Datenschutz

• Nein, es sei denn, Sie hätten sich auch schon vor Inkrafttreten der DSGVO Sorgen machen müssen. Bitte lesen Sie hierzu auch die Zusammenfassung des "Forums Privatheit" zur DSGVO.
• Verantwortlich für die Einhaltung datenschutzrechtlicher Bestimmungen ist die Leitung der Universität Kassel. Diese haftet ggf. auch für Verstöße. Sie persönlich können (wie bisher schon) nur zur Verantwortung gezogen werden, wenn Sie personenbezogene Daten, die nicht allgemein zugänglich sind, ohne hierzu berechtigt zu sein, verarbeiten oder durch unrichtige Angaben erschleichen und hierbei gegen Entgelt oder in der Absicht handeln, sich oder einen anderen zu bereichern oder einen anderen zu schädigen (§ 37 HDSIG, Straftat). Nach § 38 HDSIG kann zudem ein Bußgeld gegen Sie verhängt werden, wenn Sie personenbezogene Daten für andere Zwecke verarbeiten, als für die sie übermittelt wurden (Ordnungswidrigkeit). Dass Ihnen ersteres (§ 37) "aus Versehen" passiert, ist schwer vorstellbar. Bei letzterem (§ 38) hilft Aufpassen und im Zweifel nachfragen.
• Wenn Sie eine Anweisung erhalten, deren datenschutzrechtliche Zulässigkeit Sie bezweifeln, können Sie (wie auch in jeder anderen Angelegenheit des Datenschutzes) jederzeit und unmittelbar die Datenschutzbeauftragte einschalten. Die Datenschutzbeauftragte ist zur Verschwiegenheit verpflichtet (§ 6, Abs. 4 HDSIG).
• Sie können das Inkrafttreten der neuen Rechtsvorschriften gerne zum Anlass nehmen, die Datenbestände im eigenen Bereich kritisch unter die Lupe zu nehmen: Wo sind personenbezogene Daten enthalten? Ist deren Verarbeitung durch Rechtsvorschrift oder Einwilligung erlaubt (s.u.)? Wenn nein: Löschen oder anonymisieren. Wenden Sie sich im Zweifel an die Datenschutzbeauftragte.
• Sofern Sie mit dem Contentmanagement-System arbeiten und Inhalte auf www.uni-kassel.de veröffentlichen, sollten Sie besonders darauf achten, dass keine personenbezogenen Daten sichtbar sind, die dort nicht (oder nicht mehr) sein dürften. Es gab in der Vergangenheit immer wieder Beschwerden wegen alter Prüfungslisten, Hausarbeiten und ähnlichem.

• Nein. Wenn Ihnen jemand eine E-Mail sendet oder die Visitenkarte überreicht, können Sie das als konkludente Einwilligung zu einer "Verarbeitung" werten.
• Darüber, wo die Grenzen dieser Verarbeitung zu ziehen sind, lässt sich jedoch oft trefflich streiten. Beispiel: Wenn Ihnen jemand die Visitenkarte gibt, hat die Person wahrscheinlich kein Problem damit, wenn Sie die Kontaktdaten nicht nur in Ihrer Brieftasche "speichern", sondern auch auf Ihrem Rechner. Wenn Sie jedoch die Kontaktdaten (womöglich noch in Verbindung mit weiteren Daten wie einem Bild oder dem Geburtsdatum) von Ihrem Rechner in die Cloud eines Dritten "hochladen" (Google Kontakte, WhatsApp, etc.), wird für viele bereits eine Grenze überschritten sein. Derlei sollten Sie also vermeiden.

• Das bisherige Verfahrensverzeichnis wurde mit der Datenschutzgrundverordnung (DSGVO) abgelöst und durch ein (schriftliches oder elektronisches) Verzeichnis aller Verarbeitungstätigkeiten mit personenbezogenen Daten ersetzt. In der Vergangenheit erstellte Verfahrensverzeichnisse behalten ihre Gültigkeit. Es muss jedoch geprüft werden, ob die nun geforderten Angaben enthalten sind. Ansonsten spricht nichts gegen die Weiterführung bestehender Altverzeichnisse.

• An die Stelle der Vorabkontrolle nach HDSG ist die Datenschutz-Folgenabschätzung (DSF) getreten. Die DSF ist ein spezielles Instrument zur Beschreibung, Bewertung und Eindämmung von hohen Risiken für die Rechte und Freiheiten natürlicher Personen bei der Verarbeitung personenbezogener Daten in Bezug auf Verarbeitungsvorgänge. Für Verarbeitungsvorgänge, die noch immer auf dieselbe Art durchgeführt werden wie bei der Vorabkontrolle, ist keine DSF erforderlich. Umgekehrt bedeutet das aber auch, dass für jede Datenverarbeitung, deren Durchführungsbedingungen (Umfang, Zweck, erfasste personenbezogene Daten, Identität der für die Verarbeitung Verantwortlichen oder der Empfänger, Datenspeicherfrist, technische und organisatorische Maßnahmen usw.) sich seit der Vorabkontrolle geändert haben und die wahrscheinlich ein hohes Risiko mit
  sich bringen, eine DSF durchgeführt werden muss.

