Datenschutzerklärung

1.1 Verantwortlicher

Universität Stuttgart
Keplerstraße 7
70174 Stuttgart
Deutschland
Telefon: +49 711 685 0
E-Mail: poststelle@uni-stuttgart.de

1.2 Datenschutzbeauftragter

Datenschutzbeauftragter der Universität Stuttgart
Geschwister-Scholl-Str. 24 B (3. OG)
70174 Stuttgart
Deutschland
E-Mail: datenschutzbeauftragter@uni-stuttgart.de

1.3 Ihre Rechte

Das Datenschutzrecht gewährt Ihnen eine Reihe von Betroffenenrechten. Je nach Grund und Art der Verarbeitung Ihrer personenbezogenen Daten stehen Ihnen die folgenden Rechte zu​:

• Ihr Recht auf Auskunft, Artikel 15 DS-GVO
  Sie haben das Recht von uns zu erfahren, ob und – wenn ja – welche personenbezogenen Daten wir von Ihnen verarbeiten. Sie haben das Recht, von uns Kopien Ihrer personenbezogenen Daten zu verlangen. Dieses Recht gilt immer. Bitte beachten Sie, dass Ihr Auskunftsrecht unter bestimmten Umständen gemäß den gesetzlichen Vorschriften (insbesondere § 9 LDSG) jedoch eingeschränkt sein kann. Nähere Informationen zum Recht auf Auskunft finden Sie im DSK Kurzpapier Nr. 6 Auskunftsrecht der betroffenen Person, Art. 15 DS-GVO [PDF] der Datenschutzkonferenz.
• Ihr Recht auf Berichtigung, Artikel 16 DS-GVO
  Sie haben das Recht von uns unverzüglich die Berichtigung der Sie betreffenden personenbezogenen Daten zu verlangen, die Sie für unrichtig halten. Sie haben auch das Recht von uns eine Vervollständigung solcher personenbezogenen Daten zu verlangen, die Sie für unvollständig halten. Dieses Recht gilt immer.
• Ihr Recht auf Löschung, Artikel 17 DS-GVO
  Sie haben unter gewissen Voraussetzungen das Recht von uns die Löschung Ihrer personenbezogenen Daten zu verlangen. Ihr Anspruch auf Löschung hängt unter anderem davon ab, ob die Sie betreffenden Daten von uns zur Erfüllung unserer Aufgaben noch benötigt werden. Mehr dazu lesen Sie im DSK-Kurzpapier Nr. 11 Recht auf Löschung / „Recht auf Vergessenwerden“ [PDF ].
• Ihr Recht auf Einschränkung der Verarbeitung, Artikel 18 DS-GVO
  Sie haben unter gewissen Voraussetzungen das Recht, von uns die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
• Ihr Recht auf Widerspruch, Artikel 21 DS-GVO
  Wenn wir Ihre personenbezogenen Daten verarbeiten, weil die Verarbeitung Teil unserer öffentlichen Aufgaben ist, oder wenn wir Ihre Daten auf Basis eines berechtigten Interesses verarbeiten, haben Sie das Recht, der Verarbeitung zu widersprechen. Zwingende Gründe können diesem Recht jedoch entgegenstehen.
• Ihr Recht auf Datenübertragbarkeit, Artikel 20 DS-GVO
  Dieses Recht steht Ihnen nur bezüglich solcher personenbezogener Daten zu, welche Sie uns selbst bereitgestellt haben. Sie haben das Recht, von uns zu verlangen, dass diese personenbezogenen Daten von uns direkt an einen anderen Verantwortlichen oder an eine andere Organisation übermittelt werden. Alternativ haben Sie das Recht, von uns zu verlangen, dass wir Ihnen selbst die Daten in einem maschinenlesbaren Format bereitstellen. Dies gilt jedoch nur, wenn wir Ihre personenbezogenen Daten aufgrund Ihrer Einwilligung oder aufgrund eines Vertrages bzw. im Rahmen von Vertragsverhandlungen verarbeiten und die Verarbeitung mithilfe automatisierter Verfahren erfolgt. Näheres dazu finden Sie in den Leitlinien zum Recht auf Datenübertragbarkeit [PDF] der Artikel 29 Gruppe.
• Ihr Recht auf Beschwerde
  Zur Wahrnehmung Ihrer Rechte und wenn Sie der Auffassung sind, dass wir bei der Verarbeitung Ihrer Daten datenschutzrechtliche Vorschriften nicht beachtet haben, können Sie sich mit einer Beschwerde an eine datenschutzrechtliche Aufsichtsbehörde wenden. Eine solche Aufsichtsbehörde ist beispielsweise der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.

2.1 Beim Aufruf einer Webseite des Info-Servers www.zendas.de

Nachstehend informieren wir Sie über die Protokollierung, die beim Zugriff auf eine Seite aus dem Web-Angebot von ZENDAS (Info-Server) und beim Abruf von Inhalten erfolgt, sowie über die Verwendung von Cookies und die Speicherung von Sitzungsinformationen (Session-Daten).

