Nach dem Grundsatz des Verbotes mit Erlaubnisvorbehalt muss jeder Umgang mit personenbezogenen Daten auf einen Erlaubnistatbestand gestützt werden. Einer der zentralen Erlaubnistatbestände ist die Einwilligung des Betroffenen. Die Möglichkeit der Einwilligung ist in § 4 Abs. 1 S. 1 Var. 3 DSG LSA geregelt.
Relevanz im Hochschulbereich
Die Universität ist eine Körperschaft des öffentlichen Rechts, sodass für sie die Normen über den Umgang öffentlicher Stellen mit personenbezogenen Daten gelten. Danach dürfen öffentliche Stellen nur Daten erheben, verarbeiten oder nutzen, die sie zu ihrer Aufgabenwahrnehmung benötigen. Wenn der Umgang mit den Daten nicht zur Aufgabenerfüllung erforderlich ist, kann auch keine Einwilligung das Erheben, Verarbeiten oder Nutzen erlauben.[1] Abweichend von diesem Grundsatz gibt es gem. § 10 Abs. 2 DSG LSA für das Speichern, Verändern und Nutzen jedoch die Möglichkeit der Erlaubnis durch Einwilligung des Betroffenen.
Das Erheben der Daten kann zuerst auf spezialgesetzliche Tatbestände wie § 119 HSG LSA gestützt werden, der das Erheben von personenbezogenen Daten für Verwaltungszwecke der Universität bzw. Hochschule zulässt. Wenn solche spezialgesetzlichen Regelungen nicht auf den Fall zutreffend sind, ist auf die allgemeineren Bestimmungen im DSG LSA zurückzugreifen. Hier erlaubt wiederum § 9 Abs. 1 DSG LSA das Erheben von personenbezogenen Daten, wenn deren Kenntnis für die Aufgabenerfüllung der öffentlichen Stelle erforderlich ist. Ein Rückgriff auf das Instrument der Einwilligung ist nur dann geboten, wenn keine Zulässigkeitsnormen für die öffentliche Stelle vorliegen. Ein Beispiel aus der universitären Praxis ist die Einschreibung für eine Prüfung im Löwenportal und eine darauffolgende Anwesenheitskontrolle vor Durchführung der eigentlichen Prüfung. § 119 HSG LSA regelt explizit, dass die Erhebung personenbezogener Daten für die Teilnahme an Prüfungen erlaubt ist, soweit die Erhebung dafür erforderlich ist. Um an einer Prüfung teilzunehmen, muss sich jede(r) Studierende im Löwenportal eintragen. Diese Eintragung ist notwendig, um zu wissen, wie viele Studierende geprüft werden. Davon ausgehend werden die Räume für die Prüfung gebucht und eine gewisse Anzahl an Kopien der Aufgabenblätter angefertigt. Folglich ist die Eintragung im Löwenportal für die Durchführung und Teilnahme an der Prüfung erforderlich, weshalb die Datenerhebung durch die spezialgesetzliche Grundlage des § 119 HSG LSA gedeckt ist. Wenn nun vor Ort vor Beginn der Prüfung durch Eintragung in ein Computerprogramm überprüft wird, wer zur Prüfung erschienen ist, werden erneut Daten erhoben, sodass eine neue Rechtsgrundlage dafür benötigt wird. Zu wissen, wer wirklich anwesend ist, ist keine Voraussetzung dafür, die Prüfung durchführen zu können. Folglich kann diese Erhebung nicht auf die speziellere Norm des § 119 HSG LSA gestützt werden, da der Fall nicht in ihren Anwendungsbereich fällt.
Hingegen sagt der allgemeinere § 9 Abs. 1 DSG LSA aus, dass eine Datenerhebung erlaubt ist, wenn sie für die Aufgabenerfüllung der öffentlichen Stelle nötig ist. Die Aufgabe des Prüfers liegt darin, die Prüfung ordnungsgemäß durchzuführen. Dafür ist es notwendig herauszufinden, wer wirklich anwesend ist, um ggf. falsch oder nicht gekennzeichnete Arbeiten dem bzw. der richtigen Studierenden zuzuordnen. Dies muss jedoch nicht unbedingt elektronisch erfolgen. Die Datei auf dem Computer kann viel leichter vervielfältigt bzw. mit anderen Daten abgeglichen werden, als eine Liste, die auf Papier angelegt wurde. Damit greift die analoge Fixierung der Namen viel weniger in die Rechte der Studierenden ein als die Datenerhebung per Computer, wonach diese nicht erforderlich ist. Folglich kann sie auch nicht auf § 9 Abs. 1 DSG LSA gestützt werden. Damit kommt man zum Anwendungsbereich der Einwilligung, die diese Art der Datenerhebung ggf. noch legitimieren könnte. Eine Einwilligung muss jedoch - wie sogleich gezeigt wird - immer freiwillig erfolgen. Wenn die Prüfung aber Voraussetzung für das Vorankommen im Studium ist, können die Studierenden nicht frei über ihre Teilnahme entscheiden, sodass ihre Einwilligung in diesem Fall unwirksam wäre. Das führt dazu, dass diese Datenerhebung unrechtmäßig, also nicht erlaubt ist.
