Forschung ist wichtig. Sich das Deckmäntelchen der Forschung anzulegen, um unkontrollierten Zugang zu sensiblen Daten der Verwaltung zu bekommen, ist es nicht.

Bundeskanzler Sebastian Kurz hat Anfang Juli ein Gesetz zur Registerforschung in Begutachtung geschickt, das einen Paradigmenwechsel im Umgang des Staates mit unseren Daten bedeutet. Damit wird der langjährige Wunsch einiger Gruppen in der Österreichischen Wissenschaftscommunity erfüllt, Zugriff auf staatliche Datenbanken (Registerdaten) zu bekommen. Seit 2018 war der Zugriff auf staatliche Register zwar bereits per Verordnung möglich, das wurde aber kaum genutzt. Mit diesem Gesetz von Kanzler Kurz soll der Zugriff beim neu geschaffenen Austrian Micro Data Center (AMDC) gebündelt werden. Wir begrüßen diese Bündelung an einer Stelle und halten die Statistik Austria auch für den richtigen Ort dafür, jedoch hat der vorliegende Entwurf gravierende Mängel aus Datenschutzsicht und riskiert den Missbrauch an einer enormen Menge an Daten über die gesamte Bevölkerung. Man kann mit der zentralen Stelle des AMDC die Anonymisierung der Daten genauso sicherstellen, wie die Unabhängigkeit und Transparenz der durchgeführten Forschungsvorhaben. Der vorliegende Entwurf versäumt jedoch beides. In unserer juristischen Stellungnahme  zeigen wir die Probleme auf und bieten Lösungsvorschläge an.

Die Begutachtung läuft noch bis 10. August und wir hoffen, dass Bundeskanzler Sebastian Kurz diesen desaströsen Entwurf noch überarbeitet. Um der Gefahr seines Gesetzes Nachdruck zu verleihen, haben wir Sebastian Kurz für den Negativpreis im Datenschutz – den Big Brother Award – nominiert.

Um welche Daten geht es?

Mit dem geplanten Gesetz werden sowohl alle Daten geöffnet, die die Statistik Austria heute schon hat und verbunden mit Daten aus allen anderen staatlichen Registern, die durch das zuständige Ministerium per Verordnung für die Forschung freigegeben wurden. Die ELGA Gesundheitsdaten sind bereits im Gespräch für eine solche Öffnung und dies würde alle Patient*innenakten und Medikationen beinhalten. Viele Informationen der Finanzämter finden sich bereits heute bei der Statistik Austria und wären sofort von einer Öffnung betroffen. Denkbar wäre auch eine Öffnung der Daten der Justiz, dem Fremdenwesen oder die kürzlich ausgebaute Bildungsdokumentation mit dem vollständigen Bildungsverlauf von Volksschule bis zur AMS Schulung vor der Pension.
All diese verschiedenen Datenquellen über eine Person liegen in einer Form vor, in der sie mit einander kombiniert werden können und ein Gesamtbild über einen Menschen entsteht. Genau eine solche Superdatenbank soll es nach dem E-Government Prinzipien in Österreich eigentlich nicht geben. Deshalb hat man 2004 die bereichsspezifischen Personenkennzeichen als Firewall zwischen den Ministerien eingeführt. Dieses alte Prinzip wird mit dieser Reform abgeschafft und es entsteht an einer Stelle ein extrem eingriffstiefes Bild über die gesamte Bevölkerung.

