Konferenzen, Absolvent*Innenfeier, Kinder-Uni und vieles mehr – es ist nicht leicht, im Veranstaltungsprogramm einer Hochschule den Überblick zu behalten. Schon gar nicht, wenn auch an dieser Stelle der Datenschutz beachtet werden muss.
An einer Hochschule gibt es unterschiedliche Veranstaltungen. Neben Veranstaltungen, die den regulären Hochschulbetrieb betreffen, wie Vorlesungen, Übungen, Seminaren oder auch Exkursionen, kann es auch zu Events kommen, die jenseits des regulären Hochschulbetriebs stattfinden, wie etwa Tagungen, Workshops oder eine Jubiläumsfeier. Egal, welche Veranstaltung ansteht, alle haben eins gemeinsam: Sofern Personenbezogene Daten für die Organisation und Durchführung der Veranstaltung verarbeitet werden, müssen die Grundlagen des Datenschutzes berücksichtigt werden. Das fängt bereits bei dem Versenden von Einladungen an und geht über die Nachbereitung von einer Veranstaltung hinaus.
Nachfolgend sind einige Beispiele aus dem Bereich der Veranstaltungsorganisation aufgeführt, die einen ersten Überblick geben sollen, welche datenschutzrechtlichen Anforderungen zum Beispiel bei der Anmeldung, Durchführung und der Nachbereitung einer Veranstaltung einzuhalten sind.
Sind die Anmeldungen zu einer Veranstaltung mithilfe eines Online-Anmeldeformulars geplant? Sollen die Teilnehmenden Namensschilder tragen? Möchte die Hochschule in den Veranstaltungsräumen Foto-/Film- und/oder Tonaufnahmen anfertigen? Und soll gegebenenfalls im Nachgang ein Veranstaltungsverteiler angelegt werden? All das sind einzelne Prozesse, bei denen der Datenschutz berücksichtigt werden muss.
Die Verarbeitung personenbezogener Daten sind nur zulässig, wenn es hierfür eine Rechtsgrundlage gibt. Bei dem Erheben und Verarbeiten von Anmeldedaten, dem Tragen von Namensschildern und/oder bei dem Anfertigen von Foto- bzw. Filmaufnahmen können unterschiedliche Rechtsgrundlagen in Betracht gezogen werden. Das Gleiche gilt auch für das Informieren über zukünftige Veranstaltungen. Eine Rechtsgrundlage kann sich aus einer gesetzlichen Regelung oder aber aus einer Einwilligung ergeben. Öffentliche Hochschulen können sich regelmäßig auf eine gesetzliche Rechtsgrundlage aus dem Landesdatenschutzgesetz oder dem Landeshochschulgesetz stützen (Art. 6 Abs. 1 lit.e und Abs. 3 DSGVO in Verbindung mit HmbDSG oder HmbHG in Verbindung mit einer entsprechenden Satzung/Ordnung der jeweiligen Hochschule). Voraussetzung ist allerdings, die Verarbeitung ist für die Wahrnehmung einer Aufgabe erforderlich, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die dem Verantwortlichen übertragen wurde. Des Weiteren kann die Verarbeitung personenbezogener Daten auch zur Erfüllung eines Vertrags erforderlich und somit rechtmäßig sein (Art. 6 Abs. 1 lit. b DSGVO). Steht hingegen keine gesetzliche Verarbeitungsbefugnis zur Verfügung, kann als Rechtsgrundlage nur eine Einwilligung in Betracht kommen.
Tipp: Denkbar ist, dass sich für bestimmte Zwecke oder Daten eine Rechtsgrundlage bereits aus dem Gesetz ergibt und für einen weiteren Verwendungszweck bzw. andere Daten eine Einwilligung einzuholen ist. In diesem Fall muss nach Verwendungszweck oder zwischen den Daten unterschieden werden. Sprechen Sie gerne uns oder der/die Datenschutzkoordinator*in der Hochschule an, wir helfen gern weiter.
Wenn im Rahmen der Veranstaltungsanmeldung ein Anmeldeformular verwendet wird, egal ob digital oder physisch, muss über den Umfang der Verarbeitung der personenbezogenen Daten informiert werden. Das gilt zum Beispiel auch für Foto-/Filmaufnahmen, die während einer Veranstaltung durch die Hochschule getätigt werden. Auch hier gilt der Transparenzgrundsatz: Die an der Veranstaltung teilnehmenden Personen müssen über die Aufnahmen und deren anschließende Verwendung rechtzeitig informiert werden. Möchte die Hochschule im Nachgang über zukünftige Veranstaltungen per E-Mail informieren? Auch hier muss über den Umfang der Verarbeitung informiert werden.
Tipp: Wir helfen bei der Erstellung und Umsetzung einer Datenschutzinformation im Rahmen einer Veranstaltung. Unter den Punkten Anmeldung, Durchführung und Nachbereitung einer Veranstaltung sind unter "Umsetzung der Informationspflichten" Realisierungsvorschläge zu finden.