Voraussetzungen einer wirksamen Einwilligung
Zentrale Norm für die Einwilligung ist § 4a BDSG auf Bundesebene sowie § 4 DSG LSA auf Landesebene. Hier werden die Erfordernisse an eine wirksame Einwilligung in den Umgang mit personenbezogenen Daten aufgeführt.
Freiwilligkeit
Die Einwilligung muss freiwillig sein, also auf der freien Entscheidung des Betroffenen beruhen. Diese Erwägung kommt aus dem privatrechtlichen Bereich, wo es oft so ist, dass sich aufgrund unterschiedlicher wirtschaftlicher Stärke ein starker und ein schwacher Part gegenüberstehen. Daraus ergibt sich, dass eine Person rein faktisch keine Wahl hat und einwilligen muss, womit die Einwilligung ihre legitimierende Wirkung für den Eingriff in das informationelle Selbstbestimmungsrecht verliert.[2]
Diese Situation findet sich auch im universitären Bereich. Die Studierenden sind, um später eine akademische Laufbahn oder einen anderen Beruf einschlagen zu können, darauf angewiesen, Leistungsnachweise von der Universität zu erhalten. Diese beruhen auf besuchten Lehrveranstaltungen und dem Absolvieren der dazugehörigen Prüfungen. Wird nun die Übermittlung von Daten an einen Dritten (z. B. Facebook) notwendig, um an einer Lehrveranstaltung teilzunehmen, kann der Studierende zwar noch immer seine Einwilligung verweigern, dies würde ihm aber gravierende Nachteile einbringen. Daher ist die Einwilligung unwirksam und auch die Datenerhebung unrechtmäßig, also nicht erlaubt. Dies ermöglicht den betroffenen Studierenden, vom Durchführenden der Lehrveranstaltung zu verlangen, die Informationen an einer anderen Stelle anzubieten z. B. Stud.IP oder ILIAS. Das gilt ebenso für den Fall, dass lediglich ein Teilnahmeschein erworben werden soll. Ist die Teilnahme nur möglich, indem Daten durch andere als universitätsnahe Dienste wie ILIAS oder Stud.IP erhoben werden, dann ist auch hier eine wirksame Einwilligung nicht möglich .Anders liegt die Situation, wenn die Lehrveranstaltung zur Erbringung eines Leistungsnachweises nicht nötig ist, sondern rein fakultativ stattfindet, wird durch die Nichtteilnahme kein unmittelbarer Nachteil begründet. Damit beruht die Entscheidung, ob Daten erhoben werden dürfen, auf freier Willensbetätigung des Betroffenen, sodass eine Einwilligung wirksam wäre.
Informierte Einwilligung
Eine Einwilligung muss in Kenntnis der Sachlage erfolgen. Der Betroffene muss also alle entscheidungsrelevanten Informationen haben, sodass er die Folgen seiner Entscheidung abschätzen kann,[3] und auf den Zweck des Umgangs mit seinen Daten hingewiesen werden.[4] Daraus ergeben sich umfassende Informationspflichten vor Einholung der Einwilligung.[5] So muss der Betroffene auf die Folgen einer Verweigerung der Einwilligung hingewiesen werden, außer wenn diese offensichtlich sind.[6]
Im oben genannten Facebook-Beispiel wäre eine solche Unterrichtung notwendig, wenn die Nutzung der Facebook-Dienste zwar obligatorisch ist, jedoch nur einen kleinen Teil der Lehrveranstaltung darstellt und dem Betroffenen keine für die Teilnahme relevanten Informationen entgehen. Wenn dort hingegen alle Lehrmaterialien zu finden wären, sodass eine sinnvolle Teilnahme an der Veranstaltung ohne Nutzung des Online-Dienstes rein faktisch nicht möglich wäre, dann wären die Folgen der Verweigerung der Einwilligung offensichtlich. In diesem Fall wäre eine Teilnahme nicht möglich.
Bestimmtheit
Die Einwilligungserklärung muss hinreichend konkret sein, also den Inhalt der Einwilligung klar zu verstehen geben. Dafür ist es nicht nur notwendig, die Daten bzw. die Art der Daten anzugeben, die erhoben, verarbeitet oder genutzt werden sollen, sondern auch die einzelnen konkreten Phasen der Verwendung im Zuge eines vorher genannten Zwecks.[7] Beispielsweise könnte ein Dozent bzw. eine Dozentin die Daten der Studierenden später an seine/ihre Mitarbeiter weitergeben. Dies stellt neben dem Erheben der Daten einen weiteren Umgang mit diesen Daten dar. Auch in diesen muss eingewilligt werden, sodass in der Einwilligungserklärung eine Weitergabe der Daten innerhalb des Lehrstuhls erwähnt werden muss.
