Basiswissen Datenschutz

Die Verarbeitung personenbezogener Daten ist grundsätzlich verboten, es sei denn die Verarbeitung ist rechtmäßig, Art. 6 Absatz 1 DSGVO. Die Verarbeitung ist nur rechtmäßig

• mit der Einwilligung der betroffenen Person, Art. 6 Absatz 1 Satz 1 lit. a DSGVO.

Oder wenn die Verarbeitung erforderlich ist

• für die Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen, Art. 6 Absatz 1 Satz 1 lit. b DSGVO.
• zur Erfüllung einer rechtlichen Verpflichtung des Verantwortlichen, Art. 6 Absatz 1 Satz 1 lit. c DSGVO.
• zum Schutz lebenswichtiger Interessen der betroffenen oder einer anderen natürlichen Person, Art. 6 Absatz 1 Satz 1 lit. d DSGVO.
• für die Wahrnehmung einer im öffentlichen Interesse liegenden oder in Ausübung hoheitlicher Gewalt erfolgenden Aufgabe des Verantwortlichen, Art. 6 Absatz 1 Satz 1 lit. e DSGVO oder
• zur Wahrung berechtigter Interessen des Verantwortlichen oder Dritten, sofern nicht die Interessen oder Grundrechte und Grundfreiheiten der betroffenen Person überwiegen, Art. 6 Absatz 1 Satz 1 lit. f DSGVO.

Erläuterung der Rechtsgrundlagen mit Beispielen aus dem Hochschulbereich:

• Die Verarbeitung von Daten im Rahmen von Mailinglisten für den Newsletterversand aber auch Forschungsprojekte beruhen meist auf eine Einwilligung. Die Rechtsgrundlage lautet dann: Art. 6 Absatz 1 Satz 1 lit. a DSGVO.
• Art. 6 Absatz 1 Satz 1 lit. b DSGVO greift als Rechtgrundlage, wenn die Datenverarbeitung aufgrund der Vertragserfüllung passiert. Das können Kaufverträge, ein Vertrag über die Bibliotheksnutzung der Hochschule, Leasingverträge, Kooperationsverträge mit anderen Hochschulen und Werkverträge mit Dienstleistern sein. Der Austausch von Informationen zur Vertragsanbahnung (Kontaktaufnahme, Angebotseinholung) fällt ebenso unter diese Rechtsgrundlage.
• Datenverarbeitungen, die aufgrund des Art. 6 Absatz. 1 Satz 1 lit. c erfolgen, sind Verarbeitungen, die zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind. Es muss somit eine konkrete Rechtsvorschrift vorliegen, welche die Hochschule verpflichtet, eine bestimmte Datenverarbeitung (meist ist das eine Übermittlung an eine andere Stelle) durchzuführen. Zum Beispiel gesetzliche Meldepflichten (§ 27 Mutterschutzgesetz) oder Mitteilungspflichten (§ 8 Infektionsschutzgesetz).  
• Art. 6 Absatz 1 Satz 1 lit. d DSGVO greift dann, wenn die Verarbeitung von Daten erforderlich ist, um lebenswichtige Interessen zu schützen. Zum Beispiel das Eingreifen in Notfälle.
• Art. 6 Absatz 1 Satz 1 lit. e DSGVO ist - neben der Einwilligung - die Rechtsgrundlage, die am häufigsten bei einer Datenverarbeitung im Hochschulbereich als Erlaubnis dient. Diese greift, wenn die Verarbeitung von personenbezogenen Daten für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Diese gesetzliche Erlaubnis tritt dann auf, wenn eine konkrete Rechtsvorschrift besteht, die die Verarbeitung erlaubt, zum Beispiel die Prüfungsverwaltung und Studierendenverwaltung. Auch weitere Handlungen der Hochschule können hier drunter fallen, wenn die Hochschule als Behörde handelt und eine spezialgesetzliche Regelung (zum Beispiel Ordnungen oder Satzungen der Hochschule) die Verarbeitung konkretisiert. 
• Die Verarbeitung ist notwendig, um die berechtigten Interessen des Verantwortlichen oder eines Dritten zu wahren, sofern nicht die Interessen oder Grundrechte der betroffenen Person, die den Schutz personenbezogener Daten erfordern, überwiegen. Das sagt Art. 6 Absatz. 1 Satz 1 lit. f DSGVO. Achtung: Diese Vorschrift gilt nicht, wenn die Hochschule in Erfüllung ihrer (hoheitlichen) Aufgaben Daten verarbeitet. Diese Vorschrift greift selten. Im Zweifel ist hier immer der Datenschutzkoordinator oder der Datenschutzbeauftragte miteinzubeziehen.

