widerspruchsrecht (Art. 21 DSGVO).
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 6 siehe Anlage 3)
(7) Auf Grundlage des Art. 9 Abs. 2 Buchstabe j DSGVO ist im Sinne des § 7 Abs. 2 Z 1 DSG die Einholung einer Genehmigung der Datenschutzbehörde gemäß § 7 Abs. 2 Z 3 DSG nicht erforderlich, wenn die Verarbeitung in Übereinstimmung mit diesem Abschnitt erfolgt.
(8) Abweichend von § 12 Abs. 4 Z 3 und 4 DSG ist im Anwendungsbereich dieses Bundesgesetzes und des § 44 KAKuG sowohl der automationsunterstützte Abgleich von mittels Bildaufnahmen gewonnenen personenbezogenen Daten mit anderen personenbezogenen Daten als auch die Auswertung von mittels Bildaufnahmen gewonnen personenbezogenen Daten anhand von besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) als Auswahlkriterium für Zwecke gemäß Art. 89 Abs. 1 DSGVO zulässig, vorausgesetzt
die Verarbeitung erfolgt durch wissenschaftliche Einrichtungen und
durch die Verarbeitung erfolgt keine Veröffentlichung personenbezogener Daten.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 8 siehe Anlage 4)
(9) Bereichsspezifische Personenkennzeichen (§ 9 E-GovG) dürfen für Zwecke dieses Bundesgesetzes in maschinenlesbarer Form an Forschungsmaterial (§ 2b Z 6) angebracht werden.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 9 siehe Anlage 5)
Abkürzung
FOG
Grundlegende Bestimmungen zum Schutz personenbezogener Daten
§ 2d. (1) Für Verarbeitungen nach diesem Abschnitt sind insbesondere folgende angemessene Maßnahmen, wie sie insbesondere in Art. 9 Abs. 2 Buchstabe j sowie Art. 89 Abs. 1 DSGVO vorgesehen sind, einzuhalten:
über Zugriffe auf personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, ist Protokoll zu führen, damit tatsächlich durchgeführte Verarbeitungsvorgänge, wie insbesondere Änderungen, Abfragen und Übermittlungen, im Hinblick auf ihre Zulässigkeit im notwendigen Ausmaß nachvollzogen werden können.
Verantwortliche und Auftragsverarbeiter, die personenbezogene Daten auf Grundlage dieses Abschnitts verarbeiten und ihre Mitarbeiterinnen und Mitarbeiter – das sind Arbeitnehmerinnen und Arbeitnehmer (Dienstnehmerinnen und Dienstnehmer) und Personen in einem arbeitnehmerähnlichen (dienstnehmerähnlichen) Verhältnis – haben personenbezogene Daten, die ihnen ausschließlich auf Grundlage dieses Abschnitts anvertraut wurden oder zugänglich geworden sind, unbeschadet sonstiger gesetzlicher Verschwiegenheitspflichten, geheim zu halten, soweit kein rechtlich zulässiger Grund für eine Übermittlung der anvertrauten oder zugänglich gewordenen personenbezogenen Daten besteht (Datengeheimnis).
Personenbezogene Daten, die auf Grundlage dieses Abschnitts automationsunterstützt verarbeitet werden, dürfen ausschließlich für Zwecke dieses Bundesgesetzes verarbeitet werden.
Natürliche Personen, deren personenbezogene Daten auf Grundlage dieses Abschnitts verarbeitet werden, dürfen keine Nachteile aus der Verarbeitung erleiden, wobei die Verarbeitung in Übereinstimmung mit diesem Abschnitt keinen Nachteil darstellt.
