Datenschutzerklärung

Die Whiteout Exercise stellt ein Überlebensszenario dar, in dem Teilnehmende 16 Gegenstände zuerst einzeln und dann als Gruppe reihen, um Auswertungen zu Team­entscheidungen zu unterstützen.

Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist
Urs Müller, Gotenstr. 21, 10829 Berlin, Deutschland — info@whiteout-exercise.org.

Wer wofür verantwortlich ist. Für Konten von Lehrenden und Administratoren, für Sicherheit und Missbrauchs­abwehr sowie für den aufbewahrten Auswertungsdaten — in manchen Tools anonyme Zählwerte, in anderen pseudonyme Datensätze; welche es sind, steht im Abschnitt zur Aufbewahrung des jeweiligen Tools — sind wir selbst Verantwortlicher. Hat eine Institution uns beauftragt, dieses Tool für ihr eigenes Programm zu betreiben, ist die Institution für die identifizierbaren Daten dieser Kohorte Verantwortlicher, und wir verarbeiten sie in ihrem Auftrag (Art. 28 DSGVO). Praktisch heißt das: Bei Anliegen zu den identifizierbaren Daten Ihrer Kohorte wenden Sie sich zuerst an Ihre Lehrperson oder Institution; bei allem, was Konten, Sicherheit oder den aggregierten Datensatz betrifft, an uns. Wir unterstützen die Institution in beiden Fällen bei der Beantwortung (Art. 28 Abs. 3 lit. e DSGVO).

Datenschutzbeauftragte:r: Es ist keine Datenschutzbeauftragte und kein Datenschutzbeauftragter benannt. § 38 BDSG kennt drei Anlässe, und wir haben alle drei geprüft: die Personenzahl (in der Regel mindestens 20 Personen ständig mit automatisierter Verarbeitung beschäftigt — dieser Dienst wird von einer einzelnen Person betrieben), die Pflicht zur Datenschutz-Folgenabschätzung nach Art. 35 DSGVO sowie die geschäftsmäßige Verarbeitung zum Zweck der Übermittlung, der anonymisierten Übermittlung oder der Markt- oder Meinungsforschung. Die beiden letztgenannten Anlässe gelten unabhängig von der Personenzahl. Unsere Prüfung ist in DPIA-DETERMINATION.md dokumentiert und wird erneut vorgenommen, sobald sich Umfang oder Zweck der Verarbeitung ändern — insbesondere, falls die klassenübergreifende Forschungsnutzung über die Unterstützung der jeweiligen Lehrveranstaltung hinaus zu einem eigenständigen Zweck wird.

