Datenschutzhinweise

1. Verantwortliche Stelle und Kontakt

Die Plattform wird als universitäres Projekt betrieben. Als datenschutzrechtlich verantwortliche Stelle ist die Universität Siegen vorgesehen; die konkrete Zuordnung der datenschutzrechtlichen Verantwortung für den Betrieb und mögliche Beteiligungen anderer Institutionen sind vor dem Produktivbetrieb zu bestätigen.

Datenschutzbeauftragter

Datenschutzbeauftragter der Universität Siegen, Adolf-Reichwein-Straße 2a, 57076 Siegen; E-Mail: datenschutzbeauftragter@uni-siegen.de. Weitere Informationen: zentrale Datenschutzerklärung der Universität Siegen.

Noch zu klären: Projektbezogene Kontaktadresse für Datenschutzanfragen; verbindliche Bestätigung der verantwortlichen Stelle, etwaiger gemeinsam Verantwortlicher und Auftragsverarbeiter.

2. Welche Daten zu welchem Zweck verarbeitet werden

2.1 Technischer Betrieb und Sicherheit

Beim Seitenaufruf werden für die Auslieferung der Website technisch notwendige Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt und angeforderte Ressourcen. Auf Anwendungsebene werden sicherheitsrelevante Ereignisse protokolliert; die Anwendung verwendet dafür unter anderem pseudonymisierte Hashwerte von IP-Adresse und Browserkennung, Ereignisart, Zeitpunkt und gegebenenfalls eine Konto-ID. Daneben können Protokolle des Webservers bzw. der betreibenden Infrastruktur entstehen.

Zweck: Bereitstellung der Plattform, Sitzungssicherheit, Missbrauchsverhinderung und Fehleranalyse. Das Sicherheitsprotokoll der Anwendung wird durch einen Wartungsjob auf Einträge geprüft, die älter als 90 Tage sind, und stufenweise bereinigt. Die Laufzeit anderer Server- oder Backup-Protokolle ist noch zu bestätigen.

2.2 Benutzerkonto, Anmeldung und Kurse

Verarbeitet werden E-Mail-Adresse, Vor- und Nachname, Rolle (Administration, Dozent/in oder Studierende/r), verschlüsselungsbasiert gehashte Passwörter, gegebenenfalls Matrikel- oder Kennnummer, gewählter Profilavatar, Zeitpunkte der Kontoerstellung sowie Kurs- und Gruppenzuordnungen. Für die Anmeldung werden Sitzungsinformationen und Sicherheitsmerkmale verarbeitet. Administratoren können Konten auch manuell anlegen; die betroffenen Personen sind in diesem Fall entsprechend zu informieren.

Zweck: Authentifizierung, Autorisierung, Bereitstellung der kursbezogenen Funktionen und Organisation der Lehre. Die Angabe einer Matrikel-/Kennnummer ist in der regulären Registrierung optional.

2.3 Lernaktivitäten und Leistungsergebnisse

Abhängig von den verwendeten Modulen können Bearbeitungsstände, Antworten, Beobachtungen mit Videopositionen, Aufgabenabgaben, Bewertungen, Kommentare, Reflexionen und Kursfortschritte gespeichert werden. Zugriffe richten sich nach Kurszugehörigkeit und Rolle; Dozierende und die Administration können im Rahmen der eingerichteten Berechtigungen auf Lernstände zugreifen.

Zweck: Durchführung der Lernmodule, Rückmeldungen und Lehrorganisation. Eine Verwendung für verbindliche Prüfungsentscheidungen oder Forschungszwecke ist nicht durch diese Hinweise automatisch abgedeckt und müsste separat bewertet und erläutert werden.

2.4 Gruppenräume, hochgeladene Medien und Kommunikation

In Gruppenbereichen können hochgeladene Videos, zugehörige Metadaten, Bearbeitungsstände und Kommentare anfallen. Die Plattform enthält zudem interne Nachrichten und Support-Tickets mit Absender, Empfänger, Inhalt und Bearbeitungsstatus. Zugriffsrechte werden über Anmeldung, Rollen und Kurs-/Gruppenzuordnung begrenzt; geschützte Medien werden über eine serverseitige Zugriffskontrolle bereitgestellt.

Bitte laden Sie keine Aufnahmen oder personenbezogenen Informationen Dritter hoch, sofern dies nicht im konkreten Lehrszenario ausdrücklich erlaubt und datenschutzrechtlich geklärt ist. Insbesondere Aufnahmen mit erkennbaren Personen und Tonaufzeichnungen benötigen eine gesonderte rechtliche Prüfung.

2.5 Kontaktformular und E-Mail-Funktionen

Bei einer Kontaktanfrage verarbeitet die Plattform Name, E-Mail-Adresse, Betreff und Nachrichteninhalt zum Zweck der Bearbeitung der Anfrage. Solange kein SMTP-Versand eingerichtet ist, können ausgehende System- und Kontakt-E-Mails im lokalen, nicht öffentlich erreichbaren Mailprotokoll der Serverumgebung festgehalten werden; Zugang und Löschfristen sind administrativ zu regeln. Passwortgeheimnisse werden beim E-Mail-Log-Fallback nicht gespeichert.

Sobald ein SMTP-Dienst eingerichtet ist, können die zur Zustellung erforderlichen Daten an den freigegebenen Maildienst übermittelt werden. Anbieter, Versandweg, etwaige Auftragsverarbeitung und Speicherfristen werden vor Aktivierung ergänzt.

