Datenschutz in der Psychologischen Beratung
Die Unterstützung von Studierenden bei der Bewältigung persönlicher und studienbedingter Schwierigkeiten oder bei der Vorbereitung auf herausfordernde Studien- und Lebensphasen, das ist die Aufgabe der Psychologischen Beratung. Oft kann das Anliegen nur in einem persönlichen, terminierten und vor allem vertraulichen Rahmen stattfinden. Bereits bei der Terminierung von Gesprächen findet eine Verarbeitung von personenbezogenen Daten statt. Wie kann man der Situation datenschutzgerecht begegnen?
Die Psychologische Beratung und der Datenschutz
Oft bieten die Hochschulen eine konkrete Erstberatung in einem Einzelgespräch an. Je nach Konflikt - und Krisensituation kann die Einzelberatung auch mehrfach in Anspruch genommen werden. Auch die Durchführung von Kursen und die Arbeit von Lerngruppen kann darunterfallen. Die sogenannten Gruppenangebote können auch als Ergänzung zu den Einzelgesprächen genutzt werden. Neben persönlicher Beratung und Gruppenangeboten bieten einige Hochschule auch die Möglichkeit der Nutzung einer E-Mail- oder Chat-Beratung an.
In den meisten Fällen erfolgt eine psychologische Beratung für Studierende durch die Studienberatung. Soweit z.B. Schwerbehindertenbeauftragte und/oder Gleichstellungsbeauftragte im Rahmen ihrer Beratungstätigkeit auch eine (teilweise) psychologische Beratung vornehmen, gilt das Folgende entsprechend.
Die psychologische Beratung an den Hochschulen lässt den inhaltlichen Bezug zum Studium und Hochschule bewusst offen. Dieser ist somit keine Voraussetzung dafür, dass eine Beratungsleistung in Anspruch genommen werden kann. Selbstverständlich können auch belastende psychische Ereignisse aus dem Privatleben eine indirekte Auswirkung auf die Studienleistungen haben.
Eine Beratung, in der keinerlei personenbezogene Daten anfallen, wäre aus datenschutzrechtlicher Sicht, die einfachste Lösung. Allerdings müssen die Mitarbeitenden der psychologischen Beratung vorab feststellen, ob ein Hochschulmitglied die Beratung in Anspruch nehmen möchte, da ansonsten die kostenlose Leistung nicht erbracht werden darf. Darüber hinaus verarbeiten die Hochschulen die Daten aufgabengemäß für interne Verwaltungszwecke, beispielsweise für das Berichtswesen und die Revision, zur Qualitätssicherung und für statistische Zwecke, dass spätestens an dieser Stelle eine Verarbeitung von personenbezogenen Daten stattfindet.
Die Einzelgespräche sind in der Form zu führen, dass außer dem Beratenden und dem Betroffenen keine weitere Person anwesend ist und dass die Gespräche nicht nach außen gelangen.
Im Bereich der psychologischen Beratung ist jeder einzelnen Verarbeitungstätigkeit ein höheres Maß an Datensicherheit zu gewährleisten als sonst. Das bedeutet in der Praxis, die Protokolle oder Notizen aus erfolgten Beratungen sind immer sicher und unzugänglich für andere aufzubewahren. Zum Beispiel: handschriftlichen Notizen dürfen nicht auf dem Schreibtisch zurückbleiben (auch nicht umgedreht) sondern sind nach erfolgtem Gespräch in einem verschließbaren Schrank unterzubringen. Zugang darf im Zweifel nur die entsprechenden Sachbearbeiter haben. Sofern die personenbezogenen Daten digital angelegt und verwaltet werden, sind entsprechende Rechte- und Rollenkonzepte anzulegen, die einen Zugriff steuern.
Rechtsgrundlage
§ 111 Absatz 1 HmbHG als grundsätzliche Rechtsgrundlage für die Datenverarbeitung im Rahmen eines Studiums kann hier nicht als Legitimation für eine Verarbeitung von personenbezogenen Daten dienen. Die Datenverarbeitung im Rahmen einer psychologischen Beratung stellt keinen gewöhnlichen Bestandteil eines Studiums dar, sondern geht darüber hinaus. Denn eine psychologische Beratung wird sicherlich nicht von sämtlichen Studierenden während ihres Studiums in Anspruch genommen.
