11. Schulen und Hochschulen

11.1. Umsetzung der Datenschutz-Grundverordnung

Vor dem Hintergrund der ab 25. Mai 2018 anzuwendenden Datenschutz-Grundverordnung (DSGVO) waren im Bereich Schulen und Hochschulen die Normen, die die Verarbeitung personenbezogener Daten in diesen Feldern regeln, an die neue Rechtslage anzugleichen. Zum 25. Mai 2018 wurden das Bayerische Hochschulgesetz (BayHSchG) und das Bayerische Gesetz über das Erziehungs- und Unterrichtswesen (BayEUG) angepasst. Ich habe bereits die Entstehung der Gesetzentwürfe aus datenschutzrechtlicher Sicht begleitet. Die Änderungen in den genannten Gesetzen beschränkten sich zum größten Teil auf terminologische Angleichungen.

Auch im Bereich der Schulen zeigt sich, dass es sich bei der Anpassung an die Datenschutz-Grundverordnung um einen Prozess handelt, der nicht am 25. Mai 2018 abgeschlossen ist. So sind auch untergesetzliche Normen und Verwaltungsvorschriften mit Blick auf die Datenschutz-Grundverordnung zu überarbeiten. Dies gilt etwa für die Bayerische Schulordnung (BaySchO) und die Verordnung zur Durchführung des Art. 28 Abs. 2 des Bayerischen Datenschutzgesetzes (Durchführungsverordnung). Besonders letzteres stellt eine Herausforderung dar, da diese Verordnung einerseits zentrale Bedeutung für die praxisgerechte Anwendung der datenschutzrechtlichen Vorgaben im Schulbereich hatte, andererseits Anknüpfungspunkte (datenschutzrechtliche Freigabe, Führung des Verfahrensverzeichnisses) nach dem Bayerischen Datenschutzgesetz in der bis zum 24. Mai 2018 geltenden Fassung durch die Datenschutz-Grundverordnung weggefallen sind.

Neben diesen legislatorischen Akten mussten auch Materialien an die Vorgaben der Datenschutz-Grundverordnung angepasst oder weiterentwickelt werden. Auch in diesem Zusammenhang arbeite ich intensiv mit dem Bayerischen Staatsministerium für Unterricht und Kultus zusammen. So habe ich das Kultusministerium bei der Überarbeitung der Musterformulare zur Einholung der Einwilligung in die Veröffentlichung von personenbezogenen Daten (einschließlich Fotos) - den sogenannten Muster-Einwilligungserklärungen - beraten und unterstützt. Auch in die Überarbeitung der "Erläuternden Hinweise für die Schulen zum Vollzug des Bayerischen Datenschutzgesetzes" durch das Kultusministerium werde ich eingebunden.

Des Weiteren ist auch die Erstellung von Informationsmaterial als Hilfestellung zur Umsetzung der datenschutzrechtlichen Pflichten in den Schulen ein wichtiger Baustein. Das Kultusministerium stellt etwa ein Muster speziell für Schulen zur Erfüllung ihrer Informationspflichten nach Art. 13 Abs. 1 und 2 DSGVO zur Verfügung. Auch hier konnte ich wesentliche datenschutzrechtliche Positionen geltend machen.

Insgesamt zielt meine Beratung auf datenschutzfreundliche Lösungen, die auch praxistauglich umgesetzt werden können.

