Internationale Bildungsgruppe erteilt teipel Gutachtenauftrag für Blockchain-Lösung

Wie bereits erwähnt, können einmal hinzugefügte Einträge in einer Blockchain nicht mehr im klassischen Sinne - wie auf einer Festplatte hinterlegten Daten - gelöscht werden. Dies erscheint in prüfungsrechtlicher Hinsicht zunächst nicht unproblematisch, denn ein Widerspruchsverfahren von Studierenden gegen die Abschlussnote bzw. gegen einzelne Modulnoten kann dazu führen, dass sich die (Gesamt-) Note im Abschlusszeugnis (nachträglich) ändert, so dass in der herkömmlichen Verfahrenspraxis das alte Papierzeugnis in ein neues Papierzeugnis ausgetauscht werden musste. Damit wäre die Bekanntgabe der akademischen Abschlussnote im Rechtsverkehr im Falle eines Widerspruchs "schwebend", d.h. es tritt noch keine Bestandskraft über die Bekanntgabe der jeweiligen Gesamtnote aus dem Abschlusszeugnis ein. In diesen Fällen sollte in enger Zusammenarbeit mit dem Prüfungsamt der Status der eingetragenen Prüfsumme in der Blockchain vermerkt und die bzw. der Studierende informiert werden. Der Ersteller des Blockes muss im Falle der Änderung der personenbezogenen Daten eine neue Prüfsumme mit der gleichen ID erstellen, d.h. nur die Hochschule kann und darf die Datensätze der Studierenden aktualisieren. Der ursprüngliche Block kann nach einem erfolgreichen Widerspruchsverfahren auf ungültig gestellt werden, so dass ein neuer Block geschrieben werden kann.

Ebenso im Mittelpunkt des Rechtsgutachtens stand die bedeutsame Frage, ob die Blockchain-Technologie datenschutzrechtliche Belange der Studierende verletzt , wenn akademische Abschlusszeugnisse in einer Blockchain digitalisiert und gespeichert werden sollen. Hierbei war u.a. in rechtlicher Hinsicht zu klären, ob es sich bei der Verarbeitung der Daten für die Erstellung der akademischen Abschlusszeugnisse in sog. Prüfsummen (Hashwerte), die sodann in die Blockchain geschrieben werden, weiterhin um personenbezogene Daten handelt, denn die im jeweiligen Abschlusszeugnis dokumentierten Noten sind personenbezogene Daten in diesem Sinne , so dass der Schutzbereich des Grundrechts der Studierenden auf informationelle Selbstbestimmung aus Art. 2 Abs. 1 i.V.m . Art. 1 Abs. 1 GG eröffnet ist. Bei der Erstellung der Prüfsummen ist daher streitig, ob die personenbezogenen Daten der Studierenden anonymisiert werden oder ob lediglich eine Pseudoanonymisierung vorliegt. Es ist zu beachten, dass die Vorschriften der DS-GVO auf die Übermittlung der Hashwerte an den externen Dienstleister, der die Blöcke in der Blockchain schreibt, nur dann Anwendung finden können, wenn in oder durch die Blockchain personenbezogene Daten der Studierenden weiterhin im Einsatz sind. Liegen keine personenbezogenen Daten vor, muss das Datenschutzrecht auch nicht berücksichtigt werden. Dabei war zu berücksichtigen, dass der EU-Gesetzgeber konkrete Standards für eine erfolgreiche Anonymisierung der personenbezogenen Daten bislang nicht vorgegeben hat. Die Unterscheidung zwischen Anonymisierung und Pseudonymisierung ist immens wichtig, da sich daraus Konsequenzen für den Verantwortlichen der Datenverarbeitung ergibt. Wenn lediglich die Pseudonymisierung gilt, ist diese vom Anwendungsbereich der DS-GVO umfasst ist, da pseudonyme Daten nach der DS-GVO stets Personenbezug haben. Bei der Erstellung der Hashwerte müssen die Daten daher so beschaffen sein, dass es mit allen Mitteln, die vernünftigerweise eingesetzt werden könnten, unmöglich ist, die betroffene Person zu bestimmen. Klingt für die Hochschulen zunächst herausfordernd, ist aber technisch lös- und umsetzbar.

