Source: https://www.conf.dfn.de/en/datenschutz/print.html
Timestamp: 2019-07-24 05:02:13+00:00

Document:
DFNconf: Datenschutz
Datenschutzhinweise zum Dienst DFNconf
Art. 12 Absatz 1, Satz 1 der EU-Datenschutz-Grundverordnung (DSGVO), regelt: "Der Verantwortliche trifft geeignete Maßnahmen, um der betroffenen Person alle Informationen gemäß den Artikeln 13 und 14 (...) in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache zu übermitteln; (...)." Dieser Verpflichtung kommt der
E-Mail: datenschutz@dfn.de
Telefon: +49 30 884299 9103
Veranstalter an den teilnehmenden Institutionen sind verpflichtet, den jeweiligen Teilnehmern ihrer Veranstaltung die hier beschriebenen Informationen zugänglich zu machen und die Einwilligung zur Datenverarbeitung bei den Teilnehmern vorher einzuholen.
Portale und Registrierung
Allgemeine datenschutzrechtliche Informationen zum Portal ohne Registrierung
Das Portal dient Veranstaltern von Video-, Web- und Telefonkonferenzen dazu, diese zu verwalten und Teilnehmern den Zugang zu den Diensten zu ermöglichen. Über die Nutzung des Portals werden Log-Dateien angelegt und im Falle eines Sicherheitsvorfalls durch dazu befugtes Personal ausgewertet. Die Log-Dateien beinhalten Informationen darüber, zu welchem Zeitpunkt auf Inhalte zugegriffen wurde, welche Datenmenge hierbei übertragen wurde und ob der Zugriff erfolgreich war, welcher Browsertyp (sofern vom Client übermittelt) genutzt wurde und den Referrer. Die IP-Adressen in den Log-Dateien werden gekürzt gespeichert (bei IPv4 werden die letzten beiden Bytes durch .0 und bei IPv6 die letzten 10 Bytes durch :: ersetzt). Eine Weitergabe dieser Daten erfolgt nur bei Vorliegen einer entsprechenden gesetzlichen Vorgabe oder zur Verfolgung einer Straftat. Eine Weitergabe der Daten an Dritte erfolgt ansonsten nicht.
Zusätzliche datenschutzrechtliche Informationen für die Nutzung des Portals mit Registrierung
Bei der Nutzung des Portals durch registrierte Nutzer werden folgende Log-Daten erhoben:
Browsertyp (sofern vom Client übermittelt),
Art und Ziel der Abfrage
Die Protokollierung dieser Daten dient zur Erkennung und Beseitigung von Störungen und dem Schutz vor Missbrauch. Die maximale Aufbewahrungsfrist beträgt 7 Tage.
Rechtsgrundlage ist Art. 6 Absatz 1 Buchstabe f) DSGVO beziehungsweise § 100 Absatz 1 Telekommunikationsgesetz. Die Protokollierung der Daten dient zur Erkennung und Beseitigung von Störungen und Missbräuchen. Sie ist für die Gewährleistung der Netz- und Informationssicherheit notwendig und damit ein berechtigtes Interesse des DFN-Vereins. Zugriffsmöglichkeiten auf vorhandene Daten haben Mitarbeiter im DFN-Verein, die mit der Erbringung des Dienstes betraut sind.
Um den Videokonferenzdienst als registrierter Meetingveranstalter aktiv nutzen zu können, ist die Registrierung im DFNconf Portal erforderlich. Im Rahmen der Registrierung werden zusätzlich folgende personenbezogenen Daten
verschlüsselt gespeichert. Das Passwort kann über die Benutzeroberfläche jederzeit geändert werden. Für Meetingveranstalter wird ein Konto (Account) mit den erhobenen Daten eingerichtet.
Abweichend davon kann eine Registrierung auch über die Authentifizierungs- und Autorisierungsinfrastruktur DFN-AAI, erfolgen. Meetingveranstalter, deren Registrierung über die DFN-AAI erfolgt, werden beim ersten Login vom Betreiber des Identity Providers (IdP) über einen Schritt, der eine Zustimmung erfordert, in Kenntnis gesetzt, welche personenbezogenen Daten (Vorname, Nachname, E-Mail-Adresse) zur Erbringung des Dienstes erforderlich sind und gespeichert werden. Für diesen Vorgang ist der jeweilige IdP-Betreiber der Einrichtung verantwortlich.