Bitte lesen Sie hierzu die Mitteilung an alle Forschenden zur Datenverarbeitung in der Forschung. [intern]

• Personenbezogene Daten sind Einzelangaben über persönliche und sachliche Verhältnisse einer bestimmten oder (mit Zusatzwissen) bestimmbaren natürlichen Person (z.B. Name, Adresse, Geburtsdatum, Staatsangehörigkeit, Beruf, Titel, Konfession, Personalnummer, Matrikelnummer, Personalausweisnummer, Familienstand, Telefon-, Faxnummer, KFZ-Kennzeichen, Einkommen, Schulden, Krankheiten, Beurteilungen, Zeugnisnoten und Bilder sowie biometrische Daten der Person).
• Verschiedene Teilinformationen, die in ihrer Gesamtheit zur Identifizierung einer bestimmten Person führen können, stellen ebenfalls personenbezogene Daten dar.
• Bestimmte personenbezogene Daten genießen besonderen Schutz (rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheitsdaten, etc.). Derlei Daten dürfen entweder gar nicht verarbeitet werden oder es werden besondere Auflagen für die Verarbeitung gemacht.

• Personenbezogene Daten, die in einer Weise anonymisiert worden sind, dass die betroffene Person nicht oder nicht mehr identifiziert werden kann, gelten nicht mehr als personenbezogene Daten. Damit die Daten wirklich anonymisiert sind, muss die Anonymisierung unumkehrbar sein.

• Eine Verarbeitung ist so ziemlich alles, was man mit personenbezogenen Daten tun kann, insbesondere auch einfaches Speichern oder Übermitteln (z.B. durch "Hochladen" in soziale Medien).
• Personenbezogene Daten dürfen grundsätzlich nur
  • innerhalb der Universität oder
  • bei externen Dienstleistern, mit denen die Universität einen Vertrag zur Auftragsverarbeitung geschlossen hat, verarbeitet werden.

• "Anonym" bedeutet, dass aus einem gegebenen Datensatz (z.B. einer Befragung) kein Personenbezug mehr hergestellt werden kann (oder dies unverhältnismäßig aufwendig ist; die Verhältnismäßigkeit wird hierbei im Zweifel Gegenstand einer Prüfung sein).
• "Pseudonym" bedeutet, dass ein Personenbezug wieder hergestellt werden kann, wenn man über Zusatzwissen verfügt (z.B. eine Liste mit Kennungen und den dazugehörigen Klarnamen).
• Wenn ein Datensatz anonym ist (oder wirksam anonymisiert wurde), greifen die Regelungen des Datenschutzes nicht mehr. Sie können die Daten dann beliebig verwenden (zumindest, soweit es den Datenschutz betrifft).

• Die Verarbeitung personenbezogener Daten ist verboten, es sei denn, sie ist erlaubt. Die Erlaubnis kann sich entweder aus einer anwendbaren Rechtsvorschrift (Gesetz, Satzung, etc.) oder der Einwilligung der Betroffenen ergeben. Wenn es eine Rechtsvorschrift gibt, die die Verarbeitung erlaubt, ist keine Einwilligung erforderlich.
• Die Rechtsgrundlage für die Verarbeitung ist also entweder die Rechtsvorschrift oder die Einwilligung.
• Für die Verarbeitung personenbezogener Daten an der Universität Kassel häufig angewandte Rechtsvorschriften sind (unter anderen):
  • Das HDSIG
    • insbesondere § 23 HDSIG (Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses)
  • Die DSGVO
  • Das Telekommunikationsgesetz (TKG)
  • Das Telemediengesetz (TMG)
  • Das "Gesetz betreffend das Urheberrecht an Werken der bildenden Künste und der Photographie" (KunstUrhG bzw. KUG)
  • Das Hessische Hochschulgesetz (HHG)
  • Die Hessische Immatrikulationsverordnung (HImV)
  • Die Hochschulfinanzverordnung (HFV)
  • Satzungen der Universität Kassel
    • insbesondere die Satzung zum Datenschutz beim E-Learning (1.62.10) und
    • die Satzung zum Datenschutz bei Evaluationsverfahren (1.62.00)
  • (Studien-, Prüfungs-, Promotions-, etc) Ordnungen der Universität Kassel
  • Dienstvereinbarungen und Dienstanweisungen der Universität Kassel

Wenn Sie personenbezogene Daten im Rahmen eines Forschungsprojekts, einer Verwaltungstätigkeit oder eines anderen Anlasses verarbeiten, sind Sie verpflichtet, ein Verarbeitungsverzeichnis (VV) zu führen und dieses auf Verlangen der Aufsichtsbehörde vorzuweisen (das VV muss existieren, wenn Sie mit der Verarbeitungstätigkeit beginnen, nicht erst dann, wenn die Aufsichtsbehörde Einsicht verlangt). Verwenden Sie zum Erstellen des VV das oben zur Verfügung stehende "Muster-VV Verantwortlicher Uni Kassel, vorausgefüllt".

