Prüfungsleistungen, Datenschutz - und nun auch KI?

von Sibylle Schwarz, veröffentlicht am 14.02.2023

Rechtsgebiete: Bildungsrecht|2547 Aufrufe

Das Urteil des BVerwG vom 30. 11.2022 - 6 C 10.21 – entschied, dass Datenschutzrecht einen Anspruch auf unentgeltliche Kopien von Prüfungsarbeiten gibt, denn die schriftlichen Prüfungsleistungen in einer berufsbezogenen Prüfung stellen personenbezogene Daten des Prüflings dar. (Volltext bereitgestellt am 13.02.2023) Zum Urteil, das zwangsläufig auch die Frage aufwirft, ob KI-generierte Prüfungsleistungen auch personenbezogene Daten des Prüflings sind? Eine erste rechtliche Annäherung.

Sachverhalt:

Verfahrensinformation von Quelle: https://www.bverwg.de/de/6C10.21

Nachdem der Kläger im Jahr 2018 die zweite juristische Staatsprüfung bestanden hatte, verlangte er von dem Landesjustizprüfungsamt Nordrhein-Westfalen unter Berufung auf Art. 15 Abs. 3 i.V.m. Art. 12 Abs. 5 Satz 1 der Datenschutzgrundverordnung, ihm unentgeltlich Kopien der von ihm angefertigten Aufsichtsarbeiten und der zugehörigen Prüfergutachten zur Verfügung zu stellen.

Das Landesjustizprüfungsamt war zu einer Übermittlung der Kopien nur gegen Erstattung der nach dem Landeskostenrecht berechneten Kopierkosten bereit [nach dem allgemeinen Landeskostenrecht berechneten Betrags von 69,70 €] und lehnte den Antrag des Klägers ab.

Der von dem Kläger hiergegen erhobenen Klage hat das Verwaltungsgericht Gelsenkirchen stattgegeben.

Die von dem Land Nordrhein-Westfalen gegen dieses Urteil eingelegte Berufung hat das Oberverwaltungsgericht Münster zurückgewiesen.
Diese Entscheidung greift das Land Nordrhein-Westfalen mit der von dem Berufungsgericht zugelassenen Revision an.

Verfahrensgang:

Die Beteiligten streiten um einen aus Art. 15 Abs. 1 und Abs. 3 Satz 1 i. V. m. Art. 12 Abs. 5 Satz 1 DSGVO folgenden Anspruch des Klägers, unentgeltlich eine Kopie der von ihm im Rahmen der zweiten juristischen Staatsprüfung angefertigten Aufsichtsarbeiten und der zugehörigen Prüfergutachten zur Verfügung gestellt zu bekommen.

VG Gelsenkirchen - 27.04.2020 - AZ: 20 K 6392/18

OVG Münster - 08.06.2021 - AZ: 16 A 1582/20

BVerwG, Urteil vom 30.11.2022 - 6 C 10.21 –

Das Urteil des Bundesverwaltungsgerichts vom 30. November 2022 wurde im Volltext am 13. Februar 2023 bereitgestellt.

mit Bezugnahme auf EuGH, Urteil vom 20.Dezember 2017 - C-434/16 – (am Ende des Beitrags)

Entscheidungsgründe des BVerwG:

II. … Das Oberverwaltungsgericht hat die Berufung des Beklagten gegen das stattgebende Urteil des Verwaltungsgerichts im Ergebnis ohne Verletzung revisiblen Rechts zurückgewiesen. Es hat die Klage zutreffend als Verpflichtungsklage für zulässig (1.) und begründet (2.) erachtet.

