Um einheitliche datenschutzrechtliche Standards innerhalb der Europäischen Union zu schaffen, ist am 25. Mai 2018 die EU-Datenschutz-Grundverordnung (DSGVO) in allen Staaten der EU in Kraft getreten.  Durch die DSGVO wird, unter Beibehaltung der bekannten Grundprinzipien des "alten" deutschen Datenschutzrechts, ein neuer gesetzlicher Rahmen geschaffen und um einige weitergehende Betroffenenrechte ergänzt. Zudem werden technische Anforderungen und damit der Aspekt Datensicherheit verschärft und Vorgaben für den Transfer von Daten in Drittstaaten normiert.

Für die Universität Ulm ist neben der DSGVO vor allem das Landesdatenschutzgesetz Baden-Württemberg (LDSG) relevante Rechtsgrundlage. Das neue LDSG wurde vom Landtag in der Sitzung am 06. Juni 2018 beschlossen und trat am 12. Juni 2018 in Kraft.

Link auf Formular

Die Verarbeitung von personenbezogenen Daten ist nach DSGVO nur dann zulässig, wenn die Verarbeitung durch eine gesetzliche Grundlage geregelt ist, oder der Betroffene bei Erhebung der Daten wirksam in die Verwendung eingewilligt hat. Möchten Sie also für ein Forschungsprojekt oder einen Verwaltungsvorgang Daten erheben, vergewissern Sie sich, dass es eine gesetzliche Grundlage für die Erhebung und Verwendung der Daten zu diesem konkreten Zweck gibt, andernfalls lassen Sie sich eine Einwilligung der Betroffenen geben. Ein Muster finden Sie hier. Um eine wirksame Einwilligung zu erhalten, sind dabei gemäß Art. 4 Nr. 11, Art. 7 DSGVO, folgende sieben Punkte zu beachten:

1. Form der Einwilligung

Die Einwilligungserklärung bedarf nicht zwingend der Schriftform. Diese kann ebenfalls mündlich, elektronisch oder in Textform erfolgen. Bei der Wahl der Form sollte jedoch berücksichtigt werden, dass die Beweislast für das Vorliegen der Einwilligung beim Verwender der Daten liegt. Im Ergebnis sollte die Einwilligung also dokumentiert erfolgen.

Die Einwilligungserklärung muss klar verständlich und eindeutig formuliert sein und darf sich dabei zur Verbesserung der Verständlichkeit auch visueller Elemente bedienen. Optisch muss die Einwilligungserklärung klar von anderen Sachverhalten abgegrenzt sein.

2. Informiertheit bei der Einwilligung

Der Betroffene muss vor der Erklärung der Einwilligung darüber informiert werden, auf welche konkreten personenbezogenen Daten sich die Einwilligung bezieht und den konkreten Zweck der Verarbeitung wiedergeben. Eine Weitergabe an Dritte muss aufgeführt sein.

3. Freiwilligkeit der Einwilligung

Die Einwilligung muss auf dem freien Willensentschluss des Betroffenen beruhen. Dabei muss der Betroffene eine echte Wahlfreiheit haben und die Einwilligung ohne zu erleidende Nachteile verweigern können. Der Betroffene ist darauf hinzuweisen, dass die Einwilligung verweigert werden kann.

4. Bestimmtheit und Zweck in der Einwilligung

Aus der Erklärung muss eindeutig hervorgehen, wer genau welche Daten, zu welchem konkreten Zweck verarbeitet. Eine pauschale und generelle Erklärung ist nicht ausreichend. Eine Verwendung erhobener Daten zu anderen Zwecken ist grundsätzlich unzulässig. Bei der Detailliertheit sollte berücksichtigt werden, dass, je tiefer der Eingriff in das Persönlichkeitsrecht ist, desto genauer muss die Einwilligungserklärung ausgestaltet sein.

5. Unmissverständlichkeit der Einwilligungserklärung

Dem Betroffenen muss bei Abgabe einer Einwilligungserklärung klar sein, dass es sich um eine Einwilligungserklärung handelt. Dies kann dadurch kenntlich gemacht werden, dass die Erklärung die Überschrift "Einwilligung" trägt oder die Formulierung "Einwilligung" oder "Zustimmung" genutzt wird.

6. Widerrufsmöglichkeit der Erklärung

Der Betroffene muss seine Einwilligung jederzeit widerrufen können. Dies ist in der Einwilligungserklärung klar zum Ausdruck zu bringen. Ein Widerrufsverzicht ist unzulässig.

Der Widerruf muss dabei nicht zwingend in derselben Form der Einwilligung abgegeben werden, jedoch darf die Erklärung des Widerrufs nicht schwieriger sein oder zusätzliche Hürden mit sich bringen als die Erklärung der Einwilligung. Anschrift und Kontaktinformationen, an welche der Widerruf zu adressieren ist, sind mitzuteilen.

7. Eigene Daten

Der Betroffene kann immer nur in die Verwendung der eigenen personenbezogenen Daten einwilligen. Sollen Daten mehrerer Personen verwendet werden, müssen diese individuell einwilligen.

Als öffentliche Stelle ist die Universität Ulm nach Art. 30 DSGVO verpflichtet, ein Verzeichnis aller Verarbeitungstätigkeiten (VVT), die ihrer Zuständigkeit unterliegen, zu führen. Diese Verpflichtung umfasst auch alle Verarbeitungstätigkeiten, die von der Universität Ulm im Auftrag durchgeführt werden. Das VVT löst das ehemalige Verfahrensverzeichnis nach § 11 LDSG a. F. (VVZ) ab.