Verantwortliche, die Verarbeitungen auf Grundlage des Abs. 2 durchführen, haben
im Internet öffentlich einsehbar auf die Inanspruchnahme dieser Rechtsgrundlage hinzuweisen,
bei Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen die Namensangaben sowie andere Personenkennzeichen gemäß Art. 87 DSGVO abgesehen von den bereichsspezifischen Personenkennzeichen „Forschung“ (bPK-BF-FO) und bereichsspezifischen Personenkennzeichen in verschlüsselter Form (vbPK) jedenfalls zu löschen,
vor Heranziehung von Registern gemäß Abs. 2 Z 3 jedenfalls einen Datenschutzbeauftragten (Art. 37 DSGVO) zu bestellen,
die Aufgabenverteilung bei der Verarbeitung der Daten (§ 2b Z 5) zwischen den Organisationseinheiten und zwischen den Mitarbeiterinnen und Mitarbeitern ausdrücklich festzulegen,
die Verarbeitung von Daten an das Vorliegen gültiger Aufträge der anordnungsbefugten Organisationseinheiten und Mitarbeiter zu binden,
jede Mitarbeiterin und jeden Mitarbeiter über ihre oder seine nach diesem Bundesgesetz und nach innerorganisatorischen Datenschutzvorschriften einschließlich der Datensicherheitsvorschriften bestehenden Pflichten zu belehren,
die Zutrittsberechtigung zu den Räumlichkeiten, in denen die Verarbeitung der Daten (§ 2b Z 5) tatsächlich erfolgt, zu regeln,
die Zugriffsberechtigung auf Daten (§ 2b Z 5) und Programme und den Schutz der Datenträger vor der Einsicht und Verwendung durch Unbefugte zu regeln,
die Berechtigung zum Betrieb der Datenverarbeitungsgeräte festzulegen und jedes Gerät durch Vorkehrungen bei den eingesetzten Maschinen oder Programmen gegen die unbefugte Inbetriebnahme abzusichern,
eine Dokumentation über die nach den lit. d bis i getroffenen Maßnahmen zu führen, um die Kontrolle und Beweissicherung zu erleichtern,
in ihrem Antrag auf Zugang zu Daten gemäß § 2d Abs. 2 Z 3 anzugeben:
aa) die Gründe, warum das Forschungsvorhaben nur mittels des in § 2d Abs. 2 Z 3 vorgesehenen Zugangs durchgeführt werden kann,
bb) die natürlichen Personen, die Zugang zu Daten gemäß § 2d Abs. 2 Z 3 erhalten sollen,
cc) die Datensätze, zu denen Zugang benötigt wird, und die Methoden ihrer Analyse sowie
dd) die angestrebten Ergebnisse des Forschungsvorhabens,
bei Verarbeitung von Daten, zu denen gemäß § 2d Abs. 2 Z 3 Zugang gewährt wurde, vorzusehen, dass nur die im Antrag genannten natürlichen Personen auf diese Daten zugreifen dürfen.
bei Übermittlung von Namensangaben gemäß Abs. 2 Z 3 sind diese nach Erreichung der Zwecke gemäß Art. 89 Abs. 1 DSGVO zu löschen.
Die Veröffentlichung von Personenkennzeichen darf unter keinen Umständen erfolgen.
6a. Bei Gewährung des Zugangs zu Daten (§ 2b Z 5) gemäß Abs. 2 Z 3 haben Verantwortliche, die bundesgesetzlich vorgesehene Register führen
die §§ 31a und 31b des Bundesstatistikgesetzes 2000, BGBl. I Nr. 163/1999, einzuhalten und
andere Personenkennzeichen gemäß Art. 87 DSGVO als bereichsspezifische Personenkennzeichen zu entfernen.
Die Bundesministerin oder der Bundesminister für Bildung, Wissenschaft und Forschung hat nach Anhörung
von Vertreterinnen oder Vertretern, die von den zuständigen Bundesministerinnen und Bundesminister ernannt wurden, wobei jede Bundesministerin oder jeder Bundesminister eine Vertreterin oder einen Vertreter zu ernennen hat, und
der Mitglieder der Delegiertenversammlung gemäß § 5a Abs. 1 und 2 Z 1 und 2 FTFG
dem Datenschutzrat (§ 14 DSG) in Abständen von fünf Jahren bis zum 1. Juni des jeweiligen Jahres einen Bericht über die Anwendung dieses Abschnitts vorzulegen.