1. Statthafte Klageart für die gerichtliche Geltendmachung des gegen eine Behörde gerichteten Anspruchs eines Bürgers aus Art. 15 Abs. 1 und Abs. 3 Satz 1 i. V. m. Art. 12 Abs. 5 Satz 1 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung, ABl. L 119 S. 1) - DSGVO - auf unentgeltliche Zurverfügungstellung einer Datenkopie, wie ihn der Kläger gegenüber dem für den Beklagten handelnden Landesjustizprüfungsamt erhebt, ist die Verpflichtungsklage. …

2. Das Begehren des Klägers, von dem Beklagten unentgeltlich eine Kopie der von ihm im Rahmen der zweiten juristischen Staatsprüfung angefertigten Aufsichtsarbeiten und der zugehörigen Prüfergutachten zur Verfügung gestellt zu bekommen, wird von Art. 15 Abs. 1 und Abs. 3 Satz 1 i. V. m. Art. 12 Abs. 5 Satz 1 DSGVO getragen.

Der in Art. 2 DSGVO umschriebene sachliche Anwendungsbereich der Datenschutz-Grundverordnung ist direkt eröffnet (a.). Die tatbestandlichen Anspruchsvoraussetzungen nach Art. 15 Abs. 1 und Abs. 3 Satz 1 DSGVO für den Erhalt einer - gemäß Art. 12 Abs. 5 Satz 1 DSGVO unentgeltlichen - ersten Datenkopie sind nach den Umständen des vorliegenden Falls nach jeder in Betracht kommenden Variante der Normauslegung erfüllt (b.). Der Anspruch ist weder nach der Datenschutz-Grundverordnung selbst (c.) noch nach einer nationalen Vorschrift im Sinne der Öffnungsklauseln des Art. 23 DSGVO eingeschränkt oder ausgeschlossen (d.). Es besteht keine Grundlage für die Annahme, der Anspruch sei bereits erfüllt (e.).

a) … Sowohl die von dem Kläger angefertigten Aufsichtsarbeiten als auch die zugehörigen Prüfergutachten bestehen ihrem gesamten Inhalt nach aus personenbezogenen Daten des Klägers nach Art. 4 Nr. 1 DSGVO. Diese Daten werden von dem nach Art. 4 Nr. 7 DSGVO verantwortlichen Landesjustizprüfungsamt teilweise automatisiert verarbeitet …

… ist der Begriff der personenbezogenen Daten weit zu verstehen. Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen unter der Voraussetzung, dass es sich um Informationen "über" die in Rede stehende natürliche Person handelt. Die letztgenannte Voraussetzung ist erfüllt, wenn die Information auf Grund ihres Inhalts, ihres Zwecks oder ihrer Auswirkungen mit einer bestimmten Person verknüpft ist (EuGH, Urteil vom 20. Dezember 2017 - C-434/16)

… Danach unterfallen in einer berufsbezogenen Prüfung zum einen die schriftlichen Prüfungsleistungen des über eine Kennziffer identifizierbaren Prüflings dem Begriff der personenbezogenen Daten. Denn sie spiegeln den Kenntnisstand, das Kompetenzniveau, die Gedankengänge, das Urteilsvermögen sowie das kritische Denken des Prüflings wider und zielen - mit entsprechenden Auswirkungen auf seine beruflichen Chancen – darauf ab, seine beruflichen Fähigkeiten und seine Berufseignung zu beurteilen. Mit einer handschriftlichen Prüfungsleistung sind zudem kalligraphische Informationen verbunden.

Zum anderen stellen auch die Anmerkungen der Prüfer zu den Ausführungen des Prüflings personenbezogene Daten desselben dar, weil sie die Beurteilung seiner individuellen Leistung sowie seiner Kenntnisse und Kompetenzen - wiederum mit Folgen für seine Berufschancen - dokumentieren. Dieser Einordnung steht nicht entgegen, dass die Prüferanmerkungen auch Informationen über die Prüfer enthalten und insoweit zugleich personenbezogene Daten der Prüfer darstellen (EuGH, Urteil vom 20. Dezember 2017 - C-434/16 - Rn. 36 ff.). …

