Im Rahmen der Verwaltung von ordentlichen und außerordentlichen Studierendendaten
Die Johannes Kepler Universität Linz (in der Folge „JKU“) informiert Sie im Folgenden über die Verarbeitung Ihrer personenbezogenen (genauer: auf Sie beziehbaren persönlichen) Daten im Sinne des Art 4 Ziff. 1 Datenschutz-Grundverordnung (in der Folge „DSGVO“), deren Schutz das geltende Datenschutzrecht[1] dient. Unter Verarbeitung ist im Sinne des Art 4 Ziff. 2 DSGVO insbesondere die Erhebung, Erfassung und Speicherung personenbezogener Daten mit oder ohne Hilfe automatisierter (technischer) Verfahren zu verstehen.
I. Kontaktdaten der Verantwortlichen:
Verantwortliche der in der Folge beschriebenen Datenverarbeitung im Sinne des Art 4 Ziff. 7 DSGVO ist die Johannes Kepler Universität Linz (JKU), Altenberger Straße 69, 4040 Linz, datenschutz(at)jku.at.
Der Datenschutzbeauftragte im Sinne des Art 37 DSGVO ist erreichbar unter Johannes Kepler Universität Linz (JKU), Stabstelle Datenschutz, Altenberger Straße 69, 4040 Linz, datenschutz(at)jku.at.
II. Hintergrund der Verarbeitung / Angabe des Zweckes, für welchen die personenbezogenen Daten verarbeitet werden sollen / Rechtsgrundlage der Verarbeitung / Empfänger der personenbezogenen Daten:
1. Die JKU verarbeitet anlässlich der Zulassung zu ordentlichen und außerordentlichen Studien sowie der Vorschreibung/Bezahlung des Studierendenbeitrages bzw. eines allfälligen Studienbeitrages – inklusive eines allfälligen beantragten Erlasses/Rückerstattung des Studienbeitrages – und eines etwaigen Lehrgangsbeitrages insbesondere folgende personenbezogenen Daten von Ihnen als betroffene Person zum Zweck der Administration und organisatorischen Abwicklung Ihres Studiums an der JKU einschließlich etwaiger Praktika im Rahmen des Studiums, insbesondere der Zulassung zum ausgewählten ordentlichen oder außerordentlichen Studium sowie der Studierendenbeiträge bzw. eines etwaigen Studienbeitrages und Lehrgangsbeitrages, zur Dokumentation aller prüfungs- und beurteilungsrelevanten Inhalte und der Verleihung akademischer Grade / akademischer Bezeichnungen sowie zur Durchführung von Umfragen, Evaluierungen und Qualitätssicherungsmaßnahmen, somit insgesamt zum Zweck der Vollziehung der durch Gesetz übertragenen Aufgaben und der Einhaltung der damit in Verbindung stehenden gesetzlichen Verpflichtungen:
Überdies können Ihre Daten zur Geltendmachung, Ausübung, Verteidigung von etwaigen Ansprüchen bzw. Aufklärung von Rechtsverletzungen und Rechtsstreitigkeiten verarbeitet werden.
1.1. Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten ist Art 6 Abs. 1 lit. c, e und Abs. 3 und Art. 9 Abs. 2 lit. g DSGVO iVm den einschlägigen nationalen Bestimmungen, insbesondere nach Universitätsgesetz 2002[2] sowie Bildungsdokumentationsgesetz 2020[3], Universitäts- und Hochschulstatistik- und Bildungsdokumentationsverordnung[4], Studienbeitragsverordnung[5] und der Satzung der JKU[6] in der jeweils geltenden Fassung, darüber hinaus Art 6 Abs. 1 lit. f und Art 9 Abs. 2 lit. f DSGVO. Die Verarbeitung obiger personenbezogener Daten ist rechtmäßig, da sie zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der die Verantwortliche unterliegt und für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die der Verantwortlichen übertragen wurde. Darüber hinaus ist die Datenverarbeitung zur Geltendmachung, Ausübung, Verteidigung von etwaigen Rechtsansprüchen bzw. Aufklärung von Rechtsverletzungen und Rechtsstreitigkeiten erforderlich.
Da die Bereitstellung der personenbezogenen Daten für diese Datenverarbeitungen gesetzlich vorgesehen ist, kann die Nichtbereitstellung der Daten dazu führen, dass die von der JKU Ihnen gegenüber zu erfüllenden Verpflichtungen nicht erfüllt werden können.
