§ 2f Datengrundlagen für Tätigkeiten zu Zwecken gemäß Art. 89 Abs. 1 DSGVO — FOG

(1) Wissenschaftliche Einrichtungen (§ 2b Z 12) dürfen Forschungsmaterial (§ 2b Z 6) für Zwecke gemäß Art. 89 Abs. 1 DSGVO insbesondere sammeln, archivieren und systematisch erfassen und dazu sämtliche Daten (§ 2b Z 5) verarbeiten, die erforderlich sind, um einen optimalen Zugang zu Daten (§ 2b Z 5) und Forschungsmaterial für Zwecke gemäß Art. 89 Abs. 1 DSGVO („Repositories“) zu gewährleisten, wie insbesondere:

1. Namensangaben gemäß § 2g Abs. 2 Z 1,

2. Personenmerkmale gemäß § 2g Abs. 2 Z 2, sowie insbesondere:

a) Zugehörigkeit zu einer sozialen, ethnischen oder kulturellen Gruppe,

b) soziale Stellung,

c) Beruf,

d) Sprachkenntnisse und sonstige, besondere Kenntnisse,

e) die Angaben gemäß lit. a bis d hinsichtlich der Vorfahren,

f) Personenkennung, insbesondere durch bereichsspezifisches Personenkennzeichen des Tätigkeitsbereichs „Bildung und Forschung“,

3. soweit verfügbar, Angaben zu sonstigen Betroffenen gemäß § 6 Abs. 4 E-GovG, die in Beziehung zu den natürlichen Personen stehen, deren Daten verarbeitet werden sollen:

a) Bezeichnung,

b) Rechtsform,

c) elektronische Kennung gemäß § 6 Abs. 3 E-GovG,

d) Angaben zur Beziehung zwischen den sonstigen Betroffenen und den natürlichen Personen, deren Daten verarbeitet werden sollen,

e) Gründungsdatum,

4. Adress- und Kontaktdaten gemäß § 2g Abs. 2 Z 5,

5. sonstige Daten, die für die Archivierung und Klassifikation erforderlich sind, wie etwa Fundortdaten oder Angaben gemäß § 2g Abs. 2 Z 1 und 2 zu Personen, die das Forschungsmaterial zur Verfügung gestellt haben, sowie

6. weitere Angaben, wie insbesondere:

a) politische Hintergrundinformationen,

b) religiöse Hintergrundinformationen,

c) rechtliche Hintergrundinformationen,

d) traditionelle Hintergrundinformationen,

e) Hintergrundinformationen betreffend die Gesundheit, Gesundheitsdaten oder genetische Daten oder

f) andere gruppenspezifische Hintergrundinformationen.

(Anm.: Datenschutz-Folgenabschätzung zu Abs. 1 siehe Anlage 7)

(2) Abweichend von § 2d Abs. 1 Z 8 und Abs. 2 Z 1 dürfen wissenschaftliche Einrichtungen, die Verantwortliche der Repositories gemäß Abs. 1 sind, anderen wissenschaftlichen Einrichtungen direkt personenbezogene Daten bereitstellen, wenn

1. sie die anderen wissenschaftlichen Einrichtungen über deren Pflichten nach diesem Abschnitt und der Datenschutz-Grundverordnung nachweislich aufgeklärt haben,

2. sie Vorkehrungen dafür getroffen haben, dass die anderen wissenschaftlichen Einrichtungen ihre Pflichten nach diesem Abschnitt einhalten, und

3. eine von einer vertretungsbefugten Person der anderen wissenschaftlichen Einrichtung unterfertigte Erklärung vorliegt, dass gegenüber der anderen wissenschaftlichen Einrichtung in den letzten drei Jahren

a) keine Untersagung gemäß § 22 Abs. 4 DSG erfolgte und

b) keine Maßnahme gemäß Art. 58 Abs. 2 Buchstaben f bis j DSGVO gesetzt wurde.

(3) Ungeachtet des Abs. 1 dürfen Daten und Forschungsmaterial, die als Grundlage für Tätigkeiten zu Zwecken gemäß Art. 89 Abs. 1 DSGVO verarbeitet wurden („Rohdaten“), ab Veröffentlichung der Ergebnisse dieser Tätigkeiten

1. zum Nachweis der Einhaltung guter wissenschaftlicher Praxis mindestens 10 Jahre sowie

2. zur Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen bis zu 30 Jahre

gespeichert und gegebenenfalls sonst verarbeitet werden.

(Anm.: Datenschutz-Folgenabschätzung zu Abs. 3 siehe Anlage 8)

(4) Verarbeitungen im Rahmen von biologischen Proben- und Datensammlungen aus Gründen des öffentlichen Interesses im Bereich der öffentlichen Gesundheit, wie dem Schutz vor schwerwiegenden grenzüberschreitenden Gesundheitsgefahren oder zur Gewährleistung hoher Qualitäts- und Sicherheitsstandards bei der Gesundheitsversorgung und bei Arzneimitteln und Medizinprodukten, stellen zulässige Verarbeitungen im Sinne des Art. 9 Abs. 2 Buchstaben h, i und j DSGVO dar. Die Verantwortlichen haben jedenfalls die folgenden, angemessenen und spezifischen Maßnahmen vorzusehen:

1. die schnellstmögliche Pseudonymisierung, wenn dennoch die Zwecke der Verarbeitungen erfüllt werden können, sowie

2. die Einhaltung der gemäß Art. 32 DSGVO erforderlichen Datensicherheitsmaßnahmen.

(Anm.: Datenschutz-Folgenabschätzung zu Abs. 4 siehe Anlage 9)

(5) Für Zwecke der Lehre, insbesondere das Verfassen schriftlicher Seminar- und Prüfungsarbeiten, Bachelorarbeiten sowie wissenschaftlicher und künstlerischer Arbeiten durch Studierende, dürfen sämtliche personenbezogene Daten verarbeitet werden, wenn sichergestellt ist, dass – außer zulässigen Verarbeitungen – keine Übermittlung an Empfängerinnen oder Empfänger zu anderen Zwecken als gemäß Art. 89 Abs. 1 DSGVO erfolgt.

(Anm.: Datenschutz-Folgenabschätzung zu Abs. 5 siehe Anlage 10)

(6) Für Zwecke der medizinischen Forschung und sterbefallbezogener Analysen darf die Bundesanstalt Statistik Österreich wissenschaftlichen Einrichtungen nach Vereinbarung der konkreten Anwendungsbereiche und eines angemessenen Kostenersatzes das Sterbedatum und die Todesursache von Betroffenen übermitteln. Die wissenschaftlichen Einrichtungen und deren Angehörige unterliegen hinsichtlich dieser Daten der Geheimhaltungspflicht gemäß § 17 Abs. 3 des Bundesstatistikgesetzes 2000 und dürfen diese Daten ausschließlich für wissenschaftliche Zwecke verwenden.

(7) An Medizinischen Universitäten bzw. Universitäten, an denen eine Medizinische Fakultät eingerichtet ist, ist vor Übermittlung gemäß Abs. 6 die Ethikkommission gemäß § 30 UG zu befassen. An anderen wissenschaftlichen Einrichtungen (§ 2b Z 12) ist – sofern eingerichtet – eine Ethikkommission gemäß § 8c KAKuG oder eine vergleichbare Ethikkommission zu befassen.