Indem das Landesjustizprüfungsamt mit den von dem Kläger angefertigten Aufsichtsarbeiten einschließlich der Prüfergutachten umgeht, … für fünf Jahre ab dem Ablauf des Jahres, in dem die Bekanntgabe des Prüfungsergebnisses an den Prüfling erfolgt, aufbewahrt, verarbeitet es die in den Unterlagen enthaltenen personenbezogenen Daten im Sinne von Art. 4 Nr. 2 DSGVO als Verantwortlicher nach Art. 4 Nr. 7 DSGVO. Dies geschieht gemäß Art. 2 Abs. 1 DSGVO teilweise automatisiert, denn nach den tatsächlichen Feststellungen des Oberverwaltungsgerichts können die in Papierform aufbewahrten Unterlagen über die elektronische Datenverarbeitung des Landesjustizprüfungsamts mittels der Kennziffer aufgefunden und dem jeweiligen Prüfling zugeordnet werden.

b) … Für den vorliegenden Fall, in dem die betroffene Person eine Kopie von Unterlagen begehrt, die ihrem gesamten Inhalt nach aus sie betreffenden personenbezogenen Daten bestehen, … gelangen indes sowohl eine extensive … als auch ein restriktives Normverständnis, …, zu dem Ergebnis, dass eine Kopie der vollständigen Unterlagen überlassen werden muss.

… dass die betroffene Person sich der Datenverarbeitung bewusst wird und deren Rechtmäßigkeit überprüfen kann …

… in die Lage versetzt, weitere Betroffenenrechte wie eine Berichtigung nach Art. 16 DSGVO, eine Löschung nach Art. 17 DSGVO oder Schadensersatz nach Art. 82 DSGVO geltend zu machen …

c) … Die Annahme des Beklagten, es reiche aus, dass der Kläger die Möglichkeit zur Einsichtnahme gehabt habe, geht offensichtlich fehl. Zum anderen ist, wie bereits dargelegt, die Bearbeitung des Begehrens des Klägers auf Überlassung einer unentgeltlichen Kopie der genannten Unterlagen für das Landesjustizprüfungsamt mit keinem nennenswerten Aufwand verbunden.

Prüfungsrechtliches Fazit:

Akteneinsicht und Anfertigung von Kopien einer Prüfungsarbeit sorgten immer schon für eine Diskussion mit einer Prüfungsbehörde. In meiner beinahe 20-jährigen Tätigkeit kam stets der Einwand, dass die Einsicht in die Prüfungsunterlagen – im wahrsten Wortsinne mit den Augen hineinsehen – doch ausreiche.

Zum besseren Verständnis muss kurz ausgeholt werden: Die höchstrichterliche Rechtsprechung räumt seit ungefähr 1990 einem Prüfling eine Möglichkeit eines sog. „Überdenken-Verfahren“ ein.

Dem Bundesverfassungsgericht nach: „Der Prüfling muß die Möglichkeit haben, Einwände gegen die Bewertung seiner Prüfungsleistungen "rechtzeitig und wirkungsvoll" vorzutragen, um derart ein "Überdenken" dieser Bewertung durch die ursprünglichen Prüfer zu erreichen. Dieser Anspruch auf ein verwaltungsinternes Kontrollverfahren besteht unabhängig von dem Anspruch auf gerichtlichen Rechtsschutz nach Art. 19 Abs. 4 GG, da die gerichtliche Kontrolle von Prüfungsentscheidungen an - vorstehend dargestellte - Grenzen stößt (vgl. BVerfGE 84, 34/45).“

Ein Prüfling darf rechtzeitig und wirkungsvoll vortragen (konkrete und substantiierte Einwendungen gegen die Bewertung seiner Leistungen), um derart ein Überdenken bei den ursprünglichen Prüfern zu erreichen. Kann sich der Prüfling bei der Einsicht in seine Prüfungsarbeit aber allenfalls Notizen machen und wird ihm die Anfertigung einer Kopie verwehrt, so wird ihm die Durchführung eines verwaltungsinternen Kontrollverfahrens und damit die Gewährung effektiven Rechtsschutzes unverhältnismäßig erschwert.

