Inhaltsverzeichnis (verbergen)
Datenschutzrecht
Rechtliche Fragestellungen im Zusammenhang mit Smart-Cards
Der Erfüllung besonderer Zulässigkeitsvoraussetzung bedarf der Einsatz von Smart-Cards an der Universität. Eine Smart-Card stellt ein mobiles personenbezogenes Speicher- und Verarbeitungsmedium i.S.d. § 3 Abs. 10 BDSG dar, welches mit einem Prozessorchip ausgestaltet ist, sodass personenbezogene Daten über die Speicherung hinaus automatisiert verarbeitet werden können (Gola/Schomerus, BDSG. Kommentar, 9. Aufl. 2007, § 3 Rn. 58). Maßgebendes Kriterium für die Qualifizierung als Smart-Card ist, dass der Benutzer zwar über die Verwendung der Karte, nicht jedoch über die Datenverarbeitung als solche entscheiden kann (Gola/Schomerus, BDSG. Kommentar, 9. Aufl. 2007, § 3 Rn. 58). Im Gegensatz zum Bundesrecht (vgl. § 6 c BDSG) und dem Datenschutzrecht in einigen Bundesländern stellt das BayDSG aber bislang noch keine Sonderregelungen für derartige Medien auf. Somit finden die bereits dargelegten allgemeinen Regelungen Anwendung.
Zugangskontrolle hinsichtlich der gespeicherten Daten
Die Inhalte, die auf einer Smart-Card abgelegt sind, müssen einer strengen Zugangskontrolle unterliegen. Dies gebietet bereits der datenschutzrechtliche Grundsatz des Datengeheimnisses. Daher hat die Universität Passau als datenerhebende Stelle gemäß Art. 7 Abs. 1 BayDSG die technischen und organisatorischen Maßnahmen zu treffen, die für die Ausführung des BayDSG erforderlich sind. Bei einer automatisierten Datenverarbeitung wie bei einer universitären Smart-Card sind hierzu je nach der Eignung der für den Schutz der bestimmten Art der personenbezogenen Daten eine oder mehrere der in Art. 7 Abs. 2 BayDSG aufgeführten Maßnahmen zu verwirklichen.
Auskunftsrecht
Zur Kontrolle, welche Daten über ihn gespeichert werden, steht dem Nutzer zunächst ein Auskunftsrecht zu. Dies ergibt sich aus Art. 10 BayDSG. Danach hat die speichernde Stelle (hier die Universität) den Nutzern auf Antrag u.a. Auskunft über die zu ihrer Person gespeicherten Daten zu erteilen, sowie über den Zweck und die Rechtsgrundlage der Datenerhebung, Verarbeitung und Nutzung. Das Auskunftsverlangen ist an keine spezielle Form gebunden, es muss also z.B. nicht etwa schriftlich erfolgen (Tinnefeld/Ehmann/Gerling, Einführung in das Datenschutzrecht, 4. Aufl. 2005, S. 594). Um der speichernden Stelle die Arbeit zu erleichtern, soll allerdings in dem Antrag gem. Art. 10 Abs. 3 S. 1 BayDSG die Art der personenbezogenen Daten, über die Auskunft erteilt werden soll, näher bezeichnet werden. Die Auskunft ist im Normalfall gem. Art. 10 Abs. 2 BayDSG kostenfrei; es sei denn, dass mit der Auskunftserteilung ein besonderer Verwaltungsaufwand verbunden ist.
Anspruch auf Berichtigung, Löschung, Sperrung
Weiterhin stehen den Nutzern einer Campus-Card unter Umständen gesetzliche Ansprüche auf Berichtigung, Löschung und Sperrung der zu ihrer Person gespeicherten Daten nach Maßgabe der Art. 11 und 12 BayDSG zu. Eine Berichtigung personenbezogener Daten hat gem. Art. 11 S.1 BayDSG zu erfolgen, wenn diese unrichtig sind. Daten sind nicht nur bei offenkundigen Fehlern unrichtig (z.B. falsches Geburtsdatum), sondern auch in all den Fällen, in denen ein so großer Kontextverlust eintritt, dass Fehlvorstellungen über die Daten wahrscheinlich sind (Tinnefeld/Ehmann/Gerling, Einführung in das Datenschutzrecht, 4. Aufl. 2005, S. 595).
Eine Löschung personenbezogener Daten hat nach Art. 12 Abs. 1 BayDSG zu erfolgen, wenn die Speicherung der Daten entweder unzulässig war oder aber die Kenntnis der Daten für die speichernde Stelle (hier also für die Universität) zur ihrer Aufgabenerfüllung nicht mehr erforderlich ist.
Schließlich hat eine Sperrung personenbezogener Daten u.a. dann zu erfolgen, wenn die Richtigkeit der Daten vom Betroffenen bestritten wird, sich aber weder die Richtigkeit noch die Unrichtigkeit der Daten feststellen lässt oder auch dann, wenn eine Löschung der Daten technisch nicht möglich wäre oder mit einem unverhältnismäßig hohen Aufwand verbunden wäre (Art. 12 Abs. 2 BayDSG).
Verfahrensverzeichnis
Darüber hinaus können Nutzer einer Campus-Card Informationen zur Datenspeicherung auch aus dem Verfahrensverzeichnis gewinnen, das von jeder öffentlichen Stelle nach Maßgabe von Art. 27 BayDSG zu führen ist. In dem Verzeichnis muss die öffentliche Stelle, hier also die Universität, alle Datenverarbeitungsanlagen, die bei ihr eingesetzt werden und alle freigegeben automatisierten Verfahren (hierzu gehört auch ein Campus-Card-System) aufführen.
Anrufung des Landesbeauftragten für den Datenschutz
Schließlich besitzt jeder Nutzer einer Campus-Card das Recht, den Landesbeauftragten für Datenschutz in Bayern anzurufen. An diesen kann sich jedermann mit dem Vorbringen wenden, bei der Erhebung, Verarbeitung oder Nutzung seiner personenbezogener Daten durch öffentliche Stellen in seinen Rechten verletzt worden zu sein (Art. 9 BayDSG).