Sofern die Verarbeitung der personenbezogenen Daten nicht bereits aufgrund obiger Bestimmungen erlaubt ist, kann die JKU Ihre Daten nur auf Grundlage einer freiwilligen (ausdrücklichen) Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO bzw. Art. 9 Abs. 2 lit. a DSGVO verarbeiten.
Die betroffene Person hat gemäß Art 7 Abs. 3 DSGVO das Recht, ohne Angabe von Gründen von ihrem Widerrufsrecht Gebrauch zu machen und die erteilte Einwilligungserklärung mit Wirkung für die Zukunft abzuändern oder gänzlich postalisch unter Verwendung der unter Punkt I. angeführten Kontaktdaten bzw. per E-Mail an datenschutz(at)jku.at zu widerrufen. Durch den Widerruf ihrer Einwilligung wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung ihrer personenbezogenen Daten nicht berührt. Zu beachten ist, dass durch den Widerruf der der Verarbeitung zu Grunde liegende Zweck nicht erreicht werden kann.
1.2. Empfänger*innen der personenbezogenen Daten sind die für die entsprechende Abwicklung notwendigen Organisationseinheiten der JKU – im Besonderen die Organisationseinheiten Lehr- und Studienorganisation und Informationsmanagement –, der Datenverbund der Universitäten und Hochschulen bei der Bundesrechenzentrum GmbH (BRZ) sowie alle sonstigen gemäß § 10 BilDokG 2020 vorgesehenen Empfänger*innen und die Bundesanstalt „Statistik Österreich“ im Rahmen der Bundesstatistik über das Bildungswesen, etwaige im Rahmen des technischen Supports, Hostings, der Wartung und Administration eingesetzte Auftragsverarbeiter, sofern ein Zugriff durch diese auf personenbezogene Daten durch technische und organisatorische Maßnahmen nicht ausgeschlossen werden kann, allfällige Partnereinrichtungen im Rahmen von gemeinsam eingerichteten Studien oder gemeinsamen Studienprogrammen, etwaige Kooperationspartner*innen und Fördergeber*innen der JKU sowie allfällige in den jeweiligen Förderbedingungen vorgesehene Übermittlungsempfänger, im Zusammenhang mit Zahlungen unser Auftragsverarbeiter QENTA Payment CEE GmbH, Taborstr. 1-3/10, 1020 Wien sowie gegebenenfalls ein von Ihnen bekannt gegebenes Bankinstitut.
Zur Geltendmachung, Ausübung, Verteidigung von Ansprüchen bzw. Aufklärung von Rechtsverletzungen und Rechtsstreitigkeiten können Ihre Daten erforderlichenfalls auch an Gerichte, Behörden und Rechtsvertreter*innen weitergeleitet werden; in diesem Zusammenhang beispielsweise hat die JKU den Verwaltungs- und Strafvollzugsbehörden, den Gerichten sowie den anderen Universitäten und Pädagogischen Hochschulen auf deren Ersuchen die zur Feststellung des Sachverhaltes erforderlichen Auskünfte zu erteilen sowie die dafür notwendigen Unterlagen zu übermitteln (§ 46 Abs. 6 UG). Abgesehen von diesen Fällen ist eine Datenübermittlung an Dritte nur dann zulässig, wenn eine gesetzliche Grundlage besteht (z.B. Auskunftspflichtgesetz) oder ein sonstiges überwiegendes berechtigtes Interesse der JKU oder eines Dritten.
2. Die Applikation „myJKU“ ermöglicht den Studierenden über mobile Geräte jederzeit Einsicht in die über sie verarbeiteten personenbezogenen Daten, wie Stamm-, Studien- und Prüfungsdaten, zu nehmen. Die personenbezogenen Daten werden dabei aus dem Studierendenverwaltungssystem der JKU gespeist. Im Rahmen des Logins in „myJKU“ werden automatisch personenbezogene Daten, nämlich Vor- und Nachname, JKU Username sowie Zuordnung in die Web-Applikation übertragen. Darüber hinaus werden im Zuge der Nutzung der Web-App „myJKU“ für den Betrieb über Shibboleth technisch notwendige Cookies gesetzt und dadurch personenbezogene Daten verarbeitet, die insbesondere zur Autorisierung und Authentifizierung erforderlich sind. Die Verarbeitung der oben genannten Daten ist zur Bereitstellung der App „myJKU“ sowie ihrer Inhalte zwingend erforderlich, ohne diese Daten die Applikation nicht genutzt werden kann.
