Verfahrensbeschreibung gemäß 8 Abs. 1 BremDSG Hochschulanwendung ARTIST (CampusNet) Hochschule für Künste Bremen

Transkript

1 Verfahrensbeschreibung gemäß 8 Abs. 1 BremDSG Hochschulanwendung ARTIST (CampusNet) Hochschule für Künste Bremen datenschutz nord GmbH Dezember 2010

2 Inhaltsverzeichnis 1. Kurzbeschreibung 3 2. Name und Anschrift der verantwortlichen Stelle ( 8 Abs. 1 Nr. 1 BremDSG) 3 3. Bezeichnung des Verfahrens und Zweckbestimmung der Datenverarbeitung ( 8 Abs. 1 Nr. 2 BremDSG) 3 4. Art der verarbeiteten Daten und die Rechtsgrundlage ihrer Verarbeitung ( 8 Abs. 1 Nr. 3 BremDSG) 3 5. Kreis der Betroffenen ( 8 Abs. 1 Nr. 4 BremDSG) 4 6. Empfänger, denen Daten mitgeteilt werden können ( 8 Abs. 1 Nr. 5 BremDSG) 4 7. Regellöschfristen der Daten ( 8 Abs. 1 Nr. 6 BremDSG) 4 8. Datenübermittlung in Drittstaaten ( 8 Abs. 1 Nr. 8 BremDSG) 5 9. Technisch-organisatorische Sicherheitsmaßnahmen gemäß 8 Abs. 1 Zif. 7 i.v.m. 7 BremDSG Zutrittskontrolle, Zugangskontrolle Zugriffs- und Weitergabekontrolle Eingabekontrolle Auftragskontrolle Verfügbarkeitskontrolle Trennungsgebot 6 Seite 2

3 1. Kurzbeschreibung Bei ARTIST handelt es sich um eine datenbankbasierte Client-Server-Anwendung ( Hochschul-Management-Software ), die in der Standard-Variante als CampusNet (Fa. Datenlotsen GmbH) von verschiedenen Hochschulen deutschlandweit eingesetzt wird. Die Anwendung ermöglicht neben der Stammdaten-Verwaltung von Studierenden- und Beschäftigtendaten auch die Abbildung sämtlicher hochschulspezifischer Geschäftsprozesse, das Prüfungsmanagement sowie die Verwaltung von Gebührenforderungen. Die HfK nutzt allerdings nicht sämtliche der vorgenannten Funktionen, sondern nur die folgenden: --- Zulassungsverfahren/Bewerberinnen- und Bewerberdatenverwaltung (eingeschränkt) --- Stammdatenverwaltung Studierende und Lehrende --- Notenerfassung (noch eingeschränkt) --- Antragsverwaltung von Urlaubssemestern, Immatrikulationen etc. --- Reports und Statistiken 2. Name und Anschrift der verantwortlichen Stelle ( 8 Abs. 1 Nr. 1 BremDSG) Hochschule für Künste Bremen Am Speicher XI Bremen Kanzler: Dezernent Controlling und EDV: Markus Wortmann Frank Zühlke 3. Bezeichnung des Verfahrens und Zweckbestimmung der Datenverarbeitung ( 8 Abs. 1 Nr. 2 BremDSG) ARTIST b Die Anwendung dient der Verwaltung von Daten von Bewerberinnen und Bewerbern, Studierenden, Lehrenden sowie zur Planung von Lehrveranstaltungen, zur Verwaltung von Noten und Zeugnissen. 4. Art der verarbeiteten Daten und die Rechtsgrundlage ihrer Verarbeitung ( 8 Abs. 1 Nr. 3 BremDSG) Folgende personenbezogene Daten werden mit ARTIST verarbeitet: Bewerberinnen- und Bewerberdaten, Benutzerinnen- und Benutzerkonto (für die Zulassung zum Studium an der HfK): --- Vorname, Nachname, Geburtsname, Geburtsdatum, Geburtsort, Geburtsland, -Adresse, Hochschulzugangsberechtigung mit Noten, beworbener Studiengang, Semester, Prüfliste eingereichte Dokumente, Akteurstyp (ARTIST-spezifisch) Seite 3

