DSGVO und Studiendaten: was du in Deutschland verlangen kannst

Kurz gesagt: Die Aufnahme deiner Vorlesung, das Transkript daraus und die Notizen, die eine KI daraus baut, sind personenbezogene Daten. Die DSGVO gibt dir vier Rechte, die im Alltag zählen. Du kannst eine Kopie verlangen, die Löschung, deine Daten in einem Format, das du mitnehmen kannst, und du kannst der Verarbeitung widersprechen. Der Anbieter hat einen Monat Zeit und darf für die erste Kopie nichts verlangen. Zuständig für deine Hochschule ist die Datenschutzbehörde deines Bundeslandes, nicht der Bundesbeauftragte.

Was die meisten Studierenden falsch einschätzen, sind nicht die Rechte. Es ist, was die Rechte nicht abdecken, und was „Server in der EU“ in einer Datenschutzerklärung tatsächlich bedeutet.

Wessen Daten stecken in einer Aufnahme?

Meistens die von drei Gruppen, in einer Datei. Deine, über dein Konto und deine Nutzung. Die der Lehrperson, deren Stimme und Inhalt neunzig Minuten füllen. Und die deiner Kommilitonen, sobald jemand aus dem Saal eine Frage gestellt hat. Art. 4 Nr. 1 der DSGVO definiert personenbezogene Daten als alle „Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen“. Eine Stimme reicht dafür. Das Team Digitales Lernen und Lehren der Uni Göttingen sagt es in seinen Hinweisen zum Persönlichkeitsrecht so: „Ton und Bild sind personenbezogene Daten.“

Die Haushaltsausnahme und wann sie endet

Nimmst du für dich auf und behältst die Datei, lässt die Verordnung dich in Ruhe. Art. 2 Abs. 2 lit. c DSGVO nimmt die Verarbeitung durch eine natürliche Person „zur Ausübung ausschließlich persönlicher oder familiärer Tätigkeiten“ aus dem Anwendungsbereich. Erwägungsgrund 18 erklärt, was gemeint ist: Tätigkeiten ohne Bezug zu einer beruflichen oder wirtschaftlichen Tätigkeit, mit Schriftverkehr, Adressbüchern und sozialen Netzen als Beispielen. Derselbe Erwägungsgrund fügt hinzu, dass die Anbieter der Werkzeuge für solche Tätigkeiten der Verordnung weiter unterliegen. Deine Aufnahme ist also privat. Die App, in die du sie lädst, ist es nicht.

Lies das Wort „ausschließlich“. Eine Aufnahme mit Lehrperson und vierzig Kommilitonen, gepostet in die Kursgruppe, ist schwer als ausschließlich persönliche Tätigkeit zu beschreiben, und die Uni Göttingen schreibt, dass „durch die unerlaubte Veröffentlichung einer Aufnahme“ das Recht der Studierenden am gesprochenen Wort verletzt wird, mit § 201 StGB als Verweis. Die Regel, mit der du arbeiten kannst, ist kurz. Dein Gerät, ja. Alles andere, nein. Die Regeln der Universitäten sind ohnehin strenger als die DSGVO und stehen in Darfst du Vorlesungen aufzeichnen?.

Welche Gesetze gelten, und wer ist zuständig?

Die DSGVO gilt unmittelbar, und das Bundesdatenschutzgesetz füllt sie für Bundesstellen und Unternehmen aus. Für Hochschulen kommt eine dritte Ebene dazu. § 1 BDSG erfasst öffentliche Stellen der Länder nur, soweit der Datenschutz nicht durch Landesgesetz geregelt ist, und jedes Land hat ein eigenes Datenschutzgesetz und ein eigenes Hochschulgesetz. Deine Universität ist eine öffentliche Stelle des Landes. Das entscheidet, wer sie beaufsichtigt.

Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit beschreibt seine Zuständigkeit selbst: Bundesbehörden, bundesunmittelbare Körperschaften wie Jobcenter und Rentenversicherung, Telekommunikations- und Postdienstleister. Die Landesbehörden beaufsichtigen die öffentlichen Stellen der Länder und Kommunen sowie den Großteil der Privatwirtschaft. Auf seiner Übersicht der Landesbehörden listet der BfDI alle sechzehn und erklärt, dass die Aufsicht in Deutschland föderal aufgebaut ist.

