TITEL I. Allgemeine Bestimmungen, Rechtspersönlichkeit des Verantwortlichen und Governance-Struktur
ARTIKEL 1 – Normativer Rahmen, Rechtspersönlichkeit, volle institutionelle Rechtsgültigkeit und staatliche Registerverifizierung (data.gouv.fr / DINUM / INSEE / SIRENE)
I. – Im Rahmen der freien privaten Hochschulbildung, der postgradualen Promotionsforschung des dritten Zyklus und der transnationalen Führungskräfteausbildung bildet der wirksame Schutz personenbezogener Daten eine tragende Säule, welche die materielle Beweiskraft akademischer Dokumente, die lückenlose Rückverfolgbarkeit verliehener Grade und die Rechtssicherheit aller Studierenden und Absolventen der EUROPÄISCHEN UNIVERSITÄT PARIS – UNIVERSITÉ EUROPÉENNE (SAEJEE — UNIVERSIDAD EUROPEA DE PARÍS) begründet. In unmittelbarer Anwendung des in Artikel 5 Absatz 2 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – DSGVO) verankerten Grundsatzes der proaktiven Rechenschaftspflicht (Accountability) sowie der Rechtsprechung des Gerichtshofs der Europäischen Union (Rechtssachen C-210/16 Wirtschaftsakademie, C-40/17 Fashion ID und C-311/18 Schrems II) richtet die Universität ihr gesamtes Datenschutz-Governance-System an den materiellen und aufsichtsbehördlichen Vorgaben der Commission Nationale de l'Informatique et des Libertés (CNIL) der Französischen Republik aus.
II. – Gemäß den Artikeln 12, 13 und 14 DSGVO sowie dem französischen Recht (Gesetz vom 1. Juli 1901 über den Vereinsvertrag [PDF] und Code de l'éducation [PDF]) ist die registerrechtliche, satzungsmäßige und steuerliche Identität der verantwortlichen Stelle (Responsable du traitement / Data Controller) wie folgt festgelegt und in den amtlichen Registern der Französischen Republik prüfbar:
1° Offizielle institutionelle Bezeichnung des Verantwortlichen:
- a) Amtlicher Eintragungsname in der Französischen Republik:
UNIVERSITÉ EUROPÉENNE DE PARIS – UNIVERSITÉ EUROPÉENNE (gemeinsam handelnd unter dem satzungsmäßigen Akronym und Institutionszeichen SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS sowie dem amtlichen Namen auf Spanisch UNIVERSIDAD EUROPEA DE PARÍS, gemäß den Rechtlichen Hinweisen und Impressum [PDF]).
- b) Rechtspersönlichkeit und satzungsmäßige Natur: Private Einrichtung der freien Hochschulbildung in der Rechtsform einer juristischen Person des französischen Privatrechts (Association déclarée, offizielle juristische Kategorie des INSEE
9220), geregelt nach den Artikeln 1, 2 und 5 des Gesetzes vom 1. Juli 1901 sowie Buch VII, Titel III des Code de l'éducation (Artikel L. 731-1 [PDF]).
- c) Institutionelles Bestehen und ununterbrochene 35-jährige staatliche Gültigkeit: Gegründet in Paris am 11. Juni 1991, belegt durch mehr als fünfunddreißig (35) Jahre ununterbrochene aktive Verwaltungstätigkeit (Administrativer Status: IN AKTIVITÄT / ACTIF) in den offiziellen Registern der Französischen Republik.
2° Staatliche Registrierungs-, Statistik- und Steueridentifikationsnummern:
- a) Nationale INSEE-Identifikationsnummer SIREN:
399 107 937 (Amtliche INSEE-SIRENE-Statusbescheinigung — PDF).
- b) SIRET-Kennnummer des Hauptsitzes:
399 107 937 00019 · Interner Klassifikationscode (NIC): 00019 (SIRET-Unternehmensblatt mit Geokoordinaten — PDF).
- c) Nationale Registernummer für Vereinigungen (RNA):
W751108902 (Präfektur der Region Paris, Aktenzeichen 108902P, amtlich publiziert im Journal Officiel de la République Française).