Der Bayerische Verwaltungsgerichtshof sah dies im Jahr 1998 schon so.

Blick in die Zukunft mit KI-Anwendungen wie ChatGPT oder Bard:

Um konkrete und substantiierte Einwendungen gegen die Bewertung seiner Leistungen vorbringen, damit ein Überdenken-Verfahren anzustoßen zu können, ist der Prüfling seit jeher auf die Anfertigung von Kopien seiner Prüfungsarbeit angewiesen.

Die Einordnung der von dem Prüfling in einer berufsbezogenen Prüfung gegebenen schriftlichen Antworten und etwaiger Anmerkungen des Prüfers zu diesen Antworten (wegen der in ihnen jeweils enthaltenen Informationen über den Prüfling) als personenbezogene Daten ist mit der EuGH-Entscheidung 2017 erfolgt. Macht in diesen Fällen der betroffene Prüfling das Recht auf Erhalt einer unentgeltlichen ersten Datenkopie geltend, muss das Prüfungsamt eine vollständige Kopie der schriftlichen Prüfungsarbeiten und der zugehörigen Prüfergutachten unentgeltlich zur Verfügung stellen.

Nehmen wir nun an, unter schriftliche Prüfungsleistungen sind nicht wie im Fall oben handschriftlich angefertigte Aufsichtsarbeiten der zweiten juristischen Staatsprüfung zu verstehen, sondern eine Bachelorarbeit / Thesis. Unstreitig eine berufsbezogene Prüfung.

Eine solche Thesis spiegelt den Kenntnisstand und das Kompetenzniveau des Prüflings in einem bestimmten Bereich sowie gegebenenfalls seine Gedankengänge, sein Urteilsvermögen und sein kritisches Denken wider. Sie zielt darauf ab, die beruflichen Fähigkeiten des Prüflings und seine Eignung zur Ausübung des betreffenden Berufs zu beurteilen.

Wenn es möglich ist, dem Prüfling eine vollständige Kopie seiner Prüfungsunterlagen zur Verfügung zu stellen, ist es auch ein Leichtes, diese ebenso Unternehmen wie GPTZero oder turnitin zur Verfügung zu stellen. Die Unternehmen rühmen sich mit „detect AI“, also damit, KI-generierte Texte zu erkennen. (Hier soll nicht vertieft werden, ob eine solche Erkennung zuverlässig erfolgen kann - wird doch jeweils mit Statistik gearbeitet.)

In prüfungsrechtlicher Hinsicht wird es zulässig sein, dass eine Prüfungsbehörde Anstrengungen unternimmt, herauszubekommen, ob eine Täuschung über die Eigenständigkeit einer Leistung vorliege. Denn Prüfungsordnungen enthalten sehr viele und vor allem detaillierte Regelungen zu Täuschung.

Vgl hierzu ChatGPT und Hausarbeiten an Hochschulen (vom 25.01.2023) und #ChatGPT und Täuschung in Schule und Hochschule (vom 02.02.2023)

In datenschutzrechtlicher Hinsicht wirft es Fragen auf. Hier sind zunächst die Kernaussagen der EuGH- und BVerwG-Entscheidung zu nennen: Die schriftlichen Prüfungsleistungen in einer berufsbezogenen Prüfung stellen personenbezogene Daten des Prüflings dar.

Personenbezogene Daten des Prüflings dürfen nicht mal eben so an Dritte, etwa an GPTZero oder turnitin zur Verarbeitung weitergegeben werden. Oder doch?

