Datenschutz in der Psychologischen Beratung
Die Psychologische Beratung unterstützt Studierende dabei, persönliche, studienbezogene oder belastende Lebenssituationen zu bewältigen – etwa Prüfungsängste, Entscheidungsschwierigkeiten im Studium oder Krisen in Übergangsphasen. Solche Anliegen erfordern einen geschützten, persönlichen und vor allem vertraulichen Rahmen.
Datenschutz im Alltag der Psychologischen Beratung
An vielen Hochschulen beginnt die psychologische Beratung mit einem vertraulichen Einzelgespräch. Je nach Anliegen kann dieses einmalig stattfinden oder über mehrere Termine hinweg fortgeführt werden, etwa bei länger andauernden Belastungen oder in akuten Krisensituationen. Ergänzend zu den Einzelgesprächen bieten Hochschulen häufig Gruppenangebote an. Dazu zählen beispielsweise Workshops zur Stressbewältigung in der Prüfungsphase, Trainings zu Lernstrategien oder zum Umgang mit Prokrastination sowie themenspezifische Gruppenangebote, etwa für Studienanfänger*innen oder internationale Studierende. Darüber hinaus werden zunehmend auch E-Mail- oder Chat-Beratungen genutzt, zum Beispiel von Studierenden im Auslandssemester oder von Personen mit eingeschränkter Mobilität. Unabhängig vom jeweiligen Beratungsformat gilt stets, dass der Schutz personenbezogener Daten höchste Priorität hat.
Aus datenschutzrechtlicher Sicht wäre eine Beratung ohne jegliche Verarbeitung personenbezogener Daten zwar ideal, in der Praxis jedoch nicht umsetzbar. Und, auch hier gilt: werden personenbezogene Daten verarbeitet, muss der Datenschutz berücksichtigt werden. Je nach Ausgestaltung des Beratungsangebots wird bereits bei der Terminvergabe personenbezogene Daten verarbeitet. Die Mailadresse, Prüfung ob es sich um ein Mitglied der Hochschule handelt etc.
Bereits um festzustellen, ob es sich um ein Hochschulmitglied handelt, müssen bestimmte Angaben erhoben werden – schließlich handelt es sich um ein hochschulinternes, kostenfreies Angebot.
Darüber hinaus besteht die Möglichkeit, dass Hochschulen bestimmte Daten aufgabenbezogen (zusätzlich) verarbeiten, zum Beispiel:
- für interne Verwaltungsabläufe
- zur Qualitätssicherung
- für anonymisierte statistische Auswertungen
- für Berichtswesen oder Revision
Spätestens hier liegt eine Verarbeitung personenbezogener Daten vor, die rechtlich abgesichert sein muss.
Die Einzelgespräche selbst finden ausschließlich zwischen der beratenden Person und der ratsuchenden Person statt. Es ist sicherzustellen, dass keine unbefugten Dritten anwesend sind und dass Inhalte nicht nach außen dringen – etwa durch geschlossene Türen, geeignete Raumwahl oder technische Schutzmaßnahmen bei Online-Gesprächen. Sollte sich die Räume beispielsweise im Erdgeschoss befinden, ist darauf zu achten, dass Fenster geschlossen sind.
In der psychologischen Beratung gelten besonders hohe Anforderungen an die Datensicherheit. Jede Verarbeitungstätigkeit ist mit einem erhöhten Schutzbedarf verbunden.
- Einzelgespräche selbst finden ausschließlich zwischen der beratenden Person und der ratsuchenden Person statt. Es ist sicherzustellen, dass keine unbefugten Dritten anwesend sind und dass Inhalte nicht nach außen dringen – etwa durch geschlossene Türen, geeignete Raumwahl oder technische Schutzmaßnahmen bei Online-Gesprächen. Sollte sich die Räume beispielsweise im Erdgeschoss befinden, ist darauf zu achten, dass Fenster geschlossen sind.
- Handschriftliche Notizen aus Beratungsgesprächen dürfen nicht offen auf dem Schreibtisch liegen bleiben, auch nicht kurzfristig oder umgedreht. Sie sind unmittelbar nach dem Gespräch in einem abschließbaren Schrank aufzubewahren.
- Zugriff auf Unterlagen erhalten ausschließlich die zuständigen Beratenden. Kolleg*innen aus anderen Bereichen haben keinen Einblick.
