Überblick und Best Practice

Hier finden Sie allgemeine Informationen bzw. Leitfäden zum Thema Datenschutz.

Best Practice

Die folgende Liste ist nicht abschließend. Sie soll thematisch sortiert eine Übersicht, bzw. eine Hilfe zu datenschutzgerechtem Verhalten geben, durch die Umsetzung der aufgeführten Punkte Verletzungen des Datenschutzes in den Einrichtungen vorbeugen und so zur Datensicherheit beitragen. Zusätzlich muss natürlich auf die Einhaltung der gesetzlichen Vorgaben der EU-Datenschutz-Grundverordnung (EU-DSGVO) und des Niedersächsischen Datenschutzgesetzes (NDSG) geachtet werden.

Es handelt sich bewusst um teilweise sehr knappe Zusammenfassungen der Themenpunkte. Für ausführlichere Informationen kann den entsprechenden weiterführenden Verlinkungen gefolgt werden.

Technischer- und organisatorischer Datenschutz

Datenverarbeitende Stellen müssen je nach Schutzstufe (siehe Schutzstufenkonzept der LfD), durch entsprechende technische und organisatorische Maßnahmen (TOMs) für angemessenen Schutz personenbezogener Daten sorgen, um unberechtigten Zugang zu verhindern und die Sicherheit der Verarbeitung zu gewährleisten. Ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit dieser Maßnahmen ist zu implementieren.

Um personenbezogene Daten im IT-Bereich zu schützen, sind einige (allgemeine wie persönliche) Maßnahmen bei der Einrichtung und beim Betrieb von internetfähigen Geräten zu ergreifen:

Im Büroalltag kann schon mit kleinen Maßnahmen die Datensicherheit allgemein erhöht werden. Es gilt vor allem die Zugänglichkeit für unbefugte Personen zu personenbezogenen Daten zu minimieren. Einige (evtl. auch selbstverständliche) Maßnahmen seien hier genannt:

Verarbeitung personenbezogener Daten

Eine Verarbeitung personenbezogener Daten hat grundsätzlich nur dann zu erfolgen, wenn eine Einwilligung der betroffenen Person vorliegt oder eine andere Rechtsgrundlage greift (siehe EU-DSGVO Rechtsgrundlagen für eine Verarbeitungstätigkeit).

Andere Rechtsgrundlagen können die Verarbeitung personenbezogener Daten zu Forschungszwecken sein oder das Auskunftsersuchen von Strafverfolgungsbehörden.

Personenbezogene Daten sind von der Aufnahme bis zur Vernichtung, d.h. bei jeder Verarbeitungstätigkeit zu schützen. Der Datenschutz muss immer gewährleistet und jederzeit nachweisbar sein (Rechenschaftspflicht):

Belehrung der Beschäftigten, die in der Datenverarbeitung tätig sind, über das Datengeheimnis und datenschutzrechtliche Schulung im Umgang mit den Datensätzen
Einhalten der Grundsätze "Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz"; "Zweckbindung"; "Datenminimierung"; "Richtigkeit"; "Speicherbegrenzung"; "Integrität und Vertraulichkeit" (siehe EU-DSGVO Befugnis zur Verarbeitung).
Führen eines Verzeichnisses von Verarbeitungstätigkeiten bei allen Tätigkeiten zur Verarbeitung personenbezogener Daten (siehe EU-DSGVO VVT)
Durchführen einer Datenschutz-Folgenabschätzung bei wahrscheinlich hohem Risiko einer Verarbeitungstätigkeit (siehe EU-DSGVO DSFA)
Jede Verletzung des Schutzes personenbezogener Daten mit einem nicht auszuschließenden Risiko für die Betroffenen ist unter Bereitstellung aller erforderlichen Informationen unverzüglich an den CIO und den DSB sowie den IT-Sicherheitsbeauftragten und das GITZ zu melden. Diese ermitteln anhand der zur Verfügung gestellten Informationen, ob eine Meldepflicht an die Landesbeauftragte für den Datenschutz (LfD) und evtl. an die Betroffenen besteht. (siehe EU-DSGVO Meldepflicht)

