Datenschutzerklärung

Verantwortlicher

Universität Bremen, Institut Technik und Bildung

Am Fallturm 1 28359 Bremen

staden@uni-bremen.de

Datenschutzbeauftragte

Petra Banik

Referat 06 Bibliothekstrasse 1-3 29359 Bremen, Deutschland Tel.: +49 421 218-60211 Fax: +49 421 218-60210 E-Mail: pbanik@uni-bremen.de

Welche Daten verarbeitet werden

Die Betreiber-Administration hat ein eigenes Konto mit Name, E-Mail-Adresse und Passwort-Hash sowie den Merkmalen einer Zwei-Faktor-Authentifizierung, in einer eigenen Tabelle, getrennt von den Konten der Einrichtungen. Beim Anlegen einer Einrichtung sowie beim nachträglichen Hinzufügen einer Verwaltung trägt die Betreiber-Administration eine E-Mail-Adresse ein, unter der die erste Verwaltung der Einrichtung eingeladen wird; diese Adresse wird unmittelbar in die eigene, neu angelegte Datenbank der Einrichtung übernommen und in der zentralen Datenbank nicht dauerhaft gespeichert. Ebenso kann die Betreiber-Administration innerhalb einer bestehenden Einrichtung einen Beitrittslink erzeugen; ein solcher Link erscheint in derselben Liste wie ein von der Einrichtung selbst erzeugter Link und lässt sich dort auch widerrufen. Damit für die Einrichtung erkennbar bleibt, wer den Link angelegt hat, wird die E-Mail-Adresse der Betreiber-Administration in der Datenbank der Einrichtung vermerkt.

Jede Einrichtung füllt Impressum, Datenschutzerklärung und Erklärung zur Barrierefreiheit über ein eigenes Formular. Diese Angaben — Name der Einrichtung, Anschrift, vertretende Person, Kontakt der Datenschutzbeauftragten — liegen technisch nicht in der Datenbank der Einrichtung, sondern in der zentralen Datenbank, im Datensatz der jeweiligen Einrichtung selbst. Der Betreiber liest sie nur zur technischen Auslieferung der drei Seiten aus und verändert sie inhaltlich nicht; insoweit verarbeitet er sie weisungsgebunden im Auftrag der jeweiligen Einrichtung. Für seine eigene, hier auf der zentralen Seite angezeigte Erklärung — mit den entsprechenden eigenen Angaben, einschließlich Name und Kontakt der eigenen Datenschutzbeauftragten — ist der Betreiber selbst Verantwortlicher.

Springt eine Betreiber-Administration im Rahmen der Fehlersuche befristet in das Konto einer Lehrkraft ein, protokolliert die Anwendung dies dauerhaft: welche Administration, welche Einrichtung, welches Konto — Kennung und E-Mail-Adresse der Lehrkraft — und aus welchem Grund. Dieses Protokoll liegt in der zentralen Datenbank, nicht in der der Einrichtung, und wird dort nie von sich aus gelöscht — es endet erst mit der Löschung der Einrichtung selbst. Ein Einsprung in die Ansicht für Schülerinnen und Schüler ist technisch nicht möglich — dort gibt es keine Konten, nur Pseudonym-Sitzungen.

Sendet eine Lehrkraft oder eine Administration aus einer Einrichtung heraus eine Rückmeldung an den Betreiber, kommen Name, E-Mail-Adresse und Rolle der absendenden Person sowie der Bereich der Anwendung, der aufgerufene Bildschirm und technische Angaben zum verwendeten Browser hier zentral an. Schülerinnen und Schüler haben keinen Zugang zu diesem Formular und können keine Rückmeldung senden.

Der Server protokolliert auch für die zentrale Domain technische Zugriffsdaten einschließlich IP-Adresse, um Angriffe abzuwehren und Störungen einzugrenzen — etwa Anmeldeversuche am Betreiber-Zugang.

Cookies

Die Anwendung setzt auch auf der zentralen Domain für jede ausgelieferte Seite ein Cookie für die Sitzung des Servers (technischer Name je nach Installation, im Standard „content-kit-plus-session") sowie ein Cookie zum Schutz vor Fälschung von Formularanfragen („XSRF-TOKEN"). Diese Cookies dienen ausschließlich dem technischen Betrieb, enthalten außer einer zufälligen Kennung keine personenbezogenen Daten und bedürfen deshalb nach § 25 Abs. 2 Nr. 2 TTDSG keiner Einwilligung. Bestätigt eine Betreiber-Administration beim zweiten Faktor „Diesem Gerät 30 Tage vertrauen", setzt die Anwendung zusätzlich ein Cookie, das dieses Gerät 30 Tage lang von der erneuten Abfrage des zweiten Faktors befreit; anders als die zuvor genannten technischen Cookies ist sein Inhalt kein bloßer Zufallswert ohne Aussagekraft, sondern wirkt faktisch als befristetes Anmeldemerkmal für dieses Gerät. Ein dauerhaftes „Angemeldet bleiben" gibt es für die Betreiber-Administration nicht: Ohne dieses Vertrauens-Cookie endet die Anmeldung stets mit dem Browser.

Wie lange die Daten bleiben

Das Zugriffsprotokoll des Einsprungs wird nicht gelöscht, solange die betroffene Einrichtung besteht. Rückmeldungen werden von der Anwendung selbst nicht gelöscht; bearbeitete Rückmeldungen bleiben als erledigt markiert bestehen und verschwinden erst, wenn die absendende Einrichtung gelöscht wird. Die Rechts-Angaben und Kontodaten einer Einrichtung bestehen, solange die Einrichtung besteht, und werden mit ihr gelöscht. Wie lange Server-Protokolle aufbewahrt werden, richtet sich nach der Konfiguration der Installation.

Empfänger

Für die in diesem Abschnitt beschriebenen Verarbeitungen — Betreiber-Konten, das Zugriffsprotokoll des Einsprungs, Rückmeldungen und zentrale Server-Protokolle — ist der Betreiber selbst Verantwortlicher, nicht Auftragsverarbeiter; das gilt nur hier, nicht für die Daten einer einzelnen Einrichtung, die er weisungsgebunden im Auftrag verarbeitet (siehe die Datenschutzerklärung der jeweiligen Einrichtung). Eine Übermittlung in Drittländer findet durch diese zentrale Anwendung selbst nicht statt.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Wenden Sie sich dafür an die oben genannte verantwortliche Stelle. Unabhängig davon besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde.

Zuständige Aufsichtsbehörde

Senatorin für Wissenschaft und Häfen Katharinenstraße 37 28195 Bremen