Ein Hinweis zu Rechtsgrundlagen der Hochschulen: Die wissenschaftsunabhängige Verarbeitung personenbezogener Daten erstreckt sich von der Verarbeitung von Studierendendaten (von Immatrikulation bis hin zur Exmatrikulation) bis zum Datenschutz der Hochschulbeschäftigten. Diese sogenannten administrativen Verarbeitungen sind zur Erfüllung gesetzlicher Aufgaben im Zusammenhang mit der Ermöglichung von Forschung, Lehre und Studium im Sinne des § 3 HmbHG notwendig. Rechtsgrundlage ist an den Hochschulen üblicherweise der Art. 6 Absatz 1 lit.e DSGVO in Verbindung mit der entsprechenden spezialgesetzlichen Regelung. Das kann zum Beispiel ein Gesetz, eine Verordnung, eine Hochschulordnung oder -satzung oder gar eine Dienstvereibarung sein.

Daten sind grundsätzlich bei der betroffenen Person zu erheben. Die Person muss darüber bei Datenerhebung informiert werden. Gelangt eine Hochschule an die personenbezogenen Daten durch Dritte, dürfen diese nicht ohne Wissen der Person verarbeitet werden. Einige Ausnahmen davon, z.B. im Forschungsbereich, sind gesetzlich geregelt.

Sofern eine Einwilligung der betroffenen Person erforderlich ist, ist diese nur wirksam, wenn die einwilligende Person die Einwilligung freiwillig erteilt hat. Die Einwilligung ist grundsätzlich schriftlich zu erteilen; begründete Ausnahmen können im Einzelfall möglich sein. Zudem kann der / die Betroffene die Einwilligung mit Wirkung für die Zukunft widerrufen.

Der Grundsatz der Transparenz (Art. 5 Absatz 1 lit. a DSGVO) soll insbesondere gewährleisten, dass die betroffenen Personen im engeren Sinne ihre Betroffenenrechte und im weiteren Sinne generell ihr Recht auf informationelle Selbstbestimmung wahrnehmen können.

Das heißt, personenbezogene Daten sind grundsätzlich bei der betroffenen Person zu erheben. Betroffene sind zuvor über die Identität der Verantwortlichen, den Zweck der Verarbeitung sowie die Kategorien von Empfänger*innen aufzuklären. Können die Daten aus nachvollziehbaren Gründen nicht bei einer betroffenen Person erhoben werden, wäre sie nachträglich darüber zu benachrichtigen. Die Erhebung und Verarbeitung personenbezogener Daten muss gegenüber Betroffenen transparent sein - meint u.a. leicht verständlich und klar formuliert sein.

In Art. 12 ff. DSGVO wird der Grundsatz der Transparenz etwa durch die Informationspflichten bei der Erhebung von personenbezogenen Daten sowie durch das Auskunftsrecht der betroffenen Person weiter präzisiert, ein Beispiel dafür: Die klassische Datenschutzerklärung/Datenschutzinformation. Sie ist eine Ausformung des Transparenzgrundsatzes. Auf die Datenschutzinformationen wird auf der Seite Hochschulalltag jeweils gesondert eingegangen. Auch die Grundsätze Datenschutz durch Technik (data protection by design) und datenschutzfreundliche Voreinstellungen (data protection by default) sollen die Transparenz ebenfalls gewährleisten (vgl. Art. 25 DSGVO, Erwägungsgrund 78). Hinzu kommen Zertifizierungsverfahren sowie Datenschutzsiegel- und prüfzeichen, die den betroffenen Personen einen raschen Überblick über das Datenschutzniveau einschlägiger Produkte und Dienstleistungen ermöglichen sollen (vgl. Art. 42 f. DSGVO, Erwägungsgrund 100).