Bei der Registrierung über die DFN-AAI werden folgende Daten erhoben:
Affiliation (staff, employee oder member)
Die vorgenannten personenbezogenen Registrierungsdaten sind für die Nutzung des Dienstes notwendig. Ohne die Bereitstellung dieser Daten können vertragliche Verpflichtungen nicht erfüllt und der Dienst somit nicht genutzt werden.
Registrierte Meetingveranstalter können im Web-Portal sogenannte Meetingräume einrichten und hierfür vordefinierte Konferenzmerkmale in Form von Profilen verwenden. Diese Meetingräume mit ihren Merkmalen bleiben gespeichert, bis sie vom Meetingveranstalter geändert oder gelöscht werden oder der Account gelöscht wird.
Eingeladene Meetingteilnehmer müssen sich nicht für den Dienst registrieren, sie wählen sich mit den ihnen bekannt gemachten Zugangsdaten in die Konferenz ein.
Bei Nutzung des Webkonferenzdienstes über Adobe Connect erfolgt die Speicherung der Daten registrierter Veranstalter im Adobe Connect System. Meetingveranstalter müssen sich bewusst sein, dass aufgrund technischer Limitierungen im System ihr Vorname, Nachname und ihre E-Mail-Adresse für alle auf dem Server registrierten Meetingveranstalter einsehbar sind. Dieses Feature von Adobe Connect ist nicht abstellbar und dient der automatischen Einladung von Teilnehmern in einem Meeting, die ebenfalls registriert sind.
Die Verarbeitung der erhobenen Daten ist für die Nutzung des Dienstes DFNconf erforderlich. Rechtsgrundlage ist Art. 6 Absatz 1 Buchstabe lit b) DSGVO. Die Protokollierung der Daten dient zur Erkennung und Beseitigung von Störungen und dem Schutz vor Missbrauch. Die maximale Aufbewahrungsfrist beträgt 7 Tage. Zugriff auf die Logdateien haben Mitarbeiter im DFN-Verein, die mit der Erbringung des Dienstes betraut sind.
Cookies werden nur in Bereichen gesetzt, die mit Benutzernamen und Passwort geschützt sind und wenn die Nutzer dieses in den Einstellungen ihres Browsers zulassen. Es kommen ausschließlich kurzlebige Sitzungscookies zum Einsatz. Sie dienen der eindeutigen Zuordnung der Anfragen mehrerer zeitgleich angemeldeter Nutzer und werden mit Schließen des Browsers automatisch gelöscht.
Der Dienst DFNconf
Logging bei der Durchführung von Konferenzen
Beim Videokonferenzdienst erfolgt ein Logging der beteiligten VC-Systeme (IP-Adresse, Uhrzeit, Meetingraumnummer, Meetingraum-Passwörter) durch den Konferenzserver. Des Weiteren werden je nach verwendetem Protokoll und nach Übermittlung durch den Teilnehmer weitere Daten gespeichert wie zum Beispiel Systemkennung oder Name des Teilnehmers oder Name der Einrichtung. Bei Einwahl mit Telefon in eine Konferenz wird ausschließlich die Telefonnummer gespeichert, falls diese mitgesendet wird.
Beim Webkonferenzdienst werden keine IP-Adressen gespeichert, aber alle Aktionen des Meetingveranstalters auf dem Adobe Connect Server geloggt. Dokumente und Aufzeichnungen werden dem Meeting bzw. dem Veranstalter zugeordnet.
Löschung von Registrierungsdaten und Logdateien
Registrierungsdaten (Accounts) werden gelöscht, wenn ein Meetingveranstalter beim DFN-Verein die Austragung seiner Registrierung beauftragt hat oder der DFN-Verein über das Ende der Zughörigkeit eines Meetingveranstalters zu einer Einrichtung informiert wird. Die Löschung der Registrierungsdaten erfolgt unverzüglich. Mit der Löschung der Registrierungsdaten werden auch alle Bestands- und Nutzungsdaten des Accounts gelöscht.
Jede Registrierung für den Dienst und Nutzung des Dienstangebots erfordert Lizenzen, die der DFN-Verein nutzungsgerecht in ausreichender Menge bereitstellt. Aus Gründen der Wirtschaftlichkeit müssen diese Lizenzen sinnvoll verwaltet werden. Wird ein Account ein Jahr lang nicht genutzt, erfolgt die Löschung des Accounts.
