Ordnung zum Schutz personenbezogener Daten beim Einsatz von E-Learning-Verfahren an der Bergischen Universität Wuppertal

der Bergischen Universität Wuppertal vom 10.10.2012

Veröffentlicht: AMTLICHE MITTEILUNGEN,
Verkündungsblatt der Bergischen Universität Wuppertal
Herausgegeben vom Rektor
Jahrgang 41, Nr. 57, Datum 10.10.2012

Aufgrund des § 2 Abs. 4 i.V.m. §§ 3 Abs. 1 und 4 Abs. 2 S. 2 des Gesetzes über die Hochschulen des Landes Nordrhein-Westfalen (Hochschulgesetz - HG) vom 31. Oktober 2006 (GV. NRW. S. 474), zuletzt geändert durch Gesetz vom 31.01.2012 (GV. NRW. S. 90) hat die Bergische Universität Wuppertal folgende Ordnung erlassen.

§ 1 Geltungsbereich

(1) Diese Ordnung gilt für das Erheben, Verarbeiten und Nutzen personenbezogener Daten der Nutzerinnen und Nutzer von E-Learning-Verfahren, die an der Bergischen Universität Wuppertal zur Vermittlung einer wissenschaftlichen Ausbildung verwendet werden.

(2) Erfolgt ein einheitlicher Vorgang der Datenverarbeitung zumindest auch für Zwecke des E-Learning, gelten die Vorschriften dieser Ordnung auch für diesen Vorgang.

§ 2 Begriffsbestimmungen

Im Sinne dieser Ordnung sind

1. E-Learning-Verfahren netzangebundene Lern-, Lehr- und Prüfverfahren, die personenbezogene Daten zum Zwecke der wissenschaftlichen Ausbildung erheben, verarbeiten und nutzen, und darauf zielen, das Lernen der Nutzer/innen zu fördern und ihren Leistungsnachweis zu erbringen,

2. Nutzerinnen bzw. Nutzer Lehrende, Studierende, Zweithörerinnen und -hörer sowie Gasthörerinnen und -hörer im Sinne der jeweils gültigen Einschreibungsordnung der Bergischen Universität Wuppertal,

3. Verantwortliche für E-Learning-Verfahren jede Stelle der Hochschule, die E-Learning-Verfahren bereit-hält oder den Zugang zu ihrer Nutzung vermittelt. Insbesondere sind dies das ZIM und die Lehrenden, die ein Verfahren im Rahmen einer Lehrveranstaltung einsetzen.

§ 3 Grundsätze

(1) Die bzw. der Verantwortliche darf beim Einsatz von E-Learning-Verfahren personenbezogene Daten der Nutzerinnen und Nutzer erheben, verarbeiten oder nutzen, soweit diese Ordnung oder eine andere Rechtsvorschrift dies ausdrücklich erlaubt. Personenbezogene Daten dieser Personen dürfen dann auch nur der Öffentlichkeit oder den Mitgliedern der Hochschule oder den Teilnehmern einer Lehrveranstaltung oder dem Verantwortlichen für das E-Learning-Verfahren zugänglich gemacht werden, wenn dies erforderlich ist, um den Zweck des konkreten E-Learning-Verfahrens zu erreichen.

(2) Die oder der Verantwortliche darf personenbezogene Daten der Nutzerinnen und Nutzer für andere als die in Absatz 1 genannten Zwecke verwenden, soweit sie eingewilligt haben. Die Verarbeitung von Angaben über die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugung, Gewerkschaftszugehörigkeit, Gesundheit oder das Sexualleben von Nutzerinnen bzw. Nutzern zu Zwecken des E-Learning ist nur auf Grundlage einer ausdrücklichen, auf diese Angaben bezogenen Einwilligung der betroffenen Nutzerinnen und Nutzer zulässig.

§ 4 Pflichten des Verantwortlichen

(1) Die oder der Verantwortliche hat für jedes E-Learning-Verfahren in einem kurzen, allgemeinverständlichen Datenschutzkonzept Art, Umfang und Zwecke der Erhebung und Verarbeitung perso-nenbezogener Daten sowie die Rechte der Beteiligten zu beschreiben. Sie oder er hat das Datenschutzkonzept den Nutzerinnen und Nutzern vor der Anmeldung zu einem E-Learning-Verfahren zugänglich zu machen und bis zum Abschluss des E-Learning-Verfahrens jederzeit abrufbar zu halten.

(2) Die bzw. der Verantwortliche hat die Nutzung des E-Learning-Verfahrens anonym oder unter Pseudonym zu ermöglichen, soweit dies den in § 2 Nr. 1 genannten Zwecken nicht widerspricht und technisch möglich und zumutbar ist.