Die mobile App „myJKU“ verwendet zudem Firebase Cloud-Messaging (Android) bzw. Apple Push Notification Service (iOS), um „myJKU“-Nutzer*innen mittels Push-Benachrichtigungen über Daten-Aktualisierungen informieren zu können. Durch Aktivierung der Push-Nachrichten-Funktion werden von Google Ireland Limited bzw. Google LLC und Apple Inc. ggfs. personenbezogene Daten (Firebase Installation ID bzw. push token) verarbeitet.
Es besteht keine Verpflichtung zur Bereitstellung der personenbezogenen Daten. Für die Nutzung des Push-Dienstes ist die Verarbeitung der personenbezogenen Daten jedoch erforderlich, daher bei können Nichtbereitstellung der personenbezogenen Daten auch keine Push-Benachrichtigungen versendet werden.
Details zum Thema Datenschutz und zur Verarbeitung von personenbezogenen Daten sind unter folgenden LINKs verfügbar: https://firebase.google.com/terms/data-processing-terms, öffnet eine externe URL in einem neuen Fenster bzw. https://firebase.google.com/support/privacy#international_data_transfers, öffnet eine externe URL in einem neuen Fenster, https://policies.google.com/privacy, öffnet eine externe URL in einem neuen Fenster und https://www.apple.com/legal/privacy/, öffnet eine externe URL in einem neuen Fenster
2.1 Rechtsgrundlage für die Verarbeitung und Übermittlung der personenbezogenen Daten im Zusammenhang mit der Verwendung der Push-Notification-Funktion ist die (ausdrückliche) Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und Art. 49 Abs. 1 lit.a DSGVO). Die Einwilligung zum Empfang der Push-Benachrichtigungen kann jederzeit durch Änderung der Einstellung im App „myJKU“ durch Deaktivierung und unter den Browser-Einstellungen widerrufen werden. Durch den Widerruf wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung ihrer personenbezogenen Daten nicht berührt. Zu beachten ist, dass durch den Widerruf der der Verarbeitung zu Grunde liegende Zweck nicht erreicht werden kann.
Soweit die Verarbeitung der personenbezogenen Daten – aufgrund technischer Notwendigkeit – für den Login oder zur Sicherstellung und Verbesserung der Funktionalität der Web-App „myJKU“ erforderlich ist, erfolgt die Verarbeitung auf Grundlage des berechtigten Interesses der JKU (Art. 6 Abs. 1 lit. f DSGVO).
2.2 Empfänger*innen der personenbezogenen Daten sind neben den für die entsprechende Abwicklung notwendigen Organisationseinheiten der JKU – im Besonderen das Informationsmanagement – die Firma solvistas GmbH, Graben 18, 4020 Linz, als Auftragsdatenverarbeiterin der JKU.
Im Zuge der Verwendung des oben genannten Google-Dienstes (Firebase) oder des Apple-Dienstes werden personenbezogene Daten an Google LLC bzw. an Apple Inc., die in den USA niedergelassen sind, übermittelt. Auf Grundlage des Angemessenheitsbeschlusses für den Datenschutzrahmen EU-USA (Adequacy decision for the EU-US Data Privacy Framework) können personenbezogene Daten an US-Unternehmen, die nach Selbstzertifizierung in der Data Privacy Framework List (https://www.dataprivacyframework.gov/s/participant-search, öffnet eine externe URL in einem neuen Fenster) aufgenommen sind (wie z.B. Google LLC), übermittelt werden, ohne dass weitere datenschutzrechtliche Sicherheitsmaßnahmen getroffen werden müssen. Sofern die Datenübermittlung weder in den Geltungsbereich des Angemessenheitsbeschlusses fällt noch geeignete Garantien (wie z.B. Standardvertragsklauseln) für den Schutz personenbezogener Daten vorliegen, ist die Übermittlung aufgrund der ausdrücklichen Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO zulässig. Diesfalls kann die Einhaltung der europäischen Datenschutzanforderungen nicht garantiert werden, wodurch Risiken in Bezug auf die Rechtmäßigkeit und Sicherheit der Datenverarbeitung bestehen.