Die Löschung bzw. Anonymisierung von personenbezogenen Daten erfolgt auf den einzelnen Dienstkomponenten unterschiedlich. Auf den Gatekeepern der Videokonferenzplattform gespeicherte IP-Adressen werden nach 7 Tagen anonymisiert. Die Logs der Konferenzserver werden nach 4 Wochen gelöscht, um im Fehler- oder Missbrauchsfall noch ein Debugging durchführen zu können. Beim Webkonferenzdienst (Adobe Connect) erfolgt eine Löschung der Logdateien nach maximal 4 Wochen.
Rechtsgrundlage ist Art. 6 Absatz 1 Buchstabe b) für Registrierungsdaten und Art. 6 Absatz 1 Buchstabe f) EU-DSGVO beziehungsweise § 100 Absatz 1 Telekommunikationsgesetz. Die Erkennung und Beseitigung von Störungen und/oder Missbrauchsfällen liegen im berechtigten Interesse des DFN-Vereins als Verantwortlichem.
Aufzeichnungen von Konferenzen und hochgeladene Dokumente
Aufzeichnungen und hochgeladene Dokumente werden unverschlüsselt auf dem Server gespeichert und sind eindeutig einem Meetingraum zugeordnet. Es kann nicht anderweitig darauf zugegriffen werden. Der Meetingveranstalter informiert die Meetingteilnehmer über die Aufzeichnung und holt die ausdrückliche Einwilligungen von jedem Teilnehmer vor dem Start der Aufzeichnung ein. Eine schriftliche Dokumentation dieser Einwilligungen durch den Veranstalter zum Ausschluss späterer Probleme ist zu empfehlen. Der Meetingveranstalter ist für das Löschen der Aufzeichnungen und hochgeladener Dokumente verantwortlich. Es erfolgt keine automatische Löschung von Aufzeichnungen und hochgeladenen Dokumenten.
Anbindung von Lernmanagement-Systemen (LMS)
Bei Anbindung von Lernmanagement-Systemen über ein LMS-Plugin wird für jeden im LMS-Kurs angemeldeten Nutzer ein Nutzeraccount mit Vornamen, Nachnamen und E-Mail-Adresse auf der Konferenzplattform erzeugt. Diese Nutzeraccounts haben auf dem System außer dem Zutrittsrecht keine weiteren Rechte und werden nach 6 Monaten wieder gelöscht. Diese Löschfrist entspricht der Nutzung des Dienstes durch Studenten über den Zeitraum eines Semesters. Betroffene Nutzer sollten durch den Meetingveranstalter bei Anbindung von LMS vorher über die Übermittlung ihrer Daten informiert werden (ggf. durch Hinweis auf diese Datenschutzerklärung)
Zum Erhalt von Betriebsinformationen, aktuellen Informationen zum Dienst DFNconf und zum Wissensaustausch werden die betrieblichen Ansprechpartner mit Vertragsabschluss automatisch in eine Mailingliste aufgenommen.
In die Mailingliste können auch Interessenten eintragen werden, die nicht für den Dienst DFNconf registriert sind.
Schulungen zum Dienst DFNconf werden von Mitarbeitern des Kompetenzzentrums für Videokonferenzdienste (VCC) an der TU Dresden durchgeführt. Details zu den Veranstaltungen und zum Umgang mit den dort verarbeiteten personenbezogenen Daten finden Sie auf den Informationsseiten der jeweiligen Schulungen.
Die personenbezogenen Daten werden auf besonders geschützten Servern in Deutschland gespeichert. Sie stehen mit hoher Verfügbarkeit und Ausfallsicherheit an den Kernnetzknoten im Wissenschaftsnetz oder bei einem Anbieter von Serverkomponenten in Deutschland, mit dem der DFN-Verein spezielle vertragliche Absprachen zur Einhaltung und Erfüllung der Vorgaben in Artikel 28 (1) bis (4) DSGVO getroffen hat. Der Zugriff darauf ist nur befugten Personen möglich, die entweder als Mitarbeiter des DFN-Vereins, oder bei einem durch den DFN verpflichteten Auftragsunternehmen mit Installation, Betrieb, Wartung und Aktualisierung der Server befasst sind.