Für dich heißt das: Die Hochschule und die Notiz-App haben verschiedene Aufsichtsbehörden. Die Hochschule fällt unter die Landesbeauftragten ihres Bundeslandes, und die Datenschutzerklärungen sagen das auch. Die FU Berlin nennt die Berliner Beauftragte für Datenschutz und Informationsfreiheit, die Universität Göttingen die Landesbeauftragte für den Datenschutz Niedersachsen, die Universität Wuppertal die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, die Universität Freiburg für ILIAS den Landesbeauftragten Baden-Württemberg. Für ein Unternehmen ist die Behörde des Landes zuständig, in dem es seinen Sitz hat. Art. 77 DSGVO gibt dir das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen, und der Kontaktfinder des BfDI führt dich zur richtigen.

Welche Rechte sind wichtig?

Die DSGVO kennt mehr Betroffenenrechte, als du brauchst. Für Studiendaten zählen diese.

Nenn das Recht beim Namen. Eine Mail mit „Auskunftsantrag nach Art. 15 DSGVO“ in der Betreffzeile geht nicht so leicht unter wie „kann ich meine Sachen haben“.

Die Datenübertragbarkeit ist das Recht, das bei einer Notiz-App am meisten wert ist. Deine Aufnahmen und die Notizen daraus sind Daten, die du bereitgestellt hast, automatisiert verarbeitet, auf Grundlage eines Vertrags. Genau dafür wurde Art. 20 geschrieben. Ein Exportknopf in der App ist dasselbe Recht ohne E-Mail.

Frist und Kosten

Art. 12 Abs. 3 DSGVO verlangt die Antwort „unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang des Antrags“. Die Frist kann um zwei weitere Monate verlängert werden, wenn Komplexität und Zahl der Anträge das erfordern, aber der Verantwortliche muss dich innerhalb des ersten Monats über die Verlängerung und ihre Gründe informieren. Nach Abs. 5 werden alle Mitteilungen und Maßnahmen „unentgeltlich zur Verfügung gestellt“. Nur bei offenkundig unbegründeten oder exzessiven Anträgen darf ein Entgelt verlangt oder die Bearbeitung verweigert werden, und das muss der Verantwortliche nachweisen. Art. 15 Abs. 3 erlaubt ein angemessenes Entgelt erst für weitere Kopien.

1. Schick den Antrag per E-Mail, damit das Eingangsdatum außer Frage steht.
2. Sag, welches Recht du nutzt und welche Daten du meinst: Aufnahmen, Transkripte, Notizen, Kontodaten, Protokolle.
3. Trag dir den Tag einen Monat später in den Kalender ein.
4. Kommt nichts, antworte im selben Mailverlauf und bitte um Bestätigung des Eingangsdatums.

Wie stellst du einen Auskunftsantrag praktisch?

Der BfDI beschreibt auf seiner Seite zum Recht auf Auskunft, wie es geht, und die Hinweise sind praktisch. Eine Begründung brauchst du nicht. Er empfiehlt, den Antrag schriftlich oder in sicherer elektronischer Form zu stellen. Zum Identitätsnachweis darf der Verantwortliche bei berechtigten Zweifeln eine Kopie des Ausweises verlangen, aber nur die nötigen Angaben wie Name, Anschrift, Geburtsdatum und Gültigkeit müssen lesbar sein, alles andere kannst du schwärzen. Und er rät, konkret zu sagen, welche Daten oder welche Verarbeitung du meinst, weil das die Bearbeitung beschleunigt.

Der Landesbeauftragte für den Datenschutz Baden-Württemberg stellt ein Musterschreiben für den Auskunftsanspruch zum Herunterladen bereit und erklärt dazu, dass Art. 15 ein abgestuftes Auskunftsrecht ist: erst die Bestätigung, ob überhaupt Daten verarbeitet werden, dann die Auskunft selbst. Auch eine Negativauskunft ist eine Antwort.

Das gehört in die Mail.

• Der Betreff. Auskunftsantrag nach Art. 15 DSGVO.
• Das Datum.
• Dein Name und die E-Mail-Adresse, mit der du bei dem Dienst registriert bist, damit dich niemand suchen muss.
• Was du willst. Bei einer Notiz-App: die Audiodateien, die Transkripte, die erzeugten Notizen und Karteikarten, die Konto- und Nutzungsprotokolle. Dazu die Empfänger und die Speicherdauer, denn auf beides hast du nach Art. 15 Anspruch.
• Bei Übermittlung in ein Drittland die Frage nach den Garantien nach Art. 46. Das ist die Frage, die die interessanteste Antwort liefert.