4 Stammdaten: --- zusätzlich zu den obigen: Foto, Bemerkungen, Angaben zum Benutzerinnen- und Benutzerkonto (HfK-Hochschulnetz), Kontoeinstellungen (des Benutzerinnen- und Benutzerkontos) Lehrendendaten: --- Name, Vorname, Akad. Titel, Adresse, Geburtstag, Geburtsname, Kontaktdaten Telefon/ , ID-Nr., Personalnummer, Statusgruppe, Fachbereich, Studiengang, Mitglied von Verteiler xy, Akteurstyp Bewegungsdaten: --- Noten (derzeit nur Studiengang Integriertes Design) Rechtsgrundlage der Datenverarbeitung ist die Satzung der Hochschule für Künste zur Verarbeitung personenbezogener Daten gemäß 11 Bremisches Hochschulgesetz i.v.m. 11 BremHG. 5. Kreis der Betroffenen ( 8 Abs. 1 Nr. 4 BremDSG) --- Studienbewerberinnen und -bewerber --- Studierende --- Lehrende --- Dienstleister --- Ehemalige 6. Empfänger, denen Daten mitgeteilt werden können ( 8 Abs. 1 Nr. 5 BremDSG) Eine Mitteilung im Sinne einer Zugriffsmöglichkeit von Daten erfolgt zum einen gegenüber dem AStA der Hochschule als Teilkörperschaft. Des weiteren werden dem Studentenwerk, sowie der externen Druckerei (Fa. Drescher) personenbezogene Daten von Studierenden übermittelt. Personenbezogene Daten von Lehrenden werden an die Performa Nord zum Zweck der Gehaltsberechnung und auszahlung sowie an die Landeshauptkasse (für Lehrbeauftragte) übermittelt. Darüber hinaus finden Datenübermittlungen in einzelnen Fällen gegenüber Sozialversicherungsträgern und Krankenkassen in den rechtlich geregelten Fällen statt. 7. Regellöschfristen der Daten ( 8 Abs. 1 Nr. 6 BremDSG) Die Daten unterliegen gemäß 3 der Satzung unterschiedlichen Löschfristen: 1. Die für das Zulassungsverfahren erhobenen Daten werden zwei Jahre nach Ablauf des Bewerbungssemesters gelöscht ( ). 2. Die Daten, die der Identifizierung dienen (Familienname, Vorname, Namenszusätze, Geburtsname, Anschrift), sowie die weiteren in der Anlage 1 als Archivdaten bezeichneten Daten werden nach Ablauf von fünfzig Jahren nach dem Ausscheiden der betroffenen Person aus der Hochschule gelöscht. Seite 4