Ebenso war die Frage zu klären, ob die Unterschrift einer vertretungsberechtigten Person der Hochschule unter akademischen Abschlusszeugnissen durch eine elektronische Unterschrift überhaupt ersetzt werden kann. Dies würde zunächst voraussetzen, dass für die Verleihung von akademischen Abschlusszeugnissen und Graden die Schriftform normativ vorgeschrieben ist. Auf den ersten Blick eine einfache Frage, aber bei näherer Betrachtung erforderte die Prüfung eine umfangreiche Recherche mit dann doch eindeutigem Ergebnis. Zunächt mussten die allgemeinen Verfahrens- und Formvorschriften darauf hin überprüft werden, ob es eine ausdrückliche Formvorschrift bei der Frage der Unterschrift unter einem akademischen Abschlusszeugnis gibt. Grundsätzlich ist der Verwaltungsakt i.S.d. § 35 S. 1 VwVfG formfrei; er kann mündlich, schriftlich, elektronisch oder in anderer Weise erlassen werden. Es gilt gem. § 37 Abs. 2 S. 1 der Grundsatz der Formfreiheit des Verwaltungsakts. Etwas anderes gilt nur dort, wo das Gesetz ausnahmsweise eine bestimmte Form vorschreibt. Festgestellt werden konnte, dass die Verleihung akademischer Grade eine beweiskräftige Dokumentation eines erreichten wissenschaftlichen Leistungsstandes bzw. einer wissenschaftlichen Qualifikation ist, woraus sich wiederum bestimmte Anforderungen an die Schriftform ergaben und ob diese durch eine elekronische Unterschrift ersetzt werden kann.

Ein weiterer wichtiger und zu berücksichtigender Aspekt bei der Speicherung der Prüfsummen in der Blockchain stellt die Thematik digitale Identitäten von Studierenden dar, da sich bestimmte Identitätsdaten im Laufe des Lebens, z.B. durch Heirat, ändern. Auch für diesen wichtigen Aspekt haben wir in unserem Gutachten für die Praxis digitale Lösungsmöglichkeiten angeboten.

Darüber hinaus war Gegenstand des Gutachtens, wer Auftragsverarbeiter i.S.d. der DS-GVO ist und welche zivilrechtlichen Aspekte bei der Vertragsgestaltung zwischen der Hochschule und dem Autragsverarbeiter zu beachten sind. Es bietet sich an, das Schreiben der Blöcke in die Blockchain durch einen externen Dienstleister vornehmen zu lassen. Die Rechte und Pflichten zwischen der Hochschule und dem externen Dienstleister bedürfen  einer rechtssicheren Vertragsgrundlage. 

Ebenso waren Haftungsfragen Gegenstand des Gutachtens, denn bei Verstößen gegen die Regelungen der DS-GVO drohen für die Verantwortlichen hohe Geldbußen. An dieser Stelle galt es, aufzuzeigen, wo Haftungsfallen auftauchen könnten und wie diese im Hochschulalltag zu vermeiden sind. Wichtig sind praxisnahe und umsetzbare, rechtssichere Lösungen. 

TEIPEL & PARTNER  haben dezidiert den umfangreichen Fragenkomplex sowohl in theoretischer als auch in praktischer Hinsicht beleutet und sowohl rechtliche als auch digitale Handlungsempfehlungen, die im Hochschulalltag verwertbar sind, ausgesprochen, um die äußerst begrüßenswerte digitale Entwicklung im Hochschulsektor weiter - auch in rechtlicher Hinsicht - voranzutreiben.