Welche Daten wir verarbeiten

Von Teilnehmenden

• E-Mail-Adresse — erforderlich, um an einer Sitzung teilzunehmen. Sie wird zusammen mit Ihrer Reihung gespeichert und ist für die moderierende Person in der Teilnehmendenliste sichtbar. In genau zwei Fällen senden wir eine Nachricht an diese Adresse: Versucht jemand, mit Ihrer Adresse von einem nicht angemeldeten Gerät aus wieder einzusteigen, schicken wir einen einmalig gültigen Link, damit nur Sie fortfahren können; und sieben Tage vor der Löschung des Kurses senden wir Ihnen eine Nachricht mit Ihrem persönlichen Widerrufslink. Es gibt keinen Newsletter und keine weitere Verwendung.
• Ihre Einwilligung als Nachweis — dass Sie das Kästchen zur Teilnahme angekreuzt haben, ob Sie das gesonderte Forschungskästchen angekreuzt haben, wann, und welche Fassung dieser Erklärung und des Einwilligungstextes Ihnen angezeigt wurde. Wir speichern das, weil wir nachweisen können müssen, dass eine Einwilligung tatsächlich erteilt wurde (Art. 7 Abs. 1).
• Ein pseudonymes Sitzungstoken in einem Cookie, das Ihre Antworten innerhalb einer Sitzung verknüpft.
• Sitzungscode — ordnet Ihre Antwort der richtigen Gruppensitzung zu.
• Ihre Reihungen — individuell und ggf. die Gruppenreihung.
• Zeitstempel der Abgabe.
• Ihre Einschätzung — auf dem Bildschirm nach Ihrer Reihung werden Sie mit einem Klick gefragt, wie diese im Vergleich zum Rest des Kurses abschneiden wird. Diese Angabe ist erforderlich: der Abstand zwischen Erwartung und Ergebnis gehört zum Lernziel der Übung. Sie wird zusammen mit Ihrer Reihung gespeichert und der Lehrperson als Gesamtwert für den Kurs sowie als je ein unbeschrifteter Punkt pro Person in einem Diagramm angezeigt, das Einschätzungen und Ergebnisse gegenüberstellt — nie mit Ihrem Namen beschriftet. In einer kleinen Klasse könnte eine Lehrperson, die alle Punktzahlen sieht, allerdings erschließen, welcher Punkt Ihrer ist.
• Wie oft Sie im Winter draußen sind — auf demselben Bildschirm wie die Einschätzung gefragt und freiwillig; „keine Angabe“ ist voreingestellt. Wenn Sie antworten, wird die Angabe zusammen mit Ihrer Antwort gespeichert — im selben Datensatz wie Ihre E-Mail-Adresse, wie Ihre Reihung, nicht hinter der unten beschriebenen Einwilligung für demografische Angaben. Die moderierende Person sieht sie ausschließlich als Durchschnittswerte über mindestens fünf Personen, nie neben Ihrem Namen; im Datenexport ist sie nicht enthalten.
• Abschlussfragen, in Sessions, die sie enthalten — manche Sessions beenden eine Gruppenrunde mit zwei kurzen privaten Fragen: welche Überlegungen in der Diskussion Ihrer Gruppe zur Sprache kamen, und was mit dem geschah, was Sie selbst wussten. In diesen Sessions erforderlich; gespeichert mit Ihrer Antwort und der Lehrperson ausschließlich zusammengefasst angezeigt — je Gruppe als Mehrheitszählung, die Selbstauskünfte nur als Summen über mindestens fünf Personen. Wenn Sie die gesonderte Forschungseinwilligung erteilt haben, gehören diese Antworten zu den über den Kurs hinaus aufbewahrten; die schriftliche Begründung der Gruppe wird nicht aufbewahrt, weil Freitext alles enthalten kann und keine Einwilligung abdecken kann, was niemand vorhersehen kann.
• Was Ihre Gruppe entschieden hatte, in Sessions mit der optionalen zweiten Runde — bevor das Material der zweiten Runde angezeigt wird, werden Sie privat gefragt, was Ihre Gruppe in der Situation ausdrücklich vereinbart hatte: bleiben, aufbrechen, die Gruppe aufteilen, keine Einigung, oder nicht als eigene Frage besprochen. In diesen Sessions erforderlich; gespeichert mit Ihrer Antwort, als Zählung je Gruppe angezeigt — nie neben Ihrem Namen. Ihre Lehrperson kann diese Zählung der Klasse nach der Übung zeigen; bei einer einstimmigen Gruppe lässt sich die einzelne Antwort daran ablesen. Mit dem Kurs gelöscht und nicht Teil der Forschungsdaten.
• Was Sie selbst getan hätten, in Sessions mit der optionalen zweiten Runde — nachdem Sie die gemeinsame Ergänzung und Ihre eigene Erinnerung gelesen haben und bevor Ihre Gruppe erneut spricht, werden Sie privat gefragt, ob Sie beim Van bleiben oder versuchen würden, Hilfe zu erreichen. In diesen Sessions erforderlich, zusammen mit Ihrer Antwort gespeichert, als Zählung pro Gruppe angezeigt — nie neben Ihrem Namen. Ihre Lehrperson kann diese Zählung der Klasse nach der Übung zeigen; bei einer einstimmigen Gruppe lässt sich die einzelne Antwort daran ablesen. Mit dem Kurs gelöscht und nicht Teil der Forschungsdaten.
• Freiwillige demografische Angaben — Altersgruppe, Geschlecht, Jahre Berufserfahrung, Erfahrung in der Teamleitung, Studien- oder Tätigkeitsfeld sowie Land. Jede dieser Angaben ist freiwillig, die gesamte Seite kann übersprungen werden, und ohne Ihr angekreuztes Einverständnis wird nichts gespeichert. Der moderierenden Person werden sie ausschließlich als Gruppendurchschnitte angezeigt, und nie für Gruppen mit weniger als fünf Personen. Ihre Länderangabe wird zusätzlich zu einer Weltregion zusammengefasst angezeigt. Wir erfassen, wann Sie eingewilligt haben und welche Fassung dieser Erklärung und des Einwilligungstextes Ihnen angezeigt wurde.