3. Anlässlich der Beurteilung der von Ihnen im Laufe des ausgewählten ordentlichen oder außerordentlichen Studiums eingereichten schriftlichen Arbeiten, insbesondere Abschlussarbeiten, Haus- und Seminararbeiten sowie Bachelorarbeiten werden Ihre personenbezogenen Daten, insbesondere Titel, Vor- und Nachname, Matrikelnummer sowie der gesamte Inhalt der von Ihnen eingereichten schriftlichen Arbeit zum Zweck der Überprüfung der Einhaltung der Regeln guter wissenschaftlicher Praxis bzw. ethischer Grundsätze und zur Verhinderung der Verletzung geistigen Eigentums anderer Personen durch Verwendung der von der Firma Turnitin LLC zur Verfügung gestellten Plagiatssoftware verarbeitet.
3.1. Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten sind Art 6 Abs. 1 lit. c, e und Abs. 3 DSGVO iVm. §§ 2, 3 und 19 UG und § 38 Abs. 4 Satzungsteil Studienrecht[7]. Die Verarbeitung obiger personenbezogener Daten ist rechtmäßig, da sie zur Erfüllung einer rechtlichen Verpflichtung, der die JKU unterliegt sowie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die der JKU übertragen wurde.
Es besteht keine Verpflichtung zur Bereitstellung der personenbezogenen Daten, bei einer Nichtbereitstellung können jedoch die unter Punkt 3. genannten Zwecke nicht erreicht werden.
3.2. Empfänger*innen der personenbezogenen Daten sind die für die entsprechende Abwicklung notwendigen Organisationseinheiten der JKU – im Besonderen die Universitätsbibliothek, Lehr- und Studienorganisation und das Informationsmanagement.
Der Anbieter der Plagiatssoftware Turnitin LLC mit Sitz in 2101 Webster Street, Suite 1800, Oakland CA 94612 USA ist Auftragsverarbeiter der JKU. Zwischen JKU und Turnitin LLC wurden die mit Durchführungsbeschluss (EU) 2021/914 der EU-Kommission am 04.06.2021 gemäß Art 28 Abs. 7 iVm. Art 46 Abs. 2 lit. c DSGVO erlassenen Standardvertragsklauseln, die in der Rechtsabteilung der JKU aufliegen, abgeschlossen, wodurch ein angemessenes Datenschutzniveau im Sinne der DSGVO sichergestellt ist.
Zur Abwicklung diverser technischer und administrativer Support-Dienstleistungen sowie des Abgleichens mit Datenquellen im Internet sowie Datenbanken in den USA werden Turnitin UK Ltd., 6th Floor, Wellbar Central, 36 Gallowgate, Newcastle upon Tyne, NE1 4TD UK, Turnitin India Pvt. Ltd., Suite #1603, Floor 16, Max Towers, Sector - 16B Noida, Uttar Pradesh 201301, Indien, Turnitin Netherlands B.V., Stadsplateau 7, 3521 AZ Utrecht, Niederlande, UKU Group Ltd., SP Hall 28-A Stepana Bandery Avenue Office 302, Kiew, Ukraine 04073 sowie ExamSoft Worldwide LLC., 5001 LBJ Freeway, Suite 700, Dallas, TX 75244 USA, Microsoft Corporation, One Microsoft Way, Redmond, Washington 98052-6399, USA und SDL Limited, New Globe House, Vanwall Business Park, Vanwall Road, Maidenhead SL6 4UB, UK als Sub-Auftragsverarbeiter von Turnitin LLC eingesetzt. Turnitin LLC stellt gemäß Klausel 9 der Standardvertragsklauseln sicher, dass auch seine Sub-Auftragsverarbeiter die Pflichten erfüllen, denen Turnitin LLC als Auftragsverarbeiter gemäß den Standardvertragsklauseln unterliegt.
4. Im Rahmen der digitalen Anwesenheitskontrolle am Med Campus I verarbeitet die JKU im System „Cardea“ neben Zugangsdaten auch Lehrveranstaltungsdaten, wie insbesondere Termine, Abhaltungsart, Themen, Vortragende, An- und Abmeldungen und Teilnahmen sowie Studierenden- und Prüfungsdaten als auch allfällige Korrespondenzen. Die Verarbeitung der personenbezogenen Daten erfolgt zum Zweck der Kontrolle der Anwesenheiten von Studierenden in Lehrveranstaltungen und der Erstellung digitaler Anwesenheitslisten sowie der Verwaltung von Lehrveranstaltungen und Lehrveranstaltungsteilnahmen.