Die Statistik Austria wäre in der Lage auch so einen großen Datenberg sauber zu anonymisieren, bevor sie diesen an Dritte herausgibt. Der vorliegende Entwurf schränkt die Möglichkeit der Anonymisierung aber auf eine taxative Liste an Merkmalen ein. Lediglich der Name, die Adresse und andere eindeutige Nummern, wie Sozialversicherungsnummern dürfen mit Pseudonymen ersetzt werden. Bei diesem Vorgehen muss man davon ausgehen, dass so gut wie jeder Mensch in den verbleibenden Daten eindeutig identifizierbar ist und es sich damit um personenbezogene Daten im Sinne der DSGVO handelt. Diese Ansicht vertreten nicht nur wir, sondern auch der Datenschutzrat in seiner kritischen Stellungnahme zum Entwurf von Kanzler Kurz . Unsere Krankengeschichte und Bildungshistorie ist recht eindeutig und gibt es beispielsweise in einer kleinen Gemeinde nur einen 90-Jährigen, reicht die Jahreszahl und der Name des Ortes aus, um die Person eindeutig zu identifizieren.

Schutzlücke Forschungsvorhaben

Das Gesetz des Bundeskanzleramtes stellt nicht sicher, dass nur anerkannte Forschungsinstitutionen Zugriff auf die Daten bekommen. Es gibt eine demonstrative Liste mit Institutionen, aber die Statistik Austria kann weitere Institutionen nach sehr breiten Kriterien hinzufügen. Das Vorbild ist die EU-Statistikbehörde Eurostat, auf deren Liste nicht nur die Wirtschaftslobby Organisation Agenda Österreich, sondern auch die Firma Synthesis Forschung GmbH ist, die den umstrittenen AMS-Algorithmus programmiert hat. Die Erläuterungen des Gesetzes legen auch nahe, dass Banken oder Ministerien ebenfalls zugriffsberechtigt sein sollen und es gibt keine Einschränkung auf hier ansässige Institutionen. Es gibt keinerlei Kriterien um auch nur offenzulegen, ob die geplante Forschung im öffentlichen Interesse ist oder welche wirtschaftlichen Interessen sie verfolgt. Die „Hauptergebnisse“ müssen zwar im Internet veröffentlicht werden, aber alle anderen Ergebnisse können geheim gehalten werden. Wenn eine Institution einmal Zugriff auf Registerdaten bekommen hat, dann darf sie diese auch für andere Forschungszwecke auch abseits des eingereichten Forschungsvorhabens verwenden.

Statistikgeheimnis und Fernzugriff

Positiv bewerten wir im vorliegenden Entwurf den Plan das Statistikgeheimnis, das den Straftatbestand der Verletzung des Amtsgeheimnisses erfüllt, auch auf Mitarbeiter*innen der zugriffsberechtigten Institutionen auszuweiten. Leider ist die Bestimmung so offen formuliert, dass eine Verwendung der Daten abseits des genehmigten Forschungsvorhaben für andere Forschungsinteressen nicht strafbewährt ist. Ebenfalls positiv ist, dass die Daten den Forschenden nur im Fernzugriff zugänglich gemacht werden. Hierbei ist jedoch in der Legaldefinition die Möglichkeit vergessen worden, die Daten von dem gesicherten Rechner über das Netzwerk zu kopieren, was deshalb derzeit ebenfalls straffrei wäre.

Wenn eine Institution gegen diese Regeln verstößt und Datenmissbrauch begeht, dann kann sie zukünftig vom Zugriff auf die Registerdaten ausgeschlossen werden. Aber es liegt einzig und allein bei der Statistik Austria, ob dieser Ausschluss passiert oder nicht. Weder werden die vom Missbrauch ihrer Daten Betroffenen informiert, noch die Öffentlichkeit. Es gibt keine Verpflichtung für die Statistik Austria zu handeln oder als einzige Kontrollinstanz jemandem darüber zu berichten, was problematisch ist, weil der Zugriff auf Registerdaten durch das AMDC eine Geldquelle für die Statistik Austria ist. Institutionen müssen für jedes Forschungsprojekt aufs Neue zahlen. Wichtig für die Beurteilung, ob eine Institution in Zukunft ausgeschlossen wird, sind deren Maßnahmen einen weiteren Missbrauch in Zukunft zu verhindern. Diese müssen der Statistik Austria aber nicht bewiesen werden, es reicht eine simple „Glaubhaftmachung“ (viel niedrigerer Standard).