Von Moderierenden

• Anmeldedaten — das Passwort wird ausschließlich als bcrypt-Hash gespeichert.
• Sitzungsdaten — Namen, Codes und Konfiguration der von Ihnen angelegten Sitzungen.

Rechtsgrundlagen

• Durchführung der Übung und Erstellung der Gruppenergebnisse — Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Unterstützung des Bildungsprogramms, an dem die Teilnehmenden teilnehmen.
• Freiwillige demografische Angaben — Art. 6 Abs. 1 lit. a DSGVO, Ihre Einwilligung. Sie erteilen sie durch Ankreuzen eines nicht vorausgewählten Kästchens, Sie können die Seite folgenlos überspringen und Ihre Einwilligung jederzeit widerrufen; die Angaben werden dann gelöscht.
• Aufbewahrung Ihrer Antworten über den Kurs hinaus, für Forschung und Lehre — Art. 6 Abs. 1 lit. a DSGVO, Ihre gesonderte Einwilligung, mit den Garantien des Art. 89 Abs. 1. Es ist ein zweites, ebenfalls nicht vorausgewähltes Kästchen auf demselben Bildschirm wie das erste. Bleibt es leer, ändert das nichts an Ihrer Teilnahme: Sie werden einer Gruppe zugeordnet, sehen Ihre Ergebnisse, und alles von Ihnen wird zusammen mit dem übrigen Kurs gelöscht. Kreuzen Sie es an, bleibt bei der Löschung des Kurses ein Datensatz erhalten — siehe „Wie lange wir Daten speichern“ — und Sie können diese Einwilligung jederzeit und ohne Frist widerrufen, über den Link, den wir Ihnen vor der Löschung des Kurses zusenden.
• Konten von Moderierenden — Art. 6 Abs. 1 lit. b DSGVO.
• Sicherheit, Rate-Limiting und Missbrauchs­abwehr — Art. 6 Abs. 1 lit. f DSGVO.

Empfänger und Drittlandübermittlung

Wir setzen keine Dritten für Werbung, Analyse oder Tracking ein und verkaufen oder teilen keine personenbezogenen Daten zu Marketingzwecken. Folgende Dienstleister verarbeiten Daten in unserem Auftrag als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungs­vertrags nach Art. 28 DSGVO:

• IONOS SE (Deutschland) — Hosting und E-Mail-Versand.
• Microsoft Ireland Operations Ltd. (OneDrive) — Ablage der wöchentlichen Sicherungskopien außerhalb des Servers. Diese Sicherungen sind vor dem Hochladen verschlüsselt; der private Schlüssel liegt ausschließlich auf einem Rechner des Betreibers, niemals beim Anbieter. Microsoft speichert also ausschließlich verschlüsselte Daten und kann sie nicht lesen.
• healthchecks.io — Überwachung, ob der Sicherungslauf stattgefunden hat. Übertragen werden nur Statusmeldungen („Lauf erfolgreich/fehlgeschlagen“), keine Inhalts- oder Teilnehmendendaten.

Drittlandübermittlung: Die Verarbeitung findet in der EU statt; Server und Datenbanken stehen in Deutschland. Zwei Punkte sind der Vollständigkeit halber zu nennen: Microsoft (OneDrive) sieht für seine Dienste Übermittlungen außerhalb des EWR mit Garantien nach Art. 46 DSGVO (EU-Standardvertragsklauseln) vor — dorthin gelangen ausschließlich die vor dem Verlassen des Servers verschlüsselten Sicherungskopien, deren Schlüssel wir nicht herausgeben; und healthchecks.io betreibt Infrastruktur in der EU und in den USA, erhält jedoch nur Statusmeldungen des Sicherungslaufs, keine Teilnehmenden- oder Inhaltsdaten.

Auswirkung auf die Löschung: Wird ein Datensatz gelöscht, kann er noch in den Sicherungskopien enthalten sein, bis diese turnusmäßig auslaufen: bis zu 14 Tage in den Sicherungen auf dem Server und bis zu 30 Tage in den verschlüsselten Kopien außer Haus. Sicherungen werden ausschließlich zur Wiederherstellung nach einem Ausfall verwendet, nie zur normalen Datenverarbeitung.

