zwischen der
Technischen Universität Carolo Wilhelmina zu Braunschweig
vertreten durch den Präsidenten
und dem
Gesamtpersonalrat der Technischen Universität Carolo Wilhelmina zu Braunschweig
vertreten durch den Vorsitzenden
Die Technische Universität Carolo Wilhelmina zu Braunschweig (TU Braunschweig) und deren Gesamtpersonalrat schließen gemäß § 78 NPersVG und §§ 66 und 67 NPersVG bzw. § 17 NHG in der zurzeit jeweils gültigen Fassung folgende Dienstvereinbarung ab.
Die vorliegende Dienstvereinbarung1 stellt Grundregeln zur Erhebung und Verarbeitung personenbezogener Daten auf und regelt die Dokumentation, das Verfahren sowie die Auskunftspflicht zwischen den Angehörigen bzw. Mitgliedern der Technischen Universität Braunschweig und deren Einrichtungen, die personenbezogene Daten verarbeiten. Im Rahmen dieser Dienstvereinbarung darf die Hochschule zur Erfüllung ihrer Aufgaben personenbezogene Daten erheben und verarbeiten, die für die in § 17 Absatz 1 des Niedersächsisches Hochschulgesetz (NHG) genannten Zwecke erforderlich sind. Dies betrifft die Daten von Studienbewerberinnen und Studienbewerbern und Mitgliedern sowie Angehörigen der Technischen Universität Braunschweig, die nicht in einem Dienst‐ oder Arbeitsverhältnis zu ihr stehen, für die Einschreibung, die Teilnahme an Lehrveranstaltungen und Prüfungen sowie die Nutzung von Hochschuleinrichtungen. Darüber hinaus darf die Hochschule zur Erfüllung ihrer übrigen Aufgaben weitere personenbezogene Daten nach §17 NHG verarbeiten. Die Begriffsbestimmungen zur Verarbeitung personenbezogener Daten sind im § 3 des Niedersächsischen Datenschutzgesetzes (NDSG) festgelegt.
Gestaltung und Auswahl von Datenverarbeitungssystemen haben sich an dem Ziel auszurichten, keine oder so wenig personenbezogenen Daten wie möglich zu verarbeiten (§ 7 Abs. 4 NDSG). Sofern in anderen Bereichen durch das NHG keine abschließenden datenschutzrechtlichen Regelungen getroffen sind, ist das Niedersächsische Datenschutzgesetz (NDSG) anzuwenden.
Grundsätzlich sind erforderliche technische und organisatorische Maßnahmen zur Datensicherheit unabhängig davon zu treffen, ob personenbezogene Daten in Akten oder mit Einsatz automatisierter Verfahren verarbeitet werden.
Diese Dienstvereinbarung regelt gemäß § 17 Absatz 1 NHG die Verarbeitung personenbezogener Daten von
a) Mitgliedern und Angehörigen der TU Braunschweig gemäß § 5 und § 7 der Grundordnung der TU Braunschweig,
b) Studienbewerberinnen und Studienbewerbern zur Bewerbung sowie zur Einschreibung an der TU Braunschweig,
c) ehemaligen Hochschulmitgliedern und ‐angehörigen zur Kontaktpflege,
d) Mitgliedern und Beschäftigten der Kooperationspartner der TU Braunschweig, sofern diese vertragsgemäß Einrichtungen oder sonstige Ressourcen der TU Braunschweig in Anspruch nehmen.
(1) Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten sind nur zulässig, soweit ein Gesetz, eine andere Rechtsvorschrift bzw. Rechtsgrundlage oder diese Dienstvereinbarung dies vorsehen oder der Betroffene eingewilligt hat. Sie erfolgen auf der Grundlage des Niedersächsischen Datenschutzgesetzes (NDSG). Diese Dienstvereinbarung bildet neben der Ordnung über die Erhebung, Speicherung und Verarbeitung personenbezogener Daten vom 08.07.2009 in der jeweils gültigen Fassung (Anlage III der Immatrikulationsordnung) die Rechtsgrundlage, um gemäß § 17 Abs. 1 Satz 1 NHG die erforderlichen personenbezogenen Daten erheben, verarbeiten und nutzen zu dürfen.