Zum Zeitpunkt der Erhebung personenbezogener Daten sind folgende Informationen in schriftlicher oder elektronischer Form mitzuteilen, um die Informationspflicht einzuhalten:
- der Name und die Kontaktdaten des Verantwortlichen sowie ggf. seines Vertreters
- die Kontaktdaten des Datenschutzbeauftragten
- die Verarbeitungszwecke sowie die Rechtsgrundlage für die Verarbeitung
- die Dauer der Speicherung bzw. die Kriterien für die Festlegung dieser Dauer
- die Betroffenenrechte gemäß Art. 15 - 21 EU-DSGVO
- das Beschwerderecht bei der Aufsichtsbehörde, vgl. Art. 77 EU-DSGVO
- ggf. weitere (siehe EU-DSGVO Informationspflicht)
Es sind Datenschutzgerechte Anmeldungsmöglichkeiten zu Lehrveranstaltungen zu bieten (in Bezug auf für die Anmeldung nötige personenbezogene Daten)
- ohne dass Unbefugte diese einsehen können (per E-Mail nur verschlüsselt, Web-Formular mit gesichertem Datentransfer bzw. Speicher)
- Stud.Ip verwenden
- auch nicht-elektronische Möglichkeiten zur datenschutzkonformen Anmeldung anbieten
Anwesenheitslisten (mit Matrikelnummern und Namen) dürfen nur geführt werden, solange eine Regelung zur Anwesenheitspflicht besteht oder sich diese aus der Form der Veranstaltung ergibt
Unterhaltungen sind nur nach Zustimmung des Gesprächspartners aufzuzeichnen

Personenbezogene Daten sind innerhalb von zur Zweckerfüllung sinnvollen Fristen (sind festzulegen, nur solange wie nötig) unter der Beachtung gesetzlicher Aufbewahrungsfristen (siehe Rundschreiben 22) aufzubewahren
Das Protokollieren von personenbezogenen Daten, insbesondere von IP-Adressen auf Websites, über das Ende des jeweiligen Nutzungsvorganges hinaus ist, ohne die Zustimmung der Betroffenen, zu unterlassen (siehe Speicherung von Verkehrsdaten, Rundschreiben 37)
Es sind die entsprechenden Schutzmaßnahmen einzuhalten (TOMs), um den unberechtigten Zugang zu personenbezogenen Daten zu verhindern (siehe oben)

Unter Umständen müssen personenbezogene Daten pseudonymisiert oder anonymisiert werden, sodass jegliche Beziehbarkeit zu einer bestimmten oder bestimmbaren Person aufgehoben wird

Ist die Weitergabe personenbezogener Daten in Ausnahmefällen gestattet, hat die Übermittlung der Daten verschlüsselt (siehe Infotext E-Mail-Verschlüsselung) und getrennt voneinander zu erfolgen
- Pseudonymisierung bei personenbeziehbaren Mitteilungen im Rahmen des Lehrbetriebs bei Fernabfragen zu eigenen Daten
- Nutzen von Stud.IP für derartige Auskünfte (z.B. bei Klausurergebnissen)
Sensible Daten (u.a. Sozial-, Steuer-, Personal- und medizinische Daten) sind nur mit datensicheren Verfahren zu versenden und dürfen somit grundsätzlich nicht per Telefax oder elektronischem Kopierer weitergeleitet werden (weitere Maßnahmen beim Gebrauch von Fax und Digitalkopierer unter Rundschreiben Nr.26)