11.2. Einsatz digitaler Lernmittel (Arbeitshefte mit digitalen Zusatzübungen und digitale Schulbücher)

Im Berichtszeitraum war ich mit einer weiteren Facette der Digitalisierung in Schulen, nämlich dem Einsatz digitaler Lernmittel (Arbeitshefte mit digitalen Zusatzübungen und digitale Schulbücher), befasst. Sowohl Schulen als auch Schulbuchverlage wollen die neuen Möglichkeiten der Gestaltung von Lern- und Übungsprozessen, die die Digitalisierung bietet, nutzen. Mittelfristig soll hier eine zentrale Plattformlösung erarbeitet werden. Bis eine solche zentrale Lösung verwirklicht ist, hat das Bayerische Staatsministerium für Unterricht und Kultus in enger Abstimmung mit mir eine datenschutzkonforme Zwischenlösung erarbeitet. Sie beruht auf einer bedingten Zulassung digitaler Lernmittel durch das Kultusministerium, einer Einwilligung der Erziehungsberechtigten der Schülerinnen und Schüler (gegenüber den Verlagen und der Schule) sowie einer Selbstverpflichtung der Schulbuchverlage. Diese Selbstverpflichtung zielt darauf, die Einhaltung der datenschutzrechtlichen Vorgaben und die Wahrung der Datenschutzrechte der Schülerinnen und Schüler sowie der Erziehungsberechtigten sicherzustellen. In diesem Zusammenhang wurde auch ein mit mir abgestimmter Musterbrief an die Erziehungsberechtigte entworfen, der über die Zwischenlösung informiert und auch eine Muster-Einwilligungserklärung der Erziehungsberechtigten zum Einsatz digitaler Lernmittel in der Schule enthält.

Das Kultusministerium wirkt im Rahmen der mit den Schulbuchverlagen geschlossenen (Lizenz-)Vereinbarungen darauf hin, dass die Schulbuchverlage eine mit mir konsentierte Selbstverpflichtung zum datenschutzkonformen Umgang mit den personenbezogenen Daten der Schülerinnen und Schüler sowie der Erziehungsberechtigten gegenüber dem Kultusministerium abgeben.

Darin verpflichten sich die Verlage, die Daten einer Schülerin beziehungsweise eines Schülers

der Schule nicht ohne Einwilligung eines Erziehungsberechtigten zugänglich zu machen,
nur im Verhältnis zu der Schülerin oder dem Schüler zu nutzen,
nicht an Dritte weiterzugeben, es sei denn, es besteht eine gesetzliche Verpflichtung,
nicht zu Werbezwecken zu nutzen und
ausschließlich auf verlagseigenen, gesicherten Servern innerhalb des EU/EWR-Bereichs zu verarbeiten.

Ferner verpflichten sich die Verlage,

der Schülerin, dem Schüler und den Erziehungsberechtigten jederzeit Auskunft über die jeweils gespeicherten Daten zu erteilen,
angelegte Profile und/oder darin abgelegte Daten, insbesondere Aufgabenbearbeitungen und Lernstände, auf Anforderung jederzeit unverzüglich zu löschen und
angelegte Profile und/oder darin abgelegte Daten jedenfalls unaufgefordert zum Ende eines Schuljahres zu löschen, soweit mit der Schülerin, dem Schüler oder den Erziehungsberechtigten nichts anderes vereinbart ist.

Im Hinblick auf die Erklärung der Einwilligung gegenüber dem Schulbuchverlag ist zu differenzieren:

Bei digitalen Lernmitteln, die keine Lernstandsdatenspeicherung (Speicherung der von den Schulkindern eingetragenen Lösungen) vorsehen und bei denen die Schulkinder mittels eines im Lernmittel enthaltenen Codes über eine Webseite des Verlags zu den Übungen gelangen können, ist keine Registrierung und keine gesonderte Einwilligung der Erziehungsberechtigten des jeweiligen Schulkinds nötig.

Bei digitalen Lernmitteln, die eine Lernstandsdatenspeicherung vorsehen oder die individuelle Hervorhebungen, Unterstreichungen oder Notizen ermöglichen, ist hingegen eine Registrierung auf der Homepage des Verlags erforderlich. Hierzu muss eine private E-Mail-Adresse angegeben werden, die jedoch keinen Hinweis auf den Namen von Schülerinnen, Schülern oder Erziehungsberechtigten enthalten muss. Zudem bedarf es insofern einer Einwilligung gegenüber dem Verlag in dessen Datenschutzbestimmungen.

