Recht & Datenschutz

Die rechtssichere Durchführung elektronischer Prüfungen erfordert an NRW-Hochschulen sorgfältige Vorbereitung auf mehreren Ebenen. Neben der technischen Infrastruktur müssen Hochschulen ein belastbares rechtliches Fundament schaffen – von der Anpassung der Prüfungsordnungen bis zur datenschutzkonformen Systemauswahl. Diese Seite bündelt die wesentlichen Anforderungen und gibt Orientierung für Prüfungsämter, Datenschutzbeauftragte und IT-Verantwortliche.

Gesetzliche Grundlagen für E-Prüfungen in NRW

Die zentrale Rechtsgrundlage für die Durchführung elektronischer Hochschulprüfungen in Nordrhein-Westfalen bildet § 64 Abs. 2 Hochschulgesetz NRW (HG NRW). Demnach können Hochschulen in ihren Prüfungsordnungen ausdrücklich regeln, dass Prüfungen in elektronischer Form oder über elektronische Kommunikationswege abgelegt werden dürfen. Die Norm verpflichtet dabei gleichzeitig zur Aufnahme datenschutzrechtlicher Bestimmungen in die jeweilige Prüfungsordnung.

Ergänzt wird dieser Rahmen durch die Hochschul-Digitalverordnung NRW (HDVO), die konkrete Vorgaben zur Durchführung digitaler Lehrformate und Online-Prüfungen enthält – einschließlich Regelungen zu Authentifizierung, Datenspeicherung und Informationspflichten gegenüber Studierenden. Die HDVO ist auf recht.nrw.de im Volltext abrufbar.

Anpassung der Prüfungsordnungen

Vor der Einführung digitaler Prüfungsformate müssen Hochschulen ihre Prüfungsordnungen entsprechend anpassen. Relevante Regelungspunkte sind:

• Zulässige Prüfungsformen (z. B. computergestützte Klausur, Onlineprüfung im Heimbereich)
• Wahlrecht der Prüflinge: Studierenden sollte die Wahl zwischen Präsenz- und Heimprüfung ermöglicht werden
• Authentifizierungsverfahren vor Prüfungsbeginn
• Regelungen zum Nachteilsausgleich für Studierende mit Behinderungen
• Täuschungsversuche und deren Rechtsfolgen im digitalen Kontext

Datenschutz und DSGVO-Konformität

Die Verarbeitung personenbezogener Daten im Rahmen von E-Prüfungen richtet sich nach Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit dem HG NRW. Hochschulen sind verpflichtet, nur so viele Daten zu erheben, wie für die Prüfungsdurchführung zwingend erforderlich ist (Grundsatz der Datensparsamkeit, Art. 5 Abs. 1 lit. c DSGVO).

Die Landesbeauftragte für Datenschutz und Informationsfreiheit NRW (LDI NRW) hat eine praxisorientierte Handreichung zu Online-Prüfungen veröffentlicht, die als maßgebliche Orientierungshilfe für alle NRW-Hochschulen gilt.

Besondere Anforderungen im Überblick

Informationspflichten: Studierende müssen mindestens eine Woche vor dem Prüfungstermin über das digitale Format informiert werden. Die Information muss Zweck der Datenverarbeitung, Speicherdauer und die Betroffenenrechte nach Art. 12–21 DSGVO umfassen.

Authentifizierung: Die Identitätsfeststellung vor Prüfungsbeginn ist per Lichtbildausweis vorzunehmen. Dabei anfallende Daten dürfen nur technisch notwendig zwischengespeichert, nicht dauerhaft gespeichert werden.

Drittlandtransfer: Werden Systeme eingesetzt, bei denen Daten in Länder außerhalb der EU übertragen werden, greifen die strengen Anforderungen der Art. 44–50 DSGVO. Dies betrifft insbesondere US-amerikanische Cloud-Dienste.

Online-Proctoring: Der Einsatz von Prüfungsaufsicht per Videoüberwachung ist datenschutzrechtlich besonders sensibel. Eingriffe in das Persönlichkeitsrecht und die Privatsphäre der Prüflinge müssen verhältnismäßig sein und einer klaren Rechtsgrundlage folgen.

Barrierefreiheit als Rechtspflicht

E-Prüfungssysteme müssen den Anforderungen der Barrierefreie-Informationstechnik-Verordnung NRW (BITV) sowie den Web Content Accessibility Guidelines (WCAG 2.1, Level AA) entsprechen. Hochschulen sind verpflichtet, Studierenden mit Behinderungen oder chronischen Erkrankungen einen gleichwertigen Zugang zu digitalen Prüfungen zu gewährleisten. Dies schließt technische Hilfsmittel, Zeitverlängerungen und alternative Eingabemethoden ein.

Rechtssicherheit durch sorgfältige Systemauswahl

Die Wahl des E-Assessment-Systems ist keine rein technische Entscheidung – sie hat unmittelbare rechtliche Konsequenzen. Systeme müssen Verarbeitungsverzeichnisse, Auftragsverarbeitungsverträge (AVV gemäß Art. 28 DSGVO) und gegebenenfalls Datenschutz-Folgenabschätzungen (DSFA gemäß Art. 35 DSGVO) unterstützen. Eine enge Abstimmung zwischen Prüfungsamt, Datenschutzbeauftragtem und IT-Abteilung ist daher unerlässlich.