Source: https://www.lona.eu/education/webapp/popup/daten/language/de
Timestamp: 2018-10-18 03:14:52+00:00

Document:
Mit dem Portal LONA Education bietet bit media zeit- und ortsunabhängiges Lernen für den schulischen Bereich an (e-Learning). LONA richtet sich insbesondere an Schulen und Bildungseinrichtungen, welche ihr Unterrichts- bzw. Bildungsangebot um digitale Lerninhalte erweitern möchten.
Für die Nutzung von LONA inklusive aller der auf dieser Website zur Verfügung gestellten Dienste gelten die folgenden Nutzungs- und Datenschutzbestimmungen:
2. LONA Education
bit media, nachfolgend der „Provider“ genannt, stellt die e-Learning Plattform LONA Education aufgrund einer vertraglichen Vereinbarung mit dem Kunden (Schule, Bildungseinrichtung) den jeweiligen Endbenutzern (Schüler, Lehrpersonen usw.) – nachfolgend Nutzer genannt – zur Verfügung.
Der Provider ermöglicht dem Nutzer die Nutzung der Plattform und der darin bereitgestellten Inhalte auf der Grundlage dieser Nutzungs- und Datenschutzbedingungen für den Zeitraum des Betriebes zu nutzen. Bevor ein Nutzer Informationen über diese Plattform erhalten oder sie in sonstiger Weise nutzen kann, ist er verpflichtet, sein Einverständnis zu diesen Nutzungsbedingungen zu erklären. Die auf der Plattform angebotenen Module werden durch den Provider zur Verfügung gestellt und sind urheberrechtlich geschützt. Eine Weitergabe an Dritte sowie eine Vervielfältigung und Veröffentlichung der Module ist untersagt.
LONA Education wird dem Nutzer unter Vorbehalt angeboten. Es besteht nur insoweit Anspruch auf die Nutzung von LONA, als es sich um die Bereitstellung eines kostenpflichtigen Angebots handelt. Der Provider ist bemüht, Störungen – insbesondere technischer Art – so gering wie möglich zu halten.
Es wird insbesondere keine Gewähr dafür übernommen, dass der Zugang oder die Nutzung von LONA Education nicht durch Wartungsarbeiten, Weiterentwicklungen oder anderweitig durch Störungen unterbrochen oder beeinträchtigt wird, die ggf. auch zu Datenverlusten führen können. Der Provider ist berechtigt, den Betrieb von LONA Education ohne Angabe von Gründen vorübergehend oder dauerhaft einzustellen.
Im Falle einer dauerhaften Einstellung von LONA Education verpflichtet sich der Provider, die Kunden im Rahmen einer angemessenen Frist vorab über die Einstellung zu informieren.
Um Zugang zu LONA Education und den darauf befindlichen Lernmodulen zu erhalten, ist ein persönliches Benutzerkonto auf LONA erforderlich. Die Einrichtung eines Benutzerkontos erfolgt durch den Administrator der Kundenorganisation. Die Vergabe von Administrationsrechten für Kunden erfolgt durch den Provider.
Der Nutzer hat seine LONA-Zugangsdaten, bestehend aus Name und Passwort, vertraulich zu behandeln und sorgfältig aufzubewahren. Er hat dafür Sorge zu tragen, dass seine Zugangsdaten und das von ihm angelegte Nutzerprofil nur von ihm verwendet und nicht durch Dritte ist in jedem Fall untersagt. Im Falle eines Missbrauchs hat der Nutzer sein Passwort unverzüglich nach Kenntnis des Missbrauchs zu ändern und den Provider über den Missbrauch zu informieren. Der Provider übernimmt keine Haftung für Schäden, die sich aus der unberechtigten oder unsachgemäßen Verwendung der Zugangsdaten und der Plattform ergeben.
Der Provider behält sich das Recht vor, den Zugang zu LONA Education ohne Angabe von Gründen zu verweigern oder den Nutzer von der weiteren Nutzung vorläufig oder dauerhaft auszuschließen, insbesondere wenn die Teilnahmeberechtigung endet oder erlischt oder dauerhaft auszuschließen, insbesondere wenn die Teilnahmeberechtigung endet oder erlischt oder ein Nutzer gegen die gegebenen Nutzungsbedingungen oder gesetzliche Vorschriften verstößt. Der Provider behält sich das Recht vor, je nach Schwere des Verstoßes den Zugang zu LONA zu sperren oder zu löschen.