§ 5 Bestandsdaten

Die oder der Verantwortliche darf personenbezogene Daten der Nutzerinnen und Nutzer wie Name, Anschrift, Matrikelnummer, Studienfach, Studiensemester oder E-Mail-Adresse nur erheben und verwenden, soweit sie für die Registrierung oder für die Nutzung von E-Learning-Verfahren an der Bergischen Universität Wuppertal erforderlich sind.

§ 6 Nutzungsdaten

(1) Die bzw. der Verantwortliche darf personenbezogene Daten einer Nutzerin oder eines Nutzers wie insbesondere Merkmale zu ihrer bzw. seiner Identifikation, Angaben über Beginn und Ende sowie des Umfangs der jeweiligen Nutzung oder Angaben über die einzelnen von ihr bzw. ihm benutzten E-Learning-Verfahren nur erheben und verwenden, soweit dies für die Nutzung dieser Verfahren erforderlich ist.

(2) Die oder der Verantwortliche darf die Nutzungsdaten einer Nutzerin bzw. eines Nutzers über die Nutzung verschiedener E-Learning-Verfahren zusammenführen, soweit dies für die Wahrnehmung der in § 2 Nr. 1 genannten Zwecke erforderlich ist.

§ 7 Inhaltsdaten

Die oder der Verantwortliche darf Kommunikationsinhalte jeglicher Art der Nutzerinnen und Nutzer, unbeschadet von urheberrechtlichen Vorschriften erheben, verarbeiten und nutzen, soweit dies für die in § 2 Nr. 1 genannten Zwecke erforderlich ist.

§ 8 Forschung

(1) Zum Zwecke wissenschaftlicher Forschung soll die bzw. der Verantwortliche die in §§ 5, 6 und 7 genannten Daten nur in anonymisierter Form verarbeiten. Stehen einer Anonymisierung wissenschaftliche Gründe entgegen, dürfen die Daten auch verarbeitet werden, wenn sie pseudonymisiert werden und der mit der Forschung befasste Personenkreis oder die empfangende Stelle oder Person keinen Zugriff auf die Zuordnungsfunktion hat. Datenerfassung, Anonymisierung oder Pseudonymisierung kann auch durch die mit der Forschung befassten Personen erfolgen, wenn sie zuvor nach dem Verpflichtungsgesetz zur Verschwiegenheit verpflichtet worden sind und unter der Aufsicht der übermittelnden Stelle stehen.

(2) Ist eine Anonymisierung oder Pseudonymisierung nicht möglich, so dürfen personenbezogene Daten für ein bestimmtes Forschungsvorhaben verarbeitet werden, wenn

1. die betroffene Person eingewilligt hat,
2. schutzwürdige Belange der betroffenen Person wegen der Art der Daten oder der Art der Verwendung nicht beeinträchtigt werden oder
3. der Zweck der Forschung auf andere Weise nicht oder nur mit unverhältnismäßig großem Auf-wand erreicht werden kann und das öffentliche Interesse an der Durchführung des Forschungsvorhabens die schutzwürdigen Belange der betroffenen Person überwiegt.

(3) Die zu wissenschaftlichen Zwecken verarbeiteten Daten dürfen nur veröffentlicht werden, wenn

1. die betroffene Person eingewilligt hat oder
2. das öffentliche Interesse an der Darstellung des Forschungsergebnisses die schutzwürdigen Belange der betroffenen Person erheblich überwiegt.

(4) § 28 Datenschutzgesetz Nordrhein-Westfalen bleibt hiervon unberührt.

§ 9 Aufzeichnung und Übertragung von Lehrveranstaltungen

(1) Die Aufzeichnung und die zeitgleiche oder zeitversetzte Übertragung einer Lehrveranstaltung ist zulässig, wenn dies durch den Ausbildungsauftrag der Hochschule geboten sowie technisch und organisatorisch sichergestellt ist, dass nur an der Lehrveranstaltung teilnehmende Personen die Aufzeichnung zur Kenntnis nehmen können. Über die Aufzeichnung und Übertragung einer Lehrveranstaltung sind die Teilnehmenden vor der Aufzeichnung zu informieren (Live-Streaming, späterer Zugriff durch Veranstaltungsteilnehmer).

(2) Die Aufzeichnung für die zeitgleiche oder zeitversetzte Übertragung für den externen Zugriff durch die Öffentlichkeit, z.B. über das Internet, ist nur zulässig, wenn Teilnehmer/innen vor der Aufzeichnung über diese informiert worden sind und sie, inkl. einzelner Wortbeiträge, nicht individualisierbar aufgenommen werden. Ist es nach dem Zweck der Aufzeichnung und der Übertragung (z.B. auch Öffentlichkeitsarbeit; auch Werbung) erforderlich, dass auch (einzelne) Teilnehmer/innen erkennbar sind, ist die vorherige Einholung ihrer Zustimmung zur Aufnahme und Übertragung erforderlich. Das Recht am eigenen Bild, insbesondere die Vorschriften des Kunsturhebergesetzes bleiben unberührt.