- d) Globale Rechtsträgerkennung (LEI):
9695003637S275T57497 (amtlich validiert durch INSEE und registriert im weltweiten LEI-System).
- e) Gemeinschaftliche Umsatzsteuer-Identifikationsnummer (TVA):
FR55399107937.
- f) Satzungsmäßiger Haupt- und Rektoratssitz:
229, Boulevard Voltaire, 75011 Paris, Frankreich.
- g) Öffentliche Überprüfbarkeit auf staatlichen Datenplattformen: Sämtliche Daten sind im nationalen Unternehmensverzeichnis der interministeriellen Direktion für Digitales (DINUM) direkt überprüfbar: https://universiteeuropeenne.paris/mentions-legales/etablissement/39910793700019.
ARTIKEL 2 – Organigramm der Universitätsverwaltung, Datenschutzbeauftragter (DPO / DSB) und amtliche Kommunikationskanäle
I. – Die operative Leitung, die regulatorische Aufsicht, die Aufbewahrung akademischer Protokolle und die Bearbeitung von Datenschutzanfragen sind über folgende Organe und offizielle Kanäle strukturiert:
II. – Rechtliche Tragweite der Registerzentralisierung im transnationalen Raum: Die lückenlose Ausweisung der amtlichen Identifikationsdaten der Französischen Republik (SIREN 399 107 937, SIRET 399 107 937 00019, RNA W751108902, LEI 9695003637S275T57497 und TVA FR55399107937) verleiht jedem Studierenden und Absolventen eine unanfechtbare materielle Beweiskraft. Sowohl bei gutachterlichen Bewertungen und internationalen Apostillierungsverfahren als auch bei behördlichen Verifizierungsprüfungen bleibt der Ursprung der akademischen Akte untrennbar mit einer französischen juristischen Person verknüpft, deren 35-jährige ununterbrochene Existenz in den offiziellen Registern des französischen Staates zweifelsfrei nachgewiesen ist.
TITEL II. Anwendbarer Rechtsrahmen, Normenhierarchie und Selbständigkeit der Rechtsgrundlagen
ARTIKEL 3 – Europäische Normenhierarchie (DSGVO) und französisches nationales Recht (Datenschutzgesetz)
I. – Sämtliche Verarbeitungen personenbezogener Daten durch die SAEJEE — UNIVERSITÉ EUROPÉENNE DE PARIS – einschließlich Erhebung, Strukturierung, Aufbewahrung, kryptografischer Verifizierung, beaufsichtigter Übermittlung und sicherer Löschung – unterliegen unmittelbar und zwingend dem Recht der Europäischen Union und der Rechtsordnung der Französischen Republik:
1° Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (DSGVO):
- a) Artikel 3 (Räumlicher Anwendungsbereich): Unmittelbare Unterwerfung unter die DSGVO aufgrund des Hauptsitzes des Verantwortlichen in Paris (Französische Republik), wodurch ein einheitliches hohes europäisches Schutzniveau für alle Studierenden, Bewerber, Dozenten und Absolventen unabhängig von Staatsangehörigkeit oder Wohnsitzland garantiert wird.
- b) Artikel 5 (Grundsätze für die Verarbeitung): Strikte Einhaltung der Grundsätze der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz (
Art. 5.1.a), Zweckbindung (Art. 5.1.b), Datenminimierung (Art. 5.1.c), Richtigkeit (Art. 5.1.d), Speicherbegrenzung (Art. 5.1.e), Integrität und Vertraulichkeit (Art. 5.1.f) sowie Rechenschaftspflicht (Art. 5.2).
- c) Artikel 6, 7, 8 und 9 (Rechtmäßigkeit der Verarbeitung und besondere Kategorien): Strikte Stützung jeder Verarbeitung auf die Erfüllung des Ausbildungsvertrags, gesetzliche Verpflichtungen oder berechtigte akademische Interessen.
- d) Artikel 12 bis 23 (Rechte der betroffenen Personen): Vollständige institutionelle Gewährleistung der Auskunfts-, Berichtigungs-, Löschungs-, Widerspruchs- und Datenübertragbarkeitsrechte.
