Datenschutz, Speicherung und Archivierung von personenbezogenen Daten im Rahmen der Erfassung des Promotionswesens

Stand: Februar 2018

Technische Universität Dresden

- Volluniversität, fünf Bereiche mit 18 Fakultäten
- 33.515 Studierende, davon 7.780 Erstsemester (Stand: 01.11.2017)
- ca. 7500 Promovierende (einschließlich Medizin)

- Erfassungssystem: docata

Systemlösung und Projektstand

An der TU Dresden wird zur Erfassung des Promotionswesens das Softwareprodukt „docata“ der Firma Divinus Soft GmbH unter dem Eigennamen „Promovendus“ genutzt. Nach der Beschaffung und einer anschließenden 2-jährigen Implementierungsphase hat die erste Fakultät im November 2017 erfolgreich den Produktivbetrieb aufgenommen, alle weiteren Fakultäten werden sukzessive bis Ende 2018 folgen.

Datenschutz

Das Thema Datenschutz ist so früh wie möglich zu berücksichtigen – idealerweise schon bei der Überlegung, welche Lösung zur Erfassung des Promotionswesens genutzt werden soll. Analysieren Sie die aktuelle und beurteilen Sie die zukünftige Situation. Eruieren Sie, welche Daten momentan bereits erfasst werden und zukünftig erfasst werden sollen, zu welchem Zweck und auf welcher rechtlichen Grundlage. Auch wenn sich vieles erst im Laufe des Prozesses herausstellt, sollte man so früh wie möglich klären, welche Bereiche vom Datenschutz berührt sind.

Datenschutzbeauftragte Stelle
Sprechen Sie von Beginn an mit dem/der Datenschutzbeauftragten Ihrer Universität, informieren Sie ihn/sie über das geplante Projekt, fragen Sie, was bedacht werden muss. Informieren Sie sich, welche bundeslandspezifischen Gesetze bedacht werden müssen. Welchen rechtlichen Grundlagen folgen Sie? Was ist möglich, was nicht, und warum? Sind alle Grundlagen (z. B. Ordnungen) innerhalb der Universität vorhanden?

Gesetzesgrundlagen
- Gesetz über die Freiheit der Hochschulen im Freistaat Sachsen (Sächsisches Hochschulfreiheitsgesetz – SächsHSFG)

- Gesetz zum Schutz der informationellen Selbstbestimmung im Freistaat Sachsen (Sächsisches Datenschutzgesetz – SächsDSG)

- Verordnung über die Verarbeitung personenbezogener Daten der Mitglieder, Angehörigen, Studienbewerber, Prüfungskandidaten, Gasthörer und ehemaligen Mitglieder der staatlichen Hochschulen (Sächsische Hochschulpersonendatenverordnung – SächsHSPersDatVO)

Das sächsische Hochschulfreiheitsgesetz (SächsHSFG) definiert in §14, zu welchem Zweck personenbezogene Daten, das Staatsministerium für Wissenschaft und Kunst (SMWK) bestimmt durch Rechtsverordnung (RVO), welche personenbezogenen Daten erhoben werden dürfen. Die Hochschule bestimmt mittels Ordnung, auf welche Art und Weise die in der RVO definierten Daten verarbeitet werden.

Da die vom Gesetz vorgesehene RVO bis kurz vor Produktivgang von Promovendus noch nicht existierte, wurde, um den Produktivgang dennoch zu ermöglichen, eine Interimslösung in Absprache mit dem Datenschutzbeauftragten gewählt: die für das Sicherheitskonzept notwendige „Schutzbedarfstabelle“ (eine genaue Aufschlüsselung der Daten, die erfasst werden, mit Begründung der Notwendigkeit und Rechtsgrundlage) wurde zunächst nur auf der Grundlage des SächsHSFG erstellt. Parallel dazu wurde in Abstimmung mit den Fakultäten und unter Einbeziehung des Personalrats die vom SächsHSFG geforderte Ordnung erarbeitet. Diese Prozesse sind aufgrund des hohen Abstimmungsbedarfs sehr zeitaufwendig. Im September 2017 trat die „Ordnung zur Verarbeitung personenbezogener Daten in der Promotionsphase an der TU Dresden“ in Kraft. Im Oktober 2017 erließ das SMWK die noch ausstehende sächsische Personendatenverordnung (SächsHSPersDatVO). Damit lagen alle Voraussetzungen für den Produktivgang von Promovendus vor.

Datenspeicherung
Für die Datenspeicherung müssen die universitären Ressourcen (Stichwort: Rechenzentrum) genau geprüft werden. In den meisten Fällen wird eine Datenspeicherung/-sicherung auf Servern der Universität bevorzugt. Es können auch externe Anbieter in Frage kommen, der Datenschutzbeauftragte der Universität kann in diesen Fällen beraten. Dort liegen ggf. auch Informationen dazu vor, welche Anbieter nicht in Frage kommen (bspw. in Nicht-EU-Ländern) und welche Verträge und Maßnahmen zur externen Datenspeicherung ergriffen werden müssen. Diese Überlegungen sind schon bei der Beschaffung der Softwarelösung zu anzustellen.