Soweit keine abweichenden Bestimmungen getroffen werden, haben Verarbeitungen nach diesem Abschnitt den Anforderungen des Abs. 2 Z 1 zu entsprechen.
(2) Zur Erleichterung der Identifikation im Tätigkeitsbereich „Forschung“ (BF-FO) gemäß § 9 Abs. 1 des EGovernment-Gesetzes (E-GovG), BGBl. I Nr. 10/2004, sind die §§ 14 und 15 EGovG im privaten Bereich nicht anzuwenden. Stattdessen sind die Bestimmungen des EGovG, die für Verantwortliche des öffentlichen Bereichs gelten, wie insbesondere die §§ 8 bis 13 EGovG, anzuwenden. Für Zwecke dieses Bundesgesetzes dürfen wissenschaftliche Einrichtungen (§ 2b Z 12), insbesondere auf Grundlage des Art. 9 Abs. 2 Buchstabe g, i und j DSGVO, somit
sämtliche personenbezogene Daten jedenfalls verarbeiten, insbesondere im Rahmen von Big Data, personalisierter Medizin, biomedizinischer Forschung, Biobanken und der Übermittlung an andere wissenschaftliche Einrichtungen und Auftragsverarbeiter, wenn
anstelle des Namens, bereichsspezifische Personenkennzeichen oder andere eindeutige Identifikatoren zur Zuordnung herangezogen werden oder
die Verarbeitung in pseudonymisierter Form (Art. 4 Nr. 5 DSGVO) erfolgt oder
Veröffentlichungen
aa) nicht oder
bb) nur in anonymisierter oder pseudonymisierter Form
(Anm.: sublit. cc aufgehoben durch BGBl. I Nr. 205/2021)
erfolgen oder
die Verarbeitung ausschließlich zum Zweck der Anonymisierung oder Pseudonymisierung erfolgt und keine Offenlegung direkt personenbezogener Daten an Dritte (Art. 4 Nr. 10 DSGVO) damit verbunden ist,
die Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen für den Tätigkeitsbereich „Forschung“ (bPK-BF-FO) sowie von verschlüsselten bPK gemäß § 13 Abs. 2 E-GovG innerhalb der in Art. 12 Abs. 3 DSGVO genannten Frist von der Stammzahlenregisterbehörde verlangen, wenn
die Antragstellerin oder der Antragsteller eine wissenschaftliche Einrichtung gemäß § 2c Abs. 1 ist oder über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügt,
die Kosten für die Ausstattung mit bereichsspezifischen Personenkennzeichen ersetzt werden und
die Antragstellerin oder der Antragsteller zumindest Vorname, Familienname und Geburtsdatum für jeden auszustattenden Datensatz bereitstellt
sowie
von Verantwortlichen, die bundesgesetzlich vorgesehene Register – mit Ausnahme der in den Bereichen der Gerichtsbarkeit sowie der Rechtsanwälte und Notare im Rahmen des jeweiligen gesetzlichen Wirkungsbereichs geführten Register und des Strafregisters – führen, sowie im Falle von ELGA von der ELGA-Ombudsstelle, den Zugang zu Daten (§ 2b Z 5), bei denen keine Identifizierung von betroffenen Personen oder Unternehmen durch Namen, Anschrift oder anhand einer öffentlich zugänglichen Identifikationsnummer möglich ist, innerhalb der in Art. 12 Abs. 3 DSGVO genannten Frist aus diesen Registern in elektronischer Form verlangen, wenn