Grundsatz der Verarbeitung nach Treu und Glauben

Der Grundsatz der Verarbeitung nach Treu und Glauben ist nicht deutlich definiert. Vielmehr kann bei der Auslegung des Grundsatzes die englische Version der Verordnung helfen. Hier schreibt das Gesetz vor, dass die Verarbeitung "fair" durchzuführen ist. Eine faire Verarbeitung ist beispielsweise nicht gegeben, wenn die Verarbeitung gegenüber der Betroffenen heimlich passiert.

Grundsatz der Zweckbindung

Personenbezogene Daten dürfen nur für die zuvor definierten Zwecke verwendet werden. Somit ist der Verarbeitungszweck vorab festzulegen.

Im Folgenden zwei Beispiele, die die Zweckbindung im Hochschulbereich darstellen:

• Ein im Sinne der DSGVO legitimer Zweck ist die Verarbeitung von personenbezogenen Daten im Rahmen eines Vertrages, Art. 6 Absatz 1 Satz 1 lit. b DSGVO. Erhebt und verarbeitet eine Hochschulbibliothek Daten einer Person, die bei der Hochschulbibliothek einen Nutzungsvertrag zur Benutzung der Hochschulbibliothek abgeschlossen hat, so ist die Hochschulbibliothek berechtigt, alle für den Betrieb des Bibliothekskontos notwendigen Informationen zu verarbeiten. Dazu gehören neben den Kontaktdaten auch Informationen über die entliehenen Medien (Entleihdatum, Verlängerung usw.). Möglicherweise auch Versäumnisgebühren und Sperrvermerke werden vermerkt und sind zur Erbringung der Leistung gegenüber dem Bibliotheksnutzer notwendig. Hingegen ist die Hochschulbibliothek nicht berechtigt, die entliehenen Medien im Einzelnen zu analysieren und daraus Werbemaßnahmen zu generieren. Dies geht über den ursprünglichen Zweck hinaus und benötigt die vorherige Zustimmung des Bibliotheksnutzers.
• Ein weiteres Beispiel stammt aus dem Bereich der Studierendenverwaltung. An einer Hochschule erfolgt die Verwaltung von Studierenden-Stammdaten ausschließlich über ein digitales Hochschul-Management-System. Zu jedem Studierendendatensatz wird auch ein Foto von Studierenden erstellt/verarbeitet. Da die Hochschule beispielsweise keine Anwesenheitsliste bei Lehrveranstaltungen führt, dient das Foto zur Identifikation einer studierenden Person. Die Verwendung des Fotos zum Zwecke der Identifikation der Studierenden durch die Lehrenden ist zulässig, solange ausschließlich dieser Zweck verfolgt und das Foto nicht anderweitig verwendet wird. Hinweis: Die meisten Hochschulen haben diese Art der Verarbeitung in einer entsprechenden Satzung über die Verarbeitung von personenbezogenen Daten geregelt.

Eine Zweckänderung bedarf einer entsprechenden Legitimation durch eine datenschutzrechtliche Rechtsgrundlage oder wiederum der Einwilligung von Betroffenen.

Grundsatz der Datenminimierung

Es dürfen nur die Daten genutzt werden, die zum Erreichen des festgelegten Zwecks wirklich notwendig sind. Somit ist die Datenverarbeitung auf den für den Erhebungszweck notwendigen Umfang zu begrenzen, insbesondere im Hinblick auf Menge und Art der verarbeiteten Daten. Kann der verfolgte Zweck nicht mit weniger Daten erreicht werden?

Der Grundsatz der Verarbeitung nach Treu und Glauben ist nicht deutlich definiert. Vielmehr kann bei der Auslegung des Grundsatzes die englische Version der Verordnung helfen. Hier schreibt das Gesetz vor, dass die Verarbeitung "fair" durchzuführen ist. Eine faire Verarbeitung ist beispielsweise nicht gegeben, wenn die Verarbeitung gegenüber Betroffenen heimlich passiert.

