Datenschutz-Unterweisung für Angestellte sowie Vertreter des Studierendenrates, der Fachschaftsräte und der AGs

Wichtige rechtliche Quellen, die das Arbeiten und den Umgang mit personenbezogenen Daten vorgeben, sind die unten aufgeführten Gesetze. Unabhängig vom Inhalt der Unterweisung, sollten diese Verordnungen eigenverantwortlich beachtet werden. In ihnen sind unter anderem rechtliche Fristen festgehalten.

• EU-Datenschutzgrundverordnung (DSGVO)
• Sächsisches Datenschutzgesetz (SächsDSG)
• Sächsisches Datenschutzdurchführungsgesetz (SächsDSDG)

Die folgenden Punkte sind datenschutzrechtliche Hinweise für den Umgang mit personenbezogenen Daten. Es handelt sich dabei vor allem um eine Zusammenfassung der oben genannten Rechtsvorschriften bezüglich der regelmäßig für die Gremientätigkeit relevanten Themen. Die Unterweisung über die Pflichten der Vertreter muss per Unterschrift bestätigt werden.

Sie stellen keine rechtliche Absicherung dar und können garantiert nicht jeden Fall abdecken. Es ist immer noch erforderlich mit gesundem Menschenverstand heranzugehen. In jedem Fall sind die Daten anderer mit Vorsicht und Respekt  zu behandeln. Werden Unterzeichnende mit einer Situation konfrontiert, die durch dieses Dokument nicht abgedeckt wird, sind sie dazu angehalten, die notwendigen Informationen und Handlungsschritte aus den oben genannten Rechtsvorschriften eigenständig abzuleiten und anzuwenden.

1. Allgemeines

Bei der Arbeit in den Gremien ist der Kontakt mit personenbezogenen Daten unvermeidbar. Diese Daten dürfen nur für den zweckmäßigen Umgang und mit proaktiver Zustimmung des/derjenigen, dem/der diese Daten gehören, gespeichert werden. Nachdem die Daten ihrem zugesprochenen Zweck dienlich waren, sind sie zu löschen. Eine Speicherung zu einem weiteren Zweck ist nur möglich, wenn dies explizit durch Unterschrift erlaubt wurde. Dies betrifft auch den E-Mail-Verkehr, der für den Austausch stattgefunden hat. Aus den Erfahrungen, die sich aus der Arbeit ergeben, dürfen zur Schulung von Nachfolgern Fallbeispiele erstellt werden. Diese dürfen jedoch keine personenbezogenen Daten von tatsächlichen Fällen beinhalten. Um Probleme zu vermeiden, sollten alle dienstlichen Postfächer regelmäßig aussortiert oder vollständig geleert werden.

Eine Weitergabe der Kontaktdaten von dienstlichen Partnern im Rahmen der weitergeführten Zusammenarbeit ist innerhalb der Gremien, da eine Kooperation mit dem Gremium und nicht mit einer Privatperson besteht. Eine vorherige Rücksprache mit den dienstlichen Partnern ist jedoch empfehlenswert. Eine Weitergabe der Kontaktdaten von Studenten, die um Konsultation gebeten haben, ist hingegen kritisch und muss mit diesen vorher abgesprochen werden.

1. Soziale Medien

Soziale Medien wie Facebook und Co. sind aus datenschutzrechtlicher Sicht nicht unbedenklich. Um vollkommen sicher zu sein, sollte auf solche Kanäle verzichtet werden. Sollten diese Kanäle trotzdem Verwendung finden, so sollten sie nur für die Öffentlichkeitsarbeit genutzt werden. Um einen Nutzungszwang der oben genannten Medien zu vermeiden, sollten die auf diesen Kanälen zur Verfügung gestellten Daten auch auf anderen Kanälen verfügbar sein. Wenn sich die Nutzer in diesem Fall dennoch für die Verwendung dieser sozialen Medien für den Informationsaustausch entscheiden, sollte ihnen klar sein, dass diese Nutzung eigenverantwortlich erfolgt. Darauf sollte auf der Übersichtsseite des entsprechenden Gremiums im verwendeten Medium hingewiesen werden.
Die Verwendung von Homepages ist vergleichsweise unbedenklich, jedoch rechtlich nicht vollkommen sicher. Es muss ein sichtbarer Link zu einem Datenschutzbereich neben dem Impressum vorhanden sein. Im Falle von Unterseiten der Universitätshomepage wird dies bereits durch die Universität gewährleistet.