(2) Alle an der Verarbeitung personenbezogener Daten Beteiligten sind im Rahmen des Einstellungsverfahrens und durch jährliche Unterweisung auf das Datengeheimnis nach § 5 NDSG sowie die Straf‐ und Ordnungswidrigkeitstatbestände in §§ 28, 29 NDSG besonders hinzuweisen und haben dies jeweils per Unterschrift zu bestätigen. Verantwortlich für die jährliche Unterweisung ist der jeweilige Leiter der Einrichtung.
(3) Nach vorliegender Dienstvereinbarung dürfen personenbezogene Daten im Rahmen eines automatisierten Verfahrens erst dann erhoben und weiter verarbeitet werden, wenn es zu den hierfür eingesetzten Verfahren eine von der bzw. von dem Datenschutzbeauftragten (DSB) der TU Braunschweig anerkannte Verfahrensbeschreibung gemäß § 8 NDSG (siehe Formular Anlage 1) gibt und das Präsidium der TU Braunschweig das Verfahren bewilligt hat. Vor der Einführung eines neuen oder der wesentlichen Änderung eines automatisierten Verfahrens zur Verarbeitung personenbezogener Daten prüft der DSB, ob gemäß § 8a Abs. 3 i. V. m. § 7 Abs. 3 NDSG eine Vorabkontrolle erforderlich ist. Im Rahmen dieser ggf. durchzuführenden Vorabkontrolle wird festgestellt, ob dieses Verfahren wegen der Art der zu verarbeitenden Daten oder der Verwendung neuer Technologien besondere Risiken in Bezug auf die informationelle Selbstbestimmung und das Recht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme in sich trägt und ob diese Risiken durch entsprechende organisatorische und technische Maßnahmen beherrschbar sind.
(4) Die Verfahrensbeschreibung ist von der Einrichtung zu erstellen, die für die Erhebung und Verarbeitung der Daten zuständig ist, und an das Präsidium zu leiten.
(5) Das Präsidium benachrichtigt unverzüglich die Datenschutzbeauftragte oder den Datenschutzbeauftragten und die zuständige Personalvertretung, soweit die von der Datenerhe ‐ bung betroffenen Personen unter das Niedersächsische Personalvertretungsgesetz (NPersVG) fallen.
(6) Das Präsidium bzw. eine von ihm beauftragte Stelle holt von der bzw. dem Datenschutzbeauftragten eine Stellungnahme zur Verfahrensbeschreibung ein. Der oder dem Datenschutzbeauftragten obliegt die Vorabkontrolle von Verfahren (s. Absatz 3), wobei in Zweifelsfällen die oder der Landesbeauftragte für den Datenschutz zu beteiligen ist. Das Präsidium beteiligt anschließend die zuständige Personalvertretung soweit nach Absatz 5 erforderlich. Bei Einsprüchen der Personalvertretung wird entsprechend den Regelungen im NPersVG verfahren. Weitere Regelungen zur Beteiligung der Personalvertretung können in einer Dienstvereinbarung getroffen werden.
(7) Nach Bewilligung des Verfahrens durch das Präsidium wird die Verfahrensbeschreibung in ein Verfahrensverzeichnis aufgenommen und bis auf den behördeninternen Teil der Beschreibung in der Regel auf den Webseiten der Universität veröffentlicht. Diese öffentlichen Teile der Verfahrensbeschreibungen können zudem auf Antrag von jedermann bei der oder dem behördlichen Datenschutzbeauftragten der TU Braunschweig eingesehen werden.
