Datenschutzrechtliche Grundlagen für die Verarbeitung von personenbezogenen Daten von Studierenden in OER – Fall des Monats Juli ’25

Das Team der Rechtsinformationsstelle ORCA.nrw unterstützt Lehrende aus Nordrhein-Westfalen bei rechtlichen Fragen. Im Format „Fall des Monats“ stellt es regelmäßig einen besonderen Sachverhalt vor, der sich aus einer zu bearbeitenden Anfrage oder aus aktueller Rechtsprechung ergibt.

Ausgangspunkt

Eine nordrhein-westfälische Hochschule verwendet standardisierte Einwilligungsformulare bei der Erstellung von Open Educational Resources (OER), um datenschutzrechtliche Absicherungen gegenüber Studierenden zu gewährleisten. Die Datenschutzbeauftragte der Universität äußert jedoch Bedenken hinsichtlich der Wirksamkeit solcher Einwilligungen. Sie verweist darauf, dass ein Widerruf faktisch ins Leere laufen könne, da sich einmal veröffentlichte Inhalte regelmäßig nicht mehr vollständig aus dem digitalen Raum entfernen ließen. Die Problematik stellt sich besonders deutlich im Kontext offen zugänglicher Bildungsressourcen, verweist jedoch grundlegend auf die strukturellen Grenzen der Einwilligung als datenschutzrechtliche Grundlage im digitalen Veröffentlichungsumfeld.

Rechtliche Bewertung

Bei der Verarbeitung personenbezogener Daten im Rahmen offener Bildungsressourcen stellt sich für Hochschulen regelmäßig die Frage, auf welcher datenschutzrechtlichen Grundlage die Einbindung Studierender erfolgen kann. Artikel 6 Absatz 1 DSGVO sieht hierfür mehrere gleichrangige Rechtsgrundlagen vor, deren Anwendbarkeit sich nach dem Charakter des jeweiligen Projekts sowie nach dem Maß der Beteiligung der betroffenen Personen richtet.

1. Zur Einwilligung

Eine Einwilligung nach Artikel 6 Absatz 1 lit. a DSGVO stellt eine zulässige Rechtsgrundlage für die Verarbeitung personenbezogener Daten dar, sofern sie freiwillig, informiert, zweckgebunden sowie eindeutig erklärt und nachvollziehbar dokumentiert wurde. Diese Anforderungen ergeben sich aus Artikel 4 Nummer 11 und Artikel 7 der Verordnung. Hochschulen sind verpflichtet, die Wirksamkeit einer solchen Einwilligung im Einzelfall nachzuweisen und sicherzustellen, dass betroffene Personen in klarer und verständlicher Form über Zweck und Reichweite der Datenverarbeitung informiert wurden. Besondere Bedeutung kommt dem Widerrufsrecht nach Artikel 7 Absatz 3 DSGVO zu: Eine einmal erteilte Einwilligung kann jederzeit und ohne Angabe von Gründen mit Wirkung für die Zukunft widerrufen werden. Ab dem Zeitpunkt des Widerrufs ist jede weitere Verarbeitung der betreffenden Daten unzulässig. Eine Einwilligung, die dieses Recht nicht ausdrücklich vorsieht oder in unzulässiger Weise einschränkt, entfaltet keine Rechtswirkung. Gerade im Kontext offen lizenzierter Bildungsressourcen kann dies zu erheblichen praktischen Herausforderungen führen. OER-Inhalte werden typischerweise dezentral verbreitet, dauerhaft gespeichert und technisch nur eingeschränkt kontrollierbar veröffentlicht. Zwar kann die Hochschule Inhalte auf eigenen Plattformen sperren oder entfernen, sie hat jedoch keinen Zugriff auf bereits weiterverbreitete Kopien im Netz. Der Widerruf einer Einwilligung verpflichtet sie daher lediglich, eigene Verarbeitungsvorgänge einzustellen. Umso entscheidender ist es, dass sie organisatorisch in der Lage ist, Widerrufe rechtssicher zu erfassen und unverzüglich umzusetzen. Die Einwilligung bleibt somit eine grundsätzlich tragfähige datenschutzrechtliche Grundlage, ist jedoch mit erhöhten Anforderungen an die Aufklärung, Dokumentation und das interne Widerrufsmanagement verbunden.