Eine Änderung oder Löschung von Benutzerkonten erfolgt innerhalb der Kundenorganisation. Diesbezügliche Anfragen von Nutzern sind an die mit der Administration beauftragte Stelle (Schule, Bildungseinrichtung) der eigenen Kundenorganisation zu richten.
Nach Ablauf des Vertragsverhältnisses der Kundenorganisation mit bit media werden Benutzerkonten sowie Lernfortschrittsdaten unwiderruflich gelöscht.
4. Kursbuchung und Freischaltung
Abhängig von der Konfiguration von LONA kann der Nutzer Lernmodule entweder selbst auf der Plattform buchen, oder durch den Administrator freischalten lassen. Nach der Buchung bzw. Freischaltung stehen Kurse grundsätzlich für die Dauer von 12 Monaten zur beliebigen Nutzung durch den Nutzer zur Verfügung.
Der Nutzer ist berechtigt, diese Kurse und Inhalte im Zusammenhang mit seiner Aus- oder Weiterbildungstätigkeit zu nutzen, soweit nicht für die einzelnen Inhalte etwas anderes auf der Plattform bestimmt ist. Eine Weitergabe and Dritte oder Veröffentlichung der Inhalte ist untersagt.
Sofern eine Selbstbuchung für Nutzer zur Verfügung steht, werden die angebotenen e-Learning Module in einem Kurskatalog veröffentlicht und gelistet.
5. Entgelt und mögliche Kosten
Das Entgelt für die Nutzung von LONA ist in einer gesonderten vertraglichen Vereinbarung zwischen dem Kunden (Schule, Bildungseinrichtung) und bit media geregelt. Die auf der Plattform zur Verfügung gestellten Lernmodule stehen damit den Nutzern ohne gesonderte Lizenzkosten zur Verfügung – die über den Kunden angelegten Endnutzer (Schüler, Lehrer) haben keine weiteren Kosten zu entrichten.
Zusätzlich steht es dem Provider frei, auch weitere kostenpflichtige Lernmodule über die Plattform anzubieten und zur Verfügung zu stellen. Solche Module werden gesondert auf der Plattform ausgewiesen, und erfordern für die Nutzung eine individuelle Buchung / Bestellung durch den Nutzer. Das Entgelt bei kostenpflichtigen Modulen versteht sich in Euro inkl. gesetzlicher MwSt. und gilt für die Benutzung für eine Dauer von 12 Monaten.
Wenngleich die Inhalte der e-Learning Module sorgfältig geprüft wurden, haftet der Provider nicht für Folgeschäden, die aufgrund der Benutzung der Produkte am Computer-Arbeitsplatz oder im Netzwerk entstehen bzw. für Folgeschäden, die aufgrund der Inhalte des Programms entstehen. Insbesondere nicht für Personen-, Sach- oder Vermögensschäden, die als Folgeschäden unmittelbar und / oder mittelbar im Zusammenhang mit der Nutzung der Produkte in Verbindung stehen. Dies gilt nicht bei Vorsatz oder grober Fahrlässigkeit. Die Wiedergabe der Texte von Vorschriften, Gesetzen, Verordnungen, Richtlinien erfolgt nach sorgfältiger Überprüfung. Verbindlich ist der gedruckte Originaltext (amtlicher Text).
Zur Nutzung der LONA Education Plattform schließen die Partner zur Sicherstellung des Datenschutzes und der Datensicherheit folgende Vereinbarung zur Auftragsdatenverarbeitung gem. Art. 28 EU-DSGVO ab.
Der Gegenstand des Auftrages ist die Durchführung folgender Aufgaben durch den Provider:
Serverbetrieb und Zurverfügungstellung des Lizenzproduktes unter der folgenden Webadresse:
www.lona.eu/education
Wartung des Lizenzprodukts
Unterstützung des Auftraggebers bei der Nutzung des Lizenzprodukts (technischer Support)
Die Erbringung der vertraglich vereinbarten Dienstleistung und damit zusammenhängenden Verarbeitung von Personendaten findet ausschließlich in einem Mitgliedsstaat der Europäischen Union statt.
Jeder Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Providers und darf nur erfolgen, wenn die besonderen Voraussetzungen des Art. 44 ff. DSGVO erfüllt sind.