- Werden personenbezogene Daten digital erfasst, etwa in einem Beratungssystem oder auf einem Hochschulserver, sind Rechte- und Rollenkonzepte einzurichten. So wird sichergestellt, dass nur autorisierte Personen Zugriff haben.
- Bei Online-Beratungen ist darauf zu achten, dass datenschutzkonforme Videokonferenz- oder Chat-Systeme genutzt werden und Gespräche nicht aufgezeichnet werden.
Diese Maßnahmen tragen dazu bei, das Vertrauen der Studierenden zu schützen und die psychologische Beratung als sicheren Ort innerhalb der Hochschule zu erhalten.
Rechtsgrundlage: Rechtssichere Beratung an Hochschulen
Öffentliche Hochschulen in Hamburg, die eine psychologische Beratung für Studierende anbieten, verarbeiten dabei besonders sensible personenbezogene Daten. Da es sich um Gesundheitsdaten handelt, gelten hierfür erhöhte datenschutzrechtliche Anforderungen.
Die psychologische Beratung kann als Bestandteil der Aufgabenerfüllung der Hamburger Hochschulen einzuordnen sein. Nach dem Hamburgischen Hochschulgesetz obliegt den Hochschulen – gegebenenfalls in Zusammenarbeit mit den Studierendenwerken – ein sozialer Auftrag, der die Förderung der Studierenden in unterschiedlichen Lebenslagen einschließt. Hierzu kann unter anderem auch die Unterstützung bei persönlichen, studienbezogenen und psychosozialen Belastungssituationen zählen.
Die Verarbeitung personenbezogener Daten kann dann in diesem Zusammenhang zur Wahrnehmung einer Aufgabe im öffentlichen Interesse gemäß Artikel 6 Absatz 1 Buchstabe e DSGVO in Verbindung mit § 111 HmbHG erfolgen. Soweit im Rahmen der psychologischen Beratung Gesundheitsdaten verarbeitet werden, findet ergänzend Artikel 9 Absatz 2 Buchstabe h DSGVO Anwendung.
Die psychologische Beratungsstellen an öffentlichen Hochschulen können die Daten der beratungssuchenden Personen auch aufgrund einer ausdrücklichen Einwilligung verarbeiten. Diese stützt sich auf Artikel 6 Absatz 1 Buchstabe a sowie Artikel 9 Absatz 2 Buchstabe a DSGVO und dient insbesondere der Transparenz und der Vertrauensbildung. Dabei ist zu beachten, dass eine wirksame Einwilligung an klare Prozesse und Vorgaben der DSGVO gebunden ist, insbesondere an Freiwilligkeit, Informiertheit und Widerrufbarkeit. Sofern eine Verarbeitung auf Grundlage einer Einwilligung erfolgen soll, wird empfohlen, frühzeitig die zuständigen Datenschutzbeauftragten oder Datenschutzfachstellen der Hochschule einzubeziehen.
Datenschutzinformation: Transparenz in der psychologischen Beratung
Datenschutz ist kein trockenes Pflichtprogramm, sondern Teil eines vertrauensvollen Beratungsangebots. Somit muss auch hier Studierende zu Beginn darüber informiert werden, welche personenbezogenen Daten im Rahmen der Psychologischen Beratung verarbeitet werden und warum. Das gilt unabhängig davon, ob die Beratung persönlich, telefonisch oder digital stattfindet. Wie diese Information erfolgt, kann ganz unterschiedlich aussehen.
Datenschutzinformationen müssen nicht ausschließlich in allgemeiner Form bereitgestellt werden, sondern können auch situations- und anlassbezogen ausgestaltet sein. Dies ermöglicht es, die Informationen passgenau dort zur Verfügung zu stellen, wo konkrete Beratungssituationen stattfinden.
- Offene Sprechstunde: Ein klassisches Beispiel aus dem Hochschulalltag ist die offene Sprechstunde. In diesem Rahmen kann beim Eintreffen ein kurzes Informationsblatt zum Datenschutz ausgegeben werden – vergleichbar mit der Praxis in Arztpraxen – oder alternativ über einen gut sichtbaren Aushang informiert werden.
