Das Bayerische Hochschulinnovationsgesetz tritt in Kraft – was ist datenschutzrechtlich zu beachten?
14.12.2022 | Susanne Stingl
Zum 1.1.2023 tritt das Bayerische Hochschulinnovationsgesetz (BayHIG) in Kraft. Es löst damit das bislang geltende Bayerische Hochschulgesetz (BayHSchG) ab.
Was hat sich geändert?
Bezüglich des Datenschutzes haben sich keine grundlegenden Änderungen ergeben. Allerdings haben sich manche Rechtsgrundlagen verschoben.
Die Verarbeitung von personenbezogenen Daten muss sich stets auf eine Rechtsgrundlage stützen. Im Kontext der Universität ist das vor allem in der Verwaltung meist die Aufgabenerfüllung nach Art. 6 Abs. 1 S. 1 lit. e DSGVO. Diese Rechtsgrundlage steht jedoch nicht alleine da, sondern gilt nur in Kombination mit einer nationalen Regelung der Aufgabe. Art. 4 Abs. 1 BayDSG greift dies noch mal auf: „Die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle ist unbeschadet sonstiger Bestimmungen zulässig, wenn sie zur Erfüllung einer ihr obliegenden Aufgabe erforderlich ist.“ Für Hochschulen waren die wesentlichen Aufgaben bislang in Art. 2 BayHSchG geregelt. Im BayHIG sind die Aufgaben weiterhin in Art. 2 geregelt, allerdings wurde der Inhalt und die Stellung der Regelungen stark verändert. Daher ist im Einzelfall zu prüfen, in welchem konkreten Absatz und Satz des BayHIG die Aufgabe, auf die sich die Datenverarbeitung stützt geregelt ist. Relevant ist weiterhin Art. 3 BayHIG, in welchem die Aufgaben im differenzierten Hochschulsystem geregelt sind.
Welche Auswirkungen hat das?
Die Änderung der Rechtsgrundlage hat datenschutzrechtlich zwei Auswirkungen: zum einen muss das Verzeichnis der Verarbeitungstätigkeiten angepasst werden. Da dort die jeweilige Rechtsgrundlage für die konkrete Verarbeitungstätigkeit zu dokumentieren ist, ist die neue Rechtsgrundlage entsprechend zu ergänzen. Hier müssen Sie aktiv nichts veranlassen, dies übernehmen wir für Sie.
Des Weiteren müssen die Informationsschreiben für die betroffenen Personen angepasst werden. Nach Art. 13 DSGVO müssen die betroffenen Personen vor der Verarbeitung ihrer Daten über wesentliche Umstände der Datenverarbeitung informiert werden. Dazu gehört nach Art. 13 Abs.1 lit. c DSGVO explizit auch die Rechtsgrundlage, auf die sich die Datenverarbeitung stützt. Die Informationsschreiben werden jeweils durch die zuständige Organisationseinheit erstellt und sind von dieser anzupassen. Falls es Zweifel bezüglich der nun geltenden Norm gibt, können Sie sich gern an uns wenden. Schreiben Sie dazu einfach an dsb@ur.de.