- e) Artikel 25 und 32 (Datenschutz durch Technikgestaltung und Sicherheit): Implementierung modernster technischer und organisatorischer Maßnahmen (Verschlüsselung, Pseudonymisierung, rollenbasierte Zugriffskontrolle).
- f) Artikel 28, 29 und Kapitel V (Auftragsverarbeiter und Drittlandübermittlungen): Vertragliche Bindung aller Dienstleister und Einhaltung strenger Übermittlungsvoraussetzungen nach Art. 44 ff. DSGVO.
- g) Artikel 33 und 34 (Meldung von Verletzungen des Schutzes personenbezogener Daten): Standardisiertes Notfallverfahren zur Benachrichtigung der CNIL und der Betroffenen binnen 72 Stunden.
- h) Artikel 77 bis 84 (Rechtsbehelfe und Sanktionen): Anerkennung des Beschwerderechts bei der zuständigen Aufsichtsbehörde (CNIL).
2° Französisches Datenschutzgesetz (Loi Informatique et Libertés): Gesetz Nr. 78-17 vom 6. Januar 1978 in seiner geltenden Fassung zur Anpassung an die europäischen Datenschutzrichtlinien.
3° Relevantes französisches Hochschul- und Forschungsrecht:
- a) Code de l'éducation: Artikel L. 151-1 (Lehrfreiheit), L. 613-2 (Diplomverleihung), L. 731-1 (Status privater Hochschulen) und L. 444-1 bis L. 444-11 (Fern- und Hybridunterricht).
- b) Code de la recherche: Artikel L. 412-1 über die Organisation und das Wesen der Doktoratsforschung.
- c) Erlass vom 25. Mai 2016 über die Doktoratsausbildung: Festlegung qualitativer Maßstäbe für Promotionsstudien, Dissertationsverteidigungen und wissenschaftliche Register.
ARTIKEL 4 – Autonomiedoktrin der Rechtsgrundlagen (Art. 6 DSGVO) und Verarbeitungszwecke
I. – Gemäß Artikel 6 DSGVO bedarf jede Datenverarbeitung einer tragfähigen Rechtsgrundlage. Die Universität stützt ihre Tätigkeiten auf ein differenziertes Fundament gesetzlicher Erlaubnistatbestände:
| Verarbeitungszweck |
Kategorien betroffener Daten |
Rechtsgrundlage nach Art. 6 DSGVO |
| Bewerbungsprüfung und Immatrikulation |
Identitätsdaten, Vorstudienabschlüsse, Notenspiegel, Lebenslauf |
Art. 6 Abs. 1 lit. b DSGVO (Vorvertragliche Maßnahmen und Vertragserfüllung) |
| Durchführung des Lehr- und Promotionsbetriebs |
Campus-Aktivitäten, Modulprüfungen, Noten (Skala 0–20), Betreuungsberichte |
Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des akademischen Ausbildungsvertrags) |
| Praxis- und Gutachtersupervision (Logbook — Anhang A) |
Auditierte Tätigkeitsnachweise (4.948 Std.), institutionelle Stempel, Gutachten |
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. f DSGVO (Qualitätssicherung) |
| Ausstellung von Diplomen, SET und Echtheitsverifizierung |
Abschlussdaten, Urkundennummer, kryptografische Prüfcodes, QR-Signaturdaten |
Art. 6 Abs. 1 lit. c DSGVO (Rechtspflicht) und lit. f DSGVO (Fälschungsschutz) |
| Gebührenabrechnung und Finanzbuchhaltung |
Zahlungsbestätigungen, Rechnungen, Transaktionsreferenzen, Steuerdaten |
Art. 6 Abs. 1 lit. c DSGVO (Handels- und steuerrechtliche Aufbewahrungspflichten) |
| IT-Sicherheit, Authentifizierung und Missbrauchsabwehr |
Server-Logfiles, IP-Adressen, Authentifizierungstoken, Zeitstempel |
Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an Netz- und Informationssicherheit) |
II. – Selbständigkeit der Rechtsgrundlagen: Das Bestehen gesetzlicher Pflichten zur dauerhaften Urkundenarchivierung und der berechtigten Interessen an der fälschungssicheren Verifizierung schließt aus, dass das Recht auf Löschung nach Art. 17 DSGVO zur Vernichtung rechtmäßig verliehener Diplomstammregister führen kann.