4.1. Rechtsgrundlage für die Verarbeitung der personenbezogenen Daten ist Art. 6 Abs. 1 lit. c, e und Abs. 3 DSGVO iVm §§ 51 bis 93a UG und § 19 Abs. 2 Z 4 UG iVm dem Satzungsteil Studienrecht (ST-StR). Die Verarbeitung obiger personenbezogener Daten ist rechtmäßig, da sie zur Erfüllung einer rechtlichen Verpflichtung, der die JKU unterliegt sowie für die Wahrnehmung einer Aufgabe erforderlich ist, die im öffentlichen Interesse liegt oder in Ausübung öffentlicher Gewalt erfolgt, die der JKU übertragen wurde.
Es besteht keine Verpflichtung zur Bereitstellung der personenbezogenen Daten, bei einer Nichtbereitstellung können jedoch die unter Punkt 4. genannten Zwecke nicht erreicht werden.
4.2. Empfänger*innen der personenbezogenen Daten sind die für die entsprechende Abwicklung notwendigen Organisationseinheiten der JKU – im Besonderen das Zentrum für Medizinische Lehre, die Lehr- und Studienorganisation, das Informationsmanagement und die Lehrenden für ihre eigenen Lehrveranstaltungen – und die Firma X – Net Services GmbH, Spittelwiese 15, 4020 Linz, als Auftragsdatenverarbeiterin der JKU.
III. Angaben zur Speicherdauer:
Diese Daten werden für folgende Zeiträume von der JKU gespeichert:
Darüber hinaus werden die personenbezogenen Daten nach Maßgabe der für die Speicherdauer festgelegten Kriterien, wie der Aktualität und Relevanz in Hinblick auf die unter Punkt II. genannten Zwecke sowie des allenfalls benötigten Nachweises für die korrekte Durchführung von Verfahren im Zusammenhang mit etwaigen Meinungsverschiedenheiten und zwar bis zu drei Jahre nach Vorliegen dieses Nachweises gespeichert.
IV. Rechte der betroffenen Person gemäß Art 15 bis 21 DSGVO:
V. Information zur Datenschutzbehörde und dem Beschwerderecht der betroffenen Person:
Darüber hinaus kann sich die betroffene Person über eine ihrer Auffassung nach unzulässige Datenverarbeitung bei der österreichischen Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, Tel.: + 43 1 52 152-0, E-Mail: dsb(at)dsb.gv.at beschweren.
Stand: November 2023
[1] Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (DSGVO); Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (DSG), BGBl. I Nr. 165/1999 zuletzt geändert durch BGBl. I Nr. 14/2019; Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates (Die Datenschutz-Richtlinie für den Bereich Justiz und Inneres), umgesetzt in den §§ 36-61 DSG.
[2] Bundesgesetz über die Organisation der Universitäten und ihre Studien (Universitätsgesetz 2002 - UG).
[3] Bundesgesetz über die Dokumentation im Bildungswesen (Bildungsdokumentationsgesetz 2020 – BilDokG 2020)
[4] Verordnung des Bundesministers für Bildung, Wissenschaft und Forschung über die Übermittlung von Daten, die Führung von Evidenzen, die Codierung und die Statistischen Auswertungen und Verarbeitungen von Universitäten, Pädagogischen Hochschulen, Erhaltern von Fachhochschul-Studiengängen und Privatuniversitäten (Universitäts- und Hochschulstatistik- und Bildungsdokumentationsverordnung – UHSBV)
[5] Verordnung des Bundesministers für Bildung, Wissenschaft und Forschung über die Studienbeiträge an Universitäten und Pädagogischen Hochschulen (Studienbeitragsverordnung - StubeiV)
www.jku.at/rechtsabteilung/mtb-satzung-co/, öffnet eine externe URL in einem neuen Fenster
[7] Satzungsteil: Studienrecht der Johannes Kepler Universität Linz (ST-StR).
[8] Bundesgesetz über die Sicherung, Aufbewahrung und Nutzung von Archivgut des Bundes (Bundesarchivgesetz)
Johannes Kepler Universität Linz
Altenberger Straße 69
4040 Linz, Österreich