Schriftform
Eine Einwilligung kann nur schriftlich eingeholt werden. Gemäß § 126 Abs. 1 BGB ist dafür eine namentliche Unterschrift nötig. Daher ist eine E-Mail, auch falls eine Antwort mit eingescannter Unterschrift übersandt wird, nicht ausreichend. Gleichzeitig ist eine elektronische Erklärung i. S. d. § 136a BGB zulässig. Diese Bedarf gemäß § 2 Nr. 3 SigG jedoch einer qualifizierten elektronischen Signatur.[8]
§ 4 Abs. 2 S. 2 DSG LSA lässt weitere Ausnahmen für die Schriftform zu, erlaubt z. B. auch die Einwilligung in mündlicher Form, wenn “besondere Umstände eine andere Form” angemessen erscheinen lassen. Ein solcher Umstand kann das Eigeninteresse des Betroffenen sein, wenn sein Anliegen besonders eilbedürftig ist, er also selbst auf die schnelle Bearbeitung drängt.[9] In diesem Fall liegt es im Interesse des Betroffenen selbst, nicht den umständlichen Weg der schriftlichen Erklärung nutzen zu müssen. Ein Beispiel hierfür wäre, wenn Studierende sich zu spät für eine Veranstaltung anmelden, um noch rechtzeitig eine schriftliche Einwilligung zu erteilen. Dann liegt es in ihrem eigenen Interesse, eine mündliche Freiwilligkeitserklärung abgeben zu können, um noch an der Veranstaltung teilzunehmen.
Ein weiterer besonderer Umstand ergibt sich aus § 4a Abs. 2 BDSG, der die Wissenschaft dahingehend privilegiert, dass eine schriftliche Erklärung nicht nötig ist, wenn durch sie “der Forschungszweck erheblich beeinträchtigt werden würde”.[10] An so etwas wäre zu denken, wenn Studierende befragt werden sollen und es maßgeblich auf die Spontanität ihrer Antworten ankommt. Das Ergebnis der Befragung würde verfälscht werden, wenn alle Studierenden lange im Vorhinein eine schriftliche Einwilligung abgeben müssten. Da diese dem Forschungszweck im Weg stünde, wäre hier eine mündliche Erklärung ausreichend.
Art der Einwilligung
Eine sehr wichtige Veränderung, die sich aus dem neuen europäischen Datenschutzrecht ergibt, ist die Notwendigkeit, dass der Einwilligende aktiv tätig werden muss, um eine wirksame Einwilligung abzugeben. Art. 4 Nr. 11 DS-GVO setzt eine “unmissverständlich abgegebene” Willenserklärung voraus. “Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person” stellen laut EG 32 keine Einwilligung mehr dar.[11] Dies widerspricht grundlegend der bisherigen Rechtsprechung des BGH, der einen Opt-Out, also einen unterbliebenen Widerspruch, als Einwilligung ansah.[12]
Nachweise
- ↑ Holznagel/Sonntag, in: Roßnagel (Hrsg.), Handbuch Datenschutzrecht, 2003, Kap. 4.8 Rn. 24.
- ↑ Vgl. BVerfGE 85, 386
- ↑ Kühling/Seidel/Sivridis, Datenschutzrecht, 3. Auflage 2015, Rn. 319.
- ↑ Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, § 4a Rn. 72.
- ↑ Kühling/Seidel/Sivridis, Datenschutzrecht, 3. Auflage 2015, Rn. 319.
- ↑ Tinnefeld/Ehmann/Gerling, Einführung in das Datenschutzrecht, 4. Aufl. 2005, S. 320.
- ↑ Kühling/Seidel/Sivridis, Datenschutzrecht, 3. Auflage 2015, Rn. 320.
- ↑ Spindler/Nink, in: Spindler/Schuster, Recht der elektronischen Medien, 3. Auflage 2015, § 4a BDSG Rn. 10.
- ↑ Simitis, in: Simitis (Hrsg.), Kommentar zum BDSG, 8. Aufl. 2014, § 4a Rn. 45.
- ↑ Gola/Klug/Körffer, in: Gola/Schumerus, BDSG, 12. Auflage 2015, Rn. 33.
- ↑ Stemmer, in: BeckOK DatenschutzR, 23. Edition (01.08.2017), Art. 7 Rn. 83 DS-GVO.
- ↑ Vgl. BGH, NJW 2010, 864 ff.
|
Die Inhalte dieser Seite stellen eine allgemeine Information und keine Rechtsberatung dar. Sie können diese nicht ersetzen. Trotz sorgfältiger Recherche wird keine Garantie für die Richtigkeit der Inhalte übernommen. Mitarbeiter und Mitarbeiterinnen der Martin-Luther-Universität Halle-Wittenberg wenden sich für Rechtsauskünfte Forschung oder Lehre betreffend bitte an das Justitiariat der Universität. |