Teilnehmerdaten und die DSGVO: was Kursanbieter beachten

Dieser Text ist eine Orientierung für die Auswahl und den Betrieb einer Kursverwaltung. Er ersetzt keine Rechtsberatung. Was in Ihrem Fall gilt, hängt von Ihrer Einrichtung, Ihren Auftraggebern und Ihren Förderbedingungen ab.

Welche Daten überhaupt anfallen

Bei einem typischen Präsenzkurs sind es weniger, als man denkt: Name, meist Geburtsdatum, oft eine E-Mail-Adresse für den Versand des Zertifikats und die Unterschrift als Bestätigung der Anwesenheit. Dazu kommt der Kurs selbst mit Datum, Ort und Dozent. Jedes weitere Feld will begründet sein. Ein guter Prüfstein ist die Frage: Was passiert, wenn wir dieses Feld weglassen? Fällt die Antwort schwer, gehört es vermutlich nicht dazu.

Der Auftragsverarbeitungsvertrag

Sobald ein Dienstleister Daten für Sie verarbeitet, etwa bei Kursverwaltung, Hosting oder Mailversand, verlangt Art. 28 DSGVO einen Vertrag darüber. Sie bleiben dabei verantwortlich. Der Vertrag verschiebt die Verantwortung nicht, er regelt die Bedingungen. Achten Sie darauf, dass er die Dienstleister benennt, die technischen und organisatorischen Maßnahmen beschreibt und sagt, was bei Vertragsende mit Ihren Daten geschieht.

Praktisch wichtig ist auch, wie Sie an diesen Vertrag kommen. Wenn dafür ein PDF-Versand, eine Unterschriftenmappe und zwei Wochen Wartezeit nötig sind, wird er leicht aufgeschoben und fehlt dann im Ernstfall.

Fragen an einen Anbieter, bevor Sie unterschreiben

• Wo stehen die Server? Und wo stehen die des Mailversands? Das wird oft getrennt beantwortet.
• Sind die Teilnehmerdaten verschlüsselt gespeichert, oder ist nur die Verbindung verschlüsselt? Das ist nicht dasselbe.
• Sind die Daten verschiedener Kunden getrennt? Und gibt es einen Schlüssel für alle oder einen je Kunde?
• Wie bekomme ich den AVV, und wie weise ich später nach, welche Fassung ich wann abgeschlossen habe?
• Welche Löschfristen gelten, und kann ich sie einsehen, ohne den Vertrag zu lesen?
• Wie komme ich an meine Daten heran, laufend und nicht erst bei Vertragsende?

Löschen gehört dazu

Aufbewahrungspflichten und Datenschutz ziehen in verschiedene Richtungen, und beides muss zusammenpassen: lange genug, um Nachweise erbringen zu können, nicht länger als nötig. Ein Anbieter, der dazu keine Angabe macht, überlässt Ihnen ein Problem, das mit jedem Kurs wächst.

Fragen Sie dabei auch, woran die Nachprüfbarkeit hängt. Gilt ein Zertifikat nur dann als echt, wenn der Anbieter in seinem Verzeichnis nachschlägt, bedeutet Löschen den Verlust des Nachweises, und die Abwägung geht jedes Jahr aufs Neue zugunsten des Aufhebens aus. Trägt das Dokument seinen Nachweis selbst, etwa als digital signierter QR-Code, fällt die Abwägung weg. Dann können Sie löschen, ohne etwas einzubüßen.

Wie es bei Tutorix aussieht

Titel, Vor- und Nachname, Geburtsdatum, E-Mail-Adresse und Unterschrift jedes Teilnehmers liegen verschlüsselt in der Datenbank, ebenso die Daten Ihrer Benutzer. Jeder Kunde hat seinen eigenen Schlüssel. Die Server stehen in einem Rechenzentrum in Deutschland, der Versand läuft standardmäßig über einen deutschen Anbieter.

Den Auftragsverarbeitungsvertrag nach Art. 28 DSGVO schließen Sie bei der Registrierung direkt in der Anwendung ab. Jeder Abschluss wird mit Textfassung, Zeitpunkt und einem Zeitstempel protokolliert, den Sie als Nachweis herunterladen können. Der Vertrag ist danach jederzeit in der Anwendung abrufbar.

Und Löschen kostet hier keinen Nachweis: Der QR-Code auf dem Zertifikat trägt seine Angaben digital signiert selbst, die Prüfseite rechnet nach, statt nachzuschlagen. Sind die Teilnehmerdaten eines Kurses nach Fristablauf gelöscht, bestätigt sie die Zertifikate weiter. Näheres auf der Seite Zertifikate.

Welche Dienstleister im Einzelnen eingesetzt werden, steht namentlich in der Datenschutzerklärung, ebenso die Löschfristen.