Anwesenheitslisten

Anwesenheitslisten sind Unterlagen, die zur Erfassung der Anwesenheit dienen, indem Sie die Teilnehmer einer Veranstaltung ihre Anwesenheit per Unterschrift oder Kürzel bestätigen lassen. Sie sind an Hochschulen in der Regel aus Datenschutzsicht abzulehnen sofern nicht besondere Gründe das Führen von Anwesenheitslisten legitimieren.

Eine generelle Ausnahme dürften Beschäftigungsverhältnisse sein, wo der Arbeitgeber Anwesenheitslisten ggf. als Nachweis für die Erbringung der Arbeitsleistung benötigt, wenn keine anderen Erfassungssysteme zur Verfügung stehen. Gleiches wird auch für Studierende gelten, die im Rahmen eines Beschäftigungsverhältnisses studieren, z.B. an einer Dualen Hochschule.

Allgemein darf Studierenden gemäß § 55 Abs. 3 ThürHG bei Lehrveranstaltungen nur ausnahmsweise die Anwesenheit vorgeschrieben werden. Demzufolge gibt es bei der Masse der Lehrveranstaltungen, insbesondere klassischen Vorlesungen und Übungen, keinen Bedarf, die Anwesenheit mittels Unterschrift festzustellen. Somit scheiden die Erlaubnistatbestände aus, die zu einer Rechtmäßigkeit der Verarbeitung führen könnten.

Ausnahmsweise zulässig sind Anwesenheitslisten, wenn die Prüfungsordnung eine Anwesenheit zur Sicherstellung des Lernziels als Voraussetzung für die Teilnahme an einer Prüfung verbindlich vorsieht. Das könnte zum Beispiel bei Seminaren der Fall sein. Auch dann muss jedoch der Datenschutz, insbs. der Grundsatz der Datenminimierung beachtet werden, indem keinesfalls Name und Matrikelnummer gemeinsam auf der Liste stehen oder zusätzliche Merkmale der Teilnehmer (wie Studienjahrgang, Fachsemester, Email oder Telefonnummer) benannt werden. Auch sollte in einem solchen Ausnahmefall möglichst pro Veranstaltung eine eigene Liste verwendet werden, so dass keine Gefahr von Datenverlust oder -manipulation besteht und den Teilnehmern nach mehreren Veranstaltungen auch keine „Zeitreihen“ über die Anwesenheit anderer Studierender vorliegen.

Ebenfalls als Ausnahme denkbar sind freiwillige Anwesenheitslisten mit allen Problemen die Einwilligung aus Datenschutzsicht mit sich bringt und unter Beachtung der oben genannten Hinweise. Die Einwilligung kann sich auch unter dem Aspekt der Datensparsamkeit ausnahmsweise daraus ergeben, dass sich in die Liste eingetragen wird oder nicht, wenn die folgenden Angaben zumindest in Kurzform auf jeder Liste stehen. (Es braucht also keine separate Einwilligungserklärung.)

Es muss ganz klar kommuniziert werden:

1. dass die Einwilligung freiwillig ist,
2. zu welchem Zweck die Einwilligung dient (z.B. Erteilung von Anwesenheitsbestätigungen),
3. dass eine Verweigerung keine Nachteile mit sich bringt, außer dass der genannte Zweck nicht erreicht werden kann,
4. dass keinesfalls eine Verwendung zu anderen Zwecken insbesondere bei der Bewertung von Prüfungsleistungen erfolgt und
5. wie lange die Listen datenschutzgerecht aufbewahrt werden (z.B. bis zum Ende des Semesters).

Beispiel für den Kopf einer Anwesenheitsliste: Sie können sich freiwillig in diese Anwesenheitsliste eintragen, um am Ende des Semesters eine Anwesenheitsbescheinigung zu erhalten. Wenn Sie sich nicht in diese Liste eintragen, hat das keine weiteren Folgen, als dass keine Anwesenheitsbescheinigung erteilt werden kann. Eine andere Verwendung der Anwesenheitsliste findet nicht statt. Sie wird zu Beginn des nächsten Semesters vernichtet. Bei Rückfragen wenden Sie sich bitte an FGXYZ@tu-ilmenau.de.

