Studiengang

Die Kenntnis über das Bestehen beziehungsweise Nichtbestehen einer Abschlussprüfung ist zudem für die Entscheidung über die Exmatrikulation nach § 68 Hessisches Hochschulgesetz (HHG) von Bedeutung.

(1) Mit Ablauf des Semesters, in dem das Zeugnis über die den Studiengang beendende Abschlussprüfung ausgehändigt wurde, erfolgt die Exmatrikulation, es sei denn, die Studierenden sind noch für einen anderen Studiengang immatrikuliert oder zur Promotion zugelassen. Mit der Exmatrikulation endet die Mitgliedschaft der Studierenden in der Hochschule.

(2) Studierende sind zu exmatrikulieren, wenn sie

1. dies beantragen,

2. sich nicht ordnungsgemäß zurückgemeldet haben ohne beurlaubt zu sein,

3. aufgrund eines fehlerhaften Zulassungsbescheids immatrikuliert worden sind und die Rücknahme des Zulassungsbescheids unanfechtbar geworden oder sofort vollziehbar ist,

4. bei der Rückmeldung den Nachweis über die bezahlten Beiträge für das Studentenwerk und die Studentenschaft nicht erbringen oder die Zahlung fälliger Gebühren nicht nachweisen,

5. bei der Rückmeldung die Erfüllung der Verpflichtungen nach dem Sozialgesetzbuch gegenüber der zuständigen Krankenkasse nicht nachweisen,

6. eine Vor-, Zwischen- oder Abschlussprüfung endgültig nicht bestanden haben.

(3) Wer innerhalb von zwei Jahren keinen in einer Prüfungs- oder Studienordnung vorgesehenen Leistungsnachweis erbringt, kann exmatrikuliert werden.

Hat eine Studentin oder ein Student das erste juristische Examen bestanden, ist sie beziehungsweise er von der Hochschule zu exmatrikulieren. Gleiches gilt, wenn die Prüfung endgültig nicht bestanden wurde. Würde die Hochschule den Prüfungsausgang nicht kennen, könnte mancher Studierende den auch mit Vorteilen versehenen Studentenstatus über die Prüfung hinaus nutzen. Dies soll verhindert werden.

Multifunktionale Chipkarte für Studierende an der Universität Gießen

Die Einführung der multifunktionalen Chipkarte an der Universität Gießen ist weitgehend abgeschlossen. Datenschutzrechtlich unzumutbare Risiken bestehen für den betroffenen Personenkreis nicht.

Sachstandsbericht

Die Justus-Liebig-Universität (JLU) ist die erste hessische Universität, die eine multifunktionale Chipkarte mit elektronischer Signatur einsetzt. Ich habe dieses Pilotprojekt datenschutzrechtlich begleitet. Bereits in meinem 30. Tätigkeitsbericht hatte ich über die geplante Einführung sowie die rechtlichen Voraussetzungen berichtet (30. Tätigkeitsbericht, Ziff. 2.3.1).

Bis zum Jahresende 2002 wurde jedem Studierenden ein Studienausweis in Form einer multifunktionalen Chipkarte ausgehändigt. Dieser ersetzt den bisher verwendeten Papierausweis. Neben einem Lichtbild und dem Namen, Vornamen und der Immatrikulationsnummer enthält der Ausweis zwei Mikroprozessoren, einen kontaktbehafteten mit Kryptoprozessor und den kontaktlos arbeitenden mit Mifare-Chip. Darüber hinaus ist auf der Karte ein Barcode angebracht. Im Gegensatz zu bisherigen Chipkartenprojekten wird an der JLU der Kryptoprozessor-Chip für die elektronische Signatur benutzt und gestattet dem Karteninhaber, sich im Internet zu authentisieren.

