Datenschutzerklärung

Verantwortlicher

Institut Technik und Bildung, Universität Bremen

Am Fallturm 1 28359 Bremen

Datenschutzbeauftragte

Petra Banik

Referat 06 Bibliothekstrasse 1-3 29359 Bremen, Deutschland Tel.: +49 421 218-60211 Fax: +49 421 218-60210 E-Mail: pbanik@uni-bremen.de

Welche Daten verarbeitet werden

Lernende melden sich ohne Benutzerkonto an einer Lernumgebung an und wählen dafür ein Pseudonym oder lassen sich ein zufälliges zuteilen (etwa „Neugieriger Kompass“). Pseudonym und ein zufälliger Sitzungsschlüssel werden im Browser lokal gespeichert (localStorage) und bei jeder Anfrage über einen eigenen Header an den Server übertragen — nicht als Cookie. Zusätzlich hält der Browser eine noch nicht abgegebene Zeichnung aus einem Zeichenflächen-Block und noch nicht abgeschickte Karten einer Kartenabfrage bis zum Schließen des Tabs vor, damit ein versehentliches Neuladen sie nicht vernichtet. Die Karten-Entwürfe werden nach dem Abschicken aus dem Browser gelöscht; Zeichnung und Entwürfe werden beim Wechsel des Pseudonyms gelöscht. Ein noch nicht abgeschickter Text in einem Textfeld-Block bleibt dagegen im Browser lokal gespeichert (localStorage, je Textfeld und nicht je Pseudonym), auch nach dem Schließen des Tabs und auch dann, wenn die Anmeldung endet, weil die Lehrperson die Teilnehmenden zurückgesetzt oder die Daten der Durchführung gelöscht hat; entfernt wird er beim erfolgreichen Abschicken und wenn der Text geleert wird. Das Löschen von Cookies entfernt diese Angaben deshalb nicht; dafür müssen im Browser die lokal gespeicherten Website-Daten gelöscht werden. Zu jeder Anmeldung erzeugt der Server außerdem einen zufälligen, sechsstelligen Code und speichert ihn verschlüsselt auf dem Server, nicht im Browser. Hat die Lehrperson für die Durchführung die Wiedererkennung mit Code eingeschaltet, sieht die Person ihren Code in ihrer Ansicht, und die Lehrperson kann ihn in der Steuerung für jede Person einzeln aufdecken; wer mit Pseudonym und Code auf einem anderen Gerät zurückkehrt, erhält den Sitzungsschlüssel dieser Anmeldung, der dort wie oben beschrieben im Browser gespeichert wird. Nach mehreren falschen Codes wird die Eingabe höchstens eine Minute lang gebremst; die Fehlversuche merkt sich der Server dafür nur für diese Zeit. Ein Pseudonym ist ein personenbezogenes Datum: wer im selben Kurs ist, kann es in aller Regel zuordnen. Bei öffentlichen Einrichtungen ist Rechtsgrundlage die Aufgabenerfüllung (Art. 6 Abs. 1 lit. e DSGVO). Andere Einrichtungen nennen ihre Rechtsgrundlage selbst in ihren Angaben zum Datenschutz.

Was eingereicht wird — geschriebene Texte, hochgeladene Dateien, Zeichnungen, abgeschickte Karten einer Kartenabfrage, Ergebnisse interaktiver H5P-Inhalte — wird der jeweiligen Sitzung zugeordnet gespeichert und ist für die Lehrperson einsehbar. Hochgeladene Dateien liegen außerhalb des Web-Verzeichnisses und werden nur über einen geschützten Endpunkt ausgeliefert. Bei einer Kartenabfrage sieht die Lehrperson, wer welche Karte geschrieben hat, nur solange die Einstellung „Karten zuordenbar“ eingeschaltet ist; die Zuordnung zur Sitzung bleibt dafür gespeichert und gilt auch für bereits abgeschickte Karten. Die Wand einer Kartenabfrage zeigt die Karten des Kurses ohne Namen: gleiche und von der Lehrperson aufeinandergelegte Karten als Stapel, ab zwei Personen mit deren Anzahl, in Farbspalten und in Gruppen, die die Lehrperson benennt. Die Lehrperson sieht diese Wand jederzeit, ausgeblendete Karten markiert; die Präsentationsansicht für den Beamer zeigt sie in jeder Phase, sobald die Lehrperson sie öffnet, auch während noch gesammelt wird; die anderen Teilnehmenden sehen sie, sobald die Lehrperson die Karten freigibt. Karten, die die Lehrperson ausgeblendet hat, erscheinen weder in der Präsentationsansicht noch bei den anderen Teilnehmenden; gelöscht sind sie damit nicht.