Datenschutz-Folgenabschätzungen (DSF) müssen für Fälle von Verarbeitungen durchgeführt werden, bei denen aufgrund besonderer Umstände voraussichtlich ein hohes Risiko für die Betroffenen besteht. Bei einem normalen und beherrschbaren Risiko ist keine DSF erforderlich. Bitte wenden Sie sich an die Datenschutzbeauftragte, wenn Sie Grund zu der Annahme haben, dass Ihre Verarbeitung voraussichtlich zu einem hohen Risiko für Betroffene führen könnte.

• Lesen Sie hierzu bitte die ausführliche Behandlung des Themas durch die ZENDAS.
• Wenn möglich, konzipieren Sie Ihre Befragung so, dass sie von vornherein (wirklich) anonym ist bzw. die erhobenen Daten unmittelbar wirksam anonymisiert werden.
• Wenn Sie eine anonyme Befragung beabsichtigen: Achten Sie darauf, dass Sie die Antwortmöglichkeiten für Ihre Fragen nicht so detailliert ausführen, dass eine anonyme Beantwortung dadurch gefährdet wird. Fragen Sie also z.B. nicht nach dem genauen Geburtsdatum, wenn das Geburtsjahr (oder eine Spanne von Geburtsjahren) für Ihren Forschungszweck ausreichen würde. Prüfen Sie kritisch, ob sich bei Betrachtung der Gesamtheit Ihrer Fragen evtl. eine zu kleine Gruppe mit gleichen Antworten ergeben könnte (das sollte nicht passieren).
• Wenn eine anonyme Befragung nicht möglich ist (z.B. weil Sie für ein Preisausschreiben Kontaktdaten erheben, eine Längsschnittstudie durchführen möchten oder es einen anderen Grund gibt, aus dem Sie Ihr Forschungsziel nicht mit einer anonymen Befragung erreichen können), greifen die Formalien des Datenschutzes (Verarbeitungsverzeichnis, etc.). Wenden Sie sich bitte bei Bedarf frühzeitig an die Datenschutzbeauftragte.
• Spezialfall: Befragungen von Kindern oder Jugendlichen an einer hessischen Schule. Wissenschaftliche Forschungsvorhaben in hessischen Schulen bedürfen der Genehmigung des Kultusministeriums (§ 84 Hessisches Schulgesetz). Welche Unterlagen Sie für das Genehmigungsverfahren beim Hessischen Kultusministerium einreichen müssen, erfahren Sie unter https://kultusministerium.hessen.de/ueber-uns/wissenschaftliche-forschungsvorhaben. Die Genehmigung von Forschungsverfahren, bei denen personenbezogene Daten verarbeitet werden, ist dem Hessischen Beauftragten für Datenschutz und Informationsfreiheit mitzuteilen (§ 84 Abs. 1 S. 4 Hessisches Schulgesetz). Hinweise zur Verarbeitung personenbezogener Daten bei wissenschaftlichen Forschungsvorhaben enthält § 84 Abs. 2 des Hessischen Schulgesetzes.

• Art und Umfang der personenbezogenen Daten, die im Rahmen der Umfrage verarbeitet werden
• Zweck der Datenverarbeitung (Ihr Forschungsziel)
• Die Teilnahme ist freiwillig, bei Nichtteilnahme entsteht kein Nachteil
• Die gegebene Einwilligung kann jederzeit widerrufen werden (falls zutreffend: So lange die Daten noch nicht wirksam anonymisiert sind)
• Ihre E-Mail-Adresse für Rückfragen und Widerruf

Nein. Bei Befragungen ist die Rechtsgrundlage fast immer die Einwilligung. Eine wirksame Einwilligung bedingt eine vollständige und wahrheitsgemäße Aufklärung über Zweck, Art und Umfang der Datenverarbeitung. Falsche oder irreführende Angaben zur Befragung machen die Einwilligung unwirksam und Sie würden somit rechtswidrig handeln.

Verfremden Sie die Stimme der befragten Person möglichst gleich auf dem Aufnahmegerät. Wenn das nicht geht, übertragen Sie das Interview auf Ihren Rechner und benutzen Sie eine Software, um die Stimme zu verfremden. Dies sollte umgehend erfolgen und die Originalaufnahmen sollten auch umgehend gelöscht werden und zwar sowohl auf dem Aufnahmegerät, als auch auf dem Rechner. Zu diesem Zweck eignet sich z.B. die frei verfügbare Software "Audacity": Laden Sie die Aufnahme, wählen Sie "Alles" aus und ändern Sie (wenigstens) unter "Effekt" die Tonhöhe. Hörbeispiele: Original [intern] und verfremdet [intern].