Durch das Land und den Bund wurde die Einführung der Chipkartenausweise mit einer finanziellen Unterstützung nach dem Hochschulbauförderungsgesetz (HBFG) im Umfang von 180.000 r gefördert. Nach Vorarbeiten wurde von der JLU im Dezember 2000 der Beschluss zur Einführung der Chipkarten gefasst. Die Auftragserteilung erfolgte nach der Begutachtung im HBFG-Verfahren und der Ausschreibung im Dezember 2001. Das Projekt wurde gefördert, weil die Karte elektronische Signaturen (mit höheren Kosten, aber auch erheblich erweitertem Anwendungsfeld) erlaubt.

Die Chipkarten selbst (Erstausstattung 300.000 r) und Umrüstung des Kassensystems des Studentenwerks für die elektronische Geldbörse werden nicht bezuschusst. Die Studierenden müssen für die Chipkarte einen Pfandbetrag von 15 r hinterlegen.

Im Juni 2002 liefen erste Tests für die Kartenherstellung, weil die beteiligten Firmen und die Universität in größerem Umfang Neuland betraten. Insbesondere musste die Software im organisatorisch-betrieblichen Umfeld angepasst werden. So mussten im Studentensekretariat die Abläufe an die Programme der HIS angepasst und die Aufnahme neuer Daten vorgesehen werden. Im Hochschulrechenzentrum musste die Software in die Benutzerverwaltung und den vorhandenen Verzeichnisdienst nach X.500/LDAP-Norm (Global Directory der Fa. Syntegra) eingebunden werden.

Um die geplanten Funktionen im Bereich der elektronischen Signatur sicherzustellen, war es nötig, für alle Studierenden zum Zeitpunkt der Chipkarten-Personalisierung eine E-Mail-Adresse festzulegen. Diese Adresse steht im so genannten Zertifikat (d. h. dem öffentlichen Teil des bei den elektronischen Signaturen verwendeten Schlüsselpaares) und muss durch eine Freischaltung des Chipkarten-Inhabers aktiviert werden.

Ab Juli 2002 wurden Chipkarten-Ausweise im Testbetrieb hergestellt, Ende August wurde mit der Produktion der Studienausweise aller Studierender begonnen. Die Ausgabe der Chipkartenausweise erfolgte bei der Rückmeldung zum Wintersemester ab 23. September 2002, soweit Ausweise schon abholbereit waren. Die Herstellung der mehr als 20.000 Ausweise wurde Mitte Dezember im Wesentlichen abgeschlossen. Zum Jahresende 2002 hatten 14.000 Studierende ihre Chipkarte abgeholt.

Das Jahr 2002 war geprägt durch den Termindruck, zum Wintersemester 2002/2003 den Chipkartenausweis in Betrieb zu nehmen. Die Personalisierung der Karten mit äußerem Aufdruck und die Bearbeitung der beiden Mikrochips erwies sich als aufwendiger als erwartet; sie erfordert eine DV-geschulte Fachkraft. Bei ca. 3 % der verwendeten Karten wird bei der Personalisierung ein Defekt festgestellt, solche Karten müssen ausgesondert werden. Für die Bearbeitung einer Chipkarte werden technisch insgesamt ca. sechs Minuten benötigt (Bild einscannen, Druckvorgang 1, Druckvorgang 2, PIN-Brief/Empfangsquittung erstellen); realistisch ist, im Mittel eher die doppelte Zeit pro Karte anzusetzen.

Mit Beginn der Kartenausgabe musste der wesentliche Teil der neuen Organisation bereitstehen. Nachdem 1.

Karten ausgeben waren, wurden die ersten Verluste gemeldet und die Ausstellung von Ersatzkarten verlangt. An der JLU konnten die Studierenden über Webseiten im Internet Informationen über ihre Chipkarte erhalten, z. B. ob ihre Karte hergestellt werden kann oder noch etwas fehlt, abschließend wurde die Abholbereitschaft angezeigt. Die Sperre eines abhanden gekommenen Chipkartenausweises kann über das Internet veranlasst werden.