Verarbeitete personenbezogene Daten

Protokollierung an den aktiven Netzwerk-Komponenten der Universität Stuttgart

Hinsichtlich einer möglichen Protokollierung an den Netzwerk-Komponenten der Universität Stuttgart beachten Sie bitte die Datenschutzhinweise unter „Bereitstellung der Webseite und Erstellung von Logfiles“ in deren Datenschutzerklärung:

https://www.uni-stuttgart.de/datenschutz

Protokollierung auf dem Info-Server

Bei Zugriffen auf den Info-Server werden folgende Informationen erhoben:

• die vollständige IP-Adresse
• der Zeitstempel des Zugriffs
• die HTTP-Anfrage (abgerufene URL, Methode, Protokollversion, Host)
• der resultierende HTTP-Statuscode (Antwort geschickt, Seite nicht gefunden, Zugriff nicht erlaubt etc.) und die Größe der gesendeten Antwort
• der Referrer (die Seite, von der der Besucher gekommen ist), ohne Query String
• der User-Agent-String (Informationen zu Browser, Betriebssystem und Gerätetyp)
• bei einem erfolglosen Zugriff und anderen Fehlern werden zusätzlich erhoben: der Referrer (die Seite, von der der Besucher gekommen ist) mit Query String, der Quell-Port, die Fehlermeldung, technische Details des Servers

Verwendung von Cookies

Beim Besuch der ZENDAS-Webseiten werden Cookies gesetzt, wenn die Besucherin bzw. der Besucher sich anmeldet oder automatisch via IP-Erkennung angemeldet wird. Diese Cookies werden verwendet, um eine Sitzung (Session) zwischen dem Browser und dem Info-Server aufrechtzuerhalten. Sie ermöglichen es dem Info-Server, aufeinanderfolgende Anfragen eines Browsers als zusammengehörig zu erkennen. Dadurch können Besucherinnen und Besucher die zugriffsgeschützten Inhalte fortlaufend nutzen, ohne sich bei jedem Seitenwechsel erneut anmelden zu müssen.

Ihren aktuellen Anmeldestatus können Sie jederzeit durch einen Klick auf das ‚User‘ Icon im Seitenheader einsehen.

Eine Anmeldung ist auf einem der folgenden Wege möglich:

• Automatisches Login via IP-Erkennung, wenn der Zugriff aus einem IP-Bereich eines Kooperationspartners oder einer Einrichtung, die mit ZENDAS einen Abonnementvertrag hat (Abokunde), erfolgt, der bei uns hinterlegt ist.
• Login via Shibboleth, wenn die von einem Kooperationspartner oder Abokunden übermittelten Shibboleth-Merkmale bei uns hinterlegt sind.
• Persönliches Login mit lokalem Konto, nur für ZENDAS Kontaktpersonen und Personen, die vom Abokunden als so genannte „Ansprechpartner“ benannt sind.

In diesen Fällen werden durch den Info-Server folgende Session-Cookies im Browser gesetzt und bei jedem Seitenaufruf vom Browser an den Server übertragen:

• zendas_test_cookie_[Hash der Website-URL]: Dieses Cookie dient der Überprüfung, ob Cookies korrekt gesetzt werden können. Es wird während des Anmeldeprozesses beim persönlichen Login sowie bei der IP-Erkennung gesetzt und gleich anschließend wieder gelöscht (siehe “Dauer der Speicherung“).
• wordpress_logged_in_[Hash der Website-URL]: Dieses Cookie ist zur Aufrechterhaltung einer Sitzung zwischen Ihrem Browser und dem Webserver bzw. der Web-Anwendung, mit der wir die Website verwalten (= WordPress), auf unserem Info-Server erforderlich. Es enthält folgende, jeweils durch ein Pipe-Symbol ( | ) getrennte Informationen: Name des Benutzerkontos | Zeitstempel wann die Sitzung spätestens abläuft | eindeutiges zufälliges Session-Token | HMAC (Hash-based Message Authentication Code) für die vorigen Werte.
  Für das Login via IP-Erkennung oder Shibboleth werden Gruppenaccounts verwendet. Der Name des Benutzerkontos gibt Auskunft über die Hochschule, die Zugriffsebene / Rolle (Hochschule oder Verwaltung) und die verwendete Login-Methode (Shibboleth oder IP-Erkennung).
  Der HMAC ist eine kryptographische Signatur, die eine Manipulation des Cookies erkennbar macht. In den geheimen Schlüssel des HMAC fließen auch vier Zeichen des gehashten Benutzerpasswortes ein, so dass eine Änderung des Passwortes die Sitzung automatisch ungültig macht.
• _shibsession_[Hex-codierter Name der Anwendung und EntityID des Service Providers]: Dieses Cookie wird nur bei einer Anmeldung via Shibboleth gesetzt und ist zur Aufrechterhaltung einer Sitzung zwischen Ihrem Browser und unserem Shibboleth Service Provider, einem Dienst auf dem Info-Server, erforderlich. Es enthält ein eindeutiges zufälliges Session-Token.

Speicherung von Sitzungsinformationen (Session-Daten) auf dem Info-Server

Bei allen drei Login-Methoden werden für den angemeldeten Benutzer der Zeitstempel des Logins, das Session-Token sowie der Zeitstempel, wann die Sitzung spätestens abläuft, in der Datenbank gespeichert.

