Vorbemerkung: Der folgende Text enstand im April 2016. Unter Umständen hat sich zwischenzeitlich die Rechtslage geändert.

I. Allgemeines zum Datenschutz

1. Allgemeine Informationsquellen

• Das Virtuelle Datenschutzbüro, ein gemeinsamer Service von Datenschutzinstitutionen des Bundes, der Länder und weiterer Organisationen, ist eine allgemeine Informationsquelle zum Datenschutz in Deutschland.
• Tätigkeitsberichte des Bundes- und aller Landesdatenschutzbeauftragten finden sich im Zentralarchiv für Tätigkeitsberichte des Bundes- und der Landesdatenschutzbeauftragten und der Aufsichtsbehörden für den Datenschutz - ZAfTDa.

2. Datenschutz in Sachsen

• Die Tätigkeitsberichte des Sächsischen Datenschutzbeauftragten finden sich hier.
• Das Gesetz zum Schutz der informationellen Selbstbestimmung im Freistaat Sachsen (Sächsisches Datenschutzgesetz – SächsDSG) regelt in § 18 das Recht zur Auskunft über personenbezogene Daten:
  
  (1) Dem Betroffenen ist von der datenverarbeitenden Stelle auf Antrag kostenfrei und ohne unzumutbare Verzögerung Auskunft zu erteilen über
  1. die zu seiner Person gespeicherten Daten,
  2. den Zweck und die Rechtsgrundlage der Verarbeitung,
  3. die Herkunft der Daten und die Empfänger von Übermittlungen sowie die übermittelten Daten, soweit dies gespeichert oder sonst bekannt ist, und
  4. die Auftragnehmer im Sinne des § 7, sofern diese Daten des Betroffenen verarbeiten.
  
  (2) In dem Antrag soll die Art der personenbezogenen Daten näher bezeichnet werden, über die Auskunft erteilt werden soll.
  
  (3) Sind die personenbezogenen Daten in Akten gespeichert, die zur Person des Betroffenen geführt werden, hat ihm die datenverarbeitende Stelle auf Verlangen Einsicht in die Akten zu gewähren. Werden die Akten nicht zur Person des Betroffenen geführt, wird Auskunft erteilt, soweit der Betroffene Angaben macht, die das Auffinden der Akten ermöglichen, und der für die Erteilung der Auskunft erforderliche Aufwand nicht außer Verhältnis zu dem vom Betroffenen geltend gemachten Informationsinteresse steht.
  
  (4) Die datenverarbeitende Stelle bestimmt das Verfahren, insbesondere die Form der Auskunftserteilung und Einsichtnahme nach pflichtgemäßem Ermessen; dabei dürfen berechtigte Interessen Dritter nicht beeinträchtigt werden.

II. Schutz persönlicher Daten in den Hochschulen

In den Hochschulen nimmt die Datenschutzproblematik zu, da zunehmend Daten durch die Hochschulen, aber auch z. B. durch Dekanate der Fakultäten im Rahmen der akademischen Selbstverwaltung, elektronisch erfasst werden. Es besteht die Gefahr, dass bei einer technisch möglichen, wenn auch nicht erlaubten, Zusammenführung dieser Daten umfassende Persönlichkeitsprofile der Beschäftigten erstellt werden können.

Mindestens auf den folgenden Ebenen werden elektronische Dateien mit persönlichen Daten angelegt: elektronische Führung der Personalakte, Datensammlung für die sogenannte leistungsorientierte Mittelvergabe, Datensammlung für Evaluierungen, Datensammlungen für Personalkostenberechnungen im Rahmen der kaufmännischen Wirtschaftsführung.

Die folgenden Ausführungen beziehen sich wesentlich auf die Situation im Bundesland Sachsen, teilweise beispielhaft auf die Technische Universität Dresden.

1. Rechtsgrundlage

Das Sächsische Hochschulfreiheitsgesetz (SächHSFG) regelt in § 14 die "Verarbeitung personenbezogener Daten". Dabei sind in § 14 Abs. 1 viele Zwecke aufgeführt, für die eine Verarbeitung personenbezogener Daten "erforderlich" sein kann, z. B.

• "die Leistungsbewertungen für die hochschulinterne Mittelvergabe und Steuerung",
• "die Evaluation von Forschung und Lehre nach § 9",
• "den Abschluss von Zielvereinbarungen" usw.

Wenn man diese Zwecke weit interpretiert, ergibt sich daraus eine kaum überschaubare Anzahl von "erforderlichen" personenbezogenen Daten.