Darüber hinaus ist zu bedenken, dass der Zugriff auf die gespeicherten Daten i. d. R. über eine Internetverbindung erfolgt. Zur Gewährleistung der Sicherheit der Datenübertragung wurde der Zugriff auf Promovendus zunächst nur über eine VPN-Verbindung (Virtual Private Network) der TU Dresden gestattet. Dadurch ist jedoch die Nutzerfreundlichkeit, insbesondere für externe Promovierende, stark eingeschränkt. Um auf die VPN-Verbindung verzichten zu können und somit die Nutzerfreundlichkeit zu erhöhen, hat sich die TU Dresden dazu entschieden, dass alle Nutzer/-innen mit Zugriff auf einen größeren Personenkreis zukünftig nur über eine 2-Faktor-Authentifizierung auf Promovendus zugreifen dürfen (als 2. Faktor dient z. B. ein personengebundenes Sicherheitszertifikat oder ein Einmal-Passwort).

Sicherheitskonzept
Für den Betrieb einer Software ist die Erstellung eines Sicherheitskonzeptes unumgänglich. Dort ist festgelegt, wie die die erhobenen, personenbezogenen Daten gesichert werden. Ein Sicherheitskonzept beinhaltet i. d. R.:

- eine Sicherheitsprüfung der technischen und organisatorischen Maßnahmen auf der Basis des IT-Grundschutzkatalogs gem. § 9 SächsDSG (z. B. Verinice),
- eine Schutzbedarfstabelle (Auflistung der zu erhebenden Daten, mit Begründung und Rechtsgrundlage),
- eine technische Skizze der Systemumgebung,
- ein elaboriertes Rechte-/Rollenkonzept,
- eine oder mehrere Datenschutzerklärungen,
- ein Protokollierungskonzept,
- ein Schulungshandbuch (ggfs. auch mehrere zielgruppenspezifische Schulungshandbücher),
- ein Servicehandbuch (Service Level Agreement).

Rechte- und Rollenkonzept
Für ein elektronisches Promovierenden-Managementsystem muss es immer ein differenziertes Rechte- und Rollenkonzept geben, um der datenschutzrechtlichen Vorgabe, Rechte für Nutzer des Systems auf die Erfüllung der Dienstaufgaben zu beschränken, gerecht zu werden. Da die Dienstaufgaben an der Hochschule sehr spezifisch sein können und z. T. auch Änderungen unterliegen, empfiehlt sich eine Softwarelösung, bei der Sie alle Rechte und Regeln in verschiedensten Rollen frei konfigurieren können. Dies bedeutet jedoch einen enormen Aufwand bei der Erstkonfiguration, der bei einem vorgefertigten System mit fixen, vordefinierten Rollen nicht anfällt. Langfristig ist man jedoch mit einer frei konfigurierbaren Lösung flexibler und kann auch im laufenden Betrieb schnell reagieren und Rollen anpassen.

Für Promovendus müssen die Nutzer eine bestimmte Rolle formal durch den/die Vorgesetzte/n beantragen. Zu beachten ist, dass sich Dienstaufgaben ändern oder Nutzer/innen innerhalb der Universität die Position wechseln können. Die Nutzer sowie der/die Vorgesetzte müssen daher verpflichtet werden, die Systemadministratoren über Änderungen zu informieren. Zu empfehlen ist jedoch eine regelmäßige (z. B. jährliche) Abfrage.

Datenschutzerklärung für die Nutzergruppe Promovierende
Die Datenschutzerklärung beinhaltet folgende Aspekte: Welche Daten werden erhoben, zu welchem Zweck und auf welche Art und Weise? Auf welcher Rechtsgrundlage? Wie werden die Daten genutzt und weitergegeben? Wie können Daten geändert werden? Können Daten gelöscht werden? Wie lange werden Daten aufbewahrt? Hier ist zu beachten, dass es ggfs. unterschiedliche Datenschutzerklärungen geben muss (z. B. werden bei der Registrierung in einem System zunächst andere Daten erfasst als bei der Annahme als Doktorand/in, ebenso gelten dann andere Löschfristen). Nutzer müssen über Änderungen der Datenschutzerklärung in geeigneter Form informiert werden.

