Anwesenheitslisten sind Unterlagen, die zur Erfassung der Anwesenheit dienen, indem Sie die Teilnehmer einer Veranstaltung ihre Anwesenheit per Unterschrift oder Kürzel bestätigen lassen. Sie sind an Hochschulen in der Regel aus Datenschutzsicht abzulehnen sofern nicht besondere Gründe das Führen von Anwesenheitslisten legitimieren.
Eine generelle Ausnahme dürften Beschäftigungsverhältnisse sein, wo der Arbeitgeber Anwesenheitslisten ggf. als Nachweis für die Erbringung der Arbeitsleistung benötigt, wenn keine anderen Erfassungssysteme zur Verfügung stehen. Gleiches wird auch für Studierende gelten, die im Rahmen eines Beschäftigungsverhältnisses studieren, z.B. an einer Dualen Hochschule.
Allgemein darf Studierenden gemäß § 55 Abs. 3 ThürHG bei Lehrveranstaltungen nur ausnahmsweise die Anwesenheit vorgeschrieben werden. Demzufolge gibt es bei der Masse der Lehrveranstaltungen, insbesondere klassischen Vorlesungen und Übungen, keinen Bedarf, die Anwesenheit mittels Unterschrift festzustellen. Somit scheiden die Erlaubnistatbestände aus, die zu einer Rechtmäßigkeit der Verarbeitung führen könnten.
Ausnahmsweise zulässig sind Anwesenheitslisten, wenn die Prüfungsordnung eine Anwesenheit zur Sicherstellung des Lernziels als Voraussetzung für die Teilnahme an einer Prüfung verbindlich vorsieht. Das könnte zum Beispiel bei Seminaren der Fall sein. Auch dann muss jedoch der Datenschutz, insbs. der Grundsatz der Datenminimierung beachtet werden, indem keinesfalls Name und Matrikelnummer gemeinsam auf der Liste stehen oder zusätzliche Merkmale der Teilnehmer (wie Studienjahrgang, Fachsemester, Email oder Telefonnummer) benannt werden. Auch sollte in einem solchen Ausnahmefall möglichst pro Veranstaltung eine eigene Liste verwendet werden, so dass keine Gefahr von Datenverlust oder -manipulation besteht und den Teilnehmern nach mehreren Veranstaltungen auch keine „Zeitreihen“ über die Anwesenheit anderer Studierender vorliegen.
Ebenfalls als Ausnahme denkbar sind freiwillige Anwesenheitslisten mit allen Problemen die Einwilligung aus Datenschutzsicht mit sich bringt und unter Beachtung der oben genannten Hinweise. Die Einwilligung kann sich auch unter dem Aspekt der Datensparsamkeit ausnahmsweise daraus ergeben, dass sich in die Liste eingetragen wird oder nicht, wenn die folgenden Angaben zumindest in Kurzform auf jeder Liste stehen. (Es braucht also keine separate Einwilligungserklärung.)
Es muss ganz klar kommuniziert werden:
Beispiel für den Kopf einer Anwesenheitsliste: Sie können sich freiwillig in diese Anwesenheitsliste eintragen, um am Ende des Semesters eine Anwesenheitsbescheinigung zu erhalten. Wenn Sie sich nicht in diese Liste eintragen, hat das keine weiteren Folgen, als dass keine Anwesenheitsbescheinigung erteilt werden kann. Eine andere Verwendung der Anwesenheitsliste findet nicht statt. Sie wird zu Beginn des nächsten Semesters vernichtet. Bei Rückfragen wenden Sie sich bitte an FGXYZ@tu-ilmenau.de.
Auch zulässige Anwesenheitslisten sind nicht dauerhaft aufzubewahren. Soweit Anwesenheitslisten für Prüfungszwecke zulässigerweise benötigt werden, gelten die allgemeinen Regeln für Prüfungen. Ansonsten, gerade bei freiwilligen Erhebungen sollte eine kurze Aufbewahrungsfrist genügen und beispielsweise zum Semesterwechsel eine ordnungsgemäße Vernichtung stattfinden.
Für statistische Zwecke wird es in aller Regel genügen, das Auditorium zu zählen.
Soweit Bedarf an Kontaktdaten besteht, lassen sich diese datenschutzkonform über Moodle ermitteln.
Grundsätzlich sind aus datenschutzrechtlicher Sicht Anwesenheitslisten zur Ermittlung von Kontaktpersonen bei Erkrankungen bei einer gegebenen Gefahrenlage zulässig. Die Rechtmäßigkeit der Verarbeitung ergibt sich schon unmittelbar aus Art. 6 Abs. 1 UA 1 lit. d DSGVO - Verarbeitung zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person. Ergänzend können natürlich einfachgesetzliche Regelungen herangezogen werden, wobei dann gegebenenfalls eine Verarbeitung für die Wahrnehmung einer Aufgabe oder (wahrscheinlicher) eine Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung vorliegt. Zu letzterem zählen meines Erachtens auch beispielweise Bescheide und Allgemeinverfügungen,1) die gegebenenfalls von Gesundheitsbehörden erlassen werden, zum Beispiel nach § 16 oder § 24 IfSG.