Die Adresse steht in der Datenschutzerklärung, die jeder Verantwortliche veröffentlichen muss. Steht dort keine, ist das schon eine Antwort über das Unternehmen.

Was heißt „Speicherort EU“ in einer Datenschutzerklärung?

Wo deine Dateien liegen und wo sie verarbeitet werden, sind zwei Fragen. Ein Dienst kann Aufnahmen und Notizen auf Servern in Deutschland speichern und das Audio trotzdem an einen Spracherkennungsdienst in den USA schicken, weil viele der leistungsfähigen dort sitzen. Beide Sätze können gleichzeitig wahr sein. „Ihre Daten werden in der EU gespeichert“ ist kein Versprechen, dass dein Audio die EU nie verlässt.

Für Übermittlungen in Drittländer gelten Art. 44 ff. DSGVO. Die Datenschutzkonferenz, der Zusammenschluss der Aufsichtsbehörden von Bund und Ländern, hat dazu Anwendungshinweise veröffentlicht, die zwei Wege beschreiben.

• Weg eins, das Data Privacy Framework. Die Europäische Kommission hat den Angemessenheitsbeschluss zum EU-US Data Privacy Framework „am 10. Juli 2023“ angenommen, und er „trat am selben Tag in Kraft“. Er gilt für US-Organisationen, die sich selbst zertifizieren. Das US-Handelsministerium führt dafür eine Liste, und die DSK ist eindeutig: „Nur Übermittlungen an dort aufgelistete US-Organisationen können auf den EU-US DPF gestützt werden.“ Ob ein Anbieter auf der Liste steht, kannst du selbst nachsehen.
• Weg zwei, die Standardvertragsklauseln. Steht der Empfänger nicht auf der Liste, braucht der Absender geeignete Garantien nach Art. 46. In der Praxis sind das die Klauseln der Kommission. Die DSK schreibt: „Die von der Europäischen Kommission im Jahr 2021 erlassenen und veröffentlichten Standardvertragsklauseln sind modular aufgebaut und können ohne weitere Genehmigung verwendet werden.“ Die Kommission beschreibt sie als vorab genehmigte Vertragsklauseln, die als Grundlage für Übermittlungen aus der EU in Drittländer dienen, angenommen am 4. Juni 2021.

Keiner der beiden Wege ist ein Schlupfloch. Beide sind rechtmäßig, und bei beiden verlässt das Audio Europa. Frag also nicht, ob ein Dienst deutsch oder europäisch ist. Frag, wohin das Audio geht, und schau, ob die Datenschutzerklärung es dir sagt. Selbst die Universitäten arbeiten so: Die Vorlage der LMU für die Aufzeichnung einer Online-Veranstaltung über den Videokonferenzdienst der Universität holt die Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO ein, ausdrücklich „in Kenntnis eines fehlenden Angemessenheitsbeschlusses“.

Was prüfst du in der Datenschutzerklärung einer Notiz-App?

Art. 15 sagt dir, was ein Verantwortlicher auf Anfrage herausgeben muss, und das ist ein guter Maßstab dafür, was eine Datenschutzerklärung schon vorher sagen sollte.

• Wer der Verantwortliche ist. Ein Firmenname und eine Anschrift, nicht nur ein Produktname.
• Die Auftragsverarbeiter. Die gute Version ist eine Liste mit Namen, einschließlich der Anbieter für Spracherkennung und KI, denn das sind die Unternehmen, die dein Audio tatsächlich hören.
• Übermittlungen in Drittländer und die Garantie. Data Privacy Framework für einen gelisteten US-Anbieter, Standardvertragsklauseln für alle anderen. Eine Erklärung, die „wir sind DSGVO-konform“ sagt und nichts über Übermittlungen, hat die Frage übersprungen.
• Die Speicherdauer. Oder die Kriterien dafür. Art. 15 verpflichtet den Anbieter, sie auf Anfrage zu nennen. Besser, sie steht schon da.
• Das Beschwerderecht und eine Adresse für Anfragen.

Zwei Punkte sind keine Pflicht, sagen aber viel. Gibt es in der App einen Export- und einen Löschknopf, sodass Art. 20 und Art. 17 ein Klick sind und keine Mail? Und sagt die Erklärung, Anbieter für Anbieter, ob deine Inhalte zum Training von Modellen verwendet werden? „Wir trainieren nie auf Ihren Daten“ ist ein leichter Satz, weil das Audio durch Unternehmen läuft, die dem Dienst nicht gehören. Eine Erklärung, die jeden Anbieter nennt und sagt, was er vertraglich darf, ist das ehrlichere Dokument. Wenn du noch auswählst, haben wir die gängigen Apps genau daran gemessen, in Die beste Notiz-App für Studierende in Deutschland.

