Nr. 25 (21.05.2002)

Die hier aufgeführten Informationen sind nicht mehr aktuell, da zum Inkrafttreten der EU-Datenschutz-Grundverordnung eine weitere Novellierung des NDSG zum 16. Mai 2018 erfolgte. Zur Orientierung kann dieses Rundschreiben weiterhin eingesehen werden.

Rundschreiben Nr. 25
Novelliertes Niedersächsisches Datenschutzgesetz - Änderungen für den Hochschulbereich

Sehr geehrte Damen und Herren,

Mitte des Jahres 2001 hat der Niedersächsische Landtag ein neugefaßtes Niedersächsische Datenschutzgesetz (NDSG) verabschiedet, mit der vor allem die Anpassung des Landesrechts an die Vorgaben der EU-Datenschutz-Richtlinie vom 24. Oktober 1995 vollzogen werden sollte.

Für die Hochschulen des Landes ergeben sich aus dieser Novellierung die folgenden Änderungen:

1.) An die Stelle des Begriffs der automatisierten Datei ist der Begriff der automatsierten Verarbeitung getreten. Beim Einsatz von Datenverarbeitungsanlagen erfolgen die einzelnen Verarbeitungsschritte nicht auf Grund menschlicher Entscheidungen in jeder Verfahrensphase, sondern auf Grund eines selbstständig ablaufenden Programms. Rechtsfolgen, die sich an die automatisierte Verarbeitung knüpfen, sind die Erstellung einer Verfahrensbeschreibung (§ 8), ggf. die Notwendigkeit einer Vorabkontrolle (§ 7 Abs. 3) und besondere technische und organisatorische Maßnahmen (§ 7).

2.) Daten verarbeitende Stellen haben für jedes von ihnen betriebene Verfahren zur automatisierten Verarbeitung personenbezogener Daten eine sog. Verfahrensbeschreibung zu erstellen und aktuell zu halten. Damit sollen Transparenz und Auskunftsfähigkeit gegenüber Betroffenen sowie Revisionsfähigkeit erreicht werden. Die Verfahrensbeschreibung wird in aller Regel die Daten verarbeitende Stelle selbst erstellen. Denkbar wäre aber auch, dass sie die Beschreibung durch eine andere Stelle für sich anfertigen lässt (z.B. durch ein als Auftragnehmer eingeschaltetes Rechenzentrum).

3.) Mit Textverarbeitungssystemen (Textautomaten, PC oder Bürokommunikationssystemen) erstellte Dokumente sind dann beschreibungspflichtig, wenn sie personenbezogene Daten enthalten, die durch automatisierte Verfahren ausgewertet werden können. Für die Auswertbarkeit kommt es darauf an, ob das System Funktionen enthält, die es ermöglichen, die Dokumentensammlung insgesamt oder das einzelne Dokument nach personenbezogenen Merkmalen zu erschließen (z.B. Zuordnung von Texten zu Personen über Dateiverzeichnisse und Verwaltungsfunktionen, Erschließen von Texten nach Namen und/oder Begriffen). Verfahrensbeschreibungen sind auch anzulegen für Dokumentensammlungen, die nach Autoren, Dokumententypen mit gleicher Sensibilität und Inhalten zusammengefasst sind (z.B. Bewilligungsbescheide, Bußgeldbescheide, Gutachten des Ärztlichen Dienstes), für Adressentabellen und für Datenbankanwendungen.

4.) Kommt es zu wesentlichen Änderungen der automatisierten Verfahren, so ist die Verfahrensbeschreibung entsprechend anzupassen.

Die einzelnen Punkte der erforderlichen Verfahrensbeschreibung sind in § 8 NDSG festgehalten:

§ 8 Verfahrensbeschreibung

Jede öffentliche Stelle, die Verfahren zur automatisierten Verarbeitung personenbe-zogener Daten einrichtet oder ändert, hat in einer Beschreibung festzulegen:

1.) die Bezeichnung der automatisierten Verarbeitung und ihre Zweckbestimmung,

2.) die Art der gespeicherten Daten sowie die Rechtsgrundlage ihrer Verarbeitung,

3.) den Kreis der Betroffenen,

4.) die Art regelmäßig zu übermittelnder Daten, deren Empfänger, in den Fällen des

§ 6 auch die Auftragnehmer, sowie die Herkunft regelmäßig empfangener Daten,

5.) die Absicht, Daten in Staaten nach § 14 zu übermitteln,

6.) Fristen für die Sperrung und Löschung der Daten,

7.) die technischen und organisatorischen Maßnahmen nach § 7,

8.) die Betriebsart des Verfahrens, die Art der Geräte sowie das Verfahren zur

Übermittlung, Sperrung, Löschung und Auskunftserteilung.

Satz 1 gilt nicht, wenn die Daten nur vorübergehend und zu einem anderen Zweck als dem der inhaltlichen Auswertung gespeichert werden, sowie für Register nach § 8 a Abs. 4 und Verarbeitungen nach § 8 a Abs. 5 Satz 1.

Der Gesetzgeber gibt für die Verfahrensbeschreibung ein Formblatt vor, das zur Erfassung der notwendigen Daten zu nutzen ist. In naher Zukunft wird die Universitätsleitung Einzelheiten zu den Verfahrensbeschreibungen mitteilen sowie das Formblatt bereitstellen.

Für Fragen sowie für eine eventuelle Vorabprüfung zur rechtmäßigen Einsetzung oder wesentlichen Änderung automatisierter Verfahren nach § 7 Abs. 3 stehe ich zur Verfügung. Besondere technische und organisatorische Maßnahmen, die sich ggf. als not-wendig für eine automatische Verarbeitung erweisen, sind in § 7 aufgeführt.

Der Text des aktuellen Niedersächsischen Datenschutzgesetzes sowie Hinweise zu seiner Anwendung finden sich als PDF-Dokumente unter der folgenden URL auf den Internetseiten des Landesbeauftragten für Datenschutz Niedersachsen:

Mit freundlichen Grüßen
Michael Wettern