Wird eine Tagung, ein Festakt, ein Workshop oder eine Wissenschaftliche Konferenz angeboten, müssen sich die Teilnehmenden häufig verbindlich anmelden.
Möchte sich eine Person zu einer dieser Veranstaltungen anmelden, werden in der Regel im Anmeldeprozess Personenbezogene Daten erhoben. Zusätzlich fragen Hochschulen an dieser Stelle auch, ob die anmeldende Person Interesse daran hat, mit ihren Kontaktdaten in einer Teilnehmenden Liste zu erscheinen, die den anderen Teilnehmenden zur Verfügung gestellt werden soll. Vielleicht bietet die Hochschule im Rahmen der Anmeldung ebenfalls an, die anmeldende Person auch über zukünftige Veranstaltung zu informieren?
Bereits bei der Anmeldung oder Registrierung zu einer Veranstaltung werden personbezogene Daten erhoben und somit verarbeitet. Genau an dieser Stelle muss spätestens über den Umfang der Datenverarbeitung im Rahmen des Anmeldeprozesses informiert werden.
Rechtsgrundlage: An dieser Stelle muss der Anmeldeprozess als auch die weiteren Datenverarbeitungen im Rahmen einer Anmeldung einzeln betrachtet werden: Für die Anmeldung, also für die Erhebung der eigentlichen Anmeldedaten, wird als Rechtsgrundlage, sofern es sich bei der Durchführung der Veranstaltung um die Wahrnehmung einer Aufgabe im öffentlichen Interesse handelt, Art. 6 Absatz 1 lit. e in Verbindung mit Art. 6 Absatz 3 DSGVO in Verbindung mit dem HmbDSG in Verbindung mit dem HmbHG herangezogen. Sofern es sich um eine nicht-universitäre Veranstaltung handeln sollte, kann sich die Legitimation zur Verarbeitung eventuell auf die Pflicht der Vertragserfüllung (Art. 6 Abs. 1 lit.b DSGVO) stützen oder aber doch auf eine Einwilligung. Hier bedarf es stehts einer Einzelfallbetrachtung.
Ist geplant, eine Teilnahmeliste auszulegen oder bereitzustellen oder diese gar vorab per E-Mail den Teilnehmenden zuzusenden, benötigt die Hochschule eine Rechtsgrundlage.
Rechtsgrundlage: Alle Angaben, die im Anmeldeprozess keine Pflichtangaben sind, bzw. die nicht zwingend notwendig sind, damit die Hochschule ihrer öffentlichen Aufgabe als Hochschule nachkommen kann, können sich nur auf eine Einwilligung, Art. 6 Absatz 1 lit. a DSGVO, stützen. Die Einwillgungen in weitere Verarbeitungstätigkeiten können die teilnehmenden Personen beispielsweise vorab im Anmeldeverfahren mittels einer Checkbox geben.
Im Rahmen einer Anmeldung gibt es im Hinblick auf die Informationspflichten unterschiedliche Situationen:
Plant die Hochschule, auf einer Veranstaltung Bild-/Videoaufnahmen zu machen um diese später für die Berichterstattung zu nutzen? Vielleicht sollen auch Ankündigungen für Folgeveranstaltungen bildlich untermalt werden? Auch hier muss man die Vorgaben der DSGVO beachten, sofern Personenbezogene Daten verarbeitet werden. Denn: Bildaufnahmen sind zunächst nach Art. 6 Abs. 1 DSGVO verboten, wenn sie nicht auf eine Einwilligung oder auf eine andere gesetzliche Rechtsgrundlage gestützt werden können.
Fotos von Hochschulmitarbeiter*innen oder Studierenden für die hochschuleigene Webseite veröffentlichen? Gruppenbilder zur Veranschaulichung von Projekten oder Forschungsvorhaben? Immer wieder werden Fotos von Kolleg*innen gemacht. Sei es ein Portrait-Foto für die Website oder ein Gruppenfoto zur Präsentation, solche Fotos sind dann automatisch weltweit im Internet zugänglich.
Sofern keine Einwilligung der auf dem Foto abgelichteten Person/en vorliegt, ist diese Anfertigung als auch die Veröffentlichung solcher Fotos unrechtmäßig. Die betroffenen Personen haben dann u.a. einen Anspruch auf Löschung dieser Fotos.
Rechtsgrundlage: Eine gesetzliche Rechtsgrundlage ist in diesem Fall nicht anwendbar, so dass die Anfertigung als auch die Veröffentlichung auf die Einwilligung gestützt werden muss. Fragen Sie die Kollegen bitte immer vorher, ob sie der Erstellung eines Bildes zustimmen. Eine Einwilligung muss nicht zwingend schriftlich erteilt werden, dies kann aber im Streitfall sinnvoll sein (eine einfache E-Mail kann hierfür eventuell ausreichen).
Eine Ausnahme bilden Fotos von Personen, die in Ausübung ihrer öffentlichen Funktion veröffentlicht werden.