Digitale Anwesenheitslisten werden üblicherweise ursprünglich nicht zur Ermittlung von Kontaktpersonen erstellt sondern weil es zur Natur der Veranstaltung beispielsweise bei wissenschaftlichen Tagungen gehört. In diesen Fällen können die üblichen Vorgehensweisen beibehalten werden. Falls tatsächlich von Gesundheitsbehörden die Übermittlung der Anwesenheitsliste zur Ermittlung von Kontaktpersonen gefordert wird, dürfte eine Zweckänderung vorliegen, die jedoch nach Art. 6 Abs. 4 DSGVO zulässig sein wird.
Soweit eine Übermittlung als hinreichend wahrscheinlich angesehen wird, sollte eine Übermittlung an Gesundheitsbehörden von vorneherein als (weiterer) Zweck der Verarbeitung vorgesehen werden. Allerdings dürfte das vor allem dann der Fall sein, wenn Infektionen beziehungsweise die Teilnahme infektiöser Personen auf der Veranstaltung als nicht unwahrscheinlich angesehen werden. In diesem Fall sollte jedoch vorrangig zu Fragen des Datenschutzes das Ob und Wie der Durchführung der Veranstaltung überdacht werden.
Soweit analoge Anwesenheitslisten ohnehin geführt werden, gelten die Aussagen oben zu digitalen Anwesenheitslisten.
Wenn die Anwesenheitslisten jedoch speziell für den Zweck einer etwaigen Ermittlung von Kontaktpersonen erstellt werden sollen, sollte vorrangig vor dem Datenschutz bei Anwesenheitslisten der Gesundheitsschutz geprüft werden, also das Ob und Wie der Durchführung der Veranstaltung aber auch, dass mit dem Führen der Anwesenheitsliste keine neuen Gefahren geschaffen werden. Daher sollte zum Beispiel zur Vermeidung von Schmierinfektion über ausgelegte Kugelschreiber die Eintragung in die Anwesenheitsliste entweder von einer Person für alle Anwesenden erledigt werden oder es sollte jede Person ihren eigenen Stift verwenden.
Soweit keine konkreten behördlichen Auflagen oder Hygieneschutzkonzepte zu befolgen sind, sollte die Eintragung in die Anwesenheitsliste freiwillig sein.
Die konkrete Anwesenheitsliste sollte eine kurze Datenschutzerklärung enthalten.
Eine solche könnte ohne behördliche Auflagen lauten: Diese Anwesenheitsliste wird durch die [ Verantwortlicher ] gemäß Art. 6 Abs. 1 UA 1 lit d DSGVO aufgrund aktueller Ereignisse zum Zwecke der etwaigen Ermittlung von Kontaktpersonen geführt, falls an der heutigen Veranstaltung eine mit […] infizierte Person teilgenommen haben sollte. Die Anwesenheitsliste wird innerhalb von 30 Tagen vernichtet, falls nicht eine Übermittlung an die zuständigen Behörden erfolgen muss. Bei Fragen wenden Sie sich bitte an unsere Datenschutzbeauftragte unter […].
Im Falle des Führens von Anwesenheitslisten aufgrund behördlicher Auflagen: Diese Anwesenheitsliste wird durch die [ Verantwortlicher ] gemäß Art. 6 Abs. 1 UA 1 lit c DSGVO in Verbindung mit der Allgemeinverfügung des […] vom […] aufgrund aktueller Ereignisse zum Zwecke der etwaigen Ermittlung von Kontaktpersonen geführt, falls an der heutigen Veranstaltung eine mit […] infizierte Person teilgenommen haben sollte. Die Anwesenheitsliste wird innerhalb von 30 Tagen vernichtet, falls nicht eine Übermittlung an die zuständigen Behörden erfolgen muss. Bei Fragen wenden Sie sich bitte an unsere Datenschutzbeauftragte unter […].
Die erhobenen Daten sollten sich darauf beschränken, eine sichere Identifikation und Erreichbarkeit sicherzustellen. Bei Beschäftigten desselben Arbeitgebers werden dafür in der Regel Name, Vorname und ggf. die Struktureinheit ausreichend sein.
Die Liste sollte sicher aufbewahrt und dokumentiert nach der vorgesehenen Aufbewahrungsfrist gelöscht werden. Die im Muster empfohlene Aufbewahrungsfrist von 30 Tagen wurde zwischenzeitlich vom Unabhängigen Datenschutzzentrum des Saarlandes bestätigt (dort ein Monat).2)