Die Beratung von Studierenden, auch in gesundheitlicher und psychologischer Sicht, ist eine gesetzliche Aufgabe der Hochschule, § 51 HmbHG und dient somit an dieser Stelle als Rechtsgrundlage.
Infrage kann auch die Rechtsgrundlage nach Art. 6 Absatz 1 lit. c DSGVO kommen. Diese wäre zum Beispiel einschlägig, wenn die Verarbeitung von personenbezogenen Daten in der Form einer Aufbewahrungspflicht aufgrund einer entsprechenden Regelung in der Berufsordnung erfolgt.
Bei psychologischen Beratungen muss insbesondere darauf geachtet werden, dass hier mit sensiblen Daten wie Gesundheitsdaten zu psychischen oder physischen Erkrankungen, Sozialversicherungsdaten, Daten zum Sexualleben oder der sexuellen Orientierung gearbeitet werden.
Bei der Verarbeitung von sensiblen Daten müssen im Gegensatz zur Verarbeitung von gewöhnlichen personenbezogenen Daten höhere Maßstäbe angesetzt werden. Damit ist gemeint, sofern die Beratung digital erfolgt, dass das nur unter einer Verschlüsselung passiert. Sofern die Beratungsstelle physische Akten anlegt und verwaltet, müssen diese Akten extra verschlossen werden und dürfen auch nur für den jeweiligen Sachbearbeiter zugänglich sein.
Datenschutzinformation
Unabhängig von der Rechtsgrundlage muss eine betroffene Person (in diesem Fall sind Studierende gemeint) über die Verarbeitung im Rahmen der Psychologischen Beratung anfallenden Daten informiert werden. Die inhaltliche Ausgestaltung der Informationspflichten können sie hier entnehmen.
Eine Kenntnisnahme des Datenschutzhinweises kann über die Website der Hochschule, in Papierform vor Beginn der psychologischen Beratung oder bei einer Beratung per E-Mail (am besten verschlüsselt) erfolgen. Hier muss man den Einzelfall betrachten: Sofern eine mündliche Beratung in Form einer offenen Sprechstunde durchgeführt wird, kann vor Ort - beispielsweise durch die Ausgabe eines Informationsblattes) der Informationspflicht nachgekommen werden. Sofern eine Einzelberatung über ein digitales Chatprogramm stattfindet, muss die betroffene Person möglichst vor Beginn des Chatprogrammes darauf hingewiesen werden, zum Beispiel über ein sog. Opt-In-Verfahren.
Auch wenn Sie möglicherweise telefonisch beraten, sollte den Betroffenen auf der Website die Kenntnisnahme einer Datenschutzerklärung möglich sein.
Weiterleitung von personenbezogenen Daten
Grundsätzlich sollten die personenbezogenen Daten nicht an Dritte weitergegeben werden. Nur auf den ausdrücklichen Wunsch und mit Einwilligung sollten die Daten ausnahmsweise an ärztliches Fachpersonal oder andere von den Betroffenen genannte Stellen weitergegeben werden. Vorzugswürdig ist es, dass eine betroffene Person selbst die Kontaktaufnahme übernimmt und dadurch dann die Datenverarbeitung bei einem, zum Beispiel im Rahmen der Beratung vorgeschlagenen Therapeuten oder Ärzten, direkt erfolgt.
Löschung
Grundsätzlich sollen die personenbezogenen Daten nur so lange gespeichert werden, bis der Zweck erfüllt ist. Dabei müssen allerdings im Zweifel spezialgesetzliche Aufbewahrungsfristen berücksichtigt werden.
Wichtig ist eine Löschregel für die einzelnen Beratungsangebote zu erstellen. Das bedeutet, sowohl die Daten, die bei einer Kontaktaufnahme zustande kommen (unabhängig davon, ob es zu einem Beratungsangebot kommt oder nicht) benötigen eine Löschregelung als auch die Daten über die Teilnahme an Kursen und Gruppen müssen nach einer festgelegten, datenschutzkonformen Frist, gelöscht werden.