Für die didaktische Auswertung zählt die Anwendung mit, wie oft bestimmte Ereignisse eintreten: Seitenaufrufe und Seitenwechsel, Klicks auf Blöcke, das Starten von Medien, Downloads, das Ansehen von Dateien, das Freischalten geschützter Seiten, das Öffnen von Aufklapptexten und Zusatzfenstern, das Vergrößern von Bildern, erfolgreiche Abgaben sowie das Erreichen von einem Viertel, der Hälfte, drei Vierteln und des Endes einer Seite. Gespeichert wird ausschließlich ein Zähler je Lernumgebung, Ereignis, Seite, Herkunftsseite und Block — ohne Zeitstempel und ohne jede Verbindung zu einer Sitzung oder einem Pseudonym. Eine Zuordnung zu einer Person ist damit strukturell ausgeschlossen und nicht nur untersagt. Auswertungen werden der Lehrperson zudem erst ab fünf Teilnehmenden angezeigt.

Solange die Einrichtung die Reichweitenmessung eingeschaltet hat, zählt die Anwendung, wie oft ihre öffentlichen Seiten aufgerufen werden. Für jeden gezählten Aufruf bildet der Server aus IP-Adresse und Browserkennung (User-Agent) zusammen mit einem zufälligen Schlüssel, der nur für einen Kalendertag gilt, eine Kennung. IP-Adresse und Browserkennung werden dafür nicht gespeichert. Die Kennungen eines Tages werden in der darauffolgenden Nacht zu Tageszahlen zusammengefasst und gelöscht, ebenso der Schlüssel des Tages; danach lässt sich ein Besuch über die Messung niemandem mehr zuordnen. Dauerhaft gespeichert werden nur die Zahl der Aufrufe und der Besucher je Tag und Seite sowie, ohne genaue Adresse, die Domain der Website, von der ein Besuch kam. Die Messung setzt kein Cookie und legt nichts im Browser ab. Aufrufe von Personen, die in der Anwendung angemeldet sind, zählen nicht mit – auf der Adresse, auf der sie angemeldet sind; unter einer anderen Adresse der Einrichtung werden sie wie alle Besucher gezählt. Erkennbare Suchmaschinen und andere automatische Abrufe werden nicht gezählt; Lernumgebungen, die Lernende über einen Link öffnen, gehören nicht zu dieser Messung. Die Zahlen sehen die Administrationen der Einrichtung und der Betreiber der Installation, auch aufgeteilt nach Seiten und Herkunft, jeweils nur als Zahlen ohne Kennungen. Bei öffentlichen Einrichtungen ist Rechtsgrundlage die Aufgabenerfüllung (Art. 6 Abs. 1 lit. e DSGVO). Andere Einrichtungen nennen ihre Rechtsgrundlage selbst in ihren Angaben zum Datenschutz. Die Zahlen dienen dazu, die Reichweite der veröffentlichten Inhalte einzuschätzen.

Interaktive H5P-Inhalte können einen Bearbeitungsstand speichern, damit eine Aufgabe nach einem Seitenwechsel fortgesetzt werden kann. Dieser Stand hängt an der Sitzung und wird mit ihr gelöscht.

