Was machen eigentlich die Datenschutz-Beauftragten?

Interview mit den beiden Datenschutzbeauftragten der Jade Hochschule, Prof. Dr. Thomas Brinkhoff und Prof. Dr. Knut Barghorn. Wann und durch wen wurden Sie zum Datenschutzbeauftragten ernannt?
Brinkhoff: Ich bin vom Vizepräsidenten der damals noch FH OOW, Prof. Hämmerling, als Datenschutzbeauftragter für die Studienorte Oldenburg/Elsfleth vorgeschlagen worden und nach Zustimmung des Personalrates im Mai 2000 vom damaligen Präsidenten Jaudzims bestellt worden.
Barghorn: Aktuell wurden wir im Rahmen der letzten Senatssitzung am 6. März 2012 bestellt. Was ist Ihre Aufgabe?
Barghorn: Die Aufgaben sind durch das niedersächsische Datenschutzgesetz (NDSG) geregelt. Dort heißt es: „Sie unterstützen die öffentliche Stelle [Anm.: den Landesdatenschutzbeauftragten] bei der Sicherstellung des Datenschutzes und wirken auf die Einhaltung der datenschutzrechtlichen Vorschriften hin.“ Dies bedeutet nicht, dass wir nun überall kontrollieren, ob und wie personenbezogene Daten verarbeitet werden. Vielmehr können und sollen wir unterstützend wirken. So können und sollten wir beispielweise immer dann, wenn es Fragen zur Verarbeitung oder gar Herausgabe von personenbezogenen Daten gibt, Stellung nehmen und den betroffenen Stellen helfen im Sinne des Datenschutzes zu handeln.
Brinkhoff: Zudem dürfen die Datenschutzbeauftragten in keinem Interessenkonflikt hinsichtlich anderer dienstlicher Aufgaben stehen und sind in dieser Eigenschaft weisungsfrei. Damit dienen sie als unabhängige Instanz der datenschutzrechtlichen Selbstkontrolle der Hochschule. In welche Prozesse sind Sie formal mit einbezogen?
Barghorn: Betroffen vom Datenschutzgesetz sind grundsätzlich alle Prozesse, in denen personenbezogene Daten erhoben, gespeichert, verarbeitet oder übermittelt werden. Wann können/ sollten Kolleginnen und Kollegen zu Ihnen kommen?
Brinkhoff: Es können sich alle Angehörigen der Jade Hochschule an uns wenden – egal, ob sie selber personenbezogene Daten verarbeiten oder Daten über sie von der Hochschule verarbeitet werden. Wir sind für Lehrende, Studierende und Mitarbeiter/innen der Verwaltung gleichermaßen da.
Barghorn: Grundsätzlich immer dann, wenn unklar ist, ob die Daten, die dort vorliegen wirklich erhoben oder herausgegeben werden dürfen. So dürfen zum Beispiel Daten von Studierenden, die auf Grund der Immatrikulation erhoben werden, nicht ohne Einverständnis der Betroffenen an andere Stellen herausgegeben werden oder auch nur für andere, beispielsweise werbliche Zwecke in der Hochschule herangezogen werden. Was unternehmen Sie, wenn mit Daten unbedacht umgegangen wird?
Barghorn: Wir haben in erster Linie eine beratende Funktion. Sollten wir Kenntnis vom unsachgemäßen Umgang mit personenbezogenen Daten bekommen, werden wir zunächst einmal unverzüglich darauf hinwirken, die Datenschutzverletzung abzustellen und den Schaden zu begrenzen. Je nach Situation müssen dann weitergehende Maßnahmen von uns in die Wege geleitet werden. Dies kann beispielweise die Unterrichtung der betroffenen Personen sein, deren Daten unbedacht veröffentlicht wurden. Besser ist es natürlich uns bei allen personenbezogenen Datenverarbeitungen vorab vom Vorhaben zu unterrichten oder im Zweifelsfall zu fragen, wie eine Erhebung von personenbezogenen Daten - zum Beispiel in einem Forschungsprojekt - unter Berücksichtigung des Datenschutzes erfolgen kann. Welche Befugnisse haben Sie als Datenschutzbeauftragter?
Brinkhoff: Wir können uns direkt an die Hochschulleitung oder andere betroffene Einrichtungen wenden und um Aufklärung bitten bzw. auf Abstellung eines Missstandes drängen. Da oftmals datenschutzrechtliche Verstöße eher aus Unachtsamkeit oder Unwissenheit erfolgen, kann man dadurch in der Regel sehr viel erreichen.

Was motiviert Sie, diese Aufgabe zu übernehmen?
Brinkhoff: Für mich als (Geo-) Informatiker bedeutet dies, dass ich mich mit rechtlichen sowie informations- und verwaltungstechnischen Fragestellungen auseinandersetzen darf, die außerhalb des täglichen Alltagsgeschäfts liegen. Der größte Erfolg ist immer, wenn durch einen oftmals kurzen Austausch verhindert wird, dass überhaupt ein datenschutzrelevantes Problem entsteht.