Denn wer in der Thesis „copy and paste“ mit dem KI-generierten Text macht, zeigt keine eigenständige Leistung. Möglicherweise ist kein einziger Satz selbständig formuliert. Seine Gedankengänge, sein Urteilsvermögen und sein kritisches Denken gibt der Bearbeiter bei „copy and paste“ nicht wider. Vielleicht hatte er auch gar keine eigenen Gedanken? Handelt es sich dann überhaupt noch um Informationen "über" die in Rede stehende natürliche Person / Prüfling? Zudem wird eine Hausarbeit im 2. Semester noch nicht als berufsbezogene Prüfung aufzufassen sein.

Der EuGH stellte zwar fest: „Die Feststellung, dass die schriftlichen Antworten eines Prüflings in einer berufsbezogenen Prüfung Informationen darstellen, die aufgrund ihres Inhalts, ihres Zwecks und ihrer Auswirkungen Informationen über diesen Prüfling darstellen, gilt im Übrigen auch dann, wenn es sich, wie im vorliegenden Fall, um eine Prüfung handelt, bei der Dokumente benutzt werden dürfen. [Anm.: im Herbst 2009 ein „open book exam].“

Ob heutige KI-Anwendungen mit einem open-book-exam aus dem Jahre 2009 vergleichbar sind? Wohl kaum.

Die exemplarische Prüfungsordnung des Bachelorstudiengangs „Betriebswirtschaftslehre“ der Universität Mannheim bestimmt:

„In die Bachelorarbeit hat der Studierende eine unterschriebene schriftliche Erklärung folgenden Inhalts aufzunehmen:

Hiermit versichere ich, dass diese Bachelorarbeit von mir persönlich verfasst ist und dass ich keinerlei fremde Hilfe in Anspruch genommen habe. …

Ich bin ferner damit einverstanden, dass meine Arbeit zum Zwecke eines Plagiatsabgleichs in elektronischer Form anonymisiert versendet und gespeichert werden kann.

Wird die Erklärung nicht abgegeben, kann von der Korrektur der Bachelorarbeit abgesehen werden;die Bachelorarbeit gilt als mit der Note „nicht ausreichend“ bewertet.“

- > Vgl hierzu auch ChatGPT und Hausarbeiten an Hochschulen (vom 25.01.2023)

Beruht die Verarbeitung auf einer Einwilligung sieht Art. 7 DSGVO vor. In der o.g. Erklärung als Beispiel wird kaum eine freiwillige Einwilligung zur Datenverarbeitung zu sehen sein.

Könnte die Verarbeitung von Daten durch Dritte, um KI-generierte Texte erkennen zu können, rechtmäßig sein? Rechtmäßig i.S.d. Art. 6 DSGVO dann, wenn die Verarbeitung für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt. Das Ziel einer jeden berufsbezogenen Prüfung ist es, zu beurteilen, ob der Prüfling fähig und geeignet zur Ausübung des betreffenden Berufs ist. Es liegt doch im öffentlichen Interesse, dass nur Fähige den Beruf ausüben. Die Antworten hierauf sollte ich aber den Datenschutzrechtlern überlassen.

- - - - -

EuGH, Urteil vom 20.Dezember 2017 - C-434/16 -

Ausgangsrechtsstreit

Herr Nowak war Trainee Accountant (Wirtschaftsprüfer/Steuerberater in Ausbildung) und hatte die Prüfungen des Institute of Chartered Accountants of Ireland (irische Berufsorganisation der Wirtschaftsprüfer/Steuerberater, im Folgenden: CAI) der Stufe 1 im Fach Rechnungswesen sowie drei Prüfungen der Stufe 2 mit Erfolg abgelegt. Er fiel jedoch durch die Prüfung „Strategic Finance und Management Accounting“ durch. Dabei handelte es sich um eine Prüfung, bei der Dokumente benutzt werden durften („open book exam“).