• Normalerweise gar nicht. Stattdessen kommt Adressmittlung zum Einsatz: Sie formulieren Ihr Schreiben und die Universität verschickt es entweder für Sie an die gewünschte Personengruppe oder es wird Ihnen ermöglicht, selbst mit einer E-Mail an eine spezielle Adresse die Personengruppe zu erreichen. Bitte wenden Sie sich,
  • wenn es sich bei der Personengruppe um alle Studierenden der Universität handelt, an die Hochschulverwaltung, Abt. II Studium und Lehre, oder
  • wenn es sich bei der Personengruppe um Studierende eines Fachbereichs handelt, an das Dekanat des Fachbereichs, oder
  • wenn es sich bei der Personengruppe um Beschäftigte der Universität handelt, an die Hochschulverwaltung, Abt. III Personal und Organisation.

• Spätestens, wenn Sie eine Übermittlung bzw. Veröffentlichung beabsichtigen, benötigen Sie die (im Zweifel schriftliche) Einwilligung aller auf Ihren Fotos oder Videos klar zu erkennenden Personen (es sei denn, es besteht eine der Ausnahmen unter § 23 KunstUrhG).
• Augenscheinlich wenig bekannt: Der Verstoß dagegen erfüllt einen Straftatbestand (§ 33 KunstUrhG i.V.m. § 22 KunstUrhG ).
• Für die Veröffentlichung der (Portrait-) Bilder von Bediensteten der Universität gibt es ein Formular zur Einholung der erforderlichen Einwilligung.
• Spezialfall: Ich möchte an einer hessischen Schule den Unterricht mit Kindern oder Jugendlichen filmen. Hierbei ist, wie bei Befragungen in hessischen Schulen, das Einverständnis des Kultusministeriums vorab einzuholen, vgl. https://kultusministerium.hessen.de/ueber-uns/wissenschaftliche-forschungsvorhaben

• Weiterleitung von E-Mails: Verwenden Sie für dienstliche Angelegenheiten ausschließlich Ihre dienstliche (auf "uni-kassel.de" endende) E-Mail-Adresse, damit dienstliche Daten möglichst im Datennetz der Universität und damit im Bereich der verantwortlichen Stelle Universität verbleiben. Eine E-Mail, die an Ihre dienstliche E-Mail-Adresse gesendet wurde, an Ihre private E-Mail-Adresse weiterzuleiten, ist nur dann datenschutzrechtlich unproblematisch, wenn der Inhalt rein privater Natur ist (z.B. weil die E-Mail nur versehentlich oder in Ermangelung der Kenntnis Ihrer privaten E-Mail-Adresse an Ihre dienstliche E-Mail-Adresse gesendet wurde).
• E-Mails an mehrere Empfänger: Wenn Sie eine E-Mail an mehrere Personen versenden wollen, sollten Sie in Erwägung ziehen, nicht die naheliegende Möglichkeiten des "To" (An) bzw. "CC" (Kopie) zu verwenden, sondern stattdessen die Mail an sich selbst zu senden und die Empfänger im "BCC" (Blindkopie) einzutragen. Dies ist insbesondere dann ratsam, wenn es die einzelnen Empfänger nichts angeht oder nichts angehen darf, an wen die fragliche Mail sonst noch versandt wurde.
• E-Mails im HTML-Format: Die Datenschutzbeauftragte rät davon ab, E-Mail im HTML-Format zu versenden. Dies ist für die Empfänger unerfreulich, weil man nie sicher sein kann, dass bei E-Mails im HTML-Format keine aktiven Elemente enthalten sind, die unkontrolliert Daten übermitteln oder Schadcode aufweisen bzw. nachladen.
• Spezialfall: Wenn Sie einen bestehenden E-Mail-Verteiler in Gestalt einer handgepflegten Liste von E-Mail-Adressen haben, den Sie nutzen, um über Neuigkeiten zu informieren, die Ihre Arbeit an der Universität Kassel betreffen, können Sie diesen weiter verwenden. Bei einer der nächsten Mails sollten Sie jedoch mit in etwa der folgenden Formulierung auf die neue Rechtslage eingehen: Ich verarbeite Ihre Kontaktdaten in einer Datei zum ausschließlichen Zweck der Versendung des vorliegenden Newsletters (o.ä). Wenn Sie mit der Zusendung nicht weiter einverstanden sind, teilen Sie mir dies bitte unter der folgenden E-Mail Adresse mit: ... Ich werde Ihre Kontaktdaten dann umgehend löschen. (Verfahren Sie ebenso mit vergleichbaren Postsendungen.)
• Weitere nützliche Hinweise finden Sie auf den Seiten des Datenschutzbeauftragten der THM.
• Das (oft versehentliche) Versenden von E-Mail mit einer grösseren Anzahl von Empfängern im "CC" gehört zu den häufigeren Vorkommnissen, mit denen sich die DSB befassen muss und zieht nicht selten auch eine Meldung nach Art. 33 DSGVO an die zuständige Aufsichtsbehörde (HBDI) nach sich. Mögliche hilfreiche Massnahmen zur Vermeidung sind u.a.
  • die Nutzung einer Funktion zum verzögerten Senden, falls Ihr Mailprogramm dies unterstützt
  • die Nutzung einer Funktion zur Warnung bei einer grösseren Zahl von "CC"-Empfängern, falls Ihr Mailprogramm dies unterstützt
  • die Nutzung einer Verteilerliste, z.B. den Mailinglisten-Server der Universität
  • die Nutzung eines spezialisierten Newsletter-Dienstes (eines Anbieters mit Sitz im Geltungsbereich der DSGVO)