Es ist problematisch, wenn die Erhebung und Verarbeitung personenbezogener Daten ohne klare Rechtsgrundlage durchgeführt wird. § 14 Abs. 3 SächsHSFG bestimmt daher: "Das Staatsministerium für Wissenschaft und Kunst bestimmt durch Rechtsverordnung, welche Daten verarbeitet werden dürfen." Diese Rechtsverordnung liegt bis heute (Stand: 20. April 2016) nicht vor. Das jahrelange Fehlen dieser Rechtsverordnung scheint die laufende Arbeit bei der Erstellung von personenbezogenen Dateien nicht zu behindern. Es ist nicht auszuschließen, dass die so ohne klare Rechtsgrundlage handelnden Personen davon ausgehen, dass sich die zukünftige Rechtsverordnung der dann zwischenzeitlich geschaffenen Realität schon anpassen werde.

Auch die folgende Bestimmung zur Zulässigkeit der Datenverarbeitung im § 4 des Gesetzes zum Schutz der informationellen Selbstbestimmung im Freistaat Sachsen (Sächsisches Datenschutzgesetz – SächsDSG) scheint die laufende Arbeit kaum zu behindern:
(1) Die Verarbeitung personenbezogener Daten ist nur zulässig,
1. wenn dieses Gesetz oder eine andere Rechtsvorschrift sie erlaubt oder
2. soweit der Betroffene eingewilligt hat.

2. Evaluation

Die Problematik der unklaren Rechtsgrundlage wird am Beispiel der Evaluationsordnung der Technischen Universität Dresden (im folgenden kurz: Evaluationsordnung) erläutert.

• Der § 3 Abs. 1 der Evaluationsordnung bezieht sich auf den § 14 Abs. 1 Satz 1 des SächsHSG. Dieser ist allerdings eingeschränkt durch § 14 Abs. 3 des SächsHSG, der sich auf eine bisher nicht existierende Rechtsverordnung des Staatsministeriums für Wissenschaft und Kunst zum Umfang der zulässigen Datenverarbeitung bezieht.
• Der § 3 Abs. 2 der Evaluationsordnung sieht vor, dass der Datenschutzbeauftragte der TU Dresden bereits bei der Entwicklung von Verfahren und Instrumentarien zur internen und externen Evaluation zu beteiligen ist.
• Der § 3 Abs. 4 der Evaluationsordnung lautet: Die für die Evaluation erhobenen personenbezogenen Daten dürfen nur verarbeitet werden, soweit ein Gesetz, eine Rechtsvorschrift oder diese Ordnung es vorsehen. Der Hinweise auf "dieser Ordnung" führt insofern nicht weiter, weil diese keine zu verarbeitenden personenbezogenen Daten benennt, sondern höchstens pauschale Hinweise darauf gibt, dass die Verarbeitung personenbezogener Daten erforderlich sein kann.

Evaluierung der Forschung

Zur Evaluierung der Forschung besagt § 9 Abs. 4 SächsHSG: Die Qualität der Forschung wird intern und extern in angemessenen Zeitabständen evaluiert. § 9 Abs. 5 SächsHSG ergänzt: [...] das Verfahren zur Evaluierung der Forschung nach Absatz 4 regelt der Senat [...] durch Ordnung. Zum Zweck der Evaluierung heißt es in § 9 Abs. 5 SächsHSG: Die Evaluierung soll einen Leistungsvergleich mit anderen Hochschulen ermöglichen.

Die vom Senat der TU Dresden erlassene Evaluationsordnung regelt in § 9 das Verfahren zur Evaluierung der Forschung folgendermaßen:
(1) Im Rahmen des Qualitätsmanagements werden im Auftrag des Rektorats die Aktivitäten auf dem Gebiet der Forschung und des Wissenstransfers, einschließlich der Publikationen, regelmäßig evaluiert. Die Erfassung erfolgt durch das Forschungsinformationssystem der TU Dresden und ergänzende Instrumente.
(2) Die Grundsätze des Qualitätsmanagements in diesem Bereich werden unter Mitwirkung der Fakultäten vom Senat beschlossen.
(3) Auf Verlangen des Rektorats oder des Forschungsauftraggebers kann eine Fremdevaluation in Auftrag gegeben werden.

Die in § 9 Abs. 4 SächsHSG vorgeschriebene "Regelung des Verfahrens" zur Evaluierung der Forschung durch die Evaluationsordnung besteht wesentlich darin, auf drei in der Evaluationsordnung nicht näher bestimmte Komponenten zu verweisen: "das Forschungsinformationssystem der TU Dresden", "ergänzende Instrumente" und "Grundsätze des Qualitätsmanagement", die vom Senat beschlossen werden.

