Auftragsverarbeitung oder nicht?

Ein Befragungsunternehmen bittet eine Hochschule an nach bestimmten Kriterien ausgewählte Studierende Einladungen für die Teilnahme an einer Befragung zu versenden. Das Befragungsunternehmen erfährt von der Hochschule nicht welche Studierende eingeladen wurden. Die genutzten E-Mail-Adressen wurden von der Hochschule selbst bei Studienbeginn erhoben bzw. vergeben und haben über das Ende der Befragung hinaus Bestand, es handelt sich also um eigene Daten, die die Hochschule zu eigenen Zwecken nutzt. Damit scheidet aus, dass die E-Mail-Adressen nach Durchführung der Daten gelöscht werden, wie es Art. 28 eigentlich vorsieht. Trotzdem soll ein Fall der Auftragsverarbeitung vorliegen.

Die Frage ist etwas unverständlich. Könntest Du das einmal klarer formulieren. Ist das “Befragungsunternehmen” jetzt an die Hochschule herangetreten oder hat die Hochschule dieses Unternehmen beauftragt, eine Umfrage unter den Studenten durchzuführen?

Letztes wäre in jedem Fall eine Auftragsverarbeitung nach Art. 28 DSGVO. Nach Erfüllung des AV-Vertrages hat der Auftragsverarbeiter unter Berücksichtigung evtl. gesetzlicher Aufbewahrungspflichten und Maßgaben im AV-Vertrag, die Daten zu löschen (z.B. Wegfall des Zwecks).

Wessen Daten werden verarbeitet.

Bekommt das Umfrageinstitut Daten von Studierenden von der Hochschule gestellt, oder bietet das Umfrageinstitut der Hochschule Daten aus seinem Datenpool an?

Also ggf. kann es auch Joint Controll sein…

Es geht um die erste Variante. Das Befragungsunternehmen möchte auf eigene Initiative eine Online-Umfrage unter Studierenden machen. Die Hochschule ist im Besitz der E-Mail-Adressen der Studierenden, rechtmäßig erhoben bei Studienbeginn auf Grundlage des jeweiligen Landesgesetzes. Das Befragungsunternehmen bittet die Hochschule Einladungen zur Teilnahme an der Befragung an die Studierenden zu versenden. Das Befragungsunternehmen erfährt nicht welche Studierenden eingeladen wurden. Die Hochschule erfährt nicht was die Studierenden, die an der Befragung teilgenommen haben, geantwortet haben.
Eine gemeinsame Verantwortung scheidet m.E. aus, weil der Zweck der Befragung allein von dem Befragungsunternehmen festgelegt wird. Gegen eine AV spricht m.E., dass die genutzten E-Mail-Adressen bereits zuvor von der Hochschule für eigene Zwecke erhoben wurde, weshalb die Hochschule auch die Pflicht zur Löschung nicht erfüllen kann.

Wenn ich das richtig verstehe liegt hier eine Anonymisierung vor.

  • Hochschule weiß wer eingeladen - aber kennt keine Antworten oder Teilnahmen
  • Befrager kennt keine Studierenden (anonym kein Name oder E-Mail) - aber kennt die Antworten.

Daher würde ich sagen fällt die AVV auch weg… oder kann Befrager irgendwie die Person identifizieren.

Bis dahin würde also nur die Hochschule Daten verarbeiten und die Studis würden aus eigenem Antrieb Kontakt mit dem Befragungsunternehmen aufnehmen. = Keine Auftragsverarbeitung.

Die Hochschule müsste die Zulässigkeit ihrer Adressnutzung klären. Die Mailadressen wurden ja zur Abwicklung des Studiums erhoben bzw. angelegt.

Wahrscheinlich lässt sich die Nutzung (durch die Hochschule für ihre eigenen Zwecke) nur im Rahmen ihrer öffentlichen Aufgabe rechtfertigen (Art. 6 Abs. 1 lit. e) DSGVO. Also nur, um “Werbung” für eine Umfrage zu machen, die mit dem Studium zusammenhängt. Im Zusammenhang mit der Studenteneigenschaft; bzw. passende Umfragen für die jeweiligen Fachbereiche.

Sollen die Themen weiter gefasst sein, bräuchte die Hochschule Einwilligungen. Um die dürfte sie aber nicht per Mail bitten, weil dafür bereits eine wettbewerbsrechtliche Einwilligung vorzuliegen hätte (§ 7 Abs. 2 UWG). Werbung ist, Werbung. Auch Beipackwerbung, und auch wenn diese Rolle ganz neu für die Hochschule wäre…

D., der es in diesen thematischen Grenzen für möglich hält.

Ok, jetzt ist die Situation klar. Es handelt sich nicht um eine AV im Sinne Art. 28 DSGVO. Ansonsten folge ich der Argumentation von @Domasla mit ergänzendem Hinweis auf die jeweiligen HG (Hochschulgesetze) der Länder, evtl. Evaluationsordnung der Hochschule.
Für NRW wäre es das Hochschulgesetz