Datenschutzrecht

---

Rahmenbedingungen der IT-gestützten Datenverarbeitung an Hochschulen

Aus diesen technischen und organisatorischen Anforderungen und den sonstigen datenschutzrechtlichen Grundsätzen lassen sich für die IT-gestützte Datenverarbeitung an Hochschulen, wie sie im Rahmen eines eLearning-Systems erfolgt, die im Folgenden dargestellten Grundregeln herleiten.

• Datensparsamkeit und Datenvermeidung

Die Gebote der Datensparsamkeit und Datenvermeidung verpflichten zu einem umsichtigen Umgang mit personenbezogenen Daten. Es dürfen nur diejenigen Daten erhoben und verarbeitet werden, die für die Erfüllung der Verwaltungsaufgabe wirklich erforderlich sind.

• Rechnersicherheit

Die Rechnersicherheit setzt sich aus fünf Bestandteilen zusammen: Der Sicherheit des Betriebssystems, der Zugangskontrolle, der Organisation der Rechtevergabe, der Verteilung der Kontrolle und der physischen Sicherheit des Rechners.

• Sicherheit des Betriebssystems

Zunächst einmal ist das Betriebssystem selbst zu sichern. Es bedarf dabei nicht nur einer Absicherung gegen Computerviren, vielmehr ist auch das sog. Prinzip der geringstmöglichen Privilegierung zu beachten. Das bedeutet, dass jedes Programm nur so wenig (Schreib-) Rechte wie erforderlich erhält. Auf diesem Weg werden unnötige Gefahren vermieden und so zur Sicherheit des Systems beigetragen.

• Zugangskontrolle

Um den Rechner vor unbefugten Zugriffen zu schützen, bedarf es sowohl technischer, als auch organisatorischer Maßnahmen. Organisatorisch ist dafür Sorge zu tragen, dass personenbezogene Daten nicht in die Hände von Unbefugten geraten, sodass beispielsweise Emails nur an diejenigen versandt werden, die berechtigt sind, bestimmte Daten einzusehen. Technisch ist beispielsweise durch die Verwendung von Passwörtern, Chipkarten oder auch biometrischen Daten dafür Sorge zu tragen, dass nur autorisierte Personen auf den Rechner und dort gespeicherte Datenbestände zugreifen können.

• Organisation der Rechtevergabe

Die Zugangskontrolle lässt sich dabei u.a. durch ein sog. Rollen- Rechte- System verwirklichen. In derartigen Systemen werden Rollen entsprechend der Berechtigung des Betreffenden vergeben. Durch Autorisierung werden die Rechte beschränkt. Mancher hat dann lediglich eine Leseberechtigung, während andere auch schreiben, Daten verändern oder löschen dürfen. Durch die Organisation der Rechtevergabe wird dem Schutz des einzelnen vor unbefugter Datenverarbeitung Rechnung getragen.

• Verteilung der Kontrolle

Darüber hinaus kann der Rechnersicherheit auch durch eine Verteilung der Kontrolle Rechnung getragen werden. So kann beispielsweise eine Kontrolle des Systems durch eine unabhängige, außenstehende Stelle erfolgen. Auf diese Weise können Fehler und Lücken im System entdeckt werden.

• Physische Sicherheit des Rechners

Letztlich ist auch die physische Sicherheit des Rechners zu gewährleisten. Anders als die Zugangskontrolle ist hier bereits die Möglichkeit des physischen Kontakts zum Rechner zu unterbinden.

• Netzsicherheit

Datenschutz im vernetzten Computersystem erschöpft sich jedoch nicht darin, den einzelnen Rechner gegen Zugriffe von Unbefugten zu bewahren. Da Daten auch im Netz transportiert werden und auf ihrem Transportweg eingesehen werden können, sind auch hier die erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen.

Hier bietet sich – soweit dies im Rahmen des Verarbeitungszwecks möglich ist - eine Pseudonymisierung, bzw. eine Anonymisierung der personenbezogenen Daten an. Durch diese Maßnahmen geht der Personenbezug verloren und die Daten können ohne weiteres versandt werden. Werden die Daten dann von Unbefugten eingesehen, ist das Persönlichkeitsrecht nicht mehr betroffen.

Kann der Personenbezug der Daten nicht gelöst werden, so bieten Kryptographie, also die Verschlüsselung von Daten, bzw. Steganographie, also das Einbetten der Daten in eine harmlos wirkende Hüllnachricht, Schutz für die personenbezogenen Daten.

• Grundsatz der Erforderlichkeit

Die datenverarbeitende Stelle hat nur diejenigen technischen und organisatorischen Maßnahmen vorzunehmen, die erforderlich sind, um den Betroffenen vor einer Beeinträchtigung seines Persönlichkeitsrechts zu schützen. Erforderlich sind Maßnahmen nach Art. 7 Abs. 1 S. 2 BayDSG nur dann, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht. Hierbei sind einerseits die finanziellen Kosten zu berücksichtigen, die durch entsprechende Datenschutzmaßnahmen entstehen, andererseits aber auch organisatorische Aufwendungen, wie z.B. ein höherer Zeitaufwand durch die Einführung neuer Schutzmaßnahmen (Wilde/Ehmann/Niese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 7 Rn. 7). Welche Maßnahmen angemessen sind, lässt sich daher nur anhand der konkreten Umstände des Einzelfalls beurteilen (Wilde/Ehmann/Niese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 7 Rn. 8). Die ausgewählten Schutzmaßnahmen sollten sich am aktuellen Stand der Technik orientieren und zur Abwehr realistischer Bedrohungen geeignet sein (Heibey, in: Roßnagel, Handbuch Datenschutzrecht?, 2003, 4.5. Rn. 30). Eine Zusammenstellung solcher Sicherheitsmaßnahmen enthält z.B. das IT-Grundschutzhandbuch des Bundesamtes für Sicherheitstechnik in der Informationstechnik (BSI) (Das IT-Grundschutzhandbuch, Version 2004, ist abrufbar unter: http://www.bsi.de/gshb/deutsch/download/GSHB2004.pdf).