TITEL III. Kategorien betroffener Personen, Studienprozesse und Verarbeitungsverzeichnis (Art. 30 DSGVO)
ARTIKEL 5 – Gesetzliche Klassifikation der betroffenen Personen und curriculare Systemarchitektur
I. – Zur Anwendung zielgerichteter technischer und organisatorischer Schutzmaßnahmen unterscheidet die Universität sechs (6) Gruppen betroffener Personen:
- 1° Studieninteressierte und Bewerber: Akademiker und Fachkräfte, die Informationsanfragen stellen oder Zulassungsunterlagen einreichen;
- 2° Ordentlich immatrikulierte Studierende und Promovenden: Aktive Teilnehmer an Promotionsstudiengängen (
DIU-DOCTORAT), Masterstudiengängen oder universitären Weiterbildungen (DU / DIU);
- 3° Absolventen und Mitglieder des Alumnikorps: Inhaber ordnungsgemäß verliehener Abschlüsse, deren Qualifikationen im dauerhaften Universitätsregister geführt werden;
- 4° Hochschullehrer, Dissertationsbetreuer und Forscher: Professoren, Gastdozenten und klinische Gutachter der Ausbildungs- und Forschungseinheiten (UFR);
- 5° Externe Gutachter und Mitglieder von Prüfungskommissionen: Sachverständige und Professoren, die zur Abnahme mündlicher Verteidungen und Begutachtung von Dissertationen berufen sind;
- 6° Portalnutzer und externe Prüfinstanzen: Besucher der Universitätsportale sowie autorisierte Behörden, die Urkundenüberprüfungen durchführen.
ARTIKEL 6 – Zentrales Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)
I. – Gemäß Artikel 30 DSGVO führt die Universität ein strukturiertes und laufend aktualisiertes Verzeichnis aller Verarbeitungstätigkeiten. Dieses Verzeichnis umfasst Zwecke, betroffene Personengruppen, verarbeitete Datenarten, Empfängerkategorien, Garantien bei Drittlandübermittlungen, Löschfristen sowie eine allgemeine Beschreibung der technischen und organisatorischen Sicherheitsmaßnahmen.
II. – Das Verzeichnis wird der zuständigen Aufsichtsbehörde (CNIL) auf Anfrage jederzeit zur Verfügung gestellt und bildet die Grundlage interner Datenschutzaudits.
TITEL IV. Dauerhafte Verwahrung der akademischen Stammakte, kryptografische QR-Code-Architektur und Schutz von Forschungsdaten
ARTIKEL 7 – Universitäre Beweiskraft, materielle Einheit der Stammakte und kryptografische PAdES-Architektur
I. – Diplomurkunde, Europäischer Diplomzusatz (SET) sowie die Anhänge A (Praxisregister), B (Prüfungsnotenspiegel) und C (Dissertation) bilden eine untrennbare matrizielle Einheit. Zur Wahrung der Fälschungssicherheit wird jedes Dokument mit einer qualifizierten elektronischen Signatur (PAdES) und einem kryptografischen QR-Code versehen, der eine sekundenschnelle Verifizierung über die offizielle Plattform ermöglicht (https://www.saejee.eu/verification/).
ARTIKEL 8 – Schutz von Promotionsforschungsdaten und ethische Richtlinien (ICH-GCP)
I. – Forschungsdaten im Rahmen von Doktorarbeiten unterliegen strengen ethischen Kontrollen. Sofern Studien Daten lebender Personen oder klinische Falldokumentationen berühren, sind diese vor ihrer Verwertung vollständig zu anonymisieren oder pseudonymisieren, unter Beachtung der Deklaration von Helsinki und der Leitlinien für Gute Klinische Praxis (ICH-GCP).