Damit Administrationen H5P-Inhaltstypen aus dem offiziellen Katalog installieren können und installierte Inhaltstypen aktuell bleiben, ruft der Server der Anwendung den H5P-Hub der H5P Group AS (Norwegen) unter hub-api.h5p.org ab. Das geschieht, wenn eine Administration die Seite „H5P-Bibliotheken“ öffnet (dort steht der H5P-Katalog) und dessen Liste nicht schon im Zwischenspeicher liegt (dort bleibt sie höchstens 24 Stunden), wenn sie einen Inhaltstyp installiert, einmal nachts und wenn der Betreiber diese Aktualisierung von Hand startet. Übertragen werden dabei die vom H5P-Hub vergebene Kennung der Installation und, einmalig bei deren Registrierung, Name und Version der Anwendung, die Version des H5P-Kerns, eine aus dem Installationspfad gebildete Prüfsumme und zwei feste technische Angaben zur Art der Installation; beim Installieren und bei der nächtlichen Aktualisierung außerdem der Name des abgerufenen Inhaltstyps. Wie bei jeder Webanfrage erhält der H5P-Hub zudem die IP-Adresse des Servers. Daten von Administrationen, Lehrpersonen und Lernenden werden nicht übertragen, und deren Geräte nehmen keine Verbindung zum H5P-Hub auf. Der Betreiber der Installation kann diese Verbindung abschalten.

Gruppeneinteilung und Zufallsziehung während einer Durchführung halten fest, welche Sitzung welcher Gruppe zugeteilt wurde und wer bereits gezogen wurde, jeweils mit Zeitstempel des Vorgangs. Diese Angaben hängen an der Sitzung und werden mit ihr gelöscht. Setzt die Lehrperson die Teilnehmenden einer Durchführung zurück, werden Gruppeneinteilung und Zufallsziehung dieser Durchführung außerdem sofort gelöscht.