• Sowohl Altakten als auch defekte oder aus anderen Gründen ausgesonderte Datenträger mit datenschutzrechtlich relevantem oder anderweitig vertraulichem Inhalt sollten datenschutzkonform über die Registratur der Universität entsorgt werden.
• Dies gilt nicht, wenn die Daten auf dem Datenträger nach Stand der Technik sicher verschlüsselt gespeichert sind. Dann können Sie die Datenträger als normalen Elektronikschrott entsorgen.
• Gehen Sie im Zweifel davon aus, dass ein Datenträger unbekannten Inhalts ebenfalls über die Registratur entsorgt werden sollte.
• Bitte achten Sie darauf, Ihre zu entsorgenden Datenträger in ausreichend stabilen Behältnissen an die Registratur abzugeben und mit einem Absenderhinweis zu versehen. Von aussen sollte nicht festgestellt werden können, dass es sich bei dem Inhalt um Datenträger mit vertraulichen und/oder personenbezogenen Daten handelt. Daher sollte der Hinweis "zur datenschutzkonformen Vernichtung" nur innerhalb des Behältnisses angebracht werden.

Nachdem Sie noch benötigte Daten gesichert haben, können Sie entweder

• vorhandene Datenträger aus den IT-Geräten ausbauen und über die Registratur vernichten lassen, oder
• mittels geeigneter Software die Datenträger sicher löschen.
• Dies gilt auch, wenn Sie ein IT-Gerät zwecks Reparatur aus der Hand geben müssen (natürlich werden die Datenträger in diesem Fall nicht vernichtet, sondern sicher aufbewahrt, bis das Gerät repariert ist).
• Dies gilt nicht, wenn die Daten auf dem Datenträger nach Stand der Technik sicher verschlüsselt gespeichert sind.

Sicheres Löschen von Datenträgern dauert zwar lange, ist aber einfach zu bewerkstelligen. Hierfür eignen sich insbesondere CDs oder Speichersticks mit spezialisierten Linux-Distributionen wie "shredos".

• Das hängt vom konkreten Vorhaben ab. Bitte lesen Sie hierzu die Mitteilung des Kanzlers zur Nutzung von Online-Diensten vom 25.10.2017. [intern]

• Wenn Sie regelmässig personenbezogene Daten über eine unsichere Verbindung (Internet) an Dritte ausserhalb der Universität Kassel übermitteln, sollte es hierfür ein beschriebenes und geprüftes Verfahren geben. Eine nach Stand der Technik verschlüsselte Übermittlung ist hierbei obligatorisch.
• Wenn es sich um eine Ausnahme handelt und kein beschriebenes und geprüftes Verfahren existiert, können Sie die zu übermittelnden Daten in ein Archiv packen, die resultierende Datei symmetrisch verschlüsseln und z.B. als E-Mail-Anhang an den Datenempfänger senden. Das zur Entschlüsselung erforderliche Passwort übermitteln Sie dem Datenempfänger danach telefonisch. Das Passwort sollte hinreichend lang und komplex sein (mind. 10 zufällige Zeichen).
  • Hierfür eignet sich z.B. die Software 7-Zip, die es für alle gängigen Betriebssysteme gibt. Lassen Sie sich im Zweifel vom Rechenzentrum (ITS) beraten und machen Sie sich mit der Benutzung vorab vertraut (eine Anleitung zu 7-Zip finden Sie z.B. hier).

• Nein. Zumindest ist der Datenschutzbeauftragten bisher kein Fall an der Universität Kassel bekannt geworden, bei dem das Verarbeiten biometrischer Daten von Universitätsangehörigen verhältnismäßig gewesen wäre. Auch eine Einwilligung der Betroffenen (deren Freiwilligkeit ohnehin zu bezweifeln wäre) berechtigt nicht zur Verarbeitung biometrischer Daten, wenn mildere Mittel für Zutrittssysteme zur Verfügung stehen (Schlüssel-, Code- und Smartcard-Schlösser).

• Nein. Videoüberwachung an der Universität Kassel erfolgt nur
  • in begründeten Einzelfällen und
  • wenn mildere Mittel sich als untauglich erwiesen haben
  • mit dem geprüften, zentral durch das IT Servicezentrum betriebenen Videoüberwachungssystem.
• Auch selbstinstallierte Kamera-Attrappen sind unzulässig.
• Elektronische Türspione sind nur dann unbedenklich, wenn
  • bauliche Gegebenheiten keine andere Möglichkeit zulassen,
  • die Geräte technisch bedingt keine Aufzeichnungen ermöglichen und
  • eine Bildübertragung nur dann erfolgt, wenn jemand geklingelt hat.