Als Verarbeiten i.S.d. Art. 4 DSGVO wird dabei ein Vorgang oder eine Vorgangsreihe verstanden, die mit oder ohne automatisierte Verfahren personenbezogene Daten verwendet, also z. B. das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung von personenbezogenen Daten.

Damit ist jeglicher Umgang mit personenbezogenen Daten, inklusive der Speicherung, vom Begriff der Verarbeitung umfasst.

Der Begriff Verarbeitungstätigkeiten fasst dabei einzelne Verarbeitungsschritte im Hinblick auf einen einzelnen spezifischen inhaltlichen Zweck zusammen, bspw. die Erhebung und Verwendung von Studierendendaten in einem Campus Management System.

Innerhalb der Universität Ulm sind der fachliche und der technische Ansprechpartner, die ein System etablieren wollen, dafür verantwortlich, dass die Verarbeitungstätigkeiten erst begonnen werden, wenn ein VVT erstellt und von den zuständigen Stellen zustimmend bewertet wurde. Bei der Verarbeitung von Beschäftigtendaten ist dabei in der Regel auch der Personalrat einzubeziehen.

Bei Systemen, für die in der Vergangenheit bereits ein VVZ erstellt wurde, ist es notwendig, dieses Verzeichnis auf die aktuelle Rechtslage anzupassen. Auch für diese Systeme ist demnach ein VVT zu erstellen.

Auftragsverarbeitung (AV) im Sinne der DSGVO ist die Verarbeitung von personenbezogenen Daten durch einen Dienstleister, im Auftrag des Verantwortlichen (also im Auftrag der Universität Ulm). Ein AVV liegt z. B. vor, wenn personenbezogene Daten auf externen Servern gehostet, IT-Systeme durch Dritte gewartet oder Datenträger durch andere Unternehmen entsorgt werden.

Ein solcher AVV darf nach Art 28. DGSVO nur dann erfolgen, wenn der Verantwortliche sichergestellt hat, dass der Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen getroffen hat, um die Rechte der betroffenen Personen zu schützen. Dieses ist zwischen dem Verantwortlichen und dem Auftragsverarbeiter regelmäßig durch eine schriftliche Vereinbarung abzubilden.

Sollten Sie also den Einsatz eines Dienstleisters planen oder eine Software as a Service (SaaS) etablieren wollen, wird regelmäßig der Abschluss einer schriftlichen Vereinbarung notwendig sein, die neben den allgemeinen Fragen, wie Zahlung und Haftung, auch die datenschutzrechtliche Verantwortung regelt. Für alle damit einhergehenden Fragen und die Erstellung der schriftlichen AVV-Vereinbarung stehen Ihnen die Ansprechpartner der Abt. I-2 Recht und Organisation gerne zur Verfügung.

Ihr Laptop, Ihr Smartphone oder ein USB-Stick ging verloren? Eine E-Mail mit umfassendem Datenanhang inkl. personenbezogener Daten wurde an den falschen Adressaten gesandt? Ein PC wurde eventuell gehackt? Solche und viele andere "Datenpannen" sind Alltag in der heutigen IT-Welt.

Wichtig für Sie zu wissen ist, dass nach Art. 33, 34 DSGVO eine solche Datenpanne zwei Meldepflichten auslösen kann:

a) Meldung an die zuständige Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO)

Die Datenpanne ist unverzüglich und möglichst binnen 72 Stunden nach bekanntwerden der Verletzung an die zuständige Aufsichtsbehörde zu melden. Für die Universität Ulm ist das der Landesbeauftragte für Datenschutz und Informationssicherheit Baden-Württemberg (LfDI BW).

Ausgenommen von einer Meldepflicht sind Datenpannen, die "voraussichtlich nicht zu einem Risiko" für den Betroffenen führen. Da es aktuell noch keine Auslegungsgrundsätze oder Vorgaben des LfDI BW gibt, wann ein solches Risiko ausgeschlossen werden kann, ist der gängige Rat, im Zweifel zu melden.

Für die Meldung gilt ein enger zeitlicher Rahmen von 72 Stunden nach dem die Verletzung bekannt wurde. Wobei "bekannt werden" jeden Beschäftigten der Universität Ulm meint, und nicht nur eine gesamtverantwortliche Person wie den Kanzler/Präsidenten oder den Datenschutzbeauftragten.

b) Meldung an den Betroffenen (Art. 34 DSGVO)

Neben der Meldung an den LfDI BW sieht die DSGVO eine Meldung an den Betroffenen vor. Diese Benachrichtigung muss jedoch nur dann erfolgen, wenn ein hohes Risiko für die Rechte und Freiheiten von natürlichen Personen besteht. Eine Meldung an den Betroffenen kann unterbleiben, wenn:

• Maßnahmen zur Schadensbegrenzung getroffen wurden, die die Möglichkeiten auf ein Risiko beseitigen, oder


• technische und organisatorische Maßnahmen vorhanden sind, die den Zugang zu den personenbezogenen Daten unmöglich machen (bspw. Verschlüsselung).

Deshalb: Melden Sie ab dem 25. Mai 2018 unverzüglich alle Ihnen bekannt werdenden Datenpannen über das Online-Formular an die Ansprechpartner der Abt. I-2 der ZUV. Wenn Sie nicht sofort alle Angaben machen können, senden Sie die Meldung trotzdem und reichen dann weitere Informationen nach. Bitte senden Sie die Meldung NICHT direkt an den LfDI BW, sondern nur an die Ansprechpartner des Datenschutzes, die die Weiterleitung und die notwendige Dokumentation veranlassen.

Wenn Sie darüber hinaus Schaden für die IT-Sicherheit der Universität befürchten (Trojaner etc.), informieren Sie bitte auch unverzüglich das kiz über den Helpdesk.