- Einzelberatungen: Bei Einzelberatungen per E-Mail oder Videochat bietet sich an, den Datenschutzhinweis vorab zu übersenden oder in der E-Mail-Signatur zu verlinken. In Chatbasierten Beratungsangeboten kann zudem ein Opt-in-Verfahren eingesetzt werden, bei dem die Beratung erst nach aktiver Bestätigung der Datenschutzhinweise beginnt.
- Telefonische Beratungen: Auch bei telefonischen Beratungen ist sicherzustellen, dass die Möglichkeit besteht, sich vorab oder begleitend über die datenschutzrechtlichen Rahmenbedingungen zu informieren, etwa jederzeit über die Webseite der Hochschule. Auf diese Weise wird Transparenz geschaffen und zugleich verdeutlicht, dass vertrauliche Inhalte geschützt verarbeitet werden.
Neben einzelfallbezogenen Hinweisen besteht für Hochschulen die Möglichkeit, eine umfassende zentrale Datenschutzinformation bereitzustellen (vgl. auch den Abschnitt Datenschutzinformation International Office). Diese kann bereits im Bewerbungs- oder Immatrikulationsprozess darüber informieren, in welchen Zusammenhängen und zu welchen Zwecken personenbezogene Daten innerhalb der Hochschule verarbeitet werden – einschließlich der Nutzung von Beratungsangeboten.
Ein Vorteil dieses Vorgehens liegt darin, dass Organisationseinheiten wie die Psychologische Beratung entlastet werden. Sofern die relevanten Verarbeitungstätigkeiten bereits in der zentralen Datenschutzinformation beschrieben sind, ist keine wiederholte separate Information in jedem Einzelfall erforderlich. Dadurch kann der Fokus stärker auf die eigentliche Beratungsarbeit gelegt werden.
Voraussetzung ist jedoch, dass sich die Datenverarbeitungen tatsächlich auf die in der zentralen Datenschutzinformation beschriebenen Prozesse beschränken. Werden neue Angebote oder Arbeitsweisen eingeführt – etwa digitale Beratungsformate, Gruppenkurse oder zusätzliche Auswertungs- und Dokumentationstools –, ist die Datenschutzinformation entsprechend zu ergänzen oder zu aktualisieren. Transparenz bleibt damit auch bei zentralen Informationskonzepten das maßgebliche Leitprinzip.
Weiterleitung von personenbezogenen Daten - nur mit ausdrücklicher Zustimmung
Grundsätzlich gilt in der Psychologischen Beratung: Persönliche Daten bleiben dort, wo sie entstanden sind. Eine Weitergabe an Dritte erfolgt nicht – es sei denn, Studierende wünschen dies ausdrücklich und stimmen dem klar zu.
Ein typisches Praxisbeispiel:
Eine Studentin berichtet in der Beratung von anhaltenden Schlafproblemen. Die Beraterin empfiehlt, zusätzlich ärztliche Unterstützung in Anspruch zu nehmen. In diesem Fall entscheidet die Studentin selbst, ob sie den Kontakt zu einer Ärztin oder einem Therapeuten aufnimmt. Die Weitergabe von Daten erfolgt nicht automatisch, sondern – wenn überhaupt – nur mit Einwilligung.
Am besten ist es, wenn Studierende selbst aktiv werden und den Kontakt herstellen. So behalten sie jederzeit die Kontrolle darüber, welche Informationen weitergegeben werden und an wen.
Löschen: Daten nur so lange wie nötig
Personenbezogene Daten werden nicht auf Vorrat gespeichert, sondern nur so lange, wie sie für den jeweiligen Zweck notwendig sind. Dabei werden selbstverständlich auch gesetzliche Aufbewahrungsfristen berücksichtigt.
In der Praxis bedeutet das:
Schon bei der ersten Kontaktaufnahme – etwa per E-Mail mit einer Terminanfrage – sollte eine klare Löschregelung greifen. Kommt es nicht zu einer Beratung, werden diese Daten nach einer festgelegten Frist gelöscht.
Dasselbe gilt für Einzelberatungen, Gruppenkurse oder Workshops zur Stressbewältigung oder Prüfungsangst: Auch hier sollte im Vorfeld definiert sein, wie lange Teilnahme- und Kontaktdaten gespeichert bleiben – und wann sie datenschutzkonform gelöscht werden.
So wird sichergestellt, dass sensible Informationen aus dem Beratungsalltag nicht länger existieren als nötig – und Vertrauen nachhaltig geschützt bleibt.