Gremienmitglieder (und sonstige bei Gremiensitzungen evtl. anwesende Personen) müssen über die Verarbeitung ihrer personenbezogenen Daten im Zusammenhang mit Gremiensitzungen informiert werden. Weiterhin ist ein Verarbeitungsverzeichnis (VV) zu führen.

Gehen Sie bitte wie folgt vor:

• Fügen Sie in Einladungen zu Gremiensitzungen folgenden Hinweis ein: "Informationen zur Verarbeitung Ihrer personenbezogenen Daten erhalten Sie hier." Verlinken Sie "hier" mit der Datenschutzinformation auf der Gremienwebseite der Universität
  https://www.uni-kassel.de/hochschulverwaltung/organisation/gremien/datenschutzinformation
  oder geben Sie den Link wie hier angegeben wieder. Zusätzlich sollten Sie diesen Hinweis auf der Webseite Ihres Gremiums (sofern vorhanden) platzieren (empfohlen).
• Wenn mit Zustimmung des Gremienvorsitzes Tonaufnahmen für Protokollzwecke angefertigt werden sollen, muss die o.g. Information ausführlicher ausfallen: "Diese Sitzung wird für den Zweck der Erstellung des Protokolls auf Tonträgern aufgezeichnet. Weitere Informationen zur Verarbeitung Ihrer personenbezogenen Daten erhalten Sie hier." Geben Sie den Link ebenso an, wie oben beschrieben.
• Ein mündlicher Hinweis an die Teilnehmenden zu Tonaufnahmen durch den Vorsitz des Gremiums ist nur erforderlich, wenn ausnahmsweise eine Sitzung oder ein Teil einer Sitzung aufgezeichnet wird und die Teilnehmenden dadurch darauf hingewiesen werden, dass von der Möglichkeit der Aufzeichnung "ab jetzt" Gebrauch gemacht wird.
• Achten Sie darauf, dass in dem von Ihnen verwendeten Formular für die Anwesenheitslisten der Hinweis enthalten ist, dass der Eintrag von Name und Unterschrift verpflichtend ist. Auch hier sollte der Hinweis wie oben beschrieben erfolgen.
• Sonderfall: Online-Sitzungen
  Bei Online-Sitzungen entfällt die Informationsmöglichkeit über die Anwesenheitsliste. Um insbesondere auch spontane und später hinzukommende Teilnehmende zu informieren, sollte auch der Einladungslink den oben beschriebenen Hinweis enthalten.

• Erstellen Sie ein VV für die Organisation Ihrer Gremiensitzung, indem Sie das Formular "Muster-VV Uni Kassel Verantwortlicher, vorausgefüllt, für Gremiensitzungen" ausfüllen (erhältlich auf dieser Seite unter "Dokumente und Formulare").  Dieses Formular ist gegenüber dem vorausgefüllten Standardformular bereits für den Verarbeitungsfall Gremiensitzungen gekürzt und angepasst.  Sie müssen im einfachsten Fall lediglich Ihre Kontaktdaten und die Bezeichnung Ihres Gremiums eintragen. Weiterhin muss bei Gremiensitzungen, bei denen keine Tonaufzeichnungen für Protokollzwecke angefertigt werden, das entsprechende Datum "Tonaufzeichnung" aus der Liste der verarbeiteten Daten entfernt werden. Möglicherweise sind noch weitere Anpassungen erforderlich, bitte sehen Sie daher das Formular sorgfältig durch.

• Der DSB sind nicht alle Gremien und deren Gepflogenheiten bekannt. Im Zweifel wenden Sie sich bitte an die DSB.

Lesen Sie hierzu bitte zunächst die "Regelungsabrede Mobile Arbeit im Rahmen der Corona-Pandemie für administrativ-technisches Personal vom 23.07.2020" (unter "Regelungen für mobiles Arbeiten"). Diese Regelungsabrede gilt zwar strenggenommen nur für administrativ-technisches Personal, die darin gemachten Aussagen zu technischen und organisatorischen Massnahmen zum Datenschutz bei mobiler Arbeit sollten Sie jedoch auch beachten, wenn Sie zu einer anderen Beschäftigtengruppe gehören.

