1 Ausgangslage

Die neun baden-württembergischen Universitätsverwaltungen arbeiten in Datenschutzangelegenheiten eng zusammen. Die Universitäten haben dazu 2002 eine Zentrale Datenschutzstelle der Universitäten (ZENDAS) eingerichtet. Ihr Status und ihre Aufgabenstellung sind in einer Kooperationsvereinbarung der Universitäten festgelegt.

Organisatorisch ist die ZENDAS eine Stabsstelle der Universität Stuttgart. Aufgabe der ZENDAS ist die Beratung und der Support der Universitäten bei datenschutzrechtlichen und datenschutztechnischen Fragen: Sie klärt Einzelfälle, die sich an den Universitäten ergeben haben, und entwickelt Lösungen für übergreifende Themen, wie z. B. Datenschutz- und Sicherheitskonzepte.

Die ZENDAS bewältigt ihre Aufgaben mit acht Mitarbeitern (6,5 Vollzeitäquivalente).

Finanziert wird die ZENDAS von den Universitäten durch eine Umlage, deren Höhe in der Kooperationsvereinbarung festgelegt wurde.

Das Staatliche Rechnungsprüfungsamt Stuttgart hat 2013 die Aufgabenerfüllung durch die ZENDAS geprüft.

2 Prüfungsergebnisse

2.1 Arbeit der Zentralen Datenschutzstelle der Universitäten

Die ZENDAS erfüllt die ihr gestellten Aufgaben zur Zufriedenheit der neun Universitäten. Ein wichtiges Dienstleistungsangebot der ZENDAS ist der „Info-Server", ein online-gestütztes Wissensforum, auf das die Universitäten einfach und niedrigschwellig zugreifen können. Die aufgeworfenen Fragen werden beantwortet. Mittlerweile versorgt die ZENDAS auf diese Weise 80 Abonnenten, davon die Hälfte aus anderen Ländern.

Zunehmend erbringt die ZENDAS - in der Regel gegen Entgelt - auch Dienstleistungen für öffentliche Stellen außerhalb der Universitäten, z. B. Seminare und Coaching.

Für komplexere Aufgabenstellungen aus den neun Landesuniversitäten erarbeitet die ZENDAS Lösungen - dieses Angebot steht anderen Einrichtungen nicht zur Verfügung.

Die Nachfrage nach den Leistungen der ZENDAS steigt kontinuierlich. Die datenschutzrechtlichen Vorgaben von Land, Bund und EU werden immer umfangreicher.

Die von den Universitäten geleisteten Umlagen haben zusammen mit den selbst erwirtschafteten Einnahmen bislang ausgereicht, um die Finanzierung der ZENDAS sicherzustellen, es konnten sogar Überschüsse erzielt werden.

Der wirtschaftliche Erfolg der ZENDAS ergibt sich im Wesentlichen daraus, dass acht der neun Universitäten ihre Kapazitäten vor Ort seit der Gründung der ZENDAS deutlich reduzieren konnten. Nach ihren Angaben wird nur an einem der neun Standorte für die Bearbeitung von datenschutzrechtlichen Problemen mehr als eine halbe Personalstelle eingesetzt, nämlich am Karlsruher Institut für Technologie.

2.2 Bearbeitung von Datenschutzangelegenheiten an anderen Hochschulen

Das Staatliche Rechnungsprüfungsamt Stuttgart hat bei der Prüfung von ZENDAS durch eine Umfrage die Situation an den nichtuniversitären Hochschulen des Landes erhoben.

Da diese Hochschulen bislang nur eingeschränkt auf Leistungen der ZENDAS zurückgreifen können, halten sie im Durchschnitt 1,1 Vollzeitäquivalente vor, um datenschutzrechtliche Fragen zu bearbeiten. Auch dort wächst der Bedarf an qualifizierter Beratung kontinuierlich.

3 Bewertung und Empfehlung

Der Rechnungshof teilt die Auffassung der Universitäten, dass sich die Zen-tralisierung von Datenschutzaufgaben bewährt hat. Diese Lösung sollte daher auch auf andere Hochschulen erstreckt werden.

