Datenschutzrechtlichen Information nach Art. 13 DS-GVO zur Anwendung des zentralen Chat-Dienstes an der Universität Rostock

---

Durch die Bereitstellung eines Chat-Dienstes ist eine effektive Echtzeit-Kommunikation zwischen Personen und Personengruppen der Universität Rostock möglich. Zudem erlaubt der Förderationsbetrieb des Matrix-Protokolls eine Kommunikation mit externen Personen, die eine Account auf einem Matrix-Server außerhalb der Universität Rostock besitzen. Die Nutzung des Dienstes ist freiwillig.Dabei werden personenbezogene Daten erhoben. Die EU-Datenschutz-Grundverordnung (DS-GVO) schreibt nach Art. 13 DS-GVO diesbezüglich Informationspflichten vor, denen wir hiermit nachkommen:

Verantwortlichkeit
Universität Rostock
Gesetzlich vertreten durch die Rektorin
Prof. Dr. Elizabeth Prommer
Universitätsplatz 1
18055 Rostock
Tel.: +49 381 498-1000
E-Mail: rektorin@uni-rostock.de

Datenverarbeitende Stelle
Ansprechpartner ist Jörg Zerbe
Universität Rostock
Abteilung 2 "Systeme und Dienste" / IT- und Medienzentrum der Universität Rostock
Albert-Einstein-Straße 22
18059 Rostock
Tel.: +49 (0)381 498 5320
E-Mail: joerg.zerbe@uni-rostock.de

Datenschutzbeauftragte
Universität Rostock Stabsstelle Datenschutz und Informationssicherheit
Konrad-Zuse-Haus, Raum 104
Albert-Einstein-Str. 22
18059 Rostock
Tel.: +49 (0)381 / 498 8333
E-Mail: datenschutzbeauftragte@uni-rostock.de

Verarbeitungstätigkeiten
Für die Nutzung des Chat-Dienstes stellt das ITMZ Ihnen als Universitätsangehörigen und externen Nutzer:innen (Personen außerhalb der Universität, Nutzer der föderierten Systeme) einen Webzugriff zur Verfügung, der bei Bedarf genutzt werden kann. Alternativ stehen kostenlose Clients für diverse Endgeräte zur Verfügung, welche beim Softwarehersteller heruntergeladen werden können. Die Nutzung eines solchen Clients ist optional, da jederzeit auch mittels eines Browsers auf den Dienst zugegriffen werden kann.
Um die bestmöglichste IT-Sicherheit zu gewährleisten, wird "Matrix" ausschließlich auf der IT-Infrastruktur der Universität Rostock (UR) betrieben (Betreibermodell: On-Premises). Dementsprechend stehen die erforderlichen Server im Konrad-Zuse-Haus (Rechenzentrum) der UR. Das IT-Sicherheitskonzept des IT- und Medienzentrums (ITMZ) der UR findet diesbezüglich Anwendung.


Grundsätzlich werden alle Daten verschlüsselt übertragen. Mit dem Upgrade auf die aktuelle Software „Matrix“ werden nun auch alle Inhalte verschlüsselt und können somit nur vom jeweiligen Besitzer der Daten eingesehen werden. Eine Einsichtnahme der Dateninhalte durch die Administratoren ist nicht möglich. Technisch bedingt gespeicherte Daten werden ebenfalls verschlüsselt abgelegt. Der Chat-Dienst selbst wird als virtueller Server in der zentralen Hypervisor-Infrastruktur des ITMZ betrieben. Diese speichert Ihre Daten im zentralen Storage des ITMZ.
Anmeldung am Dienst
Universitätsangehörige authentifizieren sich mit Ihrem Nutzer-Account des ITMZ via Redirect-Verbindung zum Identity Server „idp.uni-rostock.de“ (Shibboleth).
Im Anmeldeprozess werden von Ihnen personenbezogene Daten erhoben. Ohne Anmeldung ist die Nutzung des Chat-Dienstes nicht möglich.
Externe Chat-Teilnehmer können sich nicht am Chat-Dienst der Uni-Rostock authentifizieren, aber trotzdem mit Universitätsangehörigen mittels Direktnachrichten oder Gruppen kommunizieren.