Es ist in jedem Fall darauf zu achten, dass keine Veröffentlichung personenbezogener Daten (z.B. Zeiten zu Zwecken der Urlaubsplanung, Festhalten von Fehlzeiten, Lehrgangsteilnahmen, Krankheitsfälle, Personenbilder etc.) ohne die Zustimmung durch die betroffene Personen erfolgt
Prüfungsergebnisse sind nur mit schriftlicher Erlaubnis Betroffener oder anonymisiert zu veröffentlichen
- möglichst keine Matrikelnummern für die Zuordnung verwenden, sondern pseudonymisierte Kennnummern (siehe Rundschreiben Nr. 24)
Die Nennung von Autoren in Verbindung mit den Titeln von im Web veröffentlichten Arbeiten darf nur mit Einwilligung erfolgen
Bei der Erstellung von Internetseiten sind die rechtlichen Vorgaben, insbesondere das Datenschutz-, Telekommunikations-, Medien-, Marken-, Urheberrecht zu beachten (siehe auch Anleitung des GITZ)
Wenn das Auffinden von Personenbildern durch die Google-Bildersuche nicht gewünscht ist, sind technische Vorkehrungen in der Programmierung einer jeweiligen Internetseite zu treffen, die ein Auffinden verhindert (siehe Rundschreiben Nr. 45)

Es besteht die Pflicht zur regelmäßigen Löschung personenbezogener Daten, sobald diese Daten nicht mehr benötigt werden bzw. die Zweckgebundenheit aufgelöst ist
- Hierfür rät es sich ein Löschkonzept nach DIN 66398 zu entwickeln
Nach Ablauf der Aufbewahrungsfrist sind Datenträger dem Archiv anzubieten bzw. bei Nichtaufnahme datenschutzkonform nach DIN 66399 zu vernichten (siehe Rundschreiben Nr. 44)
Alle gespeicherten Daten sind vor Verkauf, Weitergabe oder Aussortierung von Altgeräten, die personenbezogene Daten speichern, zu löschen (moderne Fax-Geräte und Digitalkopierer)

Glossar dieser Seite

Die Verarbeitung persönlicher Daten auf eine Art und Weise, die ohne zusätzliche Informationen keinerlei Rückschlüsse mehr auf das jeweilige Datensubjekt zulässt; vorausgesetzt, diese zusätzlichen Informationen werden getrennt vorgehalten, und es ist und durch technische und organisatorische Maßnahmen sichergestellt, dass sich die persönlichen Daten keiner bekannten oder identifizierbaren Person zuordnen lassen.

Abschätzung der Folgen für den Schutz personenbezogener Daten, um die Risiken für das Datensubjekt zu minimieren. Sie muss immer durchgeführt werden, wenn die Datenverarbeitung voraussichtlich ein hohes Risiko für die persönlichen Rechte und Freiheiten für die Betroffenen birgt.

Jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person („betroffene Person“) beziehen; als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, zu einer Kennnummer, zu Standortdaten, zu einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen identifiziert werden kann, die Ausdruck der physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität dieser natürlichen Person sind.

Datenschutzverantwortliche haben auf Anforderung die Einhaltung aller Datenschutzkriterien nachzuweisen. Um die Einhaltung nachzuweisen, müssen geeignete technische und organisatorische Maßnahmen umgesetzt werden. Best-Practice-Tools wie Datenschutz-Folgeabschätzungen und eingebauter Datenschutz sind nun unter bestimmten Umständen gesetzlich vorgeschrieben.

Zu diesen besonderen Datenkategorien gehören rassische oder ethnische Herkunft, politische Meinungen, religiöse oder philosophische Ansichten, Gewerkschaftszugehörigkeit, sexuelle Orientierung sowie Gesundheit, gene-tische und biometrische Daten, die verarbeitet wurden, um eine Person eindeutig zu identifizieren.

Jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführter Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, der Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

Überblick und Best Practice

Best Practice

Technischer- und organisatorischer Datenschutz

Verarbeitung personenbezogener Daten

Glossar dieser Seite

Für alle

Für Studierende

Interne Tools

Kontakt