Der Zweck der Datenverarbeitung dient ausschließlich dem Verwendungszweck des Lizenzprodukts. Die Daten werden vom Auftragnehmer ausschließlich im Sinne der vertraglichen Vereinbarung gespeichert und verarbeitet, für Support- und Analysezwecke eingesehen und auf Weisung des Auftraggebers bearbeitet.
Eine Weitergabe oder Zweckentfremdung der Daten durch den Auftragsverarbeiter ist ausgeschlossen.
Es werden Daten von folgenden Personenkategorien erhoben:
Mitarbeiter des Verantwortlichen (Kunde – Lehrpersonen, Dozenten)
Endkunden und Zielgruppen des Verantwortlichen (Schüler, Kursteilnehmer)
Zugangsdaten (Username, Passwort)
Personendaten (Vorname, Nachname, Anrede, Titel, Email)
Lernstandsdaten (Bearbeitungsstatus bei Lernmodulen, Testergebnisse)
Organisations- & Kontaktdaten (Schule, Bildungseinrichtung, Ansprechperson)
Die Vereinbarung gilt ab Vertragsunterzeichnung und wird auf unbestimmte Zeit geschlossen bzw. steht in Abhängigkeit zu den abgeschlossenen Lizenz-, Wartungs- und Dienstleistungsvereinbarungen.
Demozugänge bilden eine Ausnahme – sie können auch ohne gültigen Vertrag auf begrenzte Zeit ausgegeben werden. Es gelten die selbigen Datenschutz- und Nutzungsbestimmungen als bei Standard-Portalzugängen. bit media behält sich jedoch das Recht vor, Demozugänge zeitlich zu begrenzen und nach Ablauf des Demo-Zeitraums alle Nutzerdaten unwiderruflich zu löschen.
Mit der Anforderung eines Demo-Zuganges stimmt der Nutzer den hier dargestellten Nutzungs- und Datenschutzbestimmungen zu.
Datenschutzrelevante Pflichten von bit media
bit media verpflichtet sich, Daten und Verarbeitungsergebnisse ausschließlich im Rahmen der schriftlichen Aufträge des Nutzers (Auftraggebers) zu verarbeiten. Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
bit media informiert den Nutzer unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie sich auf diesen Auftrag beziehen. Dies gilt auch, soweit eine zuständige Behörde im Rahmen eines Verwaltungs- oder Strafverfahrens in Bezug auf die Verarbeitung personenbezogener Daten bei der Auftragsverarbeitung beim Provider ermittelt. Erhält der Provider einen behördlichen Auftrag, Daten des Nutzers herauszugeben, so hat er – sofern gesetzlich zulässig – den Nutzer unverzüglich darüber zu informieren und die Behörde an diesen zu verweisen. Desgleichen bedarf eine Verarbeitung der Daten für eigene Zwecke des Providers eines schriftlichen Auftrages des Nutzers.
Wahrung der Vertraulichkeit gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DSGVO
Der Provider erklärt rechtsverbindlich, dass er alle mit der Datenverarbeitung beauftragten Personen vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet hat oder diese einer angemessenen gesetzlichen Verschwiegenheitsverpflichtung unterliegen und zuvor mit den für sie relevanten Bestimmungen zum Datenschutz vertraut gemacht wurden. Der Provider und jedem dem Provider unterstellte Person, die Zugang zu personenbezogenen Daten hat, dürfen diese Daten ausschließlich entsprechend der Weisung des Nutzers verarbeiten, einschließlich der in diesem Vertrag eingeräumten Befugnisse, es sei denn, dass sie gesetzlich zur Verarbeitung verpflichtet sind.
Insbesondere bleibt die Verschwiegenheitsverpflichtung der mit der Datenverarbeitung beauftragen Personen auch nach Beendigung ihrer Tätigkeit und Ausscheiden beim Provider aufrecht.
Der Provider hat zusätzlich zur Einhaltung der Regelung dieses Auftrags gesetzliche Pflichten gemäß Art. 28 bis 33 DSGVO zu erfüllen. Auf der Webseite des Providers www.bitmedia.at sind die Kontaktdaten des verantwortlichen Datenschutzbeauftragten ersichtlich.
