Inhaltsverzeichnis (verbergen)
Datenschutzrecht
Rechte des Betroffenen
Die Schutzrechte des jeweiligen Betroffenen ergeben sich aus den Art. 9 14 BayDSG. Neben dem Recht den Landesbeauftragen für den Datenschutz anzurufen, steht ihm das Recht auf Auskunft und Benachrichtigung, Berichtigung, Löschung, Sperrung und Schadensersatz zu. Die wichtigsten Rechte des Betroffenen sollen im Folgenden kurz dargestellt werden.
- Auskunftserteilung
Das Verfahren der Auskunftserteilung ist in Art. 10 BayDSG geregelt. Auf Antrag des Betroffenen hat die speichernde Stelle Auskunft hinsichtlich der gespeicherten Daten und der Art der Verwendung zu erteilen. Die Auskunftserteilung erfolgt, sofern nicht ein besonderer Verwaltungsaufwand damit verbunden ist, kostenlos. Ein derartiger besonderer Verwaltungsaufwand ist im Vergleich zum Normalfall zu ermitteln. In diesem Vergleich muss der Aufwand höher als üblich sein. Der Auskunftsantrag bedarf keiner besonderen Form, kann also auch mündlich gestellt werden. Allerdings muss die Identität des Betreffenden zweifelsfrei festgestellt werden können.
Die Auskunftserteilung darf nur unterbleiben, wenn dies zur ordnungsgemäßen Aufgabenerfüllung oder zur Wahrung der öffentlichen Sicherheit und Ordnung erforderlich ist oder eine Rechtsvorschrift die Geheimhaltung vorsieht. Derartige Ausnahmetatbestände dürften hier nicht erfüllt sein.
- Berichtigung
Wenn bei einer datenverarbeitenden Stelle unrichtige personenbezogene Daten gespeichert sind bzw. anderweitig verwendet werden, so sind diese gem. Art. 11 S. 1 BayDSG zu berichtigen. Die gespeicherten Daten sind immer dann zu berichtigen, wenn sie unrichtig sind. Unrichtig sind Daten dann, wenn sie Informationen erhalten, die nicht mit der Wirklichkeit übereinstimmen oder nur ein unvollständiges Bild derselben abgeben (Gola/Schomerus, BDSG. Kommentar, 9. Aufl. 2007, § 20 Rn. 3). Es ist unerheblich, wie es zu der Unrichtigkeit des Datensatzes gekommen ist, ob vorsätzlich oder fahrlässig, ob bereits bei der Datenspeicherung oder erst danach (Gola/Schomerus, BDSG. Kommentar, 9. Aufl. 2007, § 20 Rn. 3).
Die Verpflichtung der datenverarbeitenden Stelle, hier also der Universität, zur Datenberichtigung besteht unabhängig davon, ob der jeweilige Betroffene einen Antrag gestellt hat. Die datenverarbeitende Stelle muss also von Amts wegen tätig werden, sobald sie die Unrichtigkeit des betreffenden Datums bemerkt hat. Andererseits kann auch der Betroffene auf die Berichtigung hinwirken Wird die Richtigkeit der Daten vom Betroffenen bestritten, so ist dies in den Akten zu vermerken. Andererseits kann eine Berichtigung auch von Amts wegen erfolgen. Der Betroffene muss in diesem Fall nicht benachrichtigt werden. Grundsätzlich besteht keine Pflicht der datenverarbeitenden Stelle, den Betroffenen über durchgeführte Datenberichtigungen zu informieren. In Einzelfällen kann dies allerdings angezeigt sein, um Schaden von dem Betroffenen abzuwenden (Wilde/Ehmann/Niese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 11 Rn. 4). Bezogen auf die hier zu diskutierenden Lernbiographien wäre beispielsweise im Fall der Anzeige falscher Prüfungsergebnisse davon auszugehen, dass eine spätere Berichtigung dem betroffenen Studierenden auch mitzuteilen wäre.
- Löschung und Sperrung
Für die Löschung und Sperrung von Daten gilt Art. 12 BayDSG. Personenbezogene Daten sind zu löschen, wenn ihre Speicherung unzulässig ist oder ihre Kenntnis für die speichernde Stelle zur Erfüllung der in ihrer Zuständigkeit liegenden Aufgaben nicht mehr erforderlich ist (Art. 12 Abs. 1 BayDSG). Die im Rahmen der individuellen Lernbiografien gespeicherten Daten sind daher u.U. bereits mit der Exmatrikulation zu löschen.