Lehrpersonen und Administrationen haben ein Benutzerkonto mit Name, E-Mail-Adresse und Passwort-Hash; optional ein Profilbild und die Merkmale einer Zwei-Faktor-Authentifizierung. Das Profilbild können nur angemeldete Konten derselben Einrichtung abrufen, und zwar unter einer zufälligen Adresse, die nicht aus dem Konto abgeleitet ist und sich mit jedem neuen Bild ändert. Außerdem wird gespeichert, wann ein Konto zuletzt die Übersicht geöffnet hat, damit dort Neuigkeiten seit dem letzten Besuch hervorgehoben werden. Ein vergessenes Passwort lässt sich über einen befristeten, per E-Mail zugestellten Link zurücksetzen; dafür wird die E-Mail-Adresse zusammen mit einem Rücksetz-Token gespeichert, bis der Link benutzt oder durch einen neu angeforderten ersetzt wird. Zugriffe einer Betreiber-Administration auf ein Konto sind nur befristet und protokolliert möglich. Zu Mediendateien, Medienordnern, Sammlungen, Vorlagen, öffentlichen Seiten und interaktiven H5P-Inhalten wird festgehalten, welches Konto sie angelegt hat. Wird ein Konto gelöscht, werden seine Mediendateien und Medienordner mit gelöscht — auch solche, die für die Einrichtung bzw. für Gruppen freigegeben waren; Dateien und Ordner anderer Konten, die in einem freigegebenen Ordner des gelöschten Kontos lagen, bleiben erhalten und rücken eine Ebene nach oben. Eine einzelne Mediendatei, ein einzelner Medienordner oder ein interaktiver H5P-Inhalt kann außerdem, zusätzlich zu einer Freigabe für die Einrichtung bzw. für Gruppen, gezielt für eine einzelne Kollegin oder einen einzelnen Kollegen freigegeben werden; gespeichert wird dafür, welches Konto die Freigabe erhalten hat. Bei einem Medienordner gilt eine solche Freigabe für dessen gesamten Inhalt einschließlich aller Unterordner, und wer den Ordner auf diese Weise sehen darf, darf auch Dateien hineinlegen. Ein solcher Eintrag wird gelöscht, sobald die Datei, der Ordner bzw. der H5P-Inhalt selbst oder das Konto der Empfängerin oder des Empfängers gelöscht wird. Eine Lehrperson kann eine eigene Sammlung, öffentliche Seite oder Vorlage für eine einzelne Kollegin oder einen einzelnen Kollegen oder zur Ansicht für die Einrichtung bzw. für Gruppen freigeben; gespeichert wird, welches Konto oder welche Gruppe die Freigabe erhalten hat (bei einer Freigabe für die Einrichtung weder ein Konto noch eine Gruppe), ob nur zum Ansehen oder auch zum Bearbeiten, und ob davon eine eigene Kopie erstellt werden darf. Eine Freigabe wird gelöscht, sobald die Sammlung, Seite oder Vorlage selbst, das Konto der Empfängerin oder des Empfängers oder die Gruppe gelöscht wird. Eine Administration der Einrichtung kann Gruppen anlegen, etwa für Seminare oder Fachteams, und Konten ihnen zuordnen; ein Konto kann mehreren Gruppen angehören. Gespeichert werden der Name jeder Gruppe und welches Konto welcher Gruppe angehört. Solange es keine Gruppe gibt, gilt eine Freigabe für die Einrichtung für alle Konten. Gibt es Gruppen, richtet sie sich an die Konten, die keiner Gruppe angehören (in der Oberfläche heißt sie dann „Alle ohne Gruppe“), und Mediendateien, Medienordner, Sammlungen, öffentliche Seiten, Vorlagen und interaktive H5P-Inhalte lassen sich gezielt für einzelne Gruppen freigeben; gespeichert wird dafür, für welche Gruppe die Freigabe gilt. Die Gruppen bestimmen außerdem, welche Konten eine Lehrperson beim Freigeben findet: die Konten, mit denen sie eine Gruppe teilt (gehört sie keiner Gruppe an, die anderen Konten ohne Gruppe), und ihre Kontakte; eine Administration findet alle Konten. Dort erscheinen Name und Profilbild dieser Konten. Unter den anderen veröffentlichten Seiten, auf die ein Link oder eine Seiten-Karte zeigen kann, bietet die Anwendung neben den eigenen nur die dieser Konten zur Auswahl an. Wird eine Gruppe gelöscht, entfallen die Zugehörigkeiten zu ihr und alle Freigaben an sie; bestehende Freigaben bleiben dagegen unverändert, wenn ein Konto die Gruppe wechselt. Für Kontakte über Gruppengrenzen hinweg erhält jedes Konto einen zufälligen Kontakt-Code, sobald es die Seite „Kontakte“ öffnet; der Code wird gespeichert, bis das Konto einen neuen erzeugt, der den alten sofort ungültig macht. Gibt eine Lehrperson den Kontakt-Code einer anderen Person ein, sind beide Konten als Kontakte verbunden; gespeichert wird, welche zwei Konten verbunden sind, welches von beiden die Verbindung hergestellt hat und wann. Beide sehen einander danach mit Name und Profilbild in ihrer Kontaktliste, beim Freigeben und als Eintrag in den Neuigkeiten der Übersicht. Um das Erraten von Codes zu erschweren, sind