Der Provider erklärt rechtsverbindlich, dass er alle erforderlichen technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung nach Art. 32ff DSGVO insbesondere iVm mit Art. 5 Abs. 1 und Abs. 2 DSGVO ergriffen hat und deren Einhaltung regelmäßig kontrolliert und dokumentiert. Es handelt sich hierbei um Maßnahmen der Datensicherheit und Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der Systeme.
Mitwirkungspflicht bei Betroffenenrechten: Sofern der Nutzer nicht über die technische Möglichkeit verfügt, die Betroffenenrechte nach Kapitel III der DSGVO (insbesondere Information, Auskunft, Berichtigung und Löschung, Datenübertragbarkeit, Widerspruch, sowie automatisierte Entscheidungsfindung im Einzelfall) wahrzunehmen, so unterstützt der Provider den Nutzer mit nötigen Informationen zum Nachkommen der gesetzlichen Pflicht.
Der Provider darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Nutzers berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Provider wendet, wird der Provider dieses Ersuchen unverzüglich an den Nutzer weiterleiten.
Der Provider verpflichtet sich, den Nutzer bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten zu unterstützen. Dazu gehören insbesondere:
Sicherstellung eines angemessenen Schutzniveaus durch technische und organisatorische Maßnahmen, die die Umstände und Zwecke der Verarbeitung sowie die prognostizierte Wahrscheinlichkeit und Schwere einer möglichen Rechtsverletzung durch Sicherheitslücken berücksichtigen und eine sofortige Feststellung von relevanten Verletzungsereignissen ermöglichen.
Die Verpflichtung, Verletzungen personenbezogener Daten unverzüglich an den Nutzer zu melden
Die Verpflichtung, dem Nutzer im Rahmen seiner Informationspflicht gegenüber dem Betroffenen zu unterstützen und ihm in diesem Zusammenhang sämtliche relevante Informationen unverzüglich zur Verfügung zu stellen
Die Unterstützung des Nutzers für dessen Datenschutz-Folgenabschätzung
Die Unterstützung des Nutzers im Rahmen vorheriger Konsultationen mit der Aufsichtsbehörde
Nutzer und Provider haben für die vorliegende Auftragsverarbeitung jeweils ein Verarbeitungsverzeichnis nach Art. 30 DSGVO zu führen. Der Endnutzer kann jederzeit einen Auszug seiner Daten aus diesem Verzeichnis einfordern.
Dem Nutzer wird hinsichtlich der Verarbeitung der von ihm überlassenen Daten das Recht jederzeitiger Einsichtnahme und Kontrolle, sei es auch durch ihn beauftragte Dritte, der Datenverarbeitungseinrichtungen eingeräumt. Der Provider verpflichtet sich, dem Nutzer jene Informationen zur Verfügung zu stellen, die zur Kontrolle der Einhaltung der in dieser Vereinbarung genannten Verpflichtungen notwendig sind.
Der Provider stellt insbesondere sicher, dass sich der Nutzer von der Einhaltung der Pflichten des Providers nach Art. 28 DSGVO überzeugen kann. Der Provider verpflichtet sich, dem Nutzer auf Anforderung die erforderlichen Auskünfte zu erteilen und insbesondere die Umsetzung der technischen und organisatorischen Maßnahmen nachzuweisen.
Der Nachweis solcher Maßnahmen, die nicht nur den konkreten Auftrag betreffen, kann durch die Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DSGVO, der Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DSGVO, aktuellen Testaten, Berichten oder Berichtsauszügen unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter, IT-Sicherheitsabteilung, Datenschutzauditoren, Qualitätsauditoren) einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudits erfolgen.
Der Provider ist spätestens nach Beendigung dieser Vereinbarung verpflichtet, sämtliche in seinem Besitz gelangte Unterlagen, erstellte Verarbeitungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Nutzer zu übergeben / in dessen Auftrag datenschutzgerecht zu vernichten. Das Protokoll der Löschung ist auf Anforderung vorzulegen. Wenn der Provider die Daten in einem speziellen technischen Format verarbeitet, ist er verpflichtet, die Daten nach Beendigung dieser Vereinbarung entweder in diesem Format oder nach Wunsch des Nutzers in dem Format, in dem er die Daten vom Nutzer erhalten hat oder in einem anderen, gängigen Format herauszugeben.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Provider entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren.