Beim Login via Shibboleth werden zusätzlich Daten über die Shibboleth-Session im Arbeitsspeicher des Servers vorgehalten. Dazu gehören insbesondere

• die IP-Adresse der benutzenden Person (wenn diese sich im Verlauf der Session ändert, wird die Session ungültig, um einen eventuellen Diebstahl von Cookies zu verhindern)
• das Session-Token
• Zeitstempel des Logins am Identity Provider (d.h. der Heimat-Hochschule des Benutzers), des letzten Zugriffs und der maximalen Gültigkeit der Session
• über welchen Identity Provider die Anmeldung kam
• die vom Identity Provider übertragenen Werte für die Attribute eduPersonScopedAffiliation und (sofern mitgeschickt) eduPersonEntitlement
• der vom Identity Provider vergebene sessionIndex (zur Identifizierung der Session dort, z.B. für ein späteres Logout)
• technische Daten zum Anmeldevorgang, insbesondere das verwendete SAML Protokoll und der vom Identity Provider angegebene Authentifizierungskontext, d.h. ob ein einfaches Passwort, Zwei-Faktor-Authentifizierung oder eine andere Methode verwendet wurde

Weitere Informationen zum Ablauf der Shibboleth-Anmeldung sowie zur Datenverarbeitung beim Login mit persönlichem Benutzerkonto oder via Shibboleth finden Sie im Kapitel 2.2.

Zwecke

• Die Protokolldaten des Info-Servers werden zur Fehlerbehebung und zur Sicherstellung des ordnungsgemäßen Betriebs verarbeitet. In anonymisierter Form werden diese Daten daneben zu statistischen Zwecken verarbeitet.
• Die bei der Verwendung von Cookies/Speicherung von Sitzungsinformationen erhobenen Daten werden zum Zwecke der Authentisierung, Authentifizierung und Autorisierung verarbeitet, um den Abruf von bestimmten, nicht allgemein zugänglichen Daten zu ermöglichen.

Rechtsgrundlage

• Fehlerbehebung und Sicherstellung des ordnungsgemäßen Betriebs: Art. 6 Abs. 1 lit. e i. V. m. Abs. 3 DS-GVO i.V.m. § 12 Abs. 1 i. V. m. § 6 Abs. 1 LHG i.V.m der ZENDAS- Kooperationsvereinbarung i.V.m § 3 LDSG.
• Anonymisierung und statistische Auswertung: § 5 Abs. 2 Nr. 2, § 4 Abs. 2 LDSG.
• Verwendung von Cookies/Speicherung von Sitzungsinformationen:
  • Personen, deren Einrichtung ein Abonnementvertrag mit ZENDAS abgeschlossen haben: Art. 6 Abs. 1 lit. f DS-GVO (wir schulden die Bereitstellung der vollständigen Inhalte der Webseiten und darin, dies erfüllen zu können, liegt unser berechtigtes Interesse);
  • Personen, deren Universität Kooperationspartner von ZENDAS ist: Art. 6 Abs. 1 lit. e i. V. m. Abs. 3 DS-GVO i.V.m. § 12 Abs. 1 i. V. m. § 6 Abs. 1 LHG i.V.m. der ZENDAS- Kooperationsvereinbarung.

Empfänger

Sofern wegen eines Angriffs auf die informationstechnischen Systeme der Universität Stuttgart Ermittlungsmaßnahmen eingeleitet werden, können die Protokolldaten und Sitzungsinformationen an staatliche Ermittlungsorgane weitergegeben werden. Dasselbe gilt, wenn entsprechende Behörden oder Gerichte Anfragen an die Universität richten und die Universität dazu verpflichtet ist, diesen Folge zu leisten.

Die Daten werden außerdem gegebenenfalls dem für unsere IT-Infrastruktur als Auftragsverarbeiter tätigen Dienstleister offengelegt.

Dauer der Speicherung

• Die Protokolldaten des Info-Servers werden nach 7 Tagen gelöscht bzw. anonymisiert.
• Alle verwendeten Cookies sind Session-Cookies.
  • Das zendas_test_cookie wird unmittelbar nach erfolgreicher Prüfung des Cookie-Setzens wieder gelöscht.
  • Falls eine Shibboleth-Anmeldung am Identity Provider (= der Heimathochschule des Benutzers) erfolgreich war, das automatische Login am Info-Server aber scheitert (in der Regel weil für die betreffende Hochschule bei uns keine Shibboleth-Attribute hinterlegt sind), wird das shibsession-Cookie unmittelbar danach gelöscht.
  • Bei einem erfolgreichen Login werden alle möglicherweise noch vorhandenen alten Cookies gelöscht.
  • Ansonsten werden Session-Cookies generell bei der Abmeldung durch unseren Webserver oder – falls keine Abmeldung erfolgt – durch Ihren Browser beim Schließen desselben gelöscht. Der Webserver ‚löscht‘ ein Cookie, indem er es mit einem bereits abgelaufenen Gültigkeitsdatum erneut setzt. Dadurch gilt es als ungültig. Browser löschen abgelaufene Cookies grundsätzlich sofort und Session-Cookies beim Schließen des Browsers. Ob und wann Ihr Browser die Cookies tatsächlich löscht, kann allerdings variieren, je nach Browsertyp, Einstellungen und Nutzungsverhalten. Insbesondere folgende Situationen können dazu führen, dass Cookies länger erhalten bleiben:
    • Verwendung der Browser-Funktion „Vorherige Sitzung wiederherstellen“, „Seiten wiederherstellen“ oder Ähnliches.
    • Öffnen der Website in mehreren Browser-Tabs oder Fenstern.
    • Verwendung des privaten/inkognito Browser-Modus in Kombination mit Öffnen in anderen Fenstern.
• Eine WordPress-Session ist maximal acht Stunden gültig. Die auf dem Webserver in der Datenbank gespeicherten Session-Daten werden beim Abmelden gelöscht oder wenn beim erneuten Besuch des Info-Servers das Cookie noch vorhanden ist und als abgelaufen erkannt wird.
  Eine Shibboleth-Session ist maximal acht Stunden gültig, anschließend werden die Session-Daten gelöscht. Bei Inaktivität oder bei einer Abmeldung vom Info-Server (wenn das _shibsession_ Cookie erfolgreich gelöscht wird) werden die Session-Daten nach einer Stunde gelöscht.