Eine weitere Speicherung kann aber im Hinblick auf eine spätere Nachweisbarkeit der gespeicherten Daten noch erforderlich sein. Auch die Länge der Speicherzeit bemisst sich nach dem Grundsatz der Erforderlichkeit zur konkreten Aufgabenerfüllung. Da die individuelle Lernbiografie mit der Löschung der gespeicherten Daten unwiederbringlich verloren ist, scheint es ratsam, die Daten auch und gerade im Hinblick auf das schutzwürdige Interesse des Betroffenen nicht zu löschen, sondern lediglich zu sperren. Die Daten sind zu sperren, wenn ihre Richtigkeit vom Betroffenen bestritten wird und sich weder die Richtigkeit noch die Unrichtigkeit feststellen lässt. Sie sind auch zu sperren, wenn eine Löschung wegen der besonderen Art der Speicherung nicht oder nur mit unverhältnismäßig hohem Aufwand möglich ist (Art. 12 Abs. 2 BayDSG). Sie sind auch dann nur zu sperren, wenn Grund zu der Annahme besteht, dass durch eine Löschung die schutzwürdigen Interessen des Betroffenen beeinträchtigt werden (Art. 12 Abs. 5 BayDSG).
- Schadensersatz
Wenn eine öffentliche Stelle einem Betroffenen durch eine unzulässige oder unrichtige Datenverwendung einen Schaden zufügt, so kann sie gem. Art. 14 BayDSG zum Ersatz dieses Schadens verpflichtet sein. Das Gesetz unterscheidet hier zwei Fälle: Wenn ein Schaden durch eine unzulässige oder unrichtige Erhebung, Verarbeitung oder Nutzung von personenbezogenen Daten entsteht, besteht zwar eine grundsätzliche Ersatzpflicht, sie entfällt aber dann, wenn die öffentliche Stelle die nach den Umständen des Falles gebotene Sorgfalt beachtet hat (Art. 14 Abs. 1 BayDSG).
Wenn dagegen ein Schaden bei einer unzulässigen oder unrichtigen automatisierten Verarbeitung von personenbezogenen Daten entsteht, so besteht eine Ersatzpflicht unabhängig von einem Verschulden (Art. 14 Abs. 2 BayDSG). Eine automatisierte Verarbeitung ist die Erhebung, Verarbeitung oder Nutzung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen (vgl. § 3 Abs. 2 S. 1 BDSG). Hieraus ergibt sich, dass die meisten im Rahmen eines Online-Campus durchgeführten Datenverarbeitungsvorgänge automatisiert erfolgen.
Unzulässig ist eine Datenverarbeitung, wenn sie rechtswidrig ist, wenn sie also gegen (datenschutz)rechtliche Vorschriften verstößt (Wilde/Ehmann/Niese/Knoblauch, BayDSG, Loseblattsamml., Stand:Oktober 2007, Art. 14 Rn. 6). Unrichtig ist die Erhebung, Verarbeitung oder Nutzung von Daten dann, wenn die verwendeten Datenbestände hierdurch fehlerhaft werden. Dabei ist es nicht von Belang, ob die entsprechenden Fehler durch einen Rechenvorgang ausgelöst wurden oder ob bereits Fehler bei der Eingabe der Daten begangen wurden (Wilde/Ehmann/Niese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 14 Rn. 7).
In der Praxis spielen diese Schadensersatzansprüche allerdings keine große Rolle. Denn zumeist wird es dem Betroffenen sehr schwer fallen, einen konkreten materiellen (also in Geld messbaren) Schaden nachzuweisen, der ihm durch einen unrichtigen Datenverarbeitungsvorgang entstanden ist (Wilde/Ehmann/Niese/Knoblauch, BayDSG, Loseblattsamml., Stand: Oktober 2007, Art. 14 Rn. 2). Ein solcher Nachweis dürfte auch bei der Anzeige falscher Prüfungsergebnisse bzw. einer Beratung, die auf falschen Prüfungsergebnissen beruht, nur sehr schwer möglich sein.
Bei einem Fehler bei einer automatisierten Verwendung von Daten wird zwar auch ein immaterieller Schaden (also ein nicht in Geld zu messender Schaden) ersetzt, allerdings nur bei einer schweren Verletzung des Persönlichkeitsrechts (Art. 14 Abs. 2 S. 2 BayDSG). Eine solche schwere Verletzung des Persönlichkeitsrechts könnte z.B. dann anzunehmen sein, wenn höchst vertrauliche Daten eines Betroffenen, z.B. Daten über Krankheiten o. Ä., an die Öffentlichkeit gelangen. Die bloße (anonyme) Übermittlung bzw. Bekanntgabe eines falschen Prüfungsergebnisses dürfte im absoluten Regelfall keine derartige schwere Persönlichkeitsrechtsverletzung darstellen.