Speicherdauer

• Alles aus einem Kurs wird 30 Tage nach dessen Abschluss gelöscht. Das umfasst Ihre E-Mail-Adresse, Ihre Reihung, Ihre Gruppe, Ihre Stimmen, die Gruppentafeln, die Ergebnisseite und die Sitzung selbst. Das geschieht automatisch, ist nicht rückgängig zu machen und gilt für alle im Kurs zum selben Datum. Eine nie abgeschlossene Sitzung wird stattdessen 30 Tage nach der letzten Abgabe gelöscht; eine Sitzung, der nie jemand beigetreten ist, 90 Tage nach ihrer Erstellung.
• Ihre Lehrperson kann dieses Datum um jeweils 30 Tage verschieben, höchstens dreimal — nicht weiter und nie auf ein früheres als das Ihnen bereits genannte Datum. Sie wird 14 Tage vorher benachrichtigt; steht das Datum dann weiterhin bevor, erhalten Sie 7 Tage vorher eine E-Mail, damit Sie vorher widerrufen können. Es ist die einzige Nachricht dieser Art zu einem Kurs.
• Wenn Sie die gesonderte Forschungseinwilligung erteilt haben, bleibt bei der Löschung des Kurses ein Datensatz von Ihnen erhalten, und zwar unbefristet: Ihre Reihung, Ihr Ergebnis, das Ergebnis Ihrer Gruppe, Ihre freiwilligen Angaben zur Person, in Sitzungen mit Abschlussrunde Ihre Antworten darin, sowie das Halbjahr. Von Personen ohne dieses Häkchen wird nichts aufbewahrt — ihre Antworten werden mit dem Kurs gelöscht und niemals gezählt. Er enthält keine E-Mail-Adresse, keinen Namen, keinen Kurs, keinen Gruppennamen und kein Datum genauer als das Halbjahr; die Verbindung zwischen ihm und Ihnen wird mit dem Kurs vernichtet. Er ist nicht anonym — eine Reihung zusammen mit mehreren Angaben kann selten sein —, deshalb behandeln wir ihn durchgehend als personenbezogenes Datum, verwenden ihn nur für Forschung und Lehre und veröffentlichen nichts, was für weniger als fünf Personen steht. Sie können ihn jederzeit und ohne Frist widerrufen, über den Link in dieser E-Mail nach 7 Tagen.
• Konten von Moderierenden — bis zur Deaktivierung oder Löschung durch einen Administrator.

Wer Ihre Daten sieht

• Moderierende sehen für ihre eigenen Sitzungen die Teilnehmendenliste einschließlich der E-Mail-Adressen sowie die individuellen und die Gruppenreihungen. Demografische Angaben sehen sie ausschließlich als Durchschnittswerte über mindestens fünf Personen — nie neben einem Namen. Antworten, die weniger als fünf Personen gegeben haben, werden nicht einzeln ausgewiesen; sie werden entweder zurückgehalten oder mit anderen seltenen Antworten zu einem einzigen Wert „alle Übrigen“ zusammengefasst, der ebenfalls mindestens fünf Personen umfasst.
• Ihr Kurs bekommt diese demografischen Durchschnittswerte unter Umständen ebenfalls zu sehen, und sie können in einer schriftlichen Zusammenfassung enthalten sein, die Ihre Lehrperson im Anschluss austeilt. Das ist Teil der Auswertung, für die die Angaben erhoben werden. Die Fünf-Personen-Grenze und die Zusammenfassung zu „alle Übrigen“ gelten dabei unverändert, es wird also nichts angezeigt, was für weniger als fünf Personen steht — bedenken Sie aber, dass eine Gruppe von fünf Personen in einem Raum, in dem man sich kennt, nicht in demselben Sinne anonym ist wie fünf Fremde. Wenn Sie das nicht möchten, überspringen Sie die Fragen oder bitten Sie Ihre Lehrperson, Ihre Angaben zu löschen.
• Der Administrator hat ausschließlich technischen Zugriff für Wartung und Sicherheit.