§ 10 Einwilligung

(1) Die Einwilligung ist nur wirksam, wenn sie auf der freien, insbesondere ohne sozialen Druck erfolgten Entscheidung der Nutzerin oder des Nutzers beruht. Sie bzw. er ist auf den vorgesehenen Zweck der Erhebung, Verarbeitung oder Nutzung sowie soweit erforderlich auf die Folgen der Verweigerung der Einwilligung hinzuweisen. Die Einwilligung bedarf der Schriftform, soweit nicht wegen besonderer Umstände eine andere Form angemessen ist. Soll die Einwilligung zusammen mit anderen Erklärungen schriftlich erteilt werden, ist sie besonders hervorzuheben.

(2) An die Stelle der Schriftform tritt die elektronische Form, wenn die oder der Verantwortliche sicherstellt, dass die Nutzerin bzw. der Nutzer ihre bzw. seine Einwilligung bewusst und eindeutig erteilt hat, die Einwilligung protokolliert wird, die Nutzerin oder der Nutzer den Inhalt der Einwilligung jederzeit abrufen und sie jederzeit mit Wirkung für die Zukunft widerrufen kann. Hat die Nutzerin oder der Nutzer ihre bzw. seine Einwilligung widerrufen, so sind ihre bzw. seine personenbezogenen Daten zu löschen oder zu anonymisieren, sofern keine Vorschriften ihre weitere Aufbewahrung erfordern. Sofern durch die Löschung oder Anonymisierung die Bewertung eines Leistungsnachweises nicht mehr möglich ist, ist die Nutzerin oder der Nutzer vor der Löschung oder Anonymisierung hierauf hinzuweisen. Die Teilnahme an einer Lehrveranstaltung darf nicht von der Einwilligung der Nutzerin oder des Nutzers in eine Verwendung ihrer oder seiner Daten für andere Zwecke abhängig gemacht werden.

§ 11 Speicherfristen

(1) Die in § 5 genannten Bestandsdaten sind bis zur Exmatrikulation zu speichern. Auf Antrag der Nutzerin oder des Nutzers können diese Daten auch früher gelöscht werden. Bestandsdaten der Zweithörerinnen und -hörer sowie der Gasthörerinnen und -hörer im Sinne der jeweils gültigen Einschreibungsordnung der Bergischen Universität Wuppertal sind solange zu speichern, wie sie an Lehrveranstaltungen der Bergischen Universität Wuppertal teilnehmen dürfen.

(2) Die in § 6 genannten Nutzungsdaten sind unverzüglich nach dem Nutzungsvorgang zu löschen, es sei denn, sie sind für die Durchführung eines E-Learning-Verfahrens erforderlich.

(3) Die in §§ 7 und 9 genannten Inhaltsdaten sind bis zum Ende des jeweiligen Semesters zu löschen, in dem das E-Learning-Verfahren eingesetzt wird. Falls die Inhalte weiter genutzt werden sollen, sind sie zu anonymisieren.

§ 12 Datensicherheit

(1) Die bzw. der Verantwortliche hat die erforderlichen technischen und organisatorischen Maßnahmen zu treffen, um die auf Grundlage dieser Ordnung erhobenen und verwendeten Daten angemessen vor Missbrauch zu schützen. Erforderlich sind Maßnahmen dann, wenn sie nach dem Zweck des konkreten E-Learning-Verfahrens geboten sind und ihr Aufwand in einem angemessenen Verhältnis zu dem angestrebten Schutzzweck steht.

(2) Soweit dies nach dem Datenschutzkonzept des jeweiligen E-Learning-Verfahrens notwendig ist, sind vor allem Maßnahmen zu treffen, die geeignet sind, zu gewährleisten, dass

1. die Zweckbindung erhobener Daten gewahrt wird,
2. ausschließlich die Berechtigten nur auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können und personenbezogene Daten nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können,
3. nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt und an welche Stellen sie weitergegeben worden sind,
4. personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind.

§ 13 In-Kraft-Treten, Befristung

Diese Ordnung tritt am Tage nach ihrer Veröffentlichung in den Amtlichen Mitteilungen als Verkündungsblatt der Bergischen Universität Wuppertal in Kraft.

Ausgefertigt auf Grund des Beschlusses des Senats der Bergischen Universität Wuppertal vom 04.10.2012.

Wuppertal, den 10.10.2012
Der Rektor der Bergischen Universität Wuppertal
Universitätsprofessor Dr. Lambert T. Koch