Folgen der Nichtangabe, Widerspruchs- bzw. Beseitigungsmöglichkeit

Die Erfassung der Daten zur Bereitstellung der Website und die Speicherung der Daten in Logfiles ist für den Betrieb der Internetseite zwingend erforderlich. Nutzende, die nicht möchten, dass ihre Daten wie beschrieben verarbeitet werden, können die Webseiten von ZENDAS nicht nutzen.

Cookies werden auf dem Endgerät der nutzenden Person gespeichert und von diesem an unsere Seite übermittelt. Daher haben Sie als nutzende Person – unabhängig von den vorstehend aufgeführten Speicherfristen – auch die volle Kontrolle über die Verwendung von Cookies. Durch eine Änderung der Einstellungen in Ihrem Internetbrowser können Sie die Übertragung von Cookies deaktivieren oder einschränken. Bereits gespeicherte Cookies können jederzeit gelöscht werden. Dies kann auch automatisiert erfolgen.

Werden Cookies für unsere Website deaktiviert, ist ein Abrufen der nicht allgemein zugänglichen Daten auf diesem Weg nicht möglich.

2.2 Beim Login mit einem persönlichen Konto oder via Shibboleth

Verarbeitete personenbezogene Daten, Zwecke und Folgen der Nichtangabe

Login mit ZENDAS-Konto

Kontaktpersonen der Kooperationsuniversitäten und Ansprechpartnerinnen/Ansprechpartner der Hochschulen, die einen Abonnementvertrag mit ZENDAS haben, haben persönliche ZENDAS-Konten, zu denen ihr Login-Name, Passwort (gehasht), E-Mail und vollständiger Name gespeichert sind, außerdem ihre Rolle (Kontaktperson oder Ansprechpartnerin/Ansprechpartner) sowie die Zuordnung zu ihrer Hochschule.

Für das Login mit ZENDAS-Konto müssen Sie Ihren Login-Namen und Ihr Passwort in das Formular auf der Login-Seite eingeben.

Um sich erfolgreich anzumelden, müssen Sie in Ihrem Browser „Session“-Cookies zulassen. Detaillierte Informationen zu den verwendeten Session-Cookies und den auf dem Info-Server gespeicherten Session-Daten finden Sie unter 2.1. Beim Aufruf einer Webseite des Info-Servers www.zendas.de. Diese Daten werden zum Zwecke der Authentisierung, Authentifizierung und Autorisierung verarbeitet, um den Abruf von bestimmten, nicht allgemein zugänglichen Daten zu ermöglichen.

Ohne die Angabe von Login-Name und Passwort ist ein Zugang und damit ein Abrufen der nicht allgemein zugänglichen Daten auf diesem Weg nicht möglich.

Login über die Heimathochschule (Shibboleth)

Wenn Sie sich als beschäftigte Person einer Kooperationsuniversität oder einer Hochschule, die einen Abonnementvertrag mit ZENDAS hat, via Shibboleth einloggen wollen, ist der Ablauf wie folgt:

• Zunächst müssen Sie über den Button zur Einrichtungsauswahl (Shibboleth Embedded Discovery Service) wechseln.
• Dort wählen Sie aus den Daten des Deutschen Forschungsnetzes (DFN) die Hochschule aus, der Sie angehören. Diese ist der für Sie zuständige Shibboleth Identity Provider.
• Anschließend leitet der Shibboleth Service Provider, ein Dienst auf unserem Info-Server, Sie unmittelbar zu Ihrer Hochschule weiter und Sie können sich dort mit Ihren üblichen Zugangsdaten anmelden. Die Verarbeitung dieser Zugangsdaten erfolgt ausschließlich durch Ihre Hochschule.
• Nach erfolgreicher Anmeldung leitet Ihre Hochschule Sie automatisch wieder zurück zum Shibboleth Service Provider, einem Dienst auf unserem Info-Server. Wenn eines der dabei übermittelten Shibboleth-Attribute für Ihre Hochschule bei uns hinterlegt ist, werden Sie automatisch in einen Gruppenaccount eingeloggt, der Ihrer Hochschule zugeordnet ist.
  
  Der Name dieses Benutzerkontos gibt Auskunft über die Hochschule, die Zugriffsebene / Rolle (Hochschule oder Verwaltung) und die verwendete Login-Methode (=Shibboleth).
  