Im Fall von Promovendus müssen Promovierende verschiedenen, prozessspezifischen Datenschutzerklärungen zustimmen bei:
1. elektronischer Selbstregistrierung in Promovendus
2. der Annahme als Doktorand/in
3. der (jährlichen) Rückmeldung der Promovierenden
4. der Eröffnung des Promotionsverfahrens

Schulungen
Schulungen sind von besonderer Bedeutung. Sie dienen nicht nur dazu, alle Nutzer/innen an der Hochschule umfassend im Umgang mit der Softwarelösung zu schulen. Die verschiedenen Nutzergruppen müssen dabei auch über datenschutzrechtliche Grundlagen informiert und für das Thema Datenschutz sensibilisiert werden – gehen Sie nicht davon aus, dass Kenntnissicherheit im Bereich Datenschutz selbstverständlich ist! Vielen Mitarbeitern/innen ist bspw. unklar, wem sie wann und wie Auskünfte geben und welche Daten in welcher Form gespeichert werden dürfen. Gängige Praxis können Excel-Dateien sein, die nur auf dem lokalen Computer gespeichert und/oder unverschlüsselt über E-Mail versandt werden. Auch Anfragen von ausländischen Ministerien oder von Familienangehörigen werden oftmals ohne Rückfrage schnell per E-Mail beantwortet. Hier empfehlen sich gut vorbereitete, mehrtägige Inhouseschulungen. Bitten Sie, wenn möglich, den Datenschutzbeauftragen dazu.

Protokollierungskonzept/Datenarchivierung und -löschung
Ein Protokollierungskonzept legt fest, welche Systemeinträge und -änderungen wann und wie gespeichert werden und wer auf diese Einträge zu welchem Zweck Zugriff haben darf. Dabei wird auch festgelegt wann, wie und wie lange Protokolleinträge archiviert und wann sie ggf. gelöscht werden müssen. Hier müssen natürliche gesetzliche Vorgaben aber auch die schutzwürdigen Interessen der Betroffenen berücksichtigt werden.

Personenbezogene Daten werden bei den verarbeitenden Stellen so lange aufgehoben, wie es zur Erfüllung der Dienstaufgabe erforderlich ist (i. d. R. bis zum Abschluss des Promotionsverfahrens). Danach werden Papierakten innerhalb eines bestimmten Zeitraumes (an der TU Dresden 1 Jahr) dem Universitätsarchiv übergeben. Daten innerhalb von Promovendus werden elektronisch archiviert, d. h. der Zugriff wird gesperrt, die Daten werden unter Berücksichtigung der schutzwürdigen Interessen der Betroffenen jedoch nicht oder auf Antrag nur teilweise gelöscht. Mit dieser Regelung ist im Bedarfsfall die Überprüfung des Promotionsverfahrens für den Promovierenden i. d. R. zeitlebens gewährleistet. Damit ist auch sichergestellt, dass im begründeten Verdachtsfall bspw. bei Hinweisen auf ein mögliches Plagiat das betreffende Promotionsverfahren mittels aller elektronischen Protokolleinträge nachvollzogen werden kann.

Personalrat
Da Promovierende teilweise auch Beschäftige der Hochschule sind und eine neue Software gleichzeitig die Neugestaltung vieler Arbeitsprozesse für Mitarbeiter/innen der Hochschule bedeutet, muss der Personalrat so früh wie möglich informiert (spätestens nach der Beschaffung und Entscheidung für eine Softwarelösung) und in Entscheidungen einbezogen werden.

Der Personalrat bewertet anhand des Sicherheitskonzepts, ob die Interessen der promovierenden Beschäftigten und der Mitarbeiter/innen, die mit dieser neuen Softwarelösung umgehen müssen, gewahrt sind. Dazu prüft der Personalrat i. d. R., ob die Datenerhebung erforderlich ist und wie hoch der zu erwartende Mehraufwand für die Mitarbeiter/innen durch Einführung neuer/anderer Arbeitsprozesse ausfallen wird und wie diesem, zum Beispiel durch ausreichend geeignete Schulungen, begegnet werden soll.

Für den Personalrat ist es außerdem sehr wichtig, dass das System nicht zur Leistungsbewertung der Mitarbeiter/innen, z. B. durch Protokolleinträge der Arbeitsschritte, genutzt werden kann.

Mit dem Personalrat muss i. d. R. eine Dienstvereinbarung abgeschlossen werden, in der Regelungen zum Schutz der Rechte der Beschäftigten getroffen werden. An der TU Dresden wurde gemäß SächsHSFG eine universitäre Ordnung zu Art und Weise der Datenverarbeitung erarbeitet und dem Personalrat zur Kenntnis und Zustimmung gegeben. Dabei konnten die schutzwürdigen Interessen der Beschäftigten bereits ausreichend berücksichtigt werden, so dass der Personalrat auf eine Dienstvereinbarung verzichtet hat.

Letztendlich muss der Personalrat dem Betrieb der Software zustimmen, erst dann kann mit der Einführung der Software begonnen werden.

Autorenkontakt

Dr. Anita Sbalzarini (Projektleiterin) und Denise D’Silva (stellvertretende Projektleiterin)

Technische Universität Dresden
Dezernat Forschung
Mommsenstraße 7
01069 Dresden
admin-promovendus@mailbox.tu-dresden.de
http://tu-dresden.de/graduiertenakademie

Weitere Informationen zur Promovierendenerfassung an der TU Dresden:

Werkstattbericht der TU Dresden. Drittes UniKoN-Werkstattgespäch, Frankfurt am Main (2017)