Auch zulässige Anwesenheitslisten sind nicht dauerhaft aufzubewahren. Soweit Anwesenheitslisten für Prüfungszwecke zulässigerweise benötigt werden, gelten die allgemeinen Regeln für Prüfungen. Ansonsten, gerade bei freiwilligen Erhebungen sollte eine kurze Aufbewahrungsfrist genügen und beispielsweise zum Semesterwechsel eine ordnungsgemäße Vernichtung stattfinden.

Für statistische Zwecke wird es in aller Regel genügen, das Auditorium zu zählen.

Soweit Bedarf an Kontaktdaten besteht, lassen sich diese datenschutzkonform über Moodle ermitteln.

Grundsätzlich sind aus datenschutzrechtlicher Sicht Anwesenheitslisten zur Ermittlung von Kontaktpersonen bei Erkrankungen bei einer gegebenen Gefahrenlage zulässig. Die Rechtmäßigkeit der Verarbeitung ergibt sich schon unmittelbar aus Art. 6 Abs. 1 UA 1 lit. d DSGVO - Verarbeitung zum Schutz lebenswichtiger Interessen der betroffenen Person oder einer anderen natürlichen Person. Ergänzend können natürlich einfachgesetzliche Regelungen herangezogen werden, wobei dann gegebenenfalls eine Verarbeitung für die Wahrnehmung einer Aufgabe oder (wahrscheinlicher) eine Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung vorliegt. Zu letzterem zählen meines Erachtens auch beispielweise Bescheide und Allgemeinverfügungen,¹⁾ die gegebenenfalls von Gesundheitsbehörden erlassen werden, zum Beispiel nach § 16 oder § 24 IfSG.

Für den Ilmkreis und damit die TU Ilmenau ist ab 13.03.2020 bis mindestens 21.04.2020 das Führen von Anwesenheitslisten beim Zusammentreffen von bis 70 Personen verbindlich vorgeschrieben.((Siehe Allgemeinverfügung der Landrätin des Ilmkreises vom 13.03.2020.)

Im Einzelnen: Nach Ziffer 1 ist es untersagt, „öffentliche und private Veranstaltungen, Vergnügungen und sonstigen Ansammlungen von Menschen sowie Versammlungen und Aufzüge mit einer Anzahl von über 70 Teilnehmern durchzuführen oder hieran teilzunehmen.“ Nach Ziffer 2 ist bei „der Ziffer 1 entsprechenden Veranstaltungen unter 70 Teilnehmern“ die „namentliche Registrierung der Teilnehmenden mit Angaben zur Erreichbarkeit vorzunehmen“ und das „unter Beachtung der datenschutzrechtlichen Bestimmungen (z.B. Einwilligung)“.

Die Formulierung „sonstige Ansammlungen“ spricht für einen denkbar weiten Anwendungsbereich. Also nicht nur die beispielhaft genannten Veranstaltungen sondern auch Lehrveranstaltungen, Schulungen, letztendlich auch innerbetriebliche Besprechungen, wobei keine ausdrückliche Untergrenze benannt wurde. Nach den einschlägigen Meinungen zum Begriff der „Versammlung“ im Rahmen der Versammlungsfreiheit wird spätestens(!) bei 9 Personen von einer Ansammlung auszugehen sein, wahrscheinlich schon bei weniger Personen. Unter Vorsichtsaspekten sollte auch bei Ansammlungen von weniger als 9 Personen schon eine Anwesenheitsliste geführt werden.

Die „namentliche Registrierung“ bedeutet, dass mindestens Name und Vorname erfasst werden muss. „Angaben zur Erreichbarkeit“ wird nicht näher spezifiziert.

Digitale Anwesenheitslisten werden üblicherweise ursprünglich nicht zur Ermittlung von Kontaktpersonen erstellt sondern weil es zur Natur der Veranstaltung beispielsweise bei wissenschaftlichen Tagungen gehört. In diesen Fällen können die üblichen Vorgehensweisen beibehalten werden. Falls tatsächlich von Gesundheitsbehörden die Übermittlung der Anwesenheitsliste zur Ermittlung von Kontaktpersonen gefordert wird, dürfte eine Zweckänderung vorliegen, die jedoch nach Art. 6 Abs. 4 DSGVO zulässig sein wird.