2. E-Mail-Verteiler

Die Nutzung von E-Mail-Verteilern ist grundsätzlich möglich. Bei ihrer Nutzung muss darauf geachtet werden, dass keine personenbezogenen Daten veröffentlicht werden. Dies betrifft beispielsweise auch die Verteilung von E-Mails an verschiedene Adressaten, welche unter Umständen in “bcc” gesetzt werden sollten, um die genutzte E-Mail-Adresse nicht unbefugt weiterzugeben. Wird ein E-Mail-Verteiler eingerichtet, über den mehrere Kontaktpersonen erreicht werden, dann müssen alle Mitglieder des Verteilers darüber in Kenntnis gesetzt werden. Vor der Einrichtung ist deren schriftliches Einverständnis einzuholen.

3. Dienst-SIM-Karten

Bei der Arbeit in den Gremien ist ein Austausch von Telefonnummern und anderen Kontaktdaten oft unerlässlich. Um sowohl die eigenen Daten zu schützen als auch die der Personen, deren Nummern gespeichert werden, ist die Nutzung von Dienst-SIM-Karten nützlich. Durch diese kann der Kontakt zu Partnern und Anfragenden ohne Herausgabe der privaten Nummer erfolgen und deren Kontaktdaten werden nicht mit den privaten vermischt.

In diesen SIM-Karten können die Kontaktdaten zu Dienspartnern gespeichert werden, um diese an die entsprechenden Nachfolger weiterzugeben, die die Arbeit mit diesen Partnern weiterführen werden.Natürlich ist darauf zu achten, dass keine privaten Kontakte auf dieser SIM-Karte gespeichert werden, da diese sonst unbefugt weitergereicht werden könnten.

Sollte eine Nutzung von Dienst-SIM-Karten nicht möglich sein, so ist darauf zu achten, dass eingespeicherte Telefonnummern nach dem Ende der Amtszeit wieder aus dem Handy gelöscht werden. 

4. Finanzen

Für die Durchführung der Finanzangelegenheiten müssen bei Bedarf personenbezogene Daten für die Kontaktaufnahme oder die Auszahlung von beantragten Geldern aufgenommen werden. Die Gremien der Studierendenschaft müssen ihre Finanzunterlagen für eine bestimmte Dauer aufbewahren, die gesetzlich vorgeschrieben ist. Bei Unklarheiten können die Innenrevision und die Datenschutzbeauftragten der Universität herangezogen werden. Auf diesen Sachverhalt sollten die Inhaber der personenbezogenen Daten explizit hingewiesen werden.

5. Bilder

Das Aufnehmen und die weitere Nutzung von Bildern kann kritisch sein. Vor allem im Fall von Portrait- und Einzelaufnahmen ist ein schriftliches Einverständnis der abgebildeten Personen vor der Erstellung des Bildes notwendig. Allgemein muss auf einer Veranstaltung ein gut sichtbarer Hinweis veröffentlicht werden, sofern Bilder im Auftrag des Veranstalters aufgenommen werden. Die Persönlichkeitsrechte der Betroffenen dürfen in keinem Fall verletzt werden. Die Nennung von persönlichen Daten bei der Veröffentlichung von Bildern sollte unterlassen werden.

6. Widerruf

Jeder hat das Recht, die Nutzung und Speicherung der eigenen Daten zu verweigern oder eine Erlaubnis zurückzuziehen sowie eine Korrektur der eigenen Daten zu veranlassen. Ebenfalls muss auf Wunsch einer Person dargelegt werden, welche Daten dieser Person gespeichert wurden. Dem ist sobald wie möglich – bei Hinderung jedoch spätestens jedoch nach zwei Wochen – nachzukommen, wenn keine rechtlichen Gründe dem entgegenstehen (siehe Punkt 4. Finanzen).