höchstens zehn Eingaben pro Minute und Konto möglich. Jede der beiden Seiten kann den Kontakt entfernen; dann wird der Eintrag für beide gelöscht, bestehende Freigaben bleiben. Mit einem Konto werden auch seine Gruppenzugehörigkeiten, sein Kontakt-Code und alle Kontakte gelöscht, an denen es beteiligt ist. Sammlungen, Vorlagen und Lernumgebungen lassen sich mit Schlagworten versehen; gespeichert werden die selbst angelegten Schlagworte eines Kontos und welches Konto welchem Eintrag welches Schlagwort zugeordnet hat. Diese Zuordnungen sieht nur das Konto, das sie vorgenommen hat; die Administration sieht bei den Schlagworten der Liste der Einrichtung lediglich, wie oft sie vergeben sind. Zuordnungen werden mit dem Eintrag, dem Schlagwort oder dem Konto gelöscht, eigene Schlagworte mit dem Konto. Wird eine Freigabe oder eine Einladung zum Mitsteuern zurückgezogen, bleibt die Zuordnung gespeichert und gilt wieder, sobald der Eintrag erneut freigegeben bzw. die Kollegin oder der Kollege erneut eingeladen wird. Wird die Veröffentlichung einer öffentlichen Seite zurückgezogen, wird gespeichert, welches Konto das wann getan hat — auch dann, wenn es eine Administration der Einrichtung war, die dazu keine Freigabe benötigt; die Besitzerin oder der Besitzer der Seite sowie alle, für die die Seite freigegeben ist, sehen diese Angabe, bis die Seite erneut veröffentlicht wird. Ebenso wird gespeichert, welche Lehrperson eine Lernumgebung (Durchführung) angelegt hat und welche Kolleg:innen sie zum Mitsteuern eingeladen hat; diese Einträge werden mit der Durchführung bzw. dem Konto der Empfängerin oder des Empfängers gelöscht. Wird das Konto der Lehrperson gelöscht, die eine Durchführung angelegt hat, wird die Durchführung selbst mit allen Teilnahmen und Einreichungen gelöscht — auch dann, wenn sie auf einer Sammlung läuft, die einer anderen Person gehört. Für jede Durchführung wird je Konto gespeichert, welche Blöcke es in der Steuerung eingeklappt hat; das sind nur die Nummern der Blöcke, keine Daten von Lernenden. Diese Liste wird mit der Durchführung bzw. dem Konto gelöscht, ein Zurückziehen der Einladung zum Mitsteuern löscht sie nicht. Statt einzelne Einladungen von Hand zu verschicken, kann eine Administration der Einrichtung oder die Betreiber-Administration auch einen Beitrittslink erzeugen, über den sich innerhalb einer festgelegten Frist bis zu einer festgelegten Höchstzahl von Personen selbst einladen können — etwa für eine Fortbildung. Zu einem solchen Link werden die Bezeichnung, die Gültigkeitsdauer, die Höchstzahl, die bisherige Zahl der Nutzungen, ein zufälliger Zugangsschlüssel und die Angabe gespeichert, wer den Link erzeugt hat. Einen Link, den eine Administration der Einrichtung erzeugt, und ebenso eine einzeln verschickte Einladung kann sie mit einer Gruppe versehen: Wer darüber ein Konto anlegt, wird Mitglied dieser Gruppe. Wird die Gruppe vorher gelöscht, entfällt diese Angabe. Ein widerrufener Link bleibt in der Liste als widerrufen erkennbar, bis eine Administration ihn löscht; löschen lässt sich ein Link, sobald er nicht mehr aktiv ist, also widerrufen oder abgelaufen ist oder alle Plätze vergeben sind — ein aktiver Link muss zuerst widerrufen werden. Beim Löschen entfallen der gesamte Eintrag zum Link mit allen oben genannten Angaben und die noch offenen Einladungen, die über ihn angefordert wurden; Konten, die darüber entstanden sind, bleiben bestehen und verlieren nur die Zuordnung zum Link. Wer den Link benutzt, gibt nur eine E-Mail-Adresse an und erhält dieselbe Einladung wie bei einer persönlich verschickten Einladung — ein Konto entsteht erst, wenn diese Adresse bestätigt wurde. Die daraus entstandenen Konten bleiben dem Link zugeordnet, solange er besteht, damit eine Administration der Einrichtung einen versehentlich weitergegebenen Link widerrufen und die darüber angelegten Konten gemeinsam wieder löschen kann, soweit sie inzwischen keine andere Rolle erhalten haben; beim Widerrufen werden die noch offenen Einladungen des Links gelöscht. Während eine Lehrperson eine Sammlung, Seite oder Vorlage im Editor geöffnet hat, wird festgehalten, welches Konto gerade welche Seite und welchen Block bearbeitet, damit Mitbearbeiterinnen und Mitbearbeiter derselben Sammlung sehen, wer wo arbeitet, und ein gerade bearbeiteter Block nicht gleichzeitig von zwei Personen geändert wird. Dieser Eintrag ist nur für die Personen sichtbar, die dieselbe Sammlung bearbeiten dürfen, gilt fünfzehn Sekunden nach der letzten Aktivität als beendet und wird beim nächsten Abgleich gelöscht.