TITEL V. Empfängerkategorien, europäische Infrastruktursouveränität und internationale Datenübermittlungen
ARTIKEL 9 – Kategorien autorisierter Empfänger und Hosting-Infrastruktur in der Europäischen Union
I. – Daten werden ausschließlich an befugte universitäre Funktionsträger (Rektorat, Prüfungsamt, Professorenkollegium) und vertraglich gebundene Auftragsverarbeiter übermittelt. Alle primären Serversysteme und Datenbanken werden innerhalb der Europäischen Union betrieben (u. a. Rechenzentren von Hetzner Online GmbH in Deutschland und Hostinger International Ltd. in Zypern) unter ISO/IEC 27001-Zertifizierung.
ARTIKEL 10 – Internationale Datentransfers und Schutzgarantien
I. – Übermittlungen an Stellen außerhalb des Europäischen Wirtschaftsraums erfolgen ausschließlich unter strikter Einhaltung von Kapitel V DSGVO, entweder auf Basis eines Angemessenheitsbeschlusses der EU-Kommission oder unter Einbindung der Standardvertragsklauseln (SCC) nebst Risikofolgenabschätzung (TIA).
TITEL VI. Aufbewahrungsfristen, duale Archivierungsdoktrin von Diplomen und sichere Datenlöschung
ARTIKEL 11 – Lebenszyklus der Daten und duale Archivierungsdoktrin
I. – Die Universität wendet eine klare Unterscheidung zwischen transitorischen Verwaltungsdaten und dauerhaften Abschlussregistern an:
| Kategorie der Datenakte |
Reguläre Speicherfrist |
Archivierungsregime und Rechtsgrundlage |
| Bewerbungsakten nicht zugelassener Kandidaten |
2 Jahre nach Ablehnung |
Sichere Vernichtung; Art. 6 Abs. 1 lit. b DSGVO |
| Laufende Studienakten und LMS-Interaktionsdaten |
Dauer des Studiums + 5 Jahre |
Zwischenarchivierung; Art. 6 Abs. 1 lit. b DSGVO |
| Buchhaltungs- und Zahlungsbelege |
10 Jahre ab Geschäftsjahresende |
Gesetzliche Aufbewahrung; Art. L. 123-22 Code de commerce |
| Abschlussdiplome, SET-Zusätze und Promotionsnoten |
Unbefristet / Dauerhaft (ad perpetuam) |
Historisches Zentralarchiv; Art. 6 Abs. 1 lit. c und lit. f DSGVO |
ARTIKEL 12 – Verfahren zur sicheren Löschung und datenschutzgerechten Vernichtung
I. – Daten, deren Aufbewahrungsfrist abgelaufen ist, werden nach dem aktuellen Stand der Technik (DIN 66399) sicher und unwiederbringlich gelöscht bzw. vernichtet.
TITEL VII. Rechte der Betroffenen, technische Sicherheit (Art. 32 DSGVO) und Governance von Tracking-Technologien
ARTIKEL 13 – Katalog der Betroffenenrechte und Beschwerdemöglichkeiten
I. – Betroffenen stehen die Rechte auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) zu. Anfragen sind an den Datenschutzbeauftragten zu richten: dpd@universiteeuropeenne.paris. Zudem besteht das Recht auf Beschwerde bei der Aufsichtsbehörde:
Commission Nationale de l'Informatique et des Libertés (CNIL)
3, Place de Fontenoy – TSA 80715 – 75334 Paris Cedex 07, Frankreich
Telefon: +33 (0)1 53 73 22 22 · Webpräsenz: https://www.cnil.fr
ARTIKEL 14 – Technische und organisatorische Sicherheitsmaßnahmen (Art. 32 DSGVO) und Cookie-Governance
I. – Die IT-Infrastruktur nutzt durchgehende TLS 1.3-Verschlüsselung, automatisierte Angriffserkennung und dedizierte Rechtematrizen. Cookies werden strikt nach Erforderlichkeit differenziert:
- a) Technisch notwendige Session-Cookies: Einwilligungsfreie Sitzungscookies zur Gewährleistung der Navigation und Authentifizierung;
- b) Reichweitenmessung und Spracheinstellungen: Aktivierung nur nach vorheriger freiwilliger Einwilligung über ein symmetrisches Auswahlbanner ohne irreführende Gestaltungsmuster (Dark Patterns), abgestimmt auf die Datenschutzerklärung (PDF) und die Rechtlichen Hinweise (PDF).