  Von den Ihnen zugeordneten Shibboleth-Attributen, die Ihre Hochschule während der Anmeldung an uns übertragen hat, verarbeitet der Dienst Shibboleth Service Provider auf unserem Info-Server ausschließlich die eduPersonScopedAffiliation (kennzeichnet die Art der Zugehörigkeit zur Hochschule, z.B. employee@meine-hochschule.de für Beschäftigte) sowie das eduPersonEntitlement.(kennzeichnet Berechtigungen, z.B. urn:mace:dir:common-lib-terms für Bibiliotheksnutzer). Um sich erfolgreich beim Info-Server anzumelden, müssen Sie in Ihrem Browser „Session“-Cookies zulassen. Detaillierte Informationen zu den verwendeten Session-Cookies und den auf dem Info-Server gespeicherten Session-Daten finden Sie unter 2.1. Beim Aufruf einer Webseite des Info-Servers www.zendas.de. Diese Daten werden zum Zwecke der Authentisierung, Authentifizierung und Autorisierung verarbeitet, um den Abruf von bestimmten, nicht allgemein zugänglichen Daten zu ermöglichen.

Ohne Angabe Ihrer Hochschule in der Einrichtungsauswahl und anschließendes Login via Shibboleth ist ein Zugang für Beschäftigte und damit ein Abrufen der nicht allgemein zugänglichen Daten auf diesem Weg nicht möglich.

Protokollierung der Logins

Der Loginprozess wird nicht gesondert protokolliert, sondern bildet sich lediglich durch den Aufruf der Login-URLs und die daran anschließenden Weiterleitungen in den Protokollen des Webservers ab (siehe 2.1. Beim Aufruf einer Webseite des Info-Servers www.zendas.de).

Als Betreiber des Shibboleth Service Providers protokollieren wir zur Fehlerbehebung und zur Sicherstellung des ordnungsgemäßen Betriebs bei einem Login via Shibboleth zusätzlich folgende Daten:

• die Art der Transaktion (in der Regel Authentifizierungsanfrage oder Login)
• den beteiligten Identity Provider
• Zeitstempel und IDs der Security Assertion Markup Language (SAML) Protokollnachrichten
• SAML Status Codes und Statusmeldungen
• Fehlermeldungen des Service Providers
• Zeitstempel der SAML Assertion
• Art und Anzahl der vom Identity Provider übertragenen Attribute, soweit sie vom Service Provider verarbeitet werden (nur eduPersonScopedAffiliation und ggf. eduPersonEntitlement)

Rechtsgrundlagen und berechtigte Interessen

• Personen, deren Hochschule ein Abonnementvertrag mit ZENDAS abgeschlossen hat: Art. 6 Abs. 1 lit. f DS-GVO. Berechtigte Interessen: Wir schulden die Bereitstellung der vollständigen Inhalte unserer Webseiten. Dafür ist eine Authentisierung, Authentifizierung und Autorisierung erforderlich, die technisch die Datenverarbeitung bedingt.
• Personen, die einer baden-württembergischen Universität angehören: Art. 6 Abs. 1 lit. e i. V. m. Abs. 3 DS-GVO i.V.m. § 12 Abs. 1 i. V. m. § 6 Abs. 1 LHG i.V.m der gültigen ZENDAS- Kooperationsvereinbarung und bezüglich der Protokolldaten i.V.m. § 3 LDSG.

Empfänger

Empfänger der Daten entsprechen den unter 2.1. Beim Aufruf einer Webseite des Info-Servers www.zendas.de dargestellten Empfängern.

Dauer der Speicherung

• Für die beim Login mit persönlichem Konto erhobenen Daten gilt:
  • Die Daten von Ihnen als Ansprechpartnerin oder Ansprechpartner werden gelöscht sobald unser Vertragsverhältnis mit Ihrer Hochschule endet oder uns Ihre Hochschule bittet, Sie nicht mehr als Ansprechpartnerin oder Ansprechpartner zu führen.
  • Wenn Sie als als Kanzlerin oder Kanzler einer baden-württembergischen Universität über ein persönliches ZENDAS-Konto verfügen, werden ihre Daten gelöscht, wenn Sie uns mitteilen, dass Sie den Login nicht mehr benötigen oder wenn wir von Ihrem Ausscheiden aus dem Amt erfahren.
  • Die Daten von Ihnen als Kontaktperson werden gelöscht, sobald uns die Universität bittet, Sie nicht mehr als Kontaktperson zu führen.
• Für die beim Login via Shibboleth erhobenen Daten gelten die unter Punkt 2.1 Beim Aufruf einer Webseite des Info-Servers www.zendas.de genannten Speicherfristen.

2.3. Bei Nutzung der Passwort-Reset-Funktion

Wenn Sie einen Passwort-Reset initiieren, wird eine 25 Zeichen lange zufällige Zeichenkette (Reset Key) erzeugt. Dieser ‚Schlüssel‘ wird Ihnen im Klartext per E-Mail in Form eines Reset-Links geschickt. Er wird außerdem in gehashter Form zusammen mit einem Zeitstempel und verknüpft mit Ihrem Benutzerkonto in der Datenbank gespeichert.

Wenn Sie den Reset-Link aufrufen und sich erfolgreich ein neues Passwort setzen – oder wenn sie sich erfolgreich mit Ihrem alten Passwort anmelden -, wird dieser Datenbankeintrag gelöscht.

Wenn Sie erneut einen Passwort-Reset anfordern, wird ein eventuell gespeicherter Reset Key überschrieben. Der Reset Key ist maximal 1 Stunde verwendbar.

Alle noch gespeicherten Reset Keys werden spätestens am Ende eines Tages gelöscht.