Insbesondere:

• Nutzen Sie, wenn möglich, ein von der Universität gestelltes und administriertes Endgerät und dieses ausschliesslich für dienstliche Zwecke.
• Wenn Sie ein privates Endgerät nutzen müssen, achten Sie darauf, dass es stets auf aktuellem (Software-) Stand ist und nutzen Sie ein separates lokales Konto für den Dienstgebrauch.
  • Nutzen Sie die Virtual-Desktop-Infrastruktur (VDI) der Universität. Damit vermeiden Sie weitgehend, dass dienstliche Daten auf Ihrem privaten Endgerät gespeichert werden.
  • Wenn Sie die VDI nicht nutzen können und somit dienstliche Daten auf Ihrem privaten Endgerät speichern müssen (dies sollte nur in begründbaren Ausnahmefällen geschehen), nutzen Sie den VPN-Zugang zur Universität und lokale Datenverschlüsselung (z.B. VeraCrypt, s.u.).
    • Die Nutzung des VPN-Zugangs ist nicht erforderlich, wenn der Datenverkehr von und zur Universität bereits verschlüsselt erfolgt (z.B. beim Zugriff auf Webmail oder Zoom).
• Mobile Geräte können leichter abhanden kommen als ein Büro-PC (Verlust, Diebstahl). Damit unberechtigten Dritten keine personenbezogenen Daten zur Kenntnis gelangen können, rät die DSB dringend dazu, zumindest die Nutzdaten auf dem mobilen Gerät zu verschlüsseln.
  • Smartphones und Tablets: Bei aktuellen Android- und iOS-Geräten ist die Geräteverschlüsselung normalerweise voreingestellt aktiv. Im Zweifel prüfen Sie dies in den Geräteeinstellungen. Da Smartphones und Tablets typischerweise nur selten ausgeschaltet werden, rät die DSB dringend dazu, eine Bildschirmsperre mit einer hinreichend sicheren PIN (5 oder mehr Ziffern) einzurichten.
  • Laptops: Dienstlich genutzte Laptops sind mit Windows 10 "Education" ausgestattet (Stand: März 2021). Dieses bietet bereits mit Bordmitteln ("BitLocker") die Möglichkeit einer Datenverschlüsselung, die aber, im Gegensatz zu Smartphones und Tablets, normalerweise nicht voreingestellt aktiv ist. Eine Alternative zu BitLocker ist die quelloffene und deshalb als besonders sicher geltende Software "VeraCrypt". VeraCrypt funktioniert zudem auch auf Windows-Varianten, auf denen BitLocker nicht zur Verfügung steht (z.B. die "Home"-Variante). Welche der beiden Möglichkeiten Sie auch verwenden: Setzen Sie ein starkes Passwort für den Schlüssel. Ausserdem sollten Sie den Schlüssel sowohl ausdrucken als auch auf einem USB-Stick speichern und beides an einem sicheren Ort verwahren.

Lesen Sie hierzu bitte zunächst die "Handreichung zur Durchführung von elektronischen Fernprüfungen (Online-Klausuren) vom 4. Februar 2021" (unter "Regelungen für Lehrende"). Die Universität bezieht sich in dieser Handreichung auf die Verordnung über die Durchführung elektronischer Fernprüfungen des Landes Hessen vom 08.12.2020.

Insbesondere ist zu beachten:

• Online-Klausuren dürfen nur als (zeitlich parallele) Alternative zu einer Präsenz-Klausur angeboten werden. Exklusive Online-Klausuren sind nicht zulässig. Die Möglichkeit einer Online-Klausur muss spätestens vor Ablauf der für die jeweilige Präsenzprüfung geltenden Anmeldefrist festgelegt werden.
• Bei der Identitätsprüfung im Rahmen von Online-Klausuren mit Zoom und vergleichbaren Systemen ist darauf zu achten, dass Ausweise in einer Weise kontrolliert werden, durch die die Kenntnisnahme von Ausweisdaten durch unberechtigte Dritte vermieden wird. Eine konkrete Verfahrensweise ist auf den Webseiten des Rechenzentrums (ITS) beschrieben.
• Den Prüflingen ist Gelegenheit zu geben, sich mit dem Prüfgeschehen im Rahmen einer Online-Klausur (technische Anforderungen und organisatorische Bedingungen der Prüfung) vorab vertraut zu machen. Weiterhin müssen die Prüflinge bei der Festlegung der Möglichkeit einer Online-Klausur über die Verarbeitung ihrer personenbezogenen Daten informiert werden.
• Eine Aufzeichnung des Prüfungsgeschehens und des Identifizierungsvorgangs ist unzulässig.