Daneben ist in jedem Fall (gegebenenfalls zusätzlich) eine gesonderte Einwilligung gegenüber der Schule zum Einsatz digitaler Lernmittel im Unterricht nötig. Zur Einholung dieser Einwilligung haben die Schulen auf die Muster-Einwilligungserklärung des Muster-Erziehungsberechtigten-Briefs zurückzugreifen.

Diese Lösung stellt sicher, dass digitale Lernmittel im Unterricht nur eingesetzt werden können, wenn für alle Schülerinnen und Schüler einer Klasse oder Lerngruppe die dargestellten Voraussetzungen erfüllt sind.

11.3. Unterrichtsvideografie durch Universitäten zur Lehrerausbildung

Zum Thema Videoaufnahmen im Schulunterricht habe ich mich bereits in meinem 27. Tätigkeitsbericht 2016 unter Nr. 10.3 ausführlich geäußert. Dabei bin ich unter anderem auch auf die datenschutzrechtliche Zulässigkeit von Videoaufnahmen angehender Lehrerinnen und Lehrern durch die jeweilige Schule selbst zum Zweck der schulinternen Fortbildung eingegangen. Unter den im genannten Beitrag dargelegten Vorgaben können - in einem moderaten Umfang - Videoaufnahmen von Unterrichtseinheiten nach Art. 85 Abs. 1 Bayerisches Gesetz über das Erziehungs- und Unterrichtswesen (BayEUG) zulässig sein.

11.3.1. Sachverhalt

Im Berichtszeitraum war ich mit einem anderen Phänomen von Bild- und Tonaufzeichnungen in Schulklassen konfrontiert: der Unterrichtsvideografie zur Lehrerausbildung, aber nicht durch die Schule selbst, sondern durch Universitäten. Im Rahmen von Förderprojekten zur Verbesserung der Lehrerausbildung sehen verschiedene Universitäten zunehmend Bedarf, von Unterrichtsstunden in Schulen Bild- und Tonaufnahmen aufzunehmen und zur Lehre (und Forschung) einzusetzen.

In einem von mir beurteilten Fall wurden an mehreren öffentlichen Schulen spezielle Klassenzimmer eingerichtet. Eine bayerische Universität stattete in den Schulen Klassenräume technisch mit Kameras und Deckenmikrofonen aus, sodass das Unterrichtsgeschehen sowohl zeitgleich in einem Nebenraum beobachtet als auch für eine zeitversetzte Auswertung aufgenommen werden kann. In dem Nebenraum können Ausbilderinnen und Ausbilder mit ihren Studierenden das Unterrichtsgeschehen "live" verfolgen und im Anschluss einzelne Abschnitte anhand der angefertigten Aufzeichnung nachbesprechen. Die Nutzung der Aufzeichnung erfolgt dabei nur an der Schule selbst.

11.3.2. Rechtliche Bewertung

Unabhängig von der schulrechtlichen Zulässigkeit (vergleiche § 24 Bayerische Schulordnung) ist für die beschriebene Unterrichtsvideografie durch Universitäten zur Lehrerausbildung datenschutzrechtlich Folgendes zu beachten:

Zunächst sind mehrere Verarbeitungen personenbezogener Daten zu differenzieren. So ist - erstens - die Datenerhebung durch Videobeobachtung und -aufzeichnung der Schule zuzurechnen und zwar unabhängig von den Eigentumsverhältnissen an den technischen Aufzeichnungsgeräten und auch dann, wenn die beobachtenden Personen allein Angehörige der Universität und nicht etwa der Schule zugewiesene Referendarinnen und Referendare sind. Dies gilt jedenfalls dann, wenn die Videobeobachtung und -aufzeichnung überwiegend während des (Pflicht)Unterrichts und auf dem Gelände der Schule stattfindet. Dies hat zur Folge, dass - zweitens - eine weitere Datenverarbeitung durch Übermittlung von der Schule an die Universität, nämlich durch Überlassung der Aufzeichnungen an die Universität in den Schulräumen, vorliegt. Drittens stellt auch die Nutzung der Videoaufzeichnungen durch die Universität, etwa durch Abspielen oder durch Bearbeitung des Videomaterials, eine eigenständige Datenverarbeitung durch diese dar.

