Datenschutzrecht

Temporäre Freigabe der Studienmappe

Um eine individuelle Beratung durch Dozierende und Personen der Studienberatung ermöglichen zu können, kann es erforderlich werden, diesen Einblick in die individuellen Lernbiographien zu gewähren. Hier stellt sich einerseits die Frage, wie diese Freigabe datenschutzrechtlich zu beurteilen ist und unter welchen Voraussetzungen sie erfolgen kann.

• Datenschutzrechtliche? Beurteilung der Freigabe

Welche Form einer Datenverwendung vorliegt, beurteilt sich grundsätzlich aus Sicht der datenverarbeitenden Stelle. Wird einem Dritten Einsicht in die gespeicherten Daten gewährt, so handelt es sich hierbei um eine Datenübermittlung, welche nach Art. 4 Abs. 6 S. 2 Nr. 2 BayDSG auch das Bekanntgeben gespeicherter oder durch Datenverarbeitung gewonnener personenbezogener Daten an Dritte in der Weise bezeichnet, dass Dritte Daten einsehen oder abrufen, die von der speichernden Stelle zur Einsicht oder zum Abruf bereitgehalten werden.

Gem. Art. 17 Abs.1 BayDSG dürfen personenbezogene Daten dann genutzt werden, wenn es erstens zur Erfüllung der in der Zuständigkeit der speichernden Stelle liegenden Aufgaben erforderlich ist und zweitens die Datennutzung auch für die Zwecke erfolgt, für die die Daten erhoben worden sind. Dies ist hier durchaus fraglich.

Zunächst wird man davon ausgehen können, dass die Beratung von Studierenden zu den in der Zuständigkeit der speichernden Stelle – hier also der Universität – liegenden Aufgaben gehört. Um eine Studienberatung durchführen zu können, wird es auch notwendig sein, die bisherigen Leistungen der Studierenden zur Kenntnis zu nehmen. Die Datenübermitllung in Form der Zugänglichmachung der Daten ist somit erforderlich. Für die elektronische Übermittlung kann hier weiterhin angeführt werden, dass durch Gewährung der Einsicht garantiert werden kann, dass alle datenverarbeitenden Stellen von derselben Tatsachenbasis ausgehen. Problematisch ist hingegen, ob die Datenübermittlung zu den Zwecken erfolgt, für die die Daten erhoben wurden. Die hier maßgeblichen Daten wurden von der Universität nach Art. 42 Abs. 4 S. 4 Nr. 3 BayHSchG als solche Daten erhoben, die für die Meldung und die Zulassung sowie die Abnahme von Prüfungen oder Studienleistungen nach den jeweiligen Prüfungs- und Studienordnungen notwendig sind. Geht man hier davon aus, dass auch eine Studienberatung im Einzelfall für die Zulassung und die Abnahme von Prüfungsleistungen erforderlich sein kann, würden die Daten bei einer Studienberatung zu dem Zweck verwendet werden, für den sie auch erhoben wurden.

Weiterhin könnte allerdings auch argumentiert werden, dass der angebotene Dienst der „elektronischen Studienberatung“ nur dann genutzt werden kann, wenn die hier relevanten Daten an die Studienberatung übermittelt werden. Somit könnte die Datenübermittlung auch auf die Rechtsgrundlage des § 15 Abs. 1 TMG gestützt werden. Er erlaubt die Erhebung und Verwendung personenbezogener Daten eines Nutzers soweit dies erforderlich ist, um die Inanspruchnahme von Telemedien zu ermöglichen und abzurechnen. Der Argumentationsansatz ist allerdings insoweit verfehlt, als dass die Studienberatung selbst ja gerade eine Offline-Nutzung darstellt, die für den Betrieb des Telemediendienstes Stud.IP nicht erforderlich ist. Sollte man hiervon nicht ausgehen, so würde im Hinblick auf die Daten, die der Universitätsangestellte für die Studienberatung nutzt, eine so genannte Zweckänderung vorliegen. Eine solche Zweckänderung ist unter bestimmten Voraussetzungen zulässig (vgl. Art. 17 Abs. 2 BayDSG). In Betracht kommt hier vor allem eine Einwilligung des Betroffenen gem. Art. 17 Abs. 2 Nr. 2 BayDSG. Eine solche Einwilligung in eine Datenverwendung muss allerdings im Regelfall schriftlich erteilt werden, wenn nicht auf Grund besonderer Umstände eine andere Form angemessen ist (vgl. Art. 15 Abs. 3 S. 1 BayDSG) (im Anwendungsbereich des Telemediengesetzes (TMG) ist auch eine Einwilligung in elektronischer Form möglich (vgl. § 13 Abs. 2 TMG). Allerdings gilt das TMG nach der h.M. nicht für so genannte Inhaltsdaten (vgl. Roßnagel, in: Roßnagel, Handbuch Datenschutzrecht?, 7.9. Rn. 37.). Die Daten aus der Studienmappe stellen wohl aber derartige Inhaltsdaten dar, so dass die Möglichkeit einer elektronischen Einwilligung sehr fraglich ist.). Ob besondere Umstände vorliegen, ist stets an Hand spezifischer Verarbeitungsumstände festzulegen (vgl. Simitis, in: Simitis, Bundesdatenschutzgesetz, 6. Aufl. 2006, § 4a Rn. 45). Da es sich bei Blick des Dozierenden auf die Daten nur um eine zeitlich begrenzte Datennutzung handelt, die keine weiteren Datenverarbeitungsvorgänge nach sich zieht, wird man hier wohl vertreten können, dass in diesem Fall auf Grund besonderer Umstände keine schriftliche Einwilligung notwendig ist. Auch in einem derartigen Fall ist jedoch zu beachten, dass eine konkludente Einwilligung in eine Datenverwendung nicht ausreichend ist (Simitis, in: Simitis, Bundesdatenschutzgesetz, 6. Aufl. 2006, § 4a Rn. 44).

• Rechtskonforme Einwilligung

Wie oben ausgeführt ist zunächst fraglich, ob für die betreffende Datennutzung überhaupt eine Einwilligung notwendig ist (vgl. Gliederungspunkt III.1.). Wenn eine Einwilligung erforderlich ist, so ist zu berücksichtigen, dass eine derartige Einwilligung zwar grundsätzlich schriftlich zu erteilen ist, hier aber von dem Vorliegen besonderer Umstände ausgegangen werden kann, so dass auch eine mündliche oder eine elektronische Einwilligung („per Mausklick“) in Betracht kommt. Ob eine zusätzliche Authentifizierung notwendig ist, ist eine Frage der Datensicherheit. Nach Art. 7 Abs. 2 BayDSG müssen Maßnahmen zur Benutzerkontrolle getroffen werden. Dies bedeutet, dass verhindert werden soll, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können. Wie bei allen technischen und organisatorischen Maßnahmen, die Art. 7 BayDSG vorgibt, gilt auch bei der Benutzerkontrolle, dass die erforderlichen Maßnahmen getroffen müssen. Erforderlich sind Maßnahmen nach Art. 7 Abs. 1 S. 2 BayDSG nur dann, wenn ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht. Welche Maßnahmen im Einzelfall erforderlich sind, hat die datenverarbeitende Stelle mit Hilfe einer Risikoanalyse selbst zu entscheiden. Wenn also im konkreten Fall durch eine zusätzliche (u.U. technisch aufwändige) Authentifizierung die Datensicherheit nur unwesentlich erhöht wird, so wäre diese Maßnahme nicht erforderlich und müsste somit nicht umgesetzt werden.