Kategorien von verarbeiteten personenbezogenen Daten
Serverseitig werden folgende Daten genutzt: Nutzername, Name und Vorname, E-Mail-Adresse, Zeitpunkt der Erstanmeldung, sowie Systemdaten und Systemdaten von Nutzern.
Im Einzelnen werden folgende Daten erhoben und verarbeitet:
- ITMZ-Account (Universitätsangehörige, Gastnutzer) bzw. Nutzername (externe Nutzer),
- Name, Vorname,
- E-Mail-Adresse,
- Zeitpunkt der Erstanmeldung,
- Matrix-ID und
- ggf. ein Profilbild, sofern Sie dieses freiwillig bereitstellen
In der Kategorie Systemdaten werden Standard-Logfiles des Dienstes erstellt. Die Erstellung der Logfiles wurde auf den minimalen Standard eingestellt, so dass lediglich Systeminformationen (API Endpunkte, Zeitstempel von Systemereignissen, http-Statuscodes, Fehlermeldungen, Warnungen, IP-Adressen der Nutzer zum Zugriffszeitpunkt, fehlgeschlagene Anmeldeversuche, Verbindungsdaten zu föderierten Servern (Servername, Zeitstempel) enthalten sind, sowie der Authentifikationsaufruf gegen den Shibboleth-Server, welcher die E-Mail- Adresse und den ITMZ-Account des Nutzers enthält. .
In der Kategorie Systemdaten von Nutzern sind die erstellten Gruppen, die Direktnachrichtenpartner (Vor- und Nachname, Matrix-ID), Anzahl der Chatnachrichten und die Anzahl der Gruppenteilnehmer, Gruppenzugehörigkeit, IP-Adresse, Gerätename (Client), Browser, Art und Anzahl der aktiven Sitzungen, Aktivität der Sitzung enthalten.

Matrix ist ein föderiertes Protokoll. Bei Kommunikation mit Nutzer:innen anderer Hochschulen/Institutionen werden folgende Daten zwangsläufig auf deren Servern gespeichert, die zum Zeitpunkt der Kommunikation beteiligt sind:
- Nutzer-ID, Displayname, Avatar, Raum-Mitgliedschaften
- Gesendete/empfangene Nachrichten
- Hochgeladene Dateien/Medien (repliziert auf allen beteiligten Servern)
Diese Verarbeitung erfolgt durch den jeweiligen Serverbetreiber.


Zweck der Verarbeitung
Der Zweck der Verarbeitung liegt in der effektiven online-Kommunikation zwischen Personen und in Personengruppen der Universität Rostock und externen Nutzern anderer Hochschulen. Dabei können schriftlich beispielsweise Dokument- Teilinhalte, Konfigurationsabschnitte, kleine Zwischenergebnisse, etc. ausgetauscht werden. Eine Kommunikation über den Chat-Dienst besonders für kurze Absprachen oder den Austausch von Daten, welche nicht dauerhaft zur Verfügung stehen sollen, führt zu verbesserter Kommunikation und auch zu einer Entlastung des E-Maildienstes. Die Verarbeitung der oben genannten personenbezogenen Daten ist notwendig, um den ordnungsgemäßen Betrieb des Dienstes gewährleisten zu können. Sensible Daten i.S.d. Art. 9 DSGVO und weitere sensible Informationen (Passwörter, Geschäftsgeheimnisse etc.) dürfen nicht in Chat eingetragen oder über den Chat-Dienst weitergegeben werden. Die Nutzung dieses Dienstes ist freiwillig.

Rechtsgrundlage der Verarbeitung
Rechtsgrundlage für die Verarbeitung der Daten ist Art. 6 Abs. 1 lita) i.V.m. Art. 32 Abs. 1 lit. d) DS-GVO, sowie § 7 Abs. 1 , 5 u. 7 Nutzungsordnung des IT- und Medienzentrums vom 15.12.2010 sowie § 6 Abs. 3 Datenschutzsatzung Universität Rostock Die Rechtsgrundlage für Verarbeitung und Speicherung Logdateien zur Wahrung eines berechtigen Interesses der Universität ist Art. 6 Abs. 1 lit. a) DS-GVO i.V.m. § 7 Abs. 5 Nutzungsordnung des IT- und Medienzentrums vom 15.12.2010.