Für jeden dieser Verarbeitungsvorgänge benötigen die Schule und die Universität je eine entsprechende Rechtsgrundlage (vergleiche Art. 6 Abs. 1 DSGVO). Eine solche kann sich - mangels gesetzlicher Verarbeitungsbefugnis - nur aus der wirksamen Einwilligung aller von der Videografie betroffenen Personen ergeben: also aus der Einwilligung der aufgenommenen unterrichtenden Lehrkraft, der volljährigen Schülerinnen und Schüler sowie bei Minderjährigen der Einwilligung der Erziehungsberechtigten der aufgenommenen Schulkinder und ab dem 14. Geburtstag zusätzlich der Schülerin respektive des Schülers (Art. 6 Abs. 1 UAbs. 1 Buchst. a, Art. 7 DSGVO).

Zentrale Bedingungen für die Wirksamkeit der Einwilligung sind insbesondere die Informiertheit des Einwilligenden (Art. 4 Nr. 11, Art. 7 Abs. 2 Satz 1, Abs. 3 Satz 3 DSGVO) und die Freiwilligkeit. Ein Formular, mit dem die Einwilligung eingeholt wird, ist entsprechend zu gestalten. Aus Gründen der Praktikabilität ist es durchaus möglich, dass Schule und Universität ein gemeinsames Formular für die Einwilligung nutzen. Allerdings muss in dem Formular und dem beigefügten Informationsschreiben an die Erziehungsberechtigten, Lehrkräfte sowie Schülerinnen und Schüler klar und deutlich hervorgehoben werden, dass

Urheber des Formblatts Schule und Universität sind;
für die oben genannten verschiedenen Datenverarbeitungen der Schule und der Universität eine Einwilligung eingeholt wird;
eine Teilnahme an der Erhebung freiwillig ist und die Einwilligung voraussetzt;
Stillschweigen keine Einwilligung darstellt, sondern die Nichtabgabe des Einwilligungsformulars als Verweigerung der Einwilligung gilt. Hierüber ist insbesondere dann aufzuklären, wenn das Einwilligungsformular auch ein Ankreuzfeld für die ausdrückliche Verweigerung der Einwilligung enthält;
die beschriebenen Video- und Audioaufzeichnungen nur dann stattfinden, wenn alle davon betroffenen Personen (Schülerin oder Schüler beziehungsweise deren Erziehungsberechtigte sowie die unterrichtende Lehrkraft) eingewilligt haben.

Des Weiteren sind die Erziehungsberechtigten und gegebenenfalls die einwilligenden Schülerinnen und Schüler anschaulich über die Folgen eines Widerrufs aufzuklären (Art. 7 Abs. 3 DSGVO) sowie über den Zweck und die Speicherdauer zu informieren.

Ferner ist klarzustellen, ob sich die Einwilligung auf eine konkrete Unterrichtsstunde beziehungsweise ein konkretes Einzelprojekt bezieht oder mehrere Unterrichtseinheiten erfassen soll. Wenn die Einwilligung über einen längeren Zeitraum gültig sein soll, so stellt das Schuljahr grundsätzlich den maximalen Zeitrahmen dar. Spätestens zum neuen Schuljahr wären die Einwilligungen neu einzuholen.

Zur Gewährleistung der Freiwilligkeit ist insbesondere darauf zu achten, dass weder durch bestimmte Formulierungen im Informationsschreiben beziehungsweise im Einwilligungsformular noch durch sonstige soziale Maßnahmen (Gruppen-)Druck erzeugt wird, der eine echte und freie Wahl verhindert.

Unzulässig, da diskriminierend und einer freiwilligen Entscheidung entgegenstehend, ist es, wenn ein Schulkind als Konsequenz einer Nichteinwilligung für die Dauer der aufgenommenen Unterrichtsstunde in eine Parallelklasse versetzt wird.