Die Anmeldung der Meetingveranstalter aus teilnahmeberechtigten Einrichtungen an den Servern des Dienstes DFNconf sowie die gesamte Verwaltung des Accounts und der Austausch der Meetingdaten (Audio, Video, Datenpräsentationen/Whiteboard) erfolgt verschlüsselt.
Der DFN-Verein behält sich vor, diese Datenschutzerklärung künftig zu ändern. Eine entsprechende Nachricht wird durch eine hervorgehobene Bekanntmachung auf den Webseiten zur Verfügung gestellt.
Rechte betroffener Personen nach der EU-Datenschutz-Grundverordnung
Art. 15 DSGVO regelt das Auskunftsrecht Betroffener. Artikel 15 gibt Ihnen die Möglichkeit, vom DFN-Verein eine Bestätigung zu verlangen, ob Ihre personenbezogenen Daten von uns verarbeitet werden. Sofern Ihre personenbezogenen Daten bei uns vorliegen, können Sie weiterhin Information zum Verarbeitungszweck, zu deren Herkunft und Empfängern beim DFN Verein, der Speicherdauer und Details (insbesondere Datenkategorien) zu den von Ihren vorliegenden Daten verlangen.
Art. 16 DSGVO eröffnet Ihnen das Recht, die Berichtigung sowie im Hinblick auf den Zweck die Vervollständigung Sie betreffender unrichtiger personenbezogener Daten zu verlangen.
Art. 17 Abs. 1 DSGVO gibt ihnen das Recht - mit bestimmten Ausnahmen - die Löschung von Daten zu verlangen. Art. 17 Abs. 2 DSGVO regelt ein „Recht auf Vergessenwerden“, wenn die verantwortliche Stelle die zu löschenden Daten öffentlich gemacht hat. Eine Löschung kann insbesondere verlangt werden, wenn die personenbezogenen Daten nicht mehr für ursprünglichen Zweck notwendig sind oder Sie Ihre Einwilligung widerrufen haben und keine anderweitige Rechtsgrundlage zur Verarbeitung vorliegt.
Das Recht auf Datenübertragbarkeit nach Art. 20 DSGVO gibt unter bestimmten Voraussetzungen (insbesondere wenn die Datenverarbeitung auf einer Einwilligung oder einem Vertrag basiert) einen Anspruch, eine Kopie von personenbezogenen Daten in einem gängigen, strukturierten und maschinenlesbaren Format zu erhalten, bzw. dass diese Daten direkt einem anderem Verantwortlichen - sofern technisch möglich - übermittelt werden.
Nach Art. 21 Abs. 1 DSGVO hat der Betroffene je nach Sachlage und Umständen ein Widerspruchsrecht gegen eine Verarbeitung von personenbezogenen Daten, welche auf Grundlage des Art. 6 Abs. 1 lit. e (Wahrnehmung von Aufgaben im öffentlichen Interesse) oder f (Wahrung berechtigter Interessen des Verantwortlichen) DSGVO erfolgt.
Wenn die Datenverarbeitung auf Ihrer Einwilligung basiert (Artikel 6 Abs. 1 lit. a), so haben sie nach Artikel 7 Abs. 3 DSGVO jederzeit das Recht Ihre Einwilligung zurückzuziehen. Die Datenverarbeitung vor Eingang Ihres Wiederrufs verbleibt rechtmäßig.
Insbesondere wichtig für Meetingteilnehmer: Der Widerruf der Einwilligung sollte direkt den Meetingveranstaltern mitgeteilt werden, da diese für die Organisation der personenbezogenen Daten in den Webkonferenzen verantwortlich sind und insbesondere nur sie diese Daten mit wenig Aufwand löschen können.
Artikel 77 DSGVO eröffnet jeder betroffene Person das Recht auf Beschwerde bei einer Aufsichtsbehörde.
E-Mail: datenschutz@dfn.de, Telefon: +49 30 884299 9103
Mit Fragen zum Dienst DFNconf können Sie sich darüber hinaus auch an die auf dem Portal angegebenen Kontaktdaten wenden.
Diese Hinweise datieren vom 02.10.2018.
updated:13. March 2019 09:23

References: Art. 12
 Art. 6
 § 100
 Art. 6
 Art. 6
 Art. 6
 § 100

Art. 15

Art. 16

Art. 17
 Art. 17
 Art. 20
 Art. 21
 Art. 6