• Gemeinsame Verantwortlichkeit bei einer Verarbeitungstätigkeit: Ein gemeinsam für die Verarbeitung Verantwortlicher ist eine natürliche oder juristische Person ausserhalb der Universität Kassel, die gemeinsam mit Ihnen über Mittel und Zwecke der Verarbeitung der personenbezogenen Daten entscheidet. Ein Vertrag über die gemeinsame Verantwortlichkeit ist erforderlich. Ein typisches Beispiel sind gemeinsame Forschungsprojekte.
  • Der LfDI BW bietet hierzu ein Vertragsmuster an.
• Auftragsverarbeitung bei einer Verarbeitungstätigkeit: Ein Auftragsverarbeiter ist eine natürliche oder juristische Person ausserhalb der Universität Kassel, die die personenbezogenen Daten gemäss Ihrer Anweisungen verarbeitet. Ein Auftragsverarbeitungsvertrag (AVV) ist erforderlich. AVV werden vom Kanzler für die Hochschulleitung unterzeichnet. Typische Beispiele sind Hosting- und SaaS-Dienstleistungen, Übersetzungs-/Transkriptionsdienstleitungen usw.
  • Typischerweise haben Auftragsverarbeiter Vertragsvorlagen, bitte fragen Sie bei Ihrem Auftragsverarbeiter danach. Ansonsten gibt es eine Formulierungshilfe für einen AVV hier bei der DSB (s. oben bei "Dokumente und Formulare")
• Der wesentliche Unterschied liegt in der Verantwortlichkeit für die zu verarbeitenden personenbezogenen Daten: Im Fall gemeinsamer Verantwortlichkeit haben diese die zwei (oder mehr) Vertragsparteien gemeinsam, während diese im Fall von Auftragsverarbeitung bei der verantwortlichen Stelle (also der Universität Kassel oder dem Auftraggeber der Universität Kassel) verbleibt. In beiden Fällen muss ein Vertrag geschlossen werden: Entweder ein Vertrag zur gemeinsamen Verantwortlichkeit oder ein Auftragsverarbeitungsvertrag (oder beides, wenn gemeinsam verantwortliche Parteien die Dienste eines Auftragsverarbeiters nutzen wollen).

• Für alle an der Universität Kassel eingesetzten E-Learning-Systeme (also nicht nur das "große" Moodle des Servicecenter Lehre, sondern alle derartigen Systeme an der Universität Kassel) gilt die Satzung zum "Schutz personenbezogener Daten bei multimedialer Nutzung von E-Learning-Verfahren an der Universität Kassel" (1.62.10, Fassung vom 06.07.2009).
• Die o.g. Satzung gilt auch für Prüfungsverfahren, also z.B. Multiple Choice-Tests am Computer mit anschließender automatisierter Auswertung.
• Moodle und (wahrscheinlich auch) andere E-Learning-Systeme enthalten im Auslieferungszustand Funktionen, die Regelungen der o.g. Satzung verletzen. So ist es z.B. laut § 6 Abs. 1 der Satzung nur dann erlaubt, personenbezogene Daten der Nutzer zu verarbeiten, wenn dies zur Nutzung des E-Learning-Systems erforderlich ist. Eine tabellarische Übersicht von Teilnehmenden und deren Prüfungsergebnissen ist z.B. nachvollziehbar erforderlich, bei einer Übersicht von angesehenen Dokumenten je Teilnehmendem ist dies jedoch mindestens fraglich.
• Laut Satzung unzulässige oder fragliche Funktionen sind in dem vom Servicecenter Lehre betriebenen Moodle deaktiviert. Wer ein eigenes Moodle oder ein ähnliches System betreibt, ist gehalten, derlei Funktionen ebenfalls zu deaktivieren.

• Nein. Es ist dabei egal, wer aufzeichnet (oder dies beabsichtigt) und zu welchem Zweck: Ihre Einwilligung ist immer erforderlich. Ausnahmen gibt es allenfalls bei besonderen Veranstaltungen und Vortragenden (Pressekonferenzen, Festansprachen, Vorträge von Personen mit zeitgeschichtlicher Bedeutung o.ä.), nicht aber bei normalen Lehrveranstaltungen.
• Falls sich hierbei jemand uneinsichtig zeigen sollte: Lt. § 2, Abs. 3 und 4 der Hausordnung der Universität Kassel (1.75.00, Fassung vom 26.03.2015) sind Sie als Lehrperson während einer Lehrveranstaltung auch Hausrechtsbeauftragter und können Störende des Hauses verweisen bzw. verweisen lassen (Sicherheitsdienst: Tel. 0561-804-2222).

Die DSB ist gesetzlich zur Verschwiegenheit verpflichtet, HDSIG  § 6, Abs. 4 (gekürzt):

Beschäftigte der öffentlichen Stellen können sich ohne Einhaltung des Dienstwegs in allen Angelegenheiten des Datenschutzes an die Datenschutzbeauftragte wenden. Betroffene Personen können die Datenschutzbeauftragte zu allen mit der Verarbeitung ihrer personenbezogenen Daten und mit der Wahrnehmung ihrer Rechte nach der Verordnung (EU) Nr. 2016/679, diesem Gesetz sowie anderen Rechtsvorschriften über den Datenschutz im Zusammenhang stehenden Fragen zu Rate ziehen. Die Datenschutzbeauftragte ist zur Verschwiegenheit über die Identität der betroffenen Person verpflichtet, die ihr in der
Eigenschaft als Datenschutzbeauftragte Tatsachen anvertraut hat. Die Verschwiegenheitspflicht erstreckt sich auch auf die Umstände, die Rückschlüsse auf die betroffene Person zulassen, sowie auf diese Tatsachen selbst, soweit die Datenschutzbeauftragte nicht durch die betroffene Person davon befreit wird.

Wenn Sie keine E-Mail an die DSB schreiben wollen, können Sie telefonisch um einen Termin für ein persönliches Gespräch bitten.