Der Provider hat den Nutzer unverzüglich zu informieren, falls er der Ansicht ist, eine Weisung des Auftraggebers verstößt gegen Datenschutzbestimmungen der Union oder der Mitgliedsstaaten.
Die technischen und organisatorischen Maßnahmen zum Schutz und zur Sicherheit der Daten unterliegen dem technischen Fortschritt und der Weiterentwicklung. Es ist dem Provider gestattet, alternative adäquate Maßnahmen umzusetzen, soweit das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird.
Zutrittskontrolle (wird über Sub-Auftragsverarbeiter abgedeckt): Schutz vor unbefugtem Zutritt zu Datenverarbeitungsanlagen, Chipkarten, elektrische Türöffner, Portier, Sicherheitspersonal, Alarmanlagen, Videoanlagen;
Zugangskontrolle: Schutz vor unbefugter Systembenutzung: Kennwörter (Richtlinien: keine Mehrfachverwendung, individuelle Richtlinien, Sperre bei mehrfacher Falscheingabe)
Zugriffskontrolle: kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen innerhalb des Systems: Unterschiedliche Systemrollen einstellbar, spezielle Systemadministrationszugriffe gesondert möglich. Serverzugriff nur eingeschränkt auf Mitarbeiter der Abteilung ICT
Trennungskontrolle: Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden: Mandantenfähigkeit im System, getrennte Datenbanken bei Premium Systemen.
Klassifikationsschema für Daten: intern
Weitergabekontrolle. Kein unbefugtes Lesen, Kopieren, Verändern oder Entfernen bei elektronischer Übertragung oder Transport: Verschlüsselung beim Aufruf des Systems (HTTPS), keine weitere Datenübertragung vorgesehen
Eingabekontrolle: Systemlogbuch für die Protokollierung von Änderungen im System sowie automatische Systemprozesse
Verfügbarkeitskontrolle. Tägliche Datensicherung (30 Tage rückwirkend) in anderem, Brandabschnitt, Ausfallssicherheit USV, rasche Wiederherstellbarkeit;
Löschungsfristen: Datenlöschung nach Vertragsende
Hosting & Betrieb der Softwarelösung: Überprüfung der Prozesse und Maßnahmen im Rahmen des jährlichen ISO 9001 Qualitätsaudits (QM). Wiederkehrende (jährliche) Risikoanalysen der Serversysteme inkl. Dokumentation. Forderung der ISO 27001 Zertifizierung des Sub-Auftragsverarbeiters.
Entwicklung und Wartung der Softwarelösung: Durchführung von Sicherheitsüberprüfungen bei jedem Major Release der Software (Version X.1.1), Überprüfung der Einhaltung von Datenschutzrichtlinien bei jedem Minor Release (Version 1.X.1). Definierte Security Richtlinien bei Software-Entwicklung und Kontrolle der Einhaltung durch Code Review Prozess sowie interne und externe ISO 9001 Audits (QM).
Alle Datenverarbeitungstätigkeiten werden ausschließlich innerhalb der EU bzw. des EWR durchgeführt. Dies gilt auch für die Leistungen des Sub-Auftragsverarbeiters gemäß Pkt. 7.
Der Provider ist befugt, folgendes Unternehmen als Sub-Auftragsverarbeiter zur unmittelbaren Erbringung einer Dienstleistung hinzuziehen:
Infrastrukturprovider: A1 Telekom Austria AG, Marburger Kai 43-45, 8010 Graz
Die erforderlichen Vereinbarungen zwischen dem Provider und dem Sub-Auftragsverarbeiter gemäß des Art. 28 Abs. 4 DSGVO wurden abgeschlossen.
Jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung durch andere Sub-Auftragsverarbeiter bedarf der vorherigen schriftlichen Genehmigung durch den Nutzer.
Es ist sichergestellt, dass der Sub-Auftragsverarbeiter dieselben Verpflichtungen eingeht, die dem Provider auf Grund dieser Vereinbarung obliegen. Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, so haftet der Provider gegenüber dem Nutzer für die Einhaltung der Pflichten des Sub-Auftragsverarbeiters.

References: Art. 28
 Art. 44
 Art. 28
 Art. 28
 Art. 32
 Art. 5
 Art. 32
 Art. 30
 Art. 28
 Art. 40
 Art. 42
 Art. 28