Informationspflichten bei Datenschutzverstößen
Im Jahr 2008 überschlugen sich die Meldungen über eine ganze Reihe von „Datenschutzskandalen“ in deutschen Großkonzernen wie Lidl, der Deutschen Telekom AG und der Deutschen Bahn AG. Nicht zuletzt diese Ereignisse nahm der Gesetzgeber zum Anlass für mehrere Änderungen des Bundesdatenschutzgesetzes (BDSG) im Jahr 2009. Im Zuge dieser Änderungen führte er im BDSG die Verpflichtung ein, „Datenschutzpannen“ an die jeweilige Aufsichtsbehörde zu melden und ggf. öffentlich zu machen. Obwohl das BDSG für die Hochschulen eigentlich nicht gilt, hat die Änderung doch Folgen für sie.
Die Informationspflichten sind in § 42 a BDSG 
geregelt. Die Bestimmung gilt für die Hochschulen zwar nicht unmittelbar, der Gesetzgeber hat aber nicht nur das BDSG geändert, sondern auch § 15 a Telemediengesetz (TMG) und § 93 Abs. 3 Telekommunikationsgesetz (TKG) eingeführt. Darin heißt es, dass auch derjenige die Informationspflichten des BDSG erfüllen muss, der Anbieter von Telekommunikations- oder Telemediendiensten ist. Und das betrifft auch Hochschulen.
Voraussetzung ist, dass die Hochschule in Erfahrung gebracht hat, dass andere Personen oder Einrichtungen unrechtmäßig von bestimmten, bei ihr gespeicherten personenbezogenen Daten Kenntnis genommen haben. Das heißt im Einzelnen:
Die Daten müssen im Rahmen eines Telekommunikations- oder eines Telemediendienstes an der Hochschule als Diensteanbieter gespeichert gewesen sein.
1. Angebot eines TK-Dienstes
Die Hochschule ist Diensteanbieter im Sinne des TKG, wenn sie einen Telekommunikationsdienst erbringt (z. B. Betrieb eines Routers, eines Proxy- oder eines E-Mail-Servers, Angebot von Voice over IP oder Internetzugang) und es ausdrücklich erlaubt oder zumindest duldet, dass Studierende und/oder Beschäftigte den Dienst zu privaten Zwecken nutzen (§ 3 Nr. 6, 10 TKG). Die Hochschule ist auch dann Diensteanbieter im Sinne des TKG, wenn Dritte – also rechtlich nicht zur Hochschule gehörende Personen oder Institutionen – den Dienst nutzen dürfen.
2. Angebot eines Telemediendienstes
Die Hochschule erbringt einen Telemediendienst, wenn sie einen elektronischen Informations- oder Kommunikationsdienst anbietet, der kein Telekommunikationsdienst, kein telekommunikationsgestützter Dienst und auch nicht Rundfunk ist (§ 1 TMG). Der Dienst darf gleichzeitig nicht überwiegend in der Übertragung von Signalen über Telekommunikationsnetze bestehen. Das ist etwa der Fall beim Bereitstellen von Inhalten im Internet (z. B. Internet-Portale, elektronische Formulare u. ä.). Die Informationspflicht besteht aber nur dann, wenn die Hochschule es ausdrücklich erlaubt oder zumindest duldet, dass Studierende und/oder Beschäftigte den Dienst zu privaten Zwecken nutzen, oder wenn auch Dritte – rechtlich nicht zur Hochschule gehörende Personen oder Institutionen – den Dienst nutzen dürfen (Anbieter-Nutzer-Verhältnis).