Der Server protokolliert technische Zugriffsdaten einschließlich IP-Adresse, um Angriffe abzuwehren und Störungen einzugrenzen.

Wird aus der Anwendung heraus eine Rückmeldung an den Betreiber gesendet, werden Name, E-Mail-Adresse und Rolle der absendenden Person sowie der Bereich der Anwendung und der aufgerufene Bildschirm, von dem aus gemeldet wurde, und technische Angaben zum verwendeten Browser mit übertragen, damit eine Rückfrage möglich ist und sich der Fehler nachvollziehen lässt. Diese Angaben verlassen die Einrichtung und erreichen den Betreiber der Installation. Das Formular weist darauf vor dem Absenden hin.

Eingebettete Videos laden erst, wenn sie ausdrücklich angeklickt werden; bis dahin wird nur ein lokal gespeichertes Vorschaubild angezeigt und es besteht keine Verbindung zum Anbieter. Verwendet werden youtube-nocookie.com und, mit der Do-Not-Track-Einstellung dnt=1, player.vimeo.com. Daneben lässt sich ein allgemeiner Einbettungsblock für eine beliebige externe Webanwendung einsetzen — etwa ein Whiteboard, ein geteiltes Dokument oder eine Lernanwendung. Welcher Anbieter das ist, wählt die Lehrperson beim Einrichten des Blocks frei; wie beim Video lädt auch dieser Block erst nach einem ausdrücklichen Klick, vorher besteht keine Verbindung zum gewählten Anbieter. Lehrpersonen können außerdem selbst erstellte HTML-Inhalte einbinden. Diese laufen abgeschirmt von der übrigen Anwendung und haben keinen Zugriff auf deren Cookies, den lokalen Speicher oder die angemeldete Sitzung. Erkennt die Anwendung im Code Server, von denen ein solcher Inhalt Bibliotheken oder Daten nachladen will, nennt ein Hinweis die im Code erkannten Server; diese Erkennung ist nicht abschließend. Der Inhalt lädt erst nach einem ausdrücklichen Klick Ressourcen aus dem Netz nach — bis dahin verhindert eine Inhaltsrichtlinie das Nachladen technisch. Nicht verhindern kann sie, dass ein Inhalt, in dessen Code die Anwendung keinen Server erkennt, ohne Klick selbst eine Verbindung zu einem fremden Server aufnimmt, wenn sein Code absichtlich darauf ausgelegt ist – etwa indem er sich auf eine fremde Seite weiterleitet oder eine Echtzeitverbindung aufbaut; die für Echtzeitverbindungen gebräuchliche Schnittstelle entfernt die Anwendung, kann solche Verbindungen aber nicht in jedem Fall verhindern. Dann erreichen die IP-Adresse des Geräts und alles, was der Inhalt dabei mitsendet, den fremden Server. Bilder aus externen Quellen werden beim Einfügen auf den eigenen Server geholt und von dort ausgeliefert.

Cookies

Die Anwendung setzt auf jeder Seite, die sie ausliefert — auch in der Lernansicht (der Ansicht für Lernende) — ein Cookie für die Sitzung des Servers (technischer Name je nach Installation, im Standard „content-kit-session") sowie ein Cookie zum Schutz vor Fälschung von Formularanfragen („XSRF-TOKEN"). Diese Cookies dienen ausschließlich dem technischen Betrieb, enthalten außer einer zufälligen Kennung keine personenbezogenen Daten und bedürfen deshalb nach § 25 Abs. 2 Nr. 2 TDDDG keiner Einwilligung. Meldet sich eine Lehrperson oder eine Administration an — die Lernansicht kennt keine Anmeldung —, können auf eigenen Wunsch weitere Cookies hinzukommen: Wird beim Bestätigen des zweiten Faktors „Diesem Gerät 30 Tage vertrauen" angehakt, setzt die Anwendung ein Cookie, das dieses Gerät 30 Tage lang von der erneuten Abfrage des zweiten Faktors befreit; anders als die zuvor genannten technischen Cookies ist sein Inhalt kein bloßer Zufallswert ohne Aussagekraft, sondern wirkt faktisch als befristetes Anmeldemerkmal für dieses Gerät. Wird beim Anmelden „Angemeldet bleiben" angehakt, setzt zusätzlich Laravel sein eigenes Cookie (Namensmuster „remember_web_…"), das die Konto-Kennung und ein Anmeldetoken enthält und in der Grundeinstellung bis zu 400 Tage gilt. Diese Cookies sind streng von dem oben beschriebenen Pseudonym zu unterscheiden: Das Pseudonym liegt nicht in einem Cookie, das Löschen von Cookies entfernt es deshalb nicht.