Ab 2003 werden den Studierenden die für die Chipkarte vorgesehenen Anwendungen zur Verfügung gestellt:

­ Einrichtung einer E-Mail-Adresse ohne Hochschul-Account-Anmeldung (de facto wird die hochschul-externe private Mailadresse benutzt).

­ Zugang zu universitäts-internen Daten und Nutzung von universitäts-lizenzierter Software,

­ Datenbankzugriffe über das Internet, auch vom häuslichen Arbeitsplatz mit Authentisierung im Webserver beziehungsweise VPN-Server über die Chipkarte, gesichert durch PIN,

­ sicherer Zugriff auf die eigenen Prüfungsergebnisse, soweit die Fachbereiche sich dem zentralen Prüfungsorganisationssystem angeschlossen haben,

­ Rückmeldung über das Internet,

­ bargeldloses Bezahlen von Kleinbeträgen im Hochschulumfeld (Mensen, Cafeterien, Bibliotheken, Hochschulrechenzentrum),

­ Gebäude- beziehungsweise Raumzugang mittels Chipkarte in oder außerhalb der normalen Öffnungszeiten.

Für die Zukunft ist ein sukzessiver Abbau der Serverzugänge mit Kennung und Passwort zugunsten der Verwendung einer Chipkarte vorgesehen. Die Chipkartenverwendung ist an eine PIN gebunden.

Die E-Mail-Weiterleitung über eine persönliche (aber fiktive) Uni-Mailadresse zu der privaten Mailbox des Studierenden kann schon seit Dezember 2002 mittels Chipkarte von einem PC mit Chipkartenleser (in der Universität oder aus dem Internet) beantragt werden. Dazu muss der Studierende nichts weiter als seine private Mailadresse angeben. Die elektronische Signatur auf der Chipkarte gestattet die sichere Authentisierung. Es wird erwartet, dass mit dieser Funktion der Prozentsatz der Studierenden, der per E-Mail erreichbar ist, von derzeit 40 % auf 80 % ansteigen wird.

Für die Nutzung der Chipkarte im Internet wird erwartet, dass die Studierenden bereit sind, sich für den erhaltenen Service einen Chipkartenleser privat zu kaufen. Das Hochschulrechenzentrum verkauft dazu in seinem Shop Lesegeräte vom einfachen Modell bis zum (von den Banken für die Geldkarte) zugelassenen Spitzenmodell. Die Geräte werden zusammen mit der passenden PKI/Chipkarten-Software nur an Studierende und Mitarbeiter der Hochschule ausgegeben. Der Preis beträgt weniger als 50 % des Listenpreises (26 r für den Leser ohne eigene Tastatur). In der Universität werden alle PCs in den öffentlichen Pool-Räumen mit einem Chipkartenleser ausgestattet. Das verwendete mittlere Modell gestattet eine sichere PIN-Eingabe außerhalb des PCs über die Im organisatorischen Bereich wird ab März 2003 sichergestellt, dass bei der Rückmeldung mittels PC und Chipkarte das auf der Chipkarte gespeicherte, nur ein Semester gültige Zertifikat ausgetauscht wird. Ohne gültiges Zertifikat weisen Webserver und die bekannten Programme Outlook, Outlook Express, Netscape und Mozilla die Authentisierung Hessischer Landtag · 15. Wahlperiode · Drucksache 15/479078 mittels Chipkarte zurück. Um das Zertifikat für das nächste Semester zu übernehmen, benötigt der Studierende nur den Chipkartenleser. Er muss die Hochschule nicht mehr persönlich aufsuchen. Die Chipkarten werden ohne den bei der Rückmeldung vorgenommenen Zertifikatswechsel elektronisch ungültig. Aus praktisch-betrieblichen Gründen kann der Zertifikatsaustausch auch zu jedem späteren Zeitpunkt nachgeholt werden.