Datensicherheit

• Der Server steht in Deutschland.
• Jede Übertragung ist mit HTTPS/TLS verschlüsselt.
• Passwörter werden ausschließlich als bcrypt-Hashes gespeichert, nie im Klartext.
• Sitzungscookies sind signiert und HTTP-only.
• Schriften werden vom eigenen Server ausgeliefert — keine Drittanbieter-CDNs, es fließen beim Laden keine Daten an Dritte.
• Für das Rate-Limiting verarbeitete IP-Adressen werden nur im Arbeitsspeicher gehalten und nie in die Datenbank geschrieben.

Server-Logdateien

Unser Webserver zeichnet Standard-Zugriffsprotokolle auf: IP-Adresse, Datum und Uhrzeit, die angeforderte Ressource, HTTP-Status, Referrer und Browser-Kennung. Diese Protokolle dienen ausschließlich dem Betrieb und der Absicherung des Dienstes, werden nicht mit anderen Daten zusammengeführt, nicht zur Identifizierung von Personen oder zur Profilbildung verwendet und nach 14 Tagen rotiert und gelöscht. Für das Rate-Limiting verarbeitete IP-Adressen werden nur im Arbeitsspeicher gehalten und nie in die Datenbank geschrieben.

Protokoll administrativer Vorgänge. Wenn Sie ein Lehrenden-Konto nutzen, zeichnen wir sicherheitsrelevante Vorgänge auf — erfolgreiche und fehlgeschlagene Anmeldungen, Passwortänderungen und -zurücksetzungen, das Anlegen, Ändern und Löschen von Konten sowie das Löschen oder Anonymisieren von Kursdaten — jeweils mit Zeitpunkt, Konto-E-Mail-Adresse und IP-Adresse. Grundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), einen unbefugten Zugriff auf ein Konto nachvollziehen zu können. Diese Einträge werden nach 12 Monaten gelöscht. Teilnehmende sind davon nicht betroffen.

Ihre Rechte

Ihnen stehen folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) — welche Daten wir über Sie gespeichert haben.
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten.
• Löschung (Art. 17 DSGVO) — Löschung Ihrer personenbezogenen Daten.
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO) — Ihre Daten in einem strukturierten, maschinenlesbaren Format.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) — jederzeit, mit Wirkung für die Zukunft, so einfach wie die Erteilung.

Antwortzeit. Wir bemühen uns, Anfragen zeitnah zu beantworten. Anfragen zu Ihren personenbezogenen Daten beantworten wir innerhalb der Frist des Art. 12 Abs. 3 DSGVO (spätestens innerhalb eines Monats).

Löschung und Widerruf bei diesem Tool

Solange der Kurs besteht, identifiziert Ihre E-Mail-Adresse Ihre Abgabe, wir können sie also jederzeit finden und löschen: Schreiben Sie uns oder Ihrer moderierenden Person unter Angabe des Sitzungscodes und der verwendeten Adresse. Moderierende können einzelne Antworten oder ganze Sitzungen jederzeit löschen. Wenn Sie freiwillige demografische Angaben gemacht haben, führt der Widerruf dieser Einwilligung ausschließlich zur Löschung dieser Angaben; die Übungsergebnisse bleiben davon unberührt.

Nach der Löschung des Kurses ist von Ihnen nichts mehr vorhanden — es sei denn, Sie haben die gesonderte Forschungseinwilligung erteilt. Diesen Datensatz können auch wir nicht finden: Er enthält absichtsvoll keine Adresse und nichts, was ihn mit Ihnen verbindet. Erreichbar ist er ausschließlich über den persönlichen Link in der E-Mail, die wir Ihnen sieben Tage vor der Löschung des Kurses senden. Bewahren Sie diese E-Mail auf. Der Link zeigt Ihnen zunächst, was gelöscht würde, und löscht nichts, bevor Sie bestätigen; vor dem Stichtag verwendet, löscht er auch Ihre Kursantworten. Eine Frist gibt es dafür nicht.

Pflicht zur Bereitstellung

Die Bereitstellung von Daten ist weder gesetzlich noch vertraglich vorgeschrieben; eine E-Mail-Adresse ist jedoch technisch erforderlich, um an einer Sitzung teilzunehmen — ohne sie kann keine Abgabe gespeichert werden.

Aufsichtsbehörde

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für unseren Sitz ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61
10555 Berlin
Deutschland
www.datenschutz-berlin.de

Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.