Personenbezogene Daten dürfen nur für die zuvor definierten Zwecke verwendet werden. Somit ist der Verarbeitungszweck vorab festzulegen.

Im Folgenden zwei Beispiele, die die Zweckbindung im Hochschulbereich darstellen:

• Ein im Sinne der DSGVO legitimer Zweck ist die Verarbeitung von personenbezogenen Daten im Rahmen eines Vertrages, Art. 6 Absatz 1 Satz 1 lit. b DSGVO. Erhebt und verarbeitet eine Hochschulbibliothek Daten einer Person, die bei der Hochschulbibliothek einen Nutzungsvertrag zur Benutzung der Hochschulbibliothek abgeschlossen hat, so ist die Hochschulbibliothek berechtigt, alle für den Betrieb des Bibliothekskontos notwendigen Informationen zu verarbeiten. Dazu gehören neben den Kontaktdaten auch Informationen über die entliehenen Medien (Entleihdatum, Verlängerung usw.). Möglicherweise auch Versäumnisgebühren und Sperrvermerke werden vermerkt und sind zur Erbringung der Leistung gegenüber dem Bibliotheksnutzer notwendig. Hingegen ist die Hochschulbibliothek nicht berechtigt, die entliehenen Medien im Einzelnen zu analysieren und daraus Werbemaßnahmen zu generieren. Dies geht über den ursprünglichen Zweck hinaus und benötigt die vorherige Zustimmung des Bibliotheksnutzers.
• Ein weiteres Beispiel stammt aus dem Bereich der Studierendenverwaltung. An einer Hochschule erfolgt die Verwaltung von Studierenden-Stammdaten ausschließlich über ein digitales Hochschul-Management-System. Zu jedem Studierendendatensatz wird auch ein Foto von Studierenden erstellt/verarbeitet. Da die Hochschule beispielsweise keine Anwesenheitsliste bei Lehrveranstaltungen führt, dient das Foto zur Identifikation einer studierenden Person. Die Verwendung des Fotos zum Zwecke der Identifikation der Studierenden durch die Lehrenden ist zulässig, solange ausschließlich dieser Zweck verfolgt und das Foto nicht anderweitig verwendet wird. Hinweis: Die meisten Hochschulen haben diese Art der Verarbeitung in einer entsprechenden Satzung über die Verarbeitung von personenbezogenen Daten geregelt.

Eine Zweckänderung bedarf einer entsprechenden Legitimation durch eine datenschutzrechtliche Rechtsgrundlage oder wiederum der Einwilligung von Betroffenen.

Es dürfen nur die Daten genutzt werden, die zum Erreichen des festgelegten Zwecks wirklich notwendig sind. Somit ist die Datenverarbeitung auf den für den Erhebungszweck notwendigen Umfang zu begrenzen, insbesondere im Hinblick auf Menge und Art der verarbeiteten Daten. Kann der verfolgte Zweck nicht mit weniger Daten erreicht werden?

Beispiel für eine Datenminimierung:

Bleibt man bei dem oben aufgeführten Beispiel mit dem Foto in der Studierenden-Datenbank, muss sich die Hochschule die Frage stellen, ob ein Verarbeiten von Fotos der Studierenden wirklich zur Erreichung des festgelegten Ziels (Identifikation der Studierenden) notwendig ist, oder ob nicht eine Anwesenheitsliste während der Veranstaltung ebenso (einfach) den Zweck erfüllt. 

Personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, sollen unverzüglich gelöscht werden.

Personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für die Zwecke der Verarbeitung erforderlich ist.

Typisches Beispiel für eine Speicherbegrenzung:

Sobald Studierende die Hochschule verlassen (Exmatrikulation o.ä.) ist das Foto zu löschen.

Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet. Dies umfasst auch den Schutz vor unbefugter und unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder Schädigung der personenbezogenen Daten. Hierfür sind geeignete technische und organisatorische Maßnahmen zu treffen, die insbesondere in Art. 32 DSGVO konkretisiert werden. Hier spielt die Datensicherheit einer Hochschule eine wichtige Rolle.