Die Synergieeffekte, wie sie sich durch die Einrichtung von ZENDAS ergeben haben, sollten auch auf andere Hochschulen (Hochschulen für angewandte Wissenschaften, Pädagogische Hochschulen, Duale Hochschule Baden-Württemberg, Musik- und Kunsthochschulen) übertragen werden.

Dafür sind drei (alternative) Wege denkbar.

3.1 Andere Hochschulen in die Arbeit der Zentralen Datenschutz-stelle in Stuttgart einbeziehen

Die Zuständigkeit der an der Universität Stuttgart eingerichteten Stabsstelle ZENDAS könnte durch eine Vereinbarung zwischen den Universitäten und den anderen Hochschulen des Landes auf die Bearbeitung von Datenschutzangelegenheiten auch der anderen Hochschulen erstreckt werden.

Der Personalbedarf der ZENDAS würde sich dadurch voraussichtlich von 6,5 Vollzeitäquivalente auf 13 Vollzeitäquivalente verdoppeln. Es gibt zwar deutlich mehr Hochschulen als Universitäten, die Universitäten haben aber das Mehrfache an Personal und Studierenden. Außerdem ergeben sich bei Universitäten häufiger komplexe Fragestellungen zum Datenschutz bei Forschungs- und Drittmittelprojekten.

Jene Hochschulen, die sich an die so vergrößerte ZENDAS anschließen, müssten sich an den zusätzlichen Personal- und Sachkosten mit einer pauschal zu bemessenden Umlage beteiligen, sodass für die Universität Stuttgart im Ergebnis kein zusätzlicher ungedeckter Aufwand entstehen würde.

Die Umlage sollte so bemessen sein, dass für die an der Universität Stuttgart anfallenden zusätzlichen Overhead-Aufgaben ein pauschaler Zuschlag von 15 Prozent der Personal- und Sachkosten der ZENDAS erhoben wird.

3.2 Zentrale Datenschutzstelle für alle Universitäten und Hochschulen am Hochschulservicezentrum Reutlingen einrichten

Denkbar wäre die Einrichtung einer Zentralen Datenschutzstelle für alle Universitäten und Hochschulen am Hochschulservicezentrum in Reutlingen.

Dort müsste die notwendige Personal- und Sachausstattung geschaffen werden.

Die Finanzierung könnte entweder unmittelbar durch das Land oder durch Umlagen und Leistungsentgelte der angeschlossenen Universitäten und Hochschulen sichergestellt werden.

Im Gegenzug könnte die bisher an der Universität Stuttgart bestehende Zentrale Datenschutzstelle aufgelöst und das Personal an das Hochschulservicezentrum Reutlingen versetzt werden.

3.3 Zentrale Datenschutzstelle (nur) für nichtuniversitäre Hochschulen am Hochschulservicezentrum einrichten

Eine dritte Möglichkeit wäre, am Hochschulservicezentrum Reutlingen für alle nicht universitären Hochschulen eine zweite Zentrale Datenschutzstelle einzurichten.

Dazu müssten dem Hochschulservicezentrum die notwendigen personellen und sächlichen Ressourcen zur Verfügung gestellt werden. Die Größenordnung des Ressourceneinsatzes sollte sich am Umfang der bestehenden ZENDAS in Stuttgart orientieren.

Die Finanzierung dieser Ressourcen könnte unmittelbar durch das Land oder durch eine Umlage der angeschlossenen Hochschulen erfolgen.

Um Doppelarbeit nach Möglichkeit zu vermeiden, wäre es geboten, dass diese neue Zentrale Datenschutzstelle am Hochschulservicezentrum Reutlingen und die bestehende ZENDAS an der Universität Stuttgart eng zusammenarbeiten.

3.4 Einsparungen an den angeschlossenen Hochschulen

In allen drei Fällen würde sich der an den einzelnen Hochschulen zu leistende Aufwand für Datenschutzaufgaben vor Ort reduzieren. Die Erfahrungen der Universitäten zeigen, dass der verbleibende Personalbedarf vor Ort in der Regel den Umfang von 0,5 Vollzeitäquivalenten nicht übersteigt. Die höhere Ausstattung beim Karlsruher Institut für Technologie (2,3 Vollzeitäquivalente) beruht auf der im Zuge der Fusion 2009 übernommenen Datenschutzstelle des früheren Forschungszentrums Karlsruhe.

