DATENSCHUTZ UND DATENSICHERHEIT
Daten von Studieninteressierten: klar geregelt
Warum Hochschulen Hippocampus datenschutzkonform einsetzen können: wo die Daten liegen, wer darauf zugreifen kann und was vertraglich geregelt ist.
Ein Rechtsrahmen für ganz Europa
Die DSGVO ist kein deutsches Sondergesetz, sondern europäisches Recht. Hippocampus wird in den Niederlanden entwickelt und unterliegt damit denselben Grundregeln wie ein Anbieter aus Deutschland.
DSGVO: in der EU einheitlich
Die Datenschutz-Grundverordnung (DSGVO, englisch GDPR) gilt seit 2018 unmittelbar in allen Mitgliedstaaten der EU; in den Niederlanden heißt sie AVG. Ein niederländischer Anbieter muss dieselben Grundsätze, Betroffenenrechte und Sicherheitsanforderungen erfüllen wie ein deutscher.
Warum der Einsatz datenschutzkonform möglich ist
Die Hochschule bleibt Verantwortliche: Sie legt Zweck, Rechtsgrundlage und abgefragte Angaben fest. Summit verarbeitet die Daten als Auftragsverarbeiter ausschließlich nach ihrer Weisung, auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Die Daten werden in der EU gespeichert und nur für die vereinbarte Leistung verwendet.
Ergänzende Vorschriften in Deutschland
In Deutschland ergänzen nationale Gesetze die DSGVO: das Bundesdatenschutzgesetz (BDSG) und für staatliche Hochschulen vor allem das Datenschutzgesetz des jeweiligen Landes sowie das Landeshochschulgesetz.
Welche Vorgaben im Einzelfall gelten, prüft die Hochschule als Verantwortliche. Summit unterstützt dabei mit dem Auftragsverarbeitungsvertrag, Informationen zu den technischen und organisatorischen Maßnahmen und bei einer Datenschutz-Folgenabschätzung.
Das Wichtigste im Überblick
Thema
So ist es geregelt
Speicherort
Hippocampus läuft auf Microsoft Azure. Die Datenbanken befinden sich in Rechenzentren innerhalb der Europäischen Union.
Datensicherung
Täglich eine vollständige Sicherung, 31 Tage aufbewahrt, verschlüsselt und geografisch getrennt innerhalb von Microsoft Azure gespeichert.
Verschlüsselung
Übertragung über HTTPS. Daten, Sicherungen und Logs werden verschlüsselt gespeichert; Schlüssel werden zentral in Azure Key Vault verwaltet.
Anmeldung
Über den spezialisierten Dienst Auth0; Hippocampus speichert selbst keine Passwörter. Anmeldung mit dem Hochschulkonto (Single Sign-on) ist möglich: in den Niederlanden über SURFconext, die Föderation der niederländischen Hochschulen. Eine Anbindung an eine deutsche Föderation wie DFN-AAI kann gemeinsam geprüft werden.
Zugriff
Rechte werden pro Benutzer über Rollen vergeben, auch getrennt nach Fachbereichen. Die Einsicht in personenbezogene Daten lässt sich pro Benutzer abschalten. Jede Hochschule sieht nur ihre eigenen Daten.
Getrennte Umgebungen
Entwicklung, Test, Abnahme und Produktion sind getrennt. Außerhalb der Produktion werden nur Testdaten verwendet, nie Daten von Studieninteressierten.
Art und Umfang der Daten
In Hippocampus werden keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO verarbeitet, etwa zu Gesundheit oder Religion. Verarbeitet werden Kontaktdaten und Angaben zur Studienorientierung. Hippocampus deckt die Phase vor der Bewerbung ab; Bewerbung, Zulassung und Studierendenverwaltung bleiben in den Systemen der Hochschule. Anmeldung, Teilnahme und Kommunikation laufen in einer Umgebung, sodass Teilnehmerlisten nicht in Tabellen oder weitere Systeme kopiert werden müssen.
Auftragsverarbeitungsvertrag
Fester Bestandteil unserer Allgemeinen Geschäftsbedingungen und gültig für jeden Kunden. Er regelt unter anderem Zweckbindung, Vertraulichkeit, technische und organisatorische Maßnahmen sowie die Meldung von Datenschutzverletzungen.
Aufbewahrung
Nur so lange, wie für die vereinbarte Leistung oder eine gesetzliche Pflicht erforderlich; standardmäßig drei Jahre, sofern nichts anderes vereinbart ist.
Vertragsende
Nach Vertragsende werden die Daten auf Wunsch der Hochschule im ursprünglichen Dateiformat zurückgegeben oder vernichtet.
Zugriff und Rechte
Die Hochschule entscheidet, welche Mitarbeitenden welche Rolle erhalten. Jede Rolle gewährt nur Zugriff auf die Daten, die für die jeweilige Aufgabe erforderlich sind.
Rolle
Einsicht
Befugnisse
Kein Zugriff auf
Administrator der Hochschule
Alle Veranstaltungen, Anmeldungen und Interessenten der Hochschule
Rollen vergeben, Einstellungen verwalten, Daten exportieren
Daten anderer Hochschulen
Mitarbeitende aus Marketing, Studienberatung oder Fachbereichen
Daten, für die der Administrator sie freigegeben hat
Je nach Rolle, zum Beispiel Veranstaltungen verwalten, Kommunikation versenden, Anmeldungen einsehen
Personenbezogene Daten, wenn der Administrator dies pro Benutzer deaktiviert; Daten anderer Hochschulen
Mitarbeitende vor Ort, Check-in mit Hippocampus Scan
Vorname und gewählte Programmpunkte oder Studiengänge
Anwesenheit erfassen
Export; weitere Daten der Studieninteressierten
Mitarbeitende von Summit (Projektmanagement und IT)
Alle Daten der Hochschule
Beratung und Analyse im Auftrag der Hochschule, technische Betreuung und Support
Nutzung für andere Zwecke als die vereinbarte Dienstleistung
Studieninteressierte selbst
Die eigene Anmeldung
Angaben ändern, Anmeldung stornieren, sich über den Link in jeder E-Mail abmelden
Daten anderer Personen
Anfragen von Studieninteressierten
Studieninteressierte können ihre Angaben selbst ändern, ihre Anmeldung stornieren und sich über den Link in jeder E-Mail abmelden. Anfragen auf Auskunft, Berichtigung oder Löschung bearbeitet die Hochschule; Summit leitet solche Anfragen an sie weiter. Einzelne Personen können anonymisiert oder gelöscht werden.
Datenschutzverletzungen
Summit informiert die Hochschule unverzüglich, spätestens innerhalb von 48 Stunden, und ergreift alle angemessenen Gegenmaßnahmen. Ob Betroffene oder die Aufsichtsbehörde informiert werden, entscheidet die Hochschule; Summit unterstützt dabei.
Vertraulichkeit und Kontrolle
Alle Mitarbeitenden von Summit sind zur Vertraulichkeit verpflichtet.
Die Hochschule kann die Einhaltung des Auftragsverarbeitungsvertrags alle zwei Jahre durch einen unabhängigen IT-Sachverständigen prüfen lassen.
Fragen zum Datenschutz?
Gerne besprechen wir Ihre Fragen persönlich und zeigen Ihnen, wie Hippocampus in die Umgebung Ihrer Hochschule passt.