Beispiel für Integrität und Vertraulichkeit:

Das Foto im Hochschul-Management-System. Das Foto wird ausschließlich zur Identifizierung verwendet und darf nicht anderweitig verwendet werden. Technisch sollte die verwendete Software/Anwendung so eingestellt werden, dass jedwede Exportmöglichkeit ausgeschlossen ist. Auch die Zugriffsrechte der Hochschulmitarbeiter*innen auf die Fotos der Studierenden im Hochschul-Mamagement-System müssen entsprechend geregelt werden.

Art. 5 Absatz 2 DSGVO regelt eine Rechenschaftspflicht für Verantwortliche - wie die Hochschule. Danach muss eine Hochschule in der Lage sein, nachzuweisen, dass sie die o.g. Grundsätze der Datenverarbeitung einhält. Weil sich diese Grundsätze in allen konkreten Normen der DSGVO wiederfinden, wird ein Verstoß gegen eine DSGVO-Vorschrift immer auch einen Verstoß gegen einen Grundsatz nach Art. 5 DSGVO beinhalten. Im Umkehrschluss müssen eine Hochschule nachweisen können, dass sie sich an die DSGVO hält. Dies wird konkretisiert durch Art. 24 Abs. 1 DSGVO. Danach sind Verantwortliche verpflichtet, geeignete technische und organisatorische Maßnahmen zu treffen, um den Nachweis erbringen zu können, dass Sie die DSGVO umsetzen.

Nach Artikel 15 DSGVO dürfen Betroffene wissen, ob und wie ihre Daten verarbeitet werden. Das heißt: Jede*r kann nachfragen, welche Daten über sie oder ihn bei der Hochschule gespeichert sind, zu welchem Zweck das passiert und an wen die Daten möglicherweise weitergegeben wurden.

Beispiel aus der Praxis:

• Eine Studentin möchte wissen, welche Informationen über sie in den Studiengangsverwaltungen, im Prüfungsamt oder bei der Bibliothek gespeichert sind.
• Ein wissenschaftlicher Mitarbeiter fragt nach, welche personenbezogenen Daten im Rahmen eines Drittmittelprojekts verarbeitet werden und wer Zugriff darauf hat.

Solche Anfragen können sich an ganz unterschiedliche Bereiche der Hochschule richten – und sie müssen sorgfältig bearbeitet werden.

Warum sind klare Prozesse so wichtig?

Das Auskunftsrecht ist kein „Nice-to-have“, sondern ein gesetzlich verankertes Grundrecht. Deshalb sind Hochschulen verpflichtet, zuverlässige Prozesse dafür zu etablieren. Das kann zum Beispiel geschehen durch:

• eine Regelung im Datenschutzkonzept der Hochschule,
• interne Verfahrensanweisungen,
• oder durch eine universitätsweite E-Mail-Info vom oder von der Präsident*in an alle Mitarbeitenden, damit klar ist: Wohin mit Anfragen? Wer ist zuständig?

Solche Prozesse sind zwingend notwendig, damit:

• Fristen nicht versäumt werden (die Auskunft muss in der Regel innerhalb eines Monats erfolgen),
• Anfragen nicht verloren gehen (zum Beispiel, wenn sie bei falschen Ansprechpersonen landen),
• und die Hochschule nicht unbeabsichtigt in eine datenschutzwidrige Situation gerät.

Vorsicht bei der Identität: Wer fragt da eigentlich?

Bevor eine Hochschule Personenbezogene Daten herausgibt, muss sicher gestellt sein, dass die Person tatsächlich berechtigt ist, diese Auskunft zu bekommen. Das bedeutet:
Eine Verifizierung der anfragenden Person ist Pflicht!

Das kann je nach Situation unterschiedlich ablaufen, zum Beispiel durch:

• Vorlage eines gültigen Studierendenausweises (persönlich oder als Kopie mit Verifikationsmerkmalen),
• Vorlage eines Mitarbeitendenausweises,
• die Nutzung des Hochschul-Accounts mit Authentifizierung über den Hochschulserver,
• ein Gespräch vor Ort mit Identitätsprüfung durch Ausweis,
• oder bei Anfragen per E-Mail: eine Rückmeldung an eine verifizierte Hochschuladresse (z. B. Vorname.Nachname@uni-hamburg.de).