die Verarbeitung
aa) ausschließlich für Zwecke der Lebens- und Sozialwissenschaften erfolgt und
bb) auch einem öffentlichen Interesse dient, insbesondere eine Zielsetzung gemäß Art. 23 Abs. 1 DSGVO erfüllt,
das Register in einer Verordnung gemäß § 38b angeführt ist,
die Antragstellerin oder der Antragsteller eine wissenschaftliche Einrichtung gemäß § 2c Abs. 1 ist oder über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügt,
die Kosten für die Gewährung des Zugangs zu Daten (§ 2b Z 5) ersetzt werden und
falls ein Abgleich mit vorhandenen Daten beantragt wird, beim Antrag auf Gewährung des Zugangs zu Daten (§ 2b Z 5) die entsprechenden bPK gemäß § 13 Abs. 2 E-GovG der betroffenen Personen zur Verfügung gestellt werden.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 2 siehe Anlage 1)
(3) Im Anwendungsbereich dieses Bundesgesetzes ist die Verarbeitung von Daten (§ 2b Z 5) gemäß Art. 9 Abs. 2 Buchstabe j DSGVO zulässig, wenn die betroffene Person freiwillig, in informierter Weise und unmissverständlich ihren Willen in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung bekundet, mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden zu sein, wobei die Angabe eines Zweckes durch die Angabe
eines Forschungsbereiches oder
mehrerer Forschungsbereiche oder
von Forschungsprojekten oder
von Teilen von Forschungsprojekten
erfolgen darf („broad consent“).
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 3 siehe Anlage 2)
(4) Hinsichtlich der Weiterverarbeitung gemäß Art. 5 Abs. 1 Buchstabe b DSGVO zu Zwecken gemäß Art. 89 Abs. 1 DSGVO stellen diese keine unzulässigen Zwecke im Sinne des § 62 Abs. 1 Z 2 DSG dar.
(5) Gemäß Art. 5 Abs. 1 Buchstabe e DSGVO dürfen personenbezogene Daten für Zwecke gemäß Art. 89 Abs. 1 DSGVO unbeschränkt gespeichert und gegebenenfalls sonst verarbeitet werden, soweit gesetzlich keine zeitlichen Begrenzungen vorgesehen sind.
(6) Die folgenden Rechte finden insoweit keine Anwendung, als dadurch die Erreichung von Zwecken gemäß Art. 89 Abs. 1 DSGVO voraussichtlich unmöglich gemacht oder ernsthaft beeinträchtigt wird:
Auskunftsrecht der betroffenen Person (Art. 15 DSGVO),
Recht auf Berichtigung (Art. 16 DSGVO),
Recht auf Löschung bzw. Recht auf Vergessenwerden (Art. 17 DSGVO),
Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
Recht auf Datenübertragbarkeit (Art. 20 DSGVO) sowie
Widerspruchsrecht (Art. 21 DSGVO).
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 6 siehe Anlage 3)
(7) Auf Grundlage des Art. 9 Abs. 2 Buchstabe j DSGVO ist im Sinne des § 7 Abs. 2 Z 1 DSG die Einholung einer Genehmigung der Datenschutzbehörde gemäß § 7 Abs. 2 Z 3 DSG nicht erforderlich, wenn die Verarbeitung in Übereinstimmung mit diesem Abschnitt erfolgt.