(8) Die Einhaltung des Verfahrens ist von den in der Verfahrensbeschreibung benannten verantwortlichen sowie bearbeitenden Personen sicherzustellen. Die Kenntnisnahme dieser Aufgabe ist von den benannten Personen in der Verfahrensbeschreibung durch Unterschrift zu bestätigen. Ein Wechsel der in der Verfahrensbeschreibung benannten verantwortlichen oder bearbeitenden Person der Verfahrensbeschreibung ist der oder dem DSB unverzüglich in Form einer aktualisierten Verfahrensbeschreibung anzuzeigen. Unbeschadet davon kann die oder der DSB jederzeit überprüfen, ob die benannten Personen noch die Verantwortung für das Verfahren wahrnehmen.
(9) Personenbezogene Daten sind möglichst früh zu anonymisieren, sofern sie über die Bearbeitung eines Verwaltungsvorgangs hinaus statistisch ausgewertet werden sollen. Eine Anonymisierung ist zwingend erforderlich, wenn eine Weiterverarbeitung mit anderen Verfahren oder auf Rechnern, die nicht der Aufsicht der Hochschule unterliegen, erfolgt.
(10) Zur Fehleranalyse und ‐behebung können in zu begründenden Ausnahmefällen Daten in nicht anonymisierter Form an einen externen Auftragnehmer weitergegeben werden. Der Auftragnehmer ist schriftlich auf den Datenschutz entsprechend NDSG zu verpflichten. Die Zustimmung der/des Datenschutzbeauftragten ist vorab einzuholen. Sofern für die Fehleranalyse und ‐behebung im Bereich der zentralen Versorgung eine besondere Dringlichkeit wie dem Ausfall der Grundversorgung besteht und die Zustimmung des Datenschutzbeauftragten kurzfristig nicht eingeholt werden kann, ist dies unverzüglich unter besonderer Begründung nachzuholen.
(11) Nicht anonymisierte personenbezogene Daten dürfen nur von den in der Verfahrensbeschreibung genannten Einrichtungen verarbeitet werden.
(12) Soweit in Gremien personenbezogene Daten behandelt werden, geschieht dies in nichtöffentlicher Sitzung. Die Beteiligten sind auf das Datengeheimnis nach § 5 NDSG sowie die Straf‐ und Ordnungswidrigkeitstatbestände in §§ 28 und 29 NDSG besonders hinzuweisen.
(13) Die Berichtigung, Löschung und Sperrung personenbezogener Daten unterliegt den Regelungen des § 17 NDSG.
(1) Studienbewerberinnen und Studienbewerber, Mitglieder und Angehörige der Hochschule sowie Mitglieder und Beschäftigte von Kooperationspartnern sind verpflichtet, bei der Erhebung der in den bewilligten Verfahrensbeschreibungen aufgeführten Daten, soweit sie betroffen sind, mitzuwirken und die dafür vorgesehenen Verfahren und Einrichtungen anzuwenden bzw. zu nutzen.
(2) Betroffene können ihre personenbezogenen Daten bei der Einrichtung einsehen, die in der Verfahrensbeschreibung als anzeigende Stelle geführt wird.
Die Dienstvereinbarung ist in geeigneter Weise gemäß § 78 Abs. 2 NPersVG bekannt zu machen und tritt am 16.11.2012 an der TU Braunschweig in Kraft. Sie kann mit einer Frist von vier Monaten zum Jahresende frühestens zum 31.12.2013 gekündigt werden. Die einvernehmliche Änderung ist jederzeit möglich. Kündigung und Änderung bedürfen der Schriftform.
Braunschweig, den
TU Braunschweig
Der Präsident
Gesamtpersonalrat
Der Vorsitzende
1 Der Wortlaut dieser Dienstvereinbarung entspricht dem der vom Senat am 23.05.2012 verabschiedeten und am 12.06.2012 in Kraft getretenen Ordnung zur Verarbeitung personenbezogener Daten der Technischen Universität Braunschweig.