Formfrei, aber mit Sorgfalt

Wichtig ist: Das Ausüben von Betroffenenrechten ist nicht an bestimmte Formvorschriften gebunden. Der Antrag kann also auf ganz unterschiedliche Weise gestellt werden:

• schriftlich per E-Mail oder Brief,
• über ein Online-Formular (sofern die Hochschule eines anbietet),
• oder sogar mündlich, z. B. im Gespräch mit der oder dem Datenschutzbeauftragten.

Trotz dieser Formfreiheit müssen alle Anfragen mit der gebotenen Sorgfalt behandelt werden – denn der Datenschutz hört nicht bei der Zustellung einer Anfrage auf.

Wer falsche oder unvollständige Daten in den Systemen der Hochschule entdeckt, hat nach Artikel 16 DSGVO das Recht, eine Berichtigung oder Ergänzung zu verlangen.

Beispiel:
Ein Name ist falsch geschrieben, ein veralteter Titel wird noch geführt, eine Adresse wurde nicht aktualisiert – all das sollte selbstverständlich berichtigt werden, sobald es bekannt wird.

Gerade bei Noten, Immatrikulationsdaten oder Angaben in Personalakten kann es wichtig sein, dass alle Angaben korrekt sind. Das Berichtigungsrecht hilft, hier Klarheit zu schaffen.

Unter bestimmten Voraussetzungen dürfen Betroffene verlangen, dass ihre personenbezogenen Daten gelöscht werden. Das regelt Artikel 17 DSGVO.

Beispiel aus dem Hochschulkontext:

• Ein ehemaliger Studierender bittet darum, dass seine noch gespeicherten Kontaktdaten gelöscht werden, weil das Studium längst abgeschlossen ist und es keine gesetzlichen Aufbewahrungspflichten mehr gibt.
• Eine Interviewpartnerin eines Forschungsprojekts zieht ihre Einwilligung zurück und möchte, dass ihre Daten aus der Studie entfernt werden.

„Unverzüglich“ – was heißt das konkret?

Das Gesetz verlangt, dass Personenbezogene Daten „unverzüglich“ gelöscht werden, wenn die Voraussetzungen dafür erfüllt sind.
Aber was bedeutet das in der Praxis?

„Unverzüglich“ heißt: so schnell wie möglich, ohne schuldhaftes Zögern. Dabei muss natürlich der ganz normale Geschäftsablauf berücksichtigt werden. Das bedeutet:

• Keine wochenlange Ablage auf dem Schreibtisch!
• Keine „Bearbeitung irgendwann bei Gelegenheit“.
• Aber auch: Es ist kein Sofort-Handeln im Sekundentakt erforderlich, wenn noch rechtliche Prüfungen nötig sind (z. B. ob wirklich keine Aufbewahrungspflichten mehr bestehen).

Ein angemessener Zeitraum kann – je nach Fall – einige Tage bis wenige Wochen betragen. Wichtig ist, dass der Vorgang aktiv bearbeitet wird und dokumentiert ist.

Warum brauchen Hochschulen klare Prozesse für Löschanfragen?

Genau wie beim Auskunftsrecht sollten Hochschulen auch beim Thema Löschung dringend feste Abläufe und Zuständigkeiten definieren:

• Wer prüft den Löschantrag?
• Wer entscheidet, ob Daten tatsächlich gelöscht werden dürfen?
• Wer führt die Löschung aus und dokumentiert den Vorgang?

Diese Abläufe sollten idealerweise in einem Datenschutzkonzept, einer Löschrichtlinie oder über einen Dienstweg per E-Mail-Verfügung der Hochschulleitung (z. B. durch den die Präsident*in) kommuniziert werden.