(8) Abweichend von § 12 Abs. 4 Z 3 und 4 DSG ist im Anwendungsbereich dieses Bundesgesetzes und des § 44 KAKuG sowohl der automationsunterstützte Abgleich von mittels Bildaufnahmen gewonnenen personenbezogenen Daten mit anderen personenbezogenen Daten als auch die Auswertung von mittels Bildaufnahmen gewonnen personenbezogenen Daten anhand von besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) als Auswahlkriterium für Zwecke gemäß Art. 89 Abs. 1 DSGVO zulässig, vorausgesetzt
die Verarbeitung erfolgt durch wissenschaftliche Einrichtungen und
durch die Verarbeitung erfolgt keine Veröffentlichung personenbezogener Daten.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 8 siehe Anlage 4)
(9) Bereichsspezifische Personenkennzeichen (§ 9 E-GovG) dürfen für Zwecke dieses Bundesgesetzes in maschinenlesbarer Form an Forschungsmaterial (§ 2b Z 6) angebracht werden.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 9 siehe Anlage 5)
Abkürzung
FOG
Qualitätsmanagement
§ 2e. (1) Die Feststellung der mittel- und langfristigen Wirkungen dient
dem optimalen Mitteleinsatz von öffentlichen Stellen zur Förderung von Zwecken gemäß Art. 89 Abs. 1 DSGVO sowie
der bestmöglichen Entwicklung des Wissensstandes in den in Art. 89 Abs. 1 DSGVO genannten Disziplinen durch Veröffentlichung, Anwendung und Verwertung des aktuellen Forschungsstandes sowie Beobachtung und Evaluierung von Tätigkeiten der Forschung und experimentellen Entwicklung (§ 2b Z 10).
(2) Zur Feststellung der Wirkungen gemäß Abs. 1, die von der Tätigkeit von wissenschaftlichen Einrichtungen (§ 2b Z 12) ausgelöst werden, dürfen diese insbesondere die folgenden Daten direkt personenbezogen verarbeiten, jedoch nur in pseudonymisierter oder anonymisierter Form veröffentlichen:
hinsichtlich der Personen, die im Rahmen von Lehre bzw. Forschung tätig waren bzw. sind:
sämtliche Daten gemäß § 2g Abs. 1 bis 4,
soziobiografische und sozioökonomische Angaben,
qualitative Daten, wie insbesondere betreffend
aa) Relevanz des Studiums für die Beschäftigung,
bb) berufliches Fortkommen und Zufriedenheit,
cc) Wahrnehmung der Qualität und Relevanz ihrer Bildungs- und Ausbildungserfahrung sowie
quantitative Daten, wie insbesondere betreffend
aa) Einstieg ins Berufsleben und weitere (Aus-)Bildung,
bb) Einkommen,
cc) Art des Vertrags,
dd) Beschäftigungsstatus,
ee) Beruf, Berufsstatus und Tätigkeit (im Verlauf),
ff) Angaben zu geografischen und sektoralen Mobilitäten (§ 2b Z 7) sowie
gg) sämtliche akademische Funktionen, Publikationen, Drittmitteleinwerbungen und Aktivitäten betreffend Technologietransfer sowie
hinsichtlich der Personen, die im Rahmen der Lehre betreut wurden bzw. werden, die unter Z 1 genannten Angaben sowie quantitativen Daten, wie insbesondere betreffend
Studienintensität,
Studienmethode,
Qualifikation(en),
erhaltene Leistungspunkte sowie
Studienfach.
(3) Zur Feststellung der Wirkungen gemäß Abs. 1, die von der Tätigkeit von wissenschaftlichen Einrichtungen gemäß § 2c Abs. 1 oder von wissenschaftlichen Einrichtungen, die über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügen, ausgelöst werden, dürfen diese sowie die allenfalls zuständigen Bundesministerinnen und Bundesminister
von der Stammzahlenregisterbehörde eine kostenlose Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen Amtliche Statistik wie Verantwortliche des öffentlichen Bereichs gemäß § 10 Abs. 2 E-GovG sowie
die Übermittlung von in Abs. 2 angeführten Daten von öffentlichen Stellen (§ 2b Z 8) und Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1)
verlangen.