Soweit eine Übermittlung als hinreichend wahrscheinlich angesehen wird, sollte eine Übermittlung an Gesundheitsbehörden von vorneherein als (weiterer) Zweck der Verarbeitung vorgesehen werden. Allerdings dürfte das vor allem dann der Fall sein, wenn Infektionen beziehungsweise die Teilnahme infektiöser Personen auf der Veranstaltung als nicht unwahrscheinlich angesehen werden. In diesem Fall sollte jedoch vorrangig zu Fragen des Datenschutzes das Ob und Wie der Durchführung der Veranstaltung überdacht werden.

Soweit analoge Anwesenheitslisten ohnehin geführt werden, gelten die Aussagen oben zu digitalen Anwesenheitslisten.

Wenn die Anwesenheitslisten jedoch speziell für den Zweck einer etwaigen Ermittlung von Kontaktpersonen erstellt werden sollen, sollte vorrangig vor dem Datenschutz bei Anwesenheitslisten der Gesundheitsschutz geprüft werden, also das Ob und Wie der Durchführung der Veranstaltung aber auch, dass mit dem Führen der Anwesenheitsliste keine neuen Gefahren geschaffen werden. Daher sollte zum Beispiel zur Vermeidung von Schmierinfektion über ausgelegte Kugelschreiber die Eintragung in die Anwesenheitsliste entweder von einer Person für alle Anwesenden erledigt werden oder es sollte jede Person ihren eigenen Stift verwenden.

Soweit keine konkreten behördlichen Auflagen zu befolgen sind, sollte die Eintragung in die Anwesenheitsliste freiwillig sein. (Hinweis: Im Ilmkreis ist das Führen von Anwesenheitslisten vom 13.3.2020 bis 21.4.2020 obligatorisch, siehe oben.)

Die konkrete Anwesenheitsliste sollte eine kurze Datenschutzerklärung enthalten.

Eine solche könnte ohne behördliche Auflagen lauten: Diese Anwesenheitsliste wird durch die [ Verantwortlicher ] gemäß Art. 6 Abs. 1 UA 1 lit d DSGVO aufgrund aktueller Ereignisse zum Zwecke der etwaigen Ermittlung von Kontaktpersonen geführt, falls an der heutigen Veranstaltung eine mit […] infizierte Person teilgenommen haben sollte. Die Anwesenheitsliste wird innerhalb von 30 Tagen vernichtet, falls nicht eine Übermittlung an die zuständigen Behörden erfolgen muss. Bei Fragen wenden Sie sich bitte an unsere Datenschutzbeauftragte unter […].

Im Falle des Führens von Anwesenheitslisten aufgrund behördlicher Auflagen: Diese Anwesenheitsliste wird durch die [ Verantwortlicher ] gemäß Art. 6 Abs. 1 UA 1 lit c DSGVO in Verbindung mit der Allgemeinverfügung des […] vom […] aufgrund aktueller Ereignisse zum Zwecke der etwaigen Ermittlung von Kontaktpersonen geführt, falls an der heutigen Veranstaltung eine mit […] infizierte Person teilgenommen haben sollte. Die Anwesenheitsliste wird innerhalb von 30 Tagen vernichtet, falls nicht eine Übermittlung an die zuständigen Behörden erfolgen muss. Bei Fragen wenden Sie sich bitte an unsere Datenschutzbeauftragte unter […].

Die erhobenen Daten sollten sich darauf beschränken, eine sichere Identifikation und Erreichbarkeit sicherzustellen. Bei Beschäftigten desselben Arbeitgebers werden dafür in der Regel Name, Vorname und ggf. die Struktureinheit ausreichend sein.

Die Liste sollte sicher aufbewahrt und dokumentiert nach der vorgesehenen Aufbewahrungsfrist gelöscht werden.