Allenfalls zulässig kann es sein, wenn ein Schulkind, für das eine Einwilligung in Videoaufnahmen nicht vorliegt, während der aufgezeichneten Unterrichtsstunde an einen Ort im Klassenzimmer gesetzt wird, der außerhalb des Erfassungsbereichs der Kamera liegt. Allerdings setzt diese Lösung voraus, dass das betroffene Kind ohne weitere Einschränkungen am aufgezeichneten Unterricht teilnehmen kann. In diesem Fall ist zwingend die Einholung der Einwilligung der Erziehungsberechtigten und gegebenenfalls zusätzlich des (mindestens) vierzehnjährigen Kindes notwendig, dass Audioaufnahmen aufgezeichnet werden dürfen ("kleine Einwilligungslösung"). Zudem muss auch insofern sichergestellt sein, dass dennoch nicht vermeidbare gelegentliche Aufnahmen dieses Kindes (etwa auf dem Weg durch den Klassenraum zur Toilette) anonymisiert ("verpixelt") werden. Auch für diese Form der Datenverarbeitung ist die Einholung einer Einwilligung obligatorisch.

Auch wenn eine Video- und Tonaufzeichnung nach den dargelegten Vorgaben zulässig sein sollte, ist darauf zu achten, dass die Unterrichtsvideografie nicht zum Regelfall werden darf. In meinem 27. Tätigkeitsbericht 2016 habe ich unter Nr. 10.3.1 hervorgehoben, dass grundsätzlich nur gelegentliche Videoaufzeichnungen im Unterricht aus Datenschutzsicht akzeptabel sind. Daher muss bereits das von der Universität verfolgte Konzept zur Unterrichtsvideografie so ausgelegt sein, dass eine Belastung der einzelnen Schulklasse nur einen geringen Anteil der Unterrichtszeit erreicht. So wäre zum Beispiel die Aufzeichnung von ein bis zwei Stunden pro Woche in einer Klasse bereits deutlich zu hoch.

Die Video- und Tonaufzeichnungen sind umgehend zu löschen, sobald sie zur Erfüllung ihres Zwecks (Lehrerausbildung) nicht mehr erforderlich sind (Art. 17 Abs. 1 Buchst. a DSGVO). Wenn sie gespeichert werden, sind die allgemeinen technisch-organisatorischen Vorgaben zur Wahrung des Datenschutzes zu beachten. Insbesondere muss der Zugang zu dem PC, auf dem die Aufzeichnungen gespeichert und auf dem die zur Herstellung und Nutzung nötigen Anwendungen aufgespielt sind, mittels personengebundener Kennwörter und regelmäßig zu wechselnder Passwörter gesichert sein. Der Nebenraum mit der technischen Ausrüstung ist verschlossen zu halten. Zudem ist ein Zugriffsrollenkonzept auszuarbeiten, das sich streng am Prinzip der Erforderlichkeit orientiert. Zugriff zum Nebenraum, zu den technischen Geräten und zu gespeicherten Aufzeichnungen darf nur erhalten, wer dies zur Erfüllung seiner Aufgaben benötigt. Diese Aufgaben müssen sich im Rahmen des durch die Einwilligung konsentierten Zwecks halten. Die Schulleitung als Vertretung des Verantwortlichen hat dies durch entsprechende datenschutzrechtliche Belehrungen, durch Einholung schriftlicher Zusicherungen und durch Kontrollen (Stichproben) sicherzustellen.