5 3. Die Daten, die für eine Inanspruchnahme eines verbliebenen Studienguthabens nach Beendigung des Studiums erforderlich sind, werden 10 Jahre nach Beendigung des Studiums gelöscht. 4. Alle anderen Daten der Anlage 1 werden grundsätzlich fünf Jahre nach der Beendigung des Studiums (Datum der Exmatrikulation) gelöscht, es sei denn, die oder der Ehemalige wird auf ihren oder seinen Wunsch als Alumni weitergeführt (vgl. auch Ziff. 6). 5. Die nach 8 der Satzung (Informationspflichten des wissenschaftlichen und/oder künstlerischen Personals) erhobenen Daten werden gelöscht, sobald der mit der Speicherung verfolgte Zweck erreicht ist. 6. Die Daten ehemaliger Hochschulmitglieder nach 11 werden gelöscht, wenn die oder der Betroffene es schriftlich beantragt oder wenn der Hochschule ihr oder sein Versterben mitgeteilt wird. 7. Die im Rahmen der Lehrevaluation nach 9 erhobenen Daten werden gelöscht, sobald der mit der Speicherung verfolgte Zweck erreicht ist. 8. Datenübermittlung in Drittstaaten ( 8 Abs. 1 Nr. 8 BremDSG) Es findet keine Übermittlung personenbezogener Daten an Stellen im Ausland statt. 9. Technisch-organisatorische Sicherheitsmaßnahmen gemäß 8 Abs. 1 Zif. 7 i.v.m. 7 BremDSG 9.1 Zutrittskontrolle, Zugangskontrolle Die Datenbank-, Applikations- und Dokumentenmanagementsystem-Server für ARTIST befinden sich im Serverraum (Dezernat 5, Ebene 3) im Speicher XI. Dieser ist mittels elektronischer Türschlösser (Transpondertechnik) sowie durch einen Sicherheitsdienst gegen unbefugten Zutritt gesichert. Darüber hinaus verfügt dieser über eine Kamera-Überwachung mit Anbindung an das Monitoring des Dezernats 5. Die Kamera ist Bewegungsmelder-gesteuert, Aufnahmen von 20 Uhr bis 6 Uhr morgens, am Wochenende 24 Stunden. Bei Auslösung wird ein Bild pro Sekunde aufgenommen. Die jeweiligen Clients befinden sich in den ebenfalls mit elektronischen Türschlössern gesicherten Büroräumen. 9.2 Zugriffs- und Weitergabekontrolle Die Zugriffs- und Weitergabekontrolle wird serverseitig durch ein dezidiertes Administrationskonzept sowie clientseitig durch ein AD-Berechtigungskonzept sichergestellt. Soweit auf ARTIST über das Internet zugegriffen werden kann, befindet sich der Webserver in einer DMZ. Der Zugriffsschutz auf die Anwendung ARTIST erfolgt über die Authentisierung mittels Benutzerin- oder Benutzername und Passwort. Seite 5

6 9.3 Eingabekontrolle Die Nachvollziehbarkeit von Eingaben und Änderungen in ARTIST wird ausschließlich über die Nutzerinnen- bzw. Nutzerzuordnung gewährleistet, d.h. Änderungen am Datenbestand sind auf die ändernde Nutzerin oder den ändernden Nutzer zurück zu führen. 9.4 Auftragskontrolle Mit der Fa. Datenlotsen als Auftragsdatenverarbeiter für Zwecke der Wartung und des Supports der Anwendung ARTIST besteht ein schriftlicher Vertrag, der die Rechte und Pflichten auch im Hinblick auf den Umgang mit personenbezogenen Daten regelt. 9.5 Verfügbarkeitskontrolle Zur Sicherstellung der Verfügbarkeit der Daten hat die HfK diverse Sicherheitsmaßnahmen getroffen: --- Gas-Feuerlöschanlage Novec Brandmelder (Meldungen laufen bei Feuerwache 1 und per SMS bzw. bei Mitarbeiterinnen und Mitarbeitern des Dezernats 5 auf) --- Überdrucksystem zur Vermeidung von Staubpartikeln --- Redundant ausgelegte Klimaanlage --- Thermostate (erhöhte Temperatur haben eine Meldung per SMS bzw. bei Dezernatsleitung zur Folge) --- Monitoring der Serverleistung im Administratorraum --- Videoüberwachung mit Anbindung an das Monitoring des Dezernats 5: Aktiv wochentags ab 20h bis 6h morgens, am Wochenende 24 Stunden. Bei Auslösung wird pro Sekunde ein Bild aufgenommen und per Mail an die Mitarbeiterinnen und Mitarbeiter des Dezernats 5 verschickt. --- USV für jedes Rack 9.6 Trennungsgebot Das Trennungsgebot wird durch die spezielle Netzarchitektur sichergestellt, indem jedem Aufgabenbereich eigene Subnetze zugewiesen sind, die die Datenbestände voneinander trennen. Näheres hierzu ergibt sich aus dem Datenschutzkonzept. Seite 6