Die Universität betreibt für die Chipkarten aus Kostengründen eine eigene Zertifizierungsinstanz. Sie ist von der Zertifizierungsinstanz des Deutschen Forschungsnetzes zertifiziert. Die von der eigenen Certification Authority (CA) hergestellten Zertifikate sind nicht signaturgesetz-konform. Die Chipkarte kann aber technisch weltweit eingesetzt werden und verwendet Hard- und Software, wie sie auch bei signaturgesetz-konformen Lösungen verwendet wird. In der Universitätssatzung zur Chipkarte ist geregelt, dass die elektronische Signatur innerhalb der Hochschule (insbesondere zwischen Studierenden und der Verwaltung) verbindlich anerkannt wird.

Organisatorisch müssen neben dem halbjährlichen Zertifikatswechsel bei etwa 15.000 Chipkarten noch die Herstellung von jährlich ca. 5.000 neuen Chipkarten für Ersteinschreiber und ca. 500 Ersatzkarten wegen Kartenverlustes oder technischer Defekte bewältigt werden. Dabei müssen die 5.000 neuen Karten in einer vergleichsweise kurzen Zeit zu Beginn des Semesters bereitgestellt werden, weil in Zukunft eine Reihe von Anwendungen sofort benutzt werden (z. B. bargeldloses Bezahlen in der Mensa, Informationszugang im Hochschulbereich).

Es wird erwartet, dass die Chipkarte der Studierenden in absehbarer Zeit auch den Mitarbeitern der Universität zur Verfügung gestellt wird. Anstelle der Gruppenkennung Studierender (1) und der Matrikelnummer tritt nur die Gruppenkennung Mitarbeiter (2) und die Personalnummer. Die Festlegung der Ausweisnummern-Struktur wurde mit den Bibliotheksverbund für die Hochschulen des Landes Hessen einheitlich festgelegt.

Informationen zur Chipkarte der Justus-Liebig-Universität Gießen (JLU-Card) sind zu finden unter http://www.unigiessen.de/chipkarte/.

Diese Information umfasst allgemeine Angaben zur Chipkarte als auch solche für den Betrieb (Statusanzeige, Sperrantrag, Anleitung zur Installation von Chipkartenleser-Software usw.)

Datenschutzrechtliche Bewertung

Die datenschutzrechtliche Bewertung stützt sich auf die folgenden Säulen:

­ die Vorabkontrolle

­ die Satzung

­ das Verfahrensverzeichnis

­ das Informationsblatt.

Der Einsatz von Chipkarten stellt besondere Anforderungen an den Datenaustausch. Deshalb hatte ich im Vorfeld folgende Forderungen formuliert:

1. Transparenz für den Nutzer über seine gespeicherten personenbezogenen Daten, ausreichende Zahl von Lesegeräten,

2. umfangreiche Informationen der Nutzer über ihre Rechte und die Möglichkeit der Wahrnehmung,

3. klare Beschreibung aller technischen Details des Verfahrens.

Diesen Anforderungen wurde der Entwurf der umfangreichen Vorabkontrolle, die Satzung und das ausführliche Informationsblatt gerecht. Die Vorabkontrolle beinhaltet Informationen über

1. datenverarbeitende Stellen,

2. Zweckbestimmung und Rechtsgrundlage der Datenverarbeitung,

3. Art der gespeicherten Daten,

4. Kreis der Betroffenen,

5. Art regelmäßig übermittelter Daten, deren Empfänger sowie Art und Herkunft regelmäßig empfangener Daten,

6. zugriffsberechtigte Personen und Personengruppen,

7. technische und organisatorische Maßnahmen nach § 10 HDSG,

8. Technik des Verfahrens,

9. Fristen der Löschung,

10. Prüfung auf Zweckbestimmung, Rechtsgrundlage, Datensparsamkeit,

11. Prüfung, ob die Rechte der Betroffenen nach § 8 HDSG gewährleistet sind.