Da diese Hochschulen nach dem Ergebnis der Erhebungen des Staatlichen Rechnungsprüfungsamts Stuttgart bislang einen Personalaufwand von durchschnittlich 1,1 Vollzeitäquivalenten zur Erledigung von Datenschutzaufgaben haben, ergibt sich bei 45 Hochschulen und Studienakademien ein Einsparpotenzial von rechnerisch 27 Vollzeitäquivalenten. Selbst wenn es nicht gelingen sollte, dieses Potenzial vollständig zu realisieren, ergibt sich per Saldo durch die Zentralisierung der Datenschutzaufgaben ein Einsparpotenzial von 15 bis 20 Vollzeitäquivalenten.

Sollte das Land die neue Zentralstelle unmittelbar finanzieren, müssten die Hochschulen einen Teil ihrer so erzielten Einsparungen durch eine Umlage oder auf andere Weise an den Landeshaushalt weitergeben.

Der Rechnungshof empfiehlt dem Wissenschaftsministerium und den nicht universitären Hochschulen die Datenschutzaufgaben zu zentralisieren und das Einsparpotenzial durch Synergieeffekte im Umfang von mindestens 15 bis 20 Vollzeitäquivalenten zu realisieren.

4 Stellungnahme des Ministeriums

Das Wissenschaftsministerium unterstützt die Anregungen des Rechnungshofs, die bei den außeruniversitären Hochschulen anfallenden Aufgaben des Datenschutzes zu zentralisieren und mögliche Synergieeffekte zu erzielen.

Es hält den hochgerechneten Effizienzgewinn von 15 bis 27 Vollzeit-äquivalenten für deutlich überhöht. In der Regel würden die Aufgaben des örtlichen Datenschutzbeauftragten nämlich zusätzlich durch Hochschulmitglieder übernommen. Bei einer Zentralisierung würde die Personalsituation an den Hochschulen mithin nur geringfügig entspannt werden.

Die unter 3.1 und 3.2 vorgeschlagene Zusammenlegung der Datenschutzzentrale bei der ZENDAS oder beim Hochschulservicezentrum Reutlingen wäre zudem mit organisatorischen und hochschulpolitischen Problemen behaftet. So hätten zwar mittlerweile einige der nichtuniversitären Hochschulen einen Vertrag zur Nutzung des Infoservers der ZENDAS abgeschlossen, entsprechende Sondierungsgespräche über eine weitergehende Zusammenarbeit mit der ZENDAS wären aber schon in der Vergangenheit ergebnislos verlaufen. Bei den Universitäten würden die IT-Systeme für die Verwaltungen mit unterschiedlichen Softwareprodukten eigenständig betrieben. Die nichtuniversitären Hochschulen betrieben die IT-Systeme der Verwaltungen hingegen unter einem zentralen Betreibermodell beim Hochschulservicezentrum Reutlingen. Aus diesen Gründen erscheine eine Eingliederung der ZENDAS in das Hochschulservicezentrum Reutlingen ebenso wenig umsetzbar wie die Einbeziehung der Datenschutzaufgaben der nicht universitären Hochschulen in die ZENDAS.

Derzeit werde daher zwischen dem Ministerium und den Hochschulen für angewandte Wissenschaften die Einrichtung einer „Datenschutzservicestelle" unter dem Dach des Hochschulservicezentrums Reutlingen erörtert. Diese Lösung könne den Hochschulen einen noch passgenaueren Datenschutz-Support bieten, da hier die Mehrzahl der an den Hochschulen eingesetzten IT-Produkte betrieben werden.

Im Nachtrag zum Haushalt 2015/2016 sei ein entsprechender Stellenzugang für das Hochschulservicezentrum Reutlingen im EDV-technischen Bereich vorgesehen. Noch nicht abschließend diskutiert sei die Verortung einer weiteren Zuständigkeit für rechtliche Fragen im Zusammenhang mit dem Datenschutz, die am Hochschulservicezentrum Reutlingen oder auch an anderer zentraler Stelle (z. B. beim Justiziariat) erfolgen könnte.

Die Finanzierung könne im Umlageverfahren stattfinden. In einem weiteren Schritt solle dann die Einbeziehung weiterer nicht universitärer Hochschulen geprüft werden.