11.3.3. Vorgehen und Ausblick

Im untersuchten Fall konnte ich durch intensiven Austausch mit dem Bayerischen Staatsministerium für Unterricht und Kultus und der Universität erreichen, dass die verwendeten Einwilligungsformulare und Informationsschreiben an die dargestellten Vorgaben angepasst wurden. Allerdings stellt die hier bewertete Ausgestaltung der Unterrichtsvideografie durch Universitäten zur Lehrerausbildung nur eine Variante dar. Weitere datenschutzrechtliche Fragen stellen sich etwa, wenn die Unterrichtsvideografie durch Universitäten dazu verwendet wird, eine Falldatenbank zu erstellen, die dann im Rahmen der universitären Ausbildung von Lehrkräften genutzt wird. Auch diese besondere Art der Datenverarbeitung ist nur aufgrund einer wirksamen Einwilligung aller Betroffenen möglich. Besondere Herausforderungen stellen sich insoweit im Hinblick auf die zulässige Speicherdauer der in der Falldatenbank aufgenommenen Video- und Audio-Dateien. Auch insoweit arbeite ich mit dem Bayerischen Staatsministerium für Unterricht und Kultus sowie dem Bayerischen Staatsministerium für Wissenschaft und Kunst und den beteiligten Schulen und Hochschulen an einer datenschutzkonformen und praxisgerechten Lösung.

11.4. Datenschutz beim Online-Kartenvorverkauf öffentlicher Theater

11.4.1. Sachverhalt

Im Berichtszeitraum erreichte mich die Eingabe eines Bürgers, mit welcher sich dieser gegen eine Datenverarbeitung im Rahmen des Online-Kartenvorverkaufs eines öffentlichen Theaters wendete. Der Bürger rügte, dass kein "anonymer" Kauf vorgenommen werden könne, sondern nicht benötigte personenbezogene Daten wie Name, Kontaktdaten und Bankdaten angegeben werden müssten. Zudem würden die Daten länger gespeichert werden als es erforderlich wäre.

Das Theater teilte mir auf Nachfrage unter anderem mit, dass eine "anonyme" Kartenbestellung unter Nutzung bargeldloser Zahlungsinstrumente (Bankeinzug, Kreditkarte) aufgrund der besonderen Risikolage bei der rechtsgeschäftlichen Abwicklung des Erwerbs von Teilnahmeberechtigungen elektronisch - anders als beim Schalterverkauf - nicht möglich sei. Im Fall des Online-Kartenvorverkaufs sei nach den Benutzungsbedingungen "Jede [so ausdrücklich] Bestellung von Eintrittskarten [...] unmittelbar nach Bestätigung durch den Zentralen Kartenverkauf bindend und verpflichtet gemäß den bestehenden Regelungen zur Abnahme und Bezahlung der bestellten Karten." Daher müsse der Kunde zum Online-Kartenvorverkauf ein Kundenkonto anlegen.

11.4.2. Rechtslage

Nach eingehender Prüfung stellt sich die Rechtslage aus Datenschutzsicht wie folgt dar:

