Kurz gesagt:
- Anwesenheitslisten und Unterschriften sind personenbezogene Daten. Die DSGVO gilt für sie wie für jede andere Studierendenakte.
- Neben der DSGVO gelten für private Bildungsträger das BDSG, für staatliche Hochschulen das jeweilige Landesdatenschutzgesetz und das Landeshochschulgesetz.
- Legen Sie die Rechtsgrundlage fest, bevor Sie Daten erheben. Für Anwesenheit ist das selten die Einwilligung.
- Die DSGVO kennt keine feste Aufbewahrungsfrist. Sie legen sie je Zweck fest, dokumentieren sie und löschen danach.
- Eine Datenpanne muss innerhalb von 72 Stunden nach Bekanntwerden an die Aufsichtsbehörde gemeldet werden, es sei denn, sie führt voraussichtlich nicht zu einem Risiko für die Betroffenen.
Hochschulen, Bildungsträger und Weiterbildungsakademien verarbeiten jeden Tag personenbezogene Daten: Einschreibungen, Stundenpläne, Prüfungsleistungen und vor allem Anwesenheitsdaten. Für all das gilt die DSGVO. Die meisten Ratgeber bleiben jedoch abstrakt oder beziehen sich auf Schulen. Dieser Leitfaden nimmt das Beispiel, mit dem Sie in jeder Lehrveranstaltung zu tun haben, Anwesenheits- und Unterschriftsdaten, und zeigt, was das Datenschutzrecht konkret verlangt.
Er ersetzt keine Rechtsberatung. Für Ihre eigenen Verarbeitungen hat Ihre Datenschutzbeauftragte oder Ihr Datenschutzbeauftragter das letzte Wort.
Die DSGVO gilt unmittelbar für alle Einrichtungen, die personenbezogene Daten verarbeiten. Sie wird in Deutschland ergänzt, und welches Gesetz das ist, hängt von der Art der Einrichtung ab:
In jedem Fall ist die Einrichtung Verantwortliche im Sinne der DSGVO. Die Anbieter der eingesetzten Software, etwa für Anwesenheitserfassung, elektronische Signatur, Lernplattform oder Campus-App, sind Auftragsverarbeiter.
Personenbezogen ist jede Information über eine identifizierte oder identifizierbare Person. An einer Hochschule gehören dazu:
Einige Daten gehören zu den besonderen Kategorien nach Art. 9 DSGVO und brauchen einen stärkeren Schutz: Gesundheitsdaten (ein ärztliches Attest zur Entschuldigung einer Fehlzeit), biometrische Daten zur Identifizierung oder Angaben, aus denen religiöse Überzeugungen hervorgehen. Ein Attest ist also kein gewöhnlicher Anhang. Beschränken Sie, wer es einsehen kann.
Art. 6 DSGVO nennt sechs Rechtsgrundlagen. Für Anwesenheitsdaten kommen vor allem vier in Betracht.
| Rechtsgrundlage | Wann sie passt | Beispiel Anwesenheit |
|---|---|---|
| Öffentliche Aufgabe (Art. 6 Abs. 1 lit. e) | Staatliche Hochschulen bei der Erfüllung ihrer gesetzlichen Aufgaben, konkretisiert im Landesrecht | Erfassung der Teilnahme an Veranstaltungen mit Anwesenheitspflicht laut Prüfungsordnung |
| Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) | Eine Rechtsvorschrift verlangt die Verarbeitung | Teilnahmenachweise, die ein Träger für eine geförderte Maßnahme vorlegen muss |
| Vertrag (Art. 6 Abs. 1 lit. b) | Die Verarbeitung ist zur Erfüllung eines Vertrags nötig | Ein privater Bildungsträger dokumentiert die Teilnahme an einem gebuchten Lehrgang |
| Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) | Nichtöffentliche Stellen, nach Interessenabwägung | Auswertung von Fehlzeiten, um gefährdeten Teilnehmenden Unterstützung anzubieten |
Die Einwilligung eignet sich selten für die Anwesenheitserfassung. Sie muss freiwillig sein, und wer an einer Veranstaltung mit Anwesenheitspflicht teilnimmt, kann die Erfassung kaum ablehnen. Für freiwillige Nutzungen, etwa Fotos für eine Broschüre, ist sie dagegen die richtige Wahl.
Ob und für welche Veranstaltungen eine Anwesenheitspflicht zulässig ist, regeln die Landeshochschulgesetze und die Prüfungsordnungen unterschiedlich. Klären Sie das vor der Einführung einer digitalen Erfassung, denn ohne zulässigen Zweck gibt es auch keine Rechtsgrundlage.