(4) Zur Feststellung der Wirkungen gemäß Abs. 1 der Tätigkeit von Art 89-Förder- und Zuwendungsstellen (§ 2b Z 1) sind die Abs. 2 und 3 auf diese sowie die allenfalls zuständigen Bundesministerinnen und Bundesminister mit der Maßgabe anzuwenden, dass
an die Stelle der natürlichen Personen gemäß Abs. 2 die natürlichen Personen und sonstigen Betroffenen (§ 6 Abs. 4 E-GovG) treten, die Art 89-Mittel beantragt oder erhalten haben, sowie
bei sonstigen Betroffenen (Z 1) an die Stelle der bereichsspezifischen Personenkennzeichen deren Stammzahl tritt.
(Anm.: Datenschutz-Folgenabschätzung siehe Anlage 6)
Abkürzung
FOG
Qualitätsmanagement
§ 2e. (1) Die Feststellung der mittel- und langfristigen Wirkungen dient
dem optimalen Mitteleinsatz von öffentlichen Stellen zur Förderung von Zwecken gemäß Art. 89 Abs. 1 DSGVO sowie
der bestmöglichen Entwicklung des Wissensstandes in den in Art. 89 Abs. 1 DSGVO genannten Disziplinen durch Veröffentlichung, Anwendung und Verwertung des aktuellen Forschungsstandes sowie Beobachtung und Evaluierung von Tätigkeiten der Forschung und experimentellen Entwicklung (§ 2b Z 10).
(2) Zur Feststellung der Wirkungen gemäß Abs. 1, die von der Tätigkeit von wissenschaftlichen Einrichtungen (§ 2b Z 12) ausgelöst werden, dürfen diese insbesondere die folgenden Daten direkt personenbezogen verarbeiten, jedoch nur in pseudonymisierter oder anonymisierter Form veröffentlichen:
hinsichtlich der Personen, die im Rahmen von Lehre bzw. Forschung tätig waren bzw. sind:
sämtliche Daten gemäß § 2g Abs. 1 bis 4,
soziobiografische und sozioökonomische Angaben,
qualitative Daten, wie insbesondere betreffend
aa) Relevanz des Studiums für die Beschäftigung,
bb) berufliches Fortkommen und Zufriedenheit,
cc) Wahrnehmung der Qualität und Relevanz ihrer Bildungs- und Ausbildungserfahrung sowie
quantitative Daten, wie insbesondere betreffend
aa) Einstieg ins Berufsleben und weitere (Aus-)Bildung,
bb) Einkommen,
cc) Art des Vertrags,
dd) Beschäftigungsstatus,
ee) Beruf, Berufsstatus und Tätigkeit (im Verlauf),
ff) Angaben zu geografischen und sektoralen Mobilitäten (§ 2b Z 7) sowie
gg) sämtliche akademische Funktionen, Publikationen, Drittmitteleinwerbungen und Aktivitäten betreffend Technologietransfer sowie
hinsichtlich der Personen, die im Rahmen der Lehre betreut wurden bzw. werden, die unter Z 1 genannten Angaben sowie quantitativen Daten, wie insbesondere betreffend
Studienintensität,
Studienmethode,
Qualifikation(en),
erhaltene Leistungspunkte sowie
Studienfach.
(3) Zur Feststellung der Wirkungen gemäß Abs. 1, die von der Tätigkeit von wissenschaftlichen Einrichtungen gemäß § 2c Abs. 1 oder von wissenschaftlichen Einrichtungen, die über eine gültige Bestätigung gemäß § 2c Abs. 2 verfügen, ausgelöst werden, dürfen diese sowie die allenfalls zuständigen Bundesministerinnen und Bundesminister
von der Stammzahlenregisterbehörde eine kostenlose Ausstattung ihrer Daten mit bereichsspezifischen Personenkennzeichen Amtliche Statistik wie Verantwortliche des öffentlichen Bereichs gemäß § 10 Abs. 2 E-GovG sowie
die Übermittlung von in Abs. 2 angeführten Daten von öffentlichen Stellen (§ 2b Z 8) und Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1)
verlangen.