Was speichert deine Hochschule über dich?

Mehr als jede App, und alles davon sind personenbezogene Daten. Die FU Berlin listet in ihren Datenschutzhinweisen zur Studierendenverwaltung auf, was sie verarbeitet: „Familienname, frühere Namen, Vornamen, Geburtsdatum, Geburtsort, Geschlecht“, Anschriften, Matrikelnummer, Hochschulzugangsberechtigung, Studienfach, und bei Prüfungen die „individuellen Prüfungsantworten und deren Einzelbewertungen“. Rechtsgrundlage sind das Berliner Hochschulgesetz und die Studierendendatenverordnung. Die Kerndaten Name, Geburtsdatum und Matrikelnummer werden „nach Ablauf von 50 Jahren gelöscht“, die übrigen Daten vier Jahre nach der Exmatrikulation. Als Empfänger nennt die FU unter anderem „Familienkassen, BAföG-Amt, Krankenkassen, Landesamt für Gesundheit und Soziales, Statistisches Landesamt, Landeskriminalamt, Bundespolizei“.

Dazu kommen die Systeme, mit denen du täglich arbeitest.

Ein Auskunftsantrag nach Art. 15 reicht bis in jedes dieser Systeme, und die Datenschutzerklärung der Hochschule nennt die Adresse dafür.

Aufzeichnungen der Hochschule

Wenn die Universität eine Vorlesung aufzeichnet, verarbeitet sie Daten der Lehrperson, und die Vorlage der LMU nennt als Zweck die „Erfüllung einer öffentlichen Aufgabe“, nämlich die Durchführung des Lehrbetriebs. Dich betrifft das meist nicht, weil die Systeme so gebaut sind, dass du nicht auf der Aufnahme bist. Die Uni Halle schreibt, dass die Studierenden nicht aufgezeichnet werden, und Lecture2Go in Hamburg verbietet personenbezogene Daten von Studierenden in den Videos. Was die Systeme erfassen und wie lange die Dateien bleiben, steht in Vorlesungsaufzeichnungen an deutschen Unis.

Was du damit machst, braucht kein Jurastudium. Lies den Abschnitt über Übermittlungen und den über die Speicherdauer, bevor du einem Dienst ein Semester Vorlesungen anvertraust. Frag die Lehrperson, bevor du aufnimmst, weil die Universitätsregeln strenger sind als die DSGVO. Und lösch am Ende eines Moduls, was du nicht mehr brauchst, statt vier Jahre Audio in einem Konto liegen zu lassen, an das du seit dem dritten Semester nicht mehr denkst.

Was tust du, wenn niemand antwortet?

Erst mahnen, schriftlich, im selben Mailverlauf, mit der Bitte um Bestätigung des Eingangsdatums. Antwortet der Verantwortliche dann immer noch nicht, oder mit weniger, als Art. 15 verlangt, legst du Beschwerde bei der Aufsichtsbehörde ein. Für ein Unternehmen ist das die Landesbehörde an seinem Sitz, für die Hochschule die deines Bundeslandes, und der Kontaktfinder des BfDI findet die richtige Stelle. Heb den Schriftverkehr auf. Eine verpasste Monatsfrist ist ein gut ausgetretener Pfad, und du bist nicht lästig, wenn du ihn gehst.

Wo Notibo hineinpasst

Notibo ist ein Beispiel für die Trennung von Speicherung und Verarbeitung, keine Ausnahme davon. Deine Aufnahmen, Notizen und Karteikarten liegen in der EU bei Supabase in Frankfurt. Die Audiodaten werden von Sprache-zu-Text-Anbietern in den USA transkribiert, und die KI-Notizen entstehen ebenfalls bei US-Anbietern, auf Grundlage von Standardvertragsklauseln. Der Upload ist auf 50 MB begrenzt, lange Aufnahmen werden auf dem Handy in 30-Minuten-Dateien geteilt und zu einem Transkript zusammengefügt, und der kostenlose Tarif enthält 30 Aufnahmeminuten im Monat. Unsere Datenschutzerklärung nennt jeden Anbieter, damit du sie mit der Liste oben genauso prüfen kannst wie jeden anderen Dienst.