Wenn Sie ein digitales Werkzeug für Anwesenheit oder Unterschriften einsetzen, verarbeitet der Anbieter die Daten in Ihrem Auftrag. Art. 28 DSGVO verlangt dafür einen Vertrag zur Auftragsverarbeitung (AV-Vertrag). Er regelt unter anderem:
Prüfen Sie vor der Auswahl außerdem, wo die Daten gehostet werden, welche Sicherheitszertifizierungen der Anbieter hat und wie lange er Daten nach Vertragsende aufbewahrt. Wie Edusign Hosting, Zertifizierung und Datenschutz umsetzt, lesen Sie auf unserer Seite zur Sicherheit.
Öffentliche Stellen müssen nach Art. 37 DSGVO immer eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten benennen, staatliche Hochschulen also in jedem Fall. Nichtöffentliche Stellen müssen es nach § 38 BDSG unter anderem dann, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind, oder wenn ihre Kerntätigkeit eine umfangreiche regelmäßige Überwachung von Personen umfasst.
Die oder der Datenschutzbeauftragte berät, überwacht die Einhaltung, wird bei Datenschutz-Folgenabschätzungen einbezogen und ist Ansprechperson für die Aufsichtsbehörde.
Die DSGVO nennt keine Zahl. Nach Art. 5 dürfen Daten nur so lange gespeichert werden, wie es für den Zweck erforderlich ist. Bei Anwesenheitsdaten hängt die Frist davon ab, wofür Sie sie aufbewahren:
Dokumentieren Sie jede Frist im Verzeichnis von Verarbeitungstätigkeiten und in Ihrem Löschkonzept und setzen Sie sie um. Der häufigste Fehler ist nicht die falsche Frist, sondern das fehlende Löschen: Listen, die „sicherheitshalber“ ewig liegen bleiben. Edusign speichert unterschriebene Anwesenheitsnachweise in einem gesicherten elektronischen Archiv. So bewahren Sie Nachweise für die festgelegte Dauer auf und finden sie wieder, wenn eine Prüfung sie verlangt.
Studierende und Teilnehmende sind bei der Erhebung klar und verständlich zu informieren (Art. 13 DSGVO). Für Anwesenheitsdaten gehören dazu:
Nach Art. 15 DSGVO haben Studierende ein Recht auf Auskunft, auch über ihre Anwesenheitshistorie. Die Antwort muss unverzüglich, spätestens innerhalb eines Monats erfolgen. Bei komplexen oder zahlreichen Anträgen kann die Frist um zwei weitere Monate verlängert werden, wenn Sie die Person innerhalb des ersten Monats darüber informieren.
Mit einer digitalen Anwesenheitserfassung wird das einfacher: Die Historie liegt an einer Stelle und lässt sich exportieren, statt über Papierlisten in mehreren Sekretariaten verteilt zu sein. Prüfen Sie vor dem Versand, dass der Export keine Daten anderer Studierender enthält.
Eine Datenpanne kann ein verlorener Laptop sein, eine Teilnehmerliste an den falschen Verteiler oder ein Cyberangriff. Die Schritte:
Begriffe aus diesem Leitfaden erklären wir im Glossar zur DSGVO. Wie die Anwesenheitserfassung selbst organisiert wird, lesen Sie in unserem Beitrag zur Anwesenheitserfassung.
Ja. Ein Eintrag, der zeigt, dass eine namentlich bekannte Person bei einer Veranstaltung anwesend oder abwesend war, bezieht sich auf eine identifizierte Person. Die DSGVO gilt also.
In der Regel nicht. Eine Einwilligung muss freiwillig sein, was bei einer Anwesenheitspflicht kaum gegeben ist. Staatliche Hochschulen stützen sich meist auf ihre öffentliche Aufgabe, private Träger auf den Vertrag oder eine rechtliche Verpflichtung.
Die DSGVO legt keine Dauer fest. Maßgeblich sind der Zweck und die geltenden Vorgaben: Prüfungsordnung, Förderbedingungen, handels- und steuerrechtliche Pflichten. Legen Sie die Frist fest, dokumentieren Sie sie und löschen Sie danach.
Die DSGVO sowie ergänzend das Landesdatenschutzgesetz und das Landeshochschulgesetz des jeweiligen Bundeslandes. Das BDSG gilt vor allem für nichtöffentliche Stellen und für Bundesbehörden.
Eindämmen, das Risiko bewerten, innerhalb von 72 Stunden an die Aufsichtsbehörde melden, sofern ein Risiko für die Betroffenen besteht, und die Betroffenen informieren, wenn das Risiko hoch ist.