(4) Zur Feststellung der Wirkungen gemäß Abs. 1 der Tätigkeit von Art-89-Förder- und Zuwendungsstellen (§ 2b Z 1) sind die Abs. 2 und 3 auf diese sowie die allenfalls zuständigen Bundesministerinnen und Bundesminister mit der Maßgabe anzuwenden, dass
an die Stelle der natürlichen Personen gemäß Abs. 2 die natürlichen Personen und sonstigen Betroffenen (§ 6 Abs. 4 E-GovG) treten, die Art 89-Mittel beantragt oder erhalten haben, sowie
bei sonstigen Betroffenen (Z 1) an die Stelle der bereichsspezifischen Personenkennzeichen deren Stammzahl tritt.
(Anm.: Datenschutz-Folgenabschätzung siehe Anlage 6)
Abkürzung
FOG
Datengrundlagen für Tätigkeiten zu Zwecken gemäß Art. 89 Abs. 1 DSGVO
§ 2f. (1) Wissenschaftliche Einrichtungen (§ 2b Z 12) dürfen Forschungsmaterial (§ 2b Z 6) für Zwecke gemäß Art. 89 Abs. 1 DSGVO insbesondere sammeln, archivieren und systematisch erfassen und dazu sämtliche Daten (§ 2b Z 5) verarbeiten, die erforderlich sind, um einen optimalen Zugang zu Daten (§ 2b Z 5) und Forschungsmaterial für Zwecke gemäß Art. 89 Abs. 1 DSGVO („Repositories“) zu gewährleisten, wie insbesondere:
Namensangaben gemäß § 2g Abs. 2 Z 1,
Personenmerkmale gemäß § 2g Abs. 2 Z 2, sowie insbesondere:
Zugehörigkeit zu einer sozialen, ethnischen oder kulturellen Gruppe,
soziale Stellung,
Beruf,
Sprachkenntnisse und sonstige, besondere Kenntnisse,
die Angaben gemäß lit. a bis d hinsichtlich der Vorfahren,
Personenkennung, insbesondere durch bereichsspezifisches Personenkennzeichen des Tätigkeitsbereichs „Bildung und Forschung“,
soweit verfügbar, Angaben zu sonstigen Betroffenen gemäß § 6 Abs. 4 E-GovG, die in Beziehung zu den natürlichen Personen stehen, deren Daten verarbeitet werden sollen:
Bezeichnung,
Rechtsform,
elektronische Kennung gemäß § 6 Abs. 3 E-GovG,
Angaben zur Beziehung zwischen den sonstigen Betroffenen und den natürlichen Personen, deren Daten verarbeitet werden sollen,
Gründungsdatum,
Adress- und Kontaktdaten gemäß § 2g Abs. 2 Z 5,
sonstige Daten, die für die Archivierung und Klassifikation erforderlich sind, wie etwa Fundortdaten oder Angaben gemäß § 2g Abs. 2 Z 1 und 2 zu Personen, die das Forschungsmaterial zur Verfügung gestellt haben, sowie
weitere Angaben, wie insbesondere:
politische Hintergrundinformationen,
religiöse Hintergrundinformationen,
rechtliche Hintergrundinformationen,
traditionelle Hintergrundinformationen,
Hintergrundinformationen betreffend die Gesundheit, Gesundheitsdaten oder genetische Daten oder
andere gruppenspezifische Hintergrundinformationen.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 1 siehe Anlage 7)
(2) Abweichend von § 2d Abs. 1 Z 8 und Abs. 2 Z 1 dürfen wissenschaftliche Einrichtungen, die Verantwortliche der Repositories gemäß Abs. 1 sind, anderen wissenschaftlichen Einrichtungen direkt personenbezogene Daten bereitstellen, wenn
sie die anderen wissenschaftlichen Einrichtungen über deren Pflichten nach diesem Abschnitt und der Datenschutz-Grundverordnung nachweislich aufgeklärt haben,
sie Vorkehrungen dafür getroffen haben, dass die anderen wissenschaftlichen Einrichtungen ihre Pflichten nach diesem Abschnitt einhalten, und
eine von einer vertretungsbefugten Person der anderen wissenschaftlichen Einrichtung unterfertigte Erklärung vorliegt, dass gegenüber der anderen wissenschaftlichen Einrichtung in den letzten drei Jahren
keine Untersagung gemäß § 22 Abs. 4 DSG erfolgte und
keine Maßnahme gemäß Art. 58 Abs. 2 Buchstaben f bis j DSGVO gesetzt wurde.