2. Zur vertraglichen Grundlage

Eine vertragliche Grundlage im Sinne von Artikel 6 Absatz 1 lit. b DSGVO setzt voraus, dass die Verarbeitung personenbezogener Daten zur Erfüllung eines konkreten Vertrags mit der betroffenen Person objektiv erforderlich ist. Maßgeblich ist dabei nicht lediglich das formale Zustandekommen eines Vertrags, sondern die tatsächliche Notwendigkeit der jeweiligen Verarbeitung für die Erreichung des vereinbarten Zwecks. Ein Stützen auf Artikel 6 Absatz 1 lit. b DSGVO ist daher nur in klar umrissenen Ausnahmefällen tragfähig. Erforderlich ist, dass die Hochschule substantiiert darlegen kann, dass die konkrete Verarbeitung personenbezogener Daten zur Erfüllung einer vertraglichen Hauptleistungspflicht unerlässlich ist. Maßgeblich ist nicht die bloße Zweckmäßigkeit oder Nützlichkeit der Verarbeitung für das Projekt, sondern deren objektive Erforderlichkeit im Sinne eines funktionalen Durchführbarkeitsmaßstabs. Die vereinbarte Leistung darf ohne die streitgegenständliche Datenverarbeitung rechtlich nicht ordnungsgemäß oder überhaupt nicht erbracht werden können. Artikel 6 Absatz 1 lit. b DSGVO kann im Hochschulkontext folglich nur in eng begrenzten Ausnahmefällen als Rechtsgrundlage herangezogen werden. Im Rahmen von OER-Projekten sind die hierfür erforderlichen Voraussetzungen regelmäßig nicht gegeben.

3. Erwägung alternativer Rechtsgrundlagen

Daneben sieht Artikel 6 DSGVO mit lit. e und f weitere Rechtsgrundlagen vor, die im hochschulischen OER-Kontext regelmäßig nicht greifen. Artikel 6 Absatz 1 lit. e DSGVO erlaubt die Verarbeitung zur Erfüllung öffentlicher Aufgaben, etwa auf Grundlage des Bildungsauftrags gemäß Landeshochschulgesetz. Voraussetzung ist, dass die konkrete Maßnahme zur hoheitlichen Aufgabenerfüllung objektiv notwendig ist. Diese Schwelle wird bei OER-Projekten meist nicht erreicht, da die Beteiligung von Studierenden in der Regel freiwillig erfolgt und keine institutionell angeordnete Maßnahme darstellt.
Artikel 6 Absatz 1 lit. f DSGVO, die Verarbeitung zur Wahrung berechtigter Interessen, steht öffentlichen Stellen nur offen, wenn sie außerhalb hoheitlicher Tätigkeit handeln. Hochschulen agieren bei der Erstellung und Veröffentlichung von OER jedoch im Rahmen ihres gesetzlich zugewiesenen Bildungsauftrags, sodass diese Grundlage regelmäßig ausscheidet.

Fazit

Eine Einwilligung nach Artikel 6 Absatz 1 lit. a DSGVO ist auch im OER-Kontext zulässig und stellt häufig die einzige tragfähige Grundlage dar, um personenbezogene Daten von Studierenden oder Dritten in offenen Bildungsressourcen zu verarbeiten. Erforderlich ist hierbei, dass die Einwilligung wirksam erteilt wurde und organisatorisch umgesetzt werden kann, insbesondere im Hinblick auf das jederzeitige Widerrufsrecht. Eine vertragliche Grundlage nach Artikel 6 Absatz 1 lit. b DSGVO kann hingegen nur in begründeten Einzelfällen herangezogen werden.