Eine Hochschule hat im Rahmen ihrer Aufgabe, die in HmbHG verankert ist, die Aufgabe, die Öffentlichkeit über bestimmte Vorhaben zu informieren. An dieser Stelle kann somit eine gesetzliche Ermächtigung als Rechtsgrundlage für die Foto-/Filmaufnahmen stehen.
Rechtsgrundlage: Sofern Situationsaufnahmen gemacht werden, die die Stimmung einer Veranstaltung wiedergeben sollen und zum Zwecke der Berichterstattung genutzt werden, stehen zum Beispiel das Herstellen von Fotoaufnahmen nichts im Wege. Allerdings ist die gesetzliche Rechtsgrundlage nicht ausufernd zu betrachten sondern – sofern Foto-/Videoaufnahmen auf einer Veranstaltung durchgeführt werden sollen, muss auch hier immer der Einzelfall betrachtet werden. Besondere Vorsicht ist vor allem bei Einzelaufnahmen von Personen oder kleineren Personengruppen walten zu lassen. Hier ist es ratsam, mittels einer Einwilligung die Aufnahme und spätere Verwendung abzusichern.
Eine Einwilligung muss auch hier nicht zwingend schriftlich erfolgen. Die DSGVO ermöglicht es, die Einwilligung elektronisch, mündlich oder sogar konkludent (z.B. durch Posieren oder Lächeln in die Kamera) abzugeben. Jedoch muss der Verantwortliche für den Fall, dass die Verarbeitung auf einer Einwilligung beruht, nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat (Art. 7 Abs. 1 DSGVO). Ferner hat der Verantwortliche die betroffene Person vor Abgabe der Einwilligung darauf hinzuweisen, dass sie das Recht hat, ihre Einwilligung jederzeit zu widerrufen Art. 7 Abs. 3 DSGVO). Bei Minderjährigen ist es erforderlich, dass die Einwilligung von den Erziehungsberechtigten erteilt wird.
Fotografien, die „durch natürliche Personen zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“ (Art. 2 Abs. 2 lit. c DSGVO) gemacht werden (sog. Haushaltsausnahme) fallen nicht in den Anwendungsbereich der DSGVO. Hiervon sind z.B. Fotos erfasst, die für die eigene Erinnerung auf einer Familienfeier oder auch einer Schulveranstaltung gemacht werden. Dennoch sollte man die Persönlichkeitsrechte Dritter beachten, und private Bilder auf denen andere Personen zu sehen sind, nicht nutzen (z.B. in sozialen Medien veröffentlichen).
Um den Pflichten gemäß der DSGVO gerecht zu werden, empfiehlt es sich, bereits bei der Ankündigung der Veranstaltung (Hinweis auf Einladungen und auf der Webseite, oder Hinweis in Programmheften) bereits folgenden Hinweis zu vermerken: „Bitte beachten Sie: Während der Veranstaltung werden von der Universität Fotos und Filme zu Zwecken der Öffentlichkeitsarbeit gemacht.“ Auf der Veranstaltung selbst sollte die Hochschule mit Aufstellern und/oder Aushängen auf die Foto-/Filmaufnahmen hinweisen. Diese sollen gut sichtbar und durch den Teilnehmenden schnell zu erfassen sein. Die ersten Informationen können sich auf das notwendigste Beschränken (Medienbruch) und mit einem zusätzlichen Verweis auf die ausführlichen Datenschutzhinweise abschließen. Diese können online oder auf einem separaten Aushang erfolgen. Die fotografierende Person sollte gut sichtbar sein, zum Beispiel mit einer Weste auf der "Presse" vermerkt ist.
Haben die Teilnehmenden in die Aufnahme eine E-Mail Verteilers eingewilligt? Wenn ja, beachten Sie bitte, dass eine Weitergabe einzelner Kontaktdaten/E-Mail Adressen nicht erlaubt ist. Bitte vermeiden Sie das Versenden von Einladungen mit einem offenen E-Mail Verteiler.
Sofern zum Beispiel eine Eventmanagementfirma beauftragt wurde, die Erstellung und Versendung der Einladungen zu übernehmen und die Hochschule diesem Unternehmen die Adressdaten zur Verfügung stellt, handelt es sich bei der Weiterleitung um eine Verarbeitung von Daten im Auftrag des Verantwortlichen. Ein Auftragsverarbeitungsvertrag sollte abgeschlossen werden. Auch die interne Weiterleitung der Daten in die Haushaltsabteilung einer Hochschule zu Abrechnungszwecken ist eine Weiterleitung von personenbezogenen Daten.
Tipp: Über all diese zusätzlichen Verarbeitungsschritte muss eine Hochschule im Rahmen der Datenschutzerklärung (Datenschutzinformation) ebenfalls informieren.
In unserer Infothek sind Vorlagen zu finden, die helfen sollen, für das geplante Vorhaben die Informationspflichten umzusetzen bzw. bei Bedarf Einwilligungserklärungen zu erstellen. Die Musterbeispiele der Datenschutzinformationen unterschiedlicher Bereiche soll dabei helfen.