Beim Aufrufen des Reset-Links wird ein Session-Cookie namens wp-resetpass-[Hash der Website-URL] gesetzt, in dem der Reset Key gespeichert ist. Mit Hilfe dieses Cookies können Sie beim Scheitern des Passwort-Setzens (z.B. weil die beiden Passwörter nicht identisch waren) weitere Versuche direkt hintereinander unternehmen.

Dieses Cookie wird gelöscht, wenn Sie sich erfolgreich ein neues Passwort setzen oder sich erfolgreich mit Ihrem alten Passwort anmelden.

2.4 Beim Abschluss eines Info-Server Abonnementvertrags und der Benennung als Ansprechpartner im Sinn des § 5 des Abonnementvertrags

Verarbeitete personenbezogene Daten, Zwecke, Rechtsgrundlage und Folgen der Nichtangabe

Bei Abschluss eines ZENDAS Info-Server Abonnementvertrags muss die den Vertrag schließende Einrichtung oder Hochschule (Abokunde) in der von ZENDAS überlassene Vertragsvorlage auch Angaben zur vertretungsberechtigten Person machen.

Der Abokunde benennt entsprechend unserer vertraglichen Regelungen außerdem so genannte Ansprechpartner und teilt uns Namen und E-Mailadressen mit. Sofern uns der Abokunde eine Rechnungsadresse nennt, die eine Person namentlich beinhaltet, verarbeiten wir auch dies.

Die Angaben der vertretungsberechtigten Person und eine gegebenenfalls in einer Rechnungsadresse benannte Person benötigen wir für den Vertragsschluss und die Vertragsdurchführung. Ohne diese Angaben ist ein Vertragsschluss und dessen weitere Durchführung nicht möglich. Die Verarbeitung erfolgt auf der Grundlage des Art. 6 Abs. 1 lit. b DS-GVO.

Namen und E-Mailadressen der Ansprechpartner benötigen wir für die vertraglich zugesicherte Bereitstellung von personalisierten Logins und die E-Mailadresse für die Aufnahme in unseren Newsletterverteiler. Ohne diese Angaben können wir diese Leistung nicht bereitstellen. Die Verarbeitung erfolgt auf der Grundlage des Art. 6 Abs. 1 lit. f DS-GVO. In den genannten Zwecken liegt auch unser berechtigtes Interesse an der Datenverarbeitung.

Empfänger

Empfänger der Angaben zur vertretungsberechtigten Person und einer gegebenenfalls in einer Rechnungsadresse benannten Person sind alle innerhalb von ZENDAS und der Universität Stuttgart insgesamt für Vertragsangelegenheiten und die Abwicklung der damit verbundenen Zahlungen zuständigen Personen.

Empfänger der Angaben zu den Ansprechpartnern sind alle innerhalb von ZENDAS für Vertragsangelegenheiten, die technische Umsetzung (der Logins bzw. Newsletter) und den Versand des Newsletters zuständigen Personen.

Die E-Mailadresse der Ansprechpartner wird im Rahmen des Versands den technisch daran Beteiligten (insbesondere E-Mailprovider), alle Angaben gegebenenfalls dem für unsere IT-Infrastruktur als Auftragsverarbeiter tätigen Dienstleister offengelegt.

Alle Unterlagen müssen entsprechend der archivrechtlichen Vorschriften vor ihrer Löschung dem Universitätsarchiv der Universität Stuttgart angeboten werden. Dieses entscheidet über die Übernahme von Unterlagen.

Dauer der Speicherung

Die Angaben zur vertretungsberechtigten Person, einer gegebenenfalls in einer Rechnungsadresse benannten Person und den Ansprechpartnern benötigen wir für die Dauer der Vertragslaufzeit. Die vertraglichen Unterlagen – und damit die darin enthaltenen Angaben zur vertretungsberechtigen Person sowie einer gegebenenfalls in einer Rechnungsadresse benannten Person– werden gemäß den gesetzlichen Aufbewahrungsfristen 10 Jahre aufbewahrt. Ebenso die mit dem Vertrag im Zusammenhang stehenden Zahlungsunterlagen, die gegebenenfalls ebenfalls diese Daten enthalten.

Die Daten der Ansprechpartner werden nach Ende des Vertragsverhältnisses gelöscht. Ein selbständiges Austragen aus dem Newsletterverteiler ist für die Ansprechpartner nicht möglich. Die Daten der Ansprechpartner werden aus dem Newsletterverteiler gelöscht und deren personalisierte Logins deaktiviert, sobald das Vertragsverhältnis endet oder der Abokunde ZENDAS bittet, eine Person nicht mehr als Ansprechpartner zu führen.

Gegebenenfalls werden die Unterlagen vom zuständigen Universitätsarchiv übernommen und dort in der Regel unbegrenzt aufbewahrt.

2.5 Bei der Benennung als Kontaktperson und deren Vertretung im Sinne des § 4 der ZENDAS Kooperationsvereinbarung

Verarbeitete personenbezogene Daten, Zwecke, Rechtsgrundlage, Folgen der Nichtangabe und Quelle der personenbezogenen Daten

Nach der am 01.07.2023 in Kraft getretenen Kooperationsvereinbarung benennen die Kooperationspartner – die baden-württembergischen Universitäten – ZENDAS eine Kontaktperson und mindestens eine Vertretung. Die Benennung erfolgte durch die jeweilige Kanzlerin bzw. den jeweiligen Kanzler bzw. auf deren Veranlassung.