• Im Internet findet man einige Informationen zum Forschungsinformationssystem der TU Dresden. In der Datenschutzerklärung zum aktuellen Forschungsinformationssystem der TU Dresden mit Daten aus den Jahren 2005 bis 2015 heißt es:
  • Die Teilnahme am Forschungsinformationssystem (FIS) der TU Dresden ist freiwillig!
  • Die Datenverarbeitung erfolgt ausschließlich zu Zwecken und auf Grund des § 47 des SächsHSFG /1/ i.V.m. insbesondere 37 Abs. 2 Nr. 2 SächsDSG /2/.
  • Eine Verarbeitung* für andere Zwecke erfolgt nur mit Ihrer ausdrücklichen vorherigen Zustimmung.
  /1/ Sächsisches Hochschulfreiheitsgesetz -- SächsHSFG vom 15. Januar 2013
  /2/ Gesetz zum Schutz der informationellen Selbstbestimmung im Freistaat Sachsen (Sächsisches Datenschutzgesetz - SächsDSG) vom 25. August 2003; Rechtsbereinigt mit Stand vom 31. Juli 2011
  *Verarbeitung i.S.v. Erheben, Speichern, Verändern, Anonymisieren, Übermitteln, Nutzen, Sperren und Löschen

3. Leistungsorientierte Mittelverteilung

Es gibt Fakultäten, an denen schon seit vielen Jahren eine sogenannte "leistungsorientierte Mittelverteilung" vorgenommen wird, obwohl die Rechtgrundlage eher unklar ist, da z. B. die in § 14 Abs. 3 SächsHSFG angesprochene Rechtsverordnung nicht existiert. Problematisch ist eine "Einwilligung" zur Verarbeitung personenbezogener Daten im Rahmen der sogenannten leistungsorientierten Mittelverteilung innerhalb der Fakultäten, wenn die Mittelvergabekriterien so organisiert sind, dass das Fehlen der Einwilligung und der aktiven Mitwirkung durch Datenlieferung zum Mittelentzug führt.

4. Wirtschaftsführung nach kaufmännischen Grundsätzen und Personalkostenrechnung

Für Universitäten und Fachhochschulen - Hochschulen für angewandte Wissenschaften schreibt § 11 Abs. 1 SächsHSFG vor, dass sich Wirtschaftsführung und Rechnungswesen nach kaufmännischen Grundsätzen richten. Eine traditionelle kamerale Wirtschaftsführung wird als Wahlmöglichkeit nur den Kunsthochschulen zugebilligt.

Falls durch eine Hochschulverwaltung im Rahmen der Personalkostenrechnung eine detaillierte, auf Einzelpersonen abzielende Erfassung und Prognose der Personalkosten angestrebt wird und falls dies überhaupt "erforderlich" und damit rechtlich zulässig ist, so ergibt sich aus diesem Ziel die Erfassung und Verarbeitung einiger personenbezogener Daten.

Bei Beamten beeinflussen z. B. der Familienstand und die Existenz von Kindern, die bestimmte Bedingungen (bezüglich Alter, Ausbildungsstand, Vorliegen einer dauerhaften Krankheit) erfüllen, die Höhe des Familienzuschlags. Auch wenn es insofern personalkostenrelevant ist, ob jemand verheiratet ist, so ist doch höchst fraglich, ob sich daraus die Rechtfertigung ableiten lässt, das Hochzeitsdatum taggenau abzufragen und dauerhaft elektronisch zu speichern oder die Existenz von Kindern mit den zusätzlichen Informationen des Geburtstages, des Namens und Geschlechts, auch wenn diese Kinder nicht zum Familienzuschlag berechtigt sind. Höchst fraglich ist auch, ob es nicht ausreicht, dass solche personenbezogenen Daten in der Bezügestelle gespeichert sind, und ob es wirklich "erforderlich" ist, solche Daten ein zweites Mal in einer Datenbank der Finanz- oder Personalverwaltung einer Hochschule zu speichern.

5. Zur Mehrfacherfassung personenbezogener Daten

Eine Mehrfacherfassung von Daten in unterschiedlichen Dateien zu unterschiedlichen Zwecken muss differenziert betrachtet werden. Eine Mehrfacherfassung kann aus Gründen der Datenkonsistenz problematisch sein, aber auch wirtschaftlichen Gründen. § 11 Abs. 4 Satz 2 SächsHSFG: "Die Hochschule beachtet bei ihrer Wirtschaftsführung den Grundsatz der wirtschaftlichen und sparsamen Mittelverwendung." Andererseits kann die Mehrfacherfassung in getrennten Dateien für unterschiedliche Zwecke eine erhöhte Datensicherheit gewährleisten.