Öffentliche Stellen benötigen für die Verarbeitung von personenbezogenen Daten eine Rechtsgrundlage (vgl. Art. 6 Abs. 1 DSGVO). Beim Verkauf von Teilnahmeberechtigungen (Eintrittskarten) kommt als Rechtsgrundlage insbesondere die allgemeine Verarbeitungsbefugnis aus Art. 4 Abs. 1 BayDSG in Betracht. Danach ist die Verarbeitung personenbezogener Daten durch eine öffentliche Stelle zulässig, wenn sie zur Erfüllung einer ihr obliegenden Aufgabe erforderlich ist. Aufgabe des Theaters ist es auch, den Kartenvorverkauf für die Veranstaltungen durchzuführen und abzuwickeln. Beim (Bar-)Kauf einer Karte an der Tages- oder Abendkasse kommt es zum sofortigen Austausch "Geld gegen Eintrittskarte". Insoweit ist eine Verarbeitung von personenbezogenen Daten nicht erforderlich. Da bei einem Online-Kartenvorverkauf - je nach Art des bargeldlosen Zahlungsmittels - ein sofortiger Leistungsaustausch unterbleibt, vielmehr das Entgelt gegebenenfalls zeitlich nachgelagert entrichtet wird, ist hier eine Erhebung von zur Zahlungsabwicklung und zur Identifizierung und Kommunikation mit dem Kunden benötigten personenbezogenen Daten (wie etwa Name, Anschrift, E-Mail-Adresse und Bankverbindungsdaten) erforderlich, um das Rechtsgeschäft überhaupt durchführen und beim Scheitern des elektronischen Zahlungsvorgangs Rückgriff nehmen zu können. Die Erhebung des Datensatzes kann auch im Rahmen der Einrichtung eines Kundenkontos für den Bestell- und Bezahlvorgang erfolgen.
Sobald feststeht, dass die bestellte Eintrittskarte bezahlt und die Veranstaltung durchgeführt ist, ist die weitere Speicherung des Datensatzes, einschließlich eines allein (siehe aber auch unten letzter Aufzählungsstrich) zur Durchführung des Zahlungsvorgangs automatisch oder zwingend angelegten Kundenkontos, für den Zweck der Abwicklung des Rechtsgeschäfts "Kartenverkauf" nicht mehr erforderlich; er ist daher zu löschen (vgl. Art. 17 Abs. 1 Buchst. a DSGVO). Soweit personenbezogene Daten (zum Beispiel Rechnungsdatensätze) zu einem anderen Zweck, etwa zur Erfüllung haushaltrechtlicher Aufbewahrungsfristen, gespeichert werden müssen, sind diese Daten gesondert aufzubewahren. Das heißt, sie müssen jedenfalls so zugriffsgesichert sein, dass eine Nutzung im laufenden Geschäftsbetrieb nicht mehr möglich ist.
Um das informationelle Selbstbestimmungsrecht der Kunden zu wahren, muss es neben einer personalisierten Kartenvorkaufsmöglichkeit, wie eben für den Online-Vorverkauf beschrieben, auch eine alternative "anonyme" Kaufmöglichkeit geben. Dies ist etwa beim Barkauf an der Tages- und Abendkasse der Fall. Über diese Möglichkeit ist klar und deutlich in der allgemeinen Datenschutzerklärung und auf der Online-Bestellplattform beziehungsweise im Rahmen der Online-Anmeldung des Kundenkontos hinzuweisen.
Wenn aus Service-Gründen - etwa um zukünftige Online-Kartenkäufe zu erleichtern - die Führung eines dauerhaften (also über den einzelnen Zahlungsvorgang hinaus bestehenden) Kundenkontos mit den für die Abwicklung des Bestell- und Zahlungsvorgangs erhobenen Daten angeboten wird, ist dies nur aufgrund einer wirksamen Einwilligung (Art. 6 Abs. 1 UAbs. 1 Buchst. a, Art. 7 DSGVO) zulässig. In einer Online-Umgebung bietet sich insoweit ein entsprechendes Opt-In-Kästchen an. Für die Bereithaltung von Bankverbindungsdaten im Rahmen eines Kundenkontos über den konkreten Geschäftsvorfall und dessen Dokumentation hinaus halte ich eine (zusätzliche und ausdrückliche) Einwilligung für erforderlich. Auch diese kann - etwa auf der Bestellplattform - abgefragt werden.

11.4.3. Vorgehen

Das System des Online-Kartenvorverkaufs des öffentlichen Theaters genügte diesen Vorgaben nicht in vollem Umfang. Ich habe bereits einige Verbesserungen erreichen können und weitere Optimierungen empfohlen. Da hierzu die Implementierung von weiteren Funktionalitäten in die verwendete Software notwendig ist, ist das Theater auf die Kooperation des Softwareanbieters angewiesen. Allerdings weise ich in diesem Zusammenhang auf den - im Rechtsstaat selbstverständlichen - Grundsatz hin, dass die Anforderungen an die technische Datenverarbeitung dem Datenschutzrecht zu folgen haben und nicht umgekehrt. Vor diesem Hintergrund werde ich weiterhin darauf drängen, dass die dargestellten Vorgaben zeitnah umgesetzt werden.