Die Angaben dienen der Möglichkeit der Kontaktaufnahme, der gegenseitigen Information und Korrespondenz zwischen ZENDAS und den Kooperationspartnern, insbesondere hinsichtlich der in der Kooperationsvereinbarung verankerten Verfahrensabläufe. Den Kontaktpersonen wird ein personalisierter Login auf die Webseiten des Info-Servers eingerichtet. Zudem erhalten sie den ZENDAS Newsletter.

Namen, Telefonnummer und E-Mailadressen der Kontaktpersonen benötigt ZENDAS für diese Zwecke. Ohne diese Angaben können wir diese Leistung nicht bereitstellen. Die Verarbeitung erfolgt auf der Grundlage des Art. 6 Abs. 1 lit. f DS-GVO. In den genannten Zwecken liegt auch unser berechtigtes Interesse an der Datenverarbeitung.

Empfänger

Die Angaben zu den Kontaktpersonen und Vertretungen sind allen Mitarbeitenden von ZENDAS zugänglich.

Die E-Mailadresse der Kontaktperson und ihrer Vertretung wird im Rahmen des Versands den technisch daran Beteiligten (insbesondere E-Mailprovider) offengelegt.

Alle Angaben werden gegebenenfalls dem für unsere IT-Infrastruktur als Auftragsverarbeiter tätigen Dienstleister offengelegt.

Alle Unterlagen müssen entsprechend der archivrechtlichen Vorschriften vor ihrer Löschung dem Universitätsarchiv der Universität Stuttgart angeboten werden. Dieses entscheidet über die Übernahme von Unterlagen.

Dauer der Speicherung

Die Daten der Kontaktpersonen werden spätestens 5 Jahre nach Beendigung der ZENDAS Kooperation gelöscht. Die Löschung der Daten im Zusammenhang mit einzelnen Vorgängen erfolgt in der Regel 5 Jahre nach Beendigung des jeweiligen Vorgangs.

Ein selbständiges Austragen aus dem Newsletterverteiler ist für die Kontaktperson und deren Vertretung nicht möglich. Die Daten der Kontaktperson und deren Vertretung werden aus dem Newsletterverteiler gelöscht und deren personalisierte Logins deaktiviert, sobald das Kooperationsverhältnis endet oder der Kooperationspartner ZENDAS bittet, eine Person nicht mehr als Kontaktperson bzw. Vertretung zu führen.

Gegebenenfalls werden die Unterlagen vom zuständigen Universitätsarchiv übernommen und dort in der Regel unbegrenzt aufbewahrt.

2.6 Beim Bezug unseres Newsletters, wenn Sie sich selbst dafür eintragen

Verarbeitete personebezogene Daten, Zwecke und Dauer der Speicherung

Für die Verwaltung Ihres Newsletter-Abos ist die Angabe Ihrer E-Mailadresse erforderlich. Wenn Sie die Anmeldung für den Newsletter bestätigt haben, wird Ihre E-Mail-Adresse zusammen mit einem Zeitstempel in der Datenbank unseres Listservers eingetragen. Diese Daten werden solange gespeichert, bis Sie sich abmelden oder die Ungültigkeit der E-Mail-Adresse aufgrund Unzustellbarkeit festgestellt wird. Im Backup werden sie spätestens nach 5-6 Monaten gelöscht.
Können wir aufgrund der Fehlermeldung im Falle einer Unzustellbarkeit feststellen, dass der E-Mailaccount nicht mehr existiert, löschen wir den gesamten Datensatz. Geht aus der Fehlermeldung weder zweifelsfrei hervor, dass es sich nur um einen temporären Fehler handelt, noch dass der E-Mailaccount nicht mehr existiert, speichern wir die eingehende Fehlermeldung über die Unzustellbarkeit. Schlägt beim nächsten Newsletterversand die Zustellung erneut fehl, werden der gesamte Datensatz sowie die eingegangenen Fehlermeldungen gelöscht. Ist dagegen der Versand erfolgreich, wird die zum vorhergehenden Versand eingegangene Fehlermeldung gelöscht.
Nicht bestätigte An- und Abmeldungen werden nach spätestens zwei Tagen gelöscht. Zur Fehlerbehebung und zur Sicherstellung des ordnungsgemäßen Betriebs protokollieren unser Listserver und unsere E-Mailserver ihre Aktivitäten, einschließlich der daran beteiligten E-Mail-Adressen. Beim Zugriff auf den zum Listserver gehörenden Webserver werden daher folgende Informationen erhoben:

• die vollständige IP-Adresse
• der Zeitstempel des Zugriffs
• die HTTP-Anfrage (abgerufene URL, Methode, Protokollversion, Host)
• der resultierende HTTP-Statuscode (Antwort geschickt, Seite nicht gefunden, Zugriff nicht erlaubt etc.) und die Größe der gesendeten Antwort
• der Referrer (die Seite, von der der Besucher gekommen ist), ohne Query String
• der User-Agent-String (Informationen zu Browser, Betriebssystem und Gerätetyp)
• bei einem erfolglosen Zugriff und anderen Fehlern werden zusätzlich erhoben: Referrer (die Seite, von der der Besucher gekommen ist) mit Query String, Quell-Port, Fehlermeldung, technische Details des Servers

Diese Protokolldaten werden nach 7 Tagen gelöscht. Informationen zur sonstigen Protokollierung des Infos-Servers finden Sie im Kapitel 2.1.