3. Rechtsgrundlagen und Notwendigkeit der Angaben

Je nach Funktion kommen bei einem universitären Lehrangebot insbesondere die Wahrnehmung einer Aufgabe im öffentlichen Interesse (Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit dem einschlägigen Hochschul- und Landesrecht), andere gesetzliche Grundlagen oder – nur wo tatsächlich freiwillig und wirksam – eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) in Betracht. Die konkrete Zuordnung jeder Verarbeitung zu einer bestätigten Rechtsgrundlage steht noch aus. Eine pauschale Einwilligung durch bloße Nutzung der Website wird nicht vorausgesetzt.

Für ein Benutzerkonto sind die als Pflichtfelder gekennzeichneten Angaben technisch erforderlich. Ohne diese können Anmeldung und geschützte Lernfunktionen nicht bereitgestellt werden. Die optionalen Felder sind nicht Voraussetzung für die Kontoanlage. Für Kontaktanfragen werden Kontaktdaten und Nachricht benötigt, um antworten zu können.

Noch zu klären: konkrete Rechtsgrundlagen je Datenverarbeitung und ggf. Sonderregeln für Videoaufnahmen, Leistungsdaten, Forschungszwecke sowie hochschulübergreifende Nutzung.

4. Cookies, Browserspeicher und Aufbewahrung

4.1 Sitzungscookie

Zur Anmeldung und zum Schutz der Sitzung wird das Cookie CPSESSID eingesetzt. Es ist als Sitzungscookie mit HttpOnly und SameSite=Lax konfiguriert; das Secure-Attribut wird im HTTPS-Betrieb gesetzt. Für die Bereitstellung eines angeforderten Kontozugangs ist ein solches Cookie grundsätzlich erforderlich (§ 25 Abs. 2 TDDDG). Eine gesonderte Cookie-Einwilligung ist dafür regelmäßig nicht nötig.

4.2 Lokaler Speicher des Browsers

Die Plattform nutzt in einzelnen Funktionen localStorage und sessionStorage, etwa zum Merken der Darstellungseinstellung, von Bearbeitungsentwürfen, Zwischenergebnissen oder der Navigation innerhalb einer Übung. Einige Angaben können bis zum manuellen Löschen der Browserdaten gespeichert bleiben. Die Notwendigkeit und eine mögliche Einwilligungspflicht jedes dieser Speicherzugriffe müssen vor der öffentlichen Freigabe anhand der konkreten Funktion geprüft werden. Derzeit ist kein allgemeiner Tracking- oder Analyseanbieter in den geprüften eigenen JavaScript-Dateien erkennbar; dieser Befund ersetzt keine Prüfung der produktiven Einbindungen.

4.3 Löschung und Löschfristen

Die Plattform besitzt für Sicherheitsereignisse eine automatische, schrittweise Bereinigung nach 90 Tagen sowie Regeln zur Bereinigung abgelaufener Passwort-Reset-Tokens. Für Benutzerkonten, Kurs- und Gruppeninhalte, Videos, Lernstände, Nachrichten, Kontakt-E-Mail-Protokolle, Webserverlogs und Backups müssen konkrete Aufbewahrungs- und Löschfristen noch verbindlich festgelegt und technisch überprüft werden. Vorher können an dieser Stelle keine verbindlichen allgemeinen Fristen angegeben werden.

5. Empfänger, Hosting und Übermittlung

Personenbezogene Daten sind innerhalb der Plattform grundsätzlich nur für Berechtigte zugänglich, insbesondere für zugeordnete Lehrende und die Plattformadministration. Die Anwendung wird derzeit auf einer universitären Serverumgebung erprobt. Technische Dienstleister können im Rahmen von Administration, Hosting oder E-Mail-Versand Zugriffsmöglichkeiten erhalten, soweit dies für ihre Aufgaben erforderlich und rechtlich abgesichert ist.

Noch zu klären: genauer Serverstandort und Betreiber, administrative Zugriffsberechtigungen, Unterauftragnehmer, konkrete Empfänger sowie eine etwaige Drittlandübermittlung. Für eine Übermittlung in Staaten außerhalb des EWR sind zusätzliche Informationen und gegebenenfalls geeignete Garantien erforderlich. Eine solche Übermittlung wird hier nicht ohne Prüfung behauptet oder ausgeschlossen.

6. Ihre Rechte

Im Rahmen der gesetzlichen Voraussetzungen haben Sie insbesondere das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), gegebenenfalls Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Soweit eine Verarbeitung auf Einwilligung beruht, können Sie diese jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3). Nicht alle Rechte greifen in jedem Fall uneingeschränkt.

Wenden Sie sich dafür an die verantwortliche Stelle oder an den Datenschutzbeauftragten unter datenschutzbeauftragter@uni-siegen.de. Bitte übermitteln Sie keine Passwörter oder geheimen Zugangsdaten.

Beschwerderecht

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf, poststelle@ldi.nrw.de, www.ldi.nrw.de.

Automatisierte Entscheidungen

In den bislang überprüften Abläufen ist keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung nach Art. 22 DSGVO vorgesehen. Interaktive Übungsbewertungen dienen der Lernrückmeldung. Eine spätere Nutzung zur verbindlichen Leistungsbeurteilung müsste neu geprüft werden.

7. Vor der öffentlichen Freigabe zu vervollständigen

Stand des technischen Entwurfs: 14. Oktober 2026. Diese Seite wird vor dem öffentlichen Produktivbetrieb aktualisiert.