Abbau von Kontrollen gegen Missbrauch

Angesichts der enormen Ausweitung der Verarbeitung sensibelster personenbezogener Daten aus fast allen erdenklichen Lebensbereichen erscheint es besonders verstörend, dass im vorliegenden Entwurf auch die Protokollpflichten von Forschungseinrichtungen abgebaut werden. Bisher muss jede Operation auf personenbezogenen Daten protokolliert werden und der Entwurf will dies ohne einer wirklichen Begründung einschränken. Eine vollständige Protokollierung des Zugriffs auf personenbezogene Daten ist der internationale Standard, auch im heiklen sicherheitspolizeilichen oder nachrichtendienstlichen Bereich. Protokollierung ist oft der einzige Weg Missbrauch solcher Daten zumindest im Nachhinein festzustellen, wenn zum Beispiel die Ex-Freundin oder Personen des öffentlichen Interesses in den Daten gesucht werden. Der Abbau dieser Kontrollinstrumente weckt Zweifel an der Motivation des Bundeskanzleramts mit diesem Entwurf.

Die Kontrolle der Protokolle und der Forschungsergebnisse vor ihrer Veröffentlichung obliegt der Statistik Austria. Deren Möglichkeit diese Kontrolle auszuführen werden mit dem Entwurf aber auf Stichproben und algorithmische Kontrollen eingeschränkt, was an eine Einladung zum Missbrauch grenzt.

Zusätzlich räumt der Gesetzentwurf zwar konkurrierenden Unternehmen einen besonderen Schutz ein, indem Forschungseinrichtungen mit wirtschaftlichen Verstrickungen nicht die Daten anderer Unternehmen im selben Markt sehen können, einen vergleichbaren Schutz gibt es jedoch nicht für natürliche Personen. Wieso werden Geschäftsgeheimnisse als schützenswerter eingeordnet, als der Schutz des Individuums und der Freiheitsrechte von Einzelpersonen?

Registerforschung: eigentlich ein lösbares Problem

Für alle oben genannten Probleme finden sich in unserer Stellungnahme Lösungsvorschläge. Ein zentraler Baustein davon ist ein Registerforschungsrat. Ähnlich wie bei dem bereits existierenden Statistik- und Wirtschaftsbeirat der Statistik Austria, handelt es sich auch hier um hochkomplexe Fragen. Es braucht ein unabhängiges Gremium aus Wissenschaftler*innen und Datenschützer*innen, das im Einzelfall Forschungsanliegen prüft und über den Zugriff auf personenbezogene Daten entscheidet. Es muss möglich sein ein Forschungsvorhaben abzulehnen, wenn dieses eindeutig kein allgemeines öffentliches, sondern ein rein wirtschaftliches Interesse einzelner Firmen verfolgt. Es muss auch möglich sein überschießende Anfragen auf zu viele Daten abzulehnen oder auf aggregierte und sauber anonymisierte Daten zusammen zu kürzen. Aber für diese Art von Entscheidungen ist die Statistik Austria nicht geeignet und braucht die Hilfe eines neutralen Fachgremiums.

Wenn man diesen Weg wählt, dann wäre es auch ein Leichtes die genehmigten Forschungsvorhaben mit ihren Zielen und dem gewährten Datenzugriff transparent anzuführen. Letztendlich geht es hier um Daten über uns alle, die mit unserem Steuergeld erhoben wurden. Wir sollten Einsichtsrechte haben, wer darauf zu welchem Zweck zugreift. Dann kann die Forschung ermöglicht werden, die wir in Österreich im Sinne der Allgemeinheit brauchen, jedoch muss die Gefahr des Missbrauchs dieses neuen Instruments durch Kanzler Kurz erst gebannt werden.

Zur juristischen Stellungnahme