(3) Ungeachtet des Abs. 1 dürfen Daten und Forschungsmaterial, die als Grundlage für Tätigkeiten zu Zwecken gemäß Art. 89 Abs. 1 DSGVO verarbeitet wurden („Rohdaten“), ab Veröffentlichung der Ergebnisse dieser Tätigkeiten
zum Nachweis der Einhaltung guter wissenschaftlicher Praxis mindestens 10 Jahre sowie
zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen bis zu 30 Jahre
gespeichert und gegebenenfalls sonst verarbeitet werden.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 3 siehe Anlage 8)
(4) Verarbeitungen im Rahmen von biologischen Proben- und Datensammlungen aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, stellen zulässige Verarbeitungen im Sinne des Art. 9 Abs. 2 Buchstaben h, i und j DSGVO dar. Die Verantwortlichen haben jedenfalls die folgenden, angemessenen und spezifischen Maßnahmen vorzusehen:
die schnellstmögliche Pseudonymisierung, wenn dennoch die Zwecke der Verarbeitungen erfüllt werden können, sowie
die Einhaltung der gemäß Art. 32 DSGVO erforderlichen Datensicherheitsmaßnahmen.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 4 siehe Anlage 9)
(5) Für Zwecke der Lehre, insbesondere das Verfassen schriftlicher Seminar- und Prüfungsarbeiten, Bachelorarbeiten sowie wissenschaftlicher und künstlerischer Arbeiten durch Studierende, dürfen sämtliche personenbezogene Daten verarbeitet werden, wenn sichergestellt ist, dass – außer zulässigen Verarbeitungen – keine Übermittlung an Empfängerinnen oder Empfänger zu anderen Zwecken als gemäß Art. 89 Abs. 1 DSGVO erfolgt.
(Anm.: Datenschutz-Folgenabschätzung zu Abs. 5 siehe Anlage 10)
(6) Für Zwecke der medizinischen Forschung und sterbefallbezogener Analysen darf die Bundesanstalt Statistik Österreich wissenschaftlichen Einrichtungen nach Vereinbarung der konkreten Anwendungsbereiche und eines angemessenen Kostenersatzes das Sterbedatum und die Todesursache von Betroffenen übermitteln. Die wissenschaftlichen Einrichtungen und deren Angehörige unterliegen hinsichtlich dieser Daten der Geheimhaltungspflicht gemäß § 17 Abs. 3 des Bundesstatistikgesetzes 2000 und dürfen diese Daten ausschließlich für wissenschaftliche Zwecke verwenden.
Dieses Dokument ersetzt nicht die offizielle Publikation im Bundesgesetzblatt. Für eventuelle Ungenauigkeiten bei der Übertragung in dieses Format wird keine Haftung übernommen.
Dieser Text wird zu den eigenen Weiterverwendungsbedingungen von RIS veröffentlicht, nicht unter einer Legalize-Lizenz oder einer Public-Domain-Lizenz.
RIS
CC BY 4.0 (Creative Commons Namensnennung 4.0 International)
Quelle: RIS – Rechtsinformationssystem des Bundes, Bundeskanzleramt der Republik Österreich (https://www.ris.bka.gv.at/). Lizenziert unter CC BY 4.0 (Creative Commons Namensnennung 4.0 International). Aus den Daten können keinerlei Rechtsansprüche abgeleitet werden.