Nachdem Herr Nowak im Herbst 2009 zum vierten Mal durch diese Prüfung durchgefallen war, reichte er zunächst eine Beschwerde ein, um ihr Ergebnis anzufechten. Nachdem diese Beschwerde im März 2010 zurückgewiesen worden war, stellte er im Mai 2010 gemäß Section 4 des Datenschutzgesetzes einen Antrag auf Auskunft, der sich auf sämtliche ihn betreffenden und im Besitz der CAI befindlichen personenbezogenen Daten bezog.

Mit Schreiben vom 1. Juni 2010 übermittelte die CAI Herrn Nowak 17 Dokumente, weigerte sich jedoch, ihm seine Prüfungsarbeit herauszugeben, und zwar mit der Begründung, dass diese keine personenbezogenen Daten im Sinne des Datenschutzgesetzes enthalte.

Zu den Vorlagefragen

Es steht fest, dass ein Prüfling in einer berufsbezogenen Prüfung eine natürliche Person ist, die entweder direkt über ihren Namen oder indirekt über eine Kennnummer, die auf der Prüfungsarbeit oder einem Deckblatt der Prüfungsarbeit angebracht sind, identifiziert werden kann.

Im Übrigen ist unstrittig, dass, soweit dem Prüfer die Identität des Prüflings bei der Bewertung der von diesem bei einer Prüfung gegebenen Antworten nicht bekannt ist, die die Prüfung organisierende Einrichtung, vorliegend die CAI, hingegen im Besitz der notwendigen Informationen ist, die es ihr ermöglichen, den Prüfling unschwer und zweifelsfrei anhand seiner auf der Prüfungsarbeit oder dem Deckblatt der Prüfungsarbeit angebrachten Kennnummer zu identifizieren und ihm seine Antworten zuzuordnen.

In der Verwendung des Ausdrucks „alle Informationen“ im Zusammenhang mit der Bestimmung des Begriffs „personenbezogene Daten“ in Art. 2 Buchst. a der Richtlinie 95/46 kommt nämlich das Ziel des Unionsgesetzgebers zum Ausdruck, diesem Begriff eine weite Bedeutung beizumessen. Er ist nicht auf sensible oder private Informationen beschränkt, sondern umfasst potenziell alle Arten von Informationen sowohl objektiver als auch subjektiver Natur in Form von Stellungnahmen oder Beurteilungen, unter der Voraussetzung, dass es sich um Informationen „über“ die in Rede stehende Person handelt.

Zunächst spiegelt der Inhalt dieser Antworten nämlich den Kenntnisstand und das Kompetenzniveau des Prüflings in einem bestimmten Bereich sowie gegebenenfalls seine Gedankengänge, sein Urteilsvermögen und sein kritisches Denken wider. Im Fall einer handschriftlich verfassten Prüfung enthalten die Antworten zudem Informationen über seine Handschrift.

Des Weiteren zielt die Sammlung dieser Antworten darauf ab, die beruflichen Fähigkeiten des Prüflings und seine Eignung zur Ausübung des betreffenden Berufs zu beurteilen.

Schließlich kann sich die Verwendung dieser Informationen, die insbesondere im Erfolg oder Scheitern des Prüflings der in Rede stehenden Prüfung zum Ausdruck kommt, insoweit auf dessen Rechte und Interessen auswirken, als sie beispielsweise seine Chancen, den gewünschten Beruf zu ergreifen oder die gewünschte Anstellung zu erhalten, bestimmen oder beeinflussen kann.

… zielt nämlich jede Prüfung darauf ab, die individuelle Leistung einer konkreten Person, des Prüflings, festzustellen und zu dokumentieren, …

Aus diesen Gründen hat der Gerichtshof (Zweite Kammer) für Recht erkannt:

Art. 2 Buchst. a der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr ist dahin auszulegen, dass unter Umständen wie denen des Ausgangsverfahrens die schriftlichen Antworten eines Prüflings in einer berufsbezogenen Prüfung und etwaige Anmerkungen des Prüfers zu diesen Antworten „personenbezogene Daten“ im Sinne dieser Bestimmung darstellen.