Wie lange die Daten bleiben

Sitzungen, Pseudonyme, Abgaben und hochgeladene Dateien einer Lernumgebung werden automatisch 30 Tage nach dem Beenden der Lernumgebung gelöscht. Die Frist beginnt erst mit diesem Beenden — eine unbeendete Lernumgebung läuft in keine Frist. Setzt die Lehrperson die Teilnehmenden zurück, löscht das keine Abgaben und startet keine Frist: Zurückgesetzte Anmeldungen werden mit ihren Abgaben und ihrem Code zusammen mit den übrigen gelöscht. Die anonymen Zähler bleiben davon unberührt, weil sie keiner Person zugeordnet werden können. Wie lange Server-Protokolle aufbewahrt werden, richtet sich nach der Konfiguration der jeweiligen Installation und wird vom Betreiber festgelegt; die Anwendung selbst löscht sie nicht. Einladungslinks verfallen nach sieben Tagen. Ein Beitrittslink verfällt nach der Frist, die beim Anlegen gewählt wurde, längstens nach sieben Tagen; der Eintrag zum Link selbst — mit Bezeichnung, Nutzungszahl, der Angabe, wer ihn erzeugt hat, und den übrigen oben genannten Angaben — bleibt darüber hinaus bestehen, damit nachvollziehbar bleibt, woher die darüber angelegten Konten stammen, bis eine Administration ihn löscht (möglich, sobald der Link nicht mehr aktiv ist). Löscht ihn niemand, wird er mit der Einrichtung gelöscht; nach einer Frist wird er nicht automatisch gelöscht.

Empfänger

Die Anwendung wird für die Einrichtung betrieben. Der Betreiber verarbeitet die Daten weisungsgebunden im Auftrag; die Einzelheiten regelt ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. In der Lernansicht entsteht eine Verbindung in ein Drittland (mit einer unten genannten Ausnahme bei HTML-Inhalten) nur, wenn eine Lehrperson einen eingebetteten Inhalt in eine Lernumgebung aufgenommen hat und dieser ausdrücklich angeklickt wird: Erst in diesem Moment erreicht die IP-Adresse des Geräts den jeweiligen Anbieter — bei einem Video YouTube bzw. Vimeo mit Sitz in den USA, beim allgemeinen Einbettungsblock die von der Lehrperson frei gewählte externe Anwendung, bei einem HTML-Inhalt die Server, von denen er nach dem Klick Daten lädt. Welche das im Einzelfall ist und wo dieser Anbieter sitzt, richtet sich nach der Auswahl der Lehrperson und ist hier nicht abschließend aufzählbar; genau deshalb lädt ein eingebetteter Inhalt grundsätzlich nicht von allein (siehe „Eingebettete Inhalte"). Ausgenommen ist ein HTML-Inhalt, in dessen Code die Anwendung keinen Server erkennt: Er startet ohne Klick; ist sein Code absichtlich darauf ausgelegt, kann er dann selbst eine Verbindung zu einem fremden Server aufnehmen – etwa indem er sich auf eine fremde Seite weiterleitet oder eine Echtzeitverbindung aufbaut –, und dieser Server erfährt die IP-Adresse des Geräts und alles, was der Inhalt dabei mitsendet. Gleiches gilt, wenn die Adresse einer HTML-Datei aus der Mediathek unmittelbar im Browser geöffnet wird. Für die Mediensuche der Lehrpersonen im Editor gilt das nicht: Tippt eine Lehrperson dort einen Suchbegriff in die Bildersuche (Pixabay) oder die Videosuche (YouTube), ruft der Server der Anwendung damit die Pixabay-API bzw. die YouTube Data API von Google ab — noch bevor irgendetwas angeklickt wird. Die Vorschaubilder der Trefferliste lädt anschließend nicht der Server, sondern unmittelbar der Browser der Lehrperson von den Servern des jeweiligen Anbieters (cdn.pixabay.com bzw., bei YouTube, i.ytimg.com — Google LLC mit Sitz in den USA); dabei erfährt der Anbieter die IP-Adresse des Geräts der Lehrperson, ohne dass ein Klick nötig wäre. Übernimmt die Lehrperson einen Treffer in die Mediathek, wird die Datei einmalig heruntergeladen und ab dann ausschließlich vom eigenen Server ausgeliefert; danach besteht keine laufende Verbindung zum Anbieter mehr. Betroffen ist ausschließlich diese Mediensuche im Editor — die Lernansicht ruft Pixabay und YouTube zu keinem Zeitpunkt auf.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 21 DSGVO). Wenden Sie sich dafür an die oben genannte verantwortliche Stelle. Unabhängig davon besteht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde.

Zuständige Aufsichtsbehörde

Senatorin für Wissenschaft und Häfen Katharinenstraße 37 28195 Bremen