Empfänger der personenbezogenen Daten
Empfänger der personenbezogenen Daten sind beim Chat-Dienst die Mitglieder der Universität Rostock bzw. externe Nutzer, welche diese für die effektive online Kommunikation verwenden. Dabei sind folgende Daten des Anwenders durch die anderen Nutzer:innen des Systems einsehbar: vollständiger Name (Vorname und Nachname), das Profilbild, sofern der Anwender dies freiwillig bereitgestellt hat und den Online-Status.
Weitere Empfänger der Daten sind die zuständigen Administratoren des ITMZ für den Chat-Dienst , welche den ordnungsgemäßen Systembetrieb gem. des ITMZ-Sicherheitskonzept gewährleisten. Dabei können die Administratoren des Dienstes folgende Daten einsehen: Informationen zu den Anwendern (ITMZ-Accountname bzw. Benutzername bei externen Nutzern, Heimatserver bei externen Nutzern, vollständiger Name (Vorname und Nachname), E-Mail-Adresse, das Profilbild, sofern der Anwender dies freiwillig bereitgestellt hat, das Beitrittsdatum zum Dienst, den Online-Status, Matrix-ID, IP-Adresse, Gerätename (Client), Browser, Art und Anzahl der aktiven Sitzungen, Aktivität der Sitzung, Informationen zu angelegten Gruppen (Gruppenname, Anzahl der Nutzer in dieser Gruppe, Gruppenteilnehmer, Chatgruppenzugehörigkeit), Informationen zu angelegten Direktnachrichtenkanälen (Direktnachrichtenpartner), Server-Logfiles (Shibboleth-Authentifikation, Systemdaten, API-Endpunkte, Zeitstempel von Systemereignissen, http-Statuscodes, Fehlermeldungen, Warnungen, IP-Adressen der Nutzer zum Zugriffszeitpunkt, fehlgeschlagene Anmeldeversuche, Verbindungsmetadaten zu föderierten Servern (Name, Zeitstempel).
Sofern Behörden oder Gerichte bzw. andere staatliche Ermittlungsorgane Anfragen an die Universität richten und die Universität dazu verpflichtet ist, diesen Folgen zu leisten, so können die oben genannten Daten bzw. Logdateien an diese weitergeben werden.

Dauer der Speicherung
Die Dauer der Speicherung ist kategorieabhängig. Die Daten der Kategorien Nutzungsdaten und Systemdaten „Nutzer“ werden so lange gespeichert, bis das Vertragsverhältnis mit der Universität Rostock beendet wurde. Außer die Matrix-ID, diese verbleibt dauerhaft im System (eine Löschung ist technisch nicht vorgesehen um Doppelvergabe zu vermeiden). Die Chaträume und -inhalte werden gelöscht, wenn alle Teilnehmer ausgeschieden/gelöscht sind (Chatnachrichten verbleiben im Kommunikationsverlauf der jeweiligen Räume, um die Integrität der laufenden Kommunikation zu wahren. Eine Löschung der Daten erfolgt erst, wenn der gesamte Raum gelöscht wird (wenn alle Teilnehme den Raum verlassen haben). Der Raumadministrator kann selbstständig dafür sorgen, dass mit seinem Ausscheiden auch der Raum mit seinen Daten automatisch gelöscht wird, indem er die Mitglieder selbstständig aus dem Raum entfernt. Die Accountdaten werden automatisch durch das Identity-System entfernt. Die Logdaten werden nach 4Tagen gelöscht.


Folgen der Nichtangabe, Widerspruchs- bzw. Beseitigungsmöglichkeit
Die Erfassung der Daten zur Bereitstellung des Chat-Dienstes und die Speicherung der Daten in Logfiles ist für den Betrieb des Chat-Dienstes zwingend erforderlich. Nutzer/innen, die gegen eine Verarbeitung ihrer Daten im oben beschriebenen Sinne sind, können sich über Alternativwege an die Universität wenden, um entsprechende Informationen zu erhalten oder Vorgänge durchzuführen. Die Daten werden ohne ausdrückliche Zustimmung des Nutzers nicht an Dritte weitergegeben.

Ihre Rechte
Ihnen stehen folgende Rechte gegenüber der Verantwortlichen zu:
1. das Recht auf Auskunft, ob und welche Daten von Ihnen verarbeitet werden, Art. 15 EU-DSGVO
2. das Recht, die Berichtigung der Sie betreffenden Daten zu verlangen (Art. 16 EU-DSGVO)
3. das Recht auf Löschung der Sie betreffenden Daten nach Maßgabe des Art. 17 EU-SGVO
4. das Recht, nach Maßgabe des Art. 18 EU-DSGVO eine Einschränkung der Verarbeitung der Daten zu verlangen
5. das Recht auf Widerspruch gegen eine künftige Verarbeitung der Sie betreffenden Daten nach Maßgabe des Art. 21 EU-DSGVO
6. das Recht, die Sie betreffenden personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten (Recht auf Datenübertragbarkeit, Art. 20 EU-DSGVO

Sie haben über die genannten Rechte hinaus das Recht, eine Beschwerde bei der datenschutzrechtlichen Aufsichtsbehörde einzureichen (Art. 77 DSGVO):
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern
Schloss Schwerin
Lennéstraße 1
19053 Schwerin
Telefon: +49 (0)385 59494 0
Telefax: +49 (0)385 59494 58
E-Mail: info@datenschutz-mv.de