Rechtsgrundlage

• Für Ihre E-Mail-Adresse: Art. 6 Abs. 1 lit. a DS-GVO.
• Für den Zeitstempel als „Nachweis“ der Einwilligung, An- und Abmeldeanträge: Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 und Abs. 3 DS-GVO.
• Für Protokolldaten: Art. 6 Abs. 1 lit. e i. V. m. Abs. 3 DS-GVO i.V.m. § 12 Abs. 1 i. V. m. § 6 Abs. 1 LHG i.V.m der ZENDAS- Kooperationsvereinbarung i.V.m § 3 LDSG.

Empfänger

Ihre E-Mailadresse wird im Rahmen des Versands den technisch daran Beteiligten (insbesondere E-Mailprovider sowie gegebenenfalls dem für unsere IT-Infrastruktur als Auftragsverarbeiter tätigen Dienstleister) offengelegt. Ebenso werden die Protokolldaten gegebenenfalls dem für unsere IT-Infrastruktur als Auftragsverarbeiter tätigen Dienstleister offengelegt.

Folgen der Nichtangabe und Widerruf

Ohne die Angabe Ihrer E-Mailadresse, der Verarbeitung der beschriebenen Daten und der Erhebung der Protokolldaten ist eine Zusendung bzw. Abbestellung des Newsletters nicht möglich.

Ihre Einwilligung können Sie jederzeit durch Abbestellung des Newsletters widerrufen. Die Rechtsmäßigkeit der Verarbeitung aufgrund der Einwilligung bis zum Widerruf wird dadurch nicht berührt.

Wichtiger Hinweis

Für Personen, die unseren Newsletter erhalten, weil sie von ihrer Einrichtung, die unseren Info-Server abonniert hat, als Ansprechpartnerin oder Ansprechpartner benannt sind, oder die Kanzlerin oder Kanzler einer baden-württembergischen Universität oder eine von diesen benannte Kontaktpersonvon ZENDAS sind, gelten die Hinweise für Personen mit eigenem ZENDAS-Login sowie für Kanzlerinnen und Kanzler baden-württembergischer Universitäten unter 2.5.

2.7 Beim Bezug unseres Newsletters als Ansprechpartnerin oder Ansprechpartner einer Hochschule, die mit uns einen Abonnementvertrag hat oder als Kanzlerin oder Kanzler einer baden-württembergischen Universität oder als eine von diesen benannte Kontaktperson

Hinweise für Ansprechpartnerinnen und Ansprechpartner unserer Abokunden

Einrichtungen und Hochschulen, die mit ZENDAS einen Abonnementvertrag geschlossen haben (Abokunden), benennen so genannte „Ansprechpartner“. Vertraglich ist mit den Abokunden geregelt, dass die Ansprechpartner den Newsletter erhalten. Die Verarbeitung ihrer E-Mailadresse dient bei diesen Personen neben der Erfüllung unserer vertraglichen Verpflichtung dem Bericht über unsere Arbeit und erfolgt auf der Grundlage des Art. 6 Abs. 1 lit. f DS-GVO. In den genannten Zwecken liegt auch unser berechtigtes Interesse an der Datenverarbeitung nach Art. 6 Abs. 1 lit. f DS-GVO.

Ein selbständiges Austragen aus dem Newsletterverteiler ist daher für die Ansprechpartnerinnen und Ansprechpartner nicht ohne Weiteres möglich. Bitte wenden Sie sich ggf. an Ihre Hochschule, um zu veranlassen, Sie bei uns als Ansprechpartnerin oder Ansprechpartner zu löschen.

Ihre Daten werden aus dem Newsletterverteiler gelöscht, sobald unser Vertragsverhältnis mit Ihrer Hochschule endet oder uns Ihre Hochschule bittet, Sie nicht mehr als Ansprechpartnerin oder Ansprechpartner zu führen.

Hinweise für Kanzlerinnen und Kanzler baden-württembergischer Universitäten und Kontaktpersonen von ZENDAS

Nach dem Kooperationsvertrag werden von Seiten der baden-württembergischen Universitäten ZENDAS Kontaktpersonen benannten. Bei diesen und bei den Kanzlerinnen und Kanzlern der genannten Universitäten dient der Newsletter dem Zweck des Berichts über unsere Arbeit als Kooperationseinrichtung. Die damit verbundene Datenverarbeitung erfolgt bei den Kanzlerinnen und Kanzlern auf der Grundlage des Art. 6 Abs. 1 lit. b DS-GVO bzw. bei den Kontaktpersonen auf der Grundlage des Art. 6 Abs. 1 lit. f DS-GVO. In den genannten Zwecken liegt auch unser berechtigtes Interesse an der Datenverarbeitung nach Art. 6 Abs. 1 lit. f DS-GVO.

Ein selbständiges Austragen aus dem Newsletterverteiler ist daher für die Kanzlerinnen und Kanzler und ZENDAS Kontaktpersonen nicht ohne Weiteres möglich. Bitte wenden Sie sich als Kanzler oder Kanzlerin direkt an uns, bzw. als benannte Kontaktperson an Ihre Kanzlerin oder Ihren Kanzler.

Ihre Daten werden aus dem Newsletterverteiler gelöscht, sobald Sie als Kanzlerin oder Kanzler einer baden-württembergischen Universität den Newsletter nicht mehr erhalten möchten bzw. sobald uns die Universität bittet, Sie nicht mehr als Kontaktperson zu führen.