Wichtig ist auch hier: Die Verifizierung der antragstellenden Person muss sichergestellt sein. Denn niemand darf auf Zuruf Personenbezogene Daten löschen lassen, wenn nicht geklärt ist, ob die Anfrage tatsächlich von der betroffenen Person selbst stammt.

Weil das Thema Löschung in Hochschulen besonders komplex ist (z. B. bei Forschungsdaten, Personalakten oder Archivierungspflichten), haben wir dazu eine eigene vertiefende Seite erstellt: Das Löschen von personenbezogenen Daten

Nach Artikel 21 DSGVO dürfen Betroffene jederzeit Widerspruch gegen die Verarbeitung ihrer Daten einlegen, wenn die Verarbeitung auf einer Aufgabe im öffentlichen Interesse beruht (Art. 6 Abs. 1 lit. e DSGVO).

Beispiel:
Eine Hochschulangehörige möchte nicht, dass ihr Name auf einer öffentlich einsehbaren Mitarbeitendenliste auf der Website erscheint – auch wenn dies grundsätzlich im berechtigten Interesse der Hochschule liegen könnte.

Nach einem Widerspruch muss die Hochschule die Datenverarbeitung beenden, es sei denn, es gibt zwingende schutzwürdige Gründe, die überwiegen (zum Beispiel gesetzliche Aufbewahrungspflichten oder andere rechtliche Vorgaben).

Haben Betroffene der Verarbeitung ihrer personenbezogenen Daten freiwillig zugestimmt, dürfen sie diese Einwilligung jederzeit widerrufen. Das regelt Artikel 7 Absatz 3 DSGVO.

Wichtig: Der Widerruf wirkt nur für die Zukunft. Daten, die bis zum Zeitpunkt des Widerrufs rechtmäßig verarbeitet wurden, bleiben rechtmäßig verarbeitet. Ab dem Moment des Widerrufs dürfen diese Daten aber nicht weiterverwendet werden – es sei denn, es gibt eine andere gesetzliche Grundlage dafür.

Beispiele aus dem Hochschulalltag:

• Ein Studierender hat bei der Einschreibung eingewilligt, dass seine E-Mail-Adresse für den Hochschul-Newsletter verwendet wird. Wenn er keine Newsletter mehr erhalten möchte, kann er diese Einwilligung jederzeit widerrufen.
• Eine externe Kooperationspartnerin hat sich bereit erklärt, dass ihre Daten auf der Hochschulwebseite als Projektpartnerin veröffentlicht werden. Sie entscheidet sich später anders und möchte nicht mehr namentlich genannt werden – auch hier kann sie ihre Einwilligung widerrufen.
• Bei einer Befragung im Rahmen eines Forschungsprojekts haben Teilnehmende ihre Einwilligung zur Nutzung der erhobenen Daten gegeben. Sie können diese Einwilligung jederzeit zurückziehen, sofern keine anonymisierte Weiterverarbeitung vorliegt.

Widerruf ist nicht gleich Widerspruch!

Der Widerruf nach Art. 7 Abs. 3 DSGVO bezieht sich immer auf Einwilligungen.
Das Widerspruchsrecht nach Art. 21 DSGVO dagegen betrifft Verarbeitungen auf Grundlage eines berechtigten Interesses oder einer Aufgabe im öffentlichen Interesse.

• Widerrufen = „Ich habe freiwillig zugestimmt – das nehme ich jetzt zurück.“
• Widersprechen = „Ich war vielleicht nie einverstanden – ich lege jetzt Einspruch gegen die Verarbeitung ein.“

Prozesse an der Hochschule

Auch für Widerrufsanfragen brauchen Hochschulen klare Abläufe:

• Wie kann der Widerruf erklärt werden? (z. B. per E-Mail, über ein Formular, schriftlich oder mündlich – der Widerruf ist an keine bestimmte Form gebunden!)
• Welche Stellen sind zuständig?
• Wie wird sichergestellt, dass die betroffene Verarbeitung sofort gestoppt wird?
• Wie werden die betroffenen Abteilungen informiert?

All das sollte in den Datenschutzprozessen der Hochschule geregelt